Mnx 3 Velg en betrouwbaar besturngssysteem Mnx 3 s een neuw open source besturngssysteem voor de pc. Het systeem s klen van opzet en heeft een neuwe, modulare opbouw waardoor het net kwetsbaar s voor veel van de problemen waar Wndows en ook Lnux mee te kampen hebben. De auteurs beschrjven het ontwerp van Mnx 3 en laten zen hoe het bjdraagt aan de velghed en betrouwbaarhed van besturngssystemen. Jorrt Herder, Herbert Bos, Ben Gras, Phlp Homburg en Andrew Tanenbaum 50 Het besturngssysteem van een computer vormt het fundament onder alle actvteten van de gebruker. Het schermt de gebruker af van de hardware en bedt een vrendeljke omgevng waarn applcates kunnen draaen. Herbj zjn betrouwbaarhed en velghed van crucaal belang, maar helaas scheten hudge besturngssystemen veelal tekort. Zo worden bevelgngsproblemen n Wndows bjvoorbeeld msbrukt door vrussen en wormen en zjn gebrukers nmddels gewend aan fatale fouten waardoor de computer opneuw moet worden opgestart. Veel van deze problemen zjn terug te leden tot het ontwerp van het besturngssysteem. De hudge generate besturngssystemen wordt nameljk gekenmerkt door een monolthsch ontwerp. Daarbj draat het hele besturngssysteem als één groot programma, ook wel de kernel genoemd, zonder beschermng tussen de verschllende modules en met alle mogeljke toegangsrechten tot het systeem. Door de benodgde nteracte met de hardware ztten devce drvers (stuurprogramma s) ook n de kernel van deze besturngssystemen. Dt ontwerp ledt ertoe dat een enkele fout n een wllekeurge devce drver, bjvoorbeeld de prnterdrver, het hele systeem kan laten crashen. Hoewel veel mensen Lnux en Mac OS zen als concurrenten van het alom bekende Wndows, zjn deze besturngssystemen op dezelfde leest geschoed en hebben ze daardoor veelal dezelfde tekortkomngen als Wndows. Mnx 3 daarentegen heeft een neuwe, modulare opbouw, waardoor dergeljke problemen kunnen worden voorkomen. Daarnaast kunnen veel fouten zelfs automatsch worden verholpen zonder dat de gebruker her ets voor hoeft te doen. Dt draagt bj aan de velghed en betrouwbaarhed van het besturngssysteem. Hstorsch perspectef Het besturngssysteem Mnx kent een rjke hstore, de teruggaat tot de jaren tachtg van de vorge eeuw. De eerste verse van Mnx s n 1987 geschreven door prof. Andrew S. Tanenbaum van de Vrje Unverstet Amsterdam en was bedoeld als onderwjsnstrument. Mnx had toen al een revolutonar multserverontwerp, waarn belangrjke onderdelen van het besturngssysteem, waaronder het bestandssysteem en het geheugenbeheer, als onafhankeljke programma s boven op een klene mcrokernel draaen. Deze modulare structuur bedt veel voordelen ten opzchte van monolthsche systemen. Door de klene omvang en modulare opbouw van Mnx s het besturngssysteem eenvoudg te doorgronden. De broncode van Mnx s gepublceerd als appendx n het bjbehorende boek Operatng
Samenvattng Het open-source besturngssysteem Mnx 3 s modular opgebouwd. De kernel bedt slechts de mnmaal benodgde functonaltet, andere taken zjn als aparte programma s boven op de kernel gerealseerd. Alle programma s zjn strkt gescheden en draaen met beperkte rechten, zodat fouten zch net door het systeem kunnen verspreden. Fouteve modules worden automatsch gedetecteerd en vervangen. Systems Desgn and Implementaton. Wereldwjd gebruken vele unversteten Mnx nu voor hun onderwjs over de bassprncpes van besturngssystemen. Eerdere verses van Mnx nspreerden Lnus Torvalds tot het schrjven van het bekende open source besturngssysteem Lnux. Hoewel Torvalds zowel het Mnx-boek als het besturngssysteem tot zjn beschkkng had, heeft hj net voor een multserverontwerp gekozen. In plaats daarvan heeft hj Lnux een tradtoneel, monolthsch ontwerp gegeven, waarbj alle functes van het besturngssysteem weer n de kernel ztten. Deze stap terug n de tjd resulteerde n 1992 n een wereldberoemde dscusse tussen Tanenbaum en Torvalds op de Usenet-neuwsgroep comp.os. mnx: Lnux s obsolete (Lnux s achterhaald). Door de tekortkomngen van standaardbesturngssystemen zoals Wndows en Lnux s het onderzoek naar en de ontwkkelng van Mnx n 2003 weer opgepakt door de afdelng Computer Systemen van de Vrje Unverstet Amsterdam. Tjdens zjn afstuderen en daarna als promovendus heeft Jorrt Herder het ontwerp van Mnx geanalyseerd en het systeem omgebouwd tot een geheel modular systeem waarbj nu ook alle devce drvers als aparte programma s buten de kernel draaen. Verdere ontwkkelng met het oog op velghed en betrouwbaarhed heeft geled tot de eerste publeke release van Mnx 3 end 2005, de n de eerste maanden na de bekendmakng al meer dan 50.000 maal s gedownload. Hoe werkt Mnx 3? Voor de gebruker werkt Mnx 3 net als andere besturngssystemen. Het besturngssysteem stuurt de hardware aan en bedt de gebruker een vrendeljke nterface om de computer te bedenen. Mnx 3 ondersteunt meerdere gebrukers tegeljkertjd en heeft dezelfde mogeljkheden als een normaal Unx-systeem. De standaard commandlne-nterface ondersteunt meerdere vrtual termnals. Er zjn al meer dan verhonderd Unx-pro- gramma s geschreven voor of overgezet naar Mnx 3, waaronder verschllende shells (ash, bash, rsh, zsh), tekstedtors (ed, emacs, v, elle), complers en nterpreters (awk, cc, gcc, perl, python), netwerkprogramma s (telnet, ssh, ftp, lynx, mal, talk, pne, wget), bestandshulpmddelen (cat, cp, mv, dd, tar, zp) en systeembeheerhulpprogramma s (adduser, backup, fsck, mkfs, mount, cron). En recent s ook een grafsche nterface, het X Wndow System, naar Mnx 3 overgezet; dt wordt nu standaard meegeleverd n de 3.1.2-dstrbute. Tot zo ver de overkomsten met Unx. Technsch gezen zt Mnx 3 heel anders n elkaar. Tradtonele Unx-systemen hebben een monolthsch ontwerp, waarbj het hele besturngssysteem n de kernel zt. Dt maakt het systeem kwetsbaar, omdat de kernel alle mogeljke rechten heeft en zelfs een klene fout de werkng van het hele systeem kan verstoren. Mnx 3 heeft daarentegen een multserverontwerp, waarbj de kernel sterk s gereduceerd en het besturngssysteem s gespltst n onafhankeljke modules met beperkte rechten. De mcrokernel bevat slechts de mnmale functonaltet de nodg s om de rest van het besturngssysteem te ondersteunen. Alle functes de net per se n de kernel hoeven te ztten, zoals het bestandssysteem, geheugenbeheer en alle devce drvers de de hardware aansturen, draaen als aparte, strkt van elkaar gescheden programma s. Deze programma s werken samen om de functonaltet van een Unx-besturngssysteem te beden. Het verschl n structuur tussen Mnx 3 en het tradtonele monolthsche ontwerp dat onder andere door Wndows, Mac OS en Lnux wordt gebrukt, s geïllustreerd n fguur 1. De kernel van Mnx 3 s zo klen mogeljk gemaakt en bevat alleen de meest essentële functonaltet de net als los programma kan worden gerealseerd. Op het laagste nveau nstrueert de kernel bjvoorbeeld welk programma hj nu moet draaen, wordt geheugen toegekend aan programma s en worden aanvragen van randappa- 51
ratuur opgevangen. De kernel beheert tevens de admnstrate van de crucale gegevens van acteve programma s en bepaalt welk programma wanneer en hoe lang mag draaen. Beslssngen omtrent het starten en stoppen van programma s worden echter genomen door een specale server, de process manager, de boven op de kernel draat. Andere servers en drvers kunnen ook gebrukmaken van de densten van de kernel. Een belangrjke verantwoordeljkhed van de Mnx 3-kernel zjn de functes waarmee de programma s van het besturngssysteem met elkaar kunnen communceren. Dt wordt ook wel nterprocess communcaton (pc) genoemd. Doordat alle programma s strkt gescheden zjn, kunnen ze elkaar net drect aanroepen. De kernel bedt echter de mogeljkhed klene berchten ut te wsselen door ze van het ene programma naar het andere te kopëren. Het standaardtype bercht bevat de afzender, het type verzoek en alle benodgde nformate om het verzoek af te handelen. Zo kan het bestandssysteem bjvoorbeeld een bercht naar de devce drver van de harde schjf sturen met het verzoek gegevens te lezen of te schrjven. Wanneer de drver het verzoek heeft ontvangen en afgehandeld, stuurt deze een bercht met het antwoord terug. Doordat alle berchten va de kernel worden verstuurd, kunnen allerle beperkngen worden opgelegd aan de communcatemogeljkheden van programma s. Voor elk programma wordt bjvoorbeeld bjgehouden welke pc-functes mogen worden gebrukt en met welke andere programma s communcate s toegestaan. Een andere belangrjke taak s het beden van zogenaamde kernel calls om de programma s boven op de kernel te ondersteunen. Kernel calls voeren beschermde operates ut de programma s net zelf kunnen of mogen verrchten. Ze kunnen worden aangeroepen door een bercht, met daarn het verzoek een kernel call ut te voeren, naar de kernel te sturen. Voorbeelden van kernel calls zjn starten en stoppen van programma s, kopëren van geheugen tussen programma s, aansturen van de randapparatuur en nstellen van prvleges en beperkngen van programma s. Door dergeljke gevoelge operates alleen n de kernel toe te staan kunnen ook her restrctes worden opgelegd aan programma s. Zo mogen devce drvers n Mnx 3 net drect de computerhardware aansturen, maar moeten ze een verzoek om te lezen van of te schrjven naar de harde schjf naar de kernel sturen. De kernel kan een dergeljk verzoek vervolgens controleren en, afhankeljk van de prvleges van de drver, utvoeren of wegeren. De preceze nstellngen kunnen n Mnx 3 per programma tekstedtor e-malapplcate wndow system tekstedtor e-malapplcate wndow system gebruker dskdrver bestandssysteem netwerkserver geheugenbeheer netwerkdrver prnterdrver kernel dskdrver bestandssysteem netwerkserver geheugenbeheer netwerkdrver prnterdrver besturngssysteem low-level functes low-level functes el kernel 52 monolthsch ontwerp gescheden programma s kernel met alle rechten Fguur 1. Monolthsch versus modular ontwerp multserverontwerp Lnks de structuur van monolthsche systemen zoals Wndows, Mac OS en Lnux zonder beschermng tussen de verschllende functes; rechts het multserverontwerp van Mnx 3, waarbj alle modules van het besturngssysteem als gescheden programma s draaen
verschllen. Daarentegen kunnen zulke restrctes net worden afgedwongen n een monolthsch besturngssysteem omdat alle modules n de kernel draaen en dezelfde rechten hebben. Velghed en betrouwbaarhed De modulare structuur van Mnx 3 s zeer belangrjk voor de velghed en betrouwbaarhed van het besturngssysteem. Omdat het besturngssysteem net langer één geheel vormt, s het mogeljk beschermng aan te brengen tussen de»fouten n één module kunnen zch net verspreden naar andere modules«verschllende modules, zodat fouten n één module zch net kunnen verspreden naar andere modules. Ook s het mogeljk de rechten van elke module nauwkeurg af te bakenen, waardoor de schade de een fout zou kunnen aanrchten tot een mnmum beperkt bljft. Enkele voorbeelden van mogeljke restrctes zjn al aan de orde gekomen. Deze beschermng van Mnx 3 s vergeljkbaar met het gebruk van compartmenten bj schepen: als een lek optreedt, stroomt alleen dat bepaalde compartment vol en net het hele rum, zodat het schp bljft varen en het lek naderhand kan worden gedcht. Ut onderzoek naar de betrouwbaarhed van besturngssystemen bljkt dat de devce drvers n Lnux dre- tot zevenmaal meer fouten bevatten dan de rest van de kernel. Dergeljke fouten kunnen n tradtonele besturngssystemen tot grote problemen leden omdat een fout n de drver van de prnter het hele systeem kan aantasten. Onder Wndows wordt bjvoorbeeld 85 procent van alle crashes door drvers veroorzaakt. Daarom zjn n Mnx 3 alle devce drvers afgeschermd van de rest van het systeem. Zo draat de prnterdrver als een apart programma en heeft alleen toegang tot de prnter. Een eventuele fout kan ertoe leden dat de prnter net meer kan worden aangestuurd, maar deze kan net langer het hele systeem ontregelen. Omdat de kernel alle rechten heeft en dus de beschermng tussen de programma s kan omzelen, s het zeer belangrjk dat de kernel correct functoneert. Er zjn verschllende studes gedaan naar de dchthed van fouten n software met utkomsten van tussen de 2 en 75 fouten per 1000 regels code. Om het aantal fatale fouten te beperken s het dus van groot belang de kernel zo klen mogeljk te maken. De Lnux-kernel omvat zo n 2,5 mljoen regels code, wat met een voorzchtge schattng van 10 fouten per 1000 regels code betekent dat deze 25.000 fouten bevat. Bj Wndows s het probleem met zo n 5 mljoen regels code n de kernel zelfs nog groter. De kernel van Mnx 3 omvat daarentegen slechts 4000 regels code, waardoor het aantal fouten n het meest kwetsbare deel van het besturngssysteem veel klener zal zjn. De beperkte omvang van de kernel maakt het systeem ook eenvoudg te begrjpen en te bouwen, wat de kans op fouten nog klener maakt. Een ander aspect van Mnx 3 dat tot meer betrouwbaarhed ledt, s de mogeljkhed om automatsch fouten te herstellen. De modules van het besturngssysteem worden gecontroleerd door een specale module, de reïncarnateserver geheten, de verantwoordeljk s voor de juste werkng van het systeem. Wanneer een netwerkdrver onverhoopt vastloopt, wordt deze automatsch verwjderd ut het systeem en vervangen door een neuw exemplaar. Ook kan de systeembeheerder automatsch met een e mal op de hoogte worden gebracht van het probleem. Dt alles gebeurt zonder ntervente van de gebruker en ledt slechts tot een klene vertragng van het systeem. Eventuele openstaande netwerkverbndngen worden net beïnvloed, zodat bjvoorbeeld de nternetbrowser bljft werken. Expermenten laten zen dat het ophalen van een groot bestand van nternet slechts 8 procent langer duurt wanneer er elke 4 seconden een fout optreedt n de netwerkdrver en deze herhaaldeljk opneuw moet worden gestart. Deze egenschappen maken Mnx 3 net alleen geschkt voor de pc, maar ook voor systemen de zeer betrouwbaar moeten zjn, zoals de ngebedde computers van auto s, vlegtugen of rumtesondes. Mnx 3 s net alleen een betrouwbaar maar ook een velg besturngssysteem. De beschermng van Mnx 3 voorkomt nameljk ook veel bevelgngsproblemen de worden veroorzaakt door fouten n de software. Veel vrussen en wormen maken bjvoorbeeld msbruk van zogeheten bufferoverrunfouten om hun egen code n het systeem te njecteren en ut te voeren. Omdat de code van alle programma s door Mnx 3 beschermd wordt, s het utvoeren van geïnjecteerde code net langer mogeljk en zjn zulke fouten veel moeljker te 53
54 msbruken. Wanneer een aanval ledt tot een fouteve handelng of afwjkend gedrag n een deel van het besturngssysteem, merkt de reïncarnateserver dt drect en zal de slecht functonerende module vervangen door een neuw exemplaar. Een nteressant voorbeeld s de zogenaamde png of death, waardoor een kwaadwllende persoon een Wndows-server kan laten crashen met een enkel fout verzoek vanaf nternet. Moderne varanten van de png of death zjn recenteljk aangetroffen n de nteracte met de remote desktopserver van Wndows. Een dergeljke aanval zal n Mnx 3 slechts een lokale fout veroorzaken, waarna het besturngssysteem zch n veel gevallen automatsch kan herstellen. Tot slot Mnx 3 s een neuw besturngssysteem dat ontworpen s met het oog op de velghed en betrouwbaarhed voor de endgebruker. In tegenstellng tot tradtonele systemen zoals Lnux en Wndows s het besturngssysteem opgespltst n aparte modules. De kernel van Mnx 3 bedt slechts de mnmale functonaltet de nodg s om de rest van het besturngssysteem te ondersteunen. Alle taken de net per se n de kernel moeten ztten, zoals het bestandssysteem en devce drvers, zjn als aparte programma s boven op de kernel gerealseerd. De Mnx 3-kernel bedt functes waarmee de programma s klene berchten kunnen utwsselen, alsmede kernel calls om beschermde operates ut te voeren. Zodoende kunnen de kernel en alle programma s samenwerken om de functonaltet van een normaal Unxsysteem te beden. Het ontwerp van Mnx 3 bedt vele voordelen voor de betrouwbaarhed en velghed van het besturngssysteem. Alle programma s zjn strkt gescheden en draaen met beperkte rechten, zodat programmeerfouten en andere problemen zch net door het systeem kunnen verspreden. Herdoor wordt de schade de een fout kan aanrchten beperkt. Omdat de modules van Mnx 3 klen en eenvoudg zjn, zjn ze gemakkeljk te begrjpen en beheren, waardoor de kans op fouten vermndert. Omdat de werkng van het besturngssysteem contnu wordt gecontroleerd en fouteve modules automatsch gedetecteerd en vaak zelfs vervangen kunnen worden, s Mnx 3 uterst geschkt voor systemen de zeer betrouwbaar moeten zjn. Momenteel wordt aan de Vrje Unverstet Amsterdam actef onderzoek gedaan om de velghed en betrouwbaarhed van Mnx 3 nog beter te maken en het systeem verder te ontwkkelen. Daarnaast s er een groeende gemeenschap van geïnteresseerden en vrjwllgers de aan het systeem bjdragen. Het besturngssysteem s al meer dan 50.000 maal gedownload en het aantal gebrukers groet gestaag. Meer nformate Bezoek de offcële Mnx 3-webste (www.mnx3.org) voor een download en meer nformate of ga naar de neuwsgroep (comp.os.mnx) voor dscusses over Mnx 3. Neem contact op met Jorrt Herder (jnherder @cs.vu.nl) van de Vrje Unverstet Amsterdam voor meer nformate of vragen over Mnx 3. Lteratuur Tanenbaum, A.S. & A.S. Woodhull (2006). Operatng Systems Desgn and Implementaton, 3e edte. Englewood Clffs: Prentce Hall. Lnk www.mnx3.org Jorrt Herder heeft een M.Sc.-graad n Computer Scence van de Vrje Unverstet Amsterdam en s daar momenteel promovendus. Hj s nauw betrokken bj de ontwkkelng van Mnx 3. E-mal: jnherder@cs.vu.nl. Herbert Bos s unverstar docent Informatca aan de Vrje Unverstet Amsterdam. E-mal: herbertb@cs.vu.nl. Ben Gras heeft een M.Sc.-graad n Computer Scence van de Vrje Unverstet Amsterdam en s daar werkzaam bj de afdelng Computer Systemen Amsterdam. Hj werkt als programmeur mee aan het Mnx 3-project. E-mal: beng@few.vu.nl. Phlp Homburg s gepromoveerd aan de Vrje Unverstet Amsterdam op het gebed van grootschalge gesprede systemen en werkt mee aan het Mnx 3-project. E-mal: phlp@cs.vu.nl. Andrew S. Tanenbaum s professor op het gebed van Computer Scence aan de Vrje Unverstet Amsterdam. E-mal: ast@cs.vu.nl.