Como surgiu a virtualização: Relembrando o FreeBSD Jails

Hoje, vamos analizar as origens de um conceito que revolucionou a forma como interagimos com a computação: a virtualização. Muitos pensam que é algo recente, impulsionado por tecnologias como Docker e Kubernetes, mas a verdade é que essa ideia é tão velha quanto os primeiros computadores. E nos primórdios dessa história, encontraremos um pioneiro discreto, mas poderoso: o FreeBSD Jails.

Uma Breve História da Virtualização: Antes dos Jails

A ideia de virtualização não é nova. Ela vem desde os anos 1960, com a IBM, que tentava resolver um problema comum: a incompatibilidade entre diferentes gerações de seus sistemas de mainframe. A solução veio com o sistema S/360 e o CP/CMS, que permitia a criação de “máquinas virtuais”, onde cada usuário tinha seu próprio sistema operacional completo, compartilhando recursos de forma eficiente e isolada.

O Precursor: chroot

Saltando para o universo UNIX, encontramos um conceito fundamental que pavimentou o caminho para o que viria a ser o Jails: o chroot (change root). Introduzido em 1979 no Unix da Bell Labs, o chroot permitia que um processo e seus filhos tivessem seu diretório raiz alterado. Isso significava que eles não podiam “ver” ou acessar arquivos fora desse novo diretório raiz.

No entanto, como bem apontou Poul-Henning Kamp, o criador do Jails, o chroot “nunca foi concebido para ser um mecanismo de segurança nem um contêiner sólido, era simplesmente um hack baseado em namespace“. Havia maneiras de “escapar” de um ambiente chroot devido a algumas peculiaridades do sistema de arquivos. Apesar de suas limitações de segurança, o chroot foi um passo crucial, mostrando o potencial de isolamento de processos.

O Nascimento do FreeBSD Jails: Uma Necessidade Real

A virada para algo mais robusto aconteceu no final dos anos 1990. Foi quando Poul-Henning Kamp foi contatado por Derrick T. Woolworth, da R&D Associates Inc., uma empresa de hospedagem web. Derrick tinha um problema: seus clientes precisavam de diferentes versões de Apache, MySQL, Perl, etc., e isso o forçava a manter várias máquinas, muitas delas ociosas, apenas para acomodar essas diferentes configurações de software.

Kamp percebeu que o chroot poderia ser estendido para criar “máquinas virtuais” leves. Derrick concordou em financiar o desenvolvimento dessa funcionalidade, com a condição de ter exclusividade por um ano. E assim, o FreeBSD Jails nasceu. Após o período de exclusividade, o Jails foi incluído no FreeBSD 4.0 em abril de 1999.

Como o Jails Funciona

Imagine que você tem uma casa (seu servidor FreeBSD) e precisa que várias pessoas (aplicações/serviços) morem nela, mas cada uma precisa de seu próprio espaço, com suas próprias regras e sem interferir nas outras. O Jails faz exatamente isso, mas de forma muito mais eficiente que ter várias casas separadas (máquinas virtuais completas).

Um “jail” no FreeBSD é como uma cela de prisão digital para um conjunto de processos. Ele virtualiza o acesso ao sistema de arquivos, usuários e subsistema de rede, criando um ambiente seguro e independente do restante do sistema.

Os principais elementos de um Jail são:

•Subárvore de diretórios: Um ponto de partida onde o Jail é “entrado”. Os processos dentro dele não podem sair dessa subárvore.

•Nome de host: Cada Jail tem seu próprio nome, como se fosse uma máquina separada.

•Endereço IP: Um endereço IP dedicado, permitindo que o Jail se comunique na rede de forma independente.

•Comando: Um executável para rodar dentro do Jail, iniciando seus serviços.

Se um serviço rodando dentro de um Jail for comprometido, ele não comprometerá o sistema inteiro, pois está isolado. É como se um problema em um apartamento não afetasse os outros apartamentos ou a estrutura do prédio.

O Legado e a Influência dos Jails

O Jails rapidamente mostrou seu potencial. Por ser leve e compartilhar o kernel do sistema operacional hospedeiro, ele tinha uma sobrecarga mínima de recursos. Mas o verdadeiro “golpe de mestre” foram os efeitos colaterais de segurança. Um processo fora do Jail podia “ver” os processos dentro dele, mas os processos dentro do Jail não podiam “ver” para fora, nem para outros Jails.

Essa característica de “Nós vemos você, você não pode nos ver” tornou-se um grande sucesso em aplicações de segurança. Por exemplo, um aplicativo web frequentemente desfigurado podia ser colocado em um Jail. Se fosse comprometido, um processo externo simplesmente parava todos os processos do Jail e iniciava um novo a partir de uma cópia limpa. Desfigurações duravam apenas alguns segundos, frustrando atacantes.

O trabalho de Kamp e Robert Watson, que co-escreveu o artigo sobre Jails para a conferência SANE 2000, revelou que a virtualização imperfeita (como a oferecida pelo Jails) pode ser preferível à virtualização perfeita (como a de máquinas virtuais completas) em termos de custo e segurança.

Essa ideia foi adotada por outros sistemas operacionais, como Solaris (com suas Zones) e Linux (com tecnologias que levariam aos contêineres modernos). É um orgulho saber que o Google, por exemplo, executa grande parte de sua infraestrutura usando a versão Linux dos Jails.

Conclusão

O FreeBSD Jails é um testemunho da inovação e da busca contínua por soluções mais eficientes e seguras no mundo da computação. Ele nos lembra que muitas das tecnologias que consideramos “novas” hoje têm uma rica história e evoluíram a partir de ideias e necessidades do passado. Da próxima vez que você ouvir falar de contêineres, lembre-se do FreeBSD Jails, o pioneiro que abriu o caminho para essa revolução.