Pourquoi les systèmes désactivent-ils généralement la virtualisation par défaut dans les paramètres du BIOS ?

Il y avait quelques rootkits de preuve de concept comme Pilule bleue il y a quelque temps qui pouvait posséder un système avec VT activé. Après cette découverte, la plupart des fournisseurs ont commencé à livrer leurs unités avec VT désactivé par mesure de sécurité générale.

Toutes les lames de serveur que nous achetons ont la virtualisation activée par défaut. C'est peut-être parce que notre fournisseur a pris la décision commerciale de le faire pour éviter de nombreux appels au support.

Il n'est pas désactivé à cause d'un problème de processeur, mais en fonction de l'usage qui en est fait. Elle peut être désactivée par défaut, car l'activation de ces fonctions peut affecter l'accès aux périphériques.

Notez que selon cet autre fil de discussion, il semble également avoir un certain impact sur les performances https://superuser.com/questions/545101/why-does-hp-recommend-that-i-keep-hardware-virtualization-off

Cela me semble pertinent, car un ensemble réduit d'instructions est plus efficace. Je n'aurais pas pensé que la modification d'une option du BIOS pouvait avoir un effet direct sur ce point.

Je n'ai aucune idée si l'impact est significatif ou non, mais compte tenu de cela et de la faille potentielle de sécurité, avoir une fonction aussi rarement utilisée désactivée par défaut me semble être un bon choix.

Une autre raison est que la plupart des fonctions du noyau de l'utilisateur (comme gettimeofday) sont déplacées dans VDSO.

Parfois, sous la virtualisation, ce chemin rapide ne peut pas être activé.

donc le système ne peut pas :

obtenir l'exécution rapide de ces fonctions

éviter le passage coûteux de l'espace utilisateur au noyau et le retour.

En plus des problèmes de sécurité soulevés dans la réponse de @MDMarra, vous devez prendre en compte deux points supplémentaires :

1. toute fonctionnalité activée et facultative a une faible probabilité d'avoir des interactions désagréables et inattendues avec d'autres fonctionnalités, nécessitant une validation supplémentaire. Fournisseurs de PC déteste de dépenser des ressources pour des fonctions rarement utilisées, et la virtualisation côté client en fait partie.

2. Je suspecte fortement qu'en raison du #1, le blob firmware/BIOS du client de base d'Intel a VT désactivé. Ainsi, tout fournisseur qui livre un client compatible VT doit personnaliser cette option lors de la préparation de son firmware.

Cela dit, nous sommes maintenant en 2019 ; je vois davantage de clients dont la VT est activée par défaut. Les serveurs sont une question entièrement différente : Non seulement je trouve toujours le VT activé, mais le VT-d est aussi souvent actif.