In che modo il BIOS può bloccare la virtualizzazione?

Sto iniziando a lavorare con Docker e dopo alcune ore di tentativi per farlo funzionare, ho scoperto che il mio BIOS lo stava bloccando e che avevo bisogno di regolare le impostazioni del BIOS. Mi è stato detto che il BIOS è in qualche modo correlato alla scheda madre.

Come può il BIOS bloccare questo tipo di processo, annullando il sistema operativo?

Non è che la CPU stia bloccando un programma; non ha un concetto di app a un livello così basso. Il problema è che Docker su sistemi operativi non Linux può richiedere la virtualizzazione hardware. Non hai specificato il tuo sistema operativo, ma ho fatto un po 'di snooping e ho scoperto che probabilmente usi Windows.

La virtualizzazione hardware è una funzionalità della CPU che, come si può immaginare dal nome, consente alla CPU di aiutare con la virtualizzazione. Su molte macchine, è necessario abilitarlo nel BIOS. Questo, in parte, per prevenire problemi di sicurezza . Fondamentalmente, non è stato possibile avviare un programma perché ha tentato di utilizzare una funzione che era effettivamente assente anziché bloccata attivamente.

La risposta di Ben N è chiaramente la più utile e chiara.

Per coloro che ancora si chiedono, tuttavia ecco la storia completa.

La virtualizzazione è realizzata con assistenza hardware dalla CPU. Poiché un sistema operativo virtualizzato interferirebbe con quello host, poiché competono per le stesse risorse, è necessario un meccanismo per impedire all'ospite di avere un accesso incontrollato all'hardware. Questo può essere inattivo con software, lento, tecniche o con assistenza dalla CPU.

La virtualizzazione assistita da hardware è implementata con istruzioni opzionali specifiche, che puoi leggere nei Capitoli 23, 24, 25, 26, 27 e 28 del Manuale 3B Intel parte 3 . Il software deve prima controllare che queste istruzioni siano supportate, prima di provare a usarle.

Per motivi di sicurezza, la CPU ha un registro speciale, è un MSR , chiamato IA32_FEATURE_CONTROL che contiene i bit che dicono con funzione per abilitare o disabilitare.
citando

Il bit 0 è il bit di blocco. Se questo bit è chiaro, VMXON provoca un'eccezione di protezione generale. Se il bit di blocco è impostato, WRMSR su questo MSR provoca un'eccezione di protezione generale; l'MSR non può essere modificato fino a una condizione di ripristino all'accensione . Il BIOS di sistema può utilizzare questo bit per fornire un'opzione di configurazione per il BIOS per disabilitare il supporto per VMX. Per abilitare il supporto VMX in una piattaforma, il BIOS deve impostare il bit 1, il bit 2 o entrambi (vedere di seguito), nonché il bit di blocco.

Il punto fondamentale è che una volta bloccato, il registro non può essere sbloccato fino all'accensione .

Poiché BIOS / UEFI viene prima di tutto, ha il potere di disabilitare la virtualizzazione cancellando i bit appropriati e bloccando il registro prima che qualsiasi sistema operativo possa impedirlo. Quando la funzionalità di virtualizzazione viene disabilitata in questo modo, la CPU segnala che manca l'estensione dell'istruzione opzionale (e in realtà non funziona se vengono utilizzati) e quindi il software non può utilizzare la virtualizzazione hardware.