LiteBox - OS thư viện tập trung vào bảo mật được Microsoft mã nguồn mở

 (github.com/microsoft)
12 điểm bởi GN⁺ 2026-02-08 | 2 bình luận | Chia sẻ qua WhatsApp
  • OS thư viện tập trung vào bảo mật hỗ trợ cả thực thi ở chế độ kernel và chế độ người dùng, cung cấp môi trường sandbox giúp giảm bề mặt tấn công bằng cách tối thiểu hóa giao diện với host
  • Được viết trên nền tảng Rust, hỗ trợ giao tiếp liên vận hành giữa các giao diện cấp cao theo kiểu nix và rustix với nhiều nền tảng cấp thấp khác nhau
  • Các trường hợp sử dụng chính: chạy chương trình Linux trên Windows, sandbox ứng dụng Linux, chạy trong môi trường SEV SNP và OP-TEE, hỗ trợ nền tảng LVBS
  • Dựa trên thử nghiệm kiến trúc OS thế hệ tiếp theo với trọng tâm là cô lập bảo mật, ảo hóa và tối thiểu hóa giao diện hệ thống
  • Kết hợp mã hệ thống an toàn dựa trên Rust với mô hình thực thi hợp nhất kernel-user mode, có thể được dùng cho nghiên cứu bảo mật và phát triển công nghệ cô lập trên đám mây

Tổng quan về LiteBox

  • LiteBox là OS thư viện mã nguồn mở tập trung vào bảo mật do Microsoft công bố, hỗ trợ cả thực thi ở chế độ kernel và chế độ người dùng
    • Mục tiêu cốt lõi là tối thiểu hóa giao diện với host để giảm bề mặt tấn công
    • Qua đó triển khai môi trường thực thi cô lập theo dạng sandbox
  • Hệ thống được viết bằng ngôn ngữ Rust, và ở tầng trên cung cấp giao diện theo kiểu nix/rustix
    • Ở tầng dưới, có thể kết nối nhiều nền tảng khác nhau (giao diện Platform) để cấu hình linh hoạt

Tính năng chính và trường hợp sử dụng

  • LiteBox được thiết kế với cấu trúc hỗ trợ khả năng liên vận hành giữa nhiều môi trường vận hành
    • Chạy chương trình Linux trên Windows
    • Sandbox ứng dụng trong Linux
    • Hỗ trợ môi trường thực thi bảo mật dựa trên SEV SNP
    • Chạy chương trình OP-TEE trên Linux
    • Hỗ trợ chạy trên nền tảng LVBS

Giai đoạn hiện tại và giấy phép

  • Dự án hiện đang được phát triển tích cực và chưa đến giai đoạn phát hành phiên bản ổn định
    • API và giao diện có thể sẽ thay đổi trong tương lai
    • Có thể dùng cho mục đích thử nghiệm, nhưng cần thận trọng trong các môi trường đòi hỏi tính ổn định lâu dài
  • Giấy phép MIT

Bài viết liên quan

2 bình luận

 
GN⁺ 2026-02-08
Ý kiến Hacker News

  • Theo trang GitHub, LiteBox là một library OS dạng sandbox tập trung vào bảo mật, giúp giảm bề mặt tấn công bằng cách tối thiểu hóa giao diện với host
    Nó được thiết kế để kết nối giao diện “North” dựa trên nix/rustix theo phong cách Rust với nhiều nền tảng “South” khác nhau
    Ví dụ như chạy chương trình Linux trên Windows, sandbox ứng dụng Linux, hoặc vận hành trên SEV SNP·OP-TEE·LVBS

    • Phần “chạy chương trình Linux không cần chỉnh sửa trên Windows” là điều thú vị nhất
      Từ trước đến nay tôi luôn thấy WSL2 giống một giải pháp tạm thời, còn WSL1 mới thực sự là ví dụ triển khai tốt khái niệm “personality modules” của Windows NT
    • Có thể xem thêm thảo luận liên quan ở chuỗi Reddit và bài đăng trình bày của James Morris
    • Tôi tự hỏi liệu đây có phải kiểu WSLv1.2 hay không, tức một tường lửa dạng thư viện đa nền tảng và tổng dụng hơn
    • README có quá nhiều thuật ngữ marketing kỹ thuật, nên phải mất một lúc mới hiểu dự án này thực sự làm gì
      Có cảm giác đây là ví dụ điển hình về việc Microsoft gói lại khái niệm cũ bằng tên mới để khiến nó trông như một đổi mới

  • Hệ điều hành chủ lực của Microsoft dạo này quá đầy lỗi, nên khó mà tin tưởng các dự án mới họ đưa ra

    • Microsoft có hơn 100.000 kỹ sư, nên nghĩ rằng mọi sản phẩm của họ đều tệ chỉ vì Windows có lỗi thì hơi quá đáng
    • UI của Windows không ổn định, nhưng kernel và các phần mức thấp thì khá ổn định và rất tốt
    • LiteBox không phải để thay thế Windows, cũng không phải hệ điều hành desktop GUI
      Nhóm phát triển nó có lẽ chẳng liên quan gì đến UX Windows hiện đại
    • Tôi biết Windows 11 bị chê vì lỗi và vấn đề Copilot, nhưng trên những diễn đàn như thế này dường như có hiện tượng buồng dội âm đánh giá thấp sản phẩm chỉ vì nó là của Microsoft
    • Windows thì đóng và phức tạp, nhưng LiteBox chạy trên hệ sinh thái Linux, nên tôi kỳ vọng văn hóa kỹ thuật sẽ khác

  • Kho LiteBox có chứa tệp cấu hình liên quan đến Copilot
    copilot-instructions.md

    • Bây giờ nhiều tổ chức yêu cầu dùng AI để đạt OKR, nên việc có cấu hình như vậy là điều tự nhiên
    • Thực tế thì hầu hết các dự án hiện nay đều có chứa mã do AI tạo ra ở mức độ nào đó
      Chỉ là ở đây họ công khai phần cấu hình đó mà thôi
    • Có câu “những thay đổi rất đơn giản thì không cần unit test”, và nếu không định nghĩa rõ những quy tắc ngoại lệ kiểu này thì LLM thường không thể tự trực giác làm đúng

  • Tôi từng thắc mắc ‘Library OS’ là gì

    • Đó là cấu trúc trong đó các giao diện do OS cung cấp trước đây (syscall, ioctl, v.v.) được liên kết trực tiếp vào ứng dụng dưới dạng thư viện
      Tức là chức năng của OS được tích hợp vào không gian địa chỉ của ứng dụng, còn giao diện bên ngoài được đổi thành truy cập phần cứng hoặc hypercall
      Unikernel hoạt động theo cách này, và theo nghĩa rộng thì Wine cũng có thể được xem là một Library OS
      Ví dụ, có thể liên kết ứng dụng Linux với LiteBox để chạy trên SEV-SNP, hoặc chạy OP-TEE TA trên Linux
      Điểm cốt lõi là thay vì phải audit hàng trăm syscall POSIX, người ta đơn giản hóa nó thành chỉ cần kiểm soát một vài phép toán nguyên thủy của biểu diễn trung gian
    • Nói đơn giản, đây là một sandbox giúp giảm bề mặt tấn công bằng cách liên kết OS như một thư viện và chỉ phơi bày API của hệ thống thực ở dạng rút gọn
    • Có thể tham khảo thêm giải thích trên Wikipedia

  • Nếu phải giải thích cho người ngoài hành tinh về sự khác nhau giữa Library OS và ứng dụng dựa trên kernel, tôi cảm thấy đây là khác biệt rất tinh tế đến mức khó mà giải thích nghiêm túc

    • Nếu là Library OS đúng nghĩa thì không có system call, và nó chạy trong cùng một không gian mà không có phân tách user/kernel space

  • Ban đầu tôi tưởng ‘Library OS’ là hệ điều hành dành cho thư viện

    • Tôi cũng vậy. Tôi còn thoáng hoài niệm về thứ như Dynix ngày xưa
    • Về cơ bản tôi hiểu nó là kiểu nếu liên kết OS vào thì có thể chạy trực tiếp trên supervisor mà không cần một OS riêng
    • Tôi đã nghĩ “OS cho thư viện công cộng nghe thú vị đấy”, nên cũng hơi tiếc khi hóa ra không phải vậy

  • Khái niệm Library OS ban đầu khá lạ, nhưng nghe giải thích xong thì thấy giống Unikernel
    Chương trình chạy trực tiếp trên hypervisor mà không cần lời gọi kernel mode, và LiteBox cũng có thể hoạt động như tiến trình Linux·Windows·BSD

    • Ở một góc nhìn khác, nó giống một sandbox nơi chương trình không dùng OS trực tiếp mà được cô lập chạy trong một giao diện chung
      Tuy vậy vẫn chưa rõ nó dùng ABI riêng hay ABI của host OS
      Đọc mô tả thì cũng hơi có cảm giác đây là một dự án kiểu ‘vibe-coded’

  • Nếu Microsoft dùng LiteBox để cho phép viết driver WFP callout mà không cần ký số thì sẽ khá thú vị
    Nó vẫn sẽ chạy ở kernel mode, nhưng có thể linh hoạt hơn NetworkExtensions của MacOS

  • Tôi thấy tiếc vì không nhắc đến quy trình phát triển dựa trên đặc tả thiết kế và formal verification
    Đây là một thử nghiệm thú vị, nhưng nếu thiếu cách tiếp cận này thì có nguy cơ các lỗ hổng bảo mật từng lặp lại trên Windows lại xuất hiện lần nữa

    • Dạo này dường như có xu hướng tin rằng cứ viết bằng Rust là tự động an toàn

  • Đây là lần đầu tôi nghe khái niệm “Library OS”, nên cũng tò mò không biết gVisor có thuộc nhóm này không
    Nó trông có cấu trúc khá giống, nhưng tôi không chắc có phải cùng một loại chính xác hay không
 
picopress 2026-02-09

Lâu rồi mới tìm được một dự án trông thú vị như vậy