Използване на QubesOS за работа с Windows 7

В Habré няма много статии, посветени на операционната система Qubes, а тези, които съм виждал, не описват много от опита от използването й. По-долу се надявам да коригирам това, използвайки примера за използване на Qubes като средство за защита (срещу) средата на Windows и в същото време да изчисля броя на рускоезичните потребители на системата.

Защо Qubes?

Историята за края на техническата поддръжка за Windows 7 и нарастващото безпокойство на потребителите доведе до необходимостта от организиране на работата на тази операционна система, като се вземат предвид следните изисквания:

• осигурете използването на напълно активиран Windows 7 с възможност за потребителя да инсталира актуализации и различни приложения (включително чрез интернет);
• прилагане на пълно или селективно изключване на мрежови взаимодействия въз основа на условия (автономна работа и режими на филтриране на трафика);
• осигуряват възможност за селективно свързване на сменяеми носители и устройства.

Този набор от ограничения предполага ясно подготвен потребител, тъй като е разрешено независимо администриране и ограниченията не са свързани с блокиране на неговите потенциални действия, а с изключване на възможни грешки или разрушителни софтуерни ефекти. Тези. В модела няма вътрешен нарушител.

В търсенето на решение бързо се отказахме от идеята за прилагане на ограничения с помощта на вградени или допълнителни инструменти на Windows, тъй като е доста трудно ефективно да ограничим потребител с администраторски права, оставяйки му възможността да инсталира приложения.

Следващото решение беше изолация чрез виртуализация. Добре познатите инструменти за виртуализация на десктоп (например като virtualbox) не са подходящи за решаване на проблеми със сигурността и изброените ограничения ще трябва да бъдат направени от потребителя чрез постоянно превключване или коригиране на свойствата на виртуалната машина за гости (наричана по-долу като VM), което увеличава риска от грешки.

В същото време имахме опит с използването на Qubes като настолна система на потребителя, но имахме съмнения относно стабилността на работата с гост Windows. Беше решено да се провери текущата версия на Qubes, тъй като посочените ограничения се вписват много добре в парадигмата на тази система, особено изпълнението на шаблони за виртуални машини и визуална интеграция. След това ще се опитам да говоря накратко за идеите и инструментите на Qubes, като използвам примера за решаване на проблема.

Видове Xen виртуализация

Qubes е базиран на хипервайзора Xen, който минимизира функциите за управление на процесорни ресурси, памет и виртуални машини. Цялата друга работа с устройства е концентрирана в dom0, базирана на ядрото на Linux (Qubes за dom0 използва дистрибуцията на Fedora).

Xen поддържа няколко вида виртуализация (ще дам примери за архитектурата на Intel, въпреки че Xen поддържа други):

• паравиртуализация (PV) - режим на виртуализация без използване на хардуерна поддръжка, напомнящ виртуализация на контейнер, може да се използва за системи с адаптирано ядро ​​(dom0 работи в този режим);
• пълна виртуализация (HVM) - в този режим се използва хардуерна поддръжка за ресурсите на процесора, а цялото останало оборудване се емулира с помощта на QEMU. Това е най-универсалният начин за стартиране на различни операционни системи;
• паравиртуализация на хардуера (PVH - ParaVirtualized Hardware) - режим на виртуализация, използващ хардуерна поддръжка, когато за работа с хардуер ядрото на системата за гости използва драйвери, адаптирани към възможностите на хипервайзора (например споделена памет), елиминирайки необходимостта от QEMU емулация и увеличаване на I/O производителността. Linux ядрото от 4.11 може да работи в този режим.

Започвайки с Qubes 4.0, от съображения за сигурност, използването на режим на паравиртуализация е изоставено (включително поради известни уязвимости в архитектурата на Intel, които са частично смекчени от използването на пълна виртуализация); Режимът PVH се използва по подразбиране.

Когато се използва емулация (HVM режим), QEMU се стартира в изолирана виртуална машина, наречена stubdomain, като по този начин се намаляват рисковете от използване на потенциални грешки при внедряването (проектът QEMU съдържа много код, включително за съвместимост).
В нашия случай този режим трябва да се използва за Windows.

Обслужване на виртуални машини

В архитектурата за сигурност на Qubes една от ключовите възможности на хипервайзора е прехвърлянето на PCI устройства към средата за гости. Хардуерното изключване ви позволява да изолирате хост частта на системата от външни атаки. Xen поддържа това за PV и HVM режими, във втория случай изисква поддръжка за IOMMU (Intel VT-d) - хардуерно управление на паметта за виртуализирани устройства.

Това създава няколко системни виртуални машини:

• sys-net, към който се прехвърлят мрежови устройства и който се използва като мост за други виртуални машини, например такива, които изпълняват функциите на защитна стена или VPN клиент;
• sys-usb, към който се прехвърлят USB и контролери за други периферни устройства;
• sys-firewall, който не използва устройства, но работи като защитна стена за свързани виртуални машини.

За работа с USB устройства се използват прокси услуги, които предоставят, наред с други неща:

• за класа устройства HID (устройство с човешки интерфейс), изпращане на команди до dom0;
• за сменяеми носители, пренасочване на обеми на устройства към други виртуални машини (с изключение на dom0);
• пренасочване директно към USB устройство (използвайки USBIP и инструменти за интеграция).

В такава конфигурация успешна атака през мрежовия стек или свързаните устройства може да доведе до компрометиране само на изпълняваната услуга VM, а не на цялата система като цяло. И след рестартиране на услугата VM, тя ще бъде заредена в първоначалното си състояние.

Инструменти за интегриране на VM

Има няколко начина за взаимодействие с работния плот на виртуална машина - инсталиране на приложения в системата за гости или емулиране на видео с помощта на инструменти за виртуализация. Приложенията за гости могат да бъдат различни универсални инструменти за отдалечен достъп (RDP, VNC, Spice и т.н.) или адаптирани към конкретен хипервизор (такива инструменти обикновено се наричат ​​помощни програми за гости). Може да се използва и смесена опция, когато хипервайзорът емулира I/O за системата за гости и външно предоставя възможност за използване на протокол, който комбинира I/O, например като Spice. В същото време инструментите за отдалечен достъп обикновено оптимизират изображението, тъй като включват работа в мрежа, което не оказва положително влияние върху качеството на изображението.

Qubes предоставя свои собствени инструменти за интегриране на VM. На първо място, това е графична подсистема - прозорци от различни виртуални машини се показват на един работен плот със собствена цветна рамка. Като цяло инструментите за интеграция се основават на възможностите на хипервайзора - споделена памет (Xen grant table), инструменти за уведомяване (Xen event channel), споделено хранилище xenstore и vchan комуникационен протокол. С тяхна помощ се реализират основните компоненти qrexec и qubes-rpc и приложни услуги - аудио или USB пренасочване, прехвърляне на файлове или съдържание на клипборда, изпълнение на команди и стартиране на приложения. Възможно е да зададете правила, които ви позволяват да ограничите услугите, налични на VM. Фигурата по-долу е пример за процедурата за инициализиране на взаимодействието на две виртуални машини.

По този начин работата във VM се извършва без използване на мрежа, което позволява пълно използване на автономни VM, за да се избегне изтичане на информация. Например, така се изпълнява разделянето на криптографските операции (PGP/SSH), когато частните ключове се използват в изолирани виртуални машини и не излизат извън тях.

Шаблони, приложения и еднократни виртуални машини

Цялата потребителска работа в Qubes се извършва във виртуални машини. Основната хост система се използва за тяхното управление и визуализация. ОС се инсталира заедно с основен набор от базирани на шаблони виртуални машини (TemplateVM). Този шаблон е виртуална машина на Linux, базирана на дистрибуцията Fedora или Debian, с инсталирани и конфигурирани инструменти за интегриране и специални системни и потребителски дялове. Инсталирането и актуализирането на софтуера се извършва от стандартен мениджър на пакети (dnf или apt) от конфигурирани хранилища със задължителна проверка на цифровия подпис (GnuPG). Целта на такива виртуални машини е да осигурят доверие в стартираните на тяхна база виртуални машини на приложения.

При стартиране VM на приложение (AppVM) използва моментна снимка на системния дял на съответния VM шаблон и след завършване изтрива тази моментна снимка, без да запазва промените. Данните, изисквани от потребителя, се съхраняват в потребителски дял, уникален за всяко приложение VM, който е монтиран в началната директория.

Използването на виртуални машини за еднократна употреба (disposableVM) може да бъде полезно от гледна точка на сигурността. Такава VM се създава на базата на шаблон в момента на стартиране и се стартира с една цел - да изпълни едно приложение, като завърши работата след затварянето му. Виртуалните машини за еднократна употреба могат да се използват за отваряне на подозрителни файлове, чието съдържание може да доведе до използване на специфични уязвимости на приложения. Възможността за стартиране на еднократна виртуална машина е интегрирана във файловия мениджър (Nautilus) и имейл клиента (Thunderbird).

Windows VM може също да се използва за създаване на шаблон и еднократна виртуална машина чрез преместване на потребителския профил в отделен раздел. В нашата версия такъв шаблон ще се използва от потребителя за административни задачи и инсталиране на приложения. Въз основа на шаблона ще бъдат създадени няколко виртуални машини на приложения – с ограничен достъп до мрежата (стандартни възможности на sys-firewall) и без достъп до мрежата изобщо (не се създава виртуално мрежово устройство). Всички промени и приложения, инсталирани в шаблона, ще бъдат достъпни за работа в тези виртуални машини и дори ако бъдат въведени програми за отметки, те няма да имат мрежов достъп за компромис.

Борба за Windows

Описаните по-горе функции са в основата на Qubes и работят доста стабилно; трудностите започват с Windows. За да интегрирате Windows, трябва да използвате набор от инструменти за гости Qubes Windows Tools (QWT), който включва драйвери за работа с Xen, драйвер за qvideo и набор от помощни програми за обмен на информация (прехвърляне на файлове, клипборд). Процесът на инсталиране и конфигуриране е документиран подробно на уебсайта на проекта, така че ще споделим нашия опит с приложението.

Основната трудност е по същество липсата на поддръжка за разработените инструменти. Ключовите разработчици (QWT) изглежда не са налични и проектът за интегриране на Windows очаква водещ разработчик. Следователно, на първо място, беше необходимо да се оцени неговата ефективност и да се формира разбиране за възможността да се поддържа независимо, ако е необходимо. Най-труден за разработка и отстраняване на грешки е графичният драйвер, който емулира видео адаптера и дисплея, за да генерира изображение в споделена памет, което ви позволява да показвате целия работен плот или прозореца на приложението директно в прозореца на хост системата. По време на анализа на работата на драйвера адаптирахме кода за асемблиране в среда на Linux и разработихме схема за отстраняване на грешки между две системи за гости на Windows. На етапа на кръстосано изграждане направихме няколко промени, които опростиха нещата за нас, главно по отношение на „безшумната“ инсталация на помощни програми, а също така елиминираха досадното влошаване на производителността при работа във VM за дълго време. Представихме резултатите от нашата работа в отделен хранилища, следователно не за дълго вдъхновяващ Водещ разработчик на Qubes.

Най-критичният етап по отношение на стабилността на системата за гости е стартирането на Windows, тук можете да видите познатия син екран (или дори да не го видите). За повечето от идентифицираните грешки имаше различни заобиколни решения - елиминиране на драйвери на блокови устройства Xen, деактивиране на балансирането на VM паметта, коригиране на мрежовите настройки и минимизиране на броя на ядрата. Нашите инструменти за гости се инсталират и работят на напълно актуализирани Windows 7 и Windows 10 (с изключение на qvideo).

При преминаване от реална среда към виртуална възниква проблем с активирането на Windows, ако се използват предварително инсталирани OEM версии. Такива системи използват активиране въз основа на лицензи, посочени в UEFI на устройството. За да обработите правилно активирането, е необходимо да преведете един от всички ACPI раздели на хост системата (SLIC таблица) в системата за гости и леко да редактирате останалите, като регистрирате производителя. Xen ви позволява да персонализирате ACPI съдържанието на допълнителни таблици, но без да променяте основните. Пач от подобен OpenXT проект, който беше адаптиран за Qubes, помогна с решението. Корекциите изглеждаха полезни не само за нас и бяха преведени в основното хранилище на Qubes и библиотеката Libvirt.

Очевидните недостатъци на инструментите за интегриране на Windows включват липсата на поддръжка за аудио, USB устройства и сложността на работа с медии, тъй като няма хардуерна поддръжка за GPU. Но горното не пречи на използването на VM за работа с офис документи, нито пречи на стартирането на конкретни корпоративни приложения.

Изискването за преминаване към режим на работа без мрежа или с ограничена мрежа след създаване на Windows VM шаблон беше изпълнено чрез създаване на подходящите конфигурации на виртуални машини на приложения, а възможността за селективно свързване на сменяеми носители също беше решена чрез стандартни OS инструменти - когато е свързан , те са налични в системната VM sys-usb, откъдето могат да бъдат "препратени" към необходимата VM. Работният плот на потребителя изглежда по следния начин.

Окончателната версия на системата беше положително (доколкото позволява такова цялостно решение) приета от потребителите, а стандартните инструменти на системата направиха възможно разширяването на приложението до мобилната работна станция на потребителя с достъп чрез VPN.

Вместо заключение

Виртуализацията като цяло ви позволява да намалите рисковете от използване на Windows системи, оставени без поддръжка - тя не налага съвместимост с нов хардуер, позволява ви да изключите или контролирате достъпа до системата през мрежата или чрез свързани устройства и ви позволява да внедрите среда за еднократно стартиране.

Въз основа на идеята за изолация чрез виртуализация, Qubes OS ви помага да използвате тези и други механизми за сигурност. Отвън много хора виждат Qubes предимно като желание за анонимност, но това е полезна система както за инженери, които често жонглират с проекти, инфраструктури и тайни, за да получат достъп до тях, така и за изследователи по сигурността. Разделянето на приложенията, данните и формализирането на тяхното взаимодействие са началните стъпки в анализа на заплахите и проектирането на системата за сигурност. Това разделяне спомага за структурирането на информацията и намалява вероятността от грешки, дължащи се на човешкия фактор – бързане, умора и др.

В момента основният акцент в разработката е върху разширяването на функционалността на Linux средите. Подготвя се за пускане версия 4.1, която ще бъде базирана на Fedora 31 и ще включва текущите версии на ключовите компоненти Xen и Libvirt. Струва си да се отбележи, че Qubes е създаден от специалисти по информационна сигурност, които винаги своевременно пускат актуализации, ако бъдат идентифицирани нови заплахи или грешки.

послеслов

Една от експерименталните възможности, които разработваме, ни позволява да създаваме виртуални машини с поддръжка за гост достъп до графичния процесор, базиран на технологията Intel GVT-g, което ни позволява да използваме възможностите на графичния адаптер и значително да разширим обхвата на системата. Към момента на писане тази функционалност работи за тестови компилации на Qubes 4.1 и е достъпна на GitHub.

Източник: www.habr.com