Nach fast vier Jahren Entwicklung wurde das Betriebssystem Qubes 4.1 veröffentlicht, das die Idee der Verwendung eines Hypervisors zur strengen Isolation von Anwendungen und Betriebssystemkomponenten umsetzt (jede Anwendungs- und Systemdienstklasse läuft in separaten virtuellen Maschinen). Für den Betrieb ist ein System mit 6 GB RAM und einem 64-Bit-CPU von Intel oder AMD erforderlich, das die Technologien VT-x mit EPT / AMD-v mit RVI sowie VT-d / AMD IOMMU unterstützt. Idealerweise sollte eine Intel-GPU vorhanden sein (NVIDIA- und AMD-GPUs wurden nicht ausreichend getestet). Die Größe des Installationsabbilds beträgt 6 GB.
In Qubes werden Anwendungen in Klassen unterteilt, je nach Wichtigkeit der verarbeiteten Daten und den zu lösenden Aufgaben. Jede Anwendungsklasse (zum Beispiel Arbeit, Unterhaltung, Bankgeschäfte) sowie Systemdienste (Netzwerkunterstützung, Firewall, Speicherverwaltung, USB-Stack usw.) laufen in separaten virtuellen Maschinen, die mit dem Hypervisor Xen betrieben werden. Diese Anwendungen sind innerhalb eines Arbeitsbereichs zugänglich und werden visuell durch unterschiedliche Fensterrahmenfarben hervorgehoben. Jede Umgebung hat Leserechte auf das zugrunde liegende Root-Dateisystem und den lokalen Speicher, der sich nicht mit dem Speicher anderer Umgebungen überschneidet; zur Interaktion der Anwendungen wird ein spezieller Dienst verwendet.
Als Grundlage für die Erstellung virtueller Umgebungen können die Paketbasen Fedora und Debian verwendet werden. Darüber hinaus unterstützt die Community Vorlagen für Ubuntu, Gentoo und Arch Linux. Der Zugriff auf Anwendungen in einer virtuellen Windows-Maschine ist ebenfalls möglich, und auch die Erstellung virtuellen Maschinen auf Basis von Whonix zur Gewährleistung anonymen Zugriffs über Tor. Die Benutzeroberfläche basiert auf Xfce. Wenn der Benutzer im Menü eine Anwendung startet, wird diese Anwendung in einer bestimmten virtuellen Maschine ausgeführt. Der Inhalt der virtuellen Umgebungen wird durch eine Sammlung von Vorlagen bestimmt.
Wesentliche Änderungen:
- Es wurde die Möglichkeit geschaffen, eine separate GUI-Domain-Umgebung mit Komponenten für den Betrieb der grafischen Benutzeroberfläche zu verwenden. Bisher wurde in virtuellen Umgebungen für jede Klasse von Anwendungen ein separater X-Server, ein vereinfachter Fenstermanager und ein Platzhalter-Grafiktreiber gestartet, der die Ausgabe im Composite-Modus in die Verwaltungsumgebung übertrug, während die Komponenten des Grafikstacks, der Fenstermanager des Hauptarbeitsbereichs, die Bildschirmsteuerung und die Grafiktreiber hauptsächlich in der übergeordneten Verwaltungsumgebung Dom0 ausgeführt wurden. Jetzt können grafikbezogene Funktionen von Dom0 in eine separate GUI-Domain-Umgebung ausgelagert und von den Komponenten zur Systemverwaltung getrennt werden. In Dom0 bleibt nur ein spezieller Hintergrundprozess, um den Zugriff auf bestimmte Speicheradressen bereitzustellen. Die Unterstützung für die GUI-Domain ist derzeit experimentell und standardmäßig nicht aktiviert.
- Die experimentelle Unterstützung für die Audio-Domain wurde hinzugefügt, ein separates Umfeld für die Audioverarbeitung. Server, das es ermöglicht, Komponenten zur Verarbeitung von Audio aus Dom0 zu trennen.
- Ein Hintergrundprozess für qrexec-policy wurde hinzugefügt, sowie ein neues Regelwerk für den RPC-Mechanismus Qrexec, das die Ausführung von Befehlen im Kontext gegebener virtueller Umgebungen ermöglicht. Das Regelwerk von Qrexec definiert, wer, was und wo in Qubes agieren darf. Die neue Version der Regeln bietet ein flexibleres Format, eine signifikante Leistungssteigerung und ein Benachrichtigungssystem, das die Problemdiagnose vereinfacht. Es wurde die Möglichkeit hinzugefügt, Qrexec-Services als Server auszuführen, der über einen Socket zugänglich ist.
- Drei neue Vorlagen für virtuelle Umgebungen basierend auf Gentoo Linux wurden vorgestellt – minimal, mit Xfce und mit GNOME.
- Eine neue Infrastruktur für die Wartung, automatisierte Erstellung und Prüfung zusätzlicher Vorlagen für virtuelle Umgebungen wurde implementiert. Neben Gentoo wird in der Infrastruktur Unterstützung für Vorlagen mit Arch Linux und das Testen des Linux-Kernels bereitgestellt.
- Das System für Erstellung und Test wurde verbessert, Unterstützung für Prüfungen in einem kontinuierlichen Integrationssystem basierend auf GitLab CI wurde hinzugefügt.
- Die Implementierung der Unterstützung für wiederholbare Umgebungsbuilds auf Basis von Debian wurde abgeschlossen. Diese können verwendet werden, um zu bestätigen, dass die Qubes-Komponenten genau aus den angegebenen Quelltexten generiert wurden und keine unerwünschten Änderungen enthalten, die beispielsweise durch einen Angriff auf die Build-Infrastruktur oder einen Compiler-Bug eingeführt werden könnten.
- Die Implementierung der Firewall wurde überarbeitet.
- Die Umgebungen sys-firewall und sys-usb werden nun standardmäßig im "disposable"-Modus gestartet, d.h. sie sind einmalig und können nach Bedarf erstellt werden.
- Die Unterstützung für Bildschirme mit hoher Pixeldichte wurde optimiert.
- Die Unterstützung für verschiedene Cursorformen wurde hinzugefügt.
- Eine Benachrichtigung über unzureichenden Speicherplatz auf der Festplatte wird jetzt ausgegeben.
- Der paranoide Wiederherstellungsmodus für Sicherungen wurde eingeführt, in dem ein einmalig verwendbares virtuelles Umfeld für die Wiederherstellung genutzt wird.
- Im Installer gibt es jetzt die Möglichkeit, zwischen Debian und Fedora für die Vorlagen virtueller Maschinen zu wählen.
- Eine neue grafische Benutzeroberfläche zur Verwaltung von Updates wurde hinzugefügt.
- Das Tool Template Manager wurde hinzugefügt, um Vorlagen zu installieren, zu entfernen und zu aktualisieren.
- Der Mechanismus zur Verbreitung von Vorlagen wurde verbessert.
- Die Basisumgebung Dom0 wurde auf das Paket-Repository Fedora 32 aktualisiert. Die Vorlagen zur Erstellung virtueller Umgebungen wurden auf Fedora 34, Debian 11 und Whonix 16 aktualisiert. Standardmäßig wird der Linux-Kernel 5.10 angeboten. Der Hypervisor Xen 4.14 und die grafische Umgebung Xfce 4.14 wurden aktualisiert.
Quelle: opennet.ru
