ការប្រើប្រាស់ QubesOS ដើម្បីធ្វើការជាមួយ Windows 7

មិនមានអត្ថបទជាច្រើននៅលើ Habré ឧទ្ទិសដល់ប្រព័ន្ធប្រតិបត្តិការ Qubes ទេ ហើយអត្ថបទដែលខ្ញុំបានឃើញមិនបានពិពណ៌នាអំពីបទពិសោធន៍នៃការប្រើប្រាស់វាច្រើនទេ។ ខាងក្រោមការកាត់នេះ ខ្ញុំសង្ឃឹមថានឹងកែតម្រូវវាដោយប្រើឧទាហរណ៍នៃការប្រើប្រាស់ Qubes ជាមធ្យោបាយការពារ (ប្រឆាំងនឹង) បរិស្ថានវីនដូ ហើយនៅពេលជាមួយគ្នានេះ ប៉ាន់ស្មានចំនួនអ្នកប្រើប្រាស់ដែលនិយាយភាសារុស្សីនៃប្រព័ន្ធ។

ហេតុអ្វី Qubes?

រឿងរ៉ាវនៃការបញ្ចប់នៃការគាំទ្រផ្នែកបច្ចេកទេសសម្រាប់ Windows 7 និងការកើនឡើងនៃការថប់បារម្ភរបស់អ្នកប្រើប្រាស់បាននាំឱ្យមានតម្រូវការក្នុងការរៀបចំការងាររបស់ OS នេះដោយគិតគូរពីតម្រូវការដូចខាងក្រោមៈ

• ធានាបាននូវការប្រើប្រាស់ Windows 7 ដែលបានធ្វើឱ្យសកម្មពេញលេញជាមួយនឹងសមត្ថភាពសម្រាប់អ្នកប្រើប្រាស់ក្នុងការដំឡើងបច្ចុប្បន្នភាព និងកម្មវិធីផ្សេងៗ (រួមទាំងតាមរយៈអ៊ីនធឺណិត)។
• អនុវត្តការបដិសេធទាំងស្រុង ឬជ្រើសរើសនៃអន្តរកម្មបណ្តាញដោយផ្អែកលើលក្ខខណ្ឌ (ប្រតិបត្តិការស្វយ័ត និងរបៀបតម្រងចរាចរណ៍);
• ផ្តល់លទ្ធភាពក្នុងការជ្រើសរើសភ្ជាប់មេឌៀ និងឧបករណ៍ចល័ត។

សំណុំនៃការរឹតបន្តឹងនេះសន្មតថាអ្នកប្រើប្រាស់ដែលបានរៀបចំយ៉ាងច្បាស់លាស់ ចាប់តាំងពីការគ្រប់គ្រងឯករាជ្យត្រូវបានអនុញ្ញាត ហើយការរឹតបន្តឹងមិនទាក់ទងនឹងការទប់ស្កាត់សកម្មភាពដែលអាចកើតមានរបស់គាត់នោះទេ ប៉ុន្តែចំពោះការមិនរាប់បញ្ចូលនូវកំហុសដែលអាចកើតមាន ឬផលប៉ះពាល់ផ្នែកទន់ដែលបំផ្លិចបំផ្លាញ។ ទាំងនោះ។ មិនមានជនល្មើសខាងក្នុងនៅក្នុងគំរូទេ។

ក្នុងការស្វែងរកដំណោះស្រាយ យើងបានបោះបង់ចោលនូវគំនិតនៃការអនុវត្តការរឹតបន្តឹងដោយប្រើឧបករណ៍ Windows ដែលភ្ជាប់មកជាមួយ ឬបន្ថែម ព្រោះវាពិបាកណាស់ក្នុងការដាក់កម្រិតអ្នកប្រើប្រាស់ឱ្យមានប្រសិទ្ធភាពជាមួយនឹងសិទ្ធិជាអ្នកគ្រប់គ្រង ដោយទុកឱ្យគាត់មានលទ្ធភាពដំឡើងកម្មវិធី។

ដំណោះស្រាយបន្ទាប់គឺឯកោដោយប្រើនិម្មិត។ ឧបករណ៍ល្បីសម្រាប់និម្មិតផ្ទៃតុ (ឧទាហរណ៍ដូចជា ប្រអប់និម្មិត) មានភាពសក្តិសមយ៉ាងលំបាកសម្រាប់ការដោះស្រាយបញ្ហាសុវត្ថិភាព ហើយការរឹតបន្តឹងដែលបានរាយបញ្ជីនឹងត្រូវធ្វើឡើងដោយអ្នកប្រើប្រាស់ដោយប្តូរ ឬកែសម្រួលលក្ខណៈសម្បត្តិរបស់ម៉ាស៊ីននិម្មិតភ្ញៀវ (បន្តបន្ទាប់សំដៅទៅ ដូចជា VM) ដែលបង្កើនហានិភ័យនៃកំហុស។

ក្នុងពេលជាមួយគ្នានេះ យើងមានបទពិសោធន៍ប្រើប្រាស់ Qubes ជាប្រព័ន្ធកុំព្យូទ័ររបស់អ្នកប្រើប្រាស់ ប៉ុន្តែមានការសង្ស័យអំពីស្ថេរភាពនៃការធ្វើការជាមួយ Windows ជាភ្ញៀវ។ វាត្រូវបានសម្រេចចិត្តដើម្បីពិនិត្យមើលកំណែបច្ចុប្បន្នរបស់ Qubes ចាប់តាំងពីដែនកំណត់ដែលបានចែងគឺសមយ៉ាងល្អទៅនឹងគំរូនៃប្រព័ន្ធនេះ ជាពិសេសការអនុវត្តគំរូម៉ាស៊ីននិម្មិត និងការរួមបញ្ចូលដែលមើលឃើញ។ បន្ទាប់មក ខ្ញុំនឹងព្យាយាមនិយាយដោយសង្ខេបអំពីគំនិត និងឧបករណ៍របស់ Qubes ដោយប្រើឧទាហរណ៍នៃការដោះស្រាយបញ្ហា។

ប្រភេទនៃ Xen និម្មិត

Qubes គឺផ្អែកលើ Xen hypervisor ដែលកាត់បន្ថយមុខងារនៃការគ្រប់គ្រងធនធានខួរក្បាល អង្គចងចាំ និងម៉ាស៊ីននិម្មិត។ ការងារផ្សេងទៀតទាំងអស់ជាមួយឧបករណ៍ត្រូវបានប្រមូលផ្តុំនៅក្នុង dom0 ដោយផ្អែកលើខឺណែលលីនុច (Qubes សម្រាប់ dom0 ប្រើការចែកចាយ Fedora) ។

Xen គាំទ្រប្រភេទនិម្មិតជាច្រើន (ខ្ញុំនឹងផ្តល់ឧទាហរណ៍សម្រាប់ស្ថាបត្យកម្ម Intel ទោះបីជា Xen គាំទ្រអ្នកដទៃក៏ដោយ)៖

• paravirtualization (PV) - របៀបនិម្មិតដោយមិនចាំបាច់ប្រើផ្នែករឹង ការគាំទ្រ រំឭកពីនិម្មិតកុងតឺន័រ អាចត្រូវបានប្រើសម្រាប់ប្រព័ន្ធដែលមានខឺណែលប្រែប្រួល (dom0 ដំណើរការក្នុងរបៀបនេះ);
• និម្មិតពេញលេញ (HVM) - នៅក្នុងរបៀបនេះ ការគាំទ្រផ្នែករឹងត្រូវបានប្រើសម្រាប់ធនធានដំណើរការ ហើយឧបករណ៍ផ្សេងទៀតទាំងអស់ត្រូវបានត្រាប់តាមដោយប្រើ QEMU ។ នេះគឺជាវិធីសកលបំផុតដើម្បីដំណើរការប្រព័ន្ធប្រតិបត្តិការផ្សេងៗ។
• paravirtualization នៃផ្នែករឹង (PVH - ParaVirtualized Hardware) - របៀបនិម្មិតដោយប្រើជំនួយផ្នែករឹង នៅពេលដែលដើម្បីធ្វើការជាមួយផ្នែករឹង ខឺណែលប្រព័ន្ធភ្ញៀវប្រើកម្មវិធីបញ្ជាដែលសម្របតាមសមត្ថភាពរបស់ hypervisor (ឧទាហរណ៍ អង្គចងចាំរួម) ដោយលុបបំបាត់តម្រូវការសម្រាប់ការត្រាប់តាម QEMU និងបង្កើនប្រសិទ្ធភាព I/O ។ ខឺណែលលីនុចចាប់ផ្តើមពី 4.11 អាចដំណើរការក្នុងរបៀបនេះ។

ចាប់ផ្តើមជាមួយ Qubes 4.0 សម្រាប់ហេតុផលសុវត្ថិភាព ការប្រើប្រាស់មុខងារ paravirtualization ត្រូវបានបោះបង់ចោល (រួមទាំងដោយសារតែភាពងាយរងគ្រោះដែលគេស្គាល់នៅក្នុងស្ថាបត្យកម្ម Intel ដែលត្រូវបានកាត់បន្ថយដោយផ្នែកដោយការប្រើប្រាស់និម្មិតពេញលេញ) របៀប PVH ត្រូវបានប្រើតាមលំនាំដើម។

នៅពេលប្រើការត្រាប់តាម (របៀប HVM) QEMU ត្រូវបានបើកដំណើរការនៅក្នុង VM ដាច់ដោយឡែកដែលហៅថា stubdomain ដោយហេតុនេះកាត់បន្ថយហានិភ័យនៃការទាញយកកំហុសដែលអាចកើតមានក្នុងការអនុវត្ត (គម្រោង QEMU មានកូដជាច្រើន រួមទាំងសម្រាប់ភាពឆបគ្នា)។
ក្នុងករណីរបស់យើង របៀបនេះគួរតែត្រូវបានប្រើសម្រាប់ Windows ។

សេវាកម្មម៉ាស៊ីននិម្មិត

នៅក្នុងស្ថាបត្យកម្មសុវត្ថិភាព Qubes សមត្ថភាពសំខាន់មួយរបស់ hypervisor គឺការផ្ទេរឧបករណ៍ PCI ទៅកាន់បរិយាកាសភ្ញៀវ។ ការមិនរាប់បញ្ចូលផ្នែករឹងអនុញ្ញាតឱ្យអ្នកបំបែកផ្នែកម៉ាស៊ីននៃប្រព័ន្ធពីការវាយប្រហារខាងក្រៅ។ Xen គាំទ្រវាសម្រាប់របៀប PV និង HVM ក្នុងករណីទីពីរវាទាមទារការគាំទ្រសម្រាប់ IOMMU (Intel VT-d) - ការគ្រប់គ្រងអង្គចងចាំផ្នែករឹងសម្រាប់ឧបករណ៍និម្មិត។

វាបង្កើតម៉ាស៊ីននិម្មិតប្រព័ន្ធជាច្រើន៖

• sys-net ដែលឧបករណ៍បណ្តាញត្រូវបានផ្ទេរ និងដែលត្រូវបានប្រើជាស្ពានសម្រាប់ VMs ផ្សេងទៀត ឧទាហរណ៍ ឧបករណ៍ដែលអនុវត្តមុខងាររបស់ជញ្ជាំងភ្លើង ឬម៉ាស៊ីនភ្ញៀវ VPN ។
• sys-usb ដែល USB និងឧបករណ៍បញ្ជាគ្រឿងកុំព្យូទ័រផ្សេងទៀតត្រូវបានផ្ទេរ។
• sys-firewall ដែលមិនប្រើឧបករណ៍ ប៉ុន្តែដំណើរការជា firewall សម្រាប់ VMs ដែលបានភ្ជាប់។

ដើម្បីធ្វើការជាមួយឧបករណ៍ USB សេវាប្រូកស៊ីត្រូវបានប្រើប្រាស់ ដែលផ្តល់ ក្នុងចំណោមរបស់ផ្សេងទៀត៖

• សម្រាប់ថ្នាក់ឧបករណ៍ HID (ឧបករណ៍ចំណុចប្រទាក់មនុស្ស) បញ្ជូនពាក្យបញ្ជាទៅ dom0;
• សម្រាប់មេឌៀដែលអាចដកចេញបាន ការប្តូរទិសនៃបរិមាណឧបករណ៍ទៅកាន់ VMs ផ្សេងទៀត (លើកលែងតែ dom0);
• បញ្ជូនបន្តដោយផ្ទាល់ទៅឧបករណ៍ USB (ដោយប្រើ USBIP និងឧបករណ៍រួមបញ្ចូល)។

នៅក្នុងការកំណត់រចនាសម្ព័ន្ធបែបនេះ ការវាយប្រហារដោយជោគជ័យតាមរយៈបណ្តាញជង់ ឬឧបករណ៍ដែលបានភ្ជាប់អាចនាំឱ្យមានការសម្របសម្រួលនៃសេវាកម្ម VM ដែលកំពុងដំណើរការប៉ុណ្ណោះ មិនមែនប្រព័ន្ធទាំងមូលទាំងមូលនោះទេ។ ហើយបន្ទាប់ពីចាប់ផ្តើមសេវាកម្ម VM ឡើងវិញ វានឹងត្រូវបានផ្ទុកនៅក្នុងស្ថានភាពដើមរបស់វា។

ឧបករណ៍រួមបញ្ចូល VM

មានវិធីជាច្រើនដើម្បីធ្វើអន្តរកម្មជាមួយផ្ទៃតុរបស់ម៉ាស៊ីននិម្មិត - ការដំឡើងកម្មវិធីនៅក្នុងប្រព័ន្ធភ្ញៀវ ឬត្រាប់តាមវីដេអូដោយប្រើឧបករណ៍និម្មិត។ កម្មវិធីភ្ញៀវអាចជាឧបករណ៍ចូលប្រើពីចម្ងាយជាសកលជាច្រើន (RDP, VNC, Spice ។ ជម្រើសចម្រុះក៏អាចត្រូវបានប្រើផងដែរ នៅពេលដែលកម្មវិធីត្រួតពិនិត្យខ្ពស់ធ្វើត្រាប់តាម I/O សម្រាប់ប្រព័ន្ធភ្ញៀវ ហើយខាងក្រៅផ្តល់លទ្ធភាពប្រើប្រាស់ពិធីការដែលរួមបញ្ចូល I/O ឧទាហរណ៍ ដូចជា Spice ជាដើម។ ទន្ទឹមនឹងនេះ ឧបករណ៍ចូលប្រើពីចម្ងាយជាធម្មតាធ្វើឱ្យរូបភាពប្រសើរឡើង ព្រោះវាពាក់ព័ន្ធនឹងការធ្វើការតាមរយៈបណ្តាញ ដែលមិនមានឥទ្ធិពលវិជ្ជមានទៅលើគុណភាពនៃរូបភាព។

Qubes ផ្តល់ឧបករណ៍ផ្ទាល់ខ្លួនរបស់វាសម្រាប់ការរួមបញ្ចូល VM ។ ដំបូងបង្អស់នេះគឺជាប្រព័ន្ធរងក្រាហ្វិក - បង្អួចពី VMs ផ្សេងគ្នាត្រូវបានបង្ហាញនៅលើផ្ទៃតុតែមួយជាមួយនឹងស៊ុមពណ៌ផ្ទាល់ខ្លួនរបស់ពួកគេ។ ជាទូទៅ ឧបករណ៍រួមបញ្ចូលគឺផ្អែកលើសមត្ថភាពរបស់ hypervisor - អង្គចងចាំដែលបានចែករំលែក (តារាងជំនួយ Xen), ឧបករណ៍ជូនដំណឹង (ឆានែលព្រឹត្តិការណ៍ Xen), xenstore ផ្ទុកចែករំលែក និងពិធីការទំនាក់ទំនង vchan ។ ដោយមានជំនួយរបស់ពួកគេ សមាសធាតុមូលដ្ឋាន qrexec និង qubes-rpc និងសេវាកម្មកម្មវិធីត្រូវបានអនុវត្ត - ការបញ្ជូនបន្តអូឌីយ៉ូ ឬ USB ផ្ទេរឯកសារ ឬមាតិកាក្ដារតម្បៀតខ្ទាស់ ប្រតិបត្តិពាក្យបញ្ជា និងបើកដំណើរការកម្មវិធី។ វាអាចធ្វើទៅបានដើម្បីកំណត់គោលការណ៍ដែលអនុញ្ញាតឱ្យអ្នកកំណត់សេវាកម្មដែលមាននៅលើ VM ។ រូបខាងក្រោមគឺជាឧទាហរណ៍នៃនីតិវិធីសម្រាប់ការចាប់ផ្តើមអន្តរកម្មនៃ VMs ពីរ។

ដូច្នេះ ការងារនៅក្នុង VM ត្រូវបានអនុវត្តដោយមិនប្រើបណ្តាញ ដែលអនុញ្ញាតឱ្យប្រើប្រាស់ពេញលេញនៃ VMs ស្វយ័ត ដើម្បីជៀសវាងការលេចធ្លាយព័ត៌មាន។ ឧទាហរណ៍ នេះជារបៀបដែលការបំបែកប្រតិបត្តិការគ្រីបគ្រីប (PGP/SSH) ត្រូវបានអនុវត្ត នៅពេលដែលសោឯកជនត្រូវបានប្រើនៅក្នុង VMs ដាច់ដោយឡែក ហើយកុំហួសពីពួកវា។

គំរូ កម្មវិធី និង VMs តែម្តង

ការងាររបស់អ្នកប្រើទាំងអស់នៅក្នុង Qubes ត្រូវបានធ្វើនៅក្នុងម៉ាស៊ីននិម្មិត។ ប្រព័ន្ធម៉ាស៊ីនមេត្រូវបានប្រើដើម្បីគ្រប់គ្រង និងមើលឃើញពួកវា។ ប្រព័ន្ធប្រតិបត្តិការត្រូវបានដំឡើងរួមជាមួយនឹងសំណុំមូលដ្ឋាននៃម៉ាស៊ីននិម្មិតដែលមានមូលដ្ឋានលើគំរូ (TemplateVM)។ គំរូនេះគឺជាលីនុច VM ផ្អែកលើការចែកចាយ Fedora ឬ Debian ជាមួយនឹងឧបករណ៍រួមបញ្ចូលដែលបានដំឡើង និងកំណត់រចនាសម្ព័ន្ធ និងប្រព័ន្ធដែលខិតខំប្រឹងប្រែង និងភាគថាសអ្នកប្រើប្រាស់។ ការដំឡើង និងការធ្វើបច្ចុប្បន្នភាពកម្មវិធីត្រូវបានអនុវត្តដោយអ្នកគ្រប់គ្រងកញ្ចប់ស្តង់ដារ (dnf ឬ apt) ពីឃ្លាំងដែលបានកំណត់រចនាសម្ព័ន្ធជាមួយនឹងការផ្ទៀងផ្ទាត់ហត្ថលេខាឌីជីថលចាំបាច់ (GnuPG) ។ គោលបំណងនៃ VMs បែបនេះគឺដើម្បីធានាការជឿទុកចិត្តលើកម្មវិធី VMs ដែលបានដាក់ឱ្យដំណើរការនៅលើមូលដ្ឋានរបស់ពួកគេ។

នៅពេលចាប់ផ្តើម កម្មវិធី VM (AppVM) ប្រើរូបថតនៃភាគប្រព័ន្ធនៃគំរូ VM ដែលត្រូវគ្នា ហើយនៅពេលបញ្ចប់ការលុបរូបថតនេះដោយមិនរក្សាទុកការផ្លាស់ប្តូរ។ ទិន្នន័យ​ដែល​អ្នក​ប្រើ​ទាមទារ​ត្រូវ​បាន​រក្សា​ទុក​ក្នុង​ផ្នែក​អ្នក​ប្រើ​តែ​មួយ​គត់​សម្រាប់​កម្មវិធី​នីមួយៗ VM ដែល​ត្រូវ​បាន​ម៉ោន​ក្នុង​ថត​ផ្ទះ។

ការប្រើ VMs ចោល (disposableVM) អាចមានប្រយោជន៍តាមទស្សនៈសុវត្ថិភាព។ VM បែបនេះត្រូវបានបង្កើតឡើងដោយផ្អែកលើគំរូមួយនៅពេលចាប់ផ្តើម ហើយត្រូវបានដាក់ឱ្យដំណើរការសម្រាប់គោលបំណងមួយ - ដើម្បីប្រតិបត្តិកម្មវិធីមួយ បញ្ចប់ការងារបន្ទាប់ពីវាត្រូវបានបិទ។ VMs ដែលអាចចោលបានអាចត្រូវបានប្រើដើម្បីបើកឯកសារគួរឱ្យសង្ស័យដែលមាតិការបស់ពួកគេអាចនាំឱ្យមានការកេងប្រវ័ញ្ចលើភាពងាយរងគ្រោះនៃកម្មវិធីជាក់លាក់។ សមត្ថភាពក្នុងការដំណើរការ VM តែមួយដងត្រូវបានដាក់បញ្ចូលទៅក្នុងកម្មវិធីគ្រប់គ្រងឯកសារ (Nautilus) និងកម្មវិធីអ៊ីមែល (Thunderbird) ។

Windows VM ក៏​អាច​ត្រូវ​បាន​ប្រើ​ដើម្បី​បង្កើត​ពុម្ព​មួយ​និង VM មួយ​ពេល​ដោយ​ការ​ផ្លាស់​ប្តូ​រ​ទម្រង់​អ្នក​ប្រើ​ទៅ​ផ្នែក​ផ្សេង​គ្នា​។ នៅក្នុងកំណែរបស់យើង គំរូបែបនេះនឹងត្រូវបានប្រើដោយអ្នកប្រើប្រាស់សម្រាប់កិច្ចការរដ្ឋបាល និងការដំឡើងកម្មវិធី។ ដោយផ្អែកលើគំរូ កម្មវិធី VMs ជាច្រើននឹងត្រូវបានបង្កើត - ជាមួយនឹងការចូលប្រើបណ្តាញមានកំណត់ (សមត្ថភាព sys-firewall ស្តង់ដារ) និងដោយគ្មានការចូលប្រើបណ្តាញទាល់តែសោះ (ឧបករណ៍បណ្តាញនិម្មិតមិនត្រូវបានបង្កើតទេ)។ ការផ្លាស់ប្តូរ និងកម្មវិធីទាំងអស់ដែលបានដំឡើងនៅក្នុងគំរូនឹងមានសម្រាប់ដំណើរការនៅក្នុង VMs ទាំងនេះ ហើយទោះបីជាកម្មវិធីចំណាំត្រូវបានណែនាំក៏ដោយ ពួកគេនឹងមិនមានសិទ្ធិចូលប្រើបណ្តាញសម្រាប់ការសម្របសម្រួលនោះទេ។

ប្រយុទ្ធសម្រាប់វីនដូ

លក្ខណៈពិសេសដែលបានពិពណ៌នាខាងលើគឺជាមូលដ្ឋាននៃ Qubes ហើយដំណើរការយ៉ាងមានស្ថេរភាព ការលំបាកចាប់ផ្តើមជាមួយ Windows ។ ដើម្បីរួមបញ្ចូលវីនដូ អ្នកត្រូវតែប្រើសំណុំឧបករណ៍ភ្ញៀវ Qubes Windows Tools (QWT) ដែលរួមបញ្ចូលកម្មវិធីបញ្ជាសម្រាប់ធ្វើការជាមួយ Xen កម្មវិធីបញ្ជា qvideo និងសំណុំឧបករណ៍ប្រើប្រាស់សម្រាប់ការផ្លាស់ប្តូរព័ត៌មាន (ការផ្ទេរឯកសារ ក្ដារតម្បៀតខ្ទាស់)។ ដំណើរការដំឡើង និងកំណត់រចនាសម្ព័ន្ធត្រូវបានចងក្រងជាឯកសារលម្អិតនៅលើគេហទំព័រគម្រោង ដូច្នេះយើងនឹងចែករំលែកបទពិសោធន៍កម្មវិធីរបស់យើង។

ការលំបាកចម្បងគឺការខ្វះខាតការគាំទ្រសម្រាប់ឧបករណ៍ដែលបានអភិវឌ្ឍ។ អ្នកអភិវឌ្ឍន៍គន្លឹះ (QWT) ហាក់ដូចជាមិនអាចប្រើបានទេ ហើយគម្រោងការរួមបញ្ចូលវីនដូកំពុងរង់ចាំអ្នកអភិវឌ្ឍន៍នាំមុខ។ ដូច្នេះជាដំបូង ចាំបាច់ត្រូវវាយតម្លៃការអនុវត្តរបស់វា និងបង្កើតការយល់ដឹងអំពីលទ្ធភាពនៃការគាំទ្រវាដោយឯករាជ្យ ប្រសិនបើចាំបាច់។ ការលំបាកបំផុតក្នុងការអភិវឌ្ឍន៍ និងបំបាត់កំហុសគឺកម្មវិធីបញ្ជាក្រាហ្វិក ដែលត្រាប់តាមអាដាប់ទ័រវីដេអូ និងបង្ហាញដើម្បីបង្កើតរូបភាពក្នុងអង្គចងចាំរួម ដែលអនុញ្ញាតឱ្យអ្នកបង្ហាញផ្ទៃតុទាំងមូល ឬបង្អួចកម្មវិធីដោយផ្ទាល់នៅក្នុងបង្អួចប្រព័ន្ធម៉ាស៊ីន។ ក្នុងអំឡុងពេលនៃការវិភាគនៃប្រតិបត្តិការរបស់អ្នកបើកបរ យើងបានកែសម្រួលកូដសម្រាប់ការជួបប្រជុំគ្នានៅក្នុងបរិយាកាសលីនុច ហើយបានធ្វើការចេញនូវគម្រោងបំបាត់កំហុសរវាងប្រព័ន្ធភ្ញៀវ Windows ពីរ។ នៅដំណាក់កាល crossbuild យើងបានធ្វើការផ្លាស់ប្តូរជាច្រើនដែលធ្វើអោយអ្វីៗងាយស្រួលសម្រាប់យើង ជាចម្បងនៅក្នុងលក្ខខណ្ឌនៃការដំឡើងឧបករណ៍ប្រើប្រាស់ "ស្ងាត់" ហើយក៏បានលុបបំបាត់ការចុះខ្សោយនៃការអនុវត្តនៅពេលធ្វើការនៅក្នុង VM រយៈពេលយូរផងដែរ។ យើងបានបង្ហាញលទ្ធផលនៃការងារដោយឡែកពីគ្នា។ ឃ្លាំងដូច្នេះមិនយូរប៉ុន្មានទេ។ ការ​បំផុសគំនិត នាំមុខអ្នកអភិវឌ្ឍន៍ Qubes ។

ដំណាក់កាលដ៏សំខាន់បំផុតទាក់ទងនឹងស្ថេរភាពប្រព័ន្ធភ្ញៀវគឺការចាប់ផ្តើមនៃវីនដូ នៅទីនេះអ្នកអាចឃើញអេក្រង់ពណ៌ខៀវដែលធ្លាប់ស្គាល់ (ឬសូម្បីតែមើលមិនឃើញ) ។ សម្រាប់កំហុសភាគច្រើនដែលបានកំណត់ មានដំណោះស្រាយផ្សេងៗ - ការលុបបំបាត់កម្មវិធីបញ្ជាឧបករណ៍ប្លុក Xen ការបិទតុល្យភាពអង្គចងចាំ VM ជួសជុលការកំណត់បណ្តាញ និងកាត់បន្ថយចំនួនស្នូល។ ឧបករណ៍ភ្ញៀវរបស់យើងបង្កើតការដំឡើង និងដំណើរការលើ Windows 7 និង Windows 10 ដែលបានអាប់ដេតពេញលេញ (លើកលែងតែ qvideo)។

នៅពេលផ្លាស់ប្តូរពីបរិយាកាសពិតទៅនិម្មិត បញ្ហាកើតឡើងជាមួយនឹងការធ្វើឱ្យ Windows សកម្ម ប្រសិនបើកំណែ OEM ដែលបានដំឡើងជាមុនត្រូវបានប្រើ។ ប្រព័ន្ធបែបនេះប្រើការធ្វើឱ្យសកម្មដោយផ្អែកលើអាជ្ញាប័ណ្ណដែលបានបញ្ជាក់នៅក្នុង UEFI របស់ឧបករណ៍។ ដើម្បីដំណើរការការធ្វើឱ្យសកម្មបានត្រឹមត្រូវ វាចាំបាច់ក្នុងការបកប្រែផ្នែក ACPI ទាំងមូលនៃប្រព័ន្ធម៉ាស៊ីន (តារាង SLIC) ទៅកាន់ប្រព័ន្ធភ្ញៀវ ហើយកែសម្រួលផ្នែកផ្សេងទៀតបន្តិច ដោយចុះឈ្មោះក្រុមហ៊ុនផលិត។ Xen អនុញ្ញាតឱ្យអ្នកប្ដូរមាតិកា ACPI នៃតារាងបន្ថែមតាមបំណង ប៉ុន្តែដោយមិនកែប្រែធាតុសំខាន់ៗ។ បំណះពីគម្រោង OpenXT ស្រដៀងគ្នាដែលត្រូវបានកែសម្រួលសម្រាប់ Qubes បានជួយជាមួយនឹងដំណោះស្រាយ។ ការជួសជុលហាក់ដូចជាមានប្រយោជន៍មិនត្រឹមតែចំពោះយើងទេ ហើយត្រូវបានបកប្រែទៅក្នុងឃ្លាំង Qubes សំខាន់ និងបណ្ណាល័យ Libvirt ។

គុណវិបត្តិជាក់ស្តែងនៃឧបករណ៍ធ្វើសមាហរណកម្ម Windows រួមមានកង្វះការគាំទ្រសម្រាប់អូឌីយ៉ូ ឧបករណ៍ USB និងភាពស្មុគស្មាញនៃការធ្វើការជាមួយប្រព័ន្ធផ្សព្វផ្សាយ ដោយសារមិនមានការគាំទ្រផ្នែករឹងសម្រាប់ GPU ។ ប៉ុន្តែខាងលើមិនរារាំងការប្រើប្រាស់ VM សម្រាប់ធ្វើការជាមួយឯកសារការិយាល័យ ហើយក៏មិនរារាំងការបើកដំណើរការកម្មវិធីសាជីវកម្មជាក់លាក់ដែរ។

តម្រូវការដើម្បីប្តូរទៅរបៀបប្រតិបត្តិការដោយគ្មានបណ្តាញ ឬជាមួយបណ្តាញមានកំណត់ បន្ទាប់ពីបង្កើតគំរូ Windows VM ត្រូវបានបំពេញដោយការបង្កើតការកំណត់រចនាសម្ព័ន្ធសមស្របនៃកម្មវិធី VMs ហើយលទ្ធភាពនៃការជ្រើសរើសការតភ្ជាប់មេឌៀចល័តក៏ត្រូវបានដោះស្រាយដោយឧបករណ៍ស្តង់ដារ OS - នៅពេលភ្ជាប់ ពួកវាមាននៅក្នុងប្រព័ន្ធ VM sys-usb ពីកន្លែងដែលពួកគេអាច "បញ្ជូនបន្ត" ទៅ VM ដែលត្រូវការ។ ផ្ទៃតុរបស់អ្នកប្រើមើលទៅដូចនេះ។

កំណែចុងក្រោយនៃប្រព័ន្ធមានភាពវិជ្ជមាន (ដូចដែលដំណោះស្រាយដ៏ទូលំទូលាយអនុញ្ញាត) ទទួលយកដោយអ្នកប្រើប្រាស់ ហើយឧបករណ៍ស្តង់ដារនៃប្រព័ន្ធបានធ្វើឱ្យវាអាចធ្វើទៅបានដើម្បីពង្រីកកម្មវិធីទៅកាន់ស្ថានីយការងារចល័តរបស់អ្នកប្រើប្រាស់ដោយមានការចូលប្រើតាមរយៈ VPN ។

ជំនួសឱ្យការសន្និដ្ឋានមួយ

Virtualization ជាទូទៅអនុញ្ញាតឱ្យអ្នកកាត់បន្ថយហានិភ័យនៃការប្រើប្រាស់ប្រព័ន្ធ Windows ដែលទុកចោលដោយគ្មានការគាំទ្រ - វាមិនបង្ខំឱ្យមានភាពឆបគ្នាជាមួយ Hardware ថ្មីទេ វាអនុញ្ញាតឱ្យអ្នកដកចេញ ឬគ្រប់គ្រងការចូលប្រើប្រព័ន្ធតាមរយៈបណ្តាញ ឬតាមរយៈឧបករណ៍ដែលបានភ្ជាប់ ហើយវាអនុញ្ញាតឱ្យអ្នក អនុវត្តបរិយាកាសបើកដំណើរការតែម្តង។

ដោយផ្អែកលើគំនិតនៃភាពឯកោតាមរយៈនិម្មិត Qubes OS ជួយអ្នកឱ្យប្រើប្រាស់យន្តការទាំងនេះ និងយន្តការផ្សេងទៀតសម្រាប់សុវត្ថិភាព។ ពីខាងក្រៅ មនុស្សជាច្រើនមើលឃើញថា Qubes ជាចម្បងជាបំណងប្រាថ្នាសម្រាប់អនាមិក ប៉ុន្តែវាជាប្រព័ន្ធដ៏មានប្រយោជន៍ទាំងសម្រាប់វិស្វករ ដែលជារឿយៗលេងសើចលើគម្រោង ហេដ្ឋារចនាសម្ព័ន្ធ និងអាថ៌កំបាំងដើម្បីចូលប្រើពួកវា និងសម្រាប់អ្នកស្រាវជ្រាវសន្តិសុខ។ ការបំបែកកម្មវិធី ទិន្នន័យ និងការធ្វើអន្តរកម្មជាផ្លូវការរបស់ពួកគេ គឺជាជំហានដំបូងនៃការវិភាគការគំរាមកំហែង និងការរចនាប្រព័ន្ធសុវត្ថិភាព។ ការបំបែកនេះជួយរៀបចំរចនាសម្ព័ន្ធព័ត៌មាន និងកាត់បន្ថយលទ្ធភាពនៃកំហុសដោយសារកត្តាមនុស្ស - ប្រញាប់ អស់កម្លាំង។ល។

បច្ចុប្បន្ន ការសង្កត់ធ្ងន់ចម្បងក្នុងការអភិវឌ្ឍន៍គឺលើការពង្រីកមុខងារនៃបរិស្ថានលីនុច។ កំណែ 4.1 កំពុងត្រូវបានរៀបចំសម្រាប់ការចេញផ្សាយដែលនឹងផ្អែកលើ Fedora 31 និងរួមបញ្ចូលកំណែបច្ចុប្បន្ននៃសមាសធាតុសំខាន់ៗ Xen និង Libvirt ។ គួរកត់សម្គាល់ថា Qubes ត្រូវបានបង្កើតឡើងដោយអ្នកជំនាញផ្នែកសន្តិសុខព័ត៌មាន ដែលតែងតែបញ្ចេញព័ត៌មានថ្មីៗភ្លាមៗ ប្រសិនបើការគំរាមកំហែង ឬកំហុសថ្មីត្រូវបានរកឃើញ។

Afterword

សមត្ថភាពពិសោធន៍មួយដែលយើងកំពុងអភិវឌ្ឍអនុញ្ញាតឱ្យយើងបង្កើត VMs ដោយមានការគាំទ្រសម្រាប់ភ្ញៀវចូលប្រើ GPU ដោយផ្អែកលើបច្ចេកវិទ្យា Intel GVT-g ដែលអនុញ្ញាតឱ្យយើងប្រើសមត្ថភាពរបស់អាដាប់ទ័រក្រាហ្វិក និងពង្រីកវិសាលភាពនៃប្រព័ន្ធយ៉ាងសំខាន់។ នៅពេលសរសេរ មុខងារនេះដំណើរការសម្រាប់ការសាកល្បងបង្កើត Qubes 4.1 ហើយមាននៅលើ GitHub.

ប្រភព: www.habr.com