QubesOS를 사용하여 Windows 7에서 작업

Qubes 운영 체제에 대한 Habré 관련 기사는 많지 않으며, 내가 본 기사에서는 사용 경험을 많이 설명하지 않습니다. 컷 아래에서는 Windows 환경에 대한 보호 수단으로 Qubes를 사용하는 예를 사용하여 이 문제를 수정하는 동시에 러시아어를 사용하는 시스템 사용자 수를 추정하고 싶습니다.

왜 큐브스인가?

Windows 7에 대한 기술 지원 종료와 사용자의 불안 증가로 인해 다음 요구 사항을 고려하여 이 OS의 작업을 구성해야 했습니다.

• 사용자가 업데이트 및 다양한 응용 프로그램(인터넷 포함)을 설치할 수 있는 기능을 갖춘 완전히 활성화된 Windows 7을 사용하도록 보장합니다.
• 조건(자율 운영 및 트래픽 필터링 모드)에 따라 네트워크 상호 작용을 완전히 또는 선택적으로 제외하도록 구현합니다.
• 이동식 미디어와 장치를 선택적으로 연결하는 기능을 제공합니다.

이 제한 세트는 독립적인 관리가 허용되고 제한이 잠재적인 활동을 차단하는 것이 아니라 가능한 오류나 파괴적인 소프트웨어 효과를 배제하기 때문에 명확하게 준비된 사용자를 전제로 합니다. 저것들. 모델에는 내부 범죄자가 없습니다.

솔루션을 찾을 때 기본 제공 또는 추가 Windows 도구를 사용하여 제한을 구현한다는 아이디어를 빨리 포기했습니다. 관리자 권한이 있는 사용자를 효과적으로 제한하여 응용 프로그램을 설치할 수 있도록 하는 것이 매우 어렵기 때문입니다.

다음 솔루션은 가상화를 사용한 격리였습니다. 데스크톱 가상화를 위한 잘 알려진 도구(예: virtualbox)는 보안 문제 해결에 적합하지 않으며 나열된 제한 사항은 사용자가 게스트 가상 머신의 속성을 지속적으로 전환하거나 조정하여 수행해야 합니다(이하 참조). VM으로) 오류 위험이 증가합니다.

동시에 우리는 Qubes를 사용자의 데스크톱 시스템으로 사용한 경험이 있었지만 게스트 Windows에서 작업하는 안정성에 대해 의구심을 느꼈습니다. 명시된 제한 사항이 이 시스템의 패러다임, 특히 가상 머신 템플릿 구현 및 시각적 통합에 매우 잘 들어맞기 때문에 Qubes의 현재 버전을 확인하기로 결정했습니다. 다음에는 문제 해결 사례를 통해 Qubes의 아이디어와 도구에 대해 간략하게 이야기해 보겠습니다.

Xen 가상화 유형

Qubes는 프로세서 리소스, 메모리 및 가상 머신 관리 기능을 최소화하는 Xen 하이퍼바이저를 기반으로 합니다. 장치에 대한 다른 모든 작업은 Linux 커널을 기반으로 하는 dom0에 집중되어 있습니다(dom0용 Qubes는 Fedora 배포판을 사용합니다).

Xen은 여러 유형의 가상화를 지원합니다(Xen은 다른 아키텍처도 지원하지만 Intel 아키텍처에 대한 예를 제시하겠습니다).

• 반가상화(PV) - 컨테이너 가상화를 연상시키는 하드웨어 지원을 사용하지 않는 가상화 모드는 조정된 커널이 있는 시스템에 사용할 수 있습니다(dom0은 이 모드에서 작동함).
• 전체 가상화(HVM) - 이 모드에서는 하드웨어 지원이 프로세서 리소스에 사용되며 다른 모든 장비는 QEMU를 사용하여 에뮬레이트됩니다. 이는 다양한 운영 체제를 실행하는 가장 보편적인 방법입니다.
• 하드웨어 반가상화(PVH - ParaVirtualized Hardware) - 하드웨어 작업을 위해 게스트 시스템 커널이 하이퍼바이저 기능(예: 공유 메모리)에 적합한 드라이버를 사용하여 QEMU 에뮬레이션이 필요하지 않은 경우 하드웨어 지원을 사용하는 가상화 모드입니다. I/O 성능이 향상됩니다. 4.11부터 시작하는 Linux 커널은 이 모드에서 작동할 수 있습니다.

Qubes 4.0부터는 보안상의 이유로 반가상화 모드 사용이 중단되고(전체 가상화 사용으로 부분적으로 완화되는 Intel 아키텍처의 알려진 취약점 포함) PVH 모드가 기본적으로 사용됩니다.

에뮬레이션(HVM 모드)을 사용할 때 QEMU는 stubdomain이라는 격리된 VM에서 시작되므로 구현 시 잠재적인 오류를 악용할 위험이 줄어듭니다(QEMU 프로젝트에는 호환성을 포함하여 많은 코드가 포함되어 있습니다).
우리의 경우에는 Windows에서 이 모드를 사용해야 합니다.

서비스 가상 머신

Qubes 보안 아키텍처에서 하이퍼바이저의 주요 기능 중 하나는 PCI 장치를 게스트 환경으로 전송하는 것입니다. 하드웨어 제외를 사용하면 시스템의 호스트 부분을 외부 공격으로부터 격리할 수 있습니다. Xen은 PV 및 HVM 모드에 대해 이를 지원하며, 두 번째 경우에는 가상화된 장치에 대한 하드웨어 메모리 관리인 IOMMU(Intel VT-d)에 대한 지원이 필요합니다.

이렇게 하면 여러 시스템 가상 머신이 생성됩니다.

• 네트워크 장치가 전송되고 다른 VM(예: 방화벽 또는 VPN 클라이언트의 기능을 구현하는 VM)에 대한 브리지로 사용되는 sys-net
• USB 및 기타 주변 장치 컨트롤러가 전송되는 sys-usb;
• 장치를 사용하지 않지만 연결된 VM에 대한 방화벽 역할을 하는 sys-firewall입니다.

USB 장치를 사용하려면 다음을 제공하는 프록시 서비스가 사용됩니다.

• HID(휴먼 인터페이스 장치) 장치 클래스의 경우 dom0에 명령을 보냅니다.
• 이동식 미디어의 경우 장치 볼륨을 다른 VM으로 리디렉션(dom0 제외)
• USB 장치로 직접 리디렉션(USBIP 및 통합 도구 사용)

이러한 구성에서 네트워크 스택이나 연결된 장치를 통한 성공적인 공격은 전체 시스템이 아닌 실행 중인 서비스 VM만 손상시킬 수 있습니다. 그리고 서비스 VM을 다시 시작하면 원래 상태로 로드됩니다.

VM 통합 도구

게스트 시스템에 애플리케이션을 설치하거나 가상화 도구를 사용하여 비디오를 에뮬레이션하는 등 가상 머신의 데스크탑과 상호 작용하는 방법에는 여러 가지가 있습니다. 게스트 애플리케이션은 다양한 범용 원격 액세스 도구(RDP, VNC, Spice 등)이거나 특정 하이퍼바이저에 맞게 조정될 수 있습니다(이러한 도구는 일반적으로 게스트 유틸리티라고 함). 하이퍼바이저가 게스트 시스템에 대한 I/O를 에뮬레이션하고 외부적으로 Spice와 같이 I/O를 결합하는 프로토콜을 사용하는 기능을 제공하는 경우 혼합 옵션을 사용할 수도 있습니다. 동시에 원격 액세스 도구는 일반적으로 이미지 품질에 긍정적인 영향을 미치지 않는 네트워크를 통한 작업을 포함하기 때문에 이미지를 최적화합니다.

Qubes는 VM 통합을 위한 자체 도구를 제공합니다. 우선, 이것은 그래픽 하위 시스템입니다. 서로 다른 VM의 창이 고유한 색상 프레임을 사용하여 단일 데스크탑에 표시됩니다. 일반적으로 통합 도구는 공유 메모리(Xen 부여 테이블), 알림 도구(Xen 이벤트 채널), 공유 저장소 xenstore 및 vchan 통신 프로토콜과 같은 하이퍼바이저의 기능을 기반으로 합니다. 도움을 받아 기본 구성 요소 qrexec 및 qubes-rpc와 애플리케이션 서비스(오디오 또는 USB 리디렉션, 파일 또는 클립보드 콘텐츠 전송, 명령 실행 및 애플리케이션 실행)가 구현됩니다. VM에서 사용 가능한 서비스를 제한할 수 있는 정책을 설정할 수 있습니다. 아래 그림은 두 VM의 상호 작용을 초기화하는 절차의 예입니다.

따라서 VM에서의 작업은 네트워크를 사용하지 않고 수행되므로 정보 유출을 방지하기 위해 자율 VM을 최대한 활용할 수 있습니다. 예를 들어, 개인 키가 격리된 VM에서 사용되고 이를 초과하지 않는 경우 암호화 작업 분리(PGP/SSH)가 구현되는 방식입니다.

템플릿, 애플리케이션 및 일회성 VM

Qubes의 모든 사용자 작업은 가상 머신에서 수행됩니다. 메인 호스트 시스템은 이를 제어하고 시각화하는 데 사용됩니다. OS는 기본 템플릿 기반 가상 머신 세트(TemplateVM)와 함께 설치됩니다. 이 템플릿은 통합 도구가 설치 및 구성되고 전용 시스템 및 사용자 파티션이 포함된 Fedora 또는 Debian 배포 기반의 Linux VM입니다. 소프트웨어 설치 및 업데이트는 필수 디지털 서명 확인(GnuPG)을 사용하여 구성된 리포지토리에서 표준 패키지 관리자(dnf 또는 apt)에 의해 수행됩니다. 이러한 VM의 목적은 기반으로 실행되는 애플리케이션 VM에 대한 신뢰를 보장하는 것입니다.

시작 시 AppVM(애플리케이션 VM)은 해당 VM 템플릿의 시스템 파티션 스냅샷을 사용하고, 완료되면 변경 사항을 저장하지 않고 이 스냅샷을 삭제합니다. 사용자에게 필요한 데이터는 홈 디렉토리에 마운트된 각 애플리케이션 VM에 고유한 사용자 파티션에 저장됩니다.

일회용 VM(disposableVM)을 사용하는 것은 보안 관점에서 유용할 수 있습니다. 이러한 VM은 시작 시 템플릿을 기반으로 생성되며 하나의 애플리케이션을 실행하고 애플리케이션을 닫은 후 작업을 완료하는 한 가지 목적으로 시작됩니다. 일회용 VM을 사용하면 특정 애플리케이션 취약점을 악용할 수 있는 콘텐츠가 포함된 의심스러운 파일을 열 수 있습니다. 일회성 VM을 실행하는 기능은 파일 관리자(Nautilus) 및 이메일 클라이언트(Thunderbird)에 통합되었습니다.

Windows VM을 사용하면 사용자 프로필을 별도의 섹션으로 이동하여 템플릿과 일회성 VM을 만들 수도 있습니다. 우리 버전에서는 사용자가 관리 작업 및 애플리케이션 설치를 위해 이러한 템플릿을 사용합니다. 템플릿을 기반으로 네트워크에 대한 액세스가 제한되고(표준 sys-방화벽 기능) 네트워크에 전혀 액세스할 수 없는(가상 네트워크 장치가 생성되지 않음) 여러 애플리케이션 VM이 생성됩니다. 템플릿에 설치된 모든 변경 사항과 애플리케이션은 이러한 VM에서 작동할 수 있으며, 북마크 프로그램이 도입되더라도 손상될 수 있는 네트워크 액세스 권한이 없습니다.

윈도우를 위한 싸움

위에서 설명한 기능은 Qubes의 기본이며 매우 안정적으로 작동하지만 Windows부터 어려움이 시작됩니다. Windows를 통합하려면 Xen 작업용 드라이버, qvideo 드라이버 및 정보 교환용 유틸리티 세트(파일 전송, 클립보드)가 포함된 게스트 도구 Qubes Windows 도구(QWT) 세트를 사용해야 합니다. 설치 및 구성 프로세스는 프로젝트 웹 사이트에 자세히 문서화되어 있으므로 응용 프로그램 경험을 공유하겠습니다.

가장 큰 어려움은 본질적으로 개발된 도구에 대한 지원이 부족하다는 것입니다. 주요 개발자(QWT)는 사용할 수 없는 것으로 보이며 Windows 통합 프로젝트가 수석 개발자를 기다리고 있습니다. 따라서 우선 그 성과를 평가하고, 필요하다면 독립적으로 지원할 수 있는 가능성에 대한 이해를 형성하는 것이 필요했습니다. 개발하고 디버그하기 가장 어려운 것은 비디오 어댑터와 디스플레이를 에뮬레이트하여 공유 메모리에 이미지를 생성하는 그래픽 드라이버입니다. 이를 통해 호스트 시스템 창에 직접 전체 데스크톱이나 응용 프로그램 창을 표시할 수 있습니다. 드라이버 작동을 분석하는 동안 우리는 Linux 환경에서 어셈블리용 코드를 조정하고 두 Windows 게스트 시스템 간의 디버깅 방식을 연구했습니다. 크로스빌드 단계에서 우리는 주로 유틸리티의 "자동" 설치 측면에서 작업을 단순화하고 VM에서 오랫동안 작업할 때 성가신 성능 저하를 제거하는 몇 가지 변경 사항을 적용했습니다. 우리는 작업 결과를 별도로 발표했습니다. 저장소, 따라서 오랫동안은 아니다 영감을주는 수석 Qubes 개발자.

게스트 시스템 안정성 측면에서 가장 중요한 단계는 Windows 시작입니다. 여기서는 친숙한 블루 스크린이 표시되거나 표시되지 않을 수도 있습니다. 확인된 대부분의 오류에는 Xen 블록 장치 드라이버 제거, VM 메모리 밸런싱 비활성화, 네트워크 설정 수정, 코어 수 최소화 등 다양한 해결 방법이 있었습니다. 우리 게스트 도구는 완전히 업데이트된 Windows 7 및 Windows 10(qvideo 제외)에서 설치 및 실행됩니다.

실제 환경에서 가상 환경으로 이동할 때 사전 설치된 OEM 버전을 사용하는 경우 Windows 정품 인증에 문제가 발생합니다. 이러한 시스템은 장치의 UEFI에 지정된 라이선스를 기반으로 활성화를 사용합니다. 활성화를 올바르게 처리하려면 호스트 시스템(SLIC 테이블)의 전체 ACPI 섹션 중 하나를 게스트 시스템으로 변환하고 나머지 부분을 약간 편집하여 제조업체를 등록해야 합니다. Xen을 사용하면 기본 테이블을 수정하지 않고도 추가 테이블의 ACPI 콘텐츠를 사용자 지정할 수 있습니다. Qubes에 맞게 조정된 유사한 OpenXT 프로젝트의 패치가 솔루션에 도움이 되었습니다. 수정 사항은 우리에게만 유용한 것이 아닌 것처럼 보였고 기본 Qubes 저장소와 Libvirt 라이브러리로 번역되었습니다.

Windows 통합 도구의 명백한 단점은 GPU에 대한 하드웨어 지원이 없기 때문에 오디오, USB 장치에 대한 지원이 부족하고 미디어 작업이 복잡하다는 것입니다. 그러나 위의 내용은 Office 문서 작업에 VM을 사용하는 것을 막지 않으며 특정 기업 응용 프로그램의 실행을 막지도 않습니다.

Windows VM 템플릿을 생성한 후 네트워크가 없거나 제한된 네트워크가 있는 작동 모드로 전환해야 하는 요구 사항은 적절한 애플리케이션 VM 구성을 생성하여 충족되었으며, 이동식 미디어를 선택적으로 연결할 수 있는 가능성도 표준 OS 도구를 통해 해결되었습니다. , 필요한 VM으로 "전달"될 수 있는 시스템 VM sys-usb에서 사용할 수 있습니다. 사용자의 데스크탑은 다음과 같습니다.

시스템의 최종 버전은 사용자가 긍정적으로 받아들였으며(포괄적인 솔루션이 허용하는 한) 시스템의 표준 도구를 통해 VPN을 통해 액세스할 수 있는 사용자의 모바일 워크스테이션으로 애플리케이션을 확장할 수 있었습니다.

대신 결론

일반적으로 가상화를 사용하면 지원 없이 Windows 시스템을 사용할 때 발생할 수 있는 위험을 줄일 수 있습니다. 즉, 새로운 하드웨어와의 호환성을 강요하지 않고 네트워크나 연결된 장치를 통해 시스템에 대한 액세스를 제외하거나 제어할 수 있으며 다음을 수행할 수 있습니다. 일회성 실행 환경을 구현합니다.

Qubes OS는 가상화를 통한 격리 아이디어를 기반으로 보안을 위해 이러한 메커니즘과 기타 메커니즘을 활용할 수 있도록 도와줍니다. 외부에서 보면 많은 사람들이 Qubes를 주로 익명성에 대한 욕구로 생각하지만, 이는 종종 프로젝트, 인프라 및 비밀에 접근하기 위해 저글링하는 엔지니어와 보안 연구원 모두에게 유용한 시스템입니다. 애플리케이션, 데이터의 분리 및 상호 작용의 형식화는 위협 분석 및 보안 시스템 설계의 초기 단계입니다. 이러한 분리는 정보를 구조화하고 인적 요인(서두름, 피로 등)으로 인한 오류 가능성을 줄이는 데 도움이 됩니다.

현재 개발에서 가장 중점을 두고 있는 부분은 Linux 환경의 기능 확장입니다. 버전 4.1은 출시 준비 중입니다. 이 버전은 Fedora 31을 기반으로 하며 Xen 및 Libvirt의 주요 구성 요소의 최신 버전을 포함합니다. Qubes는 새로운 위협이나 오류가 식별되면 항상 즉시 업데이트를 릴리스하는 정보 보안 전문가에 의해 만들어졌다는 점은 주목할 가치가 있습니다.

사후

우리가 개발 중인 실험적 기능 중 하나를 사용하면 Intel GVT-g 기술 기반 GPU에 대한 게스트 액세스를 지원하는 VM을 생성할 수 있습니다. 이를 통해 그래픽 어댑터의 기능을 사용하고 시스템 범위를 크게 확장할 수 있습니다. 작성 당시 이 기능은 Qubes 4.1의 테스트 빌드에서 작동하며 다음에서 사용할 수 있습니다. github.

출처 : habr.com