Користење на QubesOS за работа со Windows 7

Нема многу написи на Habré посветени на оперативниот систем Qubes, а оние што ги видов не опишуваат многу од искуството од неговото користење. Под сечењето, се надевам дека ќе го поправам ова користејќи го примерот на користење на Qubes како средство за заштита (против) околината на Windows и, во исто време, ќе го проценам бројот на корисници на системот што зборуваат руски.

Зошто Кубс?

Приказната за крајот на техничката поддршка за Windows 7 и зголемената вознемиреност на корисниците доведе до потреба да се организира работата на овој оперативен систем, земајќи ги предвид следните барања:

• обезбедете употреба на целосно активиран Windows 7 со можност корисникот да инсталира ажурирања и разни апликации (вклучително и преку Интернет);
• спроведување на целосно или селективно исклучување на мрежните интеракции врз основа на услови (автономно работење и режими за филтрирање на сообраќајот);
• обезбедуваат можност за селективно поврзување отстранлив медиум и уреди.

Овој сет на ограничувања претпоставува јасно подготвен корисник, бидејќи е дозволена независна администрација, а ограничувањата не се поврзани со блокирање на неговите потенцијални дејства, туку со исклучување на можни грешки или деструктивни софтверски ефекти. Оние. Во моделот нема внатрешен престапник.

Во нашата потрага по решение, брзо ја напуштивме идејата за спроведување ограничувања со помош на вградени или дополнителни алатки на Windows, бидејќи е доста тешко ефикасно да се ограничи корисникот со администраторски права, оставајќи му можност да инсталира апликации.

Следното решение беше изолација со помош на виртуелизација. Добро познатите алатки за виртуелизација на работната површина (на пример, виртуелната кутија) се слабо прилагодени за решавање на безбедносни проблеми и наведените ограничувања ќе мора да ги направи корисникот со постојано префрлување или прилагодување на својствата на гостинската виртуелна машина (во натамошниот текст: како VM), што го зголемува ризикот од грешки.

Во исто време, имавме искуство со користење на Qubes како десктоп систем на корисникот, но се сомневавме во стабилноста на работата со гостински Windows. Беше одлучено да се провери тековната верзија на Qubes, бидејќи наведените ограничувања многу добро се вклопуваат во парадигмата на овој систем, особено имплементацијата на шаблони за виртуелна машина и визуелната интеграција. Следно, ќе се обидам накратко да зборувам за идеите и алатките на Qubes, користејќи го примерот за решавање на проблемот.

Видови на виртуелизација на Xen

Qubes се базира на хипервизорот Xen, кој ги минимизира функциите на управување со процесорските ресурси, меморијата и виртуелните машини. Целата друга работа со уреди е концентрирана во dom0 врз основа на кернелот Linux (Qubes за dom0 ја користи дистрибуцијата Fedora).

Xen поддржува неколку видови виртуелизација (ќе дадам примери за архитектурата на Intel, иако Xen поддржува други):

• паравиртуелизација (PV) - режим на виртуелизација без употреба на хардверска поддршка, што потсетува на виртуелизација на контејнери, може да се користи за системи со прилагодено јадро (dom0 работи во овој режим);
• целосна виртуелизација (HVM) - во овој режим, хардверската поддршка се користи за ресурсите на процесорот, а целата друга опрема се емулира со помош на QEMU. Ова е најуниверзалниот начин за извршување на различни оперативни системи;
• паравиртуелизација на хардверот (PVH - ParaVirtualized Hardware) - режим на виртуелизација што користи хардверска поддршка кога, за работа со хардвер, кернелот на гостинскиот систем користи драјвери прилагодени на можностите на хипервизорот (на пример, споделена меморија), елиминирајќи ја потребата за QEMU емулација и зголемување на перформансите на В/И. Јадрото на Линукс почнувајќи од 4.11 може да работи во овој режим.

Почнувајќи со Qubes 4.0, од ​​безбедносни причини, употребата на режимот за паравиртуелизација е напуштена (вклучително и поради познатите пропусти во архитектурата на Intel, кои делумно се ублажуваат со употреба на целосна виртуелизација); режимот PVH се користи стандардно.

Кога се користи емулација (HVM режим), QEMU се активира во изолиран VM наречен stubdomain, со што се намалуваат ризиците од искористување на потенцијалните грешки во имплементацијата (проектот QEMU содржи многу код, вклучително и за компатибилност).
Во нашиот случај, овој режим треба да се користи за Windows.

Услужни виртуелни машини

Во безбедносната архитектура Qubes, една од клучните можности на хипервизорот е преносот на PCI уредите во гостинската околина. Исклучувањето на хардверот ви овозможува да го изолирате домаќинот дел од системот од надворешни напади. Xen го поддржува ова за режими PV и HVM, во вториот случај бара поддршка за IOMMU (Intel VT-d) - управување со хардверска меморија за виртуелизирани уреди.

Ова создава неколку системски виртуелни машини:

• sys-net, на кој се префрлаат мрежните уреди и кој се користи како мост за други VM-а, на пример, оние што ги спроведуваат функциите на заштитен ѕид или VPN клиент;
• sys-usb, на кој се префрлаат USB и други контролери на периферни уреди;
• sys-firewall, кој не користи уреди, туку работи како заштитен ѕид за поврзани VM-и.

За работа со USB-уреди се користат прокси-услуги, кои меѓу другото обезбедуваат:

• за класата на уреди HID (уред за човечки интерфејс), испраќање команди до dom0;
• за пренослив медиум, пренасочување на волумените на уредот на други VM (освен за dom0);
• пренасочување директно на USB-уред (со користење USBIP и алатки за интеграција).

Во таква конфигурација, успешен напад преку мрежниот оџак или поврзаните уреди може да доведе до компромис само на вклучената услуга VM, а не на целиот систем како целина. И по рестартирање на услугата VM, таа ќе се вчита во првобитната состојба.

Алатки за интеграција на VM

Постојат неколку начини за интеракција со работната површина на виртуелната машина - инсталирање апликации во системот за гости или емулирање на видео со помош на алатки за виртуелизација. Апликациите за гости може да бидат различни универзални алатки за далечински пристап (RDP, VNC, Spice, итн.) или приспособени на специфичен хипервизор (таквите алатки обично се нарекуваат услуги за гости). Може да се користи и мешана опција, кога хипервизорот емулира I/O за гостинскиот систем и надворешно обезбедува можност за користење протокол кој комбинира I/O, на пример, како Spice. Во исто време, алатките за далечински пристап обично ја оптимизираат сликата, бидејќи тие вклучуваат работа преку мрежа, што нема позитивно влијание врз квалитетот на сликата.

Qubes обезбедува свои алатки за интеграција на VM. Како прво, ова е графички потсистем - прозорците од различни VM се прикажуваат на една работна површина со своја рамка во боја. Општо земено, алатките за интеграција се засноваат на можностите на хипервизорот - споделена меморија (табела за грантови Xen), алатки за известување (канал за настани Xen), заедничко складирање xenstore и протокол за комуникација vchan. Со нивна помош се имплементираат основните компоненти qrexec и qubes-rpc и апликативните услуги - аудио или USB пренасочување, пренос на датотеки или содржини од таблата со исечоци, извршување наредби и стартување апликации. Можно е да поставите политики кои ви дозволуваат да ги ограничите услугите достапни на VM. Сликата подолу е пример за постапката за иницијализирање на интеракцијата на два VM.

Така, работата во VM се изведува без користење на мрежа, што овозможува целосна употреба на автономни VM за да се избегне истекување на информации. На пример, вака се имплементира раздвојувањето на криптографските операции (PGP/SSH), кога приватните клучеви се користат во изолирани VM и не одат подалеку од нив.

Шаблони, апликации и еднократни VMs

Целата корисничка работа во Qubes се врши во виртуелни машини. Главниот систем домаќин се користи за нивно контролирање и визуелизирање. ОС е инсталиран заедно со основен сет на виртуелни машини базирани на шаблони (TemplateVM). Овој шаблон е Linux VM базиран на дистрибуција на Fedora или Debian, со инсталирани и конфигурирани алатки за интеграција и посветени системски и кориснички партиции. Инсталирањето и ажурирањето на софтверот го врши стандарден менаџер на пакети (dnf или apt) од конфигурирани складишта со задолжителна верификација на дигитален потпис (GnuPG). Целта на таквите VM е да се обезбеди доверба во апликациите VM-и кои се лансирани врз нивна основа.

При стартување, апликацијата VM (AppVM) користи слика од системската партиција на соодветниот VM шаблон и по завршувањето ја брише оваа слика без зачувување на промените. Податоците што ги бара корисникот се чуваат во корисничка партиција единствена за секоја апликација VM, која е монтирана во домашниот директориум.

Користењето VM за еднократна употреба (disposableVM) може да биде корисно од безбедносна гледна точка. Таков VM се создава врз основа на шаблон во моментот на стартување и се стартува со една цел - да се изврши една апликација, завршувајќи ја работата откако ќе се затвори. VM-и за еднократна употреба може да се користат за отворање сомнителни датотеки чија содржина може да доведе до експлоатација на одредени пропусти на апликациите. Способноста за водење на еднократна VM е интегрирана во менаџерот на датотеки (Наутилус) и клиентот за е-пошта (Thunderbird).

Windows VM може да се користи и за креирање шаблон и еднократен VM со преместување на корисничкиот профил во посебен дел. Во нашата верзија, таков образец корисникот ќе го користи за административни задачи и инсталација на апликација. Врз основа на шаблонот, ќе се креираат неколку апликациски VM - со ограничен пристап до мрежата (стандардни можности за sys-firewall) и без пристап до мрежата воопшто (виртуелен мрежен уред не е создаден). Сите промени и апликации инсталирани во шаблонот ќе бидат достапни за работа во овие VM-и, па дури и ако се воведат програми за обележувачи, тие нема да имаат пристап до мрежата за компромис.

Борете се за Windows

Карактеристиките опишани погоре се основата на Qubes и работат доста стабилно; тешкотиите започнуваат со Windows. За да го интегрирате Windows, мора да користите збир на алатки за гости Qubes Windows Tools (QWT), кој вклучува двигатели за работа со Xen, драјвер за qvideo и збир на алатки за размена на информации (пренос на датотеки, таблата со исечоци). Процесот на инсталација и конфигурација е детално документиран на веб-страницата на проектот, така што ќе го споделиме нашето искуство со апликацијата.

Главната тешкотија е во суштина недостатокот на поддршка за развиените алатки. Се чини дека Key Developers (QWT) е недостапен и проектот за интеграција на Windows чека водечки развивач. Затоа, пред сè, беше неопходно да се процени неговата изведба и да се формира разбирање за можноста да се поддржи независно, доколку е потребно. Најтешко е да се развие и да се дебагира графичкиот двигател, кој го имитира видео адаптерот и екранот за да генерира слика во споделената меморија, што ви овозможува да ја прикажете целата работна површина или прозорецот на апликацијата директно во прозорецот на системот домаќин. За време на анализата на работата на возачот, го адаптиравме кодот за склопување во околина на Linux и разработивме шема за дебагирање помеѓу два гостински системи на Windows. Во фазата на вкрстена изградба, направивме неколку промени кои ни ги поедноставија работите, главно во смисла на „тивко“ инсталирање на комуналните услуги, а исто така ја елиминиравме досадната деградација на перформансите кога работиме во VM долго време. Резултатите од работата ги презентиравме во посебна складишта, значи не за долго инспиративна Водечки развивач на Qubes.

Најкритичната фаза во однос на стабилноста на системот за гости е стартувањето на Windows, тука можете да го видите познатиот син екран (или дури и да не го видите). За повеќето од идентификуваните грешки, имаше различни решенија - елиминирање на драјверите за блок уредите Xen, оневозможување на балансирање на VM меморијата, поправка на мрежните поставки и минимизирање на бројот на јадра. Нашите алатки за гости градат инсталации и работат на целосно ажурирани Windows 7 и Windows 10 (освен qvideo).

Кога се префрлате од реално во виртуелно опкружување, се јавува проблем со активирање на Windows доколку се користат претходно инсталирани OEM верзии. Таквите системи користат активирање врз основа на лиценците наведени во UEFI на уредот. За правилно процесирање на активацијата, неопходно е да се преведе еден од целокупните ACPI делови на системот домаќин (табела SLIC) на системот за гости и малку да се уреди другите, регистрирајќи го производителот. Xen ви овозможува да ја прилагодите содржината на ACPI на дополнителни табели, но без да ги менувате главните. Во решението помогна лепенка од сличен OpenXT проект, кој беше адаптиран за Qubes. Поправките изгледаа корисни не само за нас и беа преведени во главното складиште на Qubes и библиотеката Libvirt.

Очигледните недостатоци на алатките за интеграција на Windows вклучуваат недостаток на поддршка за аудио, USB-уреди и сложеноста на работата со медиуми, бидејќи нема хардверска поддршка за графичкиот процесор. Но, горенаведеното не ја спречува употребата на VM за работа со канцелариски документи, ниту го спречува лансирањето на специфични корпоративни апликации.

Условот да се префрли на режим на работа без мрежа или со ограничена мрежа по креирањето на шаблон за Windows VM беше исполнет со креирање на соодветни конфигурации на VM-и на апликацијата, а можноста за селективно поврзување на пренослив медиум беше решена и со стандардни оперативни алатки - кога е поврзан , достапни се во системот VM sys-usb, од каде што може да се „препратат“ до бараниот VM. Десктопот на корисникот изгледа вака.

Конечната верзија на системот беше позитивно (колку што дозволува такво сеопфатно решение) прифатена од корисниците, а стандардните алатки на системот овозможија да се прошири апликацијата до мобилната работна станица на корисникот со пристап преку VPN.

Наместо заклучок

Виртуелизацијата генерално ви овозможува да ги намалите ризиците од користење на Windows системи кои останале без поддршка - не ја принудува компатибилноста со нов хардвер, ви овозможува да го исклучите или контролирате пристапот до системот преку мрежата или преку поврзаните уреди и ви овозможува да имплементирајте еднократна средина за лансирање.

Врз основа на идејата за изолација преку виртуелизација, Qubes OS ви помага да ги искористите овие и другите механизми за безбедност. Однадвор, многу луѓе го гледаат Qubes првенствено како желба за анонимност, но тоа е корисен систем и за инженерите, кои често жонглираат со проекти, инфраструктури и тајни за да пристапат до нив, и за истражувачите за безбедност. Одвојувањето на апликациите, податоците и формализирањето на нивната интеракција се почетните чекори на анализата на заканите и дизајнот на безбедносниот систем. Ова раздвојување помага да се структурираат информациите и да се намали веројатноста за грешки поради човечкиот фактор - брзање, замор итн.

Во моментов, главниот акцент во развојот е на проширување на функционалноста на околините на Linux. Се подготвува за издавање верзијата 4.1, која ќе се базира на Fedora 31 и ќе ги вклучува тековните верзии на клучните компоненти Xen и Libvirt. Вреди да се напомене дека Qubes е создаден од професионалци за безбедност на информации кои секогаш навремено објавуваат ажурирања доколку се идентификуваат нови закани или грешки.

Поговор

Една од експерименталните способности што ги развиваме ни овозможува да креираме VM со поддршка за пристап на гостите до графичкиот процесор базиран на технологијата Intel GVT-g, што ни овозможува да ги користиме можностите на графичкиот адаптер и значително да го прошириме опсегот на системот. Во моментот на пишување, оваа функционалност работи за тест-изградби на Qubes 4.1 и е достапна на github.

Извор: www.habr.com