M'hemmx ħafna artikli fuq Habré ddedikati għas-sistema operattiva Qubes, u dawk li rajt ma jiddeskrivux ħafna mill-esperjenza tal-użu tagħha. Taħt il-qatgħa, nittama li nikkoreġi dan billi tuża l-eżempju ta 'użu ta' Qubes bħala mezz ta 'protezzjoni (kontra) l-ambjent tal-Windows u, fl-istess ħin, nistma n-numru ta' utenti tas-sistema li jitkellmu bir-Russu.
Għaliex Qubes?
L-istorja tat-tmiem tal-appoġġ tekniku għall-Windows 7 u l-ansjetà dejjem tikber tal-utenti wasslu għall-ħtieġa li jiġi organizzat ix-xogħol ta 'dan l-OS, b'kont meħud tar-rekwiżiti li ġejjin:
- tiżgura l-użu ta 'Windows 7 kompletament attivat bil-kapaċità għall-utent li jinstalla aġġornamenti u applikazzjonijiet varji (inkluż permezz tal-Internet);
- timplimenta esklużjoni sħiħa jew selettiva tal-interazzjonijiet tan-netwerk ibbażati fuq kundizzjonijiet (operat awtonomu u modi ta’ filtrazzjoni tat-traffiku);
- jipprovdu l-abbiltà li jgħaqqdu b'mod selettiv mezzi u apparati li jistgħu jitneħħew.
Dan is-sett ta 'restrizzjonijiet jippresupponi utent ippreparat b'mod ċar, peress li amministrazzjoni indipendenti hija permessa, u r-restrizzjonijiet mhumiex relatati mal-imblukkar tal-azzjonijiet potenzjali tiegħu, iżda għall-esklużjoni ta' żbalji possibbli jew effetti distruttivi tas-softwer. Dawk. M'hemm l-ebda offender intern fil-mudell.
Fit-tfittxija tagħna għal soluzzjoni, malajr abbandunajna l-idea li nimplimentaw ir-restrizzjonijiet bl-użu ta 'għodod tal-Windows integrati jew addizzjonali, peress li huwa pjuttost diffiċli li tirrestrinġi b'mod effettiv utent bi drittijiet ta' amministratur, u ħallieh il-kapaċità li jinstalla applikazzjonijiet.
Is-soluzzjoni li jmiss kienet iżolament bl-użu tal-virtwalizzazzjoni. Għodod magħrufa sew għall-virtwalizzazzjoni tad-desktop (pereżempju, bħal virtualbox) mhumiex adattati ħażin biex isolvu problemi tas-sigurtà u r-restrizzjonijiet elenkati se jkollhom isiru mill-utent billi kontinwament jaqleb jew jaġġusta l-proprjetajiet tal-magna virtwali mistieden (minn hawn 'il quddiem imsejħa bħala VM), li żżid ir-riskju ta’ żbalji.
Fl-istess ħin, kellna esperjenza li nużaw Qubes bħala sistema tad-desktop tal-utent, iżda kellna dubji dwar l-istabbiltà tal-ħidma mal-Windows mistiedna. Ġie deċiż li tiċċekkja l-verżjoni attwali ta 'Qubes, peress li l-limitazzjonijiet iddikjarati jidħlu tajjeb ħafna fil-paradigma ta' din is-sistema, speċjalment l-implimentazzjoni ta 'mudelli ta' magni virtwali u integrazzjoni viżwali. Sussegwentement, se nipprova nitkellem fil-qosor dwar l-ideat u l-għodod ta 'Qubes, billi tuża l-eżempju tas-soluzzjoni tal-problema.
Tipi ta 'virtwalizzazzjoni Xen
Qubes huwa bbażat fuq l-hypervisor Xen, li jimminimizza l-funzjonijiet tal-ġestjoni tar-riżorsi tal-proċessur, il-memorja u l-magni virtwali. Ix-xogħol l-ieħor kollu b'apparat huwa kkonċentrat f'dom0 ibbażat fuq il-kernel tal-Linux (Qubes għal dom0 juża d-distribuzzjoni Fedora).
Xen jappoġġja diversi tipi ta 'virtwalizzazzjoni (se nagħti eżempji għall-arkitettura Intel, għalkemm Xen jappoġġja oħrajn):
- paravirtualization (PV) - mod ta 'virtwalizzazzjoni mingħajr l-użu ta' appoġġ ta 'ħardwer, reminixxenti tal-virtwalizzazzjoni tal-kontenitur, jista' jintuża għal sistemi b'kernel adattat (dom0 topera f'dan il-mod);
- virtwalizzazzjoni sħiħa (HVM) - f'dan il-mod, l-appoġġ tal-ħardwer jintuża għar-riżorsi tal-proċessur, u t-tagħmir l-ieħor kollu jiġi emulat bl-użu ta 'QEMU. Dan huwa l-aktar mod universali biex imexxu diversi sistemi operattivi;
- paravirtualization tal-ħardwer (PVH - ParaVirtualized Hardware) - mod ta 'virtwalizzazzjoni li juża l-appoġġ tal-ħardwer meta, biex jaħdem mal-ħardwer, il-kernel tas-sistema mistieden juża sewwieqa adattati għall-kapaċitajiet tal-hypervisor (per eżempju, memorja kondiviża), telimina l-ħtieġa għall-emulazzjoni QEMU u tiżdied il-prestazzjoni I/O. Il-kernel tal-Linux li jibda minn 4.11 jista 'jaħdem f'dan il-mod.
Nibda b'Qubes 4.0, għal raġunijiet ta' sigurtà, l-użu tal-modalità ta' paravirtwalizzazzjoni huwa abbandunat (inkluż minħabba vulnerabbiltajiet magħrufa fl-arkitettura Intel, li huma parzjalment mitigati bl-użu ta 'virtwalizzazzjoni sħiħa); il-modalità PVH tintuża awtomatikament.
Meta tuża l-emulazzjoni (mod HVM), QEMU jiġi mniedi f'VM iżolat imsejjaħ stubdomain, u b'hekk jitnaqqsu r-riskji li jiġu sfruttati żbalji potenzjali fl-implimentazzjoni (il-proġett QEMU fih ħafna kodiċi, inkluż għall-kompatibilità).
Fil-każ tagħna, din il-modalità għandha tintuża għall-Windows.
Servizz ta' magni virtwali
Fl-arkitettura tas-sigurtà Qubes, waħda mill-kapaċitajiet ewlenin tal-hypervisor hija t-trasferiment ta 'apparati PCI għall-ambjent mistieden. L-esklużjoni tal-hardware tippermettilek tiżola l-parti ospitanti tas-sistema minn attakki esterni. Xen jappoġġja dan għall-modi PV u HVM, fit-tieni każ jeħtieġ appoġġ għal IOMMU (Intel VT-d) - ġestjoni tal-memorja tal-ħardwer għal apparati virtwali.
Dan joħloq diversi magni virtwali tas-sistema:
- sys-net, li għalih jiġu trasferiti apparati tan-netwerk u li jintuża bħala pont għal VMs oħra, pereżempju, dawk li jimplimentaw il-funzjonijiet ta 'firewall jew klijent VPN;
- sys-usb, li lejha jiġu trasferiti USB u kontrolluri ta' apparat periferali oħra;
- sys-firewall, li ma jużax apparat, iżda jaħdem bħala firewall għal VMs konnessi.
Biex taħdem ma 'tagħmir USB, jintużaw servizzi ta' prokura, li jipprovdu, fost affarijiet oħra:
- għall-klassi tal-apparat HID (apparat tal-interface tal-bniedem), li tibgħat kmandi lil dom0;
- għal midja li tista 'titneħħa, direzzjoni mill-ġdid tal-volumi tal-apparat għal VMs oħra (ħlief għal dom0);
- direzzjoni mill-ġdid direttament għal apparat USB (bl-użu ta 'USBIP u għodod ta' integrazzjoni).
F'tali konfigurazzjoni, attakk b'suċċess permezz tal-munzell tan-netwerk jew apparati konnessi jista 'jwassal għall-kompromess tas-servizz VM li jaħdem biss, u mhux is-sistema kollha kemm hi. U wara li terġa 'tibda s-servizz VM, se titgħabba fl-istat oriġinali tagħha.
Għodod ta' integrazzjoni tal-VM
Hemm diversi modi biex jinteraġixxu mad-desktop ta 'magna virtwali - l-installazzjoni ta' applikazzjonijiet fis-sistema mistiedna jew l-emulazzjoni tal-vidjo bl-użu ta 'għodod ta' virtualizzazzjoni. L-applikazzjonijiet tal-mistednin jistgħu jkunu diversi għodod universali ta 'aċċess mill-bogħod (RDP, VNC, Spice, eċċ.) jew adattati għal hypervisor speċifiku (tali għodod normalment jissejħu utilitajiet mistieden). Tista 'tintuża wkoll għażla mħallta, meta l-hypervisor jimita I/O għas-sistema mistieden, u esternament jipprovdi l-abbiltà li juża protokoll li jgħaqqad I/O, pereżempju, bħal Spice. Fl-istess ħin, għodod ta 'aċċess mill-bogħod normalment jottimizzaw l-immaġni, peress li jinvolvu xogħol permezz ta' netwerk, li m'għandux effett pożittiv fuq il-kwalità tal-immaġni.
Qubes jipprovdi l-għodod tiegħu stess għall-integrazzjoni tal-VM. L-ewwelnett, din hija sottosistema tal-grafika - twieqi minn VMs differenti jintwerew fuq desktop wieħed bil-qafas tal-kulur tagħhom stess. B'mod ġenerali, l-għodod ta 'integrazzjoni huma bbażati fuq il-kapaċitajiet tal-hypervisor - memorja kondiviża (tabella ta' għotja Xen), għodod ta 'notifika (kanal tal-avveniment Xen), xenstore ta' ħażna kondiviża u l-protokoll ta 'komunikazzjoni vchan. Bl-għajnuna tagħhom, il-komponenti bażiċi qrexec u qubes-rpc, u servizzi ta 'applikazzjoni huma implimentati - direzzjoni mill-ġdid awdjo jew USB, trasferiment ta' fajls jew kontenut tal-clipboard, eżekuzzjoni ta 'kmandi u tnedija ta' applikazzjonijiet. Huwa possibbli li jiġu stabbiliti politiki li jippermettulek tillimita s-servizzi disponibbli fuq VM. Il-figura hawn taħt hija eżempju tal-proċedura għall-inizjalizzazzjoni tal-interazzjoni ta 'żewġ VMs.
Għalhekk, ix-xogħol fil-VM jitwettaq mingħajr l-użu ta 'netwerk, li jippermetti l-użu sħiħ ta' VMs awtonomi biex tiġi evitata tnixxija ta 'informazzjoni. Pereżempju, dan huwa kif is-separazzjoni tal-operazzjonijiet kriptografiċi (PGP/SSH) hija implimentata, meta ċwievet privati jintużaw f'VMs iżolati u ma jmorrux lil hinn minnhom.
Mudelli, applikazzjoni u VMs ta’ darba
Ix-xogħol kollu tal-utent f'Qubes isir f'magni virtwali. Is-sistema ospitanti prinċipali hija użata biex tikkontrollahom u viżwalizzawhom. L-OS huwa installat flimkien ma' sett bażiku ta' magni virtwali bbażati fuq mudelli (TemplateVM). Dan il-mudell huwa Linux VM ibbażat fuq id-distribuzzjoni Fedora jew Debian, b'għodod ta 'integrazzjoni installati u kkonfigurati, u sistema dedikata u diviżorji għall-utent. L-installazzjoni u l-aġġornament tas-softwer jitwettqu minn maniġer tal-pakketti standard (dnf jew apt) minn repożitorji kkonfigurati b'verifika obbligatorja tal-firma diġitali (GnuPG). L-iskop ta' tali VMs huwa li tiġi żgurata l-fiduċja fil-VMs tal-applikazzjoni mnedija fuq il-bażi tagħhom.
Fl-istartjar, applikazzjoni VM (AppVM) tuża snapshot tal-partizzjoni tas-sistema tal-mudell VM korrispondenti, u mat-tlestija tħassar din snapshot mingħajr ma tissejvja l-bidliet. Id-dejta meħtieġa mill-utent hija maħżuna f'partizzjoni tal-utent unika għal kull VM tal-applikazzjoni, li hija mmuntata fid-direttorju tad-dar.
L-użu ta' VMs li jintremew (disposableVM) jista' jkun utli mil-lat tas-sigurtà. Tali VM tinħoloq ibbażata fuq mudell fil-ħin tal-istartjar u titnieda għal skop wieħed - biex tesegwixxi applikazzjoni waħda, tlesti x-xogħol wara li tingħalaq. VMs li jintremew jistgħu jintużaw biex jiftħu fajls suspettużi li l-kontenut tagħhom jista 'jwassal għall-isfruttament ta' vulnerabbiltajiet speċifiċi ta 'applikazzjoni. Il-ħila li tħaddem VM ta 'darba hija integrata fil-maniġer tal-fajls (Nautilus) u l-klijent tal-email (Thunderbird).
Windows VM jista 'jintuża wkoll biex jinħoloq mudell u VM ta' darba billi tmexxi l-profil tal-utent għal sezzjoni separata. Fil-verżjoni tagħna, mudell bħal dan se jintuża mill-utent għall-kompiti ta 'amministrazzjoni u l-installazzjoni tal-applikazzjoni. Ibbażat fuq il-mudell, se jinħolqu diversi VMs tal-applikazzjoni - b'aċċess limitat għan-netwerk (kapaċitajiet standard tas-sys-firewall) u mingħajr aċċess għan-netwerk xejn (apparat tan-netwerk virtwali ma jinħoloqx). Il-bidliet u l-applikazzjonijiet kollha installati fil-mudell se jkunu disponibbli biex jaħdmu f'dawn il-VMs, u anke jekk jiġu introdotti programmi ta' bookmarks, ma jkollhomx aċċess għan-netwerk għal kompromess.
Ġlieda għall-Windows
Il-karatteristiċi deskritti hawn fuq huma l-bażi ta 'Qubes u jaħdmu b'mod pjuttost stabbli; id-diffikultajiet jibdew bil-Windows. Biex tintegra l-Windows, trid tuża sett ta 'għodod mistiedna Qubes Windows Tools (QWT), li jinkludi sewwieqa biex taħdem ma' Xen, sewwieq qvideo u sett ta 'utilitajiet għall-iskambju ta' informazzjoni (trasferiment ta 'fajls, clipboard). Il-proċess ta 'installazzjoni u konfigurazzjoni huwa dokumentat fid-dettall fuq il-websajt tal-proġett, għalhekk se naqsmu l-esperjenza tal-applikazzjoni tagħna.
Id-diffikultà ewlenija hija essenzjalment in-nuqqas ta 'appoġġ għall-għodod żviluppati. L-Iżviluppaturi Ewlenin (QWT) jidher li mhux disponibbli u l-proġett ta 'integrazzjoni tal-Windows qed jistenna żviluppatur ewlieni. Għalhekk, l-ewwel nett, kien meħtieġ li tiġi vvalutata l-prestazzjoni tagħha u tifhem il-possibbiltà li tiġi appoġġjata b'mod indipendenti, jekk meħtieġ. L-aktar diffiċli biex tiżviluppa u tiddibaggja hija s-sewwieq tal-grafika, li jimita l-adapter tal-vidjo u l-wiri biex jiġġenera immaġni f'memorja kondiviża, li jippermettilek turi d-desktop kollu jew it-tieqa tal-applikazzjoni direttament fit-tieqa tas-sistema ospitanti. Waqt l-analiżi tal-operat tas-sewwieq, adattajna l-kodiċi għall-assemblaġġ f'ambjent Linux u ħdimna skema ta 'debugging bejn żewġ sistemi mistiedna Windows. Fl-istadju ta 'crossbuild, għamilna diversi bidliet li ssimplifikaw l-affarijiet għalina, prinċipalment f'termini ta' installazzjoni "skiet" ta 'utilitajiet, u eliminajna wkoll id-degradazzjoni tedjanti tal-prestazzjoni meta naħdmu f'VM għal żmien twil. Aħna ppreżentajna r-riżultati tax-xogħol f'parti separata , għalhekk mhux għal żmien twil Ċomb Iżviluppatur Qubes.
L-aktar stadju kritiku f'termini ta 'stabbiltà tas-sistema mistiedna huwa l-istartjar tal-Windows, hawn tista' tara l-iskrin blu familjari (jew lanqas tarah). Għal ħafna mill-iżbalji identifikati, kien hemm diversi soluzzjonijiet - l-eliminazzjoni tas-sewwieqa tal-apparat tal-blokk Xen, id-diżattivazzjoni tal-ibbilanċjar tal-memorja VM, l-iffissar tas-settings tan-netwerk, u l-minimizzazzjoni tan-numru ta 'cores. L-għodod mistiedna tagħna jibnu installazzjonijiet u jaħdmu fuq Windows 7 u Windows 10 kompletament aġġornati (ħlief qvideo).
Meta tiċċaqlaq minn ambjent reali għal wieħed virtwali, tqum problema bl-attivazzjoni tal-Windows jekk jintużaw verżjonijiet OEM installati minn qabel. Sistemi bħal dawn jużaw attivazzjoni bbażata fuq liċenzji speċifikati fl-UEFI tal-apparat. Biex tipproċessa b'mod korrett l-attivazzjoni, huwa meħtieġ li tittraduċi waħda mit-taqsimiet ACPI kollha tas-sistema ospitanti (tabella SLIC) għas-sistema mistieden u teditja ftit l-oħrajn, billi tirreġistra l-manifattur. Xen jippermettilek tippersonalizza l-kontenut ACPI ta 'tabelli addizzjonali, iżda mingħajr ma timmodifika dawk ewlenin. Garża minn proġett simili OpenXT, li ġie adattat għal Qubes, għenet fis-soluzzjoni. It-tiswija dehru utli mhux biss għalina u ġew tradotti fir-repożitorju prinċipali ta' Qubes u fil-librerija Libvirt.
L-iżvantaġġi ovvji tal-għodod tal-integrazzjoni tal-Windows jinkludu n-nuqqas ta 'appoġġ għall-awdjo, apparat USB, u l-kumplessità tax-xogħol mal-midja, peress li m'hemm l-ebda appoġġ ta' hardware għall-GPU. Iżda dan ta 'hawn fuq ma jipprevjenix l-użu tal-VM biex taħdem ma' dokumenti tal-uffiċċju, u lanqas ma jipprevjeni t-tnedija ta 'applikazzjonijiet korporattivi speċifiċi.
Ir-rekwiżit li jaqilbu għall-modalità operattiva mingħajr netwerk jew b'netwerk limitat wara l-ħolqien ta 'mudell ta' VM tal-Windows kien issodisfat billi nħolqu l-konfigurazzjonijiet xierqa ta 'VMs tal-applikazzjoni, u l-possibbiltà ta' konnessjoni selettiva ta 'midja li tista' titneħħa ġiet solvuta wkoll b'għodod standard tal-OS - meta konnessi , huma disponibbli fis-sistema VM sys-usb, minn fejn jistgħu jiġu "mgħoddija" lill-VM meħtieġa. Id-desktop tal-utent jidher xi ħaġa bħal din.
Il-verżjoni finali tas-sistema kienet aċċettata b'mod pożittiv (sakemm tippermetti tali soluzzjoni komprensiva) mill-utenti, u l-għodod standard tas-sistema għamluha possibbli li tespandi l-applikazzjoni għall-istazzjon tax-xogħol mobbli tal-utent b'aċċess permezz ta 'VPN.
Minflok ma tikkonkludi
Il-virtwalizzazzjoni b'mod ġenerali tippermettilek tnaqqas ir-riskji tal-użu tas-sistemi Windows li tħallew mingħajr appoġġ - ma tisforzax il-kompatibilità ma 'ħardwer ġdid, tippermettilek teskludi jew tikkontrolla l-aċċess għas-sistema permezz tan-netwerk jew permezz ta' apparati konnessi, u tippermettilek li timplimenta ambjent ta' tnedija ta' darba.
Ibbażat fuq l-idea ta 'iżolament permezz tal-virtwalizzazzjoni, Qubes OS jgħinek tisfrutta dawn u mekkaniżmi oħra għas-sigurtà. Minn barra, ħafna nies jaraw Qubes primarjament bħala xewqa għall-anonimità, iżda hija sistema utli kemm għall-inġiniera, li ħafna drabi juggling proġetti, infrastrutturi u sigrieti biex jaċċessawhom, kif ukoll għar-riċerkaturi tas-sigurtà. Is-separazzjoni tal-applikazzjonijiet, id-dejta u l-formalizzazzjoni tal-interazzjoni tagħhom huma l-passi inizjali tal-analiżi tat-theddid u d-disinn tas-sistema tas-sigurtà. Din is-separazzjoni tgħin biex tiġi strutturata l-informazzjoni u titnaqqas il-probabbiltà ta 'żbalji minħabba l-fattur uman - għaġla, għeja, eċċ.
Bħalissa, l-enfasi ewlenija fl-iżvilupp hija fuq l-espansjoni tal-funzjonalità tal-ambjenti Linux. Verżjoni 4.1 qed titħejja għar-rilaxx, li se tkun ibbażata fuq Fedora 31 u tinkludi verżjonijiet attwali tal-komponenti ewlenin Xen u Libvirt. Ta 'min jinnota li Qubes huwa maħluqa minn professjonisti tas-sigurtà tal-informazzjoni li dejjem jirrilaxxaw aġġornamenti fil-pront jekk jiġu identifikati theddid jew żbalji ġodda.
Wara kelma
Waħda mill-kapaċitajiet sperimentali li qed niżviluppaw tippermettilna noħolqu VMs b'appoġġ għall-aċċess mistieden għall-GPU ibbażat fuq it-teknoloġija Intel GVT-g, li tippermettilna nużaw il-kapaċitajiet tal-adapter tal-grafika u nespandu b'mod sinifikanti l-ambitu tas-sistema. Fiż-żmien tal-kitba, din il-funzjonalità taħdem għal test builds ta' Qubes 4.1, u hija disponibbli fuq .
Sors: www.habr.com