Коришћење КубесОС-а за рад са Виндовс 7

Нема много чланака на Хабреу посвећених Кубес оперативном систему, а они које сам видео не описују много искуства коришћења. Испод реза, надам се да ћу ово исправити на примеру коришћења Кубес-а као средства заштите (од) Виндовс окружења и, истовремено, проценити број корисника система који говоре руски.

Зашто Кубес?

Прича о престанку техничке подршке за Виндовс 7 и све већа узнемиреност корисника довели су до потребе да се рад овог ОС-а организује, узимајући у обзир следеће захтеве:

• обезбедити коришћење потпуно активираног Виндовс 7 са могућношћу да корисник инсталира ажурирања и разне апликације (укључујући и преко Интернета);
• имплементирати потпуно или селективно искључивање мрежних интеракција на основу услова (аутономни рад и режими филтрирања саобраћаја);
• пружају могућност селективног повезивања преносивих медија и уређаја.

Овај скуп ограничења претпоставља јасно припремљеног корисника, јер је независна администрација дозвољена, а ограничења се не односе на блокирање његових потенцијалних радњи, већ на искључивање могућих грешака или деструктивних ефеката софтвера. Оне. У моделу нема унутрашњег преступника.

У потрази за решењем, брзо смо напустили идеју о имплементацији ограничења коришћењем уграђених или додатних Виндовс алата, јер је прилично тешко ефикасно ограничити корисника са администраторским правима, остављајући му могућност да инсталира апликације.

Следеће решење је била изолација помоћу виртуелизације. Познати алати за виртуелизацију десктопа (на пример, као што је виртуелбок) су слабо погодни за решавање безбедносних проблема и наведена ограничења ће корисник морати да ради сталним пребацивањем или прилагођавањем својстава гостујуће виртуелне машине (у даљем тексту као ВМ), што повећава ризик од грешака.

У исто време, имали смо искуства са коришћењем Кубес-а као десктоп система корисника, али смо сумњали у стабилност рада са гостујућим Виндовс-ом. Одлучено је да се провери актуелна верзија Кубес-а, пошто се наведена ограничења веома добро уклапају у парадигму овог система, посебно имплементацију шаблона виртуелних машина и визуелну интеграцију. Затим ћу покушати укратко да говорим о идејама и алатима Кубес-а, користећи пример решавања проблема.

Врсте Ксен виртуелизације

Кубес је заснован на Ксен хипервизору, који минимизира функције управљања ресурсима процесора, меморије и виртуелних машина. Сав остали рад са уређајима концентрисан је у дом0 базираном на Линук кернелу (Кубес за дом0 користи Федора дистрибуцију).

Ксен подржава неколико типова виртуелизације (навешћу примере за Интел архитектуру, иако Ксен подржава друге):

• паравиртуализација (ПВ) - режим виртуелизације без употребе хардверске подршке, који подсећа на виртуелизацију контејнера, може се користити за системе са прилагођеним кернелом (дом0 ради у овом режиму);
• пуна виртуелизација (ХВМ) – у овом режиму се користи хардверска подршка за ресурсе процесора, а сва остала опрема се емулира помоћу КЕМУ. Ово је најуниверзалнији начин за покретање различитих оперативних система;
• паравиртуализација хардвера (ПВХ - ПараВиртуализед Хардваре) - режим виртуелизације који користи хардверску подршку када, за рад са хардвером, језгро гостујућег система користи драјвере прилагођене могућностима хипервизора (на пример, дељена меморија), елиминишући потребу за КЕМУ емулацијом и повећање И/О перформанси. Линук кернел почевши од 4.11 може да ради у овом режиму.

Почевши од Кубес 4.0, из безбедносних разлога, употреба паравиртуализационог режима је напуштена (укључујући и познате рањивости у Интел архитектури, које су делимично ублажене употребом потпуне виртуелизације); ПВХ режим се користи подразумевано.

Када се користи емулација (ХВМ режим), КЕМУ се покреће у изолованом ВМ-у који се зове стубдомаин, чиме се смањује ризик од искоришћавања потенцијалних грешака у имплементацији (КЕМУ пројекат садржи много кода, укључујући и ради компатибилности).
У нашем случају, овај режим би требало да се користи за Виндовс.

Сервис виртуелних машина

У Кубес безбедносној архитектури, једна од кључних могућности хипервизора је пренос ПЦИ уређаја у окружење за госте. Искључивање хардвера вам омогућава да изолујете главни део система од спољних напада. Ксен ово подржава за ПВ и ХВМ режиме, у другом случају захтева подршку за ИОММУ (Интел ВТ-д) - управљање хардверском меморијом за виртуелизоване уређаје.

Ово ствара неколико системских виртуелних машина:

• сис-нет, на који се преносе мрежни уређаји и који се користи као мост за друге ВМ, на пример, оне које имплементирају функције заштитног зида или ВПН клијента;
• сис-усб, на који се преносе УСБ и други контролери периферних уређаја;
• сис-фиревалл, који не користи уређаје, али ради као заштитни зид за повезане ВМ.

За рад са УСБ уређајима користе се прокси услуге које између осталог обезбеђују:

• за класу уређаја ХИД (хуман интерфаце девице), слање команди у дом0;
• за преносиве медије, преусмеравање волумена уређаја на друге ВМ (осим дом0);
• преусмеравање директно на УСБ уређај (користећи УСБИП и алате за интеграцију).

У таквој конфигурацији, успешан напад преко мрежног стека или повезаних уређаја може довести до компромитовања само ВМ сервиса који ради, а не целог система у целини. А након поновног покретања сервисне ВМ, она ће бити учитана у свом оригиналном стању.

Алати за ВМ интеграцију

Постоји неколико начина за интеракцију са радном површином виртуелне машине - инсталирање апликација у гостујући систем или емулација видеа помоћу алата за виртуелизацију. Апликације за госте могу бити различити универзални алати за даљински приступ (РДП, ВНЦ, Спице, итд.) или прилагођени одређеном хипервизору (такви алати се обично називају услужни програми за госте). Мешовита опција се такође може користити, када хипервизор емулира И/О за систем за госте, а екстерно пружа могућност коришћења протокола који комбинује И/О, на пример, као што је Спице. Истовремено, алати за даљински приступ обично оптимизују слику, јер подразумевају рад преко мреже, што не утиче позитивно на квалитет слике.

Кубес пружа сопствене алате за интеграцију ВМ-а. Пре свега, ово је графички подсистем - прозори из различитих ВМ-а се приказују на једној радној површини са сопственим оквиром у боји. Генерално, алати за интеграцију су засновани на могућностима хипервизора – дељеној меморији (Ксен грант табела), алатима за обавештења (Ксен канал догађаја), дељеном складишту кенсторе и комуникационом протоколу вцхан. Уз њихову помоћ имплементиране су основне компоненте крекец и кубес-рпц, те апликацијски сервиси - аудио или УСБ преусмеравање, пренос датотека или садржаја клипборда, извршавање команди и покретање апликација. Могуће је поставити смернице које вам омогућавају да ограничите услуге доступне на ВМ-у. Слика испод је пример процедуре за иницијализацију интеракције две ВМ.

Дакле, рад у ВМ-у се обавља без коришћења мреже, што омогућава потпуну употребу аутономних ВМ-а како би се избегло цурење информација. На пример, овако се спроводи раздвајање криптографских операција (ПГП/ССХ), када се приватни кључеви користе у изолованим ВМ-овима и не иду даље од њих.

Шаблони, апликације и једнократни ВМ

Сав рад корисника у Кубес-у се обавља на виртуелним машинама. Главни систем домаћина се користи за њихову контролу и визуелизацију. ОС је инсталиран заједно са основним скупом виртуелних машина заснованих на шаблонима (ТемплатеВМ). Овај шаблон је Линук ВМ заснован на Федора или Дебиан дистрибуцији, са инсталираним и конфигурисаним алатима за интеграцију и наменским системским и корисничким партицијама. Инсталацију и ажурирање софтвера врши стандардни менаџер пакета (днф или апт) из конфигурисаних спремишта уз обавезну проверу дигиталног потписа (ГнуПГ). Сврха таквих ВМ-а је да обезбеде поверење у ВМ-ове апликација покренуте на њиховој основи.

При покретању, апликација ВМ (АппВМ) користи снимак системске партиције одговарајућег ВМ шаблона, а по завршетку брише овај снимак без чувања промена. Подаци које тражи корисник чувају се на корисничкој партицији јединственој за сваку ВМ апликације, која је монтирана у кућни директоријум.

Коришћење ВМ-а за једнократну употребу (диспосаблеВМ) може бити корисно са безбедносне тачке гледишта. Такав ВМ се креира на основу шаблона у тренутку покретања и покреће се са једном сврхом - да изврши једну апликацију, завршавајући рад након што је затворена. ВМ-ови за једнократну употребу могу се користити за отварање сумњивих датотека чији садржај може довести до искоришћавања одређених рањивости апликација. Могућност покретања једнократног ВМ-а је интегрисана у менаџер датотека (Наутилус) и клијент е-поште (Тхундербирд).

Виндовс ВМ се такође може користити за креирање шаблона и једнократног ВМ-а премештањем корисничког профила у посебан одељак. У нашој верзији, такав шаблон ће корисник користити за административне задатке и инсталацију апликације. На основу шаблона биће креирано неколико апликацијских ВМ – са ограниченим приступом мрежи (стандардне могућности системског заштитног зида) и без приступа мрежи уопште (виртуелни мрежни уређај се не креира). Све промене и апликације инсталиране у шаблону биће доступне за рад у овим ВМ-овима, па чак и ако се уведу програми за обележавање, они неће имати приступ мрежи ради компромитовања.

Борба за Виндовс

Горе описане карактеристике су основа Кубес-а и раде прилично стабилно; потешкоће почињу са Виндовс-ом. Да бисте интегрисали Виндовс, морате користити скуп алата за госте Кубес Виндовс Тоолс (КВТ), који укључује драјвере за рад са Ксен-ом, квидео драјвер и скуп услужних програма за размену информација (пренос датотека, међуспремник). Процес инсталације и конфигурације је детаљно документован на веб страници пројекта, тако да ћемо поделити наше искуство са применом.

Главна потешкоћа је у суштини недостатак подршке за развијене алате. Чини се да кључни програмери (КВТ) нису доступни и пројекат интеграције Виндовс-а чека главног програмера. Због тога је, пре свега, било неопходно проценити њен учинак и формирати разумевање могућности да се, ако је потребно, самостално подржи. Најтежи за развој и отклањање грешака је графички драјвер, који емулира видео адаптер и екран за генерисање слике у дељеној меморији, омогућавајући вам да прикажете целу радну површину или прозор апликације директно у прозору главног система. Током анализе рада драјвера, прилагодили смо код за склапање у Линук окружењу и разрадили шему за отклањање грешака између два Виндовс гостујућа система. У фази унакрсне изградње, направили смо неколико промена које су нам поједноставиле ствари, углавном у смислу „тихе“ инсталације услужних програма, а такође смо елиминисали досадну деградацију перформанси током дугог рада у ВМ-у. Резултате рада представили смо у посебном спремишта, дакле не задуго инспиришући Главни Кубес Девелопер.

Најкритичнија фаза у погледу стабилности гостујућег система је покретање Виндовс-а, овде можете видети познати плави екран (или га чак и не видети). За већину идентификованих грешака постојала су различита решења – елиминисање управљачких програма за блок Ксен, онемогућавање балансирања ВМ меморије, поправљање мрежних подешавања и минимизирање броја језгара. Наши алати за госте се инсталирају и раде на потпуно ажурираним Виндовс 7 и Виндовс 10 (осим квидео-а).

Приликом преласка из реалног у виртуелно окружење, јавља се проблем са активацијом Виндовс-а ако се користе унапред инсталиране ОЕМ верзије. Такви системи користе активацију на основу лиценци наведених у УЕФИ уређаја. Да бисте исправно обрадили активацију, потребно је превести једну од целих АЦПИ секција хост система (СЛИЦ табела) на систем за госте и мало уредити остале, региструјући произвођача. Ксен вам омогућава да прилагодите АЦПИ садржај додатних табела, али без модификације главних. Закрпа из сличног ОпенКСТ пројекта, која је прилагођена за Кубес, помогла је у решењу. Исправке су се чиниле корисним не само нама и преведене су у главно Кубес спремиште и Либвирт библиотеку.

Очигледни недостаци алата за интеграцију Виндовс-а укључују недостатак подршке за аудио, УСБ уређаје и сложеност рада са медијима, пошто не постоји хардверска подршка за ГПУ. Али ово не спречава коришћење ВМ-а за рад са канцеларијским документима, нити спречава покретање специфичних корпоративних апликација.

Захтев за прелазак на радни режим без мреже или са ограниченом мрежом након креирања Виндовс ВМ шаблона испуњен је креирањем одговарајућих конфигурација апликационих ВМ-ова, а могућност селективног повезивања преносивих медија такође је решена стандардним ОС алатима – када је повезан , доступни су у систему ВМ сис-усб, одакле се могу "проследити" потребном ВМ-у. Радна површина корисника изгледа отприлике овако.

Коначна верзија система је позитивно (уколико овакво свеобухватно решење дозвољава) прихваћена од стране корисника, а стандардни алати система омогућили су проширење апликације на мобилну радну станицу корисника са приступом преко ВПН-а.

Уместо закључка

Виртуелизација вам уопштено омогућава да смањите ризике коришћења Виндовс система који су остали без подршке – не намеће компатибилност са новим хардвером, омогућава вам да искључите или контролишете приступ систему преко мреже или преко повезаних уређаја и омогућава вам да имплементирати окружење за једнократно покретање.

Заснован на идеји изолације кроз виртуелизацију, Кубес ОС вам помаже да искористите ове и друге механизме за безбедност. Споља, многи људи Кубес виде првенствено као жељу за анонимношћу, али то је користан систем како за инжењере, који често жонглирају са пројектима, инфраструктурама и тајнама како би им приступили, тако и за истраживаче безбедности. Раздвајање апликација, података и формализација њихове интеракције су почетни кораци анализе претњи и пројектовања безбедносног система. Ово раздвајање помаже у структурирању информација и смањењу вероватноће грешака због људског фактора – журбе, умора итд.

Тренутно је главни нагласак у развоју на проширењу функционалности Линук окружења. Верзија 4.1 се припрема за издавање, која ће бити заснована на Федора 31 и укључивати актуелне верзије кључних компоненти Ксен и Либвирт. Вреди напоменути да Кубес креирају професионалци за безбедност информација који увек одмах објављују ажурирања ако се идентификују нове претње или грешке.

Афтерворд

Једна од експерименталних могућности које развијамо омогућава нам да креирамо ВМ са подршком за гостујући приступ ГПУ-у заснованом на Интел ГВТ-г технологији, што нам омогућава да користимо могућности графичког адаптера и значајно проширимо обим система. У време писања, ова функционалност функционише за тестне верзије Кубес 4.1 и доступна је на гитхуб.

Извор: ввв.хабр.цом