Qubes OS — ориентированная на безопасность настольная операционная система , которая призвана обеспечить безопасность через изоляцию . Виртуализация осуществляется на базе Xen . Пользовательская среда может быть основана на Fedora , Debian , Whonix , Windows и других операционных системах .

16 февраля 2014 года Qubes стал финалистом в премии Access Innovation Prize 2014 в номинации Endpoint Security Solution . Победителем стал Tails , другая ориентированная на безопасность операционная система .

Цели безопасности

Qubes реализует подход «безопасность в изоляции» . Предполагается, что не может быть идеальной, безошибочной среды рабочего стола . Такая среда насчитывает миллионы строк кода , миллиарды программных / аппаратных взаимодействий. Одна критическая ошибка может привести к тому, что вредоносное программное обеспечение возьмёт контроль над машиной .

Чтобы защитить настольный компьютер , пользователь Qubes должен позаботиться о разграничении различных сред, чтобы когда один из компонентов был скомпрометирован, вредоносное ПО получило бы доступ только к данным внутри зараженной среды .

В Qubes изоляция обеспечивается в двух измерениях: аппаратные контроллеры могут быть выделены в функциональные домены (например, сетевые домены, домены контроллера USB ), тогда как цифровая жизнь пользователя определяется в доменах с разным уровнем доверия. Например: рабочая область (наиболее доверенная), домен покупок, случайный домен (менее доверенный) . Каждый из этих доменов запускается на отдельной виртуальной машине .

Qubes не является многопользовательской системой .

Обзор архитектуры системы

Гипервизор Xen и административный домен (Dom0)

Гипервизор обеспечивает изоляцию между виртуальными машинами. Административный домен, также называемый Dom0 (термин, унаследованный от Xen) имеет прямой доступ ко всем аппаратным средствам по умолчанию. Dom0 размещает домен GUI и управляет графическими устройствами, а также устройствами ввода , например, клавиатурой и мышью. Домен GUI также размещает X-сервер , который отображает рабочий стол пользователя и диспетчер окон, который позволяет пользователю запускать и останавливать приложения и управлять их окнами.

Интеграция виртуальных машин обеспечивается через Application Viewer, который создает иллюзию, что приложения выполняются на рабочем столе. На самом деле они размещаются (и изолированы) на разных виртуальных машинах. Qubes объединяет все эти виртуальные машины в одну общую среду рабочего стола.

Поскольку Dom0 чувствителен к безопасности, он изолирован от сети. Как правило, он имеет как можно меньшую связь с другими доменами, чтобы свести к минимуму возможность атаки, происходящей с зараженной виртуальной машины .

Домен Dom0 управляет виртуальными дисками других виртуальных машин, которые фактически хранятся в файлах файловой системы dom0. Место на диске сохраняется благодаря использованию различных виртуальных машин (VM), которые используют одну и ту же корневую файловую систему в режиме только для чтения. Отдельное дисковое хранилище используется только для пользовательских каталогов и настроек для каждой виртуальной машины. Это позволяет централизовать установку и обновление программного обеспечения. Также возможно устанавливать приложения только на выбранную VM, устанавливая их не как суперпользователь или устанавливая их в нестандартный каталог /rw.

Сетевой домен

Сетевой механизм наиболее подвержен внешним атакам. Чтобы избежать этого, он изолирован в отдельной непривилегированной виртуальной машине, называемой Сетевой домен.

Дополнительная виртуальная машина брандмауэра используется для размещения брандмауэра на базе ядра Linux, так что даже если сетевой домен скомпрометирован из-за ошибки драйвера устройства, брандмауэр все ещё изолирован и защищен (поскольку он работает в отдельном ядре Linux в отдельной виртуальной машине).

Виртуальная машина приложений (AppVM)

AppVM — это виртуальные машины, используемые для размещения пользовательских приложений, таких как веб-браузер, почтовый клиент или текстовый редактор . В целях безопасности эти приложения могут быть сгруппированы в разных доменах, таких как «личные», «работа», «покупки», «банк» и так далее. Домены безопасности реализованы как отдельные виртуальные машины (VM), поэтому изолируются друг от друга, как если бы они выполнялись на разных машинах.

Некоторые документы или приложения можно запускать в одноразовых виртуальных машинах с помощью файлового менеджера. Механизм повторяет идею песочницы: после просмотра документа или приложения вся одноразовая виртуальная машина будет уничтожена .

Каждый домен безопасности помечен цветом, и каждое окно помечено цветом домена, к которому он принадлежит. Поэтому всегда хорошо видно, к какой области принадлежит данное окно.

Примечания

Ссылки

• — официальный сайт Qubes OS
• , Sandia National Laboratories, январь 2011 года, Джереми Даниэль Вендт и Макс Джозеф Гизе