The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

10.03.2016 20:49  Релиз ОС Qubes 3.1, использующей виртуализацию для изоляции приложений

Йоанна Рутковская (Joanna Rutkowska) представила выпуск операционной системы Qubes 3.1, реализующей идею использования гипервизора для строгой изоляции приложений и компонентов ОС (каждый класс приложений и системные сервисы работают в отдельных виртуальных машинах). Для загрузки подготовлены установочный образ (4.7 Гб) и экспериментальный Live USB. Для работы необходима система с 4 Гб ОЗУ и 64-разрядным CPU Intel или AMD, желательно с поддержкой технологий VT-x/AMD-v и VT-d/AMD IOMMU.

Приложения в Qubes разделены на классы в зависимости от важности обрабатываемых данных и решаемых задач, каждый класс приложений, а также системные сервисы (сетевая подсистема, работа с хранилищем и т.п.), работают в отдельных виртуальных машинах. При этом указанные приложения бесшовно доступны в рамках одного рабочего стола и выделяются для наглядности разным цветом обрамления окна. Каждое окружение имеет доступ на чтение к базовой корневой ФС и локальному хранилищу, не пересекающемуся с хранилищами других окружений, для организации взаимодействия приложений используется специальный сервис.

В качестве основы для формирования виртуальных окружений может применяться пакетная база Fedora и Debian, также сообществом поддерживаются шаблоны для Whonix, Ubuntu и Arch Linux. Пользовательская оболочка построена на основе KDE. Когда пользователь запускает из меню KDE приложение, это приложение стартует в определенной виртуальной машине. Содержание виртуальных окружений определяется набором шаблонов. В каждом виртуальном окружении приложения запускается отдельный X-сервер, упрощённый оконный менеджер и видеодрайвер-заглушка, транслирующий вывод в управляющее окружение в композитном режиме.

Основные новшества:

  • Реализован управляющий стек на базе инструментария Salt, предоставляющий средства для простой и автоматизированной настройки сложных конфигураций Qubes. Например, для настройки Whonix в Qubes требуется установить два шаблона, создать две виртуальные машины и задать параметры для их выполнения. Много ручной работы также требуется для настройки USB VM и Split GPG. Salt берёт на себя работу по созданию и настройке виртуальных машин, позволяя централизованно управлять настройками всех компонентов системы. Пока возможности Salt ограничиваются dom0 и общесистемными настройками, не поддерживая управление начинкой виртуальных машин (в будущих выпусках ожидаются средства установки дополнительных пакетов внутри VM, управления сервисами и манипуляции шаблонами);
  • При помощи Salt реализован сценарий для быстрого развёртывания системы на базе дистрибутива Whonix. В один клик можно создать VM для шлюза и рабочего окружения Whonix, настроить прокси и проброс USB-мыши. Напомним, что для обеспечения анонимного выхода в сеть в Whonix предлагается использовать два отдельно устанавливаемых компонента - Whonix-Gateway и Whonix-Workstation. Выход в сеть из окружения Whonix-Workstation производится только через шлюз Whonix-Gateway, что изолирует рабочее окружение от прямого взаимодействия с внешним миром и допускает использование только фиктивных сетевых адресов;
  • Улучшен мастер первой установки (firstboot), в котором теперь можно просто выбрать желаемые опции для формирования базовой конфигурации, в том числе создать виртуальные машины для Whonix и USB-стека;
  • Добавлена поддержка UEFI;
  • Сформирована Live-сборка, которая пока имеет качество альфа-выпуска;
  • Обновлены видеодрайверы, работающие на стороне dom0;
  • В состав включены яркие пиктограммы для идентификации окон приложений;
  • Добавлена поддержка PV Grub, позволяющего использовать ядра Linux, установленные внутри виртуальной машины без копирования их на уровень dom0;
  • Наличие готовой для использования виртуальной машины для USB-стека (USB VM), поддерживающей работу с USB-мышами;
  • Гипервизор Xen обновлён до выпуска 4.6;


  1. Главная ссылка к новости (http://blog.invisiblethings.or...)
  2. OpenNews: Релиз ОС Qubes 3, использующей виртуализацию для изоляции приложений
  3. OpenNews: Началось формирование Live-сборок ОС Qubes
  4. OpenNews: Релиз операционной системы Qubes 2, использующей Xen для изоляции приложений
  5. OpenNews: Выпуск Whonix 12, дистрибутива для обеспечения анонимных коммуникаций
Лицензия: CC-BY
Тип: Программы
Ключевые слова: qubes
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.2, commiethebeastie, 21:44, 10/03/2016 [ответить] [смотреть все]
  • –4 +/
    Obscurity is not security.
     
     
  • 2.3, НоНейм, 22:41, 10/03/2016 [^] [ответить] [смотреть все] [показать ветку]
  • +1 +/
    Мне одному её фамилия постоянно ассоциируется с "руткит"?
     
     
  • 3.4, Хуан, 23:11, 10/03/2016 [^] [ответить] [смотреть все]
  • +7 +/
    да
     
  • 3.28, Andrey Mitrofanov, 09:56, 11/03/2016 [^] [ответить] [смотреть все]
  • +/
    Правильный псевдлним И имя Иоан , и женщина Тролит на 89ом уровне одним нико... весь текст скрыт [показать]
     
     
  • 4.29, НоНейм, 10:33, 11/03/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Да, такой ))
     
  • 2.5, Анонимо, 23:21, 10/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    Тогда SSL GNUPG TLS - тоже не секурити, т к шифрование основано на ограниченнос... весь текст скрыт [показать] [показать ветку]
     
  • 2.8, solardiz, 23:47, 10/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +6 +/
    Во-первых, не в тему. Во-вторых, ошибочно:

    Есть такая вещь как OPSEC - https://en.wikipedia.org/wiki/Operations_security - например, рассказав здесь о конфигурации одного из своих лаптопов, я чуть-чуть повысил риск направленных атак. Для меня это осознанный риск. Если бы опубликовал выдачу dmesg со всеми серийными номерами и т.п., повысил бы еще чуть-чуть.

    Выражение security through obscurity имеет своё негативное значение, но правильно употребляется лишь в некоторых контекстах (особенно в отношении дизайна криптографических алгоритмов).

     
     
  • 3.35, Аноним, 14:43, 11/03/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Хорошее, правильное мышление Если известно кто ты и ожидается что атака тебя ве... весь текст скрыт [показать]
     
  • 1.6, solardiz, 23:24, 10/03/2016 [ответить] [смотреть все]  
  • +18 +/
    Недавно тестировал один из 3.1-rc на двух недорогих лаптопах - ASUS K501LB i3-5010U, 8 GB (положительно) и ASUS X551MA N3530, 4 GB (отрицательно, выглядит поправимо напильником, но в любом случае на 4 GB будет тесно). Для загрузки с LiveUSB, и там и там требовалось отключить поддержку USB 3.0 (XHCI) в BIOS setup - известный разработчикам Qubes баг, просто нет драйвера XHCI внутри образа initramfs. Пока не знаю исправили ли его в релизе. Эта проблема затрагивает (затрагивала?) только live-систему. В установленной системе такой проблемы нет, с USB 3.0 работает нормально.

    На K501LB подхватилось всё железо - из коробки работают в том числе такие вещи как suspend (просыпается нормально) и регулировка подсветки клавиатуры, не говоря уже о более важных (на удивление старые/проверенные WiFi Atheros AR5B22-SB, Ethernet Realtek RTL8168/8111, HDMI-выход, звук, яркость экрана). Дискретная графика (NVIDIA 940M) работает с драйвером nouveau до тех пор пока не пытаешься запустить что-нибудь с 3D - тогда виснет. После blacklist'а nouveau, работает с Intel'овой и уже не виснет, но дает где-то 5 FPS для процесса (например, Firefox с blend4web), запущенного внутри одной из VM'ок. Тормозов 2D графики не ощущается - субъективно, работает как и в системе без виртуализации - прокрутка плавная и т.д.

    Время установки не радует - около 25 минут с быстрой флешки (~30 MB/s) на Samsung 850 EVO SSD (~500 MB/s), добавленный в слот M.2 упомянутого K501LB (судя по top во время установки, думаю на HDD ставилось бы почти столько же, т.к. то и дело тормозит об процессор). Поставленная "по умолчанию" система занимает около 15 GB. Время загрузки системы - около минуты (субъективно). Время старта новой VM - около 12 секунд. Всё это - с шифрованного корневого раздела (надеюсь, используется AES-NI). Процессор в данном K501LB минимальный(?) для этой серии - i3-5010U, это 2-х ядерный Broadwell с HT, но без turbo. В под-варианты того же K501LB чуть подороже ставят i5-5200U, который с turbo, и может дать скорость процентов на 20-30 выше (2.7 GHz vs. 2.1 GHz). Медленное время холодного старта компенсируется быстрым стартом процессов в уже один раз запущенных VM - повторно Firefox в VM стартует почти сразу (меньше секунды?), не говоря уже о чем-то полегче вроде терминала в VM, который стартует моментально. Наверное, работающий suspend здесь окажется полезен.

    Если вдруг кто захочет такой лаптоп (под Qubes или еще как), за свою цену (чуть больше 40 тыс. руб. или $550, не считая добавляемого самостоятельно SSD) по-моему он неплох. Думаю, это близко к минимально-разумной конфигурации лаптопа для Qubes. (Дискретная графика лишняя, но подходящих вариантов лаптопов без нее толком нет.) Я не знаю во всех ли вариантах ставят упомянутый Atheros - думаю, это как повезет (в любом случае, этот модуль можно поменять). Вес 1.9 кг (для 15.6" хорошо), зарядник 240 гр включая провод, заряда хватает часа на 3.5. Основные недостатки: плохая матрица (углы обзора, цвета), то и дело включается и слегка шумит один из кулеров без серьезных на то оснований. Лаптопы с 4-ядерными Broadwell'ами обычно имеют и более мощную дискретную графику, что тащит за собой мощный зарядник в 600+ гр и суммарно выходит 2.7+ кг.

     
     
  • 2.7, Michael Shigorin, 23:39, 10/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Спасибо, обстоятельно.
     
  • 2.9, Константавр, 00:38, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Ну, то, что для работы Qubes требуется 4 гига памяти и 64-битный проц - эта шап... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.14, solardiz, 02:10, 11/03/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    Это всё еще соответствует действительности На 4 GB Qubes можно использовать, но... весь текст скрыт [показать]
     
     
  • 4.25, Константавр, 09:40, 11/03/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    Ну, про память, это сильно зависит от применения, да, ядро само по себе уютно ве... весь текст скрыт [показать]
     
  • 2.34, Khariton, 13:06, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Хороший обзор А отдельная виртуализация работает в Кубах Например VirtualBox, ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.48, solardiz, 17:46, 13/03/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    Насчет перечисленных не знаю вернее, QEMU точно сможет работать как минимум в р... весь текст скрыт [показать]
     
  • 1.10, Вареник, 01:46, 11/03/2016 [ответить] [смотреть все]  
  • +/
    Раньше это назвали бы "микрядерной архитектурой" со строгими ограничениями, а теперь - "гипервизор", "виртуализация процессов".
     
     
  • 2.12, Анонимо, 01:56, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    1 ещё 10 лет назад я ломал копья на опеннете же по поводу перспективности архит... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.16, solardiz, 02:47, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    10 лет назад, с точки зрения безопасности, микроядро на PC-архитектуре было не н... весь текст скрыт [показать]
     
     
  • 4.17, Анонимо, 03:32, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Смотрю несколько иначе Разграничить доступность коду только определённой област... весь текст скрыт [показать]
     
     
  • 5.18, solardiz, 04:37, 11/03/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    Да, но не для кода драйверов, либо с точки зрения защиты от классов атак, не при... весь текст скрыт [показать]
     
     
  • 6.20, Анонимо, 07:24, 11/03/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    А вот не совсем см ниже Ну, вобщем, да Счас посмотрел как работает DMA конт... весь текст скрыт [показать]
     
     
  • 7.38, ОШИБКА Отсутствуют данные в поле Name, 15:05, 11/03/2016 [^] [ответить] [смотреть все]  
  • +2 +/
    А теперь повтори смотрение на DMA-контроллеры всех архитектур поддерживаемых Lin... весь текст скрыт [показать]
     
     
  • 8.41, Анонимо, 16:11, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Простота тоже относительна Относительно решаемой задачи - секурити без компроми... весь текст скрыт [показать]
     
     
  • 9.49, Аноним, 02:18, 16/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Безопаснее всего - не включать Или хотя-бы к сети не подключаться, но там уже в... весь текст скрыт [показать]
     
  • 8.42, Анонимо, 16:12, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Да, спасибо за ликбез!
    И картину прояснили и время сэкономили!
     
  • 1.11, Kodir, 01:51, 11/03/2016 [ответить] [смотреть все]  
  • –1 +/
    Изначально тупая затея. Проблема защиты - далеко не высота забора между процессами, а сам принцип, что приложения генерируют файлы - именно так вирус может спокойно бродить по системам, будь они хоть стократно завёрнуты в контейнеры. Написал док-файл, отослал другу - вот тебе транспорт, дорогой вирус! Бороться с этим нереально, это сам принцип взаимодействия людей.
     
     
  • 2.13, Анонимо, 01:58, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Соц инженерия конечно, объемлет техническую безопасность если все будут идиота... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.37, Вы забыли заполнить поле Name, 14:51, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Количество преград не помешало comodohacker захватить аккаунт админа active dire... весь текст скрыт [показать]
     
  • 2.15, solardiz, 02:29, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Разграничивать реально При правильном использовании Qubes, файл от друга будет ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.39, Имя, 15:09, 11/03/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    Временные контейнеры как-то сильно менее ресурсоемки Хотя и менее прочны Зато ... весь текст скрыт [показать]
     
     
  • 4.47, Michael Shigorin, 00:37, 13/03/2016 [^] [ответить] [смотреть все]  
  • –1 +/
    http ftp altlinux org pub people ldv hasher thesis-2005 html ... весь текст скрыт [показать]
     
     
  • 5.50, Аноним, 03:45, 16/03/2016 [^] [ответить] [смотреть все]  
  • +/
    Firejail-ом удобно пользоваться для именно изоляции программ на десктопе Пример... весь текст скрыт [показать]
     
     ....нить скрыта, показать (6)

  • 1.21, DmA, 08:40, 11/03/2016 [ответить] [смотреть все]  
  • –1 +/
    >VT-d/AMD IOMMU

    Щаз, одни материнские платы чего стоят с поддержкой этой технологии.., не говоря уж о процессорах.Да и памяти там сильно желательно хотя бы 16 ГБ ОЗУ.Лучше 32. Да никто не спорит,что 32 лучше,чем 16 :)

     
  • 1.22, Sunderland93, 08:50, 11/03/2016 [ответить] [смотреть все]  
  • –1 +/
    Извиняюсь за оффтоп. Подскажите, как сделать чтобы окна раскрашивались в цвета приложения, как на последнем скрине?
     
     
  • 2.24, Идиот, 09:20, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +2 +/
    Это индикатор AppVM в котором запущен процесс Тоесть чисто qubes овская штука, ... весь текст скрыт [показать] [показать ветку]
     
  • 1.23, DmA, 08:52, 11/03/2016 [ответить] [смотреть все]  
  • –1 +/
    Чего люди не придумают,лишь бы не писать правила для SeLinux :)
     
     
  • 2.26, Онаним, 09:43, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    Как с помощю SeLinux заблокировать доступ в Интернет для определённой программы ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.33, Khariton, 12:56, 11/03/2016 [^] [ответить] [смотреть все]  
  • +1 +/
    в селинукс писать правила для каждого приложения сложно в Apparmor проще мало ... весь текст скрыт [показать]
     
     
  • 4.45, commiethebeastie, 14:02, 12/03/2016 [^] [ответить] [смотреть все]  
  • +/
    В selinux тоже обучение появилось ... весь текст скрыт [показать]
     
  • 2.40, Аноним, 15:11, 11/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    вот firejail придумали - тот же результат, только за 2 минуты времени, не говоря... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.43, Анонимо, 16:15, 11/03/2016 [^] [ответить] [смотреть все]  
  • +/
    > вот firejail придумали - тот же результат, только за 2 минуты времени,
    > не говоря уж о том что selinux отключает любой уважающий себя
    > эксплойт первым же делом.

    Спасибо за ссылку. Действительно, вполне годная реализация seccomp'а

     
  • 1.30, Аноним, 10:44, 11/03/2016 [ответить] [смотреть все]  
  • +/
    Персистентность планируется?
     
     
  • 2.46, solardiz, 20:45, 12/03/2016 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    > Персистентность планируется?

    В Qubes есть как постоянные, так и временные VM. Показанные на большинстве скриншотов как раз постоянные. Т.е., например, я поставил Adobe Flash в Untrusted VM, и теперь он там просто есть.

     
  • 1.44, Аноним, 18:49, 11/03/2016 [ответить] [смотреть все]  
  • –2 +/
    Изоляция приложений, какой она не должна быть Вместо того чтобы сделать хотя бы... весь текст скрыт [показать]
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor