forum.opennet.ru - "Релиз ОС Qubes 4.3.0, использующей виртуализацию для изоляции приложений" (38)

Вариант для распечатки	Пред. тема \| След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение	[ Отслеживать ]

Изначальное сообщение

> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v1.0
Касперский на физической ноде
> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v2.0
(Контейнеры + оркестратор + касперский) на физической ноде
> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v3.0
(Гипервизор + стек виртуалок + ДрВеб) на физической ноде
> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v4.0
(Оркестратор-спавнер для роя stateless-контейнеров и легковесных виртуалок (1 процесс/1 виртуалка) + плагин к нему от касперского) на физической ноде
> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v5.0
(Qubes + доверенная виртуалка-с-касперским) на физической ноде

"Релиз ОС Qubes 4.3.0, использующей виртуализацию для изоляции приложений"	+/–
Сообщение от opennews (ok), 22-Дек-25, 09:59
После двух лет разработки представлен релиз операционной системы Qubes 4.3.0, реализующей идею использования гипервизора для строгой изоляции приложений и компонентов ОС (каждый класс приложений и системные сервисы работают в отдельных виртуальных машинах). Для работы рекомендуется система с 16 Гб ОЗУ (минимум - 6 Гб) и 64-разрядным CPU Intel или AMD с поддержкой технологий VT-x c EPT/AMD-v c RVI и VT-d или AMD IOMMU, желательно наличие GPU Intel (GPU NVIDIA и AMD недостаточно хорошо протестированы). Размер установочного образа - 7.8 ГБ (x86_64)... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=64471
Ответить \| Правка \| Cообщить модератору

1. Сообщение от bdrbt (ok), 22-Дек-25, 09:59	+/–
Бомбезная вещь, особенно в наше время, когда мошенники уже начали фейковые интервью проводить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #5

2. Сообщение от Аноним (3), 22-Дек-25, 10:00	+/–
Смешно было как в тот раз обошли все эти изоляции через маленькую дырочку в xen, а кто-то ведь жил и страдал с этой ОС.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #6

3. Сообщение от Аноним (3), 22-Дек-25, 10:01	+1 +/–
Начали? Ты лет 100 под камнем провёл.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

4. Сообщение от Жироватт (ok), 22-Дек-25, 10:03	+/–
Надо каждый процесс виртуальной машины запускать в отдельной виртуалке, чтобы виртуалка была внутри другой виртуалки. Пока юзер пытается запустить внутри виртуалки-с-виртуалками виртуалку, внутри которой интерпретатор (сам по себе виртуалка) виртуально запускает скрипт, реализующий виртуалку для собранного IL-байткода, на котором реализована виртуалка, внутри которой будет крутиться контейнер, в котором можно будет запустить целевую программу.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #7, #39

5. Сообщение от Жироватт (ok), 22-Дек-25, 10:12 Скрыто ботом-модератором	–1 +/–
> Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v1.0 Касперский на физической ноде > Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v2.0 (Контейнеры + оркестратор + касперский) на физической ноде > Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v3.0 (Гипервизор + стек виртуалок + ДрВеб) на физической ноде > Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v4.0 (Оркестратор-спавнер для роя stateless-контейнеров и легковесных виртуалок (1 процесс/1 виртуалка) + плагин к нему от касперского) на физической ноде > Как максимально полно утилизировать системные ресурсы, дав юзеру видимость безопасности v5.0 (Qubes + доверенная виртуалка-с-касперским) на физической ноде
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

6. Сообщение от Аноним (6), 22-Дек-25, 10:15	+/–
Это когда такое было? Ссылку.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #8

7. Сообщение от 1 (??), 22-Дек-25, 10:37	+/–
А потом новая дыра в процессорах и всё, "ку-ку, Гриня".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

8. Сообщение от Аноним (3), 22-Дек-25, 10:40	+/–
так вот тут же где-то https://www.qubes-os.org/security/xsa/
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #13, #15

9. Сообщение от Аноним (9), 22-Дек-25, 10:41	–2 +/–
Harmonyos 6 с процессором kirin 930 - - вот настоящая безопасность, а не этот вот винегрет. =)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

10. Сообщение от Аноним (9), 22-Дек-25, 10:42	+/–
Kirin 9030, пардон
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #12

12. Сообщение от илья (??), 22-Дек-25, 10:49	+/–
А что там с харомниос то ? Народ не вкурсе..
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #40

13. Сообщение от Аноним (6), 22-Дек-25, 10:51	+3 +/–
Ну ты говоришь, что кто-то там что-то обошел будто бы какой-то капец скандал и паника. А по факту кидаешь ссылку на лист уязвимостей. И вот так у вас всегда - чуть копнешь и выясняется, что не выиграл, а проиграл, не волгу, а 100 рублей и не в лотерею, а в карты.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #16

15. Сообщение от Аноним (19), 22-Дек-25, 10:53	+1 +/–
> так вот тут же где-то https://www.qubes-os.org/security/xsa/ Там в последние годы встречаются только гипотетические спекулятивные уязвимости типа Spеctre. Ничего опасного в том списке не нашёл. Давайте конкретную ссылку на проблему. Пока это только сплетни на уровне "где-то от кого-то слышал".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #17

16. Сообщение от Аноним (3), 22-Дек-25, 10:54	+/–
Ну там ссылки на уязвимость в xen, через которую обошли изоляции. Тебе же надо было, не мне.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #19

18. Сообщение от Аноним (19), 22-Дек-25, 11:02	+/–
Конечно в курсе и знают, что эксплуатация подобных уязвимостей возможна только в лабораторных условиях. В системах, в которых одновременно выполняется куча процессов, они практически не эксплуатируемы. По крайней мере, я не знаю ни одного случая взлома _нагруженных_ серверов через дыры класса Spectre.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #20

20. Сообщение от Аноним (3), 22-Дек-25, 11:05	+/–
Так тебе всё и рассказали. Это репутационный урон признать. А уж qubes os -- очень нагруженный сервер, тут не поспорить тоже.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #26

23. Сообщение от Аноним (3), 22-Дек-25, 11:15	+/–
Нет, не смешно. Почему я должен тратить время? Вот 1 из примеров: https://github.com/QubesOS/qubes-secpack/blob/master/QSBs/qs...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #27, #30, #32

27. Сообщение от Аноним (6), 22-Дек-25, 11:25	+/–
> Нет, не смешно А должно быть. > Почему я должен тратить время? То есть на вбросы тебе времени не жалко, а отвечать за свои слова - жалко. Молодец. > Вот 1 из примеров Судя по всему ты не читал, что там написано. Если ты не в курсе - любой нормальный дистр ведет список CVE. Это нормально. Еще раз - где факт взлома?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #28

17. Сообщение от Аноним (3), 22-Дек-25, 10:55	+/–
А облачные провайдеры в курсе, что спекулятивные уязвимости гипотетические? Секретики то замечательно утекают. Нет, мне лень искать, какая-то дыра в xen была в тот раз.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #18, #21

19. Сообщение от Аноним (19), 22-Дек-25, 11:04	+/–
Укажите про какую именно уязвимость речь? Ничего практически пригодного для атаки в том списке я не нашёл.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #24

21. Сообщение от Аноним (6), 22-Дек-25, 11:08	+1 +/–
Забавно получается: - была уязвимость скандала паника все поломали!!1 - дай ссылку - ой я не помню тебе надо ты ищи мне лень! Самому не смешно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #23

22. Сообщение от Аноним (22), 22-Дек-25, 11:14	+/–
>Для работы рекомендуется система с 16 Гб ОЗУ (минимум - 6 Гб) Оригинально требовалось минимум 4 - в те времена, когда это было офигеть как много.
Ответить \| Правка \| Наверх \| Cообщить модератору

24. Сообщение от Аноним (3), 22-Дек-25, 11:17	–1 +/–
skill issue, лучше не думай об этом
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

26. Сообщение от Аноним (19), 22-Дек-25, 11:25	+/–
Понятно, вы выдаёте за факты ничем не подтверждённые домыслы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20

28. Сообщение от Аноним (3), 22-Дек-25, 11:32	+/–
Тебе уже разработчики прямым текстом пишут "ой нас поимели, обновите xen", а у тебя всё какие-то сомнения.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #34

30. Сообщение от Аноним (19), 22-Дек-25, 11:48	+/–
> Почему я должен тратить время? Бремя доказательства лежит на утверждающем. > Вот 1 из примеров: https://github.com/QubesOS/qubes-secpack/blob/master/QSBs/qs... Так бы сразу и написали, хороший пример. В Qubes 3.2 через эту дыру можно было обойти изоляцию системных сервисов, в которых код выполнялся от root. В ветке Qubes 4 перешли с PV на HVM и таких проблем не должно повторяться.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #31

31. Сообщение от Аноним (3), 22-Дек-25, 11:55	+/–
Я не верю, что люди, которые просят предоставить какие-то подтверждения словам, делают это всерьёз. Либо они никогда ничего не искали в интернете, либо я не знаю чем ещё объяснить такую детскую непосредственность.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #30

32. Сообщение от Аноним (32), 22-Дек-25, 11:56	+/–
>Почему я должен тратить время? Вот 1 из примеров Ты сам-то читал, что в твоем "примере" написано? Ах да! Ты свое время бережёшь. Так вот из текста по твоей ссылке: The remaining vulnerabilities ... look even more theoretical.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #35, #37

33. Сообщение от mos87 (ok), 22-Дек-25, 12:00	+/–
>ля работы рекомендуется система с 16 Гб ОЗУ б
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #38

34. Сообщение от Аноним (6), 22-Дек-25, 12:01	+/–
Разработчики пишут об уязвимости ядра. Ты ссылку свою же читал? Ответы по уязвимостям и мерам по недопущению взлома писать нормально, это делают все и всегда. Еще раз - где факт взлома? Если ты соврал - так и скажи.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28

35. Сообщение от Аноним (3), 22-Дек-25, 12:01	+/–
А что обезьянкам ещё сказать? Конечно, спектра тоже теоретическая. И тот прикол, в котором пользователь может подменить любой файл рута в памяти (в кэшах, и при любом обращении отдавались модифицированные данные) тоже совершенно теоретический, но только почему-то 100% срабатывал всегда.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #32

37. Сообщение от Аноним (19), 22-Дек-25, 12:04	+/–
Под "remaining vulnerabilities" подразумеваются уязвимости XSA-229 и XSA-230, кроме них есть XSA-227 и XSA-228, которые вполне эксплуатируемые.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #32

38. Сообщение от Аноним (19), 22-Дек-25, 12:08	+/–
Minimum - Memory: 6 GB RAM Recommended - Memory: 16 GB RAM https://doc.qubes-os.org/en/latest/user/hardware/system-requ...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33 Ответы: #41

39. Сообщение от Аноним (39), 22-Дек-25, 13:16	+/–
ты же в курсе что такое bare metal? ну и конечно кругом виртуализация тоже?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

40. Сообщение от Аноним (39), 22-Дек-25, 13:17	+/–
потому и безопасно, что никто не в курсе )) как узнают - сразу сломают
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

41. Сообщение от Аноним (39), 22-Дек-25, 13:19	+/–
еще недавно порог входа был критичен. сейчас при наличии 32 ОЗУ - терпимо. но все равно требовательно
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #38

42. Сообщение от localhostadmin (ok), 22-Дек-25, 13:21	+/–
Чем это лучше создания пользователей для каждого приложения?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #43

43. Сообщение от user667 (?), 22-Дек-25, 13:26	+/–
при создании юзера достаточно дыры в основной системе чтобы получить рут к твоей системе
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #42