Megjelent a Qubes 1.0

Bejelentés

A mai napon kiadásra került a Qubes OS első stabil kiadása, a Qubes 1.0. A projekt iránt érdeklődőknek javasolt a fent linkelt blogbejegyzés - és az abból nyíló további cikkek - illetve a projekt wiki oldalának tanulmányozása.

Ezen felül, ajánlom a saját írásaimat is:

( aga_et v | 2012. 09. 03., h – 21:25 )

A wiki oldal egyelőre nem nagyon akar bejönni.
Még lehet visszatérek rá később.
--
AGA@
Fork portal és az egyik logóm :)

( freeoli v | 2012. 09. 04., k – 11:57 )

A pécés világ "root only, auto logon" megszokásaihoz képest elég radikális és nagygépes jellegű megoldás. Már sasolom is. Ígéretesnek tűnik.

( artifex | 2012. 09. 04., k – 12:25 )

Elnézést, hogy kicsit eltévelyedek, de. Nekem G31-es alaplapom van E8400-as processzorral, a BIOS-ban bekapcsolt "Intel Virtualization Technology"-val. Ehhez képest a x86_64-es Linuxom (és XP) alatt a Virtualbox nem látja a processzor VT részét, így nincs 64 bites emuláció lehetőség, nem tudok 64 bites rendszert próbálni alatta.

Van olyan akinek G31-es alaplappal megy az Intel virtualizáció? Kérdem azért, mert emiatt lehet nem tudom ezt sem kipróbálni, pedig az elmélet tetszik, és azelőtt szeretném tudni, mielőtt feltelepítem.

"Belépés díjtalan, kilépés bizonytalan."

A G31 chipset a VT-d technológiát nem támogatja:
http://ark.intel.com/products/31913/Intel-82G31-Graphics-and-Memory-Con…

Zrubi cikkéből pedig:

" VT-d

Ez a chipset feature ahhoz szükséges, hogy a különböző I/O eszközöket is biztonságosan hozzárendelhessünk különböző VM-ekhez. Ennek megléte nélkül technikailag működőképes megoldást hozhatunk létre, viszont biztonsági szempontból nem leszünk sokkal előrébb."

VT-x -et viszont látnia kellene a VirtualBoxnak is, talán egy bios frissítés?

Ez jól hangzik. Rákerestem, ez egy telepíthető Citrix program, ha jól láttam. Létezik belőle, vagy esetleg más hasonlóból, valami LiveCD szerű? Tehát olyan, ami valóban bekapcsolja és így ellenőrzi, nem csak mondjuk a processzor adatai alapján kiírja, hogy tudja a VT-t.

Esetleg van-e valami ismertem VT-vel működő korrekt 775-ös alaplap? Igazából nem szeretnék, de nagyon úgy tűnik kénytelen leszek alaplapot is cserélni. Ez leginkább a Windows installnak probléma, de így jártam, valamit valamiért.

"Belépés díjtalan, kilépés bizonytalan."

Mit kiderült, ettől még a Qubes 1.0 működhet rajta - ugyanis a VT-x is csak a HVM guestekhez elengedhetetlen, az meg egyelőre "not supported", sőt csak saját hackokkal lehet egyáltalán használni.

Ez számomra is most lett csak világos :o

Azonban az biztos, hogy VT-x nélkül a VT-d sem működhet de ettől még kipróbálásra elegendő lehet.

Ennek megfelelően javítottam a cikkemet is...

--
zrubi.hu

( uid_16313 | 2012. 09. 04., k – 16:28 )

Nem tudom, hogy egy hálózatra kötött számítógép milyen alapon lehet biztonságos, akár fizikai, akár virtuális gépről beszélünk. Az adatforgalom oda-vissza, személyes adatok, kódok, akármik.
Senki sem tudja garantálni a saját adataim biztonságát, még jómagam sem. Lehet ezzel foglalkozni, nyilván kell is, de a cél csak megközelíthető, mert elérhetetlen.

--
robyboy

"Gondolkozni nehéz, ezért legtöbben ítélnek." - Márai Sándor

A biztonság nem egy 1 bites dolog, hogy vagy van, vagy nincs. Nyilván tökéletes biztonságban nem lesznek sose az adataid, de törekedni lehet arra, hogy nagyobb biztonságban legyenek, pl. hogy egy Java hiba kihasználásától még ne lehessen egyből lenyúlni a desktopon lévő titkos adatokat...

Tiszta sor, hogy törekedni kell rá. Ez alap. De van az a szint, ahol minden törekvés is kevésnek bizonyul.
Ha mondjuk küldök pl. egy e-mailt akárhova, onnét kezdve nem tudom garantálni, hogy az adott helyen éppen mi nyúlja le az e-mail címem, hogy aztán spammekkel árasszon el. Pedig nagyon szeretném, ha az e-mail címem csak arra lenne használva, amire én akarom, hogy legyen.

Ahogy elhagyja a digitális adat a gépemet, onnét kezdve már nem én felügyelem, hanem mások. Azt csinálnak vele, amit akarnak. Ezt nem fogom sose tudni megakadályozni.

--
robyboy

"Gondolkozni nehéz, ezért legtöbben ítélnek." - Márai Sándor

Igen, a leggyengébb láncszem mindig maga a felhasználó.

De felhasználóból sokféle van... a Qubes megadja a lehetőséget a legképzettebbeknek is, hogy ők lehessenek a gyenge láncszem!
Éppen ezért, ez nem is az átlag felhasználóknak való... ők ebből csak azt látják, hogy egy csomó macera és kényelmetlenség árán tudja (majdnem) ugyan azt megcsinálni, mint más rendszereken.

--
zrubi.hu

Hm. Közeledünk a megoldáshoz... A megoldás egy olyan rendszer, ami semmit de semmit nem tárol el sehol működése közben, ezzel esélyt sem adva, hogy bármi kikerülhessen róla (zero footprint). Ha egy ilyen rendszeren a felhasználó nem tárol semmilyen titkosnak minősített adatot, akkor azok sem kerülhetnek ki.
Egy ilyen rendszer használata esetén csupán a hálózaton eltöltött időt, aktivitást, esetleg a felhasználás lokációját lehet monitorozni. Ha a hálózati kommunikációt mondjuk egy elméletben feltörhetetlen titkosítással védjük, akkor megjöttünk, senki semmit nem fog tudni rólunk az előbbiek kivételével.
Úgy sejtem, hogy nem kommersz rendszerekben ez már simán működik (haditechnika?)

Azt hiszem, ha biztonságot akarok, akkor rekord idő alatt paranoiás leszek, és úgy fogok viselkedni, mint Mel Gibson az összeesküvés-elméletben :-)

Vagy szarok az egészre, és kint hagyom az összes adatomat a Cloud-ban, gondolják csak azt, hogy semmi értékes nincs közöttük. Egy klasszikus Sherlock Holmes történetben volt, hogy egy levelet kerestek egy szobában, feltúrtak mindent, de nem találták. A levél egyszerűen ott volt "felejtve" az íróasztalon. Senki sem gondolta, hogy a szupertitkos dokumentum csak úgy ott heverhet.

--
robyboy

"Gondolkozni nehéz, ezért legtöbben ítélnek." - Márai Sándor

A megoldás egy olyan rendszer, ami semmit de semmit nem tárol el sehol működése közben

Pont erre valók az 'eldobható' (Disposable) VM-ek a Qubes-ben ;)

Annyi különbséggel, hogy tárolni ugyan úgy tud bármit, csak a VM bezárása után el is tűnik onnan minden. Alapból meg nincs ott semmi, csak az ami a template-ben is: teljesen publikus adatok.

Ezen kívül, természetesen lehet olyan AppVM is, aminek egyáltalán NINCS hálózati kapcsolata, Így onnan sem kerül ki semmi...

A többi egyéb VM-ben meg azt tárolsz amit akarsz, és oda csatlakozol ahová akarsz. Ez már a Te döntésed. De a lehetőség adott, hogy pl. ne keverd a privát adatokat a cégessel. És ezzel már nagyot léptél a biztonság irányába.

--
zrubi.hu

Azért nem ajánlott, mert gyakorlatilag nem működik. :P

De egy vinyót bekötni - akár ideiglenesen is - nem olyan nagy kihívás manapság...

Szerintem egyébként aki csak "kipróbálni" szeretné, annak erre semmi szüksége.

Nem győzöm hangsúlyozni, hogy ez nem egy újabb Linux disztró, amire vetünk egy pillantást, hogy megnézzük milyen... Ehhez KELL hogy igényed legyen az általa nyújtott szeparációs lehetőségekre! Ha ez nincs meg, biztosan nem is fog tetszeni.

--
zrubi.hu

Olvasmányélményeim alapján a Qubes VM-ekben futtatja a szeparálni kívánt alkalmazást. Szintén olvasmányélményeim alapján a virtualizált gépen belül nehézségekbe szokott ütközni VM létrehozása.

-----
A kockás zakók és a mellészabások tekintetében kérdezze meg úri szabóját.

( trendkill | 2012. 09. 05., sze – 07:55 )

nekem nagyon tetszik. Sebességre milyen egy alap fedorahoz képest 2-3 VM-el?

A sebességben a szűk keresztmetszet a diszk. Az egyszerre elindítható VM-ek számát pedig csak a rendelkezésre álló RAM korlátozza. Mivel (alapból) minden VM ugyan azt a template-et olvasgatja, így egy SSD csodákat tud tenni... :)

Használtam sima HDD-vel, 4G RAM-mal, így használható volt 2-3 AppVM + 2 netVM, + 1 proxyVM
(hozzáteszem, ez már az 'advanced networking' kategória, és a VM-ek sem az alapbeállításokkal mentek :)

Többet nem lehetett elindítani RAM elfogyás miatt, de ezeken rendesen lehetett dolgozni - persze attól függ mit csinálnak a VM-ek :) Ilyenkor lassú csak a VM-ek indítása volt csak, ami főleg az eldobhatóknál érzékelhető.

Most egy SSD és 8G RAM van a gépemben, a változás jelentős :)
Így az eldobható VM-ek indítása gyakorlatilag nem érzékelhető. Értsd: egy firefox indítása max 2 sec-cel több, mint egyébként :)

--
zrubi.hu