Qubes OS 4.0-rc1

Titkosítás, biztonság, privát szféra

Joanna Rutkowska ma bejelentette, hogy elérhető tesztelésre a biztonságra kihegyezett, nyílt forrású (Linux-alapú) Qubes OS 4.0-s kiadásának első RC-je. Részletek a bejelentésben.

( Executioner1337 | 2017. 07. 31., h – 16:49 )

A [bejelentésben] link rossz url-re mutat

( Raynes v | 2017. 07. 31., h – 17:27 )

Örülök, hogy méssz rutkofszkájávicznek ilyen hatalmas bejelentésekre futja, meg értékelem azt is, ha valaki valami újat akar letenni az asztalra, és a nem a tömegekkel megy, de használható ez a cucc értelmes dologra? Úgy értve, hogy vannak rá alkalmazások, driverek, stb.?

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

A kérdésedből nyilvánvaló, hogy fogalmad sincs mi is az, amihez hozzászóltál.

BTW:
- a projekt nem tegnap született, én magam pl 2011 óta használom elsődleges oprendszerként.
- a mostani bejelentés a legujabb verzió előtti Release Candidate, ami nem annak való aki most hallott először a Qubes-ról.

Ha valóban érdekel akkor ezt olvasd el először:
http://zrubi.hu/qubes/

--
zrubi.hu

Nincs es valszeg nem is lesz upgrade modszer, ujra kell telepiteni, de ez szvsz nem tul nagy baj, mert:

- a dolgaid, beallitasaid, stb. 99.99%-a ugyis virtualis gepeken belul van, azokat pedig a beepitett backup-restore modszerrel athozhatod az uj rendszerre
- az alaprendszerben levo beallitasaid, sajat seged script-jeid, stb. ugyis at kell nezni a jelentosen atirt alaprendszer miatt.

Helyfoglalast a 4.0rc1-re erted? Vagy ugy altalaban? 3.2-rol tudok nyilatkozni, alapvetoen mint egy atlagos linux rendszer, 2-3 giga alapbol. Erre jonnek a VM-ek, de hogy ne kelljen sokszor tarolni ugyanazt es hogy gyors legyen egy-egy uj VM letrehozasa egy template rendszer van kialakitva. Egy-egy ilyen template (alap install, a szukseges beallitasokkal es extra programokkal, de alapvetoen adatok nelkul) annyi amennyi fizikai vason is lenne egy linux install, utana az ezekbol kepzett VM-eknek pedig kb. a /home/user tarolasahoz szukseges hely kell.

Nálam konkrét adatok alapján:
dom0 ~ 5G
Debian template 5G
Fedora template 9G
Windows 7 template 45G :)

Errre jönnek az ezekre épülő VM-ek (gyakorlatilag a home könyvtár) ami annyit foglal amennyit beletöltesz ;)

Az én rendszerem lakott már 60G SSD is, de azon nyilván nem volt Windows.
Most a 250G-os nagyon kényelmesen elférek és vagy úgy 40 VM a template-kkel együtt.

--
zrubi.hu

Köszönöm az infókat. Úgy általában kérdeztem a helyfoglalást, mert 30 GB tárhelyet írnak.

Mi a tapasztalatod, mekkora memória és CPU használat overheadet okoz ez a fajta megoldás, például egy sima Fedora desktop-hoz képest?
Notebook-on is érdemes lehet ilyet használni? Ki milyen gépen használja? CPU/RAM/(SSD/HDD)?
Ezen kívül van más védelem is, amivel kombináljátok? Luks / Truecrypt?

Régebb óta gondolkoztam, hogy használjak ilyet.

Mennyire hasznos ez, ha például Intel AMT-n vagy egyéb hardver firmware-en keresztül jönnek be a gépedre?

UPDATE: köszi a fentebbi hozzászólásnál a tárhely infókat Zrubi! :)

Sakk-matt,
KaTT :)

Overhead: anno nagyon kellemes meglepetes ert: semmi eszreveheto! Gondoltam mielott nagyon eltolt ez a wow feeling, inditsunk egy youtube videot. Es pont ugyanugy ment, mint kozvetlenul a vason! Kesobb olvastam, hogy sikerult zero-copy modon megoldani a VM-ekbol a jel atadasat a host videokartyajanak. (Intel video van a gepben, az extrabb dolgokkan nem tudom mi a helyzet.)

Notebookon? Persze. Sztem a tobbseg azon hasznalja. En egy regebbi, T410-es thinkpaden, 8 GB RAM-mal. Ez neha szuk, csak 10-15 VM-et tudok igy inditani egyszerre. :) Altalaban nem kell ennyi, de mivel csak par kattintas, konnyen elkapja az embert a gepszij.

A telepito LUKS-ot csinal alapbol, de ettol meg a boot particiod nem vedett, ugyhogy ha suspendben hagytad ott a gepet es kikapcsolva talaltad meg, az gyanus, nagyon gyanus. :) (google: evil maid attack) Veheted elo a rejtek boot mediadat az ellenorzeshez/ujrahuzashoz. Vagy van meg az Anti Evil Maid (google...), ami a gep TPM chipjeben eltarolja a boot resz ellenorzo osszeget es ha nem stimmel, tudod, hogy piszkaltak. (Marmint Bela az IT-rol. A harombetusoket nyilvan nem fogod azzal felfedni...)

> Mennyire hasznos ez, ha például Intel AMT-n [...]

Semennyire. Ha hw meg van bugazva, akkor akkor az egesz meg van. (Egyebkent van olyan thinkpad, amire a gyari BIOS helyett lehet coreboot-ot flesselni, meg az Intel ME-t lehet me-cleaner-rel nyirbalni, pl. a beepitett halozati sztekktol megszabaditani, de ki tudja milyen mely az a rabbit hole...)

> [...] vagy egyéb hardver firmware-en keresztül jönnek be a gépedre?

Viszont a PCI HW-eket PCI pass through-val at lehet adni VM-ekbe, ez utan a proci IOMMU-ja elvileg megvedi a host memoriajat. Tehat pl. egy rouge wifi kartya, vagy USB controller firmware-je nem tud beleolvasni (DMA-zni) csak az adott VM memoriajaba.
Dolgoznak rajta, hogy a videokartya se a privilegizalt dom0-hoz, hanem egy sima VM-hez legyen csatolva, ezek utan lehet probalkozni binaris blob driverekkel az ati-nvidia vonalon. Sot meg olyan orult otlet is elhangzott, hogy ha ez megvalosul, elvileg mukodhet ebben a display VM-ben windows is, az azzal erkezo driverekkel, felhasznaloi felulettel, ha valakinek az a perverzioja, hogy nem XFCE panelt, hanem start menut akar latni a kepernyojen.

Annyit tennék hozzá, hogy mivel template alapúakaVM-ek, és egyszerre többet futtatsz, így két szűk keresztmetszet van:
* IO - tehát diszk terhelés. Emiatt SSD használata erősen javasolt, mert a pörgős diszk pont ilyen terhelésen (random multi read) vérzk el. Az SSD meg pont ebben nagyonjó ;)

* RAM
Nincsolyan, hogy túl sok RAM ;)
mivel a VM-ek ~teljes oprendszerek, így kell nekik RAM. sokan abba a tévhitbe esnek, hogy ugyan annyi RAM-tól, amit eddig eygetlen oprendszer használt el, azt várjűk, hogy akkor majd futtat rajta sok VM-et... Ez nyilván nem így megy.

A 3.2-ben még PV típusú VM-en futnak, ezekben pedig dinamikus RAM kiosztás remekül működik, ami miatt nem kell annyi memória, mint amire elsőre gondolnál. De így is:
- sys-net, sys-firewall minimum 300mb
- proxy VM-ek (pl VPN) minimum 512Mb
- Appp VM-ek, na itt már attól függ miket használsz, de úgy általában nagyon minimum 1GB, de inkább 2 Gb VM-enként.

Ebbőlgyorsan összejön, hogy 4G alatt NEM tudsz használhaót rendszert kialakítani. A gyakorlatban 8G RAM, az amivel már értelmesen lehet dolgozni, de rendszeresen bele fogsz futni abba hogy elfogyott a RAM. a gépemben most 16Gb van, ezzel még nem ütköztem ilyen problémába. (de ez nyilván felhasználás függő)

a 4.0 tól elkezdtek átállni PV-ról HVM-re, ami security szempontból előnyös, azonban a RAM fogyasztáson várhatóan sokat fog tolni, mert ezesetben nincs dinamikus RAM kiosztás.

--
zrubi.hu

- sys-net, sys-firewall minimum 300mb
- proxy VM-ek (pl VPN) minimum 512Mb
- Appp VM-ek, na itt már attól függ miket használsz, de úgy általában nagyon minimum 1GB, de inkább 2 Gb VM-enként.

En a magam reszerol meg ennel is szukebbre vettem a RAM maximumokat es nem futottam bele OOM-be.

Így van, nincs fogalmam. Komolyan. Azért kérdezek olyanoktól, akik nem a Blikkben olvastak róla, hanem használják valami ÉRTELMES-re. Persze, nem hiányoztam a suliból, mikor olvasást tanítottak, meg az angol is megy olyan szintig, hogy nem akadály, de amit erről a Qubes (Khjúbz?) OS-ről olvastam, az eddig mindig valami marketingbullshit volt.

Tehát ha jól értem a dolgokat, ez egy Fedora Linux, beépített virtuális gépekkel, amelyeken nem csak virtuális OS-eket lehet futtatni (mert ilyen alapon nem különbözne a Proxmoxtól és társaitól), de csak alkalmazásokat egymagában is. Jól tévedek?

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

Nem egészen.

Ez egy Xen alapú disztribúció, amiben a dom0 fedora alapú. A Xen (ami egy Type1 hypervisor) futatja a virtuális gépeid, amikkel dolgozol. A dom0 ugyanis nem csinál mást, mint a VM-eket és a GUI-t futtatja és virtuális LAN összeköttetés biztosít a VM-ek között.
A VM-ekben futhat Fedora, Debian, Windows, "community támogatással": Arch Linux, Ubuntu, és amit még saját magad összehozol ;)

Amiben különbözik a Proxomoxés társaitól, hogy ez kifejezetten desktop-ra van kitalálva, a Xen-nek köszönhetően hardveres támogatással választja el egymástól a VM-eket, és adott esetben a PCI eszközöket is. pl: IOMMU, szeparált network és USB domain, keyboard, mouse proxy, Anti Evil Maid, Seamless GUI integration, secure file copy és copy-paste, stb.

Hasznos link első olvasásra:
https://www.qubes-os.org/doc/user-faq/

Sokkal bővebben (és Magyarul) lásd:
http://zrubi.hu/qubes/

BTW: nem tudom hol ovashattál egyátalán marketing bullshit-et a Qubes ről, mert a hivatalos doksik, és a saját cikkem is távol állnak a a marketing fogalmától is ;)
--
zrubi.hu

( _ventura_ v | 2017. 07. 31., h – 21:55 )

Pár hete próbáltam de desktopra szerintem olyan mintha sajtreszelővel csináltam volna :D
Pár óra után fel is adtam.

Fedora 25, Thinkpad x220

( phaidros | 2017. 08. 01., k – 08:53 )

A konstrukció alapgondolata sorra megjelenik mindenhol.
Érdemes elmélyedni a csapat anyagaiban, mert kiderül nem csak szalámiszeletelésről van itt szó.
Jó ötleteket látok itt érlelődni.
A reszelés szó nagyon találó..., bár még egy sort nem olvastam az új kiadásról.
Nekem úgy tűnt, hogy a darabosságai automatizmusokkal, optimalizálásokkal -és az eleve hiányzó- elemek, kapcsolatok kidolgozásával jócskán kalapálhatóak.
Jönnek a szálak a PC-ken, terjed a paranoia. Ki tudja mi lesz egy ilyen dologból, -vagy rész elemeiből- ha szépen becsomagolják és köz-fogyaszthatóvá teszik.
Az egészben az tetszik, hogy inspirál a szokatlan szemléletmód, módszertan.

( wince | 2017. 08. 02., sze – 09:07 )

OFF A viziló, a zsiráf, az orrszarvú és egy ámbráscet egyensúlyoz a procidon. ON

Egy elefánt, egy strucc és egy krokodil megállít egy autóst. A krokodil tiszteleg, és így szól a vezetőhöz:
-Jó estét, közúti ellenőrzés! Okunk van feltételezni, hogy alkoholt vagy tudatmódosító szereket fogyasztott, mielőtt autóba ült!

--
Worrying about killer AI and the superintelligent robots is like worrying about overcrowding on Mars. - Garry Kasparov