Sistema operativo Qubes

Qubes OS es un sistema operativo de escritorio centrado en la seguridad que tiene como objetivo proporcionar seguridad a través del aislamiento. ^[5] El aislamiento se proporciona mediante el uso de tecnología de virtualización . Esto permite la segmentación de aplicaciones en máquinas virtuales seguras llamadas qubes. Los servicios de virtualización en Qubes OS son proporcionados por el hipervisor Xen .

Los tiempos de ejecución de los qubes individuales generalmente se basan en un sistema único de plantillas de sistema operativo subyacentes . Las plantillas proporcionan un sistema de archivos raíz único e inmutable que puede ser compartido por varios qubes. Este enfoque tiene dos beneficios principales. En primer lugar, las actualizaciones de una plantilla determinada son "heredadas" automáticamente por todos los qubes basados ​​en ella. En segundo lugar, las plantillas compartidas pueden reducir drásticamente los requisitos de almacenamiento en comparación con las máquinas virtuales independientes con una instalación operativa completa por dominio seguro.

La instalación básica de Qubes OS proporciona una serie de plantillas compatibles oficialmente basadas en las distribuciones de Linux Fedora y Debian . Las plantillas alternativas compatibles con la comunidad incluyen Whonix , Ubuntu , Arch Linux , CentOS o Gentoo . ^[6] Los usuarios también pueden crear sus propias plantillas.

En el ámbito académico, los sistemas operativos como Qubes OS se denominan sistemas multinivel seguros convergentes ( MLS ) . ^[7] Han surgido otras propuestas de sistemas similares ^{[8] [9]} y SecureView y VMware vSphere son competidores comerciales. ^{[ cita requerida ]}

Qubes implementa un enfoque de seguridad por aislamiento . ^[10] Se parte del supuesto de que no puede existir un entorno de escritorio perfecto y libre de errores: un entorno de este tipo cuenta con millones de líneas de código y miles de millones de interacciones de software y hardware . Un error crítico en cualquiera de estas interacciones puede ser suficiente para que un software malicioso tome el control de una máquina. ^{[11] [12]}

Para proteger un escritorio usando Qubes OS, el usuario se encarga de aislar varios entornos , de modo que si uno de los componentes se ve comprometido, el software malicioso solo tendrá acceso a los datos dentro de ese entorno. ^[13]

En Qubes OS, el aislamiento se proporciona en dos dimensiones: los controladores de hardware se pueden aislar en dominios funcionales (por ejemplo, dominios de red , dominios de controladores USB), mientras que la vida digital del usuario se divide en dominios de seguridad con diferentes niveles de confianza.

Por ejemplo: dominio de trabajo (el más confiable), dominio de compras, dominio aleatorio (el menos confiable). ^[14] Cada uno de estos dominios se ejecuta en un qube separado.

Los qubes tienen acceso root sin contraseña (por ejemplo, sudo sin contraseña ) de manera predeterminada. ^[15] El arranque seguro UEFI no es compatible de fábrica, pero esto no se considera un problema de seguridad importante. ^[16] Qubes no es un sistema multiusuario . ^[17]

Como sistema operativo enfocado en computadoras de escritorio, Qubes OS está dirigido al hardware de computadoras personales. Este mercado está dominado por computadoras portátiles que usan procesadores y chipsets Intel y AMD.

Los requisitos básicos del sistema operativo Qubes son:

• Procesador Intel o AMD de 64 bits con extensiones de virtualización (desde 2013, Qubes OS solo admite procesadores de 64 bits. ^[16] Además, desde la versión 4.x, Qubes OS requiere un procesador Intel con soporte para VT-x con EPT e Intel VT-d o un procesador AMD con soporte para AMD-V con RVI (SLAT) y AMD-Vi (también conocido como AMD IOMMU). ^[18] Esto no es un problema importante para los procesadores AMD, ya que AMD IOMMU es funcionalmente idéntico a VT-d de Intel. ^[18] )
• 6 GB de RAM mínimo
• Mínimo 32 GB de espacio en disco ^[19]

Los usuarios interactúan con Qubes OS de la misma manera que interactúan con cualquier sistema operativo de escritorio gráfico estándar, con algunas diferencias clave:

• La creación de qubes (dominios de seguridad) ofrece los medios para crear espacios de aplicaciones discretos, ágiles y seguros al vincularlos a un sistema de archivos raíz completo mediante plantillas compartidas.
• Las aplicaciones lanzadas desde sus respectivos qubes se distinguen por un borde de ventana de color único.
• Abrir una aplicación por primera vez en un qube determinado puede provocar una demora moderada dependiendo del hardware del sistema.
• Los archivos compartidos ^[20] y los buffers de pegado del portapapeles ^[21] utilizan un mecanismo especial, ya que los qubes no comparten un portapapeles o sistema de archivos común .
• Los usuarios pueden crear y gestionar tantos qubes como deseen para satisfacer sus necesidades específicas.

El hipervisor Xen proporciona un fuerte aislamiento entre sus máquinas virtuales alojadas, denominadas dominios en la terminología de Xen.

El primer dominio iniciado por Xen es el dominio administrativo privilegiado conocido como dominio cero o más comúnmente dom0 .

A partir de Qubes OS 4.1.2, el sistema operativo que se ejecuta en dom0 es Fedora Linux con un núcleo Linux paravirtualizado. Es el núcleo Linux en dom0 el que controla y gestiona el acceso a todo el hardware del sistema físico, a través de los controladores de dispositivos del núcleo Linux estándar.

El sistema operativo aloja el escritorio gráfico del usuario y controla la mayoría de los dispositivos de hardware. Esto incluye el dispositivo gráfico, los puertos USB, los dispositivos de almacenamiento y de entrada, como el teclado y el ratón. El escritorio gráfico básico está compuesto por el servidor X , el gestor de ventanas Xfwm y el escritorio XFCE .

Por diseño, dom0 tiene la menor interacción directa posible con los qubes para minimizar la posibilidad de un ataque originado desde allí. ^{[22] [23]}

Las actualizaciones del sistema operativo dom0 y las imágenes del sistema operativo Template incluidas se realizan a través de un mecanismo especial que no requiere que el sistema operativo dom0 se conecte directamente a una red.

Un qube de aplicación (una instancia de un qube) proporciona una ejecución segura y compartimentada de aplicaciones de usuario estándar, como un navegador web , un cliente de correo electrónico o un editor de texto .

El funcionamiento de los qubes de aplicaciones está controlado por el Qube Manager . Este ejecuta los qubes de aplicaciones independientes y presenta sus aplicaciones en el escritorio de dom0 como ventanas de proceso normales.

Este mecanismo sigue la idea de un sandbox . Después de ejecutar la aplicación, ver el documento, etc., todo el material descartable se destruirá al apagar el sistema. ^[24]

Qubes OS integra todos los qubes de aplicaciones en un único entorno de escritorio común . La identidad de cada qube de aplicación para un proceso determinado se proporciona mediante un borde de ventana de color infalsificable que se define en las propiedades del qube de aplicación.

El uso del disco en dom0 se minimiza al permitir que varios qubes de aplicaciones compartan una imagen del sistema de archivos raíz de "plantilla" común que se mantiene en modo de solo lectura. El almacenamiento en disco adicional solo se utiliza para las aplicaciones, los datos y las configuraciones por máquina virtual del usuario.

El mecanismo de red es el más expuesto a ataques de seguridad. Para evitarlo, se lo aísla en un qube separado y sin privilegios, llamado net qube .

Se utiliza otro dominio de firewall para alojar el firewall basado en el kernel de Linux, de modo que incluso si el dominio de red se ve comprometido, el firewall sigue estando aislado y protegido (ya que se ejecuta en un kernel de Linux separado en una máquina virtual separada). ^[25]

Expertos en seguridad y privacidad como Edward Snowden , Daniel J. Bernstein y Christopher Soghoian han elogiado públicamente el proyecto. ^[26]

Jesse Smith escribió una reseña de Qubes OS 3.1 para DistroWatch Weekly: ^[27]

Sin embargo, el segundo día de prueba tuve una revelación: me di cuenta de que había estado usando Qubes de forma incorrecta. Había estado tratando a Qubes como una distribución Linux con seguridad mejorada, como si fuera un sistema operativo de escritorio normal con algo de seguridad adicional. Esto me frustró rápidamente, ya que era difícil compartir archivos entre dominios, tomar capturas de pantalla o incluso acceder a Internet desde programas que había abierto en Domain Zero. Mi experiencia mejoró mucho cuando comencé a pensar en Qubes como si fueran múltiples computadoras separadas que, casualmente, compartían una pantalla. Una vez que comencé a ver cada dominio como una isla propia, aislada de todos los demás, Qubes tenía mucho más sentido. Qubes reúne dominios en un escritorio de la misma manera que la virtualización nos permite ejecutar múltiples sistemas operativos en el mismo servidor.

Kyle Rankin de Linux Journal revisó Qubes OS en 2016: ^[28]

Estoy seguro de que ya puedes ver una serie de áreas en las que Qubes proporciona mayor seguridad que la que encontrarías en un escritorio Linux normal.

En 2014, Qubes fue seleccionado como finalista del Premio Access a la Innovación 2014 en materia de seguridad de endpoints, organizado por la organización internacional de derechos humanos Access Now . ^[29]

• Hipersecuestro
• Whonix

• Sitio web oficial
• Sistema operativo Qubes en DistroWatch