Loading article…
 | |
 | |
| 開発者 | Qubes OS プロジェクト
インビジブル・シングス・ラボ ジョアンナ・ルトコフスカ |
|---|---|
| OSファミリー | Linux ( Unix 系) |
| 作業状態 | 現在 |
| ソースモデル | 独自のブロブを備えたオープンソース、[1] [2] |
| 初回リリース | 2012年9月3日[3] |
| 最新リリース | 4.2.3 / 2024年9月17日 |
| マーケティングターゲット | 区画化によるセキュリティ、デスクトップ、ラップトップ |
| 利用可能 | 多言語 |
| 更新方法 | DNF (パッケージキット) |
| パッケージマネージャー | RPM パッケージ マネージャー |
| プラットフォーム | 64ビット |
| カーネルタイプ | マイクロカーネル(最小限のLinuxベースの OS などを実行するXenハイパーバイザー) |
| ユーザーランド | GNU [注 1] |
| デフォルトの ユーザーインターフェース | エクセ |
| ライセンス | フリーソフトウェアライセンス （主にGPL v2 [4]） |
| 公式サイト | qubes.org より |
Qubes OSは、分離によってセキュリティを提供することを目的とした、セキュリティ重視のデスクトップオペレーティングシステムです。 [5]分離は仮想化技術の使用によって提供されます。これにより、アプリケーションをqubesと呼ばれる安全な仮想マシンに分割できます。Qubes OSの仮想化サービスは、 Xenハイパーバイザーによって提供されます。
個々の qube のランタイムは、通常、基盤となるオペレーティング システムテンプレートの独自のシステムに基づいています。テンプレートは、複数の qube で共有できる単一の不変のルート ファイル システムを提供します。このアプローチには、2 つの大きな利点があります。まず、特定のテンプレートの更新は、そのテンプレートに基づくすべての qube によって自動的に「継承」されます。次に、共有テンプレートを使用すると、安全なドメインごとに完全なオペレーティング システムをインストールする個別の VM と比較して、ストレージ要件を大幅に削減できます。
Qubes OSの基本インストールでは、 FedoraおよびDebian Linuxディストリビューションに基づいた公式にサポートされているテンプレートが多数提供されます。コミュニティでサポートされている代替テンプレートには、 Whonix、Ubuntu、Arch Linux、CentOS、Gentooなどがあります。[6]ユーザーは独自のテンプレートを作成することもできます。
Qubes OSのようなオペレーティングシステムは、学術界では統合型マルチレベルセキュア（MLS）システムと呼ばれています。[7]同様のシステムの提案もいくつかあり[8] [9]、SecureViewとVMware vSphereは商業的な競合相手です。[要出典]
セキュリティ目標
Qubesは、分離によるセキュリティアプローチを実装しています。[10] 完璧でバグのないデスクトップ環境は存在しないという前提です。そのような環境には、何百万行ものコードと何十億ものソフトウェア/ハードウェアの相互作用が含まれます。これらの相互作用のいずれかに重大なバグが1つあるだけで、悪意のあるソフトウェアがマシンを制御するのに十分である可能性があります。 [11] [12]
Qubes OSを使用してデスクトップを保護するには、ユーザーはさまざまな環境を分離するように注意します。そうすることで、コンポーネントの1つが侵害された場合でも、悪意のあるソフトウェアはその環境内のデータにのみアクセスできるようになります。[13]
Qubes OS では、分離は 2 つの次元で提供されます。ハードウェア コントローラーは機能ドメイン(ネットワーク ドメイン、USB コントローラー ドメインなど) に分離できますが、ユーザーのデジタル ライフは信頼レベルの異なる セキュリティ ドメインに分割されます。
例えば、仕事ドメイン（最も信頼されている）、ショッピングドメイン、ランダムドメイン（信頼されていない）。[14]これらの各ドメインは、別々のキューブで実行されます。
Qubesはデフォルトでパスワードなしのルートアクセス（例：パスワードなしのsudo）を持っています。[15] UEFIセキュアブートはそのままではサポートされていませんが、これは大きなセキュリティ問題とは見なされていません。[16] Qubesはマルチユーザーシステム ではありません。[17]
インストールとシステム要件
Qubes OS はデスクトップに重点を置いたオペレーティング システムとして、パーソナル コンピュータのハードウェアをターゲットにしています。この市場は、Intel および AMD のプロセッサとチップセットを搭載したラップトップが主流です。
Qubes OS の基本システム要件は次のとおりです。
- 仮想化拡張機能を備えた 64 ビット Intel または AMD プロセッサ (2013 年以降、Qubes OS は 64 ビット プロセッサのみをサポートしています。[16]さらに、リリース 4.x 以降、Qubes OS には、EPT とIntel VT-dを備えたVT-xをサポートするIntelプロセッサ、またはRVI (SLAT) とAMD-Vi (別名 AMD IOMMU) を備えたAMD-VをサポートするAMDプロセッサが必要です。 [ 18] AMD IOMMU は機能的に Intel の VT-d と同一であるため、これは AMD プロセッサにとって大きな問題ではありません。[18] )
- 最低6GBのRAM
- 最低32GBのディスク容量[19]
ユーザーエクスペリエンス
ユーザーは、いくつかの重要な違いはあるものの、標準的なグラフィカル デスクトップ オペレーティング システムとほぼ同じ方法で Qubes OS を操作します。
- qubes (セキュリティ ドメイン) を作成すると、共有テンプレートを使用して完全なルート ファイル システムにリンクすることで、個別で無駄のない安全なアプリケーション スペースを作成する手段が提供されます。
- それぞれのキューブから起動されたアプリケーションは、固有の色のウィンドウ境界によって区別されます。
- 特定のキューブで初めてアプリケーションを開くと、システム ハードウェアによっては若干の遅延が発生する場合があります。
- ファイルの共有[20]とクリップボード貼り付けバッファ[21]は、キューブが共通のクリップボードやファイルシステムを共有しないため、特別なメカニズムを利用します。
- ユーザーは、特定の要件に合わせて、必要な数のキューブを作成および管理できます。
システムアーキテクチャの概要
Xen ハイパーバイザーとドメイン
Xen ハイパーバイザーは、Xen 用語では ドメインと呼ばれる、ホストされている仮想マシン間の強力な分離を提供します。
Xen によって開始される最初のドメインは、ドメイン 0または一般にdom0と呼ばれる特権管理ドメインです。
管理ドメイン: dom0
Qubes OS 4.1.2 以降、dom0 で実行されているオペレーティング システムは、準仮想化 Linux カーネルを実行するFedora Linuxです。dom0 の Linux カーネルは、標準の Linux カーネル デバイス ドライバーを介して、すべての物理システム ハードウェアへのアクセスを制御および仲介します。
オペレーティング システムは、ユーザーのグラフィカル デスクトップをホストし、ほとんどのハードウェア デバイスを制御します。これには、グラフィック デバイス、USB ポート、ストレージ、およびキーボードやマウスなどの入力デバイスが含まれます。基本のグラフィカル デスクトップは、X サーバー、Xfwm ウィンドウ マネージャー、およびXFCE デスクトップで構成されます。
設計上、dom0はqubeとの直接的なやり取りを最小限に抑え、そこから発生する攻撃の可能性を最小限に抑えます。[22] [23]
dom0 オペレーティング システムとそれに含まれるテンプレート OS イメージの更新は、dom0 オペレーティング システムをネットワークに直接接続する必要のない特別なメカニズムを介して実行されます。
ユーザードメイン: qubes
アプリ キューブ (キューブのインスタンス) は、Web ブラウザー、電子メール クライアント、テキスト エディターなどの標準ユーザー アプリケーションの、安全で区分化された実行を提供します。
アプリ キューブの操作はQube Managerによって制御されます。Qube Manager は個別のアプリ キューブを起動し、そのアプリケーションを通常のプロセス ウィンドウとして dom0 のデスクトップに表示します。
このメカニズムはサンドボックスの考え方に基づいています。アプリケーションの実行、ドキュメントの閲覧などを行った後、シャットダウン時に使い捨てのファイル全体が破棄されます。[24]
Qubes OS は、すべてのアプリ キューブを 1 つの共通デスクトップ環境に統合します。特定のプロセスの各アプリ キューブの ID は、アプリ キューブのプロパティで定義される偽造不可能な色付きのウィンドウ境界によって提供されます。
dom0 のディスク使用量は、複数のアプリ キューブが読み取り専用モードで維持される共通の「テンプレート」ルート ファイル システム イメージを共有できるようにすることで最小限に抑えられます。追加のディスク ストレージは、ユーザーのアプリケーション、データ、および VM ごとの設定にのみ使用されます。
ネットワークドメイン
ネットワーク メカニズムは、セキュリティ攻撃に最もさらされています。これを回避するには、ネットワーク メカニズムを、ネット キューブと呼ばれる別の非特権キューブに分離します。
Linuxカーネルベースのファイアウォールを収容するために別のファイアウォールドメインが使用されるため、ネットワークドメインが侵害された場合でも、ファイアウォールは分離され保護されたままになります（別のVM内の別のLinuxカーネルで実行されているため）。 [25]
受付
エドワード・スノーデン、ダニエル・J・バーンスタイン、クリストファー・ソゴイアンなどのセキュリティとプライバシーの専門家は、このプロジェクトを公に賞賛している。[26]
ジェシー・スミスはDistroWatch WeeklyにQubes OS 3.1のレビューを書いた: [27]
しかし、試用開始から 2 日目に、Qubes の使い方を間違っていたことに気付き、衝撃を受けました。Qubes をセキュリティ強化 Linux ディストリビューションとして、つまりセキュリティを強化した通常のデスクトップ オペレーティング システムとして扱っていたのです。ドメイン間でファイルを共有したり、スクリーンショットを撮ったり、Domain Zero で開いたプログラムからインターネットにアクセスしたりするのが難しく、すぐにイライラしてしまいました。Qubes を、たまたまディスプレイ画面を共有している複数の独立したコンピューターとして考えるようになってから、私の経験は大きく改善されました。各ドメインを他のドメインから切り離された独自の島として見るようになってから、Qubes がずっと納得のいくものになりました。Qubes は、仮想化によって同じサーバー上で複数のオペレーティング システムを実行できるのとほぼ同じように、ドメインを 1 つのデスクトップにまとめます。
Linux JournalのKyle Rankinは2016年にQubes OSをレビューしました: [28]
Qubes が通常の Linux デスクトップよりも優れたセキュリティを提供している領域がいくつかあることに、すでにお気づきかと思います。
2014年、Qubesは国際人権団体Access Nowが主催するAccess Innovation Prize 2014のエンドポイントセキュリティ部門のファイナリストに選出されました。[29]
参照
注記
- ^ Qubes OS が使用するベース (dom0) オペレーティング システムはFedora (ソース) であり、(2022 年 12 月現在) GNU coreutils を使用しています。
参考文献
- ^ 「Qubes は GNU フリー システム配布ガイドライン (GNU FSDG) の認定を取得する予定ですか?」
- ^ 「Qubes OS ライセンス」。
- ^ 「Qubes 1.0のご紹介！」 2012年9月3日。
- ^ 「Qubes OS のライセンス」. www.qubes-os.org。
- ^ 「Qubes OS は強力なシステムレベルのセキュリティを組み込んでいます」。The Register。2012 年 9 月 5 日。
- ^ 「Qubes OS テンプレート」。
- ^ Issa, Abdullah; Murray, Toby; Ernst, Gidon (2018 年 12 月 4 日)。「完璧なユーザーを求めて: 統合されたマルチレベルの安全なユーザー インターフェイスの使いやすさの理解に向けて」。第 30 回オーストラリア コンピューター ヒューマン インタラクション カンファレンスの議事録。OzCHI '18: 第 30 回オーストラリア コンピューター ヒューマン インタラクション カンファレンス。メルボルン、オーストラリア:計算機協会( ACM)。p. 572576。doi : 10.1145 /3292147.3292231。ISBN 978-1-4503-6188-0. 2020年11月1日閲覧。
- ^ Beaumont, Mark; McCarthy, Jim; Murray, Toby (2016 年 12 月 5 日)。「クロスドメイン デスクトップ コンポジター: ハードウェアベースのビデオ合成を使用したマルチレベルの安全なユーザー インターフェイス」。第 32 回コンピューター セキュリティ アプリケーション年次会議の議事録。ACSAC '16: 2016 年コンピューター セキュリティ アプリケーション年次会議。米国カリフォルニア州ロサンゼルス: Association for Computing Machinery (ACM)。p. 533545。doi :10.1145 / 2991079.2991087。ISBN 978-1-4503-4771-6. 2020年11月1日閲覧。
- ^ アタナス・フィリヤノフ;ナス、アイセギュル。フォルカマー、メラニー（2013年7月1日）。 「ポスター: 安全な GUI の使いやすさについて」。 p. 11. S2CID 17605611。
{{cite web}}:欠落または空|url=(ヘルプ) - ^ 「コンピュータ セキュリティへの 3 つのアプローチ」 Joanna Rutkowska。2008 年 9 月 2 日。
- ^ 「Qubes OS: セキュリティのために設計されたオペレーティング システム」。Tom's hardware。2011 年 8 月 30 日。
- ^ 「デジタル要塞か?」エコノミスト誌2014年3月28日。
- ^ 「コンピューターを複数の現実に分割することでハッカーから身を守る方法」 Wired、2014年11月20日。
- ^ 「デジタルライフをセキュリティドメインに分割する」 Joanna Rutkowska. 2011 年 3 月 13 日。
- ^ VM でのパスワードなしのルート アクセス
- ^ ab Qubes FAQ
- ^ Rutkowska, Joanna (2010 年 5 月 3 日)。「Google グループ - マルチユーザー システムとしての Qubes」。Googleグループ。
- ^ ab なぜ Intel VT-d なのか?
- ^ Qubes システム要件
- ^ 「qubes間でのファイルのコピー」。Qubes OS 。 2020年6月5日閲覧。
- ^ 「コピー＆ペースト」Qubes OS . 2020年6月5日閲覧。
- ^ 「GUI サブシステムを（信頼しない）」.ジョアンナ・ルトコウスカ。 2010 年 9 月 9 日。
- ^ "Linux セキュリティ サーカス: GUI の分離について".ジョアンナ・ルトコウスカ。 2011 年 4 月 23 日。
- ^ 「Qubes、使い捨て仮想マシンを実装へ」OSnews、2010 年 6 月 3 日。
- ^ 「Qubes Networking で遊んで、楽しみながら利益を得る」 Joanna Rutkowska. 2011 年 9 月 28 日。
- ^ 「エンドポイント セキュリティ賞のファイナリストが発表されました!」
- ^ DistroWatch Weekly、第656号、2016年4月11日
- ^ Qubes によるデスクトップのセキュリティ: はじめに | Linux Journal
- ^ 「エンドポイント セキュリティ賞のファイナリストが発表されました!」。Michael Carbone。2014 年 2 月 13 日。
外部リンク
Wikimedia Commons には、Qubes OSに関連するメディアがあります。
- 公式サイト
- DistroWatchの Qubes OS