Йоанна Рутковская (http://ru.wikipedia.org/wiki/%D0%A0%D1%8... (Joanna Rutkowska) представила (
http://theinvisiblethings.blogspot.ru/2014/04/qubes-os-r2-rc... кандидат в релизы второго значительного выпуска операционной системы Qubes, реализующей идею строгой изоляции приложений и компонентов ОС с задействованием системы виртуализации Xen. Для загрузки доступен (http://wiki.qubes-os.org/trac/wiki/QubesDownloads) установочный образ, размером 3 Гб. Для работы Qubes необходима система с 4 Гб ОЗУ, 64-разрядным CPU Intel или AMD, желательно с поддержкой технологий VT-x/AMD-v и VT-d/AMD IOMMU. Из графических карт в полной мере поддерживается только карты Intel, при использовании NVIDIA наблюдаются проблемы, а работа карт AMD/ATI не протестирована.
Приложения в Qubes разделены на классы в зависимости от важности обрабатываемых данных и решаемых задач, каждый класс приложений, а также системные сервисы (сетевая подсистема, работа с хранилищем и т.п.), работают в отдельных виртуальных машинах. При этом указанные приложения бесшовно доступны в рамках одного рабочего стола и выделяются для наглядности разным цветом обрамления окна. Каждое окружение имеет доступ на чтение к базовой корневой ФС и локальному хранилищу, не пересекающемуся с хранилищами других окружений, для организации взаимодействия приложений используется специальный сервис. Подробнее с особенностями системы можно познакомиться в анонсе (http://www.opennet.me/opennews/art.shtml?num=34732) первого выпуска Qubes.<center><a href="http://wiki.qubes-os.org/trac/raw-attachment/wiki/QubesScree... src="http://www.opennet.me/opennews/pics_base/0_1362199283.png" style="border-style: solid; border-color: #e9ead6; border-width: 15px;" title="" border="0"></a></center>
По сравнению с прошлым тестовым выпуском осуществлён перевод компонентов хост-окружения и гостевых систем на пакетную базу Fedora 20. Обеспечена поддержка загрузки полных шаблонов окружений через новые репозитории templates-itl и templates-community, которые позиционируются в качестве AppStore-каталогов виртуальных машин. В настоящее время предлагается только шаблон на основе Fedora 20, но в ближайшие недели число шаблонов планируется увеличить, например, будут добавлены шаблоны на основе Arch Linux и Debian. В проприетарном расширении Windows AppVM, нацеленном на обеспечение запуска приложений для платформы Windows, добавлена реализация режима обособленного десктопа с возможностью произвольного изменения размера окна, а также возможность переключения в режим бесшовного запуска Windows-программ на основном рабочем столе Qubes.URL: http://theinvisiblethings.blogspot.ru/2014/04/qubes-os-r2-rc...
Новость: http://www.opennet.me/opennews/art.shtml?num=39612
Кто скажет, чем это лучше запуска приложений через Docker или lmctfy?
В отличие от любых «контейнеров», Qube предлагает изоляцию процессов в ОТДЕЛЬНЫХ, НЕЗАВИСИМЫХ, ИЗОЛИРОВАННЫХ КОПИЯХ ОС.Например, bash исполняется внутри собственной минимальной, JeOS, абсолютно самостоятельной системы.
И, например, postfix исполняется внутри собственной минимальной, JeOS, абсолютно самостоятельной системы.И так далее.
А кто скажет, чем это лучше по сравнению с Role-Based Access Control?
Это не лучше или хуже, - это просто разные вещи. Эффективная изоляция процессов вовсе не обозначает что доступом к ним не надо управлять, а ролевая модель доступа вполне годится для этого и может быть использована для этих целей в сабже. Гм.. хотя, конечно "может" не значит "используется", а сам сабж я не ковырял.
Так контейнеры вроде для того и создавались, чтобы не запускать целую ОС для изоляции отдельного приложения. Разве нет?
А вот Qŭbes создан по иной идеологии — один процесс=одна целая ось.Postfix смотрит в Сеть и на этой его отдельной оси живы два порта: 25 и 443.
И так далее.
Аудит и харденинг изолируются, упрощаются, структурируются.
> Аудит и харденинг изолируются, упрощаются, структурируются.Кстати, мне вот интересно, как вообще аудитить контейнеры, когда в Linux audit и LXC являются взаимоисключающими технологиями. На исправление рассчитывать не стоит - Торвальдсу проще опять все на Леннарта свалить.
в контейнере тоже отдельный сетевой стек.
> Так контейнеры вроде для того и создавались, чтобы не запускать целую ОС
> для изоляции отдельного приложения.Именно поэтому они и обеспечивают менее полную изоляцию. Это просто другая точка на шкале цены защита/оверхед.
> Кто скажет, чем это лучше запуска приложений через Docker или lmctfy?Лучше - выше степень изоляции (сложнее поиметь хости и другие программы при помощи дырок в ядре).
Хуже - больше оверхед.
> Кто скажет, чем это лучше запуска приложений через Docker или lmctfy?Виртуалку от контейнера отличаете?
"Decent for antimalware or blocking accidental leaks between VMs. However, it's not designed for anonymity through and through. We'd probably have to do a similar amount of effort on it to whats already done with TAILs."Для анонимности в сети, к сожалению, не подходит.
Дистр даёт только безопасность на машине, просто защита для программ.
А что, все в Эдварды Сноудены подались? Просто безопасность уже не катит? Накати поверхвсего всего этого Tor и радуйся, только американские спецслужбы будут знать что ты в порнтубе смотришь.
Tor это троян!
> Tor это троян!Tor не безопасен, безопасность достижима только в I2P - подсказывает нам NSA.
TOR разработан правительством США, но у него открыт код и есть альтернативная реализация с нуля..
Хотя кто знает что там в официальных бинарниках на сайте которые наверняка никто не проверяет потому что есть исходники..
Какой идиот будет такое смотреть через Тор? Он же скорость порежет сильно. Тор для других вещей. Сейчас наступило время, когда люди смогут чувствовать себя в безопасности только тогда, когда все их привычки и нравы не будут сливаться куда попало.
Настало время когда на опеннете рассказывают про чувства.
Это подготовительный пост перед тем, как ты всем расскажешь что-то о своих чувствах? Давай, не стесняйся. :)
> Дистр даёт только безопасность на машине, просто защита для программ.Одних установленных у тебя программ от других установленных у тебя программ?
Какие минимальные требования к ресурсам для запуска данной os.
?
В новости всё написано же.
С такими требованиями к железу - нафик.
> С такими требованиями к железу - нафик.Да, не самый лучший дистрибутив для школы.
4ГБ ОЗУ мало верится. У меня с 4ГБ (больше материнка не поддерживает) хром с 5-10 закладками частенько дерется с QEMU (в котором банальный postfix и ssh торчат в инет). Тупит минуту, потом в dmesg видно, что OOM кильнул пару деток хрома.А тут полноценная изоляция... 8 гиг минимум.
Кстати, разные задачи запускаю под разными пользователями linux с помощью sux.
Т.е. 1 браузер для финансов, другой браузер для всякой фигни. Против малвари наверняка достаточно. Проблема в том, что ещё б браузер секурный найти. В хрома и Фаерфокс веры мало.
> Проблема в том, что ещё б браузер секурный найти. В хрома и Фаерфокс веры мало.Неужели тот браузер версии 11, о котором я подумал ... :)
> Неужели тот браузер версии 11, о котором я подумал ... :)Который закрытый блоб с бэкдорами и прекращенной поддержкой?
В хроме закладки? АНБ и туда пробраслось!?
Мне вот интересно: все эти приложения из отдельных виртуалок выводятся потом на один X-сервер? Там используется x11 untrusted (с которым половина программ не очень любит работать, да и у которого логика довольно странная), или одно окружение через X-подключение может иметь неограниченный доступ ко всем остальным (что делает всю затею бесполезной), или там используется что-нибудь вроде Xephyr?
реально, пока - основной минс - не дружит с виртуализацией AMD и управлялки для многих фич - все еще из CLI.
а так - Годная вещь !!
для промышленных применения или DLP. да и просто в корпоративной среде развернуть
особенно если будет форк с BSD или QNX -ядром, seL4 итп.
