Proč používám Qubes: 3 bezpečnostní důvody, které žádná běžná distribuce Linuxu nemůže nabídnout

Nevím, jak vy, ale po nějaké době používání běžné instalace Linuxu nebo Windows se stávám docela paranoidní ohledně toho, co jsem při té příležitosti mohl získat. Často jsem přeinstalovával svůj systém jen kvůli klidu na duši. Takové věci, jako jsou soubory, chyby v softwaru nebo dokonce špatně napsané webové aplikace, vás mohou vystavit obrovským problémům. Qubes je změna hry a trvale působí jako čerstvý systém—tady jsou tři důvody, proč mě uklidňuje.

Jak se Qubes liší

Díky své odlišnosti je Qubes pro většinu uživatelů Linuxu stále záhadou. Většina z nich je však obeznámena s virtuálními počítači (VM), které představují jeho hlavní obranný mechanismus. Qubes vyzývá uživatele, aby si rozdělili svůj život do bezpečnostních domén; každá doména slouží k určitým úkolům: například práce, internetové bankovnictví a běžné prohlížení webu. Tyto hranice umožňují uživatelům provádět rizikovější aktivity odděleně od důležitějších činností, což omezuje škody v případě útoku.

Jednou z unikátních funkcí Qubes je jednorázový VM. Jedná se o jednorázovou doménu, která spustí čistý systém Linux a po jeho zastavení ho zlikviduje—vymaže veškeré změny, včetně případného kompromitování. Při použití standardního SSD se tyto domény spustí během 4-5 sekund, takže jsou rychlé. Typickým použitím jsou riskantnější úkoly, například otevření nedůvěryhodného PDF. Zní to neobratně, ale právě to je hodnota, kterou Qubes přináší: soubor nástrojů, který takto náročné úkoly činí snesitelnějšími.

Stručně řečeno, bezpečnostní hranice rozdělují činnosti podle rizika; jednorázové virtuální stroje jsou určeny pro ty s vysokým rizikem a obnovují všechny změny.

Spuštění libovolného kódu znamená konec hry

Spuštění libovolného kódu (ACE) je vykonání kódu na počítači oběti prostřednictvím zranitelností v softwaru. Například webový prohlížeč, který nesprávně zpracovává data, může poškodit paměť aplikace, což způsobí její neobvyklé chování - někdy i spuštění škodlivého kódu. To je oblast bezpečnosti paměti v programování a počítačové bezpečnosti a jedním z největších původců chyb jsou jazyky, které nejsou bezpečné pro paměť (jako C nebo C++).

Jazyky, které nejsou bezpečné ohledně paměti, tvoří více než 50 % nejlepších open-source projektů a drtivou většinu kódových základen Linuxu a libc. Tyto dvě součásti jsou jádrem vašeho systému a každá aplikace s nimi nějakým způsobem interaguje. Takže na určité úrovni vše prochází systémy, které nejsou bezpečné ohledně paměti.

Lidé neradi slyší, že jejich milovaný Linux by mohl být zranitelný, ale je to pravda. I když má důkladný proces kontroly, není nezranitelný—stejně tak ani Windows, Firefox, Chromium, Android nebo iOS.

Protože ACE umožňuje útočníkům spustit jakýkoli kód, který si přejí, je to v podstatě konec hry. Na Qubes se to stále může stát, ale protože mám nastavené oddělené bezpečnostní domény, škody jsou omezeny pouze na jednu s nedůležitými daty. Například nebudu otevírat cizí soubory ve svém bankovním VM, ale raději v nízkoprioritní nebo dočasné doméně, což zajišťuje, že odcizené informace nejsou důležité a kompromitace zmizí po jejím vypnutí.

Náhodné soubory jsou pochybný

Jak již bylo zmíněno, zranitelnosti ACE mohou ovlivnit jakýkoli software, který nesprávně zpracovává nedůvěryhodný vstup. Příklady takových aplikací jsou čtečky PDF, obrázků a dokumentů a jejich soubory jsou již dlouho běžným cílem útoků.

PDFy jsou obzvlášť nebezpečné, protože mohou spouštět vlastní JavaScript (JS). Kromě svých běžných funkcí umožňují vytváření složitějších útoků, které mohou obejít jakákoliv zavedená omezení. Adobe má dlouhou historii bezpečnostních incidentů se svým PDF přehrávačem a nad otevřením takových nedůvěryhodných souborů bych se dvakrát zamyslel.

Opět přicházejí na pomoc bezpečnostní domény Qubes. Omezují rozsah útoků a při restartu mažou změny na úrovni systému. Můžete si také pohodlně nastavit příkaz xdg-open tak, aby otevíral určité typy souborů v dočasných VM, což nutí vaše e-mailové přílohy nebo stažené soubory z prohlížeče k samostatné izolaci v zabezpečené doméně. To snižuje pravděpodobnost chyb a s Qubes 4.3 jsou připraveny dočasné VM, které čekají v pohotovosti, což urychluje celý proces.

XSS je neúčinný

Pokud si to neuvědomujete, webové prohlížeče jsou hrozně nejisté. Jsou jako loď s tisíci dírami a tisíci námořníky s tisíci kbelíky, kteří ji vypumpovávají jednu záplatu po druhé. Prohlížeče zůstávají nad vodou díky neustálé tvrdé práci, ale nelze popřít, že kvůli obrovské složitosti jsou plné nebezpečí.

Cross-site scripting (XSS) je jen jednou z takových zranitelností: vložení JS kódu do webové stránky za účelem provádění škodlivých akcí nebo krádeže informací. Zdroje zahrnují úmyslně upravené URL, zprávy, SVG a desítky dalších. Není to však tak volné, jako tomu bývalo, protože XSS stále vyžaduje špatně naprogramovanou webovou aplikaci, aby fungovalo. Přesto je naivní jim slepě důvěřovat, protože lidé často chyby dělají a někdy se prostě nestarají. Vstupujeme do zvláštního světa, kde někteří nečtou svůj produkční kód, což je bezohledné.

Pravděpodobně nechcete, abych se marně snažil, a jsem si jistý, že dokážete odhadnout, jak mě Qubes chrání. Když XSS exploit prorazí prostřednictvím mnoha překážek, které už má před sebou, ocitne se v bezpečnostní doméně, která neposkytuje žádnou hodnotu. U bezpečnostních domén, na kterých mi velmi záleží (např. bankovnictví), je používám k jedinému účelu a jakýmkoli webovým stránkám, které navštěvuji, plně důvěřuji.

To jsou jen některé způsoby, jak mě Qubes chrání, a nezmiňoval jsem aspekty soukromí, jako je rozdělení mých online identit, přesměrování provozu různými tunely nebo ochrana mého systému před zranitelnými síťovými zařízeními - o kterých jsem psal v jiném článku.

Není to pro každého, ale nedokážu si představit web bez toho. Vyřešilo to pro mě velký problém, protože pokaždé, když začnu s bezpečnostní doménou, vím, že jde o systém, který je tak svěží, jako když jsem ho nainstaloval.

Doporučuji vám zvážit Qubes. Pokud máte zájem, navštivte jejich webové stránky pro více informací a podívejte se na jejich seznam kompatibility hardwaru, abyste zjistili, zda podporuje váš hardware.