Захищена операційна система Qubes для настільних комп’ютерів
Завантаження та перевірка файлу образу інсталяційного диска операційної системи Qubes формату ISO
Ви можете завантажити найновішу версію Qubes з цієї сторінки , причому на ній крім посилання на завантаження образу інсталяційного диска формату ISO, ви також знайдете докладніші інструкції щодо використання накопичувача з інтерфейсом USB для створення інсталяційного диска на основі завантаженого файлу образу формату ISO (на даний момент розмір файлу образу інсталяційного диска новітньої версії 3.1 перевищує розмір DVD, тому вам у будь-якому випадку знадобиться накопичувач з інтерфейсом USB для встановлення даної версії).
Крім файлу образу інсталяційного диска формату ISO, вам також слід завантажити файл з електронним підписом та файл відкритого ключа за допомогою відповідних посилань на згаданій сторінці. Файл з електронним підписом містить підпис GPG, створений за допомогою закритого ключа GPG команди розробників Qubes. Завдяки ній ви можете переконатися не тільки в тому, що файл образу інсталяційного диска не був пошкоджений у процесі завантаження, але й у тому, що ніхто не підмінив оригінальний файл створений командою розробників Qubes. Зрозуміло, зловмисник може підмінити файл образу інсталяційного диска, а також файл відкритого ключа, тому слід завантажувати файл відкритого ключа з окремих комп'ютерів, розташованих в окремих мережах (в ідеалі не пов'язаних з вашою мережею) і використовувати такий інструмент, як sha256sum для порівняння всіх хешів завантажених файлів. У тому випадку, якщо всі хеші збігаються, ви можете бути цілком впевнені в тому, що для створення електронного підпису використовувався коректний ключ, адже одночасна модифікація потоків даних, що передаються міжкількома комп'ютерами та мережами є досить складним завданням для будь-якого зловмисника.
Після того, як ви перевірите коректність відкритого ключа, ви можете додати його у свою зв'язку ключів GPG за допомогою наступної команди:
Далі ви можете використовувати утиліту gpg для перевірки електронного підпису завантаженого файлу образу інсталяційного диска формату ISO:
У висновку вас повинен насамперед цікавити рядок "Good signature", який повідомляє про збіг електронного підпису. Якщо ви виявите попередження, таке, як у прикладі виведення вище, вам потрібно буде просто додати відкритий ключ у свою зв'язку ключів і знову виконати останню команду, після чого можна буде зробити однозначний висновок про безпеку завантаженого образу.
Установка Qubes
Процес установки операційної системи Qubes є дуже очевидним і простим, або дуже складним залежно від використовуваного апаратного забезпечення. Через складнощі комбінування технології віртуалізації та апаратних можливостей різних пристроїв, необхідних для коректної роботи Qubes, ця операційна система не завжди коректно працює навіть на тих комп'ютерах, на яких раніше відмінно працювали різні дистрибутиви Linux. На веб-сайті проекту Qubes розташований список сумісного апаратного забезпечення, на основі якого ви можете зробити попередній висновок про коректність роботи того чи іншого пристрою, причому на цьому ж веб-сайті розпочато створення списку сертифікованого апаратного забезпечення, до якого додано лише перший офіційно сертифікований до запуску Qubes ноутбук Purism Librem 13.
Як і у випадку роботи з більшістю установників дистрибутивів, вам буде надано можливість поділу вашого жорсткого диска нарозділи, причому ви можете як погодитись із запропонованим поділом, так і створити власний поділ. Зверніть увагу на те, що за замовчуванням Qubes активує функцію шифрування даних на розділах жорсткого диска, тому вам доведеться створити щонайменше один окремий розділ /boot. Після закінчення роботи інсталятора ви побачите вікно майстра конфігурації системи, за допомогою якого ви зможете встановити значення декількох додаткових параметрів конфігурації, таких як активація віртуальної машини USB з ім'ям sys-usb. Ця віртуальна машина дозволить ізолювати всі ваші пристрої з інтерфейсом USB та захищатиме всі програмні компоненти оточення робочого столу від шкідливих USB-пристроїв. Цей механізм все ще є експериментальним і має деякі переваги та недоліки, про які я розповім у наступній статті. За замовчуванням відповідний параметр конфігурації системи деактивовано, тому в тому випадку, якщо ви не впевнені в необхідності активації описаного механізму, просто не активуйте його в процесі встановлення - при необхідності ви в будь-якому випадку зможете створити віртуальну машину пізніше.
Крім того, інсталятор також дозволяє вибрати оточення робочого столу для встановлення: KDE, XFCE або обидва. Якщо ви встановите обидва оточення, ви зможете вибирати необхідне оточення робочого столу в процесі входу в систему так само, як і в будь-якому іншому дистрибутиві Linux. Зважаючи на дешевизну дискового простору, я рекомендую вам встановити обидва оточення робочого столу.
Робочий стіл Qubes
Незалежно від того, виберіть ви KDE або XFCE як оточення робочого столу, основний принцип запуску додатків у Qubes залишиться колишнім, тому замість опису особливостей певногооточення робочого столу, я спробую максимально узагальнено описати можливості системи таким чином, щоб цей опис підходив як до KDE, так і до XFCE.
Рисунок 1. Приклад меню запуску програм оточення робочого столу Qubes
Qubes групує віртуальні машини в меню програм відповідно до їх типів. Важливо розуміти призначення віртуальних машин кожного з типів, адже це розуміння дозволить вам приймати більш безпечні рішення щодо обґрунтованості (або відсутності підстав) для виконання певних дій у рамках віртуальної машини того чи іншого типу. А це перелік типів віртуальних машин:
Встановлення додатків
Після того, як ви встановите програму, файл .desktop з його комплекту поставки буде поміщений у призначену для нього директорію і Qubes автоматично помістить цю програму до списку програм, доступних для запуску в рамках віртуальних машин програм. При цьому воно автоматично не з'явиться у меню запуску програм. Для того, щоб додати його в меню запуску програм, вам доведеться вибрати пункт підменю «Add More Shortcuts» меню будь-якої віртуальної машини програм і перемістити його до списку видимих програм. Ви також можете просто відкрити програму терміналу в будь-якій з віртуальних машин програм і запустити встановлений додаток за допомогою нього.
Менеджер віртуальних машин Qubes
Менеджер віртуальних машин Qubes є програмою з графічним інтерфейсом, що дозволяє керувати віртуальними машинами системи Qubes. В основному вікні програми знаходиться список всіх віртуальних машин, що працюють, з інформацією про використання кожної з них таких ресурсів, як час центрального процесора, оперативна пам'ять і дисковий простір, а також про обраний вами колір івіртуальної машини, на якій вона заснована. У верхній частині вікна розташована панель інструментів з кнопками, що дозволяють виконувати різні операції з обраною віртуальною машиною, включаючи створення нової віртуальної машини або видалення існуючої віртуальної машини, увімкнення та вимкнення віртуальної машини, зміна її налаштувань та перемикання формату виведення списку з метою показу лише функціонуючих вірту машин чи всіх існуючих віртуальних машин.
Малюнок 2. Менеджер віртуальних машин Qubes з деякими віртуальними машинами, що функціонують.
Ви можете змінити безліч параметрів функціонування віртуальної машини, при цьому менеджер віртуальних машин робить процес створення нової віртуальної машини або зміни стандартних параметрів досить простим і прямолінійним. Основними параметрами віртуальної машини, які ви напевно змінюватимете, є колір віртуальної машини, квоти використання нею оперативної пам'яті та дискового простору, шаблонна віртуальна машина, на якій вона ґрунтується, а також мережева віртуальна машина, з якою вона з'єднана. На додаток ви можете використовувати цю програму для створення власних правил міжмережевого екрану, встановлення відповідності апаратних пристроїв, що використовують шину PCI, та віртуальних машин, а також зміни меню запуску програм.
Менеджер віртуальних машин є одним з найбільш корисних компонентів операційної системи, тому що він значно спрощує навігацію по складній системі утиліт з інтерфейсом командного рядка і файлів конфігурації. У комбінації з деякими іншими інструментами операційної системи Qubes, такими як менеджер буфера обміну (реалізує метод копіювання та вставки, що полягає впереміщення даних з локального буфера обміну віртуальної машини програми в глобальний буфер обміну за допомогою клавіш Ctrl-Shift-c, виборі віртуальної машини програми для вставки даних і вставці даних у вікно програми за допомогою сполучення клавіш Ctrl-Shift-v), а також утиліт з інтерфейсом командного рядка та графічним інтерфейсом, які дозволяють копіювати файли між віртуальними машинами додатків, він створює оточення, яке набагато простіше використовувати, ніж здається при врахуванні всієї складності реалізації описаних концепцій.