С виртуалните машини хакването не трябва да е толкова лошо

ВСИЧКИ ОСНОВНИ ПОТРЕБИТЕЛСКИ операционни системи, включително Windows, Mac OS X и Linux, са твърде лесни за хакване. Една злополука — отваряне на грешен прикачен файл към имейл, инсталиране на зловреден софтуер, който се представя за Flash, неактуализиране на софтуера ви достатъчно бързо — и вие сте дали ключовете за кралството на нападател.

Ако този нападател получи възможността да изпълнява програми по свой избор на компютъра ви, както често се стреми да направи, той има достъп до всичките ви файлове. Те могат да започнат да регистрират вашите натискания на клавиши, да правят екранни снимки и дори да слушат микрофона ви и да гледат през вашата уеб камера.

Но е възможно да изолирате най-рисковите файлове и програми от други части на вашия компютър. Използвайки софтуер за виртуализация, същата технология, която захранва голяма част от така наречените облачни изчисления, е възможно да защитите системата си, дори когато отваряте прикачени файлове, които може да са схематични, посещавате уебсайтове, за които не сте много сигурни - порно сайтове, торент сайтове, пиратски телевизионни и спортни сайтове — или тествайте софтуер, изтеглен от произволни уебсайтове. Можете също така да използвате тази технология, за да гарантирате, че вашата анонимна онлайн дейност остава анонимна, като защитавате защитата на поверителността, предлагана от Tor, като гарантирате, че абсолютно целият интернет трафик се насочва през нея - дори ако вашият софтуер, като Tor Browser или Pidgin, бъде хакнат специално за заобиколете Tor.

В тази колона ще започна с прост пример за виртуални машини, включително как да инсталирате Ubuntu дистрибуцията на Linux в една от тях, и ви насърчавам да следвате. След това ще очертая няколко начина, по които можете да използвате виртуални машини, за да намалите риска от хакване, и ще разгледам някои предупреждения относно сигурността. След това ще покажа Whonix, операционна система, която можете да стартирате във виртуална машина, за да увеличите максимално вашата онлайн анонимност; той е идеален за поддържане на тайна самоличност. И накрая ще дам кратък преглед на Qubes, операционна система, която е по-сигурна от повечето налични в момента и извежда сигурността на изолацията до нейните логически граници.

Виртуални машини 101

Виртуалната машина (VM) е фалшив компютър, работещ във вашия истински компютър. Всяка виртуална машина може да използва част от паметта на вашия компютър, докато работи, и има свой собствен виртуален твърд диск, който е просто файл на вашия истински твърд диск. Можете да инсталирате операционни системи в тях и можете да инсталирате и стартирате софтуер в тях. Можете да запазвате моментни снимки, преди да направите нещо потенциално опасно, и да възстановите моментната снимка, когато сте готови, връщайки вашата виртуална машина в предишното й състояние.

На езика на виртуализацията операционната система, която изпълнявате в момента, се нарича вашият „хост“ и всяка виртуална машина, която изпълнявате, е „гост“. Ако виртуална машина за гости бъде хакната, вашият хост остава в безопасност. Поради тази причина изследователите по сигурността често използват виртуални машини за изучаване на вируси: те ги пускат на своите гост виртуални машини, за да наблюдават безопасно какво се опитват да направят и как работят, без да рискуват своя хост компютър. Те „изолират“ вирусите от останалата част от компютъра си.

С любезното съдействие на XKCD

За тази статия ще използвам софтуер за виртуализация, наречен VirtualBox. Той е с отворен код и е безплатен за изтегляне. VirtualBox се предлага за Windows, Mac OS X и Linux. Продължете и изтеглете и инсталирайте копие, ако искате да следвате.

Използвам Mac хост и ще започна с инсталиране на операционната система Ubuntu, по-точно версия 15.04, в моята виртуална машина. Най-общо казано, по-лесно е да започнете с инсталиране на Linux дистрибуция във вашата виртуална машина, тъй като Linux е безплатен софтуер. Можете да инсталирате толкова Linux виртуални машини, колкото искате, където пожелаете – лесна настройка за работа.

Ако искате да тествате част от софтуера за Windows или Mac OS X във виртуална машина, за да видите дали е злонамерен, можете също да инсталирате тези операционни системи във виртуална машина. Но има законови ограничения. Например, докато OS X може да се инсталира на до две виртуални машини безплатно, трябва да сте на Mac, когато го правите. В Windows вероятно ще трябва да закупите отделни лицензи за Windows за всяка виртуална машина. Ето инструкции за инсталиране на Mac OS X във виртуална машина и за инсталиране на Windows 10 във виртуална машина.

Въпреки че стъпките по-долу са написани и илюстрирани с помощта на виртуална машина Ubuntu на Mac, все още можете да ги следвате, ако използвате Windows или Linux. И не се притеснявайте, че ще счупите нещо; винаги можете да изтриете виртуалната си машина и да започнете отначало. Това е красотата на виртуалните машини: получавате безкрайни животи, на езика на видеоигрите, така че това е чудесен начин да експериментирате и да се учите.

Създаване на виртуална машина и инсталиране на Ubuntu

Надяваме се, че вече сте изтеглили и инсталирали VirtualBox, както е указано по-горе. След това отидете на уебсайта на Ubuntu и изтеглете копие на Ubuntu.

Сега отворете VirtualBox и щракнете върху „Ново“, за да създадете нова виртуална машина. Наричам моята виртуална машина „ubuntu-test“.

Можете да изберете колко памет ще има вашата нова виртуална машина и можете да създадете нов виртуален твърд диск за нея. Каквито и ресурси да разпределите на вашата виртуална машина, няма да бъдат достъпни за други програми на вашия компютър. Придържам се към настройките по подразбиране, 768MB памет и 8GB твърд диск. Можете просто да щракнете върху всички опции по подразбиране също, ако искате, или можете да дадете на вашата виртуална машина повече ресурси. Накрая щракнете върху „Създаване“, за да създадете новата си виртуална машина.

Следващата стъпка е да инсталирате Ubuntu. С избраната ми виртуална машина „ubuntu-test“ кликвам върху „Старт“, за да я стартирам. Тъй като виртуалната машина е чисто нова, тя ме подканва да поставя инсталационен диск на операционната система. Разбира се, всъщност нямам нужда от „диск“. Вместо това мога просто да намеря и избера файла с изображение на диска (в този случай „ubuntu-15.04-desktop-amd64.iso“) и да щракна върху „Старт“.

Сега виртуалната машина започва да се зарежда от диска Ubuntu. Забележете, че ако щракнете в прозореца на виртуалната машина, VirtualBox ще ви предупреди, че виртуалната машина ще „улови“ въведеното от мишката и клавиатурата, което означава, че когато преместите мишката и пишете на клавиатурата, ще правите това във вашия гост VM, а не на вашата хост машина. Можете да натиснете „клавиша хост“, за да накарате мишката и клавиатурата да управляват отново вашия обикновен компютър. На Mac клавишът за хост е левият клавиш „Command“, а на Windows и Linux това е десният клавиш „Ctrl“.

Дискът на Ubuntu завърши зареждането. Ще щракна върху „Инсталиране на Ubuntu“ и ще следвам простите инструкции. Избирам „Изтриване на диска и инсталиране на Ubuntu“ (не се притеснявайте, изтривам само виртуалния диск на виртуалната машина, а не действителния си твърд диск). Ще измисля потребителско име и парола за влизане в тази виртуална машина и след това ще я оставя да завърши инсталирането. Когато най-накрая приключи, VM ще се рестартира в моята прясно инсталирана операционна система. (След като инсталирах Ubuntu, моята VM не успя да се изключи докрай, докато се рестартираше. Ако това се случи и на вас, щракнете върху менюто Machine и изберете Reset, за да принудите VM да се рестартира.)

Актуализиране на софтуер във виртуалната машина

Сега, след като стартирах и влязох в моята Ubuntu VM, ще актуализирам целия софтуер. Винаги поддържайте софтуера си актуален, дори във виртуални машини!

За да актуализирам целия софтуер в Ubuntu, стартирам програмата „Software Updater“, въвеждам паролата си и я оставям да си свърши работата. Тъй като току-що инсталирах тази операционна система и никога не съм правил актуализации, може да отнеме известно време, за да изтегля и инсталирам всичко.

Когато най-накрая приключите с актуализирането на съществуващия софтуер, е време да инсталирате „Добавки за гости“ на VirtualBox. Добавките за гости не са задължителни, но те ви позволяват да правите някои хубави неща, като преоразмеряване на прозореца на вашата VM, споделяне на клипборда между вашата хост машина и вашата машина за гости и настройване на споделени папки, така че вашата виртуална машина за гости да има достъп до определени файлове на вашият домакин.

За да инсталирате Guest Additions, трябва да поставите виртуален компактдиск, който съдържа софтуера, във вашата VM. Можете да направите това, като щракнете върху менюто „Устройства“ в най-горната част на екрана от програмата VirtualBox и изберете „Вмъкване на компактдиск с добавки за гости“. Ще се появи диалогов прозорец с искане за разрешение за инсталиране. Щракнете върху „Изпълни“ в изскачащия диалогов прозорец и VirtualBox ще отвори нов прозорец, показващ напредъка на инсталирането. Когато приключи, рестартирайте виртуалната си машина. Можете да направите това, като щракнете върху зъбното колело в горния десен ъгъл, щракнете върху Изключване и след това щракнете върху Рестартиране.

С „Добавки за гости“, инсталирани в моята виртуална машина, мога да преоразмеря прозореца като всички други прозорци на моята хост машина.

Мога също така да споделя клипборда между хоста и виртуалната машина за гости, като щракна върху менюто „Устройства“ в горната част на моя екран от програмата VirtualBox и отида на „Споделен клипборд“. Възможностите за избор са „Деактивирано“, „Хост към гост“, „Гост към хост“ или „Двупосочно“. Най-добре е да запазите тази настройка на „Деактивирано“, освен ако не трябва да копирате и поставяте между вашата виртуална машина за гости и вашия хост. Винаги можете временно да активирате споделянето на клипборда и след това да го деактивирате отново, когато сте готови.

Споделянето на файлове е малко по-сложно. Първо, трябва да добавите своя потребител към групата „vboxsf“ във вашата VM (не се притеснявайте, ако не разбирате какво означава това). Щракнете върху логото на Ubuntu в горния ляв ъгъл, въведете „терминал“ и щракнете върху иконата на терминал, за да отворите терминал във вашата виртуална машина. След това въведете:

Ще трябва също така да въведете паролата за вашия потребителски акаунт в Ubuntu във виртуалната машина, тази, която сте настроили по-рано. След това изключете вашата VM докрай.

В прозореца на VirtualBox изберете вашата VM и щракнете върху „Настройки“ и преминете към раздела „Споделени папки“. Щракнете върху иконата „+“, за да добавите папка, която да споделите с вашата виртуална машина. Споделям папка, наречена vbox_share, в моята папка „Документи“. По този начин, ако трябва да копирам файлове към или от моята виртуална машина, имам къде да пусна тези файлове.

В моята Ubuntu VM имам достъп до споделената папка, като прегледам „/media/sf_vbox_share“. Мога да стигна до това, като отворя приложението Файлове (има икона за стартиране за него вляво), щракнете върху Компютър в левия панел, щракнете двукратно върху папката „media“, след което щракнете двукратно върху папката „sf_vbox_share“. В моята хост машина OS X мога да получа достъп до същата папка, като преглеждам „vbox_share“ в моята папка „Документи“.

Изолиране на рисково поведение вътре във виртуални машини

Сега, когато имаме виртуална машина, нека започнем да правим някои неща, които може да са рискови, ако не ги изолираме.

Преди да направите нещо, което смятате, че може да счупи вашата виртуална машина или да я зарази със зловреден софтуер, може да искате да запазите нейна моментна снимка, за да можете да я възстановите, когато сте готови. Можете да запазите моментна снимка, като щракнете върху менюто „Машина“ на VirtualBox в горната част на екрана и изберете „Направете моментна снимка“.

По-долу са само няколко примера за някои начини, по които можете да използвате виртуални машини, за да увеличите сигурността на вашия компютър. В крайна сметка виртуализацията е инструмент, който има много различни приложения, така че не се колебайте да бъдете креативни.

Един от най-лесните начини да ви хакнат е като отворите злонамерен документ. Нападателите може да ви изпратят по имейл „документ“ с капан, надявайки се, че ще го отворите. Ако го направите, файлът ще използва пропуск във вашата операционна система или в софтуер като Adobe Reader или Microsoft Word, като по този начин ще позволи на нападателя да превземе компютъра ви.

Не винаги е ясно кои документи са безопасни и кои са злонамерени. Умен нападател може да се преструва, че ви кани на конференция, от която се интересувате, и да прикачи злонамерен файл, маскиран като график на тази конференция, или може да се престори, че ви наема за вашата мечтана работа, и да прикачи нещо, което изглежда като описание на длъжността - или биха могли да ви привлекат по много други начини. Най-безопасно е просто да не отваряте никакви прикачени файлове или да кликвате върху връзки в имейли, но това не е осъществимо, особено за журналисти или активисти, които активно търсят източници.

Тези атаки не са теоретични. Моят колега Morgan Marquis-Boire посочи няколко примера от реалния свят, които той помогна да анализира: Компютърът на виетнамската активистка за демокрация Ngoc Thu беше хакнат, когато тя отвори зловреден софтуер, който намери в имейла си; изпълнителният директор на Комитета за защита на журналистите, Джоел Саймън, също получи имейл със зловреден софтуер, въпреки че не го инсталира; мароканският новинарски уебсайт Mamkafinch.com получи примамлив съвет чрез формуляра си за контакт, който включваше връзка, която при отваряне превзе компютъра на журналиста с помощта на зловреден софтуер на Hacking Team; и доклад от 2014 г. показа, че журналисти от 21 от 25-те най-добри новинарски организации в света вероятно са получили имейл със зловреден софтуер от спонсорирани от държавата хакери.

Може също така да намерите файлове онлайн, които наистина бихте искали да разгледате, но не сте сигурни, че са безопасни. Например документи в имейл архива на Hacking Team. Вероятно не трябва да им се доверявате, но все пак може да искате да ги разгледате.

Ето имейл, в който служителите на Hacking Team изглежда обсъждат предоставянето на демонстрация на своите хакерски услуги на египетски изпълнител на отбраната. Не говоря италиански, така че не разбирам напълно за какво става въпрос в този имейл, но прикаченият файл се нарича „Exploit.docx“. Изглежда законно (*кашлица*).

Ако се опитам да отворя този съмнителен файл в Chrome, браузърът ми извежда предупреждение за сигурност и има основателна причина! Всички прикачени файлове, изтеглени от архива на Hacking Team, може да се опитат да ви хакнат.

Вместо това ще щракна с десния бутон на мишката върху документа и ще го запазя в моята папка vbox_share (щракам върху предупреждението на Chrome, защото смятам да разглеждам тези документи изолирано).

Сега, обратно в моята виртуална машина, мога да видя документа.

За допълнителна безопасност, преди да отворя тези документи, ще прекъсна връзката на виртуалната си машина с интернет. Щраквам върху менюто „Устройства“ в горната част на екрана, избирам „Мрежа“ и премахвам отметката от „Свързване на мрежов адаптер“. По този начин, когато отворя документа, ако се опита да хакне моята виртуална машина и да се свърже със сървър за команди и контрол или дори просто да се обади вкъщи, за да предупреди собственика на документа, че е отворен, няма да може. Добра идея е да правите това всеки път, когато отворите подозрителен документ във виртуална машина.

Ето го. Документът всъщност изглежда просто като имейл нишка, поставена в Word. Независимо от това, радвам се, че не го отворих на моята хост машина.

На вашия обикновен компютър, за ежедневна употреба, винаги е добра идея да втвърдите своя уеб браузър. Инсталирането на добавки за браузър, които блокират реклами и злонамерен софтуер, и превръщането на Flash в игра с щракване до голяма степен помага за блокиране на софтуер, който може да се опита да превземе компютъра ви чрез вашия уеб браузър.

Но дори да правите всички тези неща, няма гаранция, че няма да бъдете хакнати само като заредите уебсайт. Ако възнамерявате да посетите уебсайт, който смятате, че може да ви изложи на по-висок риск от хакване, може да искате да посетите този уебсайт във виртуална машина. Можете дори да настроите специална виртуална машина само за тази цел. (Ако сте изключили работата в мрежа в предишната стъпка, можете да я активирате отново, като щракнете върху менюто „Устройства“, отидете на „Мрежа“ и поставите отметка на „Свързване на мрежов адаптер.“)

В моята виртуална машина реших да потърся „Mr. Robot streaming” и откри безброй пиратски уебсайтове за стрийминг. Ето екранна снимка на един от тях. Виждате ли това поле, което ми казва, че моят Flash Player е остарял, с полезна връзка за актуализирането му? Това всъщност не е истинска актуализация на Flash, това е зловреден софтуер.

Когато щракнах, за да инсталирам тази „флаш актуализация“, в крайна сметка се инсталира добавка за Firefox, наречена „Зона за безплатни игри“, която промени търсачката на браузъра ми на Ask.com. Когато разглобих тази добавка, за да видя как работи, открих код, който инжектира JavaScript в уеб страници, които зареждам, и код, който се опитва да ми попречи да я деинсталирам.

В схемата на нещата този злонамерен софтуер е от страничната страна – той не се опитва да чете имейла ми или да гледа през уеб камерата ми, но все още не е нещо, което някой би искал да инсталира на компютрите си. Но дори и да беше много по-лошо, първо ще трябва да избяга от виртуалната машина, в която е хванат, преди да може да направи тези неща. За да се отърва напълно от него, мога да възстановя своята виртуална машина от моментна снимка или мога да изтрия напълно виртуалната машина и да създам нова.

Всички програми съдържат грешки и тези грешки могат да бъдат използвани, за да превземат компютрите ни. Най-лесният начин да не ви хакнат е да не използвате компютри, но това не е опция; все още трябва да изпълняваме програми.

Някои програми имат много по-големи повърхности за атака от други. Например, libpurple, основният код, който захранва криптираните програми за чат Pidgin и Adium, беше силно критикуван заради своя стар, раздут и вероятно бъгов изходен код, който първоначално беше написан през 1998 г. (много критични грешки в libpurple бяха коригирани през последните години , така че в момента е в много по-добра форма от преди). И все пак, ако искате да имате криптирани чат разговори на компютър, нямате много опции, освен да го използвате.

Ако има част от софтуера, от който разчитате, но смятате, че стартирането му на вашата хост машина ще увеличи шансовете ви да бъдете хакнати, можете да настроите специална виртуална машина за изпълнение на тази програма.

Ако вашата специализирана виртуална машина за чат бъде хакната чрез експлойт на Pidgin, например, атаката ще бъде ограничена. Нападателят ще може да шпионира шифрования чат разговор, който водите в Pidgin, но това е всичко. Те няма да имат достъп до други файлове на вашия компютър. Те няма да могат да видят какви пароли сте запазили в уеб браузъра си, нито да слушат през микрофона ви, нито да четат имейла ви, нито нещо друго.

Все още трябва да внимавате

Всеки софтуер има грешки и това включва софтуер за виртуализация. Въпреки че изолирането на опасна дейност вътре във VM значително намалява шанса от хакване на нормалната ви компютърна система, това не го прави невъзможно.

Ако вашата виртуална машина бъде хакната, възможно е атакуващият да избяга от вашата виртуална машина, за да изпълнява и променя свободно програми на вашата хост машина. За да направите това, вашият нападател трябва да има експлойт срещу вашия софтуер за виртуализация. Тези грешки са редки, но се случват.

Трябва също така да внимавате как използвате споделянето на клипборда на VirtualBox и функциите за споделяне на файлове, които описах по-горе. Например, ако някой е хакнал виртуална машина, която има споделен клипборд, зададен на „Host to Guest“ или „Bidirectional“, атакуващият може да шпионира това, което сте копирали в клипборда на вашата хост машина – например парола.

Да останете анонимни с Whonix

Whonix е операционна система, която можете да инсталирате на съществуващия си компютър във VirtualBox, което принуждава целия мрежов трафик да преминава през мрежата за анонимност Tor.

Водещият продукт на Tor, Tor Browser, върши отлична работа да скрие вашия IP адрес от уебсайтовете, които посещавате, и да скрие кои уебсайтове посещавате от всеки, който следи вашата интернет активност.

Но Tor Browser, както всеки друг софтуер, има грешки. Ако посетите уебсайт в браузъра Tor, уебсайтът може хипотетично да използва сериозна грешка, за да принуди компютъра ви да направи интернет връзка с нападателя извън мрежата Tor, като им позволи да научат вашия истински IP адрес и самоличност. Точно по този начин ФБР деанонимизира потребителите на Tor Browser, които са посетили уебсайтове, хоствани от Freedom Hosting през септември 2013 г. ФБР използва грешка, която присъства в по-старите версии на Tor Browser (той не работи срещу потребители, които своевременно актуализират своя софтуер) в за да ги хакнете и в крайна сметка да ги деанонимизирате. (В този случай ФБР се опитваше да атакува хора, за които се твърди, че са имали връзки към детска порнография, но също така представи злонамерен софтуер за хакване на Tor Browser на потребители на легитимни уебсайтове, хоствани от Freedom Hosting, включително безплатната услуга за анонимна електронна поща TorMail.)

Whonix използва две виртуални машини, наречени Whonix-Gateway и Whonix-Workstation, за да увеличи максимално защитата на анонимността. Gateway VM действа като интернет доставчик нагоре по веригата за VM на работната станция и принуждава целия мрежов трафик да преминава през мрежата Tor. Работната станция VM е мястото, където използвате Tor Browser, както и всеки друг софтуер, който искате да използвате анонимно. Ако бъдете хакнат, например с експлойт на Tor Browser като този, използван от ФБР, не само нападателят се съдържа в тази виртуална машина и не може да получи достъп до вашата хост машина, но и нападателят не може да ви деанонимизира. Всички мрежови връзки, които нападателят прави, ще преминат през виртуалната машина на шлюза, което ги принуждава да преминат през Tor.

Whonix е страхотен, защото можете да сте сигурни, че всичко, което правите във виртуалната машина на работната станция, преминава анонимно през мрежата Tor. Това означава, че хакерите няма да могат да ви деанонимизират, освен ако не могат да избягат от вашата виртуална машина. Можете да използвате софтуер за чат като XChat за анонимно свързване към IRC сървъри или Pidgin за свързване към Jabber сървъри за анонимни криптирани чатове или Icedove и Enigmail за изпращане на анонимен, криптиран имейл.

Но имайте предвид, че Whonix, подобно на друга защита, базирана на виртуална машина, не може да ви защити, ако вашата хост машина бъде хакната или конфискувана. Ако използвате Whonix за анонимно изпращане на документи до журналист и станете заподозрян в разследване на изтичане на информация, вашите Whonix VM може да съдържат доказателства, които могат да бъдат използвани срещу вас.

Малко е сложно да започнете с Whonix, но има много документация на уебсайта на Whonix и ако имате въпроси, можете да ги публикувате в коментарите. Да започваме!

Преминете към страницата за изтегляне на Whonix VirtualBox и изтеглете копие на Whonix-Gateway и Whonix-Workstation (общо 3,1 GB, така че може да отнеме известно време). Също така е добра идея да проверите PGP подписите, но това е извън обхвата на тази публикация.

След като ги изтеглите, отворете VirtualBox, щракнете върху менюто „Файл“ в горната част и щракнете върху „Импортиране на уред“. Потърсете файла Whonix-Gateway, който току-що сте изтеглили, и щракнете върху „Продължи“.

Сега щракнете върху „Импортиране“, прочетете предупрежденията и щракнете върху „Съгласен съм“. Вашият Whonix gateway VM автоматично ще бъде настроен. Повторете същите тези стъпки с Whonix-Workstation. Когато сте готови, ще имате две нови виртуални машини във VirtualBox.

Стартирайте Whonix-Gateway и Whonix-Workstation. Трябва да оставите виртуалната машина на шлюза отворена във фонов режим, в противен случай виртуалната машина на работната станция няма да има достъп до интернет, но вие ще вършите по-голямата част от работата си в работната станция.

Когато виртуалната машина на шлюза завърши зареждането за първи път, ще трябва да я конфигурирате. Кликнете върху „Whonix Setup Wizard“, за да активирате Tor и автоматичните актуализации.

Щракнете и върху „Whonix Setup Wizard“ във виртуалната машина на работната станция. И в двете виртуални машини променете паролата по подразбиране и актуализирайте софтуера.

Сега е време да започнете да използвате Whonix. Във виртуалната машина на работната станция отворете Tor Browser. Той автоматично ще го изтегли и инсталира при първия опит да го отворите. След като се отвори, можете да сърфирате в мрежата анонимно и да останете анонимни дори ако Tor Browser бъде хакнат.

Qubes: Довеждане на сигурността на изолацията до нейните логически граници

Тъй като целият софтуер има грешки, не би ли било най-безопасно да изолирате всяка програма в нейната собствена виртуална машина? Qubes е операционна система, която прави точно това и го прави по начин, който е много по-използваем и по-сигурен, отколкото е възможно с помощта на софтуер за виртуализация като VirtualBox или VMWare в традиционна операционна система.

В Qubes вашата хост машина работи с графична десктоп среда и това е всичко – вашата хост машина дори няма достъп до интернет. Изпълнявате целия останал софтуер във виртуални машини на Linux или Windows. Qubes също има страхотна поддръжка за Whonix. Ако използвате Whonix в Qubes, вашата хост машина има много по-малка повърхност за атака, отколкото ако използвате традиционна операционна система.

Qubes улеснява управлението на отделни виртуални машини за вашите различни „домейни за сигурност“. Например, можете да създадете работна виртуална машина, която да използвате, за да проверявате служебния си имейл и да влизате в свързани с работата акаунти, както и отделна лична виртуална машина, която да използвате, за да влизате във Facebook и да следите снимките си. Можете да създадете ненадеждна виртуална машина, която използвате за ежедневно сърфиране в мрежата, и виртуална машина за трезор (която няма активирано свързване в мрежа), която използвате за съхраняване на чувствителни файлове като вашата база данни с пароли или секретни документи, върху които работите. И можете да щракнете с десния бутон върху всеки документ, за да го отворите във „виртуална машина за еднократна употреба“, виртуална машина, която се създава просто за преглед на този документ и след това се изтрива отново, когато затворите документа.

В миналото съм писал за Qubes и ви препоръчвам да прочетете повече за него, ако се интересувате. Но не е за хора със слаби сърца. Поне не още. От една страна, не можете да го тествате във виртуална машина, както можете при повечето операционни системи, защото трябва да стартира собствени виртуални машини и не искате случайно да разбиете вселената (шегувам се; просто не работи ).

И въпреки че има активна общност за разработка и нарастваща потребителска база, Qubes не е лесен за използване от неопитни потребители. Все още не ви препоръчвам да преминете към него, освен ако вече не се чувствате удобно да отстранявате проблеми с Linux от командния ред. В Qubes прости проблеми, като например как да инсталирате нова програма или да направите екранна снимка, могат да имат стръмни криви на обучение за непосветените. Но всичко казано дотук, ако използвате Qubes, можете да превърнете компютъра си в невероятно сложна и сигурна крепост, за разлика от всичко, което е възможно с традиционната операционна система.

Накрая, целият софтуер има грешки и това включва Qubes, както и Xen, софтуерът за виртуализация, който захранва Qubes. Дори ако използвате Qubes и незабавно актуализирате целия си софтуер и внимателно изолирате всичко и отваряте документи само във виртуални машини за еднократна употреба и извършвате цялото си сърфиране в Tor Browser вътре в работна станция Whonix, все още е възможно за вашата хост машина да бъдете хакнати, ако вашият нападател има много ресурси, търпение и експлойти от нулевия ден.

Заключение

Обикновено е евтино и лесно за нападател да превземе компютъра ви. Но чрез изолиране на частите от вашия компютър, които са атакувани във виртуални машини, можете да направите превземането на вашия компютър трудно, скъпо и, с малко късмет, не си струва.