Безопасность через изоляцию. История Qubes OS
Польская исследовательница, которая в 2006 году пристыдила Microsoft, пришла к выводу, что ни одну систему нельзя написать без ошибок. И решила построить такую, в которой ошибки не имеют значения. Сегодня Эдвард Сноуден называет её лучшей операционной системой из существующих.
В августе 2006 года на конференции Black Hat в Лас-Вегасе - одной из важнейших встреч мира компьютерной безопасности - на сцену вышла молодая исследовательница из Варшавы. Иоанна Рутковская показала то, что назвала Blue Pill - отсылка к «Матрице». Это был прототип вредоносной программы, которая использовала аппаратную виртуализацию процессоров, чтобы перенести работающую операционную систему в виртуальную машину - без перезагрузки и без ведома пользователя. Система продолжала работать, но больше не была сама себе хозяйкой. Под ней, невидимый, работал кто-то другой.
Презентация вызвала широкий резонанс. Microsoft тогда готовила выход Windows Vista, которую рекламировали как самую безопасную Windows в истории. Рутковская показала, как обойти защиту её ядра. Имя молодой польки стали упоминать в одном ряду с именами крупнейших исследователей мира.
Пессимистка по профессии
Следующие годы принесли новые открытия. В 2007 году Рутковская основала в Варшаве компанию Invisible Things Lab. Вместе с Рафалом Войтчуком она демонстрировала атаки на самые нижние уровни компьютера: на BIOS, на механизмы доверенной загрузки Intel, на невидимый для системы режим работы процессора. В 2009 году она описала атаку, которую назвала «Evil Maid» - «злая горничная». Сценарий был прост: вы оставляете ноутбук с зашифрованным диском в гостиничном номере, кто-то на несколько минут подключает к нему флешку и подменяет загрузчик. Когда вы вернётесь и введёте пароль, он будет перехвачен. Шифрование диска, на которое вы рассчитывали, перестаёт иметь значение.
После многих лет поиска дыр в чужих системах Рутковская пришла к выводу, изменившему направление её работы. В каждой операционной системе есть ошибки. В каждом браузере, каждой программе для чтения PDF, каждом драйвере сетевой карты. Эти ошибки нельзя устранить, потому что современное программное обеспечение - это десятки миллионов строк кода, написанных тысячами людей. А раз так, вопрос звучит не «как написать систему без ошибок?», а «как построить систему, в которой ошибка в одном месте не означает катастрофу повсюду?».
Идея: не доверять ничему
В 2010 году Invisible Things Lab объявила о проекте Qubes OS. 3 сентября 2012 года вышла версия 1.0. Проект не обещал невозможного. Его девиз звучал скромно: «разумно безопасная операционная система».
Идея проста, хотя её реализация очень сложна. В обычном компьютере всё работает в одной среде: браузер, почта, менеджер паролей, рабочие документы и игра, скачанная из интернета. Если любая из этих программ будет атакована, злоумышленник обычно получает доступ ко всему остальному. Достаточно одного заражённого вложения, чтобы захватить всё.
Qubes переворачивает эту логику. Компьютер делится на множество независимых отсеков - «кубов», каждый из которых является отдельной лёгкой виртуальной машиной под управлением гипервизора Xen. Можно иметь отдельный куб для работы, отдельный для банковских операций, отдельный для интернета и отдельный, полностью отрезанный от сети, для ключей шифрования и паролей. Даже сетевая карта и USB-порты работают в изолированных отсеках, потому что именно драйверы оборудования - одна из любимых целей атак.
Окна разных кубов отображаются рядом на одном рабочем столе, но у каждого цветная рамка. Красная может означать «недоверенное», зелёная - «работа», чёрная - «самое конфиденциальное». С первого взгляда видно, в каком мире вы сейчас работаете.
Что это меняет на практике
Представьте, что вы получаете письмо с вложением от незнакомца. В обычной системе вы открываете его и надеетесь, что ничего не случится. В Qubes вы открываете его в «одноразовом» кубе, который создаётся за несколько секунд и бесследно исчезает после закрытия окна. Если файл содержал вредоносный код, он заразил машину, которой уже нет. Ваша почта, документы и ключи остались нетронутыми.
Другой пример: вам присылают PDF, который нужно сохранить. Qubes умеет его «очистить» - открыть в одноразовом отсеке, превратить в обычные изображения страниц и собрать обратно в безопасный документ. Возможный вредоносный код остаётся по дороге, в машине, которая вот-вот перестанет существовать.
Важнейшая часть системы - та, что управляет всем компьютером и выводит рабочий стол, - вообще не имеет доступа к интернету. Её нельзя атаковать через сеть, потому что с сетью она не соприкасается. Даже буфер обмена, обычное «копировать-вставить» между окнами, требует осознанного действия пользователя, чтобы данные не утекали между отсеками без вашего ведома.
Один компьютер, много миров
В повседневной работе у Qubes есть ещё несколько хитрых решений. Программы в большинстве кубов не устанавливаются отдельно, а берутся из общих «шаблонов». После каждой перезагрузки файловая система такого отсека возвращается к чистому состоянию шаблона. Если вредоносная программа сумела в нём закрепиться, обычная перезагрузка её удаляет - остаются только ваши документы в домашнем каталоге.
Ключи шифрования могут жить в кубе без доступа к сети, а почтовая программа в другом отсеке лишь просит подписать или расшифровать конкретное письмо. Даже если почтовую программу атакуют, закрытый ключ её никогда не касается. В Qubes интегрирован и Whonix: отсеки, весь трафик которых принудительно идёт через сеть Tor. Программа, запущенная в таком кубе, не знает вашего настоящего IP-адреса, потому что технически не имеет к нему доступа - даже если её захватят и она попытается его выдать.
Рекомендация Сноудена
Qubes никогда не был системой для всех. Он требует мощного оборудования, большого объёма памяти и смены привычек. Зато он быстро завоевал доверие тех, для кого безопасность - не абстракция.
Самая известная рекомендация исходит от человека, который как мало кто знает, на что способны самые мощные разведки мира. Эдвард Сноуден - тот самый, который в 2013 году раскрыл масштаб слежки АНБ, - написал о Qubes коротко: «Если вы серьёзно относитесь к безопасности, Qubes OS - лучшая операционная система из доступных сегодня. Это то, чем пользуюсь я. И она бесплатна». Freedom of the Press Foundation - организация, поддерживающая журналистов и информаторов, - построила на нём рабочую станцию SecureDrop, через которую редакции по всему миру безопасно получают материалы от анонимных источников. Именно там, где один заражённый файл от «информатора» может раскрыть всю редакцию, изоляция перестаёт быть теорией.
В 2018 году Иоанна Рутковская занялась другими проектами, но Qubes продолжает развиваться как независимый открытый проект. Его ведущим разработчиком уже много лет, к слову, тоже является поляк - Марек Марчиковский-Гурецкий.
Пределы изоляции
Честно говоря, нужно сказать и о том, чего Qubes не делает. Он не защитит вас, если вы сами перенесёте заражённый файл в самый доверенный отсек. Он не заменит здравый смысл. Он не исправит ошибки в процессоре или прошивке, хотя сильно затрудняет их использование. Сама Рутковская всегда подчёркивала, что её система «разумно», а не «полностью» безопасна.
Но разница между «разумно безопасным» и обычным компьютером огромна. В обычной системе одной ошибки достаточно, чтобы проиграть всё. В Qubes злоумышленник, захвативший браузер, держит в руках браузер - и ничего больше. Чтобы пройти дальше, ему нужно найти ещё одну уязвимость, на этот раз в гораздо меньшем и намного лучше проверенном коде гипервизора. Это повышает стоимость атаки с дней до месяцев, а иногда и до лет.
Пессимизм, который защищает
В мире безопасности легко раздавать обещания. Производители уверяют, что их система «несокрушима», а защита «невзламываема». Qubes родился из обратного предположения: всё когда-нибудь откажет, так давайте спроектируем систему так, чтобы отказ одного элемента не тянул за собой остальные.
Эта философия хорошо знакома морякам. Корабль делят на водонепроницаемые отсеки не потому, что конструктор ждёт пробоины в корпусе. Это делают потому, что когда-нибудь она появится - и тогда от переборок зависит, пойдёт ли корабль ко дну или дойдёт до порта.
Компьютер, на котором вы работаете с конфиденциальными данными, заслуживает таких же переборок.