QubesOS 1.0

L’équipe de QubesOS a publié la version 1.0 de sa distribution le 3 septembre 2012.

QubesOS est une distribution GNU/Linux basée sur Xen, dont l’objectif est la sécurité et la ségrégation des espaces de travail. On peut imaginer des applications critiques confidentielles qui tourneraient en apparence sur le même bureau que le navigateur Web connecté à Internet. Pourtant, les deux applications tournent dans deux machines virtuelles séparées. L’affichage est déporté vers une troisième machine (dom0, c’est‐à‐dire l’ordinateur physique).

Sommaire

• Principe
• Test
  • Installation
    • DVD ou clé USB
    • Premier démarrage
  • Utilisation
  • Bogues et restrictions
• Conclusion personnelle

Depuis la dernière annonce sur LinuxFr.org, la prise en charge de Windows a été ajoutée.

Voici le diagramme d’architecture :

Principe

Les concepteurs partent du principe que de toute façon, il est impossible d’avoir des logiciels sans faille. Pour augmenter quand même la sécurité, ils ont eu l’idée de séparer les applications suivant leur criticité.

Par exemple, on peut imaginer un espace privé sur lequel l’utilisateur a accès à Internet, pas à l’intranet, et où il peut installer les logiciels qu’il veut. Un espace d’entreprise avec l’accès intranet et les logiciels d’entreprise. Un troisième niveau critique, où l’on n’accède qu’à un réseau privé sur une seconde carte réseau. Tous ces espaces utilisent le même serveur X, mais avec des décorations de fenêtres de couleurs différentes en fonction de l’espace dans lequel a été démarré le processus. On peut également séparer les périphériques, notamment réseau, qui ont le plus de chance d’être attaqués. Ainsi, l’attaquant qui pénètre le système se retrouve dans une machine virtuelle qui ne contient qu’un pare‐feu. Mais toutes les failles liées au réseau vont compromettre la machine virtuelle utilisée pour ça. Sans autre logiciel à démarrer, l’attaquant va avoir plus de mal à aller plus loin, et l’utilisateur a plus de chance de s’apercevoir du problème.

L’idée est intéressante, surtout qu’avec la prise en charge de Windows, on peut faire cohabiter sur un même bureau des applications provenant de systèmes d’exploitation différents, tout en maximisant la sécurité de tous. Il est dommage qu’aucun gestionnaire de fenêtres n’a été développé pour Windows ; du coup, on a une fenêtre complète avec le bureau.

La communication inter‐espace peut se faire par configuration. Par exemple, le document commencé sur l’espace travail peut être importé vers l’espace confidentiel, mais pas l’inverse. De même pour le copier‐coller.

Test

Comme il s’agit d’une « distribution » un peu particulière, un essai a été réalisé.

Installation

L’installation se déroule en deux étapes.

DVD ou clé USB

Premièrement, on démarre soit sur DVD, soit sur clé USB. Le nombre de questions est très limité : la langue, le clavier utilisé, une question sur les données, si elles sont en local ou sur un serveur. Et enfin le partitionnement. Là, les options sont « tout le disque », « remplacer les partitions GNU/Linux existantes », « utiliser l’espace libre » ou « manuel ». Par défaut, les partitions sont chiffrées.

Il faut ensuite choisir où l’on souhaite mettre le chargeur de démarrage. La copie des paquets se fait, puis l’ordinateur redémarre.

Premier démarrage

Au premier démarrage, l’installateur reprend la main avec un rappel de la licence, la création d’un utilisateur et la vérification de la date. En dernier, la création des machines virtuelles (VM). On a trois options :

1. création cinq machines virtuelles en tout automatique ;
2. création des VM uniquement, pour isoler le réseau et le pare‐feu ;
3. sans VM (à installer plus tard).

Utilisation

L’utilisation est assez simple. De base, les VM créées ont chacune un navigateur, un client de courriel, un explorateur de fichiers et un gestionnaire de paquets.

Un utilitaire de suivi des VM est démarré lors de la connexion. Cet utilitaire permet de démarrer ou stopper les VM. Elles sont d’ailleurs démarrées automatiquement lors du lancement d’un logiciel associé.

On peut créer une nouvelle VM facilement.

La communication entre les VM se fait via des scripts lancés, par exemple, par le menu contextuel du navigateur de fichiers. Le script demande la VM de destination, puis une fenêtre demande l’accord à l’utilisateur connecté au serveur X.

Bogues et restrictions

Je vais parler en mon nom — en dépit du fait que ce soit une dépêche — pour cette dernière partie. L’installation par DVD a planté lors de mon premier test. Au second, je suis passé par la clé USB sans problème.

Je n’ai pas pu tester autre chose que GNU/Linux (Fedora 17). C’est en effet le seul modèle (template) accessible. J’aurais aimé tester avec Windows et du BSD pour voir, mais le temps m’a manqué. Lors d’un démarrage, la VM gérant le réseau n’a pas démarré correctement, et, bien que l’on puisse lire les journaux système facilement, je n’ai pas compris pourquoi.

L’utilisateur créé à l’installation a tous pouvoirs. L’option d’installation réseau corrige peut‐être ça. Je n’ai rien trouvé sur la manière d’utiliser ceci sur un parc informatique avec des outils de synchronisation des configurations. Ça existe peut‐être ou c’est un axe d’amélioration.

Je n’ai pas non plus essayé si des applications 3D — telle que Blender — fonctionnent correctement avec l’accélération 3D.

Conclusion personnelle

Toujours à titre personnel, je trouve l’ensemble très bon, malgré des erreurs de jeunesse. Il manque encore de la documentation, ainsi que des modèles. C’est une nouvelle voie, originale, pour la sécurité des ordinateurs.

Aller plus loin

• Annonce de la version béta sur LinuxFr.org (187 clics)
• Site officiel (480 clics)
• Annonce (21 clics)
• Guide d’installation (74 clics)
• Copies d’écran (308 clics)