PDA

Просмотр полной версии : Обзор Qubes OS: Установка, Настройка и Применение в Кибербезопасности


ghost
24.09.2017, 13:16
https://forum.antichat.xyz/attachments/4784487/img_405df2e17a.png

Основана на принципе виртуализации. В качестве гипервизора используется Xen.
Применяется LVM и используется шифрование.
Пользовательское данные разных виртуальный машин, буферы обмена, x-server'a и даже оборудование никак не пересекаются. Лишь цвет окон позволяет отделить их визуально.
Правильное распределение мощностей процессора, оперативной памяти и других ресурсов позволяет запускать одновременно гораздо больше машин, чем вы могли бы запустить на обычной операционной системе. Плюс из-за Xen они работают практически на железе, так что скорость
их работы куда выше, чем могла бы быть при использовании к примеру virtualbox.
Существует заготовленные темплейты для определенных виртуальных машин, в которые входит Whonix. Настроить цепочки и анонимность теперь можно куда проще и возможности куда шире.
Каждая виртуальная машина имеет свой x-server, однако несмотря на это создатели Qubes сделали чтобы все удобно отображалось в едином окружении.
Плюс такие фичи, как создание шаблона виртуальной машины занимающего фиксированное кол-во места и возможность шаринга этих файлов, чтобы создать множество виртуальных машин, не занимая много места. Будет использоваться лишь пару гигабайт для хранения уникальных файлов юзера.

Сайт проекта
В разделе download есть образы лишь для архитектуры x64.

https://forum.antichat.xyz/attachments/4784487/img_04816664a0.png

Скачиваем нужный образ и сверяем контрольные суммы:

https://forum.antichat.xyz/attachments/4784487/img_59d2d11544.png

Все должно совпадать:

https://forum.antichat.xyz/attachments/4784487/img_e63d0cb5de.png

Подготовим загрузочную флешку и введем в терминале:

Код:



dd if=/путь/до/образа.iso of=/dev/sdX bs=1M


где вместо /dev/sdX у вас должно быть ваше устройство. Моя флешка отобразилась как sdb.

https://forum.antichat.xyz/attachments/4784487/img_7e31664321.png

Перезагружаемся и выбираем в биос загрузку с вашего usb-носителя. Появится графический установщик Qubes Os.

https://forum.antichat.xyz/attachments/4784487/10.png

Несложная установка+поддержка русского языка. Присутствует возможность установки в качестве основной системы и на внешний носитель.
При соглашании со стандартными настройками идет установка по умолчанию на /dev/sda и все затирается (сделайте бэкап!!!).
Выберите надежный пароль и дождитесь окончание установки. Длительность процесса напрямую зависит от размера вашего жесткого диска.
Когда все установится, перезагружаемся, грузимся с того носителя на который вы установили Qubes OS и вводим пароль, который вы указали при установке.
При первой конфигурации будет задан вопрос насчет создания виртуальных машин. Выбираем стандартный вариант.

https://forum.antichat.xyz/attachments/4784487/img_374021fc21.png

Появится интерфейс KDE, и стандартное приложение для настройки Qubes VM Manager, в котором есть удобное визуальное распределение ресурсов и прочие настройки виртуальных машин.
Необходимо немного освоиться в логике работы системы и со средой KDE, чтобы привыкнуть.
Каждая VM имеет свой небольшой запас пространства, которое можно увеличить в менеджере Qubes OS/вкладка basic. Можно назначить некоторые машины на включение при запуске системы.
Создатели рекомендуют характеристики системы:

Код:



64-bit Intel or AMD processor (x86_64/x64/AMD64)
4 GB RAM
32 GB disk space
legacy boot mode (UEFI not supported yet)


Так же они придумали фичу для запросов VM к разным gpg. Подробнее тут.
Имеется прекрасная документация, правда на пиндосском.
И как плюшки - поддержка нескольких популярных OS для взлома пентеста+Whonix!

https://forum.antichat.xyz/attachments/4784487/img_9a5f1ab3dc.png

Не об этом ли наша душенька мечтала? Устанавливаем, юзаем, делимся впечатлениями...

2. Настройка и анонимизация Qubes OS

У Qubes OS имеется виртуальная машина personal. Запустив ее, можете обновиться с помощью команды в терминале:

Код:



sudo yum update


Скачаем, к примеру с сайта конфигурацию для openvpn и используем его:

Код:



sudo openvpn --config name.opvn


Запустим к примеру машину work и те же приложения в ней. На сайте можете видеть, что ip преждний, но на personal весь траффик направляется через vpn. Удобно для разделения нескольких личностей.

Скопированное в одной виртуальной машине в другой вставитьслучайно не удастся.
Копируем - Ctrl+C. Нажимаем в той машине, из которой нужно перенести буфер Shift+Ctrl+C
Появится уведомление. Выбираем окно с другой машиной и жмем Shift+Ctrl+V. Опять появится уведомление об удалении данного текста и его затирании, а так же переносе в эту машину. Теперь можно вставить через Ctrl+V

Можно на основной машине net-vm включить vpn, тогда все машины по умолчанию будут направляться через этот же vpn. Но для защищенной работы лучше установить Whonix.

dom0 - не виртуальная машина! Через него можно конфигурировать все, что происходит в системе. Он максимально настроен на безопасность. Там даже не сети, а только специальный защищенный механизм обновлений. Установит шаблон для Whonix Gateway и Whonix Workstation, введя в терминале:

Код:



sudo qubes-dom0-update --enablerepo=qubes-templates-community qubes-template-whonix-gw qubes-template-whonix-ws


После обновления открываем менеджер Qubes OS
dom0 - Qubes VM Manager - VM - Create AppVM
и создаем sys-whonix на базе шаблона whonix-gw

https://forum.antichat.xyz/attachments/4784487/img_effc28ab8c.png

Затем создаем anon-whonix на базе шаблона whonix-ws

https://forum.antichat.xyz/attachments/4784487/img_d63f66e4b7.png

dom0 - Qubes VM Manager - VM - Create AppVM

https://forum.antichat.xyz/attachments/4784487/img_3b4aaa88fb.png

Тип выбираем AppVm и пропускаем сеть через sys-whonix(то есть Whonix Gateway).

Теперь можно запускать Whonix Gateway а затем Whonix Workstation и использовать защищенное Tor-соединение. Ну а дальше можно настроить в них все, как в обычных виртуалках Whonix.
В настройках любой другой виртуальной машины можно пропустить сеть через Whonix Gateway.
Дальше переводите, учите матчасть. Вот тут все есть, а ниже список шаблонов поддерживаемых ОС.

Managing Operating Systems within Qubes

TemplateVMs

Templates: Fedora

Templates: Fedora Minimal

Templates: Debian

Templates: Archlinux

Templates: Ubuntu

Templates: Whonix

Pentesting

Pentesting: BlackArch

Pentesting: Kali

Pentesting: PTF

Windows: Installing and Using Windows-based AppVMs (Qubes R2 Beta 3 and later)

Windows: Creating and Using HVM and Windows Domains (Qubes R2+)

Windows: Advanced options and troubleshooting of Qubes Tools for Windows (R3)

Windows: Advanced options and troubleshooting of Qubes Tools for Windows (R2)

Windows: Uninstalling Qubes Tools for Windows 2.x

Fedora: Upgrading the Fedora 24 Template to Fedora 25

Fedora: Upgrading the Fedora 23 Template to Fedora 24

Fedora: Upgrading the Fedora 21 Template to Fedora 23

Fedora: Upgrading the Fedora 20 Template to Fedora 21

Fedora: Upgrading the Fedora 18 Template to Fedora 20

Debian: Upgrading the Debian 8 Template to Debian 9

How to Reinstall a TemplateVM

Tips for Using Linux in an HVM

Creating a NetBSD VM
Удачи в начинаниях!

Frost
24.09.2017, 13:22
Отличная инфа, еще бы про дополнительные настройки qubes, как продолжение темы, это я к тому что из коробки не всегда все до конца прикручено

ghost
24.09.2017, 13:23
А об этом немного позже.
При установке из под Шиндовz не используйте Rufus.
Это унылое гуамно. Им можно носитель так убить, что только им и восстановишь.
Советую RosaImageWriter. Есть версия под разные оси. И nix-дистрибутивы всегда корректно пишет.

Breed
24.09.2017, 16:08
ghost сказал(а):

При установке из под Шиндовz не используйте Rufus.


Купил себе под текущие нужды вот такие флешки
https://www.citilink.ru/catalog/computers_and_notebooks/media/flashdisks/750606/
Это самые лучшие штуки для таскания в кармане на колечке для ключей. Для Live можно взять USB 3.0, а под инсталлы и дистрибутивы и 2.0 попрет ради экономии.
Так вот этим гребаным Rufus-ом я сразу убил одну из них! Флешка определялась, но ни в какую и ничем не форматировалась, даже на низком уровне. Пришлось выкинуть.
Взял USBboot Installer++ 1.9 и забыл про все остальные "приблуды" - вот это комбайн! И для линукса, и для окошек. Возможностей - море. С редактированием под свои нужды и даже тестированием. Всем рекомендую.
Сайт автора http://usbtor.ru/viewtopic.php?t=532




ghost сказал(а):

Не об этом ли наша душенька мечтала


И как ты угадал?

ghost
24.09.2017, 16:09
Brib сказал(а):

Купил себе под текущие нужды вот такие флешки
***Скрытый текст***
Это самые лучшие штуки для таскания в кармане на колечке для ключей. Для Live можно взять USB 3.0, а под инсталлы и дистрибутивы и 2.0 попрет ради экономии.
Так вот этим гребаным Rufus-ом я сразу убил одну из них! Флешка определялась, но ни в какую и ничем не форматировалась, даже на низком уровне. Пришлось выкинуть.
Взял USBboot Installer++ 1.9 и забыл про все остальные "приблуды" - вот это комбайн! И для линукса, и для окошек. Возможностей - море. С редактированием под свои нужды и даже тестированием. Всем рекомендую.
***Скрытый текст***

И как ты угадал?

Тоже неплохо




Brib сказал(а):

Купил себе под текущие нужды вот такие флешки
***Скрытый текст***
Это самые лучшие штуки для таскания в кармане на колечке для ключей. Для Live можно взять USB 3.0, а под инсталлы и дистрибутивы и 2.0 попрет ради экономии.
Так вот этим гребаным Rufus-ом я сразу убил одну из них! Флешка определялась, но ни в какую и ничем не форматировалась, даже на низком уровне. Пришлось выкинуть.
Взял USBboot Installer++ 1.9 и забыл про все остальные "приблуды" - вот это комбайн! И для линукса, и для окошек. Возможностей - море. С редактированием под свои нужды и даже тестированием. Всем рекомендую.
***Скрытый текст***

И как ты угадал?

Вангую

Breed
24.09.2017, 16:40
ghost сказал(а):

Вангую


Пробовал пробить и нулевой сектор, и первый. Правда, под окнами и под DOS. Не получилось "ручками", задействовал готовое решение - программульку hddlowlevel. С тем же резуультатом. Похоже, что там какой-то триггер "крякнулся" в ППЗУ флешки.
Но твой код под Линь возьму на заметку. СПС.

Да теперь-то что горевать - давно выбросил ее.

ghost
24.09.2017, 16:42
Да не за что коллега

First-freeman
26.09.2017, 11:38
Подскажите пожалуйста автор, если у Вас есть опыт использования, несколько слов для сравнения с esxi. Спасибо!

e.exploit
26.09.2017, 13:30
Brib сказал(а):

Купил себе под текущие нужды вот такие флешки
***Скрытый текст***
Это самые лучшие штуки для таскания в кармане на колечке для ключей. Для Live можно взять USB 3.0, а под инсталлы и дистрибутивы и 2.0 попрет ради экономии.
Так вот этим гребаным Rufus-ом я сразу убил одну из них! Флешка определялась, но ни в какую и ничем не форматировалась, даже на низком уровне. Пришлось выкинуть.
Взял USBboot Installer++ 1.9 и забыл про все остальные "приблуды" - вот это комбайн! И для линукса, и для окошек. Возможностей - море. С редактированием под свои нужды и даже тестированием. Всем рекомендую.
***Скрытый текст***

И как ты угадал?

Зря выкинул флэху. Я одну флешку 2 раза ужелечил после руфуса, и сейчас я она отлично работает. Лечить нужно было с помощью менеджера дисков в линухе.

ghost
26.09.2017, 14:10
First-freeman сказал(а):

Подскажите пожалуйста автор, если у Вас есть опыт использования, несколько слов для сравнения с esxi. Спасибо!


Опыт использования есть. С esxi не сталкивался.

Breed
26.09.2017, 21:31
e.exploit сказал(а):

Лечить нужно было с помощью менеджера дисков в линухе.


Я тогда про Линь знал только, что он есть.


...Поздно пить боржоми - почки уже сгнили...

z3r0c10wn
23.01.2018, 00:15
Если честно то система интересна - это точно. Но genode однозначно круче с точки зрения идеи(жаль что недоделка)
https://genode.org/
В qubes не понравились проблемы с поддержкой старого железа - много проблем с драйверами.
Сообщество отличное, но Рутковская по любому поводу шлет всех на ****, вот прям обижает такое отношение.
Для постоянной работы решение не очень подходит с точки зрения performance.

eme
04.07.2018, 19:09
Подниму тему.
Подскажите, как подключить к Qubes внешний usb wifi адаптер?

rabbit_hole
20.12.2018, 16:47
бггг. некрофил в теме ))

а если серьезно, может кому на будущее пригодиться :

кейс раз - подключаемся к сети


[*}не очень правильно или не правильно совсем

втыкаешь карту в юсб. она упадет в sys-usb(в 3.2 кубах еще выбирать нужно было при установке, в 4 принудительно, кажется, сразу создается). далее открываем свойства тачки sys-usb. переходим на вкладку services добавляем network-manager. смотрим в трей(емнип сис-юсб перезагружать не нужно, сервис сразу создается) там должна появится пиктограмма нетворк-манагера. далее настраиваем как обычно через гуй.

правильно

создаешь виртуалку - netVM. обзываешь ее sys-wnet или как душе угодно. повторяешь все действия из предыдущего пункт. отдельно можно прокинуть юсб хаб в устойствах(devices, ес-но сначала нужно из sys-usb его убрать) если планируешь постоянно в один порт втыкать вафлю, это зависит от разводки на твоей мамке. если этот шаг опускаешь, то нужно ручками прокидывать карточку в нужную тачку. это называется usb-passthrough. для этого есть утилита qvm-usb

в нулевом домене, в терминале (на примере юарта покажу, нет под рукой больше ничего )

Код:



#листинг доступных устройств
$ qvm-usb -l
sys-usb:2-2 067b:2303 Prolific_Technologi_Inc.Usb-Serial_Controller

#аттач к такчке
#-a :
$ qvm-usb -a temp sys-usb:2-2


в темпе

Код:



lsusb
...
Bus 002 Device 002: ID 067b:2303 Prolific Technology, Inc. PL2303 Serial Port
...


откючаем, когда попользовались

Код:



$ qvm-usb sys-usb:2-2


подбробнее можно почитать здесь Using and Managing USB Devices

пока листал доку, наткнулся на то, что в целевой виртуалке должен быть установлен пакет

Код:



qubes-usb-proxy



кейс два - подрубаем ее к кали, например

здесь так-то все тоже самое, что и в предыдущем пункте, за исключением очень обильного вроятного сношения(по крайней мере я получил вдоволь, точно уж не помню почему) в случае если виртуалка HVM и использует кастомное(читай родное для нее ) ядро. его нужно патчить. так что если в твоем случае возможно - постарайся избежать этого и используй appVM с ядром кубов.
примерно как-то так. если есть вопросы - постараюсь ответить на них.

R0ckNR0lla
28.09.2019, 02:00
кто работал с данным дистрибутивом, подскажите как создать свою виртуалку для раздачи сети впн? хочу установить kodachi os как основной шлюз для интернета, что бы к нему подключались остальные виртуалки.