Qubes OS installeren en werken met het veilige besturingssysteem
Qubes OS zet virtualisatie in om verschillende programma’s van elkaar af te schermen, en is daardoor een bijzonder veilig besturingssysteem. In deze workshop installeren we Qubes OS en gaan we ermee werken.
Qubes OS noemt zijn aanpak ‘beveiliging door isolatie’. Ook heel wat systeemcomponenten, zoals de subsystemen voor het netwerk en voor opslag, zijn in Qubes OS van elkaar geïsoleerd. Als een inbreker of malware er dan in slaagt om over één van die programma’s of componenten de controle te krijgen, blijft de rest van je systeem veilig.
Wat is Qubes OS?
Als gebruiker van Qubes OS ben je wel verplicht om na te denken over wat je juist wilt beveiligen. Elk programma isoleren is immers niet praktisch. Je denkt dan na over welke programma’s je vaak samen gebruikt en of dat geen risico vormt. Zo definieer je ‘beveiligingsdomeinen’, zoals persoonlijk, werk, winkelen, bank enzovoort. Elk van die domeinen zijn in Qubes OS geïmplementeerd als virtuele machines, die het besturingssysteem AppVM’s of qubes noemt. Alle programma’s in één qube zien elkaar, maar programma’s in verschillende qubes weten niets van elkaars bestaan.
Qubes OS is een Linux-distributie, die gebruikmaakt van de hypervisor Xen om de qubes als virtuele machines te draaien. De gebruikersinterface draait in een afzonderlijk domein, dom0. Hiermee beheer je ook de qubes. Maar van dit alles merk je niet veel. Je ziet alle programma’s op je desktop alsof ze rechtstreeks zonder virtualisatie draaien. Dat je niet met een standaard besturingssysteem te maken hebt, merk je pas als je informatie tussen verschillende qubes wilt uitwisselen. Qubes OS heeft een veilig mechanisme ontwikkeld voor knippen en plakken en bestandsdeling tussen qubes.
©PXimport
QubesOS downloaden
Controleer eerst of je pc aan de minimumvereisten van Qubes OS 3.2 (op het moment van schrijven de recentste versie) voldoet. Dat is een 64-bit Intel- of AMD-processor, 4 GB RAM en 32 GB schijfruimte. Kijk ook in de Hardware Compatibility List op de site van QubesOS of er iets over je pc bij staat.
Download het iso-bestand van Qubes OS 3.2, dat 4 GB groot is. Klik naast de downloadlink van het iso-bestand ook op Digests en sla dit bestand op. Download daarna het programma Win32 Disk Imager en start het installatieprogramma. Na installatie vind je het programma onder de naam Win32DiskImager in het startmenu.
Klik op het mappictogram naast het tekstveld Image File. Kies in het volgende venster rechts van het tekstveld voor de bestandsnaam *.* in plaats van Disk Images (*.img *.IMG), zodat je het iso-bestand kunt selecteren. Klik op Openen en vink MD5 Hash aan. Het programma controleert nu een md5-controlegetal. Vergelijk dit met het eerste getal dat je tegenkomt in het bestand Qubes-R3.2-x86_64.iso.DIGESTS dat je hierboven hebt gedownload. Als beide getallen verschillen, is het bestand corrupt. Lees de pagina Verifying Signatures op de website van Qubes OS als je nog zekerder wilt zijn dat het iso-bestand van de ontwikkelaars van Qubes OS afkomstig is.
Als je de correctheid van het iso-bestand geverifieerd hebt, kies dan onder Device de schijfletter van je usb-stick. Ga na of dit de juiste schijfletter is, want Win32 Disk Imager overschrijft deze schijf volledig! Klik dan op Write om het schrijven te starten. Als het iso-bestand op je usb-stick staat, is het tijd om je computer daarvan op te starten.
Passphrase kiezen, gebruiker aanmaken
Installeer Qubes OS niet in een virtuele machine, dat werkt niet omdat Xen zelf al een hypervisor is. Wil je het besturingssysteem eerst eens proberen zonder je schijf te overschrijven, installeer het dan op een externe usb-schijf. Maar het resultaat draait dan stukken trager dan bij een installatie op een interne schijf.
Start je pc van de usb-stick. Als het installatieprogramma is gestart, kies je eerst je taal. In de stap erna klik je op Installation destination. Kijk na of de schijf waarop je Qubes OS wilt installeren is geselecteerd. Klik daarna bovenaan links op Done. Vul nu een passphrase in. Daarmee versleutelt Qubes OS je schijf. Klik daarna op Save passphrase. Als er al een besturingssysteem op de schijf stond, klik je daarna op Reclaim space en dan op Delete all en nog eens op Reclaim space. Het installatieprogramma wist dan de hele schijf en maakt er nieuwe partities voor Qubes OS op aan. Klik tot slot op Begin installation.
Pas ondertussen de gebruikersinstellingen aan. Klik op User creation en voer een gebruikersnaam en wachtwoord in. Klik linksboven op Done. De root-account staat uitgeschakeld. Dat laat je het best zo: Qubes OS heeft die account niet nodig. Dan is het gewoon wachten tot alle pakketten zijn geïnstalleerd. Op het einde van de installatie klik je op Reboot om je computer met het vers geïnstalleerde Qubes OS te starten.
Qubes OS starten
Qubes OS vraagt eerst het wachtwoord om je schijf te ontsleutelen. Daarna dien je nog wat initiële instellingen op te geven. Klik op Qubes OS onder Systeem en laat voorlopig alle instellingen op hun standaardwaarde. Klik op Done om de standaardkeuzes te bevestigen. Daarna maakt Qubes OS enkele qubes aan. Dat duurt een tijdje, waarna je op Beëindig configuratie klikt.
©PXimport
Daarna krijg je het aanmeldvenster van Qubes OS te zien. Vul je wachtwoord in en klik op Aanmelden. Je komt dan terecht op het bureaublad van Qubes OS. Op de vraag welke instellingen je voor de werkbalk wilt, kies je Gebruik standaardinstellingen. Bij de melding van de Whonix Setup Wizard kies je voorlopig I want to disable Tor.
Bovenaan het scherm zie je een werkbalk waarmee je programma’s start door op het pictogram in de linkerbovenhoek te klikken. Je ziet hier ook al het programma Qubes VM Manager, waarin drie virtuele machines zichtbaar zijn. De pc afsluiten doe je door helemaal bovenaan rechts op je gebruikersnaam te klikken en dan Afsluiten te kiezen.
Lees verder op de volgende pagina, waar we daadwerkelijk met het OS gaan werken.
Als je de basisworkshop hebt gevolgd, heb je het bureaublad van Qubes OS voor je. Maar waarschijnlijk heb je je al afgevraagd wat die virtuele machines in de Qubes VM Manager betekenen. Heb je linksboven het applicatiemenu van de werkbalk geopend, dan zul je waarschijnlijk helemaal in de war geweest zijn. Qubes OS werkt immers wel helemaal anders dan Windows, Linux, macOS of een ander ‘normaal’ besturingssysteem.
Als je in Qubes OS werkt, start je niet zomaar programma’s. Je draait die in speciale virtuele machines, AppVM’s of qubes. Elke qube stelt een domein voor, zoals personal, work, untrusted enzovoort. Die domeinen vind je in het applicatiemenu. Als je een programma wilt draaien (zoals Firefox), denk je dus eerst na in welk domein je dit wilt draaien en start je het programma door op het betreffende submenu te klikken in het menu van het juiste domein. Start bijvoorbeeld personal: Firefox.
Zo werken qubes
Elke qube heeft een vooraf gedefinieerde kleur. Voor personal is dat geel. Je ziet die kleur bij het pictogram van het hangslot bij de qube in de Qubes VM Manager. Alle vensters van toepassingen die in die qube draaien, hebben een titelbalk en kader in die kleur. Zo zie je in één oogopslag in welke qube een venster draait. Kwaadaardige programma’s kunnen die kleur overigens niet zelf veranderen, want alleen dom0, het beheerdersdomein van de hypervisor, heeft die mogelijkheid. Dom0 is stevig ingeperkt, zodat het bijna niet te kraken is. Het beheerdersdomein heeft zelfs geen netwerktoegang.
©PXimport
In principe kies je zelf hoeveel qubes je aanmaakt en welke naam je ze geeft, maar om te beginnen werk je het best met de qubes die Qubes OS zelf standaard aanbiedt. Dat wil zeggen: persoonlijke zaken (e-mail, surfen, sociale media) draai je in personal, onbekende websites bezoek je in untrusted en je werk doe je in work.
Als je een toepassing in een domein start vanuit het applicatiemenu, start Qubes OS automatisch eerst de juiste qube als dat nog niet is gebeurd. Je kunt ook altijd op elk moment zelf een qube starten of afsluiten in de Qubes VM Manager.
Standaard bevat elk submenu van een domein slechts enkele snelkoppelingen, naar Firefox, naar de bestandsbeheerder en naar een terminalvenster. Met een klik op Add more shortcuts voeg je eenvoudig snelkoppelingen toe naar je favoriete toepassingen.
Bestanden kopiëren tussen qubes
Programma’s isoleren is wel veilig, maar vaak moet je toch nog informatie uitwisselen, zoals een foto uit je persoonlijke collectie gebruiken in een presentatie voor je werk. Gelukkig maakt Qubes OS het je gemakkelijk om bestanden en directory’s tussen qubes uit te wisselen.
Open daarvoor de bestandsbeheerder in de eerste qube, selecteer de bestanden die je wilt uitwisselen en rechtsklik op de selectie. Kies dan Copy To Other AppVM of Move To Other AppVM, naargelang je het bestand wilt kopiëren of verplaatsen. Voer in het dialoogvenster erna de naam in van de qube waarnaar je het bestand wilt zenden.
Daarna krijg je de vraag om de bestandsoverdracht te bevestigen. Het is dom0 die dit dialoogvenster toont, dus een gecompromitteerde qube kan je geen valse bevestigingsboodschap tonen. Qubes OS start dan als dit nog niet is gebeurd de qube die de bestemming is en kopieert of verplaatst de bestanden naar een directory met de naam van de bronqube in de directory /home/user/QubesIncoming/.
Dit systeem is veilig omdat andere qubes geen bestanden kunnen stelen. Bovendien is de bronqube niet in staat om willekeurige bestanden in de bestemmingsqube te overschrijven. Toch is het aan te raden om alleen bestanden te zenden van qubes die je meer vertrouwt naar qubes die je minder vertrouwt. In de andere richting weet je immers nooit zeker of een bestand van een niet-vertrouwde qube speciaal geprepareerd is om een bug in je vertrouwde qube te triggeren.
Kopiëren en plakken tussen qubes
Om veilig tekst (iets anders ondersteunt Qubes OS niet) te kopiëren tussen twee qubes, voer je de volgende vier stappen uit. Ten eerste selecteer je de tekst in qube A en kopieer je de tekst met Ctrl+C. Druk dan, terwijl het venster in toepassing A nog altijd is geselecteerd, op Ctrl+Shift+C, waarmee je het kopieert naar het globale klembord van Qubes OS. Selecteer daarna het venster in qube B en druk op Ctrl+Shift+V, waarmee je het globale klembord ter beschikking stelt van qube B en leegmaakt zodat je het daarna niet per ongeluk met een andere qube deelt. En druk tot slot in qube B op Ctrl+V om de inhoud van het klembord te plakken. Ook hier weer is het belangrijk dat je alleen tekst kopieert van qubes die je meer vertrouwt naar qubes die je minder vertrouwt.
DisposableVM's
Voor zaken die je echt verdacht vindt, heeft Qubes OS zelfs wegwerpqubes. Open dan bijvoorbeeld een Firefox-venster in het submenu DisposableVM. Alles wat je in deze virtuele machine doet, gooit Qubes OS weg bij het afsluiten van het programma. Je kunt dus gerust bestanden met malware openen.
©PXimport
Als je in een qube een document hebt gedownload en je plots twijfelt of het wel veilig is om te openen, komen de wegwerpqubes ook van pas. Rechtsklik dan op het dubieuze bestand en klik op Open In DisposableVM, waarmee je het document in een wegwerpqube opent. Meer nog: als je het daarna sluit, worden eventuele wijzigingen die je aan het document hebt aangebracht gekopieerd naar de originele qube.
Zo kun je zelfs documenten bewerken zonder dat je bang hoeft te zijn dat ze door speciaal geprepareerde code in het document misbruik maken van een lek in je tekstverwerker en je hele besturingssysteem zo kraken. De wegwerpqube is dan wel gecompromitteerd, maar dat is niet erg: Qubes OS vernietigt die onmiddellijk na het sluiten van het document.
Nu weet je hoe je met Qubes kunt werken. Graaf je nog wat dieper, dan ontdek je dat je met Whonix op Qubes OS extra veilig kunt internetten. Lees verder: Anoniem internetten met Whonix en Qubes OS
