URL: https://linuxfr.org/news/qubes-os-4-0
Title: Qubes OS 4.0
Authors: Anonyme
 Davy Defaud, Nils Ratusznik, palm123, bubar🦥 et ZeroHeure
Date: 2018年05月06日T19:13:27+02:00
License: CC By-SA
Tags: meltdown, spectre, firefox, qubes, sécurité, xen et virtualisation
Score: 32
L’[équipe](https://www.qubes-os.org/team/) de Qubes OS a publié la version 4.0 de sa distribution le 28 mars 2018. Qubes OS est un système d’exploitation focalisé sur la sécurité qui se situe à mi‐chemin entre une distribution classique et un hyperviseur. Il s’appuie sur l’hyperviseur Xen et propose un système sécurisé basé sur l’isolation.
![Logo de Qubes OS](https://upload.wikimedia.org/wikipedia/commons/thumb/6/61/Qubes_OS_Logo.svg/200px-Qubes_OS_Logo.svg.png)
----
[Annonce de sortie de la version 4.0](https://www.qubes-os.org/news/2018/03/28/qubes-40/)
[Page GitHub de Qubes OS](https://github.com/QubesOS)
[Documentation de Qubes OS](https://www.qubes-os.org/doc/)
[Portail Qubes OS (ToR v2)](http://qubesos4rrrrz6n4.onion/)
[Portail Qubes OS (ToR v3)](http://sik5nlgfc5qylnnsr57qrbm64zbdx6t4lreyhpon3ychmxmiem7tioad.onion/)
[Dépêche sur Qubes OS Bêta 3](https://linuxfr.org/news/sortie-de-qubes-beta-3)
[Dépêche sur Qubes OS 1.0](https://linuxfr.org/news/qubesos-1-0)
[Journal sur Qubes OS 3.2](https://linuxfr.org/users/claudex/journaux/retour-d-experience-sur-qubes-os-un-peu-plus-de-securite-pour-votre-desktop)
[Dépêche : L’heure du test sur Qubes OS 3.2](https://linuxfr.org/news/l-heure-du-test-fork-2-qubes-os)
[Notes de version de Qubes OS 4.0](https://www.qubes-os.org/doc/releases/4.0/release-notes/)
----
#Rappels
Pour rappel, on distingue différents éléments dans Qubes OS : le _dom0_, les machines virtuelles modèles, les machines virtuelles basées sur un modèle, les machines virtuelles jetables et enfin les machines virtuelles classiques.
##Dom0 (AdminVM+GUIVM)
C’est le chef d’orchestre. Il est basé sur Fedora, contrôle l’hyperviseur Xen et permet d’administrer l’ensemble des machines virtuelles (VM). Il a un accès au réseau et aux périphériques présents [très limité](https://www.qubes-os.org/doc/dom0-secure-updates/).
##Les [VM modèles](https://www.qubes-os.org/doc/templates/) (_TemplateVM_)
Ce sont des machines virtuelles portant une distribution GNU/Linux. On y accède uniquement en ligne de commande pour gérer les paquets installés. L’équipe de développement de Qubes OS propose trois modèles : Fedora, [Fedora _minimal_](https://www.qubes-os.org/doc/templates/fedora-minimal/) et [Debian](https://www.qubes-os.org/doc/templates/debian/). La communauté propose également des modèles pour [Whonix](https://www.qubes-os.org/doc/whonix/), [Ubuntu](https://www.qubes-os.org/doc/templates/ubuntu/) et [Arch Linux](https://www.qubes-os.org/doc/templates/archlinux/).
##Les VM basées sur un modèle (_AppVM_)
Elles disposent de quelques répertoires en propre (`/home`, `/usr/local` et `/rw/config`). Toute modification des fichiers présents dans les autres répertoires est faite avec une copie à la volée (_copy on write_) et n’est pas pérenne : elle sera détruite lorsque la machine virtuelle va être éteinte ou redémarrée.
##Les VM jetables
Ce sont des machines virtuelles ne disposant d’aucun répertoire en propre. Toute modification est donc perdue lors de l’extinction de la machine virtuelle.
##Les VM classiques
 Elles ne sont pas basées sur un modèle, et l’on peut y installer une distribution GNU/Linux, BSD, ou Windows.
![Un petit dessin pour illustrer l’architecture](https://www.qubes-os.org/attachment/wiki/posts/qubes-components.png)
# Des changements majeurs #
##Généralisation des machines virtuelles jetables
Dans Qubes OS 3.2, on ne pouvait utiliser des VM jetables qu’avec un modèle. Il est maintenant possible d’utiliser une VM jetable pour chaque VM basée sur un modèle. Ainsi, pour lancer Firefox dans une VM jetable basée sur la VM _work_ depuis Dom0 :
 
```
[user@dom0 ~]$ qvm-run --dispvm=work --service qubes.StartApp+firefox
```
##Une surcouche d’administration
On détaille plus amplement cette nouveauté ci‐dessous. C’est un pas important vers les environnements professionnels, ainsi que vers les systèmes multi‐utilisateurs. Cette surcouche s’appuie sur une réécriture en profondeur des [entrailles du système](https://www.qubes-os.org/news/2017/10/03/core3/).
##Des VM modèles sans TCP/IP
Les machines virtuelles modèles n’ont plus besoin d’avoir d’interface réseau, d’où une surface d’attaque réduite. Les mises à jour passent pas les API Qubes.
##Fin de la paravirtualisation
_Par défaut_, la [quasi‐totalité](https://www.qubes-os.org/news/2017/10/18/msi-support/) des machines virtuelles n’utilise plus la [paravirtualisation](https://fr.wikipedia.org/wiki/Paravirtualisation). Comme détaillé ci‐dessous, on se protège ainsi partiellement des failles de type Meltdown et Spectre ([XSA-254](https://xenbits.xen.org/xsa/advisory-254.html)), et l’on réduit significativement la surface d’attaque de l’hyperviseur Xen (voir [XSA-182](https://xenbits.xen.org/xsa/advisory-182.html) et [XSA-260](https://xenbits.xen.org/xsa/advisory-260.html), par exemple). Il faudra cependant utiliser du [matériel adéquat](https://en.wikipedia.org/wiki/Second_Level_Address_Translation).
Pour certains utilisateurs, cette dernière modification tire la consommation électrique vers le haut et réduit l’autonomie des machines portables ([discussion consultable sur _groups.google.com/qubes-users_](https://groups.google.com/forum/#!msg/qubes-users/N85o2O9Feog/LTlTyOMYBQAJ;context-place=forum/qubes-users)).
# La [surcouche d’administration](https://www.qubes-os.org/news/2017/06/27/qubes-admin-api/) #
La version 4.0 de Qubes OS permet d’utiliser des machines virtuelles pour modifier certaines caractéristiques de certaines autres machines virtuelles. La granularité est assez fine, ce qui donne la possibilité d’avoir plusieurs familles de VM de type _admin_ (c.‐à‐d. _admin-Net_, _admin-IO_, _admin-root_, etc.), chacune ayant la possibilité de modifier certains aspects spécifiques de certaines VM.
Ainsi, les machines virtuelles de la famille _admin-Net_ pourraient uniquement modifier l’interface réseau des VM qui ne sont pas de type _admin_. Celles de la famille _admin-IO_ pourraient uniquement autoriser ou bloquer l’accès au presse‐papiers et au partage de fichiers des machines virtuelles. On pourrait également avoir une règle qui autorise la création d’une VM depuis toute VM, à condition que la nouvelle VM soit basée sur le modèle _fedora_by_XYZ_.
![API d’administration de Qubes OS](https://www.qubes-os.org/attachment/wiki/posts/admin-api.png)
Dans une certaine mesure, cette surcouche d’administration permet d’avoir des administrateurs qui ont un pouvoir limité et un accès limité aux données des utilisateurs, tout en administrant effectivement la machine. Dans de nombreux systèmes d’exploitation, l’administrateur est tout‐puissant, et a donc de lourdes responsabilités.
# Retour sur [XSA-254](https://xenbits.xen.org/xsa/advisory-254.html) : Metldown et Spectre #
N. D. A. : On propose ici un (très) bref résumé de ce [document](https://github.com/QubesOS/qubes-secpack/blob/master/QSBs/qsb-037-2018.txt).
Pour rappel, sous ces deux noms se cachent trois failles :
 
- _Spectre 1_ (CVE-2017-5753, aka « _Bounds-check bypass_ ») ;
- _Spectre 2_ (CVE-2017-5715, aka « _Branch Target Injection_ ») ;
- _Meltdown_ (CVE-2017-5754, aka « _Rogue Data Load_ »).
La plus sérieuse des trois, _Meltdown_, ne peut être exploitée que depuis une machine virtuelle paravirtualisée. La nouvelle version de Qubes OS protège donc contre cette faille. En outre, les dernières mises à jour de Xen (utilisation de _Xen Page Table Isolation_) devraient colmater la brèche pour les machines virtuelles paravirtualisées.
La faille _Spectre 2_ aurait également été colmatée avec les dernières mises à jour de Xen, mais il faut mettre à jour le BIOS.
Ces trois failles permettent d’accéder en lecture à la mémoire vive. Ainsi, une machine virtuelle compromise ne peut accéder qu’à la mémoire des machines virtuelles qui fonctionnent simultanément. En évitant d’utiliser en même temps des machines virtuelles dont le niveau de confiance diffère, on se protège efficacement. En outre, l’utilisation de machines virtuelles jetables permet de ne pas pérenniser l’infection. Enfin, on notera que l’on peut laisser tourner une machine virtuelle compromise si elle n’a pas accès au réseau.
# La suite ? #
La principale modification attendue pour la version 4.1, c’est l’éclatement de Dom0. Actuellement, l’interface graphique permettant d’administrer le système réside, avec les services effectuant l’administration, dans Dom0. Dans un futur proche, on devrait avoir une machine virtuelle portant l’interface graphique dédiée à l’administration distincte de Dom0. L’objectif étant de minimiser le nombre d’entités fonctionnant dans Dom0, où le niveau de sécurité doit être maximal. Un gestionnaire de fenêtres et un serveur X.Org représentent en effet un grand nombre de programmes et services, qui n’ont rien à faire dans Dom0.
</div><div class="naked_ctrl">
<form action="/index.cgi/contrast" method="get" name="gate">
<p><a href="http://altstyle.alfasado.net">AltStyle</a> によって変換されたページ <a href="httpS://linuxfr.org/news/qubes-os-4-0.md">(-&gt;オリジナル)</a>
/ <label>アドレス: <input type="text" name="naked_post_url" value="httpS://linuxfr.org/news/qubes-os-4-0.md" size="22" /></label> <label>モード: <select name="naked_post_mode">
<option value="default">デフォルト</option>
<option value="speech">音声ブラウザ</option>
<option value="ruby">ルビ付き</option>
<option value="contrast" selected="selected">配色反転</option>
<option value="larger-text">文字拡大</option>
<option value="mobile">モバイル</option>
</select>
<input type="submit" value="表示" />
</p>
</form>
</div>