Qubes OS — операционная система с акцентом на безопасность через изоляцию, использующая виртуализацию на основе гипервизора Xen для разделения среды выполнения приложений. В системе каждый отдельный рабочий контекст (включая приложения и службы) выполняется в собственной виртуальной машине, что минимизирует воздействие компрометации одного компонента на остальные. Архитектура ориентирована на разделение привилегий и минимизацию доверенного кода, при этом интерфейс пользователя организован таким образом, чтобы визуально обозначать происхождение и уровень доверия отдельных окон и данных.
Проект разрабатывается сообществом и включает набор инструментов для управления "кубами" (виртуальными доменами), шаблонами для создания изолированных окружений и механизмами безопасного обмена данными между ними. Qubes OS сочетает домены на базе разных дистрибутивов и конфигураций, использует отдельные домены для сети, графики и хранения, а также применяет концепции минимального доверенного гипервизора и разделения функций для снижения риска эскалации привилегий. Система предназначена для пользователей и организаций, которым требуются высокий уровень приватности и устойчивость к локальным атакам.
- Изоляция приложений: каждое приложение или группа приложений выполняется в отдельном виртуальном домене (VM), ограничивающем доступ к другим частям системы.
- Гипервизор Xen: используется для управления виртуальными машинами и обеспечения аппаратной виртуализации.
- Разделение привилегий: отдельные домены для сети, хранения и управления минимизируют доверенную поверхность.
- Шаблоны и клоны: шаблонные виртуальные машины позволяют централизованно обновлять программное обеспечение и создавать легковесные пользовательские домены.
- Визуальное обозначение доверия: окна приложений помечаются цветом, отражая принадлежность к конкретному домену и уровень доверия.
- Безопасный обмен данными: предусмотрены контролируемые механизмы копирования файлов и буферов между доменами через доверенные посредники.
- Минимизация доверенного кода: архитектура направлена на сокращение объёма кода, которому нужно доверять для безопасности всей системы.
- Поддержка различных дистрибутивов: виртуальные домены могут основываться на разных Linux-дистрибутивах и конфигурациях, что даёт гибкость применения.
- Многоуровневая политика безопасности: администратор может задавать правила и ограничения для сетевых соединений, устройств и междоменных взаимодействий.
- Аудируемая архитектура: дизайн системы и используемые компоненты ориентированы на проверяемость и независимый аудит безопасности.