Systém Subgraph OS je složen z několika vrstev. Aplikace běží ve svých kontejnerech, z nichž nemají přístup k samotnému systému a často ani k internetu. Systém navíc komunikuje čistě přes Tor - především tedy anonymně, zároveň i bezpečně.

Systém Subgraph OS je složen z několika vrstev. Aplikace běží ve svých kontejnerech, z nichž nemají přístup k samotnému systému a často ani k internetu. Systém navíc komunikuje čistě přes Tor - především tedy anonymně, zároveň i bezpečně.

Na první pohled se jedná o běžný Debian s prostředím Gnome. Že je něco jinak, je zřejmé z notifikace o připojení k síti Tor.

Na první pohled se jedná o běžný Debian s prostředím Gnome. Že je něco jinak, je zřejmé z notifikace o připojení k síti Tor.

Původu odpovídá i instalace, která je díky tomu, stejně jako celý systém, lokalizovaná.

Původu odpovídá i instalace, která je díky tomu, stejně jako celý systém, lokalizovaná.

První malou změnu zaregistrujete na zamykací obrazovce - systém odtud není možné vypnout.

První malou změnu zaregistrujete na zamykací obrazovce - systém odtud není možné vypnout.

Správa oken nepřekvapí uživatele Linuxu ani Windows.

Správa oken nepřekvapí uživatele Linuxu ani Windows.

Napravo lze potom přepínat mezi virtuálními plochami.

Napravo lze potom přepínat mezi virtuálními plochami.

Systém ve výchozím stavu obsahuje běžně známé nástroje jako OpenOffice, ale i speciální aplikace jako je šifrovaný komunikátor pro Jabber/XMPP.

Systém ve výchozím stavu obsahuje běžně známé nástroje jako OpenOffice, ale i speciální aplikace jako je šifrovaný komunikátor pro Jabber/XMPP.

Protože se jedná o alfa verzi, vývojáři budou rádi za zpětnou vazbu odeslanou přes Reportbug.

Protože se jedná o alfa verzi, vývojáři budou rádi za zpětnou vazbu odeslanou přes Reportbug.

Seznam nástrojů zakončuje tradiční přehrávač, ale i klient pro zabezpečovací flashku (podrobnosti dále).

Seznam nástrojů zakončuje tradiční přehrávač, ale i klient pro zabezpečovací flashku (podrobnosti dále).

Pro rychlé spuštění aplikace nechybí možnost běžného vyhledávání mezi aplikacemi.

Pro rychlé spuštění aplikace nechybí možnost běžného vyhledávání mezi aplikacemi.

První spuštění prohlížeče pro síť Tor. Nejdříve je třeba stáhnout aktuální verzi.

První spuštění prohlížeče pro síť Tor. Nejdříve je třeba stáhnout aktuální verzi.

Nyní již komunikujeme přes rozsáhlou síť, která využívá cibulového protokolu. Můžeme procházet běžné weby, ale i tzv. skryté služby.

Nyní již komunikujeme přes rozsáhlou síť, která využívá cibulového protokolu. Můžeme procházet běžné weby, ale i tzv. skryté služby.

Pro jejich vyhledávání se hodí třeba nástroj Ahmia, který naleznete i v běžném internetu.

Pro jejich vyhledávání se hodí třeba nástroj Ahmia, který naleznete i v běžném internetu.

Můžete tak zkontrolovat, zda ještě běží Silk Road - tržiště, kde lze koupit drogy, zbraně i hackerský útok.

Můžete tak zkontrolovat, zda ještě běží Silk Road - tržiště, kde lze koupit drogy, zbraně i hackerský útok.

Návštěvy běžných webů budou pokaždé jiné - minimálně díky lokalizovaným reklamám, které se budou řídit IP adresou posledního serveru v Toru.

Návštěvy běžných webů budou pokaždé jiné - minimálně díky lokalizovaným reklamám, které se budou řídit IP adresou posledního serveru v Toru.

Aktuálně komunikujeme z Rumunska. Pokud se stránka pokusí pořídit otisk prohlížeče, důrazně se začne bránit.

Aktuálně komunikujeme z Rumunska. Pokud se stránka pokusí pořídit otisk prohlížeče, důrazně se začne bránit.

A na druhou stranu se webům vaše identita nebude líbit. Často tak budete klikat na tlačítko "Nejsem robot" a vyplňovat různé druhy captcha ověření.

A na druhou stranu se webům vaše identita nebude líbit. Často tak budete klikat na tlačítko "Nejsem robot" a vyplňovat různé druhy captcha ověření.

A když se vám Rumunská identita nebude líbit, stačí jediným kliknutím získat novou adresu.

A když se vám Rumunská identita nebude líbit, stačí jediným kliknutím získat novou adresu.

Hned vedle najdete seznam sandboxů - uzavřených kontejnerů v nichž běží jednotlivé aplikace. V nich jsou izolovány tak, aby se nedostali k systému nebo do jiných běžících aplikací.

Hned vedle najdete seznam sandboxů - uzavřených kontejnerů v nichž běží jednotlivé aplikace. V nich jsou izolovány tak, aby se nedostali k systému nebo do jiných běžících aplikací.

Prohlížeč dokumentů PDF nemá přístup nejen k systému, ale ani k internetovému připojení. Zkrátka to nepotřebuje a bylo by to zbytečným rizikem.

Prohlížeč dokumentů PDF nemá přístup nejen k systému, ale ani k internetovému připojení. Zkrátka to nepotřebuje a bylo by to zbytečným rizikem.

Systém umožňuje i zabezpečení pomocí flashky YubiKey. Pokud ji nepřipojíte do USB, do zašifrovaného systému se nedostanete.

Systém umožňuje i zabezpečení pomocí flashky YubiKey. Pokud ji nepřipojíte do USB, do zašifrovaného systému se nedostanete.

V sandboxu běží také mailový prohlížeč. Umožňuje odesílání e-mailů šifrovaných PGP klíčem. S Gmailem si ale příliš rozumět nebude - Google nepovolí přihlášení z exotických (a stále nových) adres.

V sandboxu běží také mailový prohlížeč. Umožňuje odesílání e-mailů šifrovaných PGP klíčem. S Gmailem si ale příliš rozumět nebude - Google nepovolí přihlášení z exotických (a stále nových) adres.

Další vrstva zabezpečení - hesla lze ukládat do jejich správce KeePassX.

Další vrstva zabezpečení - hesla lze ukládat do jejich správce KeePassX.

Pro komunikaci slouží šifrovaný komunikátor CoyIM. Určený je pro Jabber/XMPP. S Hangouts, Facebookem nebo Skypem tedy neuspějete.

Pro komunikaci slouží šifrovaný komunikátor CoyIM. Určený je pro Jabber/XMPP. S Hangouts, Facebookem nebo Skypem tedy neuspějete.

A v sandboxu běží i oblíbený kancelářský balík OpenOffice. Kvůli tomu je občas problém uložit dokument na disk.

A v sandboxu běží i oblíbený kancelářský balík OpenOffice. Kvůli tomu je občas problém uložit dokument na disk.

Když se vám ale soubor přeci jen uložit podaří, může následovat další procedura - odstranění všech jeho metadat pomocí utility MAT.

Když se vám ale soubor přeci jen uložit podaří, může následovat další procedura - odstranění všech jeho metadat pomocí utility MAT.

Další aplikací je Xpra - server pro běh vzdálených aplikací. Subgraph OS jej využívá pro oddělení aplikací.

Další aplikací je Xpra - server pro běh vzdálených aplikací. Subgraph OS jej využívá pro oddělení aplikací.

A do kontejneru se dostal i oblíbený přehrávač VLC. Ten na rozdíl od prohlížeče PDF k internetu přístup dostal.

A do kontejneru se dostal i oblíbený přehrávač VLC. Ten na rozdíl od prohlížeče PDF k internetu přístup dostal.

Jednou z mála aplikací, které neběží v sandboxu je Brasero - program pro vypalování optických médií.

Jednou z mála aplikací, které neběží v sandboxu je Brasero - program pro vypalování optických médií.

Přístup keyloggeru k sandboxovaným aplikacím je téměř vyloučen, ale pro jistotu lze pro zadávání hesel použít virtuální klávesnici.

Přístup keyloggeru k sandboxovaným aplikacím je téměř vyloučen, ale pro jistotu lze pro zadávání hesel použít virtuální klávesnici.

Systém lze čas občas vyčistit pomocí nástroje BleachBit. Odstraní dočasné soubory, cache, cookies, historii prohlížeče a další.

Systém lze čas občas vyčistit pomocí nástroje BleachBit. Odstraní dočasné soubory, cache, cookies, historii prohlížeče a další.

Všechny sandboxované aplikace lze kromě běžného způsobu ukončit i zavřením jejich pískoviště.

Všechny sandboxované aplikace lze kromě běžného způsobu ukončit i zavřením jejich pískoviště.

Posledním nástrojem je Dconf - nízkoúrovňová konfigurační aplikace, která umožní bez příkazové řádky naklikat podrobnější nastavení.

Posledním nástrojem je Dconf - nízkoúrovňová konfigurační aplikace, která umožní bez příkazové řádky naklikat podrobnější nastavení.

Pro běžnou konfiguraci však postačí systémové nastavení. Systémové barvy změníte v utilitě Color Chooser.

Pro běžnou konfiguraci však postačí systémové nastavení. Systémové barvy změníte v utilitě Color Chooser.

Stejně jednoduše lze zvolit, které položky se mají zobrazovat v hlavní nabídce.

Stejně jednoduše lze zvolit, které položky se mají zobrazovat v hlavní nabídce.

Nechybí ani tradiční správa disků.

Nechybí ani tradiční správa disků.

Správce procesů, jak jej známe i z dalších systémů. Zde však zabitím procesů ukončíte celý sandbox s aplikací.

Správce procesů, jak jej známe i z dalších systémů. Zde však zabitím procesů ukončíte celý sandbox s aplikací.

A nakonec notifikační lišta s kalendářem. Ačkoliv není Subgraph OS typickým systémem pro běžné uživatele, jeho vývoj určitě nepotěšil jen notorické paranoiky, ale může být dobrým pomocníkem i pro ty, kteří pracují s extrémně citlivými daty. Rozhodně budeme jeho vývoj dál sledovat.

A nakonec notifikační lišta s kalendářem. Ačkoliv není Subgraph OS typickým systémem pro běžné uživatele, jeho vývoj určitě nepotěšil jen notorické paranoiky, ale může být dobrým pomocníkem i pro ty, kteří pracují s extrémně citlivými daty. Rozhodně budeme jeho vývoj dál sledovat.

Na první pohled se jedná o běžný Debian s prostředím Gnome. Že je něco jinak, je zřejmé z notifikace o připojení k síti Tor.
Původu odpovídá i instalace, která je díky tomu, stejně jako celý systém, lokalizovaná.
První malou změnu zaregistrujete na zamykací obrazovce - systém odtud není možné vypnout.
Správa oken nepřekvapí uživatele Linuxu ani Windows.
38
Fotogalerie

Subgraph OS: zabezpečený systém pro největší paranoiky

  • Kanadský systém staví na sandboxech, v nichž běží jednotlivé aplikace
  • Nedostanou se k systému a někdy ani k internetu
  • Veškerá komunikace probíhá přes síť Tor

Zatímco elektronickou komunikaci běžně šifrujeme již několik let a stejným způsobem můžeme zabezpečit i data na disku či flashce, některým uživatelům ani takové možnosti nestačí. Pro maximální bezpečnost je možné nainstalovat systém, který je vyvíjen právě s důrazem na ochranu proti útokům mnoha typů. Jedním z takových systémů je Subgraph OS, který je aktuálně ve fázi alpha-testování a každý uživatel si jej může vyzkoušet. Útokům čelí třeba tím, že striktně odděluje aplikace od systému.

obrázek 101.jpg

Subgraph je kanadskou společností, která se zaměřuje na vývoj bezpečnostních open-source nástrojů. Kromě operačního systému má ve svém portfoliu třeba Vegu – aplikaci, která pomáhá webové stránky zabezpečit proti technikám jako je SQL Injection. Další nástroj Orchid je potom klientem pro síť Tor. Systém Subgraph OS je však jednoznačně nejrozsáhlejším projektem.

Aplikace v kontejnerech

Cíl systému je jasný – maximálně oddělit aplikace od samotného systému. K tomu jsou využívány linuxové kontejnery (Namespaces) nebo aplikace jako Xpra. Kernel potom obsahuje open-source vylepšení Grsecurity, které zabezpečuje systém před mnoha exploity a prakticky odstraní riziko toho, že by se aplikace dostaly k samotnému systému, kde by napáchaly škody. Základ je ale tvořen běžným Debianem s prostředním Gnome.

Aplikace tedy běží v samostatných sandboxech, které mají takové oprávnění, jaké si typ aplikace žádá. Například prohlížeč PDF dokumentů (které mohou být zdrojem malwaru) nemá vůbec přístup k síťovému připojení. Právě tento systém sandboxů s rozdílnými úlohami je vyvíjen přímo pro Subgraph OS pod názvem Oz.

01.png
Že se nejedná o zcela standardní Debian prozradí kromě pozadí i upozornění, že bylo připojení do sítě Tor úspěšně navázáno

Spojení přes Tor

Veškerá komunikace, která ze systému Subgraph OS probíhá, směřuje přes síť Tor. Ačkoliv skryté služby v Toru bývají nazývány jako temná strana internetu, zde je zvolen pro zachování maximální anonymity a zabezpečení připojení. A protože si s Torem velké množství aplikací nerozumí, je v systému vestavěná funkce Metaproxy, která z Torové sítě udělá běžné připojení. Tím pádem přes ni může komunikovat kterýkoliv program.

V systému tedy nechybí tradiční Tor Browser, který umožní zobrazovat právě skryté služby, se kterými si běžné prohlížeče neporadí.

I když je systém ve fázi alfa a na chyby zde narazíte, lze jej běžně používat. Obraz ISO s instalačním médiem však nehledejte na webu vývojářů, ale na jejich IRC kanálu. Tím chtějí pro Subgraph získat především testery, kteří budou mít zájem podělit se o zpětnou vazbu.

Následuje galerie s prohlídkou systému. Otevřete první snímek a navigujte se klávesami vpřed a zpět, případně poklepem na navigační šipky přímo v galerii. U každého obrázku najdete popis s informacemi.

Na první pohled běžný Debian

00.png
Díky svému původu je systém včetně instalace lokalizovaný do češtiny
01.png01a.png
01b.png01c.png02.png
03.png04.png05.png

Tor Browser

06.png07.png08.png
09.png10.png11.png
12.png12a.png

Aplikace v sandboxech

13.png13a.png14.png
15.png16.png17.png
18.png19.png20.png
21.png22.png23.png
24.png24a.png

Nastavení systému

25.png26.png27.png
28.png29.png30.png

Určitě si přečtěte

Články odjinud