The Guardian紙のエンジニアリング・チームは最近、セキュリティに特化したデスクトップOSであるQubes OSの使用経験を共有した。エンジニアリングチームは、Qubes OSのデフォルトの管理エンジンであるSaltStackを利用してQubesワークステーションを設定した。
The Guardian紙のスタッフ・ソフトウェア・エンジニアであるPhilip McMahon氏は、Qubes OSの急な学習曲線をナビゲートするエンジニアリング・チームの旅について、ブログ投稿で詳述している。Qubes OSはまた、報道の自由財団（Freedom of the Press Foundation）が内部告発プラットフォームSecureDropを改善するために採用し、ジャーナリストにとってより使いやすく安全なものにしている。
Qubes OSは、機密性の高いメッセージの処理に、オフラインの仮想マシン「Qubes」を利用することで、エアギャップされた個別のマシンに代わる選択肢を提供する。このアプローチにより、同じマシン上の使い慣れたチャット・クライアント・インターフェース内で、ダウンロードしたメッセージの安全な復号化と読み取りが可能になる。
McMahon氏は、Qubesのチームの目標は、オフラインのDebian 11ベースの仮想マシン(VM)を作成し、再起動のたびに既知の状態にリセットし、生成またはダウンロードされたデータを削除することだと述べた。このVMには、Amazon S3にホストされているプライベート・リポジトリからのカスタム・パッケージを含む、デフォルトとカスタム・リポジトリの両方から特定のパッケージがインストールされている。
さらに、Nautilusの拡張機能と、システムにハードコードできない機密情報を含む設定ファイルを含めたいと考えていた。
QubesのSalt設定は、.topファイルから始まる。
# guardian.topbase: dom0: - guardian-vms上記の.topファイルは、Saltにdom0にguardian-vms状態を適用するように指示する。.slsステートファイルには、前述のguardian-vmsステートの指示が含まれている。
# guardian-vms.slscreate-guardian-template: qvm.vm: - name: guardian-template - clone: - source: debian-11 - label: 黒 - prefs: - netvm:""create-app: qvm.vm: - name: app - present: - template: guardian-template - label: 緑 - prefs: - template: guardian-template - netvm: ""このステート・ファイルは2つの重要なタスクを実行する。Debian 11をベースにしたguardian-templateという名前のテンプレート仮想マシンを作成し、オフラインで動作させる。また、このテンプレートをベースにしたguardianというアプリケーション仮想マシンを構築し、オフラインで機能させる。
テンプレート仮想マシンは、アプリ仮想マシンのベースとして機能し、必要なソフトウェアをすべて含んでいる。アプリVMが再起動するたびに、そのファイルシステム（ホームフォルダを除く）はテンプレートVMの状態に戻り、悪意のあるコードが削除され、セキュリティが強化される。Template VMとApp VMの詳細については、Qubesのドキュメントを参照されたい。
上記のオフラインVM appが作成されると、いくつかの基本的な作業に役立つ。ファイルを閲覧、編集、サニタイズするソフトウェアのインストールは、APTを使ってテンプレートVMのターミナルから直接行える。しかし、これをSaltのコンフィギュレーションに統合するには、新しいステートファイルを作成する必要がある。
# install-packages.slsinstall-packages: pkg.installed: - pkgs: - libreoffice - gedit - vlcさらに、install-packages状態をguardian-templateVMに適用するようQubesに指示するために、トップファイルを更新する必要がある。
# guardian.topbase: dom0: - guardian-vms guardian-template: - install-packagesThe Guardian紙のブログ投稿を受けて、Hacker Newsでも多くのユーザーが議論を交わした。HNユーザーのcangeroo氏は、Qubes OSとエアギャップがプロの現場で受け入れられるか、そして専門的なセキュリティ機器とプロセスの使用について質問した。また、暗号盗難の頻度に驚きを示し、エアギャップ・ソリューションの可用性と採用について疑問を呈した。
HN読者はQubes OSの最新開発にも強い関心を示し、バージョン4.2.0と 4.2.1のリリース時に議論を巻き起こした。
McMahon氏のブログ記事は、Qubes OSを使用する際の他の側面についても掘り下げている。例えば、デフォルトのリポジトリにないソフトウェアのインストール、テンプレートVM上でのネットワークアクセスの回避、使い捨てVMの活用、特定のニーズに合わせたVMのカスタマイズなどである。
McMahon氏は、このブログ記事がQubes OSを利用する他の人たちの助けになることを望んでおり、質問やフィードバックがあれば、電子メールで連絡を取るよう読者に呼びかけている。