{"id":2644,"date":"2018-03-28T08:19:31","date_gmt":"2018-03-28T08:19:31","guid":{"rendered":"http:\/\/nethemba.com\/cs\/ako-si-maximalne-zabezpecit-laptop\/"},"modified":"2018-03-28T09:09:31","modified_gmt":"2018-03-28T09:09:31","slug":"ako-si-maximalne-zabezpecit-laptop","status":"publish","type":"post","link":"https:\/\/nethemba.com\/cs\/ako-si-maximalne-zabezpecit-laptop\/","title":{"rendered":"Jak si maxim\u00e1ln\u011b zabezpe\u010dit laptop"},"content":{"rendered":"

TO, \u017dE NEJSTE PARANOIDN\u00cd, NEZNAMEN\u00c1, \u017dE\u00a0JSOU VA\u0160E DATA V BEZPE\u010c\u00cd.<\/h4>\n

<\/h4>\n
\n

S nar\u016fstaj\u00edci\u00ed komplexnost\u00ed hardwaru i softwaru je odhalovat zranitelnosti nebo zadn\u00ed vr\u00e1tka t\u011b\u017e\u0161\u00ed ne\u017e kdykoliv p\u0159edt\u00edm. Kritick\u00e9 zranitelnosti se ned\u00e1vno objevily ve v\u0161ude dostupn\u00fdch procesorech (Meltdown \/ Spectre), podobn\u011b zadn\u00ed vr\u00e1tka<\/a> (Intel ME).<\/span><\/span><\/span><\/span><\/p>\n

Prohl\u00ed\u017ee\u010de s mno\u017estv\u00edm roz\u0161\u00ed\u0159en\u00ed za\u010d\u00ednaj\u00ed b\u00fdt nejslo\u017eit\u011bj\u0161\u00ed internetov\u00e9 aplikace v po\u010d\u00edta\u010di. P\u0159i sou\u010dasn\u00e9 architektu\u0159e a pou\u017eit\u00fdch programovac\u00edch jazyc\u00edch je prakticky nemo\u017en\u00e9 eliminovat jejich skryt\u00e9 a neobjeven\u00e9 zranitelnosti. Kritick\u00e9 bezpe\u010dnostn\u00ed zranitelnosti se t\u00fdkaj\u00ed i nejbezpe\u010dn\u011bj\u0161\u00edch hardwarov\u00fdch pen\u011b\u017eenek.<\/span><\/span><\/span>\u0160ifrov\u00e1n\u00ed disk\u016f, antivirov\u00e9 \u010di anti-malware \u0159e\u0161en\u00ed p\u0159i kompromitovan\u00fdch hardwaru nebo softwaru jsou ne\u00fa\u010dinn\u00e9.<\/span><\/span><\/span><\/p>\n

V n\u00e1sleduj\u00edc\u00edm \u010dl\u00e1nku se pokus\u00edm vysv\u011btlit jako v t\u00e9to divo\u010din\u011b zranitelnost\u00ed p\u0159e\u017e\u00edt a vyu\u017e\u00edt sou\u010dasn\u011b modern\u00ed technologie na minimalizaci jejich zneu\u017eit\u00ed.<\/span><\/span><\/span><\/p>\n<\/div>\n

<\/div>\n
<\/div>\n

1 PRO\u010c LIBREM<\/h2>\n
<\/div>\n
\n

Laptop, kter\u00fd by byl open-hardware (tedy snadno zauditovate\u013en\u00fd) a sou\u010dasn\u011b dostate\u010dn\u011b v\u00fdkonn\u00fd, v sou\u010dasn\u00e9 dob\u011b z\u0159ejm\u011b neexistuje. Existuj\u00ed r\u016fzn\u00e9 pokusy o vytvo\u0159en\u00ed otev\u0159en\u00e9ho laptopu na ARM procesorech (za zm\u00ednku stoj\u00ed Pine64<\/a>, p\u0159\u00edpadn\u011b Novena<\/a>), jejich v\u00fdkon je ale se sou\u010dasn\u00fdmi procesory Intel \/ AMD bohu\u017eel nesrovnateln\u00fd. Chcete-li m\u00edt v dne\u0161n\u00ed dob\u011b nejv\u00fdkonn\u011bj\u0161\u00ed laptop, pou\u017eit\u00ed Intel \/ AMD procesoru se nevyhnete.<\/span><\/span><\/span><\/span><\/p>\n

N\u00ed\u017ee uv\u00e1d\u00edm d\u016fvody, pro\u010d jsem se rozhodl investovat do laptopu Purism Librem 13<\/a>, kter\u00fd nen\u00ed jen vysoce bezpe\u010dn\u00fd, ale m\u00e1 tak\u00e9 dostate\u010dn\u00fd v\u00fdkon, kter\u00fd se od sou\u010dasn\u00fdch laptop\u016f o\u010dek\u00e1v\u00e1.<\/span><\/span><\/span><\/span><\/p>\n<\/div>\n

<\/div>\n
\n

Na rozd\u00edl od jin\u00fdch b\u011b\u017en\u00fdch laptop\u016f, Librem toti\u017e disponuje:<\/span><\/span><\/span><\/p>\n<\/div>\n

*\u00a0hardwarov\u00fdm \u201ekill switch-em\u201c<\/strong>, tedy fyzick\u00fdm p\u0159ep\u00edna\u010dem pro zapnut\u00ed nebo vypnut\u00ed mikrofonu, kamery, wifi \u010di bluetooth. Nemus\u00edte tedy p\u0159elepovat kameru, jeliko\u017e jej\u00ed odpojen\u00ed je realizov\u00e1no na hardwarov\u00e9 \u00farovni.<\/div>\n
* v\u011bt\u0161inou komponent\u016f, kter\u00e9 jsou open-hardware<\/b> – spole\u010dnost Purism speci\u00e1ln\u011b \u0159e\u0161\u00ed jejich bezpe\u010dnost p\u0159\u00edmo s jejich v\u00fdrobci
\n*\u00a0pr\u016fzkumnou Intel ME funkcionalitou, kter\u00e1 jde \u010d\u00e1ste\u010dn\u011b nebo \u00fapln\u011b vypnout<\/span><\/span><\/span><\/span><\/strong> (tzv. „neutralizovat“) (v Purism se t\u00e9to problematice dost v\u011bnuj\u00ed<\/a>)<\/span><\/span><\/span><\/span>
\n*\u00a0nam\u00edsto propriet\u00e1rn\u00edho BIOSu open source Coreboot<\/a>-em<\/div>\n
* TPM \u010dipem<\/strong>, kter\u00fd podporuje (p\u0159i p\u0159\u00ed\u0161t\u00edm Librem modelu) opensource Heads<\/a> (v\u00edce informac\u00ed tak\u00e9 Tamper-evident Boot Update: Making Heads More Usable<\/a>)<\/div>\n
<\/div>\n

2\u00a0PRO\u010c QUBES<\/h2>\n
\n

Librem se ofici\u00e1ln\u011b dod\u00e1v\u00e1 s opera\u010dn\u00edm PureOS<\/a>, co\u017e je m\u00edrn\u011b zabezpe\u010den\u00e1 verze Debianu (s integrovan\u00fdm Tor-em, nativn\u00edm prohl\u00ed\u017ee\u010dem PureBrowser podporuj\u00edc\u00edm EFF Privacy Badger, HTTPS Everywhere \u010di DuckDuckGo plugin). P\u00ed\u0161u „m\u00edrn\u00e9“, proto\u017ee jinak jsem si tam nev\u0161iml \u017e\u00e1dn\u00e9 v\u00fdrazn\u00e9 nav\u00fd\u0161en\u00ed bezpe\u010dnosti oproti dob\u0159e konfigurov\u00e1n desktop\u016fm na Debian \/ Ubuntu \/ Mint.<\/span><\/span><\/span><\/span><\/p>\n

Vzhledem k tomu, \u017ee p\u0159ed p\u00e1r t\u00fddny vy\u0161la pro Librem nov\u00e1 verze Coreboot 4.7<\/a>, kter\u00e1 podporuje Iommi (umo\u017e\u0148uj\u00edc fyzickou segregaci pam\u011bti mezi virtu\u00e1ln\u00edmi Masini (d\u00e1le jen VM) chr\u00e1n\u00ed jejich v\u016f\u010di \u00fatok\u016fm na \u00farovni DMA) jako\u017e i podporu TPM (kter\u00fd posledn\u00ed Librem ji\u017e obsahuje ), rozhodl jsem se nev\u00e1hat a rozb\u011bhl jsem si posledn\u00ed verzi (4.0rc5) vysoce bezpe\u010dn\u00e9ho Qubes OS<\/a>.<\/span><\/span><\/span><\/span><\/p>\n

Qubes OS se rozhodl pro bezpe\u010dnostn\u00ed model „security by compartmentalization<\/b>„, co\u017e v tomto p\u0159\u00edpad\u011b znamen\u00e1 „roz\u0161katulkovan\u00fd“ cel\u00e9ho syst\u00e9mu na mno\u017estv\u00ed segregovan\u00fdch VM, kde v ka\u017ed\u00e9 dok\u00e1\u017ee b\u011b\u017eet samostatn\u00e1 aplikace.<\/span><\/span><\/span><\/p>\n

V\u0161echny ty, kte\u0159\u00ed si mysl\u00ed, \u017ee to cel\u00e9 kv\u016fli chyb\u00e1m v Intelu (Meltdown & Spectre) nebude fungovat, bych r\u00e1d ujistil, \u017ee uveden\u00e9 zranitelnosti jsou d\u00edky bezpe\u010dnostn\u00ed aktualizaci v posledn\u00edm Qubes<\/a> ji\u017e opraven\u00e9.<\/span><\/span><\/span><\/span><\/p>\n

 <\/p>\n<\/div>\n

\n

 <\/p>\n

2.1 Typy VM<\/strong><\/p>\n

V Qubes 4 jsou p\u0159edinstalov\u00e1ny t\u0159i souborov\u00e9 syst\u00e9my – Fedora 26, Debian 9 a Whonix 13. Z nich je mo\u017en\u00e9 n\u00e1sledn\u011b vytv\u00e1\u0159et aplika\u010dn\u00ed VM.<\/span><\/span><\/span><\/span><\/span><\/p>\n

Aplika\u010dn\u00ed VM jsou velmi efektivn\u00ed, co se t\u00fd\u010de \u00falo\u017en\u00e9ho prostoru. P\u0159i vytvo\u0159en\u00ed tohoto VM se recyklov\u00e1no kompletn\u011b cel\u00fd souborov\u00fd syst\u00e9m dan\u00e9ho OS. Do \u00falo\u017ei\u0161t\u011b takov\u00e9ho VM se ukl\u00e1daj\u00ed pouze u\u017eivatelsk\u00e1 data (crontab, lok\u00e1ln\u00ed firewall pravidla rc.local, domovsk\u00e9 adres\u00e1\u0159e \/ home, a cel\u00fd \/ usr \/ local). Ka\u017ed\u00e1 aplikace v samostatn\u00e9m aplika\u010dn\u00edm VM je proto dobr\u00fd n\u00e1pad a nemus\u00edte se ob\u00e1vat rychle zapln\u011bn\u00e9ho disku.<\/span><\/span><\/span><\/p>\n

Dal\u0161\u00ed velk\u00e1 v\u00fdhoda aplika\u010dn\u00edch VM je jednoduch\u00e1 aktualizace – sta\u010d\u00ed aktualizovat jeden centr\u00e1ln\u00ed souborov\u00fd syst\u00e9m a po restartu m\u00e1te aktualizovan\u00e9 v\u0161echny VM, kter\u00e9 jsou z n\u011bj derivovan\u00e9.\u00a0<\/span><\/span><\/span><\/p>\n

Toto ale neplat\u00ed, pokud p\u0159i vytv\u00e1\u0159en\u00ed VM zvol\u00edte mo\u017enost „Standalone Qube“ – v tomto p\u0159\u00edpad\u011b se v\u00e1m do nov\u00e9ho VM kompletn\u011b zkop\u00edruje existuj\u00edc\u00ed souborov\u00fd syst\u00e9m (Fedora, Debian, Whonix). P\u0159\u00edpadn\u011b m\u016f\u017eete definovat<\/span> vlastn\u00ed. Osobn\u011b jsem tuto mo\u017enost zat\u00edm nikdy nepot\u0159eboval, nebo\u0165 s Debianem se kamar\u00e1d\u00edm a dok\u00e1zal jsem si tam zat\u00edm rozjet \u00fapln\u011b v\u0161echno.<\/span><\/p>\n<\/div>\n

<\/div>\n
\n

 <\/p>\n

2.2 Typy virtualizace<\/strong><\/p>\n

Virtualizace v Qubes je implementov\u00e1na p\u0159es XEN, kter\u00fd podporuje 3 typy virtualizace:<\/span><\/span><\/span><\/span><\/p>\n

    \n
  1. PVH<\/b> ( „default“) pro v\u0161echny Linuxov\u00e9 VM. Jde o hardwarov\u011b podporovanou paravirtualizaci, kter\u00e1 je velmi rychl\u00e1 a optim\u00e1ln\u00ed na v\u011bt\u0161inu pou\u017eit\u00ed (pro ka\u017edou VM je mo\u017en\u00e9 specifikovat samostatn\u00e9 j\u00e1dro)<\/span><\/span><\/li>\n
  2. PV<\/b> – paravirtualizace bez hardwarov\u00e9 podpory<\/span><\/span><\/li>\n
  3. HVM<\/b> – pln\u00e1 hardwarov\u00e1 virtualizace, pomaleji<\/span><\/span><\/li>\n<\/ol>\n<\/div>\n
    <\/div>\n
    Porovnanie (origin\u00e1l https:\/\/wiki.xen.org\/wiki\/File:XenModes.png )<\/div>\n
    <\/div>\n
    \n

     <\/p>\n

    2.3\u00a0Segregace virtualizac\u00ed jako cesta k\u00a0vy\u0161\u0161\u00ed bezpe\u010dnosti<\/strong><\/p>\n

    Qubes podporuje n\u011bkolik syst\u00e9mov\u00fdch \u0161ablon ( „templates“) kter\u00e9 je mo\u017en\u00e9 prov\u00e1zat s va\u0161imi VM a zajistit jim individu\u00e1ln\u00ed p\u0159\u00edstup k internetu \u010di k USB za\u0159\u00edzen\u00edm. Tyto \u0161ablony p\u0159edstavuj\u00ed samostatn\u00e9 VM, kter\u00e9 jsou vytvo\u0159eny ze souborov\u00fdch \u0161ablon (Debian 9, Fedora 26, Whonix 13). Spou\u0161t\u011bj\u00ed se hned po nastartov\u00e1n\u00ed Qubes a slou\u017e\u00ed jako VM, kde je sm\u011b\u0159ov\u00e1na s\u00ed\u0165ov\u00fd provoz ostatn\u00edch VM.<\/span><\/span><\/span><\/span><\/p>\n

    V Qubes jsou p\u0159edinstalov\u00e1ny n\u00e1sleduj\u00edc\u00ed syst\u00e9mov\u00e9 \u0161ablony:<\/span><\/span><\/strong><\/p>\n