[Ciko 0]

Що таке Subgraph OS

Subgraph OS — дистрибутив Linux, заснований на Debian, розроблений канадською компанією Subgraph. Головна ідея – кожна програма запускається в ізольованому sandbox-контейнері з обмеженим доступом до системи та мережі. Весь трафік примусово маршрутизується через Tor.

Архітектура ізоляції

Ключовий компонент - Oz, власна система ізоляції додатків. Кожна програма отримує власний простір імен (namespace) через механізми Linux kernel: окрему файлову систему, окремі мережеві інтерфейси, обмежений доступ до системних викликів через seccomp-bpf фільтри.

Практичний ефект такий: якщо браузер скомпрометований через вразливість — атакуючий виявляється всередині ізольованого контейнера браузера без доступу до файлів інших програм, до домашньої директорії користувача та мережі безпосередньо.

Ядро з посиленим захистом

Subgraph використовує патчене ядро Linux з кількома додатковими механізмами захисту. grsecurity та PaX патчі (у більш старих версіях) додають рандомізацію адресного простору, захист від переповнення стека та обмеження на виконання коду. Це закриває цілий клас експлойтів, які працюють проти стандартного ядра Linux.

Tor інтеграція

На відміну від Tails де Tor реалізований через прозорий проксі на рівні мережі - Subgraph інтегрує Tor глибше. Кожен контейнер програми отримує свій Tor circuit що означає, що різні програми не ділять один і той же circuit і не можуть корелюватися через нього.

Meaproxy

Цікавий компонент, який є в Subgraph і якого немає в більшості аналогів - Metaproxy. Це прозорий проксі, який перехоплює вихідні з'єднання програм і автоматично направляє їх через Tor без необхідності налаштовувати кожну програму окремо. Додаток, який не вміє працювати через SOCKS-проксі, все одно отримує свій трафік загорнутим у Tor автоматично.

CoyIM - вбудований месенджер

Subgraph йде в комплекті з CoyIM - месенджером, написаним з нуля на Go спеціально з фокусом на безпеку. Підтримує XMPP з OTR-шифруванням, працює лише через Tor, написаний без використання небезпечних компонентів типу електронної пошти чи браузерного двигуна.

Де Subgraph виграє у Tails

Ізоляція на рівні додатків - Tails не ізолює програми один від одного. Якщо один процес скомпрометований в Tails, він потенційно має доступ до всієї сесії користувача. У Subgraph компрометація однієї програми обмежена його контейнером.

Персистентність - Subgraph можна встановити як постійну систему зі зберіганням даних між сесіями, що Tails принципово не підтримує за своєю концепцією.

Зручність повсякденного використання як повноцінно встановлена система Subgraph зручніше для роботи на постійній основі ніж завантаження з USB щоразу.

Де Subgraph програє Tails

Амнезія - Subgraph як постійна система залишає сліди на диску. Якщо потрібна гарантована амнезія після сесії, Tails залишається найкращим вибором.

Статус розробки — це чесне та важливе застереження. Subgraph OS тривалий час перебував у статусі alpha та розробка була відносно повільною порівняно з Tails та Qubes. Перед використанням варто перевірити актуальний статус проекту та коли було останнє оновлення.

Аудити безпеки - Tails пройшов значно більше незалежних аудитів за свою історію. Subgraph менш перевірений сторонніми дослідниками.

Спільнота – значно менше користувачів та документації порівняно з Tails.

Для кого Subgraph підходить

Для людини якій потрібна постійна встановлена система з ізоляцією додатків та примусовим Tor, і яка готова миритися з менш зрілим проектом заради архітектурних переваг ізоляції. Хороша альтернатива Qubes для слабкішого заліза — Qubes потребує значних ресурсів через віртуалізацію, Subgraph працює на звичайному ноутбуці.

Зв'язування з іншими інструментами

Subgraph добре поєднується з фізичними ключами безпеки (YubiKey/Nitrokey) для автентифікації, VeraCrypt для зашифрованих контейнерів із чутливими даними та Feather Wallet або Monerujo через емулятор для роботи з Monero.