The Guardian 工程团队分享 Qubes OS 使用经验

The Guardian 的工程团队最近分享了他们使用 Qubes OS 的经验。Qubes OS 是一个以安全为中心的桌面操作系统，团队使用其默认的管理引擎 SaltStack 来配置 Qubes 工作站。

Qubes OS 的应用背景

Qubes OS 被设计为一种替代传统物理隔离机器的方案，通过使用离线虚拟机（称为“Qubes”）来处理敏感消息。这种方法允许在同一台机器上通过熟悉的聊天客户端界面安全地解密和阅读下载的消息。

The Guardian 团队的目标

Philip McMahon，The Guardian 的软件工程师，详细描述了团队使用 Qubes OS 的经历。团队的目标是创建一个基于 Debian 11 的离线虚拟机（VM），该虚拟机在每次重启后可以恢复到已知状态，删除所有生成或下载的数据。该虚拟机将安装来自默认和自定义仓库的特定软件包，包括托管在 Amazon S3 上的私有仓库中的自定义包。

SaltStack 配置

Salt 配置从 .top 文件开始，该文件指示 Salt 在 dom0 上应用 guardian-vms 状态。.sls 状态文件则包含创建模板虚拟机和应用程序虚拟机的指令。模板虚拟机基于 Debian 11，应用程序虚拟机则基于此模板，两者都运行在离线状态。

安装软件包

团队还通过创建新的状态文件来安装软件包，如 LibreOffice、gedit 和 VLC，并更新了 .top 文件以指示 Qubes 将 install-packages 状态应用于 guardian-template 虚拟机。

社区讨论与反馈

在博客发布后，Hacker News 上的用户对 Qubes OS 的接受度和物理隔离解决方案的可用性进行了讨论。用户对加密货币盗窃的频率表示惊讶，并对 Qubes OS 的最新版本（如 4.2.0 和 4.2.1）表现出浓厚兴趣。

其他使用细节

McMahon 的博客还深入探讨了使用 Qubes OS 的其他方面，如安装不在默认仓库中的软件、避免模板虚拟机访问网络、使用一次性虚拟机以及根据特定需求自定义虚拟机。

总结与邀请

McMahon 希望通过他的博客帮助其他使用 Qubes OS 的用户，并邀请读者通过电子邮件提出任何问题或反馈。