Qubes OS Security in the Public Record
Diese Arbeit präsentiert eine Längsanalysen von 109 Qubes Security Bulletins und zugehörigen Schwachstellendaten aus dem Zeitraum von 2011 bis 2025, die aufzeigt, dass sich der öffentliche Bekanntmachungsdatensatz seit 2015 zwar auf einem höheren Offenlegungsniveau stabilisiert hat, die Sicherheitslast jedoch primär in Upstream-Komponenten wie Xen und CPU-Architekturen anstatt in der Kernlogik von Qubes konzentriert bleibt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die digitale Nachbarschaftswache
Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der jeder Computer ein Haus ist. In den meisten Nachbarschaften wohnt der „Sicherheitswächter“ (das Betriebssystem) direkt im Haus und beobachtet gleichzeitig die Haustür, die Fenster und den Hinterhof. Wenn der Wächter müde wird oder einen Fehler macht, ist das ganze Haus in Gefahr. Aber es gibt eine besondere Art von Haus in dieser Stadt namens Qubes OS. Anstatt eines großen Wächters stellt es ein Team aus winzigen, separaten Sicherheitswächtern ein, von denen jeder in seiner eigenen Glaskabine (einer „Qube“ genannt) eingesperrt ist. Wenn ein Wächter von einem Einbrecher überlistet wird, sind die anderen Wächter in ihren Kabinen sicher. Dies nennt man „Kompartimentalisierung“.
Um zu wissen, ob dieses System tatsächlich funktioniert, agieren Sicherheitsforscher wie Kapitäne der Nachbarschaftswache. Sie führen ein öffentliches Logbuch namens Security Bulletin. Jedes Mal, wenn ein Bug gefunden wird oder ein Patch benötigt wird, schreiben sie es auf. Die große Frage dieser Arbeit ist: Wo verstecken sich die Bugs eigentlich? Liegen sie in den winzigen Glaskabinen, die vom Qubes-Team gebaut wurden (der „Core“), oder liegen sie im Fundament des Gebäudes, im Stromnetz der Stadt oder in den Materialien, die zum Bau der Wände verwendet werden (die „Upstream“-Teile wie der Computerchip und die Virtualisierungssoftware)? Wenn die Glaskabinen perfekt sind, aber das Fundament Risse hat, ist das ganze Haus dennoch in Gefahr. Diese Studie ist ein tiefer Einblick in diese vierzehn Jahre alten Logbücher, um zu sehen, wer wirklich die schwere Arbeit leistet, wenn es um Sicherheit geht.
Die Detektivarbeit: Wer hat das Glas zerbrochen?
In dieser Studie agiert der Autor, Alfonso De Gregorio, wie ein forensischer Buchhalter für Computersicherheit. Er hat nicht nur geraten; er ist durch jedes einzelne öffentliche Security Bulletin von Qubes OS von 2011 bis 2025 gegangen. Das sind insgesamt 109 Bulletins, plus ein Tracker von 464 verwandten Problemen der zugrunde liegenden Software (Xen), auf der Qubes läuft. Er wollte sehen, ob die „Glaskabinen“ (Qubes-core) die Hauptquelle für Probleme waren oder ob die Probleme aus dem „Fundament“ (Xen, dem Computerprozessor und anderen Upstream-Teilen) kamen.
Die große Enthüllung: Es sind nicht die Kabinen, es ist das Fundament
Die Ergebnisse waren überraschend klar. Als der Autor die 109 Bulletins untersuchte, fand er heraus, dass 79,8 % von ihnen (das sind 87 von 109) durch Probleme in den Upstream-Teilen verursacht wurden – wie dem Xen-Hypervisor, dem Computer-CPU oder anderer Software, die Qubes nicht selbst geschrieben hat. Nur etwa 20 % der Probleme waren tatsächlich die Schuld an der eigenen Logik des Qubes-Teams. Selbst als er die Probleme nach der Anzahl der in einem Bulletin erwähnten spezifischen Probleme gewichtete, dominierten die Upstream-Teile weiterhin und machten über 80 % der Last aus.
Denken Sie an ein Auto. Wenn Sie ein maßgeschneidertes Auto kaufen, bei dem der Motor von einer berühmten Firma (Xen) und die Karosserie von einer kleinen Manufaktur (Qubes) gebaut wurde, und Sie feststellen, dass 80 % der Probleme beim Motor oder den Straßenbedingungen liegen, können Sie nicht der Manufaktur die Schuld an den Motorproblemen geben. Die Studie zeigt, dass Qubes einen großartigen Job macht, seinen eigenen kleinen Teil des Codes sauber zu halten, aber es ist stark von der Sicherheit der massiven, komplexen Maschinerie darunter abhängig.
Die Zeitlinie: Wann hat sich etwas geändert?
Der Autor untersuchte auch, wann diese Probleme gemeldet wurden. Er fand eine bedeutende Verschiebung im Anfang 2015. Vor dieser Zeit war die Anzahl der Security Bulletins gering und sporadisch. Nach dem ersten Quartal 2015 stieg die Zahl der Meldungen an und blieb auf einem höheren, stetigen Niveau. Sie stieg nicht ewig weiter an; sie pendelte sich auf einem Plateau ein.
Als er sich dann die Jahre nach 2018 ansah, zeigten die Daten etwas Interessantes: Die Rate der neuen Probleme wurde „statistisch flach“. Das bedeutet nicht, dass keine neuen Bugs mehr gefunden wurden; es bedeutet, dass die Anzahl der pro Jahr gefundenen neuen Bugs nicht mehr signifikant wuchs oder schrumpfte. Es wurde zu einem stabilen, vorhersehbaren Rhythmus. Der Autor bemerkte auch, dass nach 2018 viele der neuen Probleme mit „Transient Execution“ zusammenhingen (ein schicker Begriff dafür, wie Computerchips vorausahnen, was sie als Nächstes tun sollen, was manchmal Geheimnisse preisgeben kann). Dies deutet darauf hin, dass sich die Art der Bedrohungen änderte – weg von einfachen Software-Bugs hin zu komplexen Hardware-Tricks –, aber das Ausmaß der Probleme blieb stabil.
Der Kristallkugel-Test: Kann man die Zukunft vorhersagen?
Schließlich versuchte der Autor, mathematische Modelle (genannt Vulnerability Discovery Models oder VDM) zu verwenden, um vorherzusagen, wie viele Bugs in der Zukunft gefunden werden würden. Diese Modelle folgen oft einer „S-Kurve“, was darauf hindeutet, dass wir zuerst viele Bugs finden, dann verlangsamt sich die Rate, während wir alle „leichten“ finden, und schließlich laufen wir aus Bugs aus.
Die Studie ergab, dass diese S-förmigen Kurven die Vergangenheitsdaten zwar ziemlich gut beschreiben, aber schrecklich darin sind, die Zukunft zu prognostizieren. Als der Autor diese komplexen Modelle mit einem einfachen „rollierenden Durchschnitt“ (im Grunde die Annahme, dass das nächste Jahr wie der Durchschnitt der letzten drei Jahre aussehen wird) verglich, gewann die einfache Schätzung. Die komplexen Modelle lieferten keine bessere Prognose. Tatsächlich legen die Daten nahe, dass der Versuch, genau vorherzusagen, wann der „letzte Bug“ gefunden wird, ein aussichtsloses Unterfangen ist; das System scheint in einen stabilen Zustand übergegangen zu sein, in dem neue Probleme in einem stetigen, handhabbaren Tempo auftauchen, anstatt dass sie irgendwann ganz aufhören.
Was das für Sie bedeutet
Das Paper behauptet nicht, dass Qubes OS „perfekt“ oder „gelöst“ ist. Es sagt ausdrücklich, dass wir nicht messbare, verborgene Bugs messen können, die noch nicht gefunden wurden. Es beweist jedoch, dass die öffentliche Aufzeichnung der Sicherheitsvorfälle von der zugrunde liegenden Technologie (Xen und die CPU) dominiert wird und nicht vom Code des Qubes-Teams selbst.
Für jeden, der dieses System nutzt, ist die Lektion praktisch: Beobachten Sie nicht nur das Qubes-Team, sondern beobachten Sie auch das Xen-Team und die Computerchip-Hersteller. Die „Glaskabinen“ sind stabil, aber das „Fundament“ ist dort, wo die eigentliche Action stattfindet. Die Studie bestätigt, dass die Sicherheit dieses Systems eine Teamleistung ist, und die größten Risiken kommen von den Teilen des Systems, die Qubes nicht direkt kontrolliert. Die Autoren sind aufgrund ihrer mehrfachen Überprüfungen zuversichtlich bei diesen Zahlen, sagen aber auch vorsichtig, dass dies eine Betrachtung des öffentlichen Logbuchs ist und keine Garantie dafür, dass keine geheimen Bugs in den Schatten existieren.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.