Como criar e usar Template e AppVM no Qubes
Criar e utilizar templates e AppVMs no Qubes OS é essencial para quem busca segurança e organização em suas atividades digitais.
Através dessa técnica, você pode maximizar a proteção de seus dados enquanto mantém sua privacidade.
Neste guia, vamos explorar como estruturar seu ambiente virtual, assegurando que cada aplicativo opere dentro de sua própria e isolada instância, minimizando riscos.
Desde a instalação de templates até a configuração de AppVMs, você aprenderá a dominar essas ferramentas como um verdadeiro especialista.
Se você está pronto para aprimorar sua experiência com o Qubes OS e otimizar a segurança do seu sistema, continue lendo e desvende as melhores práticas para potencializar seu uso!
Templates oficiais do Projeto Qubes OS
As templates oficiais do Projeto Qubes OS estão disponíveis na página oficial ou utilizando o comando qvm-template list pelo terminal no dom0. Atualizações são construídas e lançadas para essas templates, garantindo que as atualizações binárias são compiladas exatamente a partir do mesmo código-fonte que publicamos.
Documentação oficial dos templates
Em meu vídeo sobre instalação do Qubes, recomendo, na configuração inicial, a instalação do whonix-gateway, whonix-workstation, debian-xfce-12 e opcionalmente fedora-12. Entretanto, pode ser necessário reinstalar um template para reparo ou instalar novos templates disponíveis.
Como instalar ou reinstalar templates manualmente pelo dom0
Siga as instruções abaixo:
- Acesse o Qubes Application Menu.
- Vá em Settings (ícone de engrenagem).
- Selecione Other.
- Acesse o xfce terminal e digite:
qvm-template list
Se debian-12-xfce aparecer na lista dos templates instalados (installed templates), utilize o seguinte comando para reinstalação:
sudo qubes-dom0-update --action=reinstall qubes-template-package-name
Substituindo package-name pelo nome do template, por exemplo:
sudo qubes-dom0-update --action=reinstall qubes-template-debian-12-xfce
Atenção: o comando não funciona para templates não instalados.
Para instalar do zero, se nunca foi instalado
No terminal do dom0, digite:
qvm-template list
Na lista de Available Templates, escolha o template desejado e verifique o repositório correspondente. Este estará na terceira coluna da lista. Um exemplo de repositório que pode aparecer é qubes-template-itl:
sudo qubes-dom0-update --enablerepo=qubes-templates-itl qubes-template-fedora-42
sudo qubes-dom0-update --enablerepo=qubes-templates-itl qubes-template-debian-13-xfce
Instalação do Whonix Gateway e Whonix Workstation
sudo qubes-dom0-update --enablerepo=qubes-templates-itl whonix-gateway-17
sudo qubes-dom0-update --enablerepo=qubes-templates-itl whonix-workstation-17
Instalação de vários templates do mesmo repositório
sudo qubes-dom0-update --enablerepo=qubes-templates-itl qubes-template-fedora-42 qubes-template-debian-12-xfce
sudo qubes-dom0-update --enablerepo=qubes-templates-itl whonix-gateway-17 whonix-workstation-17
Configurações e ajustes dos templates
Para configurar os templates, vá ao canto superior direito da tela em Qubes Domains e abra o Qube Manager. Em seguida, procure pelo template desejado, como debian-12-xfce, clique com o botão direito e escolha Settings.
Aba Basic
Na aba Basic, em netQube, deixe sempre como none, pois essa qube fornece conexão de Internet para outras qubes. Os templates, por questões de segurança, não devem se conectar à Internet diretamente.
Se necessário, você pode escolher uma netQube como sys-whonix para fazer atualizações, mas isso é uma configuração mais avançada. O ideal é clonar a qube oficial e personalizá-la com programas conforme seus novos setups.
O template original é o mais seguro, pois já foi testado pela equipe do Qubes. O máximo que podemos fazer para mantê-lo seguro é atualizá-lo usando a opção Update no Qube Manager.
Iniciar Qube automaticamente na inicialização
Você pode configurar a inicialização automática da qube template e de outras qubes quando o Qubes OS iniciar. No entanto, os templates não precisam ser configurados dessa forma. As qubes sys-net, sys-firewall, sys-usb e sys-whonix têm essa opção marcada por padrão.
Gerenciamento de Armazenamento
O armazenamento total no Qubes é dividido entre System Storage e Private Storage.
- System Storage max size: Refere-se ao tamanho total da qube disponível.
- Private Storage max size: Refere-se ao tamanho que você escolheu usar no momento.
O Private Storage não pode ser maior que o System Storage. Por exemplo, se o System Storage tem 20 gigas e você precisa de 40 gigas, precisará primeiro aumentar o System Storage para 40 gigas.
Ajustes no template para AppVMs
Exemplo: se a AppVM do seu Telegram precisa de 30 gigas, e o System Storage está limitado a 20 gigas, você precisará aumentar o System Storage do template usado pela appVM e, em seguida, ajustar o Private Storage na sua AppVM.
Observação: não há problemas em aumentar o Private Storage, mas diminuir depois de aumentar pode causar problemas. Portanto, ao invés de reduzir o tamanho da AppVM ou do Template, crie uma nova qube com o tamanho desejado!
Aba Applications
Em All Available Applications, você encontrará todos os aplicativos de interface gráfica que pode usar. Em Applications Shown in App Menu, estarão os aplicativos disponíveis no menu de aplicativos.
O App Menu é acessado no canto superior esquerdo da tela, onde você encontrará opções para apps, templates e services.
Ao selecionar uma das VMs, os programas disponíveis para iniciar a qube aparecerão, ou você poderá acessá-los caso a qube já esteja ligada.
Por exemplo, se você deseja navegar nos arquivos do template debian-xfce-12 e copiar alguns scripts, pode seguir esse caminho:
- Templates
- debian-xfce-12
- Thunar (gerenciador de arquivos)
Se o Thunar não estiver aparecendo, você pode adicioná-lo na aba Applications:
- Na seção All Available Applications, procure por Thunar.
- Insira-o na seção Applications Shown in App Menu.
Após adicionar, volte ao App Menu e o Thunar estará disponível para uso. Essa abordagem pode ser aplicada para qualquer tipo de VM.
Como criar uma AppVM baseada em um template instalado
Para criar uma AppVM, siga os passos abaixo:
- No canto superior direito da tela, vá até Qubes Domains.
- Acesse Open Qube Manager.
- Clique em New Qube.
- Na aba Basic:
- Name and Label: dê um nome à sua AppVM e escolha a cor.
- Type: selecione AppVM.
- Template: escolha o template, como debian-12-xfce.
- Networking:
- Escolha sys-firewall para internet normal sem criptografia.
- Escolha sys-whonix para usar o Whonix Gateway com Tor.
- Você também pode escolher outra netVM que tenha criado.
Aba Advanced
- Provide network access to other qubes: deixe desmarcado se sua AppVM não for um serviço.
- Initial RAM: mantenha como Default, que é de 400 megabytes a 4000 megabytes.
- Storage Pool: escolha vm-pool (recomendado para iniciantes).
Veja os volumes do Linux Kernel, varlibqubes e a vm-pool clicando em Qube Disk Space Monitor no canto superior direito. O espaço disponível para vm-pool é geralmente maior. Portanto, para iniciantes, é melhor criar as qubes dentro do vm-pool.
Após fazer todas as configurações, clique no botão OK para finalizar a criação da AppVM.
Configurações da AppVM
Para ajustar as configurações da AppVM:
- Vá no canto superior direito da tela em Qubes Domains.
- Acesse Open Qube Manager.
- Procure a AppVM pelo nome e clique com o botão direito, selecionando Settings.
Aba Basic
Na aba Basic:
- Em Template, escolha o template (exemplo: debian-12-xfce).
- Se selecionar o template whonix-workstation-17, os programas disponíveis incluirão o Tor. Você deve adicionar programas na aba Applications, como o Tor Browser (Anon Dist).
Clique em Refresh Applications e o Tor Browser estará disponível em sua AppVM.
Conexões com NetQube
Em NetQube, escolha:
- none se a AppVM será offline.
- sys-firewall para navegação normal.
- sys-whonix para navegar usando o Whonix Gateway.
Iniciar Qube automaticamente na inicialização
Você pode optar por iniciar a Qube template ou qualquer outra assim que o Qubes iniciar. No entanto, essa configuração não é necessária para os templates.
Gerenciamento de Disk Storage
Se você deseja aumentar o espaço da sua AppVM:
- O aumento deve ser feito no Private Storage.
- O System Storage requer que você mude o valor no template que sua AppVM está usando antes de aumentar o Private Storage.
Aba Applications
Na aba All Available Applications, estão todos os aplicativos de interface gráfica que você pode usar. Em Applications Shown in App Menu, estão os aplicativos disponíveis no menu de aplicativos.
Você pode instalar aplicativos na sua AppVM como um usuário normal e adicioná-los à lista de aplicativos no menu. Um exemplo prático é o mullvad-browser.
Após extrair o mullvad-browser, utilize a opção --register-app para registrá-lo no ambiente desktop do XFCE, permitindo acesso direto através de um botão.
Comando para registrar o Mullvad Browser
./start-mullvad-browser.desktop --register-app
Depois de registrar, reinicie a AppVM, vá nas configurações da AppVM na aba Applications e clique em Refresh Applications.
O Mullvad Browser estará disponível em All Available Applications e você poderá adicioná-lo à seção Applications Shown in App Menu.
Agora, ao acessar o menu da AppVM, o Mullvad aparecerá para você clicar e iniciar a AppVM com ele!
Permanência da AppVM e Volatilidade do Sistema
A AppVM é persistente, enquanto o sistema de arquivos root é volátil. Mas o que isso significa?
Se alguém conseguir invadir sua máquina e obter controle total, quaisquer alterações feitas nas partes do sistema a nível de superusuário não serão persistentes, pois a parte do template (root) é volátil. Assim, quando você desliga a AppVM, ela retorna à versão original e intacta do template.
Impedindo a Persistência de Spywares
Essa arquitetura ajuda a prevenir a persistência de spywares e malwares. Contudo, os spywares e outros tipos de ameaças a nível de usuário normal na AppVM podem se tornar persistentes, pois a parte do usuário é, de fato, duradoura.
Os arquivos de usuários normais estão localizados em /home/seu_usuário e incluem aplicativos instalados, como mullvad-browser, telegram e outros. Esses programas armazenam dados em pastas específicas dentro de /home/seu_usuário, como .config, .local, .cache, entre outras.
Riscos de Ataques Zero Click
Ataques como os de zero click podem modificar esses diretórios e manter a persistência após um ataque. Portanto, a configuração mais segura para evitar essa persistência é usar DisposableVMs, onde tanto o root como os arquivos em /home/seu_usuário permanecem voláteis.
Para uma compreensão mais aprofundada sobre DisposableVMs e as várias configurações possíveis, consulte nossos artigos e vídeos dedicados ao tema.
Setup de Compartimentalização com AppVMs
Ao utilizar o template debian-12-xfce, você pode criar até cinco AppVMs com programas e objetivos diferentes, mantendo cada um isolado dentro do mesmo template.
Exemplos de AppVMs
- AppVM com Firefox para acessar o Gmail.
- AppVM com Firefox para acessar o ProtonMail.
- AppVM para usar Telegram.
- AppVM para usar Simplex.
- AppVM com KeePass para gerenciar senhas (sempre offline).
Minimizando Riscos com Compartimentalização
Se você criasse uma única AppVM com todos esses programas e ocorresse um ataque de zero click no Telegram, o atacante poderia (dependendo dos privilégios) roubar não apenas suas mensagens do Telegram, mas também acessar o Gmail, ProtonMail, Simplex e as senhas armazenadas no KeePass.
Portanto, é fundamental compartimentalizar ao máximo. Usando a abordagem proposta, mesmo que um atacante consiga invadir o Telegram, ele não terá acesso aos dados de outras AppVMs, como seus e-mails ou senhas, pois cada um está em uma AppVM separada.
A Importância da Compartimentalização
Essa camada de segurança minimiza os impactos de um ataque que seria devastador sem a compartimentalização e o isolamento proporcionados pelo Qubes.
Para usar o Qubes de forma eficaz, adote a mentalidade de que para cada aplicativo que você for utilizar, deve haver uma AppVM ou DisposableVM correspondente. Embora isso possa impactar a produtividade no trabalho, é um esforço vital para aumentar sua segurança e reduzir os riscos de ataques bem-sucedidos.
Lembre-se: com ataques de zero click, não há defesa. Reflita sobre isso ao configurar seu sistema!
Tutoriais avançados sobre Qubes OS: Clique aqui!
Qubes OS Espectro Proibido: Clique aqui!
Doar monero para ajudar no crescimento desse projeto: Clique aqui!