【51CTO.com快譯】本文作者表示，Subgraph是一款大有前途的注重安全的發(fā)行版。

按照設(shè)計(jì)，Linux是一款很安全的操作系統(tǒng)。實(shí)際上，我在使用20年的過程中只遇到過一次Linux機(jī)器被攻破的情況，那次服務(wù)器受到了rootkit的攻擊。在桌面端，我還沒有遇到過任何形式的攻擊。

這倒不是說Linux平臺上的漏洞和攻擊就不存在，它們確實(shí)存在。只要想想Heartbleed和Wannacry，就明白Linux并非牢不可破。

由于Linux桌面的人氣越來越高，可以確定桌面惡意軟件和勒索軟件攻擊也會越來越多。這意味著多年來忽視這種威脅的Linux用戶應(yīng)開始考慮他們選擇的平臺可能受到攻擊。

你平時(shí)做什么？

如果你是Linux桌面用戶，可能會考慮采用像Subgraph這樣的發(fā)行版。Subgraph是一個(gè)桌面計(jì)算和通信平臺，旨在強(qiáng)有力地抵御網(wǎng)絡(luò)攻擊和惡意軟件/勒索軟件攻擊。但是不像可能試圖實(shí)現(xiàn)這類目標(biāo)的其他平臺，Subgraph在使這一切成為可能的同時(shí)，還保留了很高的易用性。由于GNOME桌面，Subgraph非常易于使用。

Subgraph有何不同之處？

這一切都始于操作系統(tǒng)的核心。Subgraph隨帶的內(nèi)核是用grsecurity/PaX和RAP（旨在防止代碼重用攻擊內(nèi)核以減輕當(dāng)前開發(fā)技術(shù)）構(gòu)建的，前者是一個(gè)面向整個(gè)系統(tǒng)的補(bǔ)丁，以緩解漏洞和權(quán)限提升，后者旨在防止對內(nèi)核執(zhí)行代碼重用攻擊，防范當(dāng)代的攻擊技術(shù)。想了解Subgraph內(nèi)核的更多信息，請查看GitHub上的Subgraph內(nèi)核配置（https://github.com/subgraph/subgraph-kernel-configs）。

Subgraph還在獨(dú)特的環(huán)境（名為Oz）中運(yùn)行暴露的、易受攻擊的應(yīng)用程序。Oz旨在將應(yīng)用程序彼此隔離開來，只將資源授予需要資源的應(yīng)用程序。組成Oz的技術(shù)包括如下：

• Linux命名空間
• 受限制的文件系統(tǒng)環(huán)境
• 桌面隔離
• Seccomp和Berkeley數(shù)據(jù)包過濾器（bpf）

其他安全功能包括如下：

• 大多數(shù)自定義的Subgraph代碼是用內(nèi)存安全的語言Golang編寫的。
• 涵蓋許多系統(tǒng)實(shí)用工具和應(yīng)用程序的AppArmor配置文件。
• 安全事件監(jiān)視工具。
• 桌面通知（即將發(fā)布）。
• Roflcoptor tor控制端口過濾器服務(wù)。

安裝子圖

有必要記住，Subgraph是alpha測試版，所以不應(yīng)該把這個(gè)平臺當(dāng)作日常主力平臺。由于它還是測試版，安裝方面有幾個(gè)問題要值得注意。我遇到的第一個(gè)奇怪的地方是，Subgraph無法作為VirtualBox虛擬機(jī)來安裝。無論怎樣，都行不通。這是已知的bug，但愿開發(fā)人員會修復(fù)這個(gè)缺陷。

第二個(gè)問題是，通過USB設(shè)備安裝Subgraph非常棘手。你不能使用Unetbootin或Multiboot USB之類的工具創(chuàng)建可啟動(dòng)的閃驅(qū)。你可以使用GNOME Disks來創(chuàng)建USB驅(qū)動(dòng)器，但最好的辦法是使用dd命令。下載ISO映像文件（https://subgraph.com/sgos/download/index.en.html），將USB驅(qū)動(dòng)器插入到電腦，打開終端窗口，找到剛插入的那個(gè)USB設(shè)備的名稱（命令lsblk適用于此）。最后，用這個(gè)命令將ISO映像文件寫入到USB設(shè)備：

dd bs=4M if=subgraph-os-alpha_XXX.iso of=/dev/SDX status=progress && sync

其中XXX是Subgraph版本號，SDX是USB設(shè)備的名稱。

一旦上述命令完成，你可以重啟機(jī)器，安裝Subgraph。安裝過程相當(dāng)簡單，個(gè)別地方麻煩點(diǎn)。首先是安裝程序在安裝之前會完全擦除整個(gè)驅(qū)動(dòng)器。這是一個(gè)安全措施，避免不了。這個(gè)過程需要一段時(shí)間（圖1），所以讓它自行完成，你可以改而操心另外的任務(wù)。 

圖1：Subgraph安裝過程包括擦除驅(qū)動(dòng)器

接下來，你要為驅(qū)動(dòng)器的加密創(chuàng)建一個(gè)密碼（圖2）。 

圖2：創(chuàng)建磁盤加密密碼

你在啟動(dòng)設(shè)備時(shí)要用到這個(gè)密碼。如果丟失或忘記密碼，就無法啟動(dòng)進(jìn)入到Subgraph。該密碼也是對付竊取你數(shù)據(jù)后企圖訪問數(shù)據(jù)的那些人的第一道防線，所以要明智地選擇。

Subgraph和另外大多數(shù)發(fā)行版之間的最后一個(gè)區(qū)別是，你沒有機(jī)會創(chuàng)建用戶名。你確實(shí)可以創(chuàng)建用戶密碼，該用戶密碼用于默認(rèn)用戶：命名用戶。你始終可以通過命令行或GNOME Settings工具來創(chuàng)建新用戶（一旦操作系統(tǒng)安裝完畢）。

安裝完成后，你的Subgraph系統(tǒng)會重啟，提示輸入磁盤加密密碼。成功驗(yàn)證后，Subgraph將啟動(dòng)，并進(jìn)入到GNOME登錄屏幕。使用你在安裝過程中創(chuàng)建的用戶名和密碼來登錄。

具體用法

使用Subgraph時(shí)有兩個(gè)重要的方面要記住。首先，正如前面提到，這款發(fā)行版處于測試開發(fā)中，所以還不完善。其次，所有應(yīng)用程序都在沙箱中運(yùn)行，網(wǎng)絡(luò)通過Tor來處理，所以會碰到應(yīng)用程序啟動(dòng)和網(wǎng)絡(luò)連接速度不如平常的情況。

我驚訝地發(fā)現(xiàn)，Tor瀏覽器（默認(rèn)也是唯一安裝的瀏覽器）并不直接就被安裝。相反，GNOME Dash上有一個(gè)啟動(dòng)器，首次啟動(dòng)時(shí)它會下載最新版本。這很棒，但我發(fā)現(xiàn)下載和安裝失敗了兩次。如果我使用常規(guī)的網(wǎng)絡(luò)連接，情況不會這么令人頭疼。然而，由于Subgraph通過Tor來工作，我的網(wǎng)絡(luò)連接速度慢得要命，所以Tor瀏覽器（26.8 MB程序包）的下載、驗(yàn)證和安裝耗時(shí)約20分鐘。當(dāng)然，那不是Subgraph的過錯(cuò)，而是我連接的Tor網(wǎng)絡(luò)的過錯(cuò)。在Tor瀏覽器安裝和運(yùn)行之前，Subgraph讓我實(shí)際上能做的事情很有限。最終，Tor瀏覽器下載好后，一切按預(yù)期運(yùn)行。

應(yīng)用程序沙箱

不是每個(gè)應(yīng)用程序都要經(jīng)歷首次啟動(dòng)時(shí)下載新版本的過程。實(shí)際上，Tor瀏覽器是我碰到唯一這么做的應(yīng)用程序。當(dāng)你打開一個(gè)新的應(yīng)用程序，它會先啟動(dòng)自己的沙箱，然后打開相應(yīng)的應(yīng)用程序。一旦應(yīng)用程序啟動(dòng)并運(yùn)行起來，你會在頂部面板中看到一個(gè)下拉列表，列出了當(dāng)前的每個(gè)應(yīng)用程序沙箱（圖3）。 

圖3：LibreOffice應(yīng)用程序沙箱啟動(dòng)并運(yùn)行，而Tor瀏覽器繼續(xù)下載

你可以通過每個(gè)應(yīng)用程序子菜單，將文件添加到特定的沙箱，或者關(guān)閉沙箱。關(guān)閉沙箱實(shí)際上關(guān)閉了該應(yīng)用程序。這不是你應(yīng)該關(guān)閉應(yīng)用程序本身的方式，而是像平常那樣來關(guān)閉應(yīng)用程序，然后如果你用好應(yīng)用程序，隨后可以手動(dòng)關(guān)閉沙箱（通過下拉菜單）。比如說如果你打開了LibreOffice，通過關(guān)閉沙箱來關(guān)閉它，就面臨丟失信息的風(fēng)險(xiǎn)。

由于每個(gè)應(yīng)用程序都在自己的沙箱中啟動(dòng)，應(yīng)用程序打開不如其他方式來得快。這是你為使用Subgraph和沙箱作出的犧牲。有些人希望獲得最高的桌面安全性，作這樣的犧牲是值得的。

大有前景的發(fā)行版

一些人希望在臺式機(jī)上獲得最大的安全性，Subgraph對他們來說是大有前景的發(fā)行版。雖然Subgraph確實(shí)存在測試版的諸多不足，但看起來它可能會在桌面領(lǐng)域引起轟動(dòng)，尤其是考慮到惡意軟件和勒索軟件已經(jīng)非常猖獗。更棒的是，Subgraph很可能會成為一款任何人（不管能力高低）都可以使用的注重安全的桌面發(fā)行版。一旦Subgraph成為正式版，我預(yù)測這款獨(dú)特的Linux發(fā)行版會大放異彩。

原文標(biāo)題：Subgraph: This Security-Focused Distro Is Malware’s Worst Nightmare，作者：Jack Wallen

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】