Linux alapú air gap

1. Bevezetés¶

A Linux operációs rendszer nyílt forráskódú jellege és moduláris felépítése miatt az elsődleges választás az air gap környezetek kialakításához. Lehetővé teszi a kernel szintű keményítést (hardening) és a szükségtelen szolgáltatások teljes eltávolítását, ami drasztikusan csökkenti a támadási felületet. A Linux disztribúciók közül az Ubuntu és a Debian a leggyakoribb alaprendszer, míg a Tails és a Qubes OS a specializált, ultra-biztonságos implementációkat képviselik.

2. Specifikus disztribúciók és azok szerepe¶

A Linux ökoszisztémán belül különböző filozófiák léteznek az izoláció megvalósítására. A Qubes OS például a „biztonság izoláció révén” elvet követi, ahol az alkalmazások különálló Xen virtuális gépekben (AppVM) futnak. Egy air gap konfigurációban a hálózati stack-et egyszerűen nem rendelik hozzá az adott virtuális géphez (NetVM = none), így az alkalmazás fizikailag képtelen kommunikálni, még akkor is, ha a gép hardveresen csatlakozik az internethez. Ezzel szemben a Tails egy „amnéziás” rendszer, amely RAM-ból fut és minden használat után törli önmagát, ami ideálissá teszi olyan helyzetekben, ahol az adatok fizikai visszakövethetőségét kell minimalizálni.

3. A telepítés folyamata és technikai követelmények¶

Egy professzionális air gap Linux rendszer telepítése nem csupán az operációs rendszer felrakását jelenti, hanem egy szigorú hardveres és szoftveres előkészítési folyamatot.

1. Hardveres előkészítés: A választott számítógépből el kell távolítani minden vezeték nélküli kommunikációs eszközt. Ez magában foglalja a WiFi kártyák, Bluetooth modulok és néha még a mikrofonok fizikai eltávolítását is. A webkamerákat le kell ragasztani vagy ki kell kötni. A BIOS/UEFI szintjén minden nem használt portot (pl. FireWire, soros port) le kell tiltani.
2. Operációs rendszer telepítése: A telepítéshez javasolt egy ellenőrzött forrásból származó, aláírt ISO fájl használata. A telepítés során a „Minimal Installation” opciót kell választani, amely elkerüli a felhőalapú szolgáltatások és szükségtelen háttérfolyamatok feltelepítését.
3. Hálózati korlátozások: Ha a gép rendelkezik Ethernet porttal, azt a BIOS-ban le kell tiltani, vagy speciális esetekben fizikailag is tönkre kell tenni. A szoftveres oldalon a hálózati modulokat (kernel modulok) feketelistára kell tenni.
4. Titkosítás: A teljes lemeztitkosítás (LUKS/LVM) kötelező elem. Ez védi az adatokat abban az esetben, ha a gépet fizikailag ellopják.
5. Csomagkezelés: Mivel a gép soha többé nem csatlakozhat az internetre, minden szükséges eszközt (pl. GnuPG, KeePassX, LibreOffice) a kezdeti, szigorúan ellenőrzött online fázisban kell telepíteni, mielőtt a légrést véglegesítik.

4. Kernel szintű keményítés (Hardening)¶

A Linux kernel biztonságának fokozása kritikus az air gap rendszereknél, mivel a támadó, ha egyszer fizikai úton bejut, a kernel hibáit használhatja ki a jogosultság kiterjesztéséhez. A grsecurity és a PaX kiterjesztések olyan védelmi rétegeket adnak a kernelhez, amelyek megnehezítik a memória-alapú exploitok (pl. buffer overflow) végrehajtását.