Disposable VMs

While we're still busy with some last few tickets left for Qubes Alpha 2 milestone, Rafal has already started working on a new feature for Qubes Beta 1: on Disposable VMs. I think this is really gonna be a killer feature, and I wanted to say a few words about it.

Disposable VMs will be very lightweight VMs that can be created and booted in a very short time, say < 1s, with a sole purpose of hosting only one application, e.g. a PDF viewer, or a Media Player.

To understand why Disposable VMs are important, imagine cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following situation -- you receive an email from a customer that contains a PDF attachment, say an invoice or a contract. Obviously you're opening and reading cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message in an email client running in your "work" AppVM (or "work-email" AppVM, if you're paranoid), just because it is a work-related correspondence, arriving at your professional email address (for many reasons it is good to use different email addresses for job-related activities and for personal life).

However, chances of somebody compromising your email client by just sending you a maliciously crafted message that would exploit your body or subject parsers are very small, if you have disabled full HTML parser for message bodies (which I think most security-concious people do anyway). Perhaps a more effective attack vector would be for somebody to 0wn your email server first, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n try to exploit IMAP/POP/SMTP protocol parser in your email client. But hey, in that case, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y already would get access to all your emails on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 corporate server, without exploiting your email client (well, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y could however gain access to your PGP keys this way -- if this bocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rs you, you might want to use smartcards for PGP keys). There is also a possibility to do a Man-In-The-Middle attack and try to exploit SSL protocol early parsers, but this could be prevented using a separate VPN AppVM in Qubes.

But now you would like to open this PDF that a customer just sent you. It's quite reasonable to be afraid that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF might be malicious and might try to exploit your PDF viewer, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n try to steal your emails or ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r things you keep in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "work" AppVM (or "work-email" AppVM). It doesn't matter if you trust cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sender, as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sender's OS might very well be compromised by some malware and might be infecting all outgoing PDFs without cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user consent.

You could try opening cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF in one of your non-sensitive VMs, e.g. cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "random" VM that you use for causal Web browsing, to make sure that even if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF is malicious, that it won't get access to any sensitive data. But what if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF is not malicious, and what if it contains some confidential data? In that case you might throw cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 baby out with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bath water (your "random" VM might have been already compromised and now it would be able to steal cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 secrets from your PDF file).

A disposable VM is an ideal solution here. You create a clean, disposable VM, just for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 purpose of viewing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF. Then, once you're done, you just throw it away. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PDF was malicious it could done harm only to its own disposable VM, that doesn't contain anything except... this very PDF. At cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same time, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 disposable VM is always started in a clean state, so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is no way somebody could steal cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 document. Only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 document can steal itself :)

That all sounds easy, but to make it practical we need a very efficient implementation of disposable VMs, and a good system integration, so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 experience was seamless to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user. E.g. cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user should only be required to right-click on a file and choose "Open in a Disposable VM", and Qubes should take care about everything else: creating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 VM, starting it, copying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 VM, and starting a MIME-associated application for this type of file (e.g. PDF) in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 VM. And this all in time below 1s!

Basic support for Disposable VMs is planned for Beta 1, which is scheduled sometime at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 summer holidays. But I can tell that's just cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 beginning. The ultimate goal, from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user's point of view, would be to make Qubes OS to look and behave just like a regular mainstream OS like Linux, or Windows, or even Mac, but still with all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 strong security that Qubes architecture provides, deployed behind cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 scene. Seamless support for Disposable VM is one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first steps to achieve this goal.

Special credits go to Matt Piotrowski, who just left Berkeley University, and whose recently published cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365sis was a direct inspiration to implement disposable VMs in Qubes. While we did mention "one-time" VMs in our architecture document back in January (see chapter 4.6), it really was Matt's paper that convinced me we should really have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m in Qubes. Virtics, a proof-of-concept implementation written by Matt, shares lots of similarities with Qubes, like e.g. architecture and implementation of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 GUI virtualiztion. There are also differences though, and I refer readers to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Matt's paper for more details.