セキュリティ重視のQubes OS、使い捨ての仮想マシンの実装を計画

　Joanna Rutkowska氏の「Qubes OS」プロジェクトには、使い捨ての仮想マシン（virtual machine：VM）を作成する機能が用意される予定だという。

　Disposable VM（使い捨てのVM）の背後にあるアイデアは、1つのアプリケーションのみホストすることを唯一の目的とした、素早く作成、起動できる非常に軽い仮想マシンを用意するというものだ。「そして、使い終わったらただ捨てればいい」とRutkowska氏は説明している。

　仮想化セキュリティと低レベルrootkitに関する取り組みで著名なセキュリティ研究者のRutkowska氏は、セキュリティ向上のためOSコンポーネントの隔離を狙ったオープンソースのOSとして、Qubesを開発している。QubesはXen、X、Linuxをベースにしており、OS上で実行するアプリケーションを隔離するのに仮想化技術を使い、システムレベルコンポーネントの多くをサンドボックス内に置いて互いに影響を与えるのを防いでいる。

　Rutkowska氏は、Disposable VMの背後にある考え方を説明しているブログ記事の中で、特にリスクの要素がある場合、これは信頼できない文書を開くための理想的な機能だと述べている。

　PDFファイルが悪質なものであり、使っているPDFビューワーを悪用して、「作業用」AppVM（あるいは「電子メール作業用」AppVM）から自分の電子メールやその他の情報を盗もうとするのではないかと恐れるのは当然のことだ。これは、送信者を信頼しているかどうかとは関係がないことで、送信者のOSが何らかのマルウェアに感染しており、送信されるPDFファイルがすべてユーザーの同意なしに感染してしまっているということも十分考えられる。

　PDFファイルが悪質なものであっても、秘密のデータにアクセスできないように、秘密情報を扱っていないVMの1つ（例えば一般的なウェブ閲覧に使う「ランダム」VM）で開くということも考えられる。しかし、もしそのPDFファイルは悪質なものではないが、そこに秘密情報が含まれていたらどうだろうか。この場合、かえって問題が生じかねない（「ランダム」VMがすでに侵害されており、PDFファイルから秘密を盗まれてしまうかも知れない）。

　このような場合、使い捨てのVMは理想的な解決方法だ。PDFを見るという目的のためだけに、まっさらな使い捨てのVMを作ればいい。見終わったら、ただそれを捨てればいいのだ。もしPDFファイルが悪質なものであったとしても、自分の使い捨てVMにしか被害を与えることはできず、そこにはそのPDF自体しか含まれていない。同時に、使い捨てVMは常にまっさらな状態で使い始められるため、誰かにその文書を盗まれる可能性はない。その文書は自分自身しか盗めないということだ。

　Rutkowska氏は、Disposable VMの基本的なサポートを、2010年夏の終わりにリリースされる予定のBeta 1から始める計画だと述べている。