操作系统
什么是 Qubes OS？
Qubes OS 是一种注重安全性的操作系统，可在彼此独立的虚拟机中运行应用程序。如果一台虚拟机中的应用程序遭到攻破，这种隔离可以防止恶意软件传播到其他应用程序。所有大型云服务提供商都采用相同的隔离模型。
什么是 KUHBS？
KUHBS 让非技术用户无需成为 Linux 专家也能使用 Qubes OS
管理系统
什么是 KUHBS？
KUHBS 将 Qubes OS 中虚拟机和应用程序的设置及安装过程抽象化，并通过简单易用的 GUI 提供这些功能。这样，普通用户无需了解 Qubes OS 中各项技术步骤如何运作，就能非常轻松地安装、升级和备份所需的应用程序。
哪些人适合使用 KUHBS？
专为具有高网络安全威胁模型的人士打造
计算机一旦遭到攻破，便可能面临实际伤害的人。
必须确保联系人和文档保密的人。
需要将不同身份和活动相互隔离的人。
- 人权
活动人士和非政府组织
将敏感研究、通信和身份与日常工作相互隔离。
- 消息来源
记者、举报人
分别通过相互隔离的 Qubes OS 虚拟机联系消息来源、处理文档和进行日常浏览。
- 机密工作
律师与企业
将机密的客户数据和组织数据与可信度较低的应用程序隔离。
- 针对性攻击
高风险人群
当网络钓鱼、恶意软件或账户攻击可能造成实际伤害时，采用更强的隔离措施。
KUHBS 如何工作？
自动完成 Qubes OS 应用程序管理所需的复杂步骤
在 Qubes OS 中安装、配置和管理应用程序需要经过多个高度专业的技术步骤。
KUHBS 将这些步骤抽象为更易理解的配置管理层，让用户无需了解 Qubes 的运作方式。
技术人员将应用程序的安装步骤编写成代码
在 Qubes OS 中安装应用程序需要经过多个技术步骤。熟悉相关技术的用户会将这些步骤抽象成代码。用于管理单个应用程序的这套代码抽象称为 KUHB。
安装代码再由技术人员分享到 GitHub
一旦 KUHB 已能安装、升级和备份某个应用程序，技术人员就会将其发布到 GitHub。这样，专家就能把管理应用程序所需的步骤分享给普通用户。
非技术用户使用这些代码安装、升级和备份应用程序
非技术用户在 GitHub 上搜索 KUHB 定义。找到所需的 KUHB 后，他们会先对其进行 AI 审计，再通过 KUHBS 轻松导入。此后，只需在 KUHBS GUI 中点击，就能使用该应用程序。
KUHBS 有哪些功能？
安装、备份和升级应用程序
KUHB 用代码描述如何在 Qubes OS 中安装、备份和升级应用程序。普通用户从 GitHub 导入 KUHB 后，只需点击即可在 Qubes OS 中使用该应用程序。
安装应用程序
选择一个应用程序，让 KUHBS 为其创建所需的 Qubes OS 虚拟机、网络连接和启动器。
备份和恢复
KUHBS 让您只需点击一次即可备份和恢复应用程序的数据及配置。
升级应用程序
借助 KUHBS，您可以极其轻松地定期升级所有应用程序和 Qubes OS 本身。
Qubes OS 和 KUHBS 无法防范什么？
Qubes OS 会隔离每个应用程序，但不会提高应用程序本身的安全性
Qubes OS 可防止遭到漏洞利用的应用程序感染计算机上安装的所有其他应用程序。这是通过在虚拟机中安装应用程序实现的。不过，Qubes OS 和 KUHBS 并不会增强应用程序代码本身的安全性。它们只是阻止感染进一步扩散。
阅读安全限制能力强大／资金雄厚／国家级攻击者
Qubes OS 通过虚拟机实现的隔离，会大幅提高远程攻破整个系统所需的技术复杂度和资金成本（例如在黑市购买漏洞利用程序）。但是，政府和其他资金充足的行为体可以从私人供应商处购买先进的商业监控软件和零日漏洞利用程序。国家行为体或动机强烈的犯罪分子也可能闯入您的住所或办公室。
针对应用程序的零日漏洞利用
犯罪分子和国家行为体利用 AI 寻找您所用应用程序中的零日漏洞。零日漏洞也可以在黑市购买。利用您所用任何应用程序中的零日漏洞（例如浏览器中的零日漏洞），都能让攻击者完全控制该应用程序，并可能控制其所在的虚拟机。Qubes 和 KUHBS 无法阻止这种情况，但能大幅降低遭到漏洞利用的应用程序感染其他应用程序的风险。Qubes OS 使用 Xen 虚拟化技术 提供虚拟机，将应用程序彼此隔离。Xen 也被超大型云计算公司采用，因此发现可利用 Xen 零日漏洞的方法极其困难，而购买此类漏洞利用程序的成本也极其高昂。
受感染的备份和恢复后的文件
如果应用程序遭到漏洞利用，而且恶意软件被永久植入该应用程序长期保存的文件中（例如您下载的电子邮件），那么即使您从头重新设置笔记本电脑并恢复备份，恶意软件仍会存在。KUHBS 仅备份每个应用程序必需的文件，不会备份其他文件。运行该应用程序的虚拟机中的所有操作系统文件都不会被备份；相反，每当您移除并安装应用程序时，都会使用 KUHB 代码重新设置这些文件。Qubes OS 还提供了限制漏洞利用程序在虚拟机重启后持续存在的机制。但是，如果恶意软件感染了在 Qubes OS 中持久保存且由 KUHBS 备份的文件，Qubes OS 和 KUHBS 就无法防止恶意软件持续存在。
遭入侵的计算机固件
固件是与您安装在计算机上的操作系统无关的代码，例如计算机的 BIOS。如果固件被感染，无论安装哪种操作系统，攻击者都将完全控制您的计算机。Qubes OS 和 KUHBS 无法检测或移除 BIOS、UEFI 或其他设备固件中的恶意软件。要在您的计算机上远程安装恶意固件，需要访问 Qubes OS 最安全的虚拟机 (dom0)。如果攻击者能实际接触您的计算机，就可以直接在设备上安装固件（设置 BIOS 密码会有所帮助）。
物理接触未锁定的计算机
Qubes OS 默认安装提供的磁盘加密可防止攻击者访问保存在您计算机上的应用程序文件（例如您的照片）。但是，攻击者仍可修改 Qubes OS 的 /boot 分区中的文件，从而在之后访问您的应用程序文件和整个操作系统 (Qubes OS)。正如上文“遭入侵的计算机固件”中所述，物理接触计算机也让攻击者能够修改计算机固件。他人一旦能够物理接触您的计算机，尤其是在计算机未锁定时，就应一律视为安全防线已被彻底攻破。
密码和账户被盗
Qubes OS 提供的应用程序隔离与您为在线账户使用的密码毫无关系。如果您的账户用户名和密码泄露，例如遭遇成功的网络钓鱼攻击（一封精心伪造的电子邮件，要求您登录电子邮件账户来“解决某个问题”，其中的链接指向一个看起来几乎与 gmail.com 相同的网站），那么 Qubes OS 和 KUHBS 都无法保护您免受其害。
开始使用 Qubes OS 和 KUHBS
安装 Qubes OS、KUHBS 和应用程序并迁移数据
您无需成为 Linux 专家，也能借助 KUHBS 使用 Qubes OS。
我们的文档会指导普通用户安装 Qubes OS 和 KUHBS，并介绍如何安装、升级和备份应用程序。
01 准备 备份您的旧操作系统
从旧操作系统迁移到 Qubes OS 之前，请先创建完整备份，以便之后在 Qubes OS 中恢复这些文件。
02 安装 安装 Qubes OS
创建一个可启动的 Qubes OS U 盘 ，并在您的计算机上安装 Qubes OS。对普通用户而言，Qubes OS 的安装并不太复杂。
03 KUHBS 在 Qubes 中安装 KUHBS
我们的文档介绍了如何在 Qubes OS 中安装 KUHBS；即使对普通用户来说，安装过程也很简单。完成后，所有操作都只需使用 GUI。
04 创建 创建应用程序虚拟机
使用 KUHBS GUI 时，您只需点击即可安装所需的全部应用程序。之后，我们会指导您恢复原有备份。
我需要成为 Linux 专家吗？
不需要。KUHBS 面向需要 Qubes OS 安全性、却没有时间详细学习 Qubes OS 工作原理的人。您仍需安装 Qubes OS 并按照设置指南操作。如果您能投入时间深入了解 Qubes OS 和 KUHBS 的工作原理，将非常有助于进一步提高安全性；但若只是要开始使用并获得相较于原有操作系统的巨大安全优势，这并非硬性要求。
我需要什么样的计算机？
许多现代台式机和笔记本电脑都能顺利运行 Qubes OS，但部分机型偶尔会遇到小问题。最好先查看 Qubes OS 硬件兼容性列表
。大多数 Lenovo ThinkPads 的兼容性都很好。特别是在购买计算机之前，建议先到 Qubes OS 用户支持论坛
咨询。官方 Qubes 认证硬件列表
中的供应商能提供最佳的开箱即用 Qubes OS 兼容性，其中包括 NovaCustom.com
、Nitrokey.com
、Star Labs.systems
、3mdeb.com
和 Insurgo.ca
。
我可以使用熟悉的应用程序吗？
如上文简要说明，在 KUHBS 中，安装应用程序的方法会被抽象为称作“KUHB”的代码：例如浏览器 KUHB、Signal-Desktop KUHB 或 Thunderbird 电子邮件客户端 KUHB。KUHBS 的开发者
在 GitHub 上提供了一套 KUHB 定义
。KUHBS 让具备技术能力的 Linux 用户可以轻松创建自定义 KUHB 定义。您也可以使用自己偏好的 AI 模型轻松完成这项工作。因此，您可以使用任何可在 Debian Linux 中运行的 Linux 应用程序。KUHBS 目前尚不支持 Windows，但在使用 KUHBS 的同时，您仍可在 Qubes OS 中另行安装 Windows 虚拟机并正常使用，只是这些虚拟机不会由 KUHBS 管理。
我的数据如何存储在 KUHBS 中？
每个应用程序（例如 Signal-Desktop）都会安装在各自的 Qubes OS 虚拟机中（这是一种为便于普通用户理解而过度简化的说法）。而实际的应用程序数据则位于 Signal 虚拟机内的 /home/user/.config/Signal 路径中。KUHBS 只备份这一路径，不备份其他任何内容。因此，简单来说，无论是 Thunderbird 虚拟机中 /home/user/.thunderbird 内已下载的电子邮件，还是 media 虚拟机中 /home/user/Pictures 内的私人度假照片，您的应用程序数据都分别存储在各自的虚拟机中。备份一台虚拟机时，只有相关路径会被备份。
KUHBS 会让应用程序变得安全吗？
Qubes OS 使用 Xen 虚拟化技术提供虚拟机。每个应用程序（Signal-Desktop、Thunderbird 电子邮件客户端、浏览器……）都安装在自己的虚拟机中。在 KUHBS 中，所有虚拟机均运行 Debian Linux 操作系统
，它与 Ubuntu Linux 类似，但稍微更注重安全性和稳定性。每个虚拟机内部的安全性均保持不变（但 KUHB 的开发者可以选择通过 KUHBS 加以修改）。signal-desktop 的 KUHB 通常只是一小段在 Debian 虚拟机中安装 Signal-Desktop 的代码。一般不会再采取其他措施来提高 Signal 的安全性。Qubes OS 的安全性主要通过使用 Xen 将应用程序彼此安全隔离来实现，因此如果一个应用程序遭到攻破，其他应用程序不会受到感染。
您可以从哪里获得帮助？
向社区或专业人士寻求帮助
Blunix GmbH 为欧盟和美国境内拥有有效企业税务识别号的企业提供 Qubes OS 和 KUHBS 支持。