Seminar NitroPad mit Qubes OS: Installation, Heads-Integration und Betrieb

Qubes OS trennt Arbeitsbereiche durch Virtualisierung und ergänzt damit die Firmware- und Bootkontrollen des NitroPad. Installation und Betrieb verlangen jedoch besondere Sorgfalt bei Hardwarekompatibilität, Datenträgerverschlüsselung, USB-Zuordnung und Updates in dom0.

Das Seminar richtet ein Qubes-System auf Laborhardware ein, integriert Heads und Nitrokey und entwickelt eine wartbare Qube-Struktur für Administration, Kommunikation und riskante Inhalte.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

Qubes OS trennt Arbeitsbereiche durch Virtualisierung und ergänzt damit die Firmware- und Bootkontrollen des NitroPad. Installation und Betrieb verlangen jedoch besondere Sorgfalt bei Hardwarekompatibilität, Datenträgerverschlüsselung, USB-Zuordnung und Updates in dom0. Das Seminar richtet ein Qubes-System auf Laborhardware ein, integriert Heads und Nitrokey und entwickelt eine wartbare Qube-Struktur für Administration, Kommunikation und riskante Inhalte.

Zielgruppe und Voraussetzungen

Zielgruppe: Qubes- und Linux-Administration, IT-Sicherheitsbetrieb, Hochschutz-Arbeitsplätze und technische Betreuung.

Voraussetzungen: Gute Linux-Kenntnisse, Virtualisierungsgrundlagen, Verständnis von LUKS sowie grundlegende Erfahrung mit Heads.

Lernziele

• Qubes-Installationsvoraussetzungen und Hardwareprofil prüfen.
• Qubes OS verschlüsselt installieren und mit Heads integrieren.
• Domänen, Templates und Netzwerkpfade sicher strukturieren.
• Nitrokey und USB-Geräte kontrolliert zuweisen.
• Updates, Backup und Incident-Routinen etablieren.

Seminarinhalte

1. Planung und Kompatibilität

Vor der Installation wird das Zielprofil des Qubes-Systems festgelegt.

1. Schritt 1: CPU, Arbeitsspeicher, Grafik, Netzwerk und Firmwarestand inventarisieren.
2. Schritt 2: Unterstütztes Installationsprofil und geeignete Kerneloption auswählen.
3. Schritt 3: Benötigte Qubes, Datenklassen und Netzwerkzonen planen.
4. Schritt 4: Backup, Recovery und Datenträgerlöschung vorab klären.

2. Installation und Verschlüsselung

Qubes OS wird kontrolliert über Heads installiert.

1. Schritt 1: Installationsmedium und Prüfsummen in einer getrennten Umgebung validieren.
2. Schritt 2: USB-Boot in Heads starten und Ziel-Datenträger eindeutig prüfen.
3. Schritt 3: LUKS-Passphrase und Installationslayout festlegen.
4. Schritt 4: Qubes OS installieren, ersten Start durchführen und Grundkonfiguration abschließen.
5. Schritt 5: Standardpasswörter und Recovery-Daten unverzüglich ersetzen.

3. Heads-Integration

Bootdateien und Standard-Boot werden nach der Installation autorisiert.

1. Schritt 1: Neue Qubes-Bootdateien und verfügbaren Kernel im Heads-Menü prüfen.
2. Schritt 2: Nitrokey entsperren und Bootdateien signieren.
3. Schritt 3: Geeigneten Qubes-Eintrag als Standard setzen.
4. Schritt 4: Kaltstart, Neustart und geänderten Kernel kontrolliert testen.

4. Qube-Architektur und Nitrokey

Geräte und Daten werden nach Minimalprinzip getrennt.

1. Schritt 1: Admin-, Arbeits-, Kommunikations- und Einweg-Qubes definieren.
2. Schritt 2: Netzwerk-Qubes und Firewallregeln nach Schutzbedarf anordnen.
3. Schritt 3: USB-Controller beziehungsweise USB-Qube konfigurieren.
4. Schritt 4: Nitrokey nur den benötigten Qubes zuweisen und automatische Weitergabe vermeiden.
5. Schritt 5: GPG-, FIDO2- oder SSH-Nutzung in einer geeigneten Vertrauensdomäne testen.

5. Updates, Backup und Störungen

Qubes-spezifische Wartung wird mit Heads-Nachlauf verbunden.

1. Schritt 1: Templates und dom0 in der vorgesehenen Reihenfolge aktualisieren.
2. Schritt 2: Geänderte Bootdateien vor erneuter Signierung nachvollziehen.
3. Schritt 3: Qubes-Backup verschlüsselt erstellen und Rücksicherung testen.
4. Schritt 4: Fehlerhafte Qube-Konfiguration von Firmware- oder Bootwarnung unterscheiden.
5. Schritt 5: Wiederanlauf- und Re-Ownership-Pfad dokumentieren.

Praxisübungen

• Verschlüsselte Qubes-Installation auf Laborhardware.
• Heads-Signierung und Standard-Boot für Qubes.
• Aufbau einer Qube-Struktur mit USB-isolierter Nitrokey-Nutzung.

Methodik

Das Seminar arbeitet mit vorbereiteten Installationsmedien und Laborgeräten. Sicherheitsentscheidungen werden an Datenfluss, Gerätezuordnung und überprüfbare Bootzustände gebunden.