Qubes OS基本的な使い方・アップデート方法

このポストではQubes OSの基本的な操作方法やインストール直後に行うアップデートなどについて解説していきます。以下はインストールしたあと、Qubes OSを初めて起動した直後のスクリーンショットです。

最初の起動時の注意点
- USBマウスを使えるようにする
- はじめてTorネットワークにつながるときの手続き
  - Anon Connection Wizardの処理
  - sys-whonixのシステムチェック
Qubes OSの基本的な操作方法
Qubes Updateによる自動アップデート
Qubes Updateによるアップデートを手動で実行
テンプレートキューブについて
アップデートについての注意事項
- ターミナルからの sudo dnf upgrade, sudo qubes-dom0-update などは非推奨
- Qube Manager の Updateボタンについて
アプリケーションメニューへのアプリ追加
ソフトウェアのインストール
Qubes OSのシャットダウン

最初の起動時の注意点

USBマウスを使えるようにする

Qubes OS にログインしたのちUSBマウスを接続している場合には以下のポップアップが表示されます。qubes.InputMouse というオペレーションを実行するけどよいかと聞いています。これはマウスをdom0につなぐ作業を行うが、それでよいかという意味です。

タッチパッドを利用して OK ボタンを押すか、タブキーを数回押して OK ボタンが選択されたのを確認してからエンターキーを押すと、USBマウスが使用できるようになります。

デスクトップパソコンでUSBキーボードを利用している人は決して sys-usb をシャットダウンしないでください。 sys-usb がオフになるとキーボードとマウスを利用した一切の入力ができなくなります。そうなってしまった場合は、電源ボタンを長押ししてパソコンを強制終了してください。

はじめてTorネットワークにつながるときの手続き

Anon Connection Wizardの処理

しばらく作業していると、つぎのような sys-whonix から Torネットワークに接続するためのメッセージが出てきます。これはQubes OSを2回目に起動するときに出ることが多いようです。

一番上は I would like to connect directly to the Tor network. This will work in most situations.(Torネットワークに直接つなぎます。大抵の場合はこれでうまくいきます)と書いてあり、これで良ければ Connect のラジオボタンが選択されたままにして、Nextを押します。

Torの利用が禁止されているようなネットワークを使っている場合は直接Torにつながずに、最初にブリッジ接続と言って別のサーバーに迂回してからTorにつなぐやり方があります。そのようなやり方がいい人は、Configure を選んで Nextを押します。

Torを使いたくない人は Disable Tor を選んで Nextをクリックします。

詳細はWhonix公式の解説を参照してください。: https://www.whonix.org/wiki/Anon_Connection_Wizard

つづいてSummaryでTorのつなぎ方の概要が表示されます。"Next"を押します。

Torネットワークへの接続処理中:

Torに接続し終わると次のメッセージが出ます。"Finish"を押して作業を完了します。

この Anon Connection Wizard をユーザー自ら起動したいときは、画面左上 - 一番左側の列のグレーキューブ - SERVICEタブ - sys-whonix - Anon Connection Wizard の順に選んでください。

sys-whonixの中にあるAnon Connection Wizard の起動

sys-whonixのシステムチェック

Tor接続完了後しばらくするとTorの接続が正常なのか調査するシステムチェックのメッセージが出ます。

その後システムチェックの結果が出ます。INFOとWarningだけなら問題無いので、メッセージ内容を読んだらOKを押してください。このWarningはアップデートがありコマンドラインからアップデートせよという内容ですが、アップデートはQubes Updateツールを用いて行います。

Qubes OSの基本的な操作方法

キューブあるいは仮想マシン(Virtual Machine =VM)とはVirtualBoxやVMWareなどでのゲストOSに相当するものです。デフォルトで用意されているキューブのおおかまな区分は以下のとおりです。

work - 仕事用
personal - 個人の用事向け
untrusted - さまざまなWebサイトを見るなどセキュリティリスクを伴う活動用
valut - ファイル保管用の金庫(ネットワークに接続していないキューブ)
anon-whonix - すべての通信をTorで行うプライバシー保護用のキューブ

キューブが違えば、たとえば同じFirefoxでもまったく独立したものです。workキューブの Firefox の設定・閲覧履歴などは untrustedキューブの Firefox の設定・閲覧履歴などとお互いになんの影響も及ぼさないのです。

work, personal, untrusted, vault, anon-whonixという5つの独立したパソコンを使っているようなものだと思えばいいのです。ですから、単に「Firefoxを使おう」という意識だけでは足りず、「workキューブのFirefoxを使おう」という認識でいかないとQubes OSはうまく使いこなせません。

アプリケーションの起動

workキューブの Firefox を起動するには、画面左上の - 一番左の列のグレーのキューブ - APPS タブ - 一番下の work - 右側ペインの中の Firefox の順にマウスで選びます。

または Alt + F3 を同時に押し、アプリケーションファインダーに work firefox と打ち込んでエンターキーを押します。パソコンのキーボード設定によっては Alt + fn + F3 を同時に押す必要があるかもしれません。

これでworkキューブのFirefoxが起動します。

workキューブがまだ起動していない場合は、OSの起動をしないといけないのでFirefoxが使えるようになるまでやや待たされます。すでにworkキューブが起動済みの場合は素早くFirefoxが立ち上がります。CPUの性能が低い場合Qubes OSは動作がのろいなと感じるかもしれません。起動のにぶさは、仮想化により安全性を高めていることの代償といえるかもしれません。

ターミナルの起動方法

ターミナルとはLinuxのコマンドを打ち込むアプリケーションのことです。「端末」とも呼ばれます。以下では workキューブでターミナルを使うときを例にしてターミナルの起動方法を解説します。

画面左上の - 一番左の列のグレーのキューブ - APPSタブ - work - Xfce Terminal の順にマウスで選ぶ
Alt + F3 を同時に押してアプリケーションファインダーに work terminal と入力してから、下向き矢印キーでwork: Xfce Terminal を選んでエンターを押す
workキューブが起動済みの場合に、画面右上の水色のキューブ - work - Run Terminal の順にマウスで選ぶ
workキューブが起動済みの場合にすでに開いているworkキューブのアプリケーションにフォーカスを当ててから Ctrl +Alt + T を押す(ただし dom0のキーボード設定で Ctrl +Alt + T を設定しているとこの方法は使えない)。

の4通りのやり方で workキューブのターミナルが起動します。

ファイルブラウザの起動方法

ファイルブラウザはファイルやディレクトリを表示させるアプリケーションです。これもターミナルの場合と同様の方法で起動できます。

画面左上の - 左側グレーキューブ - APPSタブ - work - Thunar File Manager の順にマウスで選ぶ
Alt + F3 を同時に押してアプリケーションファインダーに work thunar と入力して下向き矢印キーで work: Thunar File Manager をハイライトしてからエンターキーを押す
workキューブが起動済みの場合に、画面右上の水色のキューブ - work - Open File Manager の順にマウスで選ぶ

の3通りのやり方で workキューブのファイルブラウザが起動します。

キューブのシャットダウン方法

ここまで起動させてきたworkキューブのアプリケーションをすべて閉じて終了させても、workキューブそのものは動いたままです。メモリが不足しているときやCPUのパワーが足りないときは特に、使用していないキューブをシャットダウンさせたほうがQubes OS全体の動きがよくなると思います。キューブのシャットダウン方法をworkキューブを例にとって解説します。

画面左上の - 左側グレーキューブ - APPS - work と選んだ後に右側ペインの下にある "Shutdown qube" をクリック
画面右上の水色のキューブ - work - Shutdown を選択
workキューブのターミナルから sudo poweroff, sudo shutdown now または systemctl poweroff と入力
Qube Manager の中から work の行をクリックして選択しておき、Qube Managerウィンドウ上部のShutdownボタンを押すか、あるいは、workの行で右クリックすると出てくるメニューからShutdownの項目を選択

のいずれかで workキューブをシャットダウンさせます。

Qube Managerでworkキューブを選択しShutdownボタンを押すところ

なお、3. の場合でターミナルから sudo を使うときパスワードを入力することなく実行できます。Qubes OSはdom0も含めてすべてパスワード無しのsudoという設計になっています。

Qube Manager の起動方法

Qube ManagerはQubes OS上にあるすべてのキューブの管理を行うツールです。Qubes OSに慣れてくると頻繁に使うようになると思います。

Qube Managerを起動させるやり方は以下のいずれかです。

画面右上の水色のキューブ - 一番下の Open Qube Manager
Alt + F3 を押してApplication Finderに "qube manager"あるいは "q m"などと入力してエンターキーを押す
画面左上の - 一番左側の下にある歯車アイコン - Qubes Tools - Qube Manager を選択 (下図参照)

以下が Qube Manager の画面です。

キューブの起動方法

例えば personal キューブを使い始めたいときは、personalキューブの中のFirefoxやターミナルなどの使いたいアプリケーションを起動させることで personalキューブが起動します。これが基本的な使い方です。

もしもアプリケーションは特に起動させずに personal キューブのOSだけ前もって起動させたい場合は、

画面左上 - 左側グレーキューブ - APPS - personal と選んでおいてから右側ペインの下部にある "Start qube" をクリック
Qube Managerから personalの行を選択しておいてから、1.)上部にあるStart/Resumeボタンをクリックするまたは 2.)右クリックして出てきたメニューからStart/Resumeを選ぶとpersonalキューブが起動します。

キューブの再起動

アップデートを適用するときなどにキューブを再起動させることがあります。キューブの再起動のやり方は以下のいずれかです。以下はworkキューブを再起動させる場合です。

画面右上の水色のキューブ - work - 一番下の Restart を選ぶ
Qube Manager で workの行を選択してから、上部の Restartボタンを押す(または右クリックすると出てくるメニューからRestartを選ぶ)
workキューブをシャットダウンさせてから、何かアプリケーションを起動させる

なお、workのターミナルから sudo rebootと入力してもworkキューブがシャットダウンするだけで再起動はしません。

dom0のターミナルの起動方法

dom0はQubes OS全体を統括・管理するキューブです。Qubes OSが起動を完了したときにはすでにdom0は起動しています。新しいパッケージをdom0にインストールするときなどにはdom0のターミナルを使用します。

dom0のターミナルは以下のいずれかで起動させます。

画面左上の - 一番左側の下にある歯車アイコン - Other - Xfce Terminal を選択
デスクトップ上でマウスを右クリックして「ここで Terminal を開く」(Open Terminal Here) を選択
Alt + F2 を同時に押して xfce4-terminal と入力してエンターキーを押す
Alt + F3 を同時に押して xfce terminal と入力して正しいものを選ぶ

なお2.のやり方でdom0のターミナルを開けると、"デスクトップ" (またはDesktop) がカレントディレクトリになるので注意してください。

Qubes Updateによる自動アップデート

Qubes OSを使い始めてしばらくするとQubes OSのアップデートのチェックが自動的に行われ、画面右上の領域に以下のような上向き矢印のアップデートアイコンが出てきます。

このアイコンをクリックして、ドロップダウンメニューの"Launch updater"をクリックすると、Qubes Updateのアプリケーションが起動します。

上の画像では dom0, fedora-38-xfce, whonix-gateway-17 の各キューブにアップデートがあると表示されています。Update ボタンを押すとアップデートが始まります。なおwhonix関連のテンプレートは Tor経由でアップデートするのでかなり時間がかかります。

この Qubes Updateを自分で起動したい場合は画面左上の - 一番左側の列から歯車アイコンを選択 - Qubes Tools - Qubes Updateの順にクリックしてください。Alt + F3 キーを同時に押して qubes update (あるいは "q u")と入力してエンターキーを押すことでも Qubes Updateは起動できます。

Qubes Updateが各キューブのアップデートに成功すると以下のように緑色のチェックマークが出ます(失敗すると赤いバツ印が表示されます)。アップデートの詳細を知りたいときは緑色のチェックマークの付近をクリックしてください。

dom0, fedoraテンプレート, whonixゲートウェイのテンプレートのアップデート成功

Nextボタンを押すと以下の表示に切り替わります。

ここで Finish and restart 4 qubes のボタンを押すと sys- で始まるシステム関連のキューブを再起動させる作業が始まります。Waiting for qubes to be restarted / shutdown の表示が出ている間に sys-net, sys-usb などが再起動します。

sys-usbが一旦シャットダウンするために USBキーボードとマウスは一時的に使用できなくなります。またsys-usb再起動後にUSBマウスを再接続させる作業が必要になります。sys-net, sys-firewall が閉じるせいでネットワークも一時的に使用不可になります。今やっている仕事を続けたいときは、チェックマークをすべて外して再起動させないようにするとよいでしょう。

各キューブが再起動し終わると以下のメッセージが表示されます。

Qubes Updateによるアップデートを手動で実行

自動アップデートのチェックでは debian-12-xfce や whonix-workstation-17 のテンプレートにはまだアップデートが来ていない表示でしたが、アップデートがあるかもしれないので手動でアップデートしてみましょう。

画面左上Q - 一番左側の歯車アイコン - Qubes Tools - Qubes Updateの順にクリックして Qubes Updateを立ち上げます。debian-12-xfce 及び whonix-workstation-17 のチェックボックスをオンにしてから、 Update ボタンをクリックします。

アップデートが成功したら Next を押してから Finishを押します。

テンプレートキューブについて

ここまでやってきたfedora, debian, whonixのアップデートは正確に言えば、テンプレートキューブの中のOSをアップデートしたのです。画面左上の - 一番左のグレーのキューブ - TEMPLATES の順にマウスで選んでください。以下のようなメニューが表示されます。

デフォルトでインストールされているテンプレートは上図の中では、 debian-12-xfce, fedora-38-xfce, whonix-gateway-17, whonix-workstation-17の4つです。いずれも灰色と黒色の2個のサイコロのアイコンが付いています。

赤いサイコロが付いている default-dvm と whonix-workstation-17-dvm の2つは当面無視してください。これらはOSのテンプレートとは全く異なるタイプのものでディスポーザブルのひな型となるものです。

2種類のWhonix - ゲートウェイとワークステーション

Whonixのテンプレートは2種類あります。whonix-gateway-17, whonix-workstation-17の2つです。

VirtualBoxやKVMなど普通の仮想環境でWhonixを使うときはゲートウェイとワークステーションの2つの仮想マシンをインストールして使います。ゲートウェイの方がTor通信を一手に引き受けて処理する仮想マシンです。ワークステーションの方はWebブラウザやオフィスソフトなどを使う日常用途の仮想マシンです。VirtualBoxなどにおいては Whonixワークステーション -> Whonixゲートウェイ -> ホストOS -> (パソコンの外)の順に通信がつながっています。

Qubes OSの場合はテンプレートシステムがあるのでさらにややこしくなってきます。テンプレートはOSのアップデート・インストールを専門的に行うキューブです。whonix-gateway-17がゲートウェイのシステムアップデート等を担当します。whonix-workstation-17がワークステーションのシステムアップデート等を担当しています。

sys-whonix は whonix-gateway-17 のテンプレートに基づく「インスタンス」です。Qubes OSにおいて実際にTor通信を担当するキューブが sys-whonixです。理論的に言えば sys-whonixに追加してwhonix-gateway-17テンプレートに基づく sys-whonix2 や sys-whonix3を新たに作ることも可能ですが、普通はやりません。

anon-whonixは whonix-workstation-17テンプレートに基づく「インスタンス」です。anon-whonixはTorブラウザなどのアプリケーションを使うためのWhonixワークステーションの一種です。Qubes OSの場合Whonixワークステーションはいくつ作ってもよいし、セキュリティを確保するにはむしろそれが望ましいです。anon-work あるいは anon-finance など好きな名前で whonix-workstation ベースの新しいappキューブを作るとよいでしょう(新しいキューブの作成方法はまた後日取り上げます)。

テンプレートをアップデートした後のappキューブの再起動

テンプレートキューブはルートディレクトリをwork, personalなどのappキューブに供給する特殊なキューブです。テンプレートがアップデートされるとそのルートディレクトリが変更されます。

Appキューブは起動時にテンプレートキューブからルートディレクトリをコピーします。起動したあとはもうすでにコピーが終わっていることから、appキューブのルートディレクトリとテンプレートのルートディレクトリは独立したものになっています。Appキューブが動いているときにテンプレートにおいてアップデートやインストールをしてもそれはすぐにはappキューブに反映されません。テンプレートのルートディレクトリはテンプレートが稼働中は別の領域に保存されているということで、appキューブがコピー対象とする領域にアップデート・インストール等の変更が反映されるのは、テンプレートをシャットダウンしたあとです。ややこしい話ですが、つぎのことだけ頭に入れれば十分です。

テンプレートにおいて行ったアップデートやインストールがappキューブに適用される条件は、アップデート・インストール作業後にテンプレートをシャットダウンしてからappキューブを起動することです。

personal キューブが稼働中に fedora-38-xfce テンプレートがアップデートされた場合、画面右上の水色キューブをクリックすると以下のように personal キューブのところに再起動が必要である旨のアイコンが出現します。

ここでもし fedora-38-xfce テンプレートのキューブがまだ稼働中だったら、fedora-38-xfce テンプレートを一旦シャットダウンしてください。そしてそのあと personal キューブを再起動させると、personal キューブにfedora-38-xfceテンプレートのアップデートが適用されます。

ネットワーク関連のキューブの再起動について

ネットワーク関連のキューブ3つ(sys-whonix, sys-firewall, sys-net)を手動で再起動するのは少々面倒です。たとえば personal キューブが動いている最中に sys-firewallを再起動しようとするとsys-firewallを利用している仮想マシン(VM)が他にあるから再起動は無理だというメッセージが出て拒否されます。

Torを使わずに通信するwork, personal, untrusted などのappキューブは、

Appキューブ -> sys-firewall -> sys-net -> (インターネットへ) という順序でネットワークがつながっています。

また、anon-whonix などのTorを利用するappキューブは、

Appキューブ -> sys-whonix -> sys-firewall -> sys-net -> (インターネットへ) という順序でネットワークがつながっています。

アップデート後にすべてのキューブの再起動をしたい場合、ネットワークの末端側からインターネット側に向かって(Restartではなく)シャットダウンしていきます。たとえばworkとanon-whonixを使っている場合は

work, anon-whonix
sys-whonix
sys-firewall
sys-net の順にシャットダウンしていきます。

そして再び起動するときはインターネット側からネットワークの末端方向に向かって

sys-net
sys-firewall
sys-whonix
work, anon-whonix の順にスタートさせればよいのです¹。

アップデート作業後にすべてのキューブを再起動させるのは結構面倒なので、私はネットワーク関係のキューブ(sys-firewallなど)に関しては再起動をサボってしまうことが多いです。(work, untrustedなどの)Webを閲覧するようなappキューブだけでもいいので再起動させたほうが安全でしょう。

テンプレートのターミナルの起動方法

fedora, debianなどのテンプレートのOSに新たにアプリケーションをインストールするなどの場合には、テンプレートのターミナルを起動して作業します。テンプレートのターミナルの起動は以下のいずれかのやり方でできます。以下は fedora-38-xfce テンプレートのターミナルを使う例です。

画面左上の - 左側のグレーキューブ - TEMPLATESタブ - : fedora-38-xfce - Xfce Terminal の順に選択 (下図参照)
Alt + F3 を同時に押して、fedora terminal と入力してエンターキーを押す
fedora-38-xfceテンプレートがすでに起動済みの場合は、画面右上の水色のキューブ - fedora-38-xfce - Run Terminalを選択

アップデートについての注意事項

以下アップデートについての注意事項をいくつか書いていきます。

ターミナルからの `sudo dnf upgrade`, `sudo qubes-dom0-update` などは非推奨

Qubes OS R4.0まではテンプレートをアップデートするときテンプレートのターミナルから sudo dnf upgradeやsudo apt update && sudo apt upgradeを実行するユーザーが多かったと思います。dom0をアップデートする場合はdom0のターミナルから sudo qubes-dom0-updateを実行していました。しかしR4.1になってからはターミナルからのアップデートは非推奨になって、Qubes Update のツールを使うことが推奨されています。公式ページには次のように書いてあります。

Warning: Updating with direct commands such as qubes-dom0-update, dnf update, and apt update is not recommended, since these bypass built-in Qubes OS update security measures. Instead, we strongly recommend using the Qubes Update tool

(訳) 警告: qubes-dom0-update, dnf update, apt updateなどのコマンドを直接叩いてアップデートすることは推奨されません。なぜならこれらは組み込みのQubes OSアップデートのセキュリティ機構を回避してしまうからです。そのかわりにQubes Updateツールを利用することを強く推奨します。

アップデートのために sudo dnf upgradeなどを使うのは非推奨ですが、新しいソフトウェアをインストールしたい場合はテンプレートのターミナルから sudo dnf installやsudo apt installを使います。またソフトウェアを削除したり検索をかけるのもテンプレートのターミナルから dnf, aptを使います。

Qube Manager の Updateボタンについて

Qube Manager から Qubes Updateツールを呼び出すこともできます。 Qube Managerの上で dom0 やテンプレートの行をフォーカスすると、ウィンドウ上部の Update ボタンが押せる状態になります。Ctrlキーを押しながらテンプレートの行をクリックすれば複数のテンプレートを指定することも可能です。以下の状態で Updateボタンを押下すると選択した3つのテンプレートのアップデートが Qubes Updateツールを用いて始まります。

アプリケーションメニューへのアプリ追加

画面左上の経由でアプリケーションメニューを表示させると、workキューブで使えるアプリケーションはデフォルトでは Firefox, Settings Manager, Thunar File Manager, XfceTerminalの4つしかありません。

workキューブのテンプレート(fedora-38-xfce)にデフォルトでインストールしてあるソフトウェアは、workキューブのアプリケーションメニューに追加すればすぐに使えるようになります。ここでは Galculator という計算機アプリを workキューブのアプリケーションメニューに追加してみます。

以下のように画面左上からworkキューブの Settings を選択して workキューブのSettingsウィンドウを開きます(Alt + F3同時押し - work qube settingsとタイプ - エンターキーを押すか、あるいは、Qube Managerでworkの行をフォーカスしておいて Settings ボタンを押すのでもかまいません)。

この Settings画面の一番上のタブから Applications を選択します。

左側の All available applications の一覧から Galculator をクリックして選択します。画面中央の矢印ボタンが上下に4個並んでいるところの上から2番目の > のボタンをクリックすると、Galculator アプリケーションが右側の Applications shown in App Menu に移ります。

ちなみに >> ボタンはすべてのアプリケーションを右側の一覧に移し、すべてのアプリケーションがメニューに表示されるようになります。 < ボタンは一個ずつ右側一覧から左側一覧に戻し、<< ボタンは右側にあるアプリケーションをすべて左側に戻すものです。

このあとウィンドウ右下の Apply ボタンまたは OKボタンを押すと、Galculator がworkキューブのアプリケーションメニューに追加されます。スクリーン左上のボタン経由で workキューブの Galculator を起動すると、無事Galculatorが使えるようになります。

ソフトウェアのインストール

さきほどの Settingsの Applicationsタブで表示された All available applications の一覧には無いソフトウェアを使いたい場合、新たにインストールする必要があります。Qubes OSで新規のソフトウェアをインストールする場合、かならず fedora-38-xfce, debian-12-xfce などのテンプレートのターミナルから sudo dnf install ... などのコマンドを実行しないといけません。

work, personal, untrustedなどのappキューブのターミナルから sudo dnf install ... とやってしまうと、一時的にそのソフトウェアは使えるようにはなるのですが、workなどのappキューブを再起動するとそのソフトウェアは消えてなくなってしまいます。

workなどのappキューブは、ホームディレクトリ以外はテンプレートのファイルをコピーして起動します。workのターミナルなどから sudo dnf install ... によってappキューブのルートディレクトリにインストールされたアプリケーションはメモリ上に一時的に存在しているだけで、ディスクに恒久的に保存されるわけではないのです。

以下では fedora-38-xfce のテンプレートに quadrapassel というテトリス的なゲームアプリケーションをインストールして personalキューブで使用できるようにします。

画面左上から- fedora-38-xfce テンプレートのターミナルを立ち上げます。

fedora-38-xfce テンプレートのターミナルから quadrapassel をインストール

以下のコマンドを入力します。

$ sudo dnf install quadrapassel -y

インストールが終わったメッセージが出たら Ctrl + Dを押してターミナルを閉じます。つづいて、fedora-38-xfce テンプレートをシャットダウンします。以下のように画面左上から TEMPLATESタブを選び fedora-38-xfce の項目をクリックします。その下のほうに Shutdown qube の項目があるので、そこを押してください。

つぎに persoanal キューブで Quadrapassel が使えるようにします。すでに personal キューブを起動させている場合は、いったんシャットダウンさせてください。

Alt + F3 を同時に押して personal qube settings と入力してエンターを押して personalキューブの設定画面を表示させます。一番上のタブ一覧から Applications をクリックします。左側の一覧に Quadrapassel という項目があるのでそれをクリックします。