#qubesos #baremetal #isolation #pxe

Глядя на обилие дыр по повышению привилегий, выходу из гостевого окружения и в процессорах и прочих Hammer-ов в памяти, прихожу к выводу, к которому приходил уже 15 лет назад:

> Лучшая изоляция — железная изоляция

Решением вижу — Privacy Cluster. Который не про доступность и производительность, а именно про приватность.

Вместо привычных гипервизоров и виртуалок, предлагаю на каждый "важный чих" использовать железку. Самые дешевые это одноплатники типа малины, или у меня штук восемь б.у. тонких клиентов на AMD.

Инстансы должны грузиться по PXE с предконфигурированных образов.

Пока смотрю на packer от hashicorp, может еще кто знает как образы собирать сразу в рабочие LiveCD?

В итоге выйдет, что на железке крутится ОСь без ~~окон и дверей~~ ssh. Иммутабельный как docker. Все изменения через новый билд и перезагрузку.

Зочем?:
- потому что могу (хочу?)
- временные виртуалки, в которых ничего не сохраняется по типу Talis или Disposable VPS как в QubesOS
- Дарк-сервисы доступные только в оверлейных сетях.
- Маленький хостинг

Ресурсы:
1. Whonix на железе, где все соединения не могут никак пройти, кроме как как через tor https://www.whonix.org/wiki/Dev/Build_Documentation/Physical_Isolation
2. Загрузка популярных образов по сети https://netboot.xyz не совсем то
3. Packer для LiveCD https://github.com/hashicorp/packer/issues/955
4. Провижнинг baremetal по сети https://tinkerbell.org (сыровато)
5. Ventoy LiveCD - мало доков, китайское

Кто, что думает? Может у кого совет по удобному билду таких образов? TinyCore может кто собирал? Или любую другую ОСь для загрузки по PXE?