Qubes OS: Acesso Seguro ao Roteador e Pentest via USB-RJ45

// Capítulo 01

Arquitetura do Qubes OS e o Papel da sys-net

Compartimentalização por Hardware: a Filosofia Central do Qubes

O Qubes OS não protege o usuário isolando aplicativos por software, como fazem sistemas convencionais - ele utiliza o hipervisor Xen para criar máquinas virtuais isoladas em nível de hardware, chamadas qubes. Cada qube é uma caixa fechada: se uma delas for comprometida, o dano fica confinado ali dentro, sem contaminar o restante do sistema.

Nessa arquitetura, existem TemplateVMs (sistemas-base somente leitura, como Debian ou Fedora, que fornecem o sistema de arquivos para várias AppVMs), AppVMs (qubes de uso diário que herdam o template, mas guardam dados do usuário em uma camada privada separada) e DisposableVMs - qubes descartáveis que nascem do zero, executam uma tarefa e são destruídas por completo ao fechar, sem deixar qualquer vestígio no disco.

A rede é, historicamente, a superfície de ataque mais exposta de qualquer sistema operacional. Por isso o Qubes isola totalmente o hardware de rede em um qube próprio chamado sys-net, que tem acesso direto (via PCI passthrough) à placa Wi-Fi ou Ethernet - e nada além disso.

sys-net: Por Que Ela Foi Projetada Para Ser "Descartável e Vazia"

A sys-net é, por definição, a qube mais exposta do seu Qubes OS: qualquer driver malicioso, firmware comprometido ou ataque vindo diretamente da placa de rede atinge primeiro essa qube. Justamente por isso, a documentação oficial recomenda que ela seja mantida o mais "vazia" possível - sem dados do usuário, sem histórico de navegação e, principalmente, sem ferramentas adicionais instaladas. A própria arquitetura evita que TemplateVMs tenham acesso direto à internet por padrão, obrigando o uso de um proxy de atualizações justamente para reduzir essa superfície de risco.

Em outras palavras: a sys-net foi desenhada para lidar com hardware, não para executar ferramentas de ataque. Ela sequer deveria acumular funções - cada qube no Qubes OS tem uma responsabilidade única, e essa separação de tarefas é o que garante que uma falha em um ponto não vire uma falha em cascata no sistema inteiro.

// Capítulo 02

Por Que Nunca Usar a sys-net para Pentest

É tentador simplesmente abrir um terminal na sys-net e rodar ssh, nmap ou um scanner de vulnerabilidades ali mesmo, já que ela já está conectada à rede. É exatamente esse atalho que compromete todo o modelo de segurança do Qubes. Veja os motivos técnicos:

Contaminação em Cascata do Template

A sys-net normalmente roda sobre um template compartilhado. Instalar ferramentas nele significa que toda qube baseada nesse mesmo template herda essas alterações - inclusive falhas de segurança introduzidas por essas ferramentas.

Ampliação da Superfície de Ataque

A sys-net já é, por natureza, a qube mais exposta do sistema, pois tem contato direto com o hardware de rede. Somar a ela dezenas de ferramentas ofensivas (nmap, metasploit, scanners) multiplica o número de bibliotecas, dependências e portas potencialmente vulneráveis rodando exatamente na camada que já é o alvo natural de qualquer ataque vindo da rede.

Persistência Indesejada de Artefatos

Diferente de uma Disposable VM, a sys-net normalmente é uma qube persistente. Logs de scan, capturas de pacotes, credenciais testadas e históricos de comandos ficam armazenados ali indefinidamente - um risco caso essa qube seja comprometida ou analisada posteriormente. Na instalação ou posteriormente é possível configurar a sys-net como disposable VM, mas por padrão ela não vem com essa opção!

Quebra do Princípio de Responsabilidade Única

O Qubes é eficaz justamente porque cada qube faz uma única coisa. Transformar a sys-net em "qube de hardware de rede + estação de pentest" quebra esse princípio de compartimentalização que é a razão de existir do sistema operacional. A própria arquitetura isola o mecanismo de rede em uma qube não-privilegiada exatamente para conter esse tipo de risco.

A alternativa correta é construir uma Disposable VM dedicada, que se conecta à rede por um caminho físico independente - um adaptador USB-RJ45 anexado via qvm-usb - e que nasce, executa o trabalho e é destruída, sem jamais tocar a sys-net original. É exatamente esse fluxo que construímos a partir daqui.

Fluxo de Isolamento: sys-net Intacta vs. Disposable VM Ofensiva

Placa de Rede
(Hardware)

PCI passthrough

sys-net
(vazia, intacta)

sem contato

sys-firewall

Adaptador
USB-RJ45

qvm-usb attach

usb-rj45-local
(Disposable VM)

Ethernet direto

Roteador /
Rede Privada

A Disposable VM se conecta à rede local por um caminho físico totalmente independente da sys-net, e é destruída ao ser fechada - sem deixar rastro de ferramentas, logs ou credenciais.

Critério	Acesso via sys-net direta	Acesso via Disposable VM + USB-RJ45
Superfície de ataque	Ampliada	Contida
Persistência de artefatos	Permanente	Zero, ao fechar
Contaminação de outras qubes	Alto risco	Isolada
Aderência à filosofia Qubes	Viola compartimentalização	Respeita o design
Recomendado	Não	Sim

// Capítulo 03

Criando o Template Personalizado para a Rede

Clonando um Template Base Dedicado

O primeiro passo é isolar essa função em um template próprio - nunca reaproveite o template de uso geral. No Qube Manager, clone um template base (por exemplo debian-13-xfce) e dê um nome descritivo, como debian-13-usb-rj45-local:

# No Qube Manager: botão direito em debian-13-xfce -> Clone qube

$ Novo nome: debian-13-usb-rj45-local

# Configure storage pool e RAM como desejar (default funciona bem)

Instalando as Ferramentas Necessárias no Template

Com o template criado, ligue-o temporariamente (ele terá acesso à rede via proxy de atualizações do Qubes) e instale apenas o que for necessário para a finalidade escolhida:

# Acesso ao roteador via SSH (ex: OpenWrt)

$ sudo apt update

$ sudo apt install openssh-client

# O Firefox já vem por padrão; para navegação mais endurecida:

$ # instale o Mullvad Browser no template, se desejar

Se o objetivo do template for pentest completo, adicione as ferramentas de auditoria ofensiva diretamente no template - e apenas nele, nunca na sys-net:

$ sudo apt install nmap wireshark

# Metasploit Framework - instale via script oficial da Rapid7

# Scanners de vulnerabilidade: OpenVAS/Greenbone, Nikto, etc.

E o template do Kali Linux? Em 28 de julho de 2026, data de produção deste artigo, o template oficial do Kali Linux ainda não funciona corretamente no Qubes OS. Por isso, recomendamos montar sua própria distribuição de pentest manualmente sobre o template Debian, testar e validar - é uma abordagem mais confiável hoje. Se, quando você estiver lendo isto, o template do Kali para Qubes já estiver estável, basta instalá-lo e usar o mesmo procedimento descrito a seguir, apontando a Disposable Template para ele.

// Capítulo 04

Disposable Template e Disposable VM Nomeada

Com o template pronto, o passo seguinte é criar a estrutura descartável - a peça central deste método. Ela é composta de duas partes: uma Disposable Template e uma Disposable VM nomeada baseada nela. Disposable VMs podem ser criadas usando o caminho Qubes App Menu (Q icon) ? Settings (icon) ? Qubes Tools ? Create New Qube ? Named disposable, escolha um nome, e configure de acordo com suas necessidades.

Crie a Disposable Template

New Qube -> Disposable Template. Nome: usb-rj45-local-disp. Template: debian-13-usb-rj45-local. Network: no network connection. Storage pool e RAM podem ficar no padrão.

Ative o network-manager como serviço

Em usb-rj45-local-disp, botão direito -> Settings -> aba Services -> adicione network-manager. Sem isso, a interface USB-RJ45 não receberá o gateway do roteador automaticamente - seria preciso configurar manualmente via ip link e afins.

Crie a Disposable VM nomeada

New Qube -> Named Disposable. Nome: usb-rj45-local. Disposable Qube Template: usb-rj45-local-disp. Network: no network connection. Storage pool e RAM no padrão.

Confirme o serviço network-manager na VM final

Como ela herda da disposable template, o serviço já deve estar habilitado. Caso não esteja, adicione manualmente em Settings -> Services -> Custom, digite network-manager e clique em Add -> Apply.

// Capítulo 05

Passo a Passo: Conectando via USB-RJ45

1. Ligue a Disposable VM e Anexe o Adaptador

Ligue usb-rj45-local, conecte o adaptador USB-RJ45 em uma porta USB do computador e, em Qubes Devices, localize o adaptador Ethernet e anexe-o à qube usb-rj45-local. O sistema de proxy USB do Qubes cuida do repasse seguro do dispositivo.

2. Verifique a Conexão com o Gateway

Abra um terminal na usb-rj45-local e confirme que a interface recebeu o IP do roteador via DHCP:

$ ip route

$ ip a

$ nmcli

3. Acesse o Roteador

Supondo um roteador OpenWrt com IP 10.0.0.1 na rede 10.0.0.0/24:

# Via SSH

$ ssh [email protected]

# Via LuCI (interface web) - no navegador da Disposable VM:

> http://10.0.0.1

O mesmo procedimento serve para acessar qualquer outro servidor ou computador da rede que exponha um serviço SSH - sempre a partir da Disposable VM, nunca da sys-net.

4. Pentest na Rede Privada (Somente com Autorização)

Se o template foi preparado para auditoria ofensiva, execute as ferramentas contra os IPs que você tem autorização para testar:

# Varredura de um host específico

$ sudo nmap -sV -A -O 10.0.0.1

# Varredura de toda a sub-rede

$ sudo nmap -sV -A -O 10.0.0.0/24

Para análises mais aprofundadas, Metasploit, OpenVAS, Searchsploit e todas as outras ferramentas de penetration test complementam a varredura com testes de vulnerabilidades conhecidas - sempre dentro da mesma Disposable VM, que pode ser fechada e recriada do zero a qualquer momento.

Nível de Isolamento por Método de Acesso à Rede

// Capítulo 06

Ética, Limites Legais e Boas Práticas

Sua Própria Rede

Use este método apenas em redes que você possui ou administra legitimamente - sua rede doméstica, seu laboratório de testes ou ambientes de clientes com contrato formal.

Autorização por Escrito

Para redes de terceiros, pentest sem autorização explícita e documentada é crime no Brasil e na maioria das jurisdições. Sempre formalize escopo, datas e IPs autorizados antes de iniciar.

Documentação Responsável

Registre achados de forma responsável e reporte vulnerabilidades ao responsável pela rede - nunca as explore além do necessário para comprovar o risco.

Descarte a Disposable VM

Ao concluir os testes, feche a Disposable VM. Todo o histórico, capturas e ferramentas usadas somem junto com ela - sua sys-net permanece exatamente como estava.

Domine o Qubes OS na Prática

Este é apenas um dos fluxos possíveis dentro do Qubes OS. Nossa consultoria especializada estrutura ambientes de isolamento avançado sob medida - de acesso seguro a redes até auditorias completas de infraestrutura.

Consultoria Especializada Curso Qubes OS Completo

// Fontes e Referências

Fontes, Referências e Documentação Oficial

Documentação Oficial e Fontes Técnicas

[1]

Qubes OS Documentation - How to Install Software

doc.qubes-os.org - How to Install Software

Documentação oficial sobre o proxy de atualizações e os riscos de dar acesso direto de rede a TemplateVMs.
[2]

Qubes OS Documentation - How to Use Disposables

doc.qubes-os.org - How to Use Disposables

Guia oficial sobre criação e uso de Disposable VMs nomeadas, base do fluxo descrito neste artigo.
[3]

Qubes OS Documentation - Templates

doc.qubes-os.org - Templates

Explica a relação entre TemplateVMs e as AppVMs/DisposableVMs que dependem delas.
[4]

Qubes OS Documentation - How to Use USB Devices

doc.qubes-os.org - How to Use USB Devices

Procedimento oficial para anexar adaptadores USB, como o USB-RJ45, a qubes específicas via qvm-usb.
[5]

Qubes OS Documentation - Disposable Customization

doc.qubes-os.org - Disposable Customization

Detalha como criar Disposable Templates customizadas, incluindo qubes de rede descartáveis.
[6]

Wikipedia - Qubes OS: Arquitetura de Isolamento de Rede

en.wikipedia.org - Qubes OS

Descrição geral de como o mecanismo de rede é isolado em uma qube não-privilegiada separada.
[7]

The Civic Security Guide - Qubes OS Architecture: Xen Hypervisor Isolation

lumpencamp.github.io - Qubes OS Architecture

Explica em detalhes por que a sys-net é inerentemente não confiável e deve ficar isolada de qubes operacionais.

Ferramentas Mencionadas

TOOL

Nmap - Network Mapper

nmap.org

Ferramenta padrão de mercado para varredura e mapeamento de redes.
TOOL

Wireshark - Analisador de Protocolo de Rede

wireshark.org

Ferramenta open source de referência para captura e análise de tráfego de rede.
TOOL

Greenbone / OpenVAS - Scanner de Vulnerabilidades

greenbone.net

Uma das soluções open source mais usadas para varredura sistemática de vulnerabilidades em rede.