Qubes OSの公開されているセキュリティ記録

Qubes OSは、そのアーキテクチャがコンポーネント境界をセキュリティ関連のものとするため、セキュリティ測定において示唆に富む事例です。私たちは、公式のQubes管理Xen Security Advisory (XSA)トラッカーである109件の公開Qubes Security Bulletins (QSB、2011年～2025年)と、二次的な脆弱性イベント感応度系列のプロトコル駆動型縦断的分析を提示します。この研究は、潜在的な脆弱性の発生率や実現された侵害ではなく、公開されたアドバイザリ記録を測定します。この方法論は、監査済みの決定論的コンポーネント帰属、変化点分析、過分散チェック、深刻度プロキシ重み付け、検閲感応度、文書化遅延下限、および脆弱性発見モデル(VDM)のベースラインを考慮した評価を組み合わせています。結果は、公開記録における持続的なアップストリーム依存性を示しています。公式トラッカーでは、464件のXSAのうち113件がQubesに影響を与えています。一次ラベリングの下では、109件のQSBのうち87件（79.8%）は、Qubesコアロジックではなく、Xen、CPU/マイクロアーキテクチャ、またはその他のアップストリームコンポーネントに帰属可能であり、重み付けされたビューの下でも同様の結果が得られています。変化点分析は、四半期ごとのアドバイザリ系列における主要なブレークとして2015年第1四半期を特定していますが、2018年以降の年間の開示率は統計的に平坦です。ポアソン推論は、分散診断および負の二項感応度チェックの下で安定しています。帰属コードブックは、30件のQSBの層別監査において良好な性能を示し、S字型のVDMは記述的に適合しますが、短期予測においてローリング平均ベースラインを統計的に有意に上回ることはありません。全体として、Qubesの公開アドバイザリ記録は安定しているように見えますが、静かではありません。開示活動は、初期の年に比べて高い水準でプラトーに達していますが、観測された負担は主にアップストリームの信頼アンカーに集中したままです。