Qubes OS est régulièrement présenté comme l’un des systèmes d’exploitation les plus sûrs pour les usages sensibles. Journalistes, chercheurs en cybersécurité et utilisateurs avancés louent son architecture de compartimentalisation par domaines. Mais cette réputation tient-elle sur des preuves objectives ? Un chercheur indépendant, Alfonso De Gregorio, vient de déposer sur arXiv une analyse longitudinale inédite qui répond à cette question. En passant au crible 109 Qubes Security Bulletins (QSB) publiés entre 2011 et 2025, il offre le premier état des lieux chiffré de la sécurité de Qubes OS. Et les résultats sont plus nuancés qu’un simple satisfecit.
Une transparence de sécurité « inhabituelle »
Ce qui frappe d’abord dans cette étude, c’est le constat de départ. Les chercheurs qualifient la transparence du projet Qubes OS d’« inhabituelle ». Pourquoi ? Parce qu’aucun autre système d’exploitation grand public ne tient un registre public, exhaustif et signé de toutes ses vulnérabilités et correctifs sur plus de quatorze ans.
Ce registre, c’est la série des Qubes Security Bulletins. Chaque QSB documente une vulnérabilité affectant l’écosystème Qubes, son origine, son impact et le correctif déployé. Le projet maintient également un suivi public des Xen Security Advisories (XSA), ces bulletins émis par l’hyperviseur Xen sur lequel Qubes OS s’appuie pour isoler ses machines virtuelles (qubes).
Cette traçabilité est un atout méthodologique rare. Elle permet aux chercheurs de travailler sur des données réelles, continues, traçables, plutôt que sur des estimations ou des fuites ponctuelles. Pour la communauté de la sécurité, c’est une mine d’or. Pour Qubes OS, c’est aussi une preuve de sérieux : publier ses faiblesses sans filtre, c’est accepter le regard critique.
109 bulletins, 464 XSA : les chiffres clés de l’étude
L’étude repose sur un protocole d’analyse rigoureux qui combine plusieurs méthodes statistiques : attribution déterministe des composants, analyse de points de rupture (change-point analysis), diagnostics de surdispersion, pondération par proxy de sévérité, sensibilité à la censure, et modèles de découverte de vulnérabilités (VDM).
Voici les chiffres les plus marquants qui ressortent de cette analyse :
- Sur les 464 XSA publiés par le projet Xen, 113 affectent directement Qubes OS, soit près d’un quart.
- Sur les 109 QSB publiés par Qubes OS entre 2011 et 2025, 87 (79,8 %) sont attribuables à des composants amont : l’hyperviseur Xen, les vulnérabilités CPU ou microarchitecturales, ou d’autres dépendances externes.
- Les composants de la logique interne de Qubes (Qubes-core) ne représentent qu’une minorité des bulletins.
Ces résultats sont stables même en appliquant des pondérations par sévérité ou des vérifications de sensibilité statistique. Autrement dit, le constat ne varie pas selon la méthode d’agrégation retenue.
La dépendance amont, talon d’Achille structurel
Le chiffre de 79,8 % est le résultat central de l’étude. Il met en lumière une réalité structurelle : la surface de sécurité de Qubes OS est largement héritée de ses dépendances. L’hyperviseur Xen est le premier contributeur à ce chiffre, suivi par les vulnérabilités matérielles (Spectre, Meltdown et leurs variantes).
Cela signifie que la sécurité d’un poste Qubes OS dépend autant de la réactivité de l’équipe Qubes que de celle des projets amont. Chaque XSA non encore intégré dans une mise à jour Qubes représente un risque potentiel. L’étude ne mesure pas les compromissions réelles ni les incidents : elle mesure uniquement l’activité déclarative publique. Mais cette activité dessine une carte des dépendances critiques.
Pour un utilisateur de Qubes OS, le message est clair : même avec une architecture de compartimentalisation avancée, le maillon le plus faible reste souvent ce qui se trouve en dessous. L’hyperviseur, le silicium, le firmware. La transparence du projet permet au moins de savoir où concentrer son attention.
Un plateau de divulgation, pas une accalmie
L’analyse de points de rupture identifie le premier trimestre 2015 comme la rupture dominante dans la série temporelle des QSB. Avant cette date, la fréquence de publication était plus faible. Après cette date, le rythme s’installe à un niveau plus élevé et s’y maintient.
Fait notable : depuis 2018, les taux annuels de divulgation sont statistiquement plats. Pas d’accélération, pas de décélération significative. Le rythme est stable. Les modèles de découverte de vulnérabilités en forme de S (S-shaped VDMs) s’ajustent bien aux données descriptives, mais ils ne surpassent pas significativement une simple moyenne glissante pour les prévisions à court terme.
Traduction concrète : Qubes OS n’est pas un projet dont les vulnérabilités explosent avec la popularité. Il n’est pas non plus en voie d’éradication de ses failles. Il est dans une phase de maturité stable, avec un flux régulier de bulletins qui reflète un écosystème complexe plutôt qu’un logiciel négligé.
Pourquoi cette étude change la donne pour Qubes OS
Cette publication académique valide Qubes OS comme un objet d’étude légitime pour la recherche en sécurité informatique. Ce n’est pas rien. Les chercheurs choisissent leurs cas d’étude pour la qualité et la disponibilité des données. En l’espèce, c’est la qualité du registre public qui a rendu ce travail possible.
L’article a d’ailleurs suscité un intérêt mesuré mais réel sur Hacker News (85 points, 15 commentaires) et a été relayé dans les cercles techniques. Pas d’emballement, pas de buzz forcé : une reconnaissance calme par les pairs, ce qui est généralement bon signe.
Pour les professionnels de la cybersécurité, cette étude offre aussi une grille de lecture exportable. La méthodologie d’attribution déterministe des composants et le codebook d’audit (validé sur un échantillon stratifié de 30 QSB) pourraient inspirer des analyses similaires sur d’autres écosystèmes open source à forte exposition.
Ce qu’il faut retenir
- Qubes OS dispose d’un registre public de sécurité unique dans le monde des OS grand public, couvrant 14 ans sans interruption, ce qui permet des analyses longitudinales solides.
- 79,8 % des 109 Qubes Security Bulletins publiés entre 2011 et 2025 proviennent de composants amont (Xen, CPU, microarchitecture), pas de la logique interne de Qubes.
- La fréquence de divulgation est stable depuis 2018 : le projet est dans une phase de maturité, avec un flux régulier mais maîtrisé de bulletins.
- La transparence du projet est un atout de sécurité en soi : elle permet aux chercheurs, aux auditeurs et aux utilisateurs de travailler sur des bases objectives.
- Cette étude ne mesure que les bulletins publics, pas les vulnérabilités latentes ni les compromissions réelles, mais elle fournit un cadre méthodologique robuste pour de futures analyses.
Si vous utilisez Qubes OS ou si vous évaluez des architectures de sécurité par isolation, cette étude mérite votre attention. N’hésitez pas à partager votre retour d’expérience en commentaire ou à me contacter directement : ces échanges nourrissent la veille que je maintiens sur le sujet.
Sources
- Article académique de référence : Qubes OS Security in the Public Record, Alfonso De Gregorio, arXiv:2607.14587, 16 juillet 2026.
- Projet Qubes OS : qubes-os.org et Qubes Security Bulletins.
- Xen Security Advisories : xenproject.org.