Vodnik po spletni anonimnosti (po https://anonymousplanet.org/)

Uporabljajte na lastno odgovornost. Prosimo, da tega priročnika ne jemljete kot dokončno resnico za vse, saj to ni.

Spoiler: Vsebina

• Uvod:
• Vključevanje: Razumevanje nekaterih osnov, kako lahko nekatere informacije vodijo nazaj k vam in kako nekatere ublažiti:
  • Vaše omrežje:
    • Vaše omrežje: vaš naslov IP:
    • Vaše zahteve DNS in IP:
    • Vaše naprave, ki omogočajo RFID:
    • Naprave Wi-Fis in Bluetooth okoli vas:
    • Zlonamerne/nevarne dostopne točke Wi-Fi:
    • Vaš anonimizirani promet Tor/VPN:
    • Nekaterim napravam je mogoče slediti, tudi ko so brez povezave:
  • Identifikacijske oznake vaše strojne opreme:
    • IMEI in IMSI (in posledično telefonska številka):
    • Vaš naslov Wi-Fi ali Ethernet MAC:
    • Vaš naslov MAC Bluetooth:
  • Vaš procesor: MAC MAC: vaš procesor:
  • Vaše operacijske sisteme in telemetrične storitve aplikacij:
  • vaše pametne naprave na splošno:
  • Sami: vaše pametne naprave: vaše pametne naprave: vaše pametne naprave: vaše pametne naprave:
    • Vaši metapodatki, vključno z vašo geolokacijo:
    • vaš digitalni prstni odtis, odtis in spletno vedenje:
    • Vaše sledi o vašem resničnem življenju in OSINT:
    • Vaš obraz, glas, biometrični podatki in slike:
    • ribarjenje in socialni inženiring:
  • Zlonamerna programska oprema, izkoriščanje in virusi:
    • Zlonamerna programska oprema v vaših datotekah/dokumentih/elektronski pošti:
    • Zlonamerna programska oprema in izrabljanja v vaših aplikacijah in storitvah: zlonamerna programska oprema in izrabljanja v vaših aplikacijah in storitvah:
    • Zlonamerne naprave USB:
    • Zlonamerna programska oprema in zaporna vrata v strojni opremi in operacijskem sistemu: Zlonamerna programska oprema in zaporna vrata v strojni opremi in operacijskem sistemu:
  • vaše datoteke, dokumenti, slike in videoposnetki:
    • Lastnosti in metapodatki:
    • Vodni žig:
    • Pikslirane ali zamegljene informacije:
  • Vaše transakcije s kriptovalutami:
  • Vaše varnostne kopije v oblaku/sinhronizacijske storitve:
  • Vaši prstni odtisi brskalnika in naprave:
  • Lokalno uhajanje podatkov in forenzika:
  • Slabo kriptografijo:
  • Ne beleženje, a vseeno politike beleženja:
  • Nekaj naprednih ciljno usmerjenih tehnik:
  • Nekaj dodatnih virov:
  • Opombe:
• Splošne priprave:
  • Izbira poti:
    • Časovne omejitve:
    • Omejitve proračuna/materiala:
    • Spretnosti:
    • Nevarnosti (grožnje): Nevarnosti (grožnje): Nevarnosti (grožnje): Nevarnosti (grožnje):
  • Koraki za vse poti:
    • Pridobite anonimno telefonsko številko:
    • Pridobite ključ USB:
    • Poiščite nekaj varnih krajev s primernim javnim brezžičnim internetom:
  • Pot TAILS:
    • Trajna verjetna zanikanja z uporabo sistema Whonix v sistemu TAILS:
  • Koraki za vse druge poti:
    • Pridobite namenski prenosni računalnik za občutljive dejavnosti:
    • Nekaj priporočil za prenosne računalnike:
    • Nastavitve Bios/UEFI/Firmware vašega prenosnega računalnika:
    • Fizična zaščita prenosnega računalnika pred nepooblaščenimi posegi:
  • Pot Whonix:
    • Izbira gostiteljskega operacijskega sistema (operacijski sistem, nameščen v prenosniku):
    • Operacijski sistem Linux Host OS:
    • MacOS Gostiteljski OS: Linux:
    • Gostiteljski OS: Windows
    • Virtualbox v vašem gostiteljskem OS:
    • Izberite način povezovanja:
    • Poiščite anonimno omrežje VPN/Proxy:
    • Whonix:
    • Tor preko VPN:
    • Whonix: Virtualni stroji Whonix:
    • Izberite svojo gostujočo delovno postajo Virtualni stroj:
    • Virtualni stroj Linux (Whonix ali Linux):
    • Windows 10:
    • Android Virtual Machine:
    • Navidezni stroj: MacOS:
    • KeepassXC:
    • (plačano v gotovini/Monero):
    • (Neobvezno) omogoči dostop do interneta samo virtualnim računalnikom, hkrati pa odreže gostiteljski operacijski sistem, da se prepreči uhajanje podatkov:
    • Končni korak:
  • Pot Qubes:
    • Izberite način povezovanja:
    • Poiščite anonimno omrežje VPN/Proxy:
    • Namestitev:
    • Vedenje pri zapiranju pokrova:
    • Povežite se z javnim brezžičnim omrežjem Wi-Fi:
    • Posodobitev operacijskega sistema Qubes:
    • Okrepitev operacijskega sistema Qubes:
    • Nastavitev VPN ProxyVM:
    • Nastavitev varnega brskalnika v operacijskem sistemu Qube OS (neobvezno, vendar priporočljivo):
    • Nastavitev VM za Android:
    • KeePassXC:
• Ustvarjanje anonimnih spletnih identitet:
  • Razumevanje metod, ki se uporabljajo za preprečevanje anonimnosti in preverjanje identitete:
    • Captcha:
    • Preverjanje s telefonom:
    • Preverjanje e-pošte: Telefonsko preverjanje: Telefonsko preverjanje:
    • Preverjanje podatkov o uporabniku:
    • preverjanje dokazila o identiteti:
    • Filtri IP:
    • Brskalnik in naprava: prstni odtisi:
    • Človeška interakcija:
    • Uporabniki: Urejanje uporabnikov:
    • Vedenjska analiza:
    • Finančne transakcije:
    • Prijava z neko platformo:
    • Prepoznavanje obraza in biometrija v živo (ponovno):
    • Ročni pregledi:
  • Pristop k spletu: preverjanje in pregledovanje osebnih podatkov:
    • Ustvarjanje novih identitet:
    • Sistem pravega imena:
    • O plačljivih storitvah:
    • Pregled: O plačljivih storitvah: O plačljivih storitvah:
    • Kako anonimno deliti datoteke ali klepetati:
    • Kako varno urediti dokumente/slike/videoposnetke/avdio:
    • Sporočanje občutljivih informacij različnim znanim organizacijam:
    • Vzdrževalna opravila:
• Varnostno varnostno kopiranje vašega dela:
  • Varnostne kopije brez povezave:
    • Varnostne kopije izbranih datotek: Varnostne kopije brez povezave: Varnostne kopije izbranih datotek:
    • Varnostne kopije celotnega diska/sistema:
  • Varnostne kopije na spletu:
    • Datoteke:
    • Informacije:
  • Sinhronizacija datotek med napravami Spletno:
• Prikrivanje sledi:
  • Razumevanje trdega diska in SSD: Kako razumeti HDD in SSD:
    • Izenačevanje obrabe.
    • Operacije obrezovanja:
    • Zbiranje smeti:
    • Zaključek:
  • Kako varno izbrišete celoten prenosni računalnik/disk, če želite izbrisati vse:
    • Linux (vse različice, vključno z operacijskim sistemom Qubes):
    • Windows:
    • MacOS:
  • Kako varno izbrisati določene datoteke/aplikate/podatke na trdem disku/SSD in pomnilniških enotah: Kako varno izbrisati določene datoteke/aplikate/podatke na trdem disku/SSD in pomnilniških enotah?
    • Windows:
    • Linux (brez operacijskega sistema Qubes OS):
    • Linux (operacijski sistem Qubes OS):
    • MacOS:
  • Nekaj dodatnih ukrepov proti forenziki:
    • Odstranjevanje metapodatkov iz datotek/dokumentov/slik:
    • TAILS:
    • Whonix:
    • MacOS:
    • Linux (Qubes OS): MacOS: Linux (Qubes OS):
    • Linux (brez sistema Qubes): Linux (brez sistema Qubes):
    • Windows:
  • Odstranjevanje nekaterih sledi vaše identitete v iskalnikih in različnih platformah:
    • Google:
    • Bing:
    • DuckDuckGo:
    • Yandex:
    • Qwant:
    • Yahoo Search:
    • Baidu:
    • Wikipedija: Baidu: Baidu: Wikipedija: Wikipedija:
    • Baidoja: Wikipedia: Wikipedia: Baidoja: Baidoja: Baidoja: Baidoja: Baidoja: Baidoja: Archive.today:
    • Internetni arhiv:
• Nekaj nizkotehnoloških trikov stare šole:
  • Skrite komunikacije na prvi pogled:
  • Kako ugotoviti, ali je nekdo preiskoval vaše stvari:
• Nekaj zadnjih misli o OPSEC:
• Če mislite, da ste se opekli:
  • Če imate nekaj časa:
  • Če nimate časa:
• Majhna zaključna uredniška opomba

 

[HEISENBERG]

Omejitve glede proračuna/materiala.

• Na voljo imate samo en prenosni računalnik in si ne morete privoščiti ničesar drugega. Ta prenosni računalnik uporabljate za delo, družino ali osebne stvari (ali oboje):
  
  • Vaša najboljša možnost je, da izberete rep.
• Lahko si privoščite rezervni namenski nenadzorovani/nadzorovani prenosni računalnik za občutljive dejavnosti:
  
  • Vendar je star, počasen in ima slabe specifikacije (manj kot 6 GB RAM, manj kot 250 GB prostora na disku, star/počasen procesor):
    
    • Izberite rešitev Tails.
  • Ni tako star in ima spodobne specifikacije (vsaj 6 GB RAM, 250 GB prostora na disku ali več, spodoben procesor):
    
    • Lahko se odločite za poti Tails, Whonix.
  • Je nov in ima odlične specifikacije (več kot 8 GB RAM, >250 GB prostora na disku, nedavni hitri procesor):
    
    • Če vaš model groženj to dopušča, lahko izberete katero koli pot, vendar priporočam operacijski sistem Qubes.
  • Če gre za računalnik M1 Mac z arhitekturo ARM:
    
    • Zaradi teh razlogov to trenutno ni mogoče:
      
      • Virtualizacija slik x86 na računalnikih ARM M1 Mac je še vedno omejena na komercialno programsko opremo (Parallels), ki je Whonix še ne podpira.
      • Virtualbox še ni na voljo za arhitekturo ARM.
      • Whonix še ni podprt na arhitekturi ARM.
      • Tails še ni podprt na arhitekturi ARM.
      • Operacijski sistem Qubes še ni podprt na arhitekturi ARM.

Vaša edina možnost na računalnikih Mac M1 je verjetno, da zaenkrat ostanete pri brskalnikih Tor Browses. Če si lahko privoščite računalnik Mac M1, pa bi si verjetno morali za občutljivejše dejavnosti omisliti namenski prenosni računalnik x86.

 

[HEISENBERG]

Znanje in spretnosti.

• Vsebina tega priročnika se vam zdi kot tuj jezik?
  
  • Morali bi se odločiti za pot repov (z izjemo dela o vztrajnem verjetnem zanikanju).
• Imate nekaj znanja IT in do zdaj ste večinoma razumeli ta vodnik.
  
  • Izberete poti Tails (vključno s poglavjem o vztrajnem verjetnem zanikanju) ali Whonix.
• Imate zmerno do visoko znanje IT in že poznate nekatere vsebine tega vodnika
  
  • Lahko se odločite za kar koli, vendar vam močno priporočam operacijski sistem Qubes.
• Ste heker l33T, "ni žlice", "torta je laž", že leta uporabljate "doas" in "vse vaše baze pripadajo nam" ter imate močno mnenje o systemd.
  
  • Ta vodnik v resnici ni namenjen vam in vam ne bo pomagal pri vašem HardenedBSD na vašem hardened Libreboot prenosniku ;-)

 

[HEISENBERG]

Nasprotniki (grožnje).

• Če je vaša glavna skrb forenzični pregled naprav:
  
  • bi se morali odločiti za način Tails (z neobvezno trajno verjetnostjo zanikanja).
• Če vas skrbijo predvsem oddaljeni nasprotniki, ki lahko razkrijejo vašo spletno identiteto na različnih platformah:
  
  • Lahko izberete poti Whonix ali Qubes OS.
  • Izberete lahko tudi pot Tails (z neobvezno trajno verjetnostjo zanikanja).
• Če kljub tveganju nujno želite verjetnost zanikanja v celotnem sistemu:
  
  • Lahko izberete pot Tails, vključno z delom o trajni verjetni zanikljivosti.
  • Lahko izberete pot Whonix (samo v operacijskem sistemu Windows Host v okviru tega vodnika).
• Če se nahajate v sovražnem okolju, kjer je uporaba Tor/VPN sama po sebi nemogoča/nevarna/podvržena sumom:
  
  • lahko izberete pot Tails (brez uporabe omrežja Tor).
  • Lahko izberete operacijski sistem Whonix ali Qubes OS (brez uporabe sistema Whonix).

V vseh primerih preberite ti dve strani iz dokumentacije Whonixa, ki vam bosta omogočili poglobljen vpogled v vaše odločitve:

• [Archive.org]: https://www.whonix.org/wiki/Warning [Archive.org]
• https://www.whonix.org/wiki/Dev/Threat_Model [Archive.org]
• https://www.whonix.org/wiki/Comparison_with_Others [Archive.org]

Morda se sprašujete: "Kako naj vem, ali sem v sovražnem spletnem okolju, kjer se dejavnosti aktivno spremljajo in blokirajo?

• Več o tem si najprej preberite pri EFF tukaj: https: //ssd.eff.org/en/module/understanding-and-circumventing-network-censorship [Archive.org]
• Nekaj podatkov preverite tudi sami na spletnem mestu projekta Tor OONI (Open Observatory of Network Interference): https: //explorer.ooni.org/ [Archive.org].
• Oglejte si spletno stran https://censoredplanet.org/ [Archive.org] in preverite, ali imajo podatke o vaši državi.
• Preizkusite sami z uporabo OONI (v sovražnem okolju je to lahko tvegano).

 

[HEISENBERG]

Koraki za vse poti.

Navadite se uporabljati boljša gesla.

Glej Dodatek A2: Smernice za gesla in geselske fraze.

Pridobite anonimno telefonsko številko.

Ta korak preskočite, če nimate namena ustvariti anonimnih računov na večini glavnih platform, temveč želite le anonimno brskanje, ali če platforme, ki jih boste uporabljali, omogočajo registracijo brez telefonske številke.

Fizični telefon z gorilnikom in predplačniška kartica SIM.

Priskrbite si telefon za snemanje.

To je precej enostavno. Pred odhodom pustite pametni telefon izključen ali ga izklopite. Imejte nekaj denarja in pojdite na naključni bolšji sejem ali majhno trgovino (po možnosti brez videonadzora znotraj ali zunaj in brez fotografiranja/ snemanja) ter kupite najcenejši telefon, ki ga lahko najdete, z gotovino in brez posredovanja kakršnih koli osebnih podatkov. Telefon mora biti le delujoč.


Osebno vam priporočam, da si priskrbite star "dumbphone" z odstranljivo baterijo (stara Nokia, če vaša mobilna omrežja še vedno omogočajo povezavo, saj so nekatere države popolnoma ukinile 1G-2G). S tem se izognete samodejnemu pošiljanju/zbiranju kakršnih koli telemetričnih/diagnostičnih podatkov na samem telefonu. Tega telefona ne smete nikoli povezati z nobenim omrežjem Wi-Fi.


Prav tako je ključnega pomena, da tega telefona nikoli ne vklopite (niti brez kartice SIM) na kateri koli geografski lokaciji, ki bi lahko vodila do vas (na primer doma/službi), in nikoli na isti lokaciji kot vaš drugi znani pametni telefon (ker ima ta IMEI/IMSI, ki zlahka pripelje do vas). To se morda zdi veliko breme, vendar ni, saj se ti telefoni uporabljajo le med postopkom nastavitve/prijavljanja in občasno za preverjanje.


Glej Dodatek N: Opozorilo o pametnih telefonih in pametnih napravah


Preden preidete na naslednji korak, morate preveriti, ali telefon deluje brezhibno. Vendar se bom ponovil in še enkrat poudaril, da je pomembno, da pametni telefon ob odhodu pustite doma (ali ga pred odhodom izklopite, če ga morate obdržati) in da telefon preizkusite na naključni lokaciji, ki je ni mogoče izslediti (in še enkrat, tega ne počnite pred videonadzorom, izogibajte se kameram, bodite pozorni na svojo okolico). Na tem mestu tudi ni potrebe po brezžičnem omrežju Wi-Fi.


Ko ste prepričani, da telefon deluje, onemogočite Bluetooth, ga izklopite (če lahko, odstranite baterijo) in se vrnite domov ter nadaljujte z običajnimi dejavnostmi. Pojdite na naslednji korak.

Pridobite anonimno predplačniško kartico SIM.

To je najtežji del celotnega vodnika. Gre za SPOF (Single Point of Failure). Kraji, kjer lahko še vedno kupite predplačniške kartice SIM brez registracije osebnega dokumenta, so zaradi različnih predpisov tipa KYC vse bolj omejeni.


Tukaj je seznam mest, kjer jih lahko zdaj še vedno dobite: https://prepaid-data-sim-card.fandom.com/wiki/Registration_Policies_Per_Country [Archive.org]


Morali bi biti sposobni najti kraj, ki ni "predaleč", in se tja preprosto fizično odpraviti ter kupiti nekaj predplačniških kartic in bonov za polnjenje z gotovino. Pred odhodom preverite, ali ni bil sprejet zakon, na podlagi katerega bi bila obvezna registracija (če zgornji wiki ni bil posodobljen). Poskusite se izogniti videonadzoru in kameram ter ne pozabite kupiti kupona za polnjenje skupaj s kartico SIM (če ne gre za paket), saj večina predplačniških kartic pred uporabo zahteva polnjenje.


Glej Dodatek N: Opozorilo o pametnih telefonih in pametnih napravah


Preden se odpravite k mobilnim operaterjem, ki prodajajo predplačniške kartice SIM, dvakrat preverite, ali bodo ti sprejeli aktivacijo in polnjenje kartice SIM brez kakršne koli registracije osebnega dokumenta. Najbolje bi bilo, če bi sprejemali aktivacijo in polnjenje SIM-kartic iz države, v kateri prebivate.


Osebno bi vam priporočil podjetje GiffGaff v Združenem kraljestvu, saj so "cenovno ugodni", za aktivacijo in polnjenje ne zahtevajo identifikacije in vam celo omogočajo, da na njihovi spletni strani do dvakrat spremenite številko. Ena predplačniška kartica SIM GiffGaff vam bo tako omogočila uporabo treh številk za vaše potrebe.


Po aktivaciji/nadaljevanju in pred odhodom domov izklopite telefon. Ne vklopite ga nikoli več, razen če se ne nahajate na kraju, kjer bi lahko razkrili vašo identiteto, in če pametnega telefona pred odhodom na kraj, ki ni vaš dom, ne izklopite.

Spletna telefonska številka (manj priporočljivo).

OPOZORILO: Tega ne poskušajte izvesti, dokler ne vzpostavite varnega okolja v skladu z eno od izbranih poti. Ta korak bo zahteval spletni dostop in ga lahko izvedete le iz anonimnega omrežja. Tega ne izvajajte iz znanega/nevarnega okolja. Ta korak preskočite, dokler ne dokončate ene od poti.


Obstaja veliko komercialnih storitev, ki ponujajo številke za prejemanje sporočil SMS prek spleta, vendar večina teh storitev načeloma nima anonimnosti/zasebnosti in vam ne morejo biti v pomoč, saj večina platform družbenih medijev določa omejitev, kolikokrat se lahko telefonska številka uporabi za registracijo.


Obstajajo nekateri forumi in podredditi (na primer r/phoneverification/), kjer vam bodo uporabniki za majhno plačilo (z uporabo PayPala ali kakšnega kriptoplačila) ponudili storitev prejemanja takšnih sporočil SMS. Na žalost so ti polni prevarantov in zelo tvegani z vidika anonimnosti. Teh v nobenem primeru ne smete uporabljati.


Do danes ne poznam nobene ugledne storitve, ki bi ponujala to storitev in sprejemala gotovinska plačila (na primer po pošti) kot nekateri ponudniki VPN. Obstaja pa nekaj storitev, ki zagotavljajo spletne telefonske številke in sprejemajo Monero, kar bi lahko bilo razumno anonimno (vendar manj priporočljivo kot tisti fizični način iz prejšnjega poglavja), o katerih lahko razmislite:

• Priporočamo: Ne zahtevajo nobene identifikacije (niti e-pošte):
  
  • (s sedežem v Združenem kraljestvu, v času pisanja tega članka ni na voljo) https://dtmf.io/ [Archive.org] prednost, ker zagotavljajo celo naslov skrite storitve za neposreden dostop prek omrežja Tor na naslovu http://dtmfiovjh42uviqez6qn75igbagtiyo724hy3rdxm77dy2m5tt7lbaqd.onion/
  • (na Islandiji) https://crypton.sh [Archive.org]
  • (s sedežem v Ukrajini) https://virtualsim.net/ [Archive.org]
• Zahtevajo identifikacijo (veljavno e-pošto):
  
  • (s sedežem v Nemčiji) https://www.sms77.io/ [Archive.org]
  • (s sedežem v Rusiji) https://onlinesim.ru/ [Archive.org]

Obstaja še nekaj drugih možnosti, ki so navedene tukaj: https: //cryptwerk.com/companies/sms/xmr/ [Archive.org]. Uporabljajte na lastno odgovornost.


IZJAVA: Za nobenega od teh ponudnikov ne morem jamčiti, zato še vedno priporočam, da to fizično storite sami. V tem primeru se boste morali zanašati na anonimnost Monera, zato ne smete uporabljati nobene storitve, ki zahteva kakršno koli identifikacijo z uporabo vaše prave identitete. Prosimo, preberite to izjavo o omejitvi odgovornosti za Monero.


Zato je IMHO verjetno le bolj priročno, cenejše in manj tvegano, če preprosto dobite predplačniško kartico SIM na enem od fizičnih mest, ki jih še vedno prodajajo za gotovino, ne da bi zahtevali registracijo osebnega dokumenta. Če nimate druge možnosti, pa vsaj obstaja alternativa.

Priskrbite si ključ USB.

Vsaj en ali dva primerna generična ključa USB (vsaj 16 GB, priporočam pa 32 GB).


Ne kupujte in ne uporabljajte trikovskih samokriptirajočih naprav, kot so te: https://syscall.eu/blog/2018/03/12/aigo_part1/ [Archive.org]


Nekatere so morda zelo učinkovite, vendar je veliko takšnih pripomočkov, ki ne zagotavljajo prave zaščite.

Poiščite nekaj varnih krajev s primernim javnim brezžičnim omrežjem Wi-Fi.

Poiščite varne kraje, kjer boste lahko opravljali občutljive dejavnosti z uporabo javno dostopnega omrežja Wi-Fi (brez registracije računa/osebne izkaznice, izogibajte se nadzornim kameram).


To je lahko kjer koli, ki ne bo neposredno povezano z vami (vaš dom/služba) in kjer lahko nekaj časa uporabljate Wi-Fi, ne da bi vas pri tem kdo motil. Prav tako pa tudi kraj, kjer lahko to počnete, ne da bi vas kdo "opazil".


Če menite, da je Starbucks dobra zamisel, si to morda še enkrat premislite:

• Verjetno imajo v vseh svojih trgovinah videonadzorne kamere in posnetke hranijo neznano koliko časa.
• V večini boste morali kupiti kavo, da boste dobili kodo za dostop do brezžičnega omrežja Wi-Fi. Če boste to kavo plačali z elektronsko metodo, bodo lahko vaš dostop do omrežja Wi-Fi povezali z vašo identiteto.

Poznavanje razmer je ključnega pomena, zato se morate nenehno zavedati svoje okolice in se izogibati turističnim krajem, kot da bi jih napadla ebola. Želite se izogniti temu, da bi se pojavili na kakršni koli fotografiji/videoposnetku kogar koli, medtem ko nekdo dela selfije, snema videoposnetek TikTok ali na svojem Instagramu objavlja kakšno popotniško fotografijo. Če to storite, ne pozabite, da je velika verjetnost, da bodo te slike končale na spletu (javno ali zasebno) z vsemi priloženimi metapodatki (čas/data/geolokacija) in vašim obrazom. Ne pozabite, da jih lahko in jih bodo indeksirali Facebook/Google/Yandex/Apple in verjetno tudi vse tri črkovne agencije.


Čeprav to še ne bo na voljo vašim lokalnim policistom, bi lahko bilo v bližnji prihodnosti.


V idealnem primeru boste potrebovali niz 3-5 različnih krajev, kot je ta, da se izognete dvakratni uporabi istega kraja. Za različne korake v tem vodniku bo v naslednjih tednih potrebnih več potovanj.


Zaradi večje varnosti lahko razmislite tudi o tem, da bi se na te kraje povezali z varne razdalje. Oglejte si Dodatek Q: Uporaba antene dolgega dosega za povezavo z javnimi brezžičnimi omrežji Wi-Fis z varne razdalje.

 

[HEISENBERG]

Na poti do repov.

Ta del vodnika vam bo pomagal pri vzpostavitvi poti Tails, če velja eno od naslednjega:

• si ne morete privoščiti namenskega prenosnega računalnika
• je vaš namenski prenosnik prestar in prepočasen
• imate zelo slabo znanje IT
• se vseeno odločite za Tails

Tails je kratica za The Amnesic Incognito Live System. To je zagonski operacijski sistem v živo, ki deluje s ključa USB in je zasnovan tako, da ne pušča sledi in vse povezave izvaja prek omrežja Tor.


Ključ USB Tails vstavite v svoj prenosni računalnik, ga zaženete in imate na voljo celoten operacijski sistem, ki deluje z mislijo na zasebnost in anonimnost. Takoj ko izklopite računalnik, vsega ne bo več, razen če ste ga nekje shranili.


Tails je zelo enostaven način, da v kratkem času začnete delati s tistim, kar imate, in brez velikega učenja. Ima obsežno dokumentacijo in navodila.


OPOZORILO: Tails ni vedno posodobljen s priloženo programsko opremo. Prav tako ni vedno posodobljena s posodobitvami brskalnika Tor. Vedno se morate prepričati, da uporabljate najnovejšo različico programa Tails, in biti zelo previdni pri uporabi priloženih aplikacij znotraj programa Tails, ki so lahko ranljive za podvige in razkrivajo vašolokacijo265.


Ima pa tudi nekaj pomanjkljivosti:

• Tails uporablja Tor, zato boste za dostop do vseh virov v internetu uporabljali Tor. Že zaradi tega boste postali sumljivi za večino platform, na katerih želite ustvariti anonimne račune (to bo podrobneje pojasnjeno pozneje).
• Tudi vaš ponudnik internetnih storitev (ne glede na to, ali je vaš ali kakšen javni Wi-Fi) bo videl, da uporabljate Tor, kar vas lahko že samo po sebi naredi sumljive.
• Tails ne vključuje (nativno) nekatere programske opreme, ki jo boste morda želeli uporabljati pozneje, kar bo precej zapletlo stvari, če boste želeli zagnati nekatere posebne stvari (na primer emulatorje za Android).
• Tails uporablja brskalnik Tor, ki je sicer zelo varen, vendar ga večina platform prav tako zazna in vas ovira pri ustvarjanju anonimnih identitet na številnih platformah.
• Tails vas ne bo več zaščitil pred ključem za 5 dolarjev8.
• Tor sam po sebi morda ne bo dovolj, da bi vas zaščitil pred nasprotnikom z dovolj sredstvi, kot je bilo pojasnjeno prej.

Pomembna opomba: Če je vaš prenosni računalnik nadzorovan/nadzorovan in veljajo nekatere lokalne omejitve, preberite Dodatek U: Kako zaobiti (nekatere) lokalne omejitve na nadzorovanih računalnikih.


Preden nadaljujete, preberite tudi dokumentacijo, opozorila in omejitve za Tails: https: //tails.boum.org/doc/about/warnings/index.en.html [Archive.org]


Ob upoštevanju vsega tega in dejstva, da je njihova dokumentacija odlična, vas bom samo preusmeril na njihov dobro narejen in vzdrževan priročnik:


https://tails.boum.org/install/index.en.html [Archive.org], izberite svoj okus in nadaljujte.


Ko ste končali in imate na svojem prenosnem računalniku delujoči Tails, pojdite na korak Ustvarjanje anonimnih spletnih identitet precej naprej v tem vodniku.


Če imate težave z dostopom do omrežja Tor zaradi cenzure ali drugih težav, lahko poskusite uporabiti mostove Tor Bridges, tako da sledite temu vodniku za Tails: https://tails.boum.org/doc/first_steps/welcome_screen/bridge_mode/index.en.html [Archive.org], več informacij o njih pa najdete na strani Tor Documentation https://2019.www.torproject.org/docs/bridges [Archive.org].


Če menite, da je samo uporaba brskalnika Tor nevarna/nevarna, glejte Dodatek P: Čim varnejši dostop do interneta, kadar Tor/VPN ni mogoč

 

[HEISENBERG]

Vztrajna verjetna zanikljivost z uporabo Whonixa znotraj repov.

Razmislite o preverjanju projekta https://github.com/aforensics/HiddenVM [Archive.org ] za Tails.


Ta projekt je pametna zamisel o samostojni rešitvi virtualnega stroja z enim klikom, ki jo lahko shranite na šifriran disk z uporabo verjetnega zanikanja256 (za boljše razumevanje glejte poglavje The Whonix route: first chapters in tudi nekaj razlag o verjetnem zanikanju ter poglavje How to securely delete specific files/folders/data on your HDD/SSD and Thumb drives: na koncu tega priročnika).


To bi omogočilo vzpostavitev hibridnega sistema, ki bi mešal rep z možnostmi virtualizacije na poti Whonix v tem vodniku.

Opomba: Za več pojasnil o izolaciji toka glejte poglavje Izbira načina povezovanja v poti Whonix


Na kratko:

• Lahko zaženete nepersistentni Tails z enega ključa USB (v skladu z njihovimi priporočili)
• Trajne virtualne računalnike lahko shranite v sekundarnem vsebniku, ki ga lahko šifrirate običajno ali z uporabo funkcije Veracrypt plausible deniability (to so lahko na primer Whonixovi virtualni stroji ali kateri koli drugi).
• Koristi vam dodana funkcija izolacije toka Tor (glejte Tor over VPN za več informacij o izolaciji toka).

V tem primeru, kot je opisano v projektu, na vašem računalniku ne bi smelo biti nobenih sledi vaših dejavnosti, občutljivo delo pa bi se lahko opravljalo v virtualnih strojih, shranjenih v skritem vsebniku, ki ga mehki nasprotnik ne bi smel zlahka odkriti.


Ta možnost je še posebej zanimiva za "potovanje na lahko" in ublažitev forenzičnih napadov, hkrati pa ohranja obstojnost vašega dela. Potrebujete le 2 ključa USB (enega z repom in enega z vsebnikom Veracrypt, ki vsebuje obstojni Whonix). Prvi ključ USB bo navidezno vseboval samo Tails, drugi USB pa bo navidezno vseboval samo naključne smeti, vendar bo imel vabeči volumen, ki ga lahko pokažete za verodostojno zanikanje.


Morda se tudi sprašujete, ali bo to povzročilo nastavitev "Tor nad Tor", vendar ne bo. Whonixovi virtualni stroji bodo do omrežja dostopali neposredno prek omrežja clearnet in ne prek čebulnega usmerjanja Tails Onion Routing.


V prihodnosti bi to lahko podpiral tudi sam projekt Whonix, kot je pojasnjeno tukaj: https: //www.whonix.org/wiki/Whonix-Host [Archive.org], vendar za zdaj to še ni priporočljivo za končne uporabnike.


Ne pozabite, da šifriranje z verjetnim zanikanjem ali brez njega ni srebrna krogla in bo v primeru mučenja le malo uporabno. Pravzaprav bi bilo glede na to, kdo bi bil vaš nasprotnik (vaš model grožnje), morda pametno, da sploh ne uporabljate programa Veracrypt (prej TrueCrypt), kot je prikazano v tej predstavitvi: https: //defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org].


Verjetno zanikanje je učinkovito le proti mehkim zakonitim nasprotnikom, ki ne bodo uporabili fizičnih sredstev.


Glej https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]


OPOZORILO: Če razmišljate o shranjevanju takšnih skritih virtualnih računalnikov na zunanji pogon SSD, si oglejte Dodatek K: Razmisleki o uporabi zunanjih pogonov SSD in poglavji Razumevanje HDD in SSD:

• Na pogonih SSD ne uporabljajte skritih volumnov, saj Veracrypt tega ne podpira/priporoča.
• Namesto tega namesto šifriranih volumnov uporabite zabojnike za datoteke.
• Prepričajte se, da veste, kako pravilno očistiti podatke z zunanjega pogona SSD.

Tukaj je moj vodnik o tem, kako to doseči:

Prvi zagon.

• Prenesite najnovejšo izdajo HiddenVM s spletne strani https://github.com/aforensics/HiddenVM/releases [Archive.org]
• Prenesite najnovejšo izdajo Whonix XFCE s spletne strani https://www.whonix.org/wiki/VirtualBox/XFCE [Archive.org]
• Priprava ključa USB/diska z Veracryptom
  
  • Ustvarite skriti zvezek na pogonu USB/ključu (priporočam vsaj 16 GB za skriti zvezek).
  • V zunanji zvezek namestite nekaj datotek z vabo
  • V skriti zvezek namestite datoteko s podobo aplikacije HiddenVM
  • V skriti zvezek namestite datoteko Whonix XFCE ova
• Zagon v rep
• Nastavite razporeditev tipkovnice, kot želite.
• Izberite Additional Settings (Dodatne nastavitve) in nastavite skrbniško (korensko) geslo (potrebno za namestitev HiddenVM).
• Zagon sistema Tails
• Povežite se z varnim brezžičnim omrežjem Wi-Fi (ta korak je potreben za delovanje ostalih)
• Pojdite v Utilities (Pripomočki) in odklepajte svoj Veracrypt (skriti) volumen (ne pozabite označiti potrditvenega polja Skriti volumen)
• Zaženite podobo aplikacije HiddenVM
• Ko boste pozvani k izbiri mape, izberite korensko mapo skritega volumna (kjer so datoteke Whonix OVA in slika aplikacije HiddenVM).
• Pustite, da opravi svoje delo (to bo v bistvu z enim klikom namestilo Virtualbox v program Tails).
• Ko je to opravljeno, se mora samodejno zagnati program Virtualbox Manager.
• Uvozite datoteke Whonix OVA (glejte Navidezni stroji Whonix:)

Če se med uvozom pojavijo težave, kot je "NS_ERROR_INVALID_ARG (0x80070057)", je to verjetno zato, ker na vašem skritem nosilcu ni dovolj prostora na disku za Whonix. Whonix sam priporoča 32 GB prostega prostora, vendar to verjetno ni potrebno in za začetek bi moralo zadostovati 10 GB. To napako lahko poskušate odpraviti tako, da datoteko Whonix *.OVA preimenujete v *.TAR in jo dekomprimirate v Tails. Ko končate z dekompresijo, izbrišite datoteko OVA in uvozite druge datoteke s čarovnikom za uvoz. Morda bo tokrat uspelo.

Nadaljnji zagoni.

• Zagon v repe
• Povežite se z Wi-Fi
• Odklepanje skritega volumna
• zaženite aplikacijo HiddenVM
• To bi moralo samodejno odpreti upravitelja VirtualBox in prikazati vaše prejšnje virtualne stroje od prvega zagona

 

[HEISENBERG]

Koraki za vse druge poti.

Zagotovite si namenski prenosni računalnik za svoje občutljive dejavnosti.

V idealnem primeru si priskrbite namenski prenosni računalnik, ki na enostaven način ne bo vezan na vas (najbolje, da ga plačate anonimno z gotovino in z enakimi previdnostnimi ukrepi, kot smo jih prej omenili za telefon in kartico SIM). To je priporočljivo, vendar ne obvezno, saj vam bo ta vodnik pomagal čim bolj utrditi prenosni računalnik in tako preprečiti uhajanje podatkov na različne načine. Med vašimi spletnimi identitetami in vami bo stalo več obrambnih linij, ki bi morale večini nasprotnikov, razen državnim/globalnim akterjem z znatnimi sredstvi, preprečiti vašo deanonimizacijo.


Ta prenosni računalnik naj bo po možnosti čist, sveže nameščen prenosnik (z operacijskim sistemom Windows, Linux ali MacOS), očiščen vaših običajnih vsakodnevnih dejavnosti in brez povezave (še nikoli povezan z omrežjem). V primeru prenosnika z operacijskim sistemom Windows in če ste ga uporabljali pred tako čisto namestitvijo, tudi ne bi smel biti aktiviran (ponovno nameščen brez produktnega ključa). Zlasti v primeru računalnikov MacBook ne bi smel biti nikoli prej na noben način povezan z vašo identiteto. Zato kupujte rabljeno z gotovino od neznanega neznanca, ki ne pozna vaše identitete.


To je namenjeno ublažitvi nekaterih prihodnjih težav v primeru spletnega uhajanja podatkov (vključno s telemetrijo vašega operacijskega sistema ali aplikacij), ki bi lahko ogrozilo vse edinstvene identifikatorje prenosnika med njegovo uporabo (naslov MAC, naslov Bluetooth in ključ izdelka ...). Prav tako pa se izognete temu, da bi vas izsledili, če bi prenosni računalnik želeli odstraniti.


Če ste ta prenosnik že uporabljali za različne namene (na primer za vsakodnevne dejavnosti), so vsi njegovi identifikatorji strojne opreme verjetno znani in registrirani pri Microsoftu ali Applu. Če je pozneje kateri koli od teh identifikatorjev ogrožen (zlonamerna programska oprema, telemetrija, izkoriščanje, človeške napake ...), lahko vodi nazaj do vas.


Prenosni računalnik mora imeti vsaj 250 GB diskovnega prostora, vsaj 6 GB (najbolje 8 GB ali 16 GB ) pomnilnika RAM in mora omogočati hkratno delovanje več virtualnih strojev. Imeti mora delujočo baterijo, ki zdrži nekaj ur.


Ta prenosni računalnik ima lahko trdi disk (7200 vrtljajev na minuto) ali pogon SSD/NVMe. Obe možnosti imata svoje prednosti in težave, ki bodo podrobneje opisane pozneje.


Vse prihodnje spletne korake, ki jih boste opravili s tem prenosnikom, bi bilo najbolje opraviti iz varnega omrežja, kot je javni Wi-Fi na varnem mestu (glejte poglavje Poiščite nekaj varnih mest s primernim javnim Wi-Fi). Vendar bo treba nekaj korakov najprej izvesti brez povezave.

 

[HEISENBERG]

Nekaj priporočil za prenosni računalnik.

Če si to lahko privoščite, lahko razmislite o nakupu prenosnika Purism Librem(https://puri.sm [Archive.org]) ali prenosnika System76(https://system76.com/ [Archive.org]) ob uporabi Coreboot (kjer je Intel IME tovarniško onemogočen).


V drugih primerih vam močno priporočam, da si poiščete prenosnike poslovnega razreda (kar pomeni, da ne gre za prenosnike potrošniškega/igralnega razreda), če lahko. Na primer, kakšen ThinkPad od Lenova (moj osebni favorit). Tukaj so seznami prenosnikov, ki trenutno podpirajo Libreboot, in drugih, pri katerih lahko sami flashnete Coreboot (ki vam bo omogočil onemogočiti Intel IME ali AMD PSP):

• https://freundschafter.com/research...-intel-me-iamt-and-amd-psp-secure-technology/ [Archive.org]
• https://libreboot.org/docs/hardware/ [Archive.org]
• https://coreboot.org/status/board-status.html [Archive.org]

Ti poslovni prenosniki namreč običajno ponujajo boljše in bolj prilagodljive varnostne funkcije (zlasti v nastavitvah BIOS/UEFI) z daljšo podporo kot večina potrošniških prenosnikov (Asus, MSI, Gigabyte, Acer ...). Zanimive funkcije, ki jih je treba poiskati, so IMHO:

• Boljše nastavitve Secure Boot po meri (kjer lahko selektivno upravljate vse ključe in ne uporabljate samo standardnih)
• gesla HDD/SSD poleg gesel BIOS/UEFI.
• Prenosniki AMD bi lahko bili bolj zanimivi, saj nekateri omogočajo privzeto onemogočanje AMD PSP (AMD-jev ekvivalent Intelovega IME) v nastavitvah BIOS/UEFI. In ker je bil AMD PSP AFAIK revidiran in v nasprotju z IME ni imel nobenih "zlobnih" funkcij. Če pa se odločate za Qubes OS Route, razmislite o Intelu, saj ne podpira AMD-ja s svojim sistemom proti zlobni služabnici.
• Orodja za varno brisanje iz sistema BIOS (še posebej uporabna za pogone SSD/NVMe, glejte Dodatek M: Možnosti BIOS/UEFI za brisanje diskov v različnih blagovnih znamkah).
• Boljši nadzor nad onemogočanjem/izključevanjem izbranih perifernih naprav (vrata USB, Wi-Fis, Bluetooth, kamera, mikrofon ...).
• Boljše varnostne funkcije z virtualizacijo.
• Nativna zaščita pred nepooblaščenimi posegi.
• Daljša podpora s posodobitvami BIOS/UEFI (in poznejšimi varnostnimi posodobitvami BIOS/UEFI).
• Nekatere podpira Libreboot

 

[HEISENBERG]

Nastavitve Bios/UEFI/Firmware vašega prenosnega računalnika.

PC.

Do teh nastavitev lahko dostopate prek zagonskega menija prenosnega računalnika. Tukaj je dober priročnik podjetja HP, ki pojasnjuje vse načine dostopa do BIOS-a v različnih računalnikih: https: //store.hp.com/us/en/tech-takes/how-to-enter-bios-setup-windows-pcs [Archive.org].


Običajno do njega dostopate tako, da ob zagonu (pred operacijskim sistemom) pritisnete določeno tipko (F1, F2 ali Del).


Ko ste tam, morate uporabiti nekaj priporočenih nastavitev:

• Če lahko, popolnoma onemogočite Bluetooth.
• Če lahko, onemogočite biometrične podatke (čitalnike prstnih odtisov), če jih imate. Lahko pa dodate dodatno preverjanje biometrije samo za zagon (pred zagonom), ne pa tudi za dostop do nastavitev BIOS/UEFI.
• Če lahko, onemogočite spletno kamero in mikrofon.
• Omogočite geslo BIOS/UEFI in namesto gesla uporabite dolgo geslo (če lahko) ter poskrbite, da bo to geslo zahtevano:
  
  • dostop do samih nastavitev BIOS/UEFI
  • spreminjanje vrstnega reda zagona
  • zagon/izklop naprave
• Omogočite geslo HDD/SSD, če je ta funkcija na voljo. Ta funkcija bo dodala še eno geslo na sam HDD/SSD (ne v vdelano programsko opremo BIOS/UEFI), ki bo preprečilo uporabo tega HDD/SSD v drugem računalniku brez gesla. Upoštevajte, da je ta funkcija značilna tudi za nekatere proizvajalce in lahko zahteva posebno programsko opremo za odklepanje tega diska v popolnoma drugem računalniku.
• Če lahko, preprečite dostop do možnosti zagona (vrstni red zagona) brez posredovanja gesla BIOS/UEFI.
• Če lahko, onemogočite vrata USB/HDMI ali katera koli druga vrata (Ethernet, Firewire, kartica SD ...).
• Če lahko, onemogočite Intel ME.
• Če lahko, onemogočite AMD PSP (AMD-jev ekvivalent IME, glejte poglavje Vaš procesor).
• Če nameravate uporabljati sistem QubesOS, onemogočite varen zagon, saj ga ne podpira že v izhodišču. Če nameravate uporabljati Linux/Windows, ga vključite.
• Preverite, ali ima BIOS vašega prenosnika možnost varnega brisanja trdega diska/SSD, ki bi lahko bila priročna v primeru potrebe.

Omogočite jih le po potrebi in jih po uporabi spet onemogočite. To lahko pomaga ublažiti nekatere napade v primeru, da je vaš prenosni računalnik zasežen, ko je zaklenjen, vendar še vedno vklopljen, ALI če ste ga morali precej hitro izklopiti in se ga je nekdo polastil (ta tema bo pojasnjena v nadaljevanju tega vodnika).

O varnem zagonu.

Na kratko, gre za varnostno funkcijo UEFI, namenjeno preprečevanju zagona operacijskega sistema, katerega zagonski program ni bil podpisan s posebnimi ključi, shranjenimi v vdelani programski opremi UEFI vašega prenosnega računalnika.


Če operacijski sistemi (ali zaganjalnik) to podpirajo, lahko ključe zaganjalnika shranite v vdelano programsko opremo UEFI in tako preprečite zagon katerega koli nepooblaščenega operacijskega sistema (na primer USB z živim operacijskim sistemom ali kaj podobnega).


Nastavitve Secure Boot so zaščitene z geslom, ki ga nastavite za dostop do nastavitev BIOS/UEFI. Če imate to geslo, lahko onemogočite Secure Boot in omogočite zagon nepodpisanih operacijskih sistemov v vašem sistemu. To lahko pomaga ublažiti nekatere napade Evil-Maid (razloženo v nadaljevanju tega vodnika).


V večini primerov je Secure Boot privzeto onemogočen ali pa je omogočen, vendar v načinu "setup", ki omogoča zagon kateregakoli sistema. Da bi Secure Boot deloval, ga mora vaš operacijski sistem podpirati, nato pa podpisati svoj zagonski program in te podpisne ključe posredovati v vdelano programsko opremo UEFI. Nato boste morali iti v nastavitve BIOS/UEFI in shraniti te potisnjene ključe iz operacijskega sistema ter spremeniti Secure Boot iz nastavitvenega v uporabniški način (ali v nekaterih primerih v način po meri).


Po tem koraku se bodo lahko zagnali samo operacijski sistemi, iz katerih lahko vdelana programska oprema UEFI preveri celovitost zagonskega programa.


Večina prenosnih računalnikov ima nekatere privzete ključe že shranjene v nastavitvah varnega zagona. Običajno so to ključi samega proizvajalca ali nekaterih podjetij, kot je Microsoft. To pomeni, da bo privzeto vedno mogoče zagnati nekatere diske USB tudi z varnim zagonom. Mednje spadajo sistemi Windows, Fedora, Ubuntu, Mint, Debian, CentOS, OpenSUSE, Tails, Clonezilla in številni drugi. Vendar pa sistem QubesOS trenutno sploh ne podpira varnega zagona.


V nekaterih prenosnih računalnikih lahko upravljate te ključe in odstranite tiste, ki jih ne želite, z "načinom po meri", da avtorizirate samo svoj zagonski program, ki ga lahko sami podpišete, če si to resnično želite.


Pred čim vas varuje Secure Boot? Vaš prenosni računalnik ščiti pred zagonom nepodpisanih zagonskih modulov (s strani ponudnika operacijskega sistema), v katere je na primer vnesena zlonamerna programska oprema.


Pred čim vas Secure Boot ne ščiti?

• Secure Boot ne šifrira vašega diska in nasprotnik lahko še vedno samo odstrani disk z vašega prenosnika in iz njega pridobi podatke z uporabo drugega računalnika. Secure Boot je zato brez popolnega šifriranja diska neuporaben.
• Secure Boot vas ne ščiti pred podpisanim zagonskim programom, ki bi bil ogrožen in bi ga podpisal sam proizvajalec (na primer Microsoft v primeru sistema Windows). Večina razširjenih distribucij Linuxa je danes podpisana in se bo zagnala z omogočenim Secure Boot.
• Secure Boot ima lahko pomanjkljivosti in zlorabe kot vsak drug sistem. Če uporabljate star prenosnik, ki nima koristi od novih posodobitev BIOS/UEFI, lahko te ostanejo nepopravljene.

Poleg tega obstaja več napadov na sistem Secure Boot, ki so podrobno razloženi v teh tehničnih videoposnetkih:

• Defcon 22,
  [Invidious]
• BlackHat 2016,
  [Invidious]

Zato je lahko uporaben kot dodaten ukrep proti nekaterim nasprotnikom, ne pa proti vsem. Varni zagon sam po sebi ne šifrira trdega diska. Je dodatna plast, vendar je to vse.


Še vedno priporočam, da ga vklopite, če lahko.

Mac.

Vzemite si trenutek in nastavite geslo za vdelano programsko opremo v skladu z navodili tukaj: https: //support.apple.com/en-au/HT204455 [Archive.org]


Vključite tudi zaščito za ponastavitev gesla za vdelano programsko opremo (na voljo v Catalini) v skladu z dokumentacijo tukaj: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org].


Ta funkcija bo zmanjšala možnost, da bi nekateri nasprotniki uporabili strojne vdore za onemogočanje/obid gesla za vdelano programsko opremo. Upoštevajte, da bo to preprečilo tudi dostop do vdelane programske opreme v primeru popravila.

 

[HEISENBERG]

Fizično zaščitite svoj prenosni računalnik pred nepooblaščenimi posegi.

Na neki točki boste prenosni računalnik neizogibno pustili nekje samega. Z njim ne boste spali in ga vsak dan jemali s seboj povsod. Zato morate poskrbeti, da ga nihče ne bo mogel poškodovati, ne da bi vi to opazili. To je uporabno predvsem proti nekaterim omejenim nasprotnikom, ki proti vam ne bodo uporabili ključa za 5 dolarjev.


Pomembno je vedeti, da lahko nekateri strokovnjaki v vaš prenosni računalnik trivialno enostavno namestijo program za beleženje ključev ali preprosto naredijo klonsko kopijo vašega trdega diska, s katero lahko pozneje s forenzičnimi tehnikami ugotovijo prisotnost šifriranih podatkov na njem (več o tem pozneje).


Tukaj je dobra in poceni metoda za zaščito prenosnega računalnika pred nedovoljenimi posegi z uporabo laka za nohte (z bleščicami) https://mullvad.net/en/help/how-tamper-protect-laptop/ [Archive.org] (s slikami).


Čeprav je to dobra in poceni metoda, lahko vzbudi sume, saj je precej "opazna" in lahko razkrije, da "imate nekaj za skriti". Zato obstajajo bolj prefinjeni načini za dosego enakega rezultata. Lahko na primer naredite bližnjo makro fotografijo zadnjih vijakov prenosnega računalnika ali pa uporabite zelo majhno količino voska iz sveče v enem od vijakov, ki je lahko videti kot običajna umazanija. Nato lahko s primerjavo fotografij vijakov z novimi vijaki preverite, ali je prišlo do nepooblaščenih posegov. Njihova usmerjenost se je morda nekoliko spremenila, če vaš nasprotnik ni bil dovolj previden (zategnil jih je popolnoma enako kot prej). Ali pa je bil vosek na dnu glave vijaka poškodovan v primerjavi s prej.

Enako tehniko lahko uporabite pri priključkih USB, kjer lahko v vtičnico, ki bi jo poškodovali, če bi vanjo vstavili ključ USB, vstavite majhno količino voska sveče.


V bolj tveganih okoljih pred redno uporabo preverite, ali je prenosni računalnik poškodovan.

 

[HEISENBERG]

Pot Whonixa.

Izbira gostiteljskega operacijskega sistema (operacijski sistem, ki je nameščen v vašem prenosnem računalniku).

Na tej poti se bodo v veliki meri uporabljali virtualni stroji, za zagon programske opreme za virtualizacijo pa bodo potrebovali gostiteljski OS. V tem delu vodnika imate na voljo tri priporočene izbire:

• izbrana distribucija Linuxa (razen operacijskega sistema Qubes)
• Windows 10 (po možnosti izdaja Home zaradi odsotnosti programa Bitlocker)
• MacOS (Catalina ali novejša različica)

Poleg tega so velike možnosti, da je ali je bil vaš Mac povezan z računom Apple (ob nakupu ali po prijavi) in bi zato lahko njegovi edinstveni identifikatorji strojne opreme v primeru uhajanja identifikatorjev strojne opreme vodili nazaj do vas.


Linux tudi ni nujno najboljša izbira za anonimnost, odvisno od vašega modela groženj. Uporaba sistema Windows nam bo namreč omogočila priročno uporabo verjetne zanikljivosti (t. i. Deniable Encryption) na ravni operacijskega sistema. Windows je žal hkrati tudi nočna mora zasebnosti, vendar je edina (priročna) možnost za uporabo verjetnega zanikanja na ravni operacijskega sistema. Telemetrija in blokiranje telemetrije v sistemu Windows sta tudi široko dokumentirana, kar bi moralo ublažiti številne težave.


Kaj je torej verjetna zanikanje? To je možnost sodelovanja z nasprotnikom, ki zahteva dostop do vaše naprave/podatkov, ne da bi razkril vašo pravo skrivnost. Vse to z uporabo zanikanja vrednega šifriranja.


Nezaupljiv nasprotnik lahko zahteva geslo za vaš šifrirani prenosni računalnik. Sprva bi lahko zavrnili izdajo kakršnega koli gesla (z uporabo "pravice do molka", "pravice, da se ne obremenjujete"), vendar nekatere države uvajajo zakone, ki to izvzemajo iz teh pravic (ker teroristi in "pomislite na otroke"). V tem primeru boste morda morali razkriti geslo ali pa vas morda čaka zaporna kazen zaradi nespoštovanja sodišča. Tu bo v igri verjetna zanikanost.


Nato lahko razkrijete geslo, vendar bo to geslo omogočilo dostop le do "verodostojnih podatkov" (operacijski sistem za zavajanje). Kriminalisti se bodo dobro zavedali, da je možno, da imate skrite podatke, vendar tega ne bi smeli dokazati (če boste to storili pravilno). Sodelovali boste in preiskovalci bodo imeli dostop do nečesa, vendar ne do tistega, kar dejansko želite skriti. Ker bi moralo biti dokazno breme na njihovi strani, ne bodo imeli druge možnosti, kot da vam verjamejo, razen če bodo imeli dokaz, da imate skrite podatke.


To funkcijo lahko uporabite na ravni operacijskega sistema (verodostojni operacijski sistem in skriti operacijski sistem) ali na ravni datotek, kjer boste imeli šifrirano posodo za datoteke (podobno datoteki zip), v kateri bodo prikazane različne datoteke glede na uporabljeno šifrirno geslo.


To tudi pomeni, da lahko vzpostavite lastno napredno nastavitev "verjetnega zanikanja" z uporabo katerega koli gostiteljskega operacijskega sistema, tako da na primer virtualne stroje shranite v zabojnik Veracrypt s skrito glasnostjo (pazite na sledi v gostiteljskem OS tho, ki bi jih bilo treba očistiti, če je gostiteljski OS trajen, glejte poglavje Nekateri dodatni ukrepi proti forenziki v nadaljevanju). Obstaja projekt za doseganje tega v okviru Tails(https://github.com/aforensics/HiddenVM [Archive.org]), ki bi omogočil, da vaš gostiteljski operacijski sistem ne bi bil obstojen in bi uporabljal verjetnost zanikanja v okviru Tails.


V primeru operacijskega sistema Windows je verjetna možnost zanikanja tudi razlog, da bi morali imeti Windows 10 Home (in ne Pro). Sistem Windows 10 Pro namreč ponuja sistem šifriranja celotnega diska (Bitlocker), medtem ko sistem Windows 10 Home sploh ne ponuja šifriranja celotnega diska. Kasneje bomo za šifriranje uporabili odprtokodno programsko opremo tretje osebe, ki bo omogočila šifriranje celotnega diska v sistemu Windows 10 Home. To vam bo dalo dober (verodostojen) izgovor za uporabo te programske opreme. Medtem ko bi bila uporaba te programske opreme v sistemu Windows 10 Pro sumljiva.


Opomba o operacijskem sistemu Linux: Kaj pa Linux in verjetna možnost zanikanja? Da, tudi v sistemu Linux je mogoče doseči verodostojno zanikanje. Vendar je nastavitev zapletena in IMHO zahteva dovolj visoko raven spretnosti, da verjetno ne potrebujete tega vodnika, ki bi vam pomagal pri poskusu.


Na žalost šifriranje ni čarovnija in pri tem obstajajo nekatera tveganja:

Nevarnosti s šifriranjem.

Ključ za 5 dolarjev.

Ne pozabite, da šifriranje z verjetnim zanikanjem ali brez njega ni srebrna krogla in ne bo uporabno v primeru mučenja. Pravzaprav bi bilo glede na to, kdo bi bil vaš nasprotnik (vaš model grožnje), morda pametno, da sploh ne uporabljate programa Veracrypt (prej TrueCrypt), kot je prikazano v tej predstavitvi: https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org].


Verjetno zanikanje je učinkovito le proti mehkim zakonitim nasprotnikom, ki ne bodo uporabili fizičnih sredstev. Če je mogoče, se izogibajte uporabi programske opreme, ki omogoča verodostojno zanikanje (kot je Veracrypt), če vaš model nevarnosti vključuje trde nasprotnike. Uporabniki sistema Windows naj torej v tem primeru namestijo operacijski sistem Windows Pro kot gostiteljski operacijski sistem in namesto tega uporabijo Bitlocker.


Glej https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [ Archive.org]

Napad zlobne služabnice.

Napadi zlobne služabnice se izvajajo, ko nekdo posega po vašem prenosnem računalniku, medtem ko vas ni. Za namestitev kloni vaš trdi disk, namesti zlonamerno programsko opremo ali program za beleženje ključev. Če lahko klonirajo vaš trdi disk, lahko primerjajo eno sliko vašega trdega diska v času, ko so ga vzeli med vašo odsotnostjo, s trdim diskom, ko vam ga zasežejo. Če ste vmes prenosni računalnik ponovno uporabljali, bodo forenziki morda lahko dokazali obstoj skritih podatkov, če bodo pogledali razlike med obema slikama na mestu, ki bi moralo biti prazno/neizkoriščeno. To bi lahko privedlo do trdnih dokazov o obstoju skritih podatkov. Če v vaš prenosni računalnik namestijo beležilnik ključev ali zlonamerno programsko opremo (programsko ali strojno), bodo lahko od vas preprosto pridobili geslo za poznejšo uporabo, ko ga bodo zasegli. Takšne napade lahko izvedejo na vašem domu, v hotelu, na mejnem prehodu ali kjer koli, kjer pustite svoje naprave brez nadzora.


Ta napad lahko ublažite z naslednjimi ukrepi (kot je bilo priporočeno prej):

• Imejte osnovno zaščito pred nepooblaščenim posegom (kot je bilo pojasnjeno prej), da preprečite fizični dostop do notranjosti prenosnega računalnika brez vaše vednosti. S tem boste preprečili, da bi klonirali vaše diske in brez vaše vednosti namestili fizični beležnik ključev.
• V sistemu BIOS/UEFI, zaščitenem z geslom, onemogočite vsa vrata USB (kot je bilo pojasnjeno prej). Tudi v tem primeru jih ne bodo mogli vklopiti (brez fizičnega dostopa do matične plošče za ponastavitev BIOS-a) in zagnati naprave USB, ki bi lahko klonirala vaš trdi disk ali namestila zlonamerno programsko opremo, ki bi lahko delovala kot beležnica ključev.
• Nastavite gesla BIOS/UEFI/Firmware, da preprečite nepooblaščen zagon nepooblaščene naprave.
• Nekateri operacijski sistemi in programska oprema za šifriranje imajo zaščito pred zlobno služabnico, ki jo lahko omogočite. To velja za Windows/Veracrypt in QubeOS.

Napad s hladnim zagonom.

Napadi s hladnim zagonom so zahtevnejši od napada Evil Maid, vendar so lahko del napada Evil Maid, saj zahtevajo, da se nasprotnik polasti vašega prenosnega računalnika, ko aktivno uporabljate napravo ali kmalu po tem.


Zamisel je precej preprosta, kot je prikazano v tem videoposnetku, lahko nasprotnik teoretično hitro zažene vašo napravo s posebnim ključem USB, ki bi kopiral vsebino RAM-a (pomnilnika) naprave, ko jo izklopite. Če so vrata USB onemogočena ali če se mu zdi, da potrebuje več časa, bi jo lahko odprl in "ohladil" pomnilnik z uporabo pršila ali drugih kemikalij (na primer tekočega dušika), kar bi preprečilo razpad pomnilnika. Nato bi lahko kopirali njegovo vsebino za analizo. Ta izpis pomnilnika bi lahko vseboval ključ za dešifriranje naprave. Pozneje bomo uporabili nekaj načel za njihovo ublažitev.


V primeru verjetnega zanikanja je bilo opravljenih nekaj forenzičnih študij o tehničnem dokazovanju prisotnosti skritih podatkov s preprostim forenzičnim pregledom (brez napada Cold Boot/Evil Maid), vendar so jih druge študije in vzdrževalec Veracrypta izpodbijali, zato se z njimi še ne bi preveč obremenjeval.


Enaki ukrepi, ki se uporabljajo za ublažitev napadov Evil Maid, bi morali veljati tudi za napade Cold Boot z nekaj dodatnimi ukrepi:

• Če vaš operacijski sistem ali programska oprema za šifriranje to omogoča, morate razmisliti o šifriranju ključev tudi v pomnilniku RAM (to je mogoče z operacijskim sistemom Windows/Veracrypt in bo pojasnjeno pozneje)
• Omejiti morate uporabo stanja pripravljenosti za spanje in namesto tega uporabiti izklop ali hibernacijo, da preprečite, da bi šifrirni ključi ostali v pomnilniku RAM, ko računalnik preide v stanje mirovanja. Spanje bo namreč ohranilo moč pomnilnika za hitrejše nadaljevanje dejavnosti. Le hibernacija in izklop bosta dejansko izbrisala ključ iz pomnilnika.

Oglejte si tudi https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.org] in https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org]


Tukaj je tudi nekaj zanimivih orodij, ki jih lahko uporabniki Linuxa upoštevajo za obrambo pred temi:

• https://github.com/0xPoly/Centry [Archive.org] (žal se zdi, da ni vzdrževano, zato sem naredil vilico in zahtevo za posodobitev za Veracrypt https://github.com/AnonymousPlanet/Centry [Archive.org], ki bi morala še vedno delovati)
• https://github.com/hephaest0s/usbkill [Archive.org] (žal se zdi, da je prav tako nevzdrževan)
• https://github.com/Lvl4Sword/Killer [Archive.org]
• https://askubuntu.com/questions/153245/how-to-wipe-ram-on-shutdown-prevent-cold-boot-attacks [Archive.org]
• (operacijski sistem Qubes, samo procesorji Intel) https://github.com/QubesOS/qubes-antievilmaid [Archive.org]

O spanju, hibernaciji in izklopu.

Če želite boljšo varnost, morate prenosnik popolnoma izklopiti vsakič, ko ga pustite brez nadzora ali zaprete pokrov. S tem očistite in/ali sprostite pomnilnik RAM in zagotovite zaščito pred napadi s hladnim zagonom. Vendar pa je to lahko nekoliko neprijetno, saj boste morali ponovno zagnati računalnik in v različne aplikacije vnesti več gesel. Ponovno zaženite različne virtualne računalnike in druge aplikacije. Zato lahko namesto tega uporabite tudi hibernacijo (ni podprta v operacijskem sistemu Qubes OS). Ker je celoten disk šifriran, hibernacija sama po sebi ne bi smela predstavljati velikega varnostnega tveganja, kljub temu pa bo ugasnila prenosnik in počistila pomnilnik, hkrati pa vam bo omogočila, da boste po tem udobno nadaljevali z delom. Nikoli pa ne smete uporabljati standardne funkcije mirovanja, zaradi katere bo računalnik ostal vklopljen, pomnilnik pa vklopljen. To je vektor napada na napade zlobne služabnice in hladnega zagona, o katerih smo že govorili. V vklopljenem pomnilniku so namreč shranjeni šifrirni ključi vašega diska (šifrirani ali ne), do katerih lahko izurjen nasprotnik dostopa.


V tem priročniku bodo pozneje podana navodila, kako omogočiti hibernacijo v različnih gostiteljskih operacijskih sistemih (razen Qubes OS), če se ne želite vsakič izklopiti.

Lokalno uhajanje podatkov (sledi) in forenzični pregled.

Kot je bilo na kratko omenjeno prej, gre za uhajanje podatkov in sledi operacijskega sistema in aplikacij, ko v računalniku izvajate kakršno koli dejavnost. Ti se večinoma nanašajo na šifrirane vsebnike datotek (z verjetnim zanikanjem ali brez njega) kot na šifriranje celotnega operacijskega sistema. Takšna uhajanja so manj "pomembna", če je šifriran celoten operacijski sistem (če niste prisiljeni razkriti gesla).


Recimo, da imate na primer šifriran ključ USB z Veracryptom in omogočeno verjetnostjo zanikanja. Odvisno od gesla, ki ga uporabite pri namestitvi ključa USB, se bo odprla vabeča mapa ali občutljiva mapa. V teh mapah bodo dokumenti/podatki, namenjeni za laž, v mapi za laž, in občutljivi dokumenti/podatki v mapi za občutljive podatke.


V vseh primerih boste (najverjetneje) te mape odprli z Raziskovalcem Windows, Finderjem MacOS ali katerim koli drugim orodjem in naredili, kar ste načrtovali. Morda boste urejali dokument v občutljivi mapi. Morda boste iskali dokument v mapi. Morda boste enega izbrisali ali si ogledali občutljiv videoposnetek s programom VLC.


Vse te aplikacije in operacijski sistem lahko hranijo dnevnike in sledi te uporabe. To lahko vključuje celotno pot do mape/datotek/diskov, čas dostopa do njih, začasne predpomnilnike teh datotek, sezname "zadnjih" v posameznih aplikacijah, sistem indeksiranja datotek, ki bi lahko indeksiral disk, in celo sličice, ki bi se lahko ustvarile.


Tukaj je nekaj primerov takih uhajanj:

Windows.

• V registru sistema Windows so shranjene različne zgodovine dostopnih volumnov/datotek/pomnilnikov, do katerih se tiho shranjuje.
• Indeksiranje sistema Windows, ki privzeto hrani sledove datotek, ki so prisotne v vaši uporabniški mapi.
• seznami nedavnih dokumentov (imenovani tudi skočni seznami) v sistemu Windows in različnih aplikacijah, ki hranijo sledi nedavno dostopanih dokumentov.
• Še veliko več sledi v različnih dnevnikih, za več vpogleda si oglejte ta zanimiv plakat: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org]

MacOS.

• Gatekeeper290 in XProtect, ki v lokalni zbirki podatkov in atributih datotek hranita sledi zgodovine prenosov.
• Indeksiranje Spotlight
• Seznami nedavnih dokumentov v različnih aplikacijah, ki hranijo sledove nedavno dostopanih dokumentov.
• Začasne mape, ki hranijo različne sledi uporabe aplikacij in dokumentov.
• Dnevniki MacOS
• ...

Linux.

• Linux: indeksiranje sledilcev
• Zgodovina sistema Bash
• Dnevniki USB
• Zadnji seznami v različnih aplikacijah, ki hranijo sledove nedavno dostopanih dokumentov.
• Dnevniki Linuxa
• ...

Forenziki lahko vse te uhajanja podatkov uporabijo (glejte poglavje Lokalno uhajanje podatkov in forenziki), da dokažejo obstoj skritih podatkov in onemogočijo vaše poskuse uporabe verjetnega zanikanja ter ugotovijo vaše različne občutljive dejavnosti.


Zato bo pomembno, da uporabite različne ukrepe za preprečitev tega forenzikom s preprečevanjem in čiščenjem teh uhajanj/sledi ter, kar je še pomembneje, z uporabo šifriranja celotnega diska, virtualizacije in kompartmentalizacije.


Kriminalisti ne morejo pridobiti lokalnih uhajanj podatkov iz operacijskega sistema, do katerega nimajo dostopa. Večino teh sledi pa boste lahko očistili z brisanjem diska ali z varnim brisanjem virtualnih strojev (kar pri diskih SSD ni tako enostavno, kot se vam zdi).


Nekatere tehnike čiščenja bodo kljub temu zajete v delu "Zakrivanje sledi" tega vodnika na samem koncu.

Spletno uhajanje podatkov.

Ne glede na to, ali uporabljate preprosto šifriranje ali šifriranje z verjetnim zanikanjem. Tudi če ste svoje sledi zakrili v samem računalniku. Še vedno obstaja nevarnost spletnega uhajanja podatkov, ki lahko razkrije prisotnost skritih podatkov.


Telemetrija je vaš sovražnik. Kot je pojasnjeno prej v tem vodniku, lahko telemetrija operacijskih sistemov, pa tudi aplikacij, pošlje na splet osupljive količine zasebnih podatkov.


V primeru operacijskega sistema Windows bi lahko te podatke na primer uporabili za dokazovanje obstoja skritega operacijskega sistema / zvezka v računalniku in bi bili zlahka na voljo pri Microsoftu. Zato je izjemno pomembno, da telemetrijo onemogočite in blokirate z vsemi razpoložljivimi sredstvi. Ne glede na to, kateri operacijski sistem uporabljate.

Zaključek.

Nikoli ne smete izvajati občutljivih dejavnosti iz nešifriranega sistema. In tudi če je šifriran, verjetno nikoli ne smete izvajati občutljivih dejavnosti iz samega gostiteljskega operacijskega sistema. Namesto tega uporabite virtualni stroj, da boste lahko učinkovito izolirali in razdelili svoje dejavnosti ter preprečili lokalno uhajanje podatkov.


Če imate malo ali nič znanja o Linuxu ali če želite uporabiti verodostojno zanikanje v celotnem operacijskem sistemu, vam priporočam, da zaradi udobja izberete Windows (ali se vrnete na pot Tails). Ta vodnik vam bo pomagal, da ga čim bolj utrdite in tako preprečite uhajanje podatkov. Ta vodnik vam bo pomagal tudi pri čim večji zaščiti sistemov MacOS in Linux za preprečevanje podobnih uhajanj.


Če vas ne zanima verjetnost zanikanja za celoten operacijski sistem in se želite naučiti uporabljati Linux, vam močno priporočam, da se odločite za Linux ali pot Qubes, če to omogoča vaša strojna oprema.


V vseh primerih gostiteljskega operacijskega sistema nikoli ne smete uporabljati za neposredno izvajanje občutljivih dejavnosti. Gostiteljski operacijski sistem se bo uporabljal samo za povezavo z javno dostopno točko Wi-Fi. Med izvajanjem občutljivih dejavnosti bo ostal neuporabljen in ga v idealnem primeru ne bi smeli uporabljati za nobeno od svojih vsakodnevnih dejavnosti.


Razmislite tudi o branju https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org]

 

[HEISENBERG]

Gostiteljski operacijski sistem Linux.

Kot je bilo že omenjeno, ne priporočam uporabe vsakdanjega prenosnega računalnika za zelo občutljive dejavnosti. Ali vsaj ne priporočam, da za te namene uporabljate svoj krajevni operacijski sistem. To bi lahko povzročilo neželeno uhajanje podatkov, ki bi jih lahko uporabili za vašo deanonimizacijo. Če imate za to namenjen prenosni računalnik, morate znova namestiti svež in čist operacijski sistem. Če ne želite izbrisati prenosnega računalnika in začeti znova, razmislite o poti z repom ali nadaljujte na lastno odgovornost.


Priporočam tudi, da začetno namestitev opravite popolnoma brez povezave, da se izognete uhajanju podatkov.


Vedno si morate zapomniti, da kljub ugledu glavne distribucije Linuxa (na primer Ubuntu) niso nujno bolj varne od drugih sistemov, kot sta MacOS in Windows. Za razumevanje, zakaj je tako, si oglejte to referenco https://madaidans-insecurities.github.io/linux.html [Archive.org].

Šifriranje celotnega diska.

Pri Ubuntuju sta dve možnosti:

• (Šifriranje kot del postopka namestitve: https: //ubuntu.com/tutorials/install-ubuntu-desktop [Archive.org]
  
  • Ta postopek zahteva popolno brisanje celotnega diska (čista namestitev).
  • Samo potrdite možnost "Šifriranje nove namestitve Ubuntuja za varnost".
• (Težavno, a mogoče) Šifrirajte po namestitvi: https://help.ubuntu.com/community/ManualFullSystemEncryption [Archive.org]

Za druge distribucije boste morali dokumentirati sami, vendar bo verjetno podobno. Šifriranje med namestitvijo je v kontekstu tega vodnika le veliko lažje.

Zavrnite/izključite kakršno koli telemetrijo.

• Med namestitvijo se prepričajte, da ne dovolite zbiranja podatkov, če se vam to ponudi.
• Če niste prepričani, se prepričajte, da niste omogočili nobene telemetrije, in po potrebi sledite temu vodniku https://vitux.com/how-to-force-ubuntu-to-stop-collecting-your-data-from-your-pc/ [Archive.org]
• Katera koli druga distribucija: Če je telemetrija na voljo, boste morali sami dokumentirati in ugotoviti, kako jo onemogočiti.

Onemogočite vse nepotrebno.

• Če je Bluetooth omogočen, ga onemogočite po tem vodniku https://www.addictivetips.com/ubuntu-linux-tips/disable-bluetooth-in-ubuntu/ [Archive.org ] ali z naslednjim ukazom:
  
  • sudo systemctl disable bluetooth.service --force
• Onemogočite indeksiranje, če je privzeto omogočeno (Ubuntu >19.04), tako da sledite temu vodniku https://www.linuxuprising.com/2019/07/how-to-completely-disable-tracker.html [Archive.org] ali izdate naslednje ukaze:
  
  • sudo systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service
    
    • Če napaka navaja, da neka storitev ne obstaja, jo lahko mirno ignorirate.
  • sudo tracker reset -hard

Hibernacija.

Kot je bilo že pojasnjeno, ne smete uporabljati funkcij mirovanja, temveč morate ugasniti ali hibernirati prenosni računalnik, da bi ublažili nekatere napade zlobne služabnice in hladnega zagona. Žal je ta funkcija v številnih distribucijah Linuxa, vključno z Ubuntujem, privzeto onemogočena. Lahko jo omogočite, vendar morda ne bo delovala po pričakovanjih. Te informacije upoštevajte na lastno odgovornost. Če tega ne želite storiti, nikoli ne uporabljajte funkcije mirovanja in se namesto tega izklopite (in verjetno nastavite obnašanje zapiranja pokrova na izklop namesto na mirovanje).


Če želite omogočiti funkcijo Hibernate, sledite enemu od teh navodil:

• https://www.how2shout.com/linux/how-to-hibernate-ubuntu-20-04-lts-focal-fossa/ [Archive.org]
• http://www.lorenzobettini.it/2020/07/enabling-hibernation-on-ubuntu-20-04/ [Archive.org]
• https://blog.ivansmirnov.name/how-to-set-up-hibernate-on-ubuntu-20-04/ [Archive.org]

Ko je funkcija Hibernate omogočena, spremenite obnašanje tako, da bo vaš prenosni računalnik prešel v stanje hibernacije, ko boste zaprli pokrov, tako da sledite temu vodniku za Ubuntu 20.04 http://ubuntuhandbook.org/index.php/2020/05/lid-close-behavior-ubuntu-20-04/ [Archive.org] in temu vodniku za Ubuntu 18.04 https://tipsonubuntu.com/2018/04/28/change-lid-close-action-ubuntu-18-04-lts/ [Archive.org].


Na žalost to ne bo očistilo ključa iz pomnilnika neposredno iz pomnilnika med hibernacijo. Da bi se temu izognili na račun nekaj zmogljivosti, lahko razmislite o šifriranju datoteke izmenjevalnika po tem priročniku: https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap [Archive.org]


Te nastavitve bi morale ublažiti napade s hladnim zagonom, če lahko hibernirate dovolj hitro.

Omogočite naključno določanje naslovov MAC.

• Ubuntu, sledite tem korakom: https: //help.ubuntu.com/community/AnonymizingNetworkMACAddresses [Archive.org].
• Katera koli druga distribucija: dokumentacijo boste morali poiskati sami, vendar bi morala biti precej podobna navodilom za Ubuntu.
• Upoštevajte to navodilo, ki bi moralo še vedno delovati: https://josh.works/shell-script-basics-change-mac-address [Archive.org]

Hardening Linux.

Kot lažji uvod za nove uporabnike Linuxa si oglejte

[Invidious]


Za bolj poglobljene in napredne možnosti si oglejte:

• Ta odličen vodnik: https: //madaidans-insecurities.github.io/guides/linux-hardening.html [Archive.org]
• Ta odličen vir wiki: https: //wiki.archlinux.org/title/Security [Archive.org]
• Te odlične skripte, ki temeljijo na zgornjem vodniku in wikiju: https: //codeberg.org/SalamanderSecurity/PARSEC [Archive.org]

Nastavitev varnega brskalnika.

Glej Dodatek G: Varni brskalnik v gostiteljskem operacijskem sistemu.

 

[HEISENBERG]

Gostiteljski operacijski sistem MacOS.

Opomba: Ta priročnik trenutno (še) ne podpira računalnikov MacBook ARM M1. Zaradi programa Virtualbox, ki še ne podpira te arhitekture. Vendar bi bilo to mogoče, če bi uporabili komercialna orodja, kot sta VMWare ali Parallels, vendar ta vodnik teh orodij ne obravnava.


Kot je bilo že omenjeno, ne priporočam uporabe vašega vsakdanjega prenosnega računalnika za zelo občutljive dejavnosti. Vsaj ne priporočam, da bi za to uporabljali svoj operacijski sistem na kraju samem. To bi lahko povzročilo neželeno uhajanje podatkov, ki bi jih lahko uporabili za vašo deanonimizacijo. Če imate za to namenjen prenosni računalnik, morate znova namestiti svež in čist operacijski sistem. Če ne želite izbrisati prenosnega računalnika in začeti znova, razmislite o poti z repom ali nadaljujte na lastno odgovornost.


Priporočam tudi, da začetno namestitev opravite popolnoma brez povezave, da se izognete uhajanju podatkov.


S tem računalnikom Mac se nikoli ne prijavite v račun Apple.

Med namestitvijo.

• Ostani brez povezave
• ob pozivu onemogočite vse zahteve po izmenjavi podatkov, vključno z lokacijskimi storitvami
• Ne prijavljajte se v Apple
• Ne omogočite Siri

Okrepitev sistema MacOS.

Kot lažji uvod za nove uporabnike sistema MacOS razmislite o

[Invidious]


Če se želite bolj poglobiti v varovanje in utrjevanje sistema MacOS, priporočam, da si preberete ta vodnik GitHub, ki naj bi pokril veliko vprašanj: https://github.com/drduh/macOS-Security-and-Privacy-Guide [Archive.org]


Tukaj so osnovni koraki, ki jih morate opraviti po namestitvi brez povezave:

Omogočite geslo strojne programske opreme z možnostjo "disable-reset-capability".

Najprej morate nastaviti geslo za vdelano programsko opremo po tem vodniku družbe Apple: https: //support.apple.com/en-us/HT204455 [Archive.org]


Žal so nekateri napadi še vedno mogoči in nasprotnik lahko onemogoči to geslo, zato morate upoštevati tudi ta vodnik, da preprečite onemogočanje gesla vdelane programske opreme od kogar koli, vključno z družbo Apple: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org]

Omogočite hibernacijo namesto spanja.

Tudi to je namenjeno preprečevanju nekaterih napadov s hladnim zagonom in napadov z zlobno služabnico, saj izklopi pomnilnik RAM in očisti šifrirni ključ, ko zaprete pokrov. Vedno morate uporabiti hibernacijo ali mirovanje. V operacijskem sistemu MacOS ima funkcija hibernacije celo posebno možnost, da ob hibernaciji iz pomnilnika posebej počisti šifrirni ključ (medtem ko boste v drugih operacijskih sistemih morda morali počakati, da se pomnilnik razgradi). Tudi tokrat v nastavitvah ni preprostih možnosti za to, zato bomo morali to namesto tega storiti tako, da zaženemo nekaj ukazov za omogočanje hibernacije:

• Odprite terminal
• Zaženite: sudo pmset -a destroyfvkeyonstandby 1
  
  • Ta ukaz bo MacOS-u naročil, naj uniči ključ Filevault v stanju pripravljenosti (spanje).
• Izvedite: sudo pmset -a hibernatemode 25
  
  • Ta ukaz bo MacOS-u naročil, naj med spanjem izklopi pomnilnik, namesto da bi uporabil hiberniranje, ki ohranja pomnilnik vklopljen. To bo povzročilo počasnejše prebujanje, vendar bo podaljšalo življenjsko dobo baterije.

Ko zaprete pokrov svojega MacBooka, bo ta namesto v stanju mirovanja prešel v stanje hibernacije, kar bo omililo poskuse izvajanja napadov s hladnim zagonom.


Poleg tega morate nastaviti tudi samodejno mirovanje (Nastavitve > Energija), da bo MacBook samodejno prešel v stanje hibernacije, če bo ostal brez nadzora.

Onemogočite nepotrebne storitve.

V nastavitvah onemogočite nekatere nepotrebne nastavitve:

• Onemogočite Bluetooth
• onemogočite kamero in mikrofon
• onemogočite lokacijske storitve
• onemogočite funkcijo Airdrop
• Onemogočite indeksiranje

Preprečite klice Apple OCSP.

To so zloglasni klici "nezaklenljive telemetrije" iz sistema MacOS Big Sur, ki so razkriti tukaj: https://sneak.berlin/20201112/your-computer-isnt-yours/ [Archive.org]


Poročanje OCSP lahko blokirate z naslednjim ukazom v terminalu:

• V primeru, da se vam zdi, da se je OCSP prijavilo, lahko uporabite naslednji ukaz: sudo sh -c 'echo "127.0.0.1 ocsp.apple.com" >> /etc/hosts'.

Vendar pa bi morali pred ukrepanjem verjetno sami dokumentirati dejanski problem. Ta stran je dober začetek: https://blog.jacopo.io/en/post/apple-ocsp/ [Archive.org]


Vse je odvisno od vas. Jaz bi ga blokiral, ker ne želim, da moj operacijski sistem brez mojega posebnega soglasja pošilja telemetrijo matični ladji. Nobenega.

Omogočite šifriranje celotnega diska (Filevault).

V skladu s tem delom vodnika morate v Macu omogočiti šifriranje celotnega diska s programom Filevault: https: //github.com/drduh/macOS-Security-and-Privacy-Guide#full-disk-encryption [Archive.org]


Pri omogočanju bodite previdni. Na poziv ne shranite obnovitvenega ključa pri Applu (to ne bi smelo biti problematično, saj bi morali biti na tej stopnji brez povezave). Očitno ne želite, da bi tretja oseba imela vaš obnovitveni ključ.

Naključno določanje naslovov MAC.

Na žalost MacOS ne ponuja priročnega načina za naključno določanje naslova MAC, zato boste morali to storiti ročno. Ta se ponastavi ob vsakem ponovnem zagonu, zato ga boste morali vsakič znova izvesti, da pri povezovanju z različnimi omrežji Wi-Fis ne boste uporabljali svojega dejanskega naslova MAC.


To lahko storite z naslednjimi ukazi v terminalu (brez oklepajev):

• (Izklopite Wi-Fi) networksetup -setairportpower en0 off
• (spremenite naslov MAC) sudo ifconfig en0 ether 88:63:11:11:11:11:11
• (Vklopite Wi-Fi) networksetup -setairportpower en0 on

Nastavitev varnega brskalnika.

Glejte Dodatek G: Varni brskalnik v gostiteljskem operacijskem sistemu

Gostiteljski operacijski sistem Windows.

Kot je bilo že omenjeno, ne priporočam uporabe vašega vsakdanjega prenosnega računalnika za zelo občutljive dejavnosti. Vsaj ne priporočam, da za te namene uporabljate svoj operacijski sistem na kraju samem. To bi lahko povzročilo neželeno uhajanje podatkov, ki bi jih lahko uporabili za vašo deanonimizacijo. Če imate za to namenjen prenosni računalnik, morate znova namestiti svež in čist operacijski sistem. Če ne želite izbrisati prenosnega računalnika in začeti znova, razmislite o poti z repom ali nadaljujte na lastno odgovornost.


Priporočam tudi, da začetno namestitev opravite popolnoma brez povezave, da se izognete uhajanju podatkov.

Namestitev.

V skladu z Dodatkom A: Namestitev operacijskega sistema Windows


Za lažji uvod si oglejte

[Invidious]

Omogočite naključno izbiranje naslovov MAC.

MAC naslov morate naključno nastaviti, kot je bilo pojasnjeno prej v tem priročniku:


Vnesite Nastavitve > Omrežje in internet > Wi-Fi > Omogoči naključne strojne naslove


Uporabite lahko tudi to brezplačno programsko opremo: https: //technitium.com/tmac/ [Archive.org]

Nastavitev varnega brskalnika.

Glejte Dodatek G: Varni brskalnik v gostiteljskem operacijskem sistemu

Omogočite nekaj dodatnih nastavitev zasebnosti v gostiteljskem operacijskem sistemu.

Glejte Dodatek B: Dodatne nastavitve zasebnosti v operacijskem sistemu Windows

Šifriranje gostiteljskega operacijskega sistema Windows.

Če nameravate uporabljati verodostojno zanikanje v celotnem sistemu.

Veracrypt je programska oprema, ki jo priporočam za šifriranje celotnega diska, šifriranje datotek in verodostojno zanikanje. Gre za vilico znanega, vendar zastarelega in nevzdrževanega programa TrueCrypt. Uporablja se lahko za

• Enostavno šifriranje celotnega diska (vaš trdi disk je šifriran z eno geslo).
• šifriranje celotnega diska z verjetnim zanikanjem (to pomeni, da se glede na geslo, vneseno ob zagonu, zažene bodisi lažnivi operacijski sistem bodisi skriti operacijski sistem).
• Enostavno šifriranje vsebnika datotek (gre za veliko datoteko, ki jo boste lahko v Veracryptu namestili, kot da bi šlo za zunanji disk, na katerega boste shranili šifrirane datoteke).
• Posoda za datoteke z verjetnim zanikanjem (gre za enako veliko datoteko, vendar boste glede na geslo, ki ga boste uporabili pri njeni namestitvi, namestili bodisi "skriti volumen" bodisi "vabeči volumen").

Po mojem vedenju je to edina (priročna in uporabna za vsakogar) brezplačna, odprtokodna in odprto revidirana programska oprema za šifriranje, ki zagotavlja tudi verjetnost zanikanja za splošno uporabo in deluje z Windows Home Edition.


Prenesite in namestite program Veracrypt z: https://www.veracrypt.fr/en/Downloads.html [Archive.org]


Po namestitvi si vzemite nekaj časa in preglejte naslednje možnosti, ki bodo pomagale ublažiti nekatere napade:

• Šifrirajte pomnilnik z možnostjo Veracrypt (nastavitve > zmogljivost/možnosti gonilnika > šifrirati RAM) za ceno 5-15 % zmogljivosti. Ta nastavitev bo onemogočila tudi hibernacijo (ki ob hibernaciji ne počisti ključa) in namesto tega v celoti šifrirala pomnilnik ter tako ublažila nekatere napade s hladnim zagonom.
• Omogočite možnost Veracrypt za brisanje ključev iz pomnilnika, če vstavite novo napravo (sistem > nastavitve > varnost > brisanje ključev iz pomnilnika, če vstavite novo napravo). To bi lahko pomagalo v primeru, da je sistem zasežen, ko je še vedno vklopljen (vendar zaklenjen).
• Omogočite možnost Veracrypt za nameščanje volumnov kot izmenljivih nosilcev (nastavitve > nastavitve > mount volume as removable media). To bo preprečilo, da bi sistem Windows v dnevnike dogodkov zapisal nekaj zapisov o vaših namestitvah, in preprečilo uhajanje nekaterih lokalnih podatkov.
• Bodite previdni in se dobro zavedajte razmer, če začutite kaj čudnega. Čim prej ugasnite prenosni računalnik.
• Čeprav novejše različice Veracrypta podpirajo Secure Boot, priporočam, da ga onemogočite v BIOS-u, saj imam raje sistem Veracrypt Anti-Evil Maid kot Secure Boot.

Če ne želite uporabljati šifriranega pomnilnika (ker bi to lahko predstavljalo težavo pri zmogljivosti), morate namesto spanja omogočiti vsaj hibernacijo. To ne bo počistilo ključev iz pomnilnika (še vedno ste ranljivi za napade s hladnim zagonom), vendar bi jih moralo vsaj nekoliko ublažiti, če ima vaš pomnilnik dovolj časa za razgradnjo.


Več podrobnosti pozneje v razdelku Pot A in B: Enostavno šifriranje s programom Veracrypt (vadnica za Windows).

Če ne nameravate uporabljati verjetnega zanikanja na ravni celotnega sistema.

V tem primeru priporočam uporabo programa BitLocker namesto programa Veracrypt za šifriranje celotnega diska. Razlog za to je, da BitLocker v nasprotju z Veracryptom ne ponuja možnosti verjetnega zanikanja. Trdoživi nasprotnik potem nima nobene spodbude za nadaljevanje svojega "okrepljenega" zasliševanja, če razkrijete geslo.


Običajno bi morali imeti v tem primeru nameščen operacijski sistem Windows Pro, namestitev programa BitLocker pa je precej preprosta.


V osnovi lahko sledite navodilom tukaj: https: //support.microsoft.com/en-us...cryption-0c453637-bc88-5f74-5105-741561aae838 [Archive.org]


Tukaj pa so opisani naslednji koraki:

• Kliknite meni sistema Windows
• Vnesite "Bitlocker".
• Kliknite "Upravljanje Bitlockerja".
• Kliknite "Vklopite Bitlocker" na sistemskem pogonu
• Sledite navodilom
  
  • Obnovitvenega ključa ne shranite v Microsoftov račun, če se pojavi poziv.
  • Ključ za obnovitev shranite samo na zunanji šifrirani disk. Če želite to zaobiti, ključ za obnovitev natisnite s tiskalnikom Microsoft Print to PDF in ključ shranite v mapo Dokumenti.
  • Šifrirajte celoten pogon (ne šifrirajte samo uporabljenega prostora na disku).
  • Uporabite "Nov način šifriranja"
  • Zaženite preverjanje programa BitLocker
  • Ponovno zaženite
• Šifriranje bi se zdaj moralo ne začeti v ozadju (preverite lahko tako, da kliknete ikono Bitlocker v spodnjem desnem kotu opravilne vrstice).

Omogočite hibernacijo (neobvezno).

Ponovno, kot je bilo pojasnjeno prej. Nikoli ne smete uporabljati funkcije mirovanja, da ublažite nekatere napade hladnega zagona in napade zlobne služabnice. Namesto tega se ugasnite ali preklopite v stanje hibernacije. Prenosni računalnik morate torej preklopiti iz stanja mirovanja v stanje hibernacije, ko zaprete pokrov ali ko prenosni računalnik preide v stanje spanja.


(Upoštevajte, da hibernacije ne morete omogočiti, če ste v programu Veracrypt predhodno omogočili šifriranje pomnilnika RAM).


Razlog za to je, da bo hibernacija dejansko popolnoma izklopila vaš prenosnik in očistila pomnilnik. Pri spanju pa bo pomnilnik ostal vklopljen (vključno z vašim dešifrirnim ključem) in bi lahko bil vaš prenosnik ranljiv za napade s hladnim zagonom.


Privzeto vam operacijski sistem Windows 10 morda ne ponuja te možnosti, zato jo omogočite po tem Microsoftovem navodilu: https://docs.microsoft.com/en-us/tr.../deployment/disable-and-re-enable-hibernation [Archive.org]

• Odprite ukazno vrstico skrbnika (desni klik na ukazno vrstico in "Zaženi kot skrbnik").
• Zaženite: powercfg.exe /hibernate on
• Zdaj zaženite dodatni ukaz: **powercfg /h /type full**
  
  • Ta ukaz bo poskrbel, da bo vaš način hibernacije poln, in bo popolnoma očistil pomnilnik (ne varno).

Po tem morate iti v nastavitve napajanja:

• Odprite nadzorno ploščo
• Odprite Sistem in varnost
• Odprite Možnosti napajanja
• Odprite "Izberi, kaj počne gumb za vklop".
• Spremenite vse od mirovanja do hibernacije ali izklopa
• Vrnite se na Možnosti napajanja
• Izberite Change Plan Settings (Spremeni nastavitve načrta)
• Izberite Napredne nastavitve napajanja
• Spremenite vse vrednosti spanja za vsak načrt napajanja na 0 (nikoli)
• Prepričajte se, da je hibridno spanje za vsak načrt napajanja izklopljeno
• Omogočite Hibernate After the time you would like
• Onemogočite vse časovnike prebujanja

Odločite se, katero podvrsto boste izbrali.

Zdaj boste morali izbrati naslednji korak med dvema možnostma:

• Pot A: Preprosto šifriranje vašega trenutnega operacijskega sistema
  
  • Prednosti:
    
    • Ne zahteva brisanja prenosnega računalnika
    • Ni težav z uhajanjem lokalnih podatkov
    • Dobro deluje z diskom SSD
    • Deluje s katerim koli operacijskim sistemom
    • Enostavno
  • Proti:
    
    • Nasprotnik vas lahko prisili v razkritje gesla in vseh vaših skrivnosti, pri čemer ne boste imeli možnosti za verodostojno zanikanje.
    • Nevarnost spletnega uhajanja podatkov
• Pot B: Preprosto šifriranje vašega trenutnega operacijskega sistema s poznejšo uporabo verjetnega zanikanja na samih datotekah:
  
  • Prednosti:
    
    • Ne zahteva brisanja prenosnega računalnika.
    • Deluje dobro z diskom SSD
    • Deluje s katerim koli operacijskim sistemom
    • Možnost verjetnega zanikanja pri "mehkih" nasprotnikih
  • Slabosti:
    
    • Nevarnost spletnega uhajanja podatkov
    • Nevarnost uhajanja lokalnih podatkov (kar bo povzročilo več dela pri čiščenju teh uhajanj)
• Pot C: verjetna možnost zanikanja Šifriranje operacijskega sistema (na prenosnem računalniku bosta delovala "skriti operacijski sistem" in "lažni operacijski sistem"):
  
  • Prednosti:
    
    • Ni težav z uhajanjem lokalnih podatkov
    • verjetna zanikljivost je mogoča pri "mehkih" nasprotnikih
  • Slabosti:
    
    • Zahteva operacijski sistem Windows (ta funkcija ni "enostavno" podprta v operacijskem sistemu Linux).
    • Nevarnost spletnega uhajanja podatkov
    • Zahteva popolno brisanje prenosnega računalnika
    • Ni mogoče uporabljati z diskom SSD zaradi zahteve po onemogočanju operacij Trim Operations. To bo sčasoma močno poslabšalo zmogljivost/zdravje vašega pogona SSD.

Kot lahko vidite, pot C ponuja le dve prednosti glede zasebnosti v primerjavi z drugimi in bo uporabna le proti mehkemu zakonitemu nasprotniku. Zapomnite si https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org].


Odločitev, katero pot boste izbrali, je odvisna od vas. Pot A je najmanjša možna pot.


Vedno se prepričajte, da pogosto preverjate nove različice programa Veracrypt, da boste imeli koristi od najnovejših popravkov. To še posebej preverite pred uporabo obsežnih posodobitev sistema Windows, ki bi lahko pokvarile Veracryptov zagonski program in vas poslale v zagonsko zanko.


UPOŠTEVAJTE, DA VERACRYPT po privzeti nastavitvi vedno ponudi sistemsko geslo v pisavi QWERTY (geslo prikaže kot preizkus). To lahko povzroči težave, če pri zagonu uporabljate tipkovnico prenosnega računalnika (na primer AZERTY), saj boste geslo nastavili v QWERTY in ga ob zagonu vnesli v AZERTY. Zato pri testnem zagonu preverite, kakšno postavitev tipkovnice uporablja vaš BIOS. Prijava vam lahko spodleti samo zaradi zamenjave QWERTY/AZERTY. Če se BIOS za zagon uporablja tipkovnico AZERTY, boste morali v programu Veracrypt geslo vnesti v QWERTY.

Pot A in B: Enostavno šifriranje s programom Veracrypt (vadnica za Windows)

Ta korak preskočite, če ste prej namesto tega uporabili program BitLocker.


Za to metodo vam ni treba imeti trdega diska in pri tej poti vam ni treba onemogočiti funkcije Trim. Izpuščanje funkcije Trim bo koristno le za forenzike pri odkrivanju prisotnosti skritega volumna, sicer pa ne bo veliko koristno.


Ta pot je precej preprosta in bo samo šifrirala vaš trenutni operacijski sistem na mestu brez izgube podatkov. Ne pozabite prebrati vseh besedil, ki vam jih prikazuje Veracrypt, da boste v celoti razumeli, kaj se dogaja.

• Zagon programa VeraCrypt
• Pojdite v Nastavitve:
  
  • Nastavitve > Možnosti zmogljivosti/ gonilnika > Šifriranje RAM
  • Sistem > Nastavitve > Varnost > Izbriši ključe iz pomnilnika, če je vstavljena nova naprava
  • Sistem > Nastavitve > Windows > Omogoči varno namizje
• Izberite Sistem
• Izberite Šifriranje sistemskega razdelka/ pogona
• Izberite Normalno (enostavno)
• Izberite možnost Single-Boot
• Izberite AES kot algoritem šifriranja (če želite primerjati hitrosti, kliknite gumb test)
• Izberite SHA-512 kot algoritem za stiskanje (ker zakaj ne)
• Vnesite močno geslo (čim daljše, tem boljše, ne pozabite na Dodatek A2: Smernice za gesla in gesla)
• Zberite nekaj entropije z naključnim premikanjem kazalca, dokler se vrstica ne zapolni
• Kliknite Naprej, ko se prikaže zaslon Generated Keys (Generirani ključi)
• Reševanje diska ali ne reševanje diska, to je odvisno od vas. Priporočam, da ga naredite (za vsak slučaj), le poskrbite, da ga shranite zunaj šifriranega diska (na primer ključ USB ali počakajte in si oglejte konec tega vodnika za navodila o varnih varnostnih kopijah). Ta reševalni disk ne bo shranil vaše geselske fraze in jo boste še vedno potrebovali za uporabo.
• Način brisanja:
  
  • Če v tem prenosnem računalniku še nimate občutljivih podatkov, izberite možnost None
  • Če imate občutljive podatke na disku SSD, bi moral za to poskrbeti že sam program Trim, vendar bi priporočal 1 prehod (naključni podatki), da se prepričate.
  • Če imate občutljive podatke na trdem disku, ni funkcije Trim, priporočam pa vsaj en prehod.
• Preizkusite svojo nastavitev. Veracrypt bo zdaj ponovno zagnal vaš sistem, da bi pred šifriranjem preizkusil zagonsko napravo. Ta preskus mora biti uspešno opravljen, da se šifriranje nadaljuje.
• Ko se računalnik znova zažene in je test uspešno opravljen. Veracrypt vas bo pozval, da začnete postopek šifriranja.
• Začnite šifriranje in počakajte, da se konča.
• Končali ste, preskočite pot B in nadaljujte z naslednjimi koraki.

Sledil bo še en razdelek o ustvarjanju šifriranih vsebnikov datotek z verjetnim zanikanjem v operacijskem sistemu Windows.

Pot B: Šifriranje Plausible Deniability s skritim operacijskim sistemom (samo Windows)

To je podprto samo v operacijskem sistemu Windows.


To je priporočljivo samo na pogonu HDD. To ni priporočljivo na pogonu SSD.


Vašega skritega operacijskega sistema ne smete aktivirati (z MS produktnim ključem). Zato vam bo ta pot priporočila in vas vodila skozi popolnoma čisto namestitev, ki bo izbrisala vse v vašem prenosniku.


Preberite Veracryptovo dokumentacijo https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org] (Proces ustvarjanja dela Hidden Operating System) in https://www.veracrypt.fr/en/Security Requirements for Hidden Volumes.html [Archive.org] (Varnostne zahteve in previdnostni ukrepi v zvezi s skritimi zvezki).


Tako bo videti vaš sistem po končanem postopku:

(Ilustracija iz dokumentacije Veracrypt, https://veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org])


Kot lahko vidite, ta postopek od začetka zahteva, da imate na trdem disku dve particiji.


Ta postopek bo naredil naslednje:

• Šifrira vaš drugi razdelek (zunanji volumen), ki bo videti kot prazen neformatiran disk iz vabečega operacijskega sistema.
• vam ponudi možnost, da kopirate nekaj vsebine v zunanjem volumnu.
  
  • Tu boste kopirali svojo zbirko animacij in pornografije z zunanjega trdega diska na zunanji volumen.
• Ustvarite skriti volumen znotraj zunanjega volumna te druge particije. Tu bo nameščen skriti operacijski sistem.
• Na skrito particijo klonirajte trenutno delujočo namestitev sistema Windows 10.
• Izbrišite trenutno nameščeno namestitev sistema Windows 10.
• To pomeni, da bo vaš trenutni operacijski sistem Windows 10 postal skriti operacijski sistem Windows 10 in da boste morali znova namestiti nov operacijski sistem Windows 10.

Obvezno, če imate pogon SSD in to še vedno želite storiti v nasprotju s priporočilom:Kot smo že omenili, bo onemogočanje funkcije Trim skrajšalo življenjsko dobo vašega pogona SSD in sčasoma znatno vplivalo na njegovo zmogljivost (vaš prenosnik bo v nekaj mesecih uporabe postajal vse počasnejši, dokler ne bo postal skoraj neuporaben, nato pa boste morali disk očistiti in vse znova namestiti). Vendar morate to storiti, da preprečite uhajanje podatkov, zaradi katerega bi lahko forenziki onemogočili vaše verodostojno zanikanje. Trenutno je edini način, da to obidete, ta, da imate namesto tega prenosni računalnik s klasičnim pogonom HDD.

 

[HEISENBERG]

Korak 1: Ustvarite ključ USB za namestitev operacijskega sistema Windows 10

Oglejte si Dodatek C: Ustvarjanje namestitvenega medija sistema Windows in se odločite za pot s ključem USB.

Korak 2: Zaženite ključ USB in začnite postopek namestitve operacijskega sistema Windows 10 (skriti operacijski sistem)

• Vstavite ključ USB v prenosni računalnik
• Oglejte si Dodatek A: Namestitev sistema Windows in nadaljujte z namestitvijo sistema Windows 10 Home.

Korak 3: Nastavitve zasebnosti (skriti operacijski sistem)

Glejte Dodatek B: Dodatne nastavitve zasebnosti sistema Windows

Korak 4: Začetek postopka namestitve in šifriranja Veracrypt (skriti operacijski sistem)

Ne pozabite prebrati https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org]


Tega operacijskega sistema ne povežite z znanim omrežjem Wi-Fi. Namestitveni program Veracrypt prenesite iz drugega računalnika in ga s ključem USB kopirajte sem.

• Namestitev programa Veracrypt
• Zagon programa Veracrypt
• Pojdite v Nastavitve:
  
  • (Upoštevajte, da ta možnost ni združljiva s hibernacijo vašega prenosnika in pomeni, da boste morali prenosnik popolnoma ugasniti)
  • Sistem > Nastavitve > Varnost > Izbriši ključe iz pomnilnika, če je vstavljena nova naprava
  • Sistem > Nastavitve > Windows > Omogoči varno namizje
• Pojdite v Sistem in izberite možnost Ustvari skriti operacijski sistem
• Natančno preberite vsa navodila
• Izberite možnost Single-Boot, če se prikaže poziv
• Ustvarite zunanji zvezek z uporabo AES in SHA-512.
• Za zunanji zvezek uporabite ves prostor, ki je na voljo na drugi particiji
• Uporabite močno geslo (ne pozabite na Dodatek A2: Smernice za gesla in gesla)
• Izberite da za velike datoteke
• Ustvarite nekaj entropije s premikanjem miške, dokler se vrstica ne zapolni, in izberite NTFS (ne izberite exFAT, saj želimo, da je ta zunanji volumen videti "normalno", NTFS pa je normalen).
• Formatiranje zunanjega volumna
• Odprite zunanji volumen:
  
  • Na tej stopnji morate na zunanji zvezek kopirati podatke za vabo. Tako bi morali imeti nekaj občutljivih, vendar ne tako občutljivih datotek/pomnilnikov, ki jih je treba kopirati tja. V primeru, da morate razkriti geslo za ta zvezek. To je dobro mesto za zbirko animejev/Mp3/filmov/Porn.
  • Priporočam, da zunanjega volumna ne napolnite preveč ali premalo (približno 40 %). Ne pozabite, da morate pustiti dovolj prostora za skriti operacijski sistem (ki bo enako velik kot prva particija, ki ste jo ustvarili med namestitvijo).
• Uporabite močno geslo za skrito particijo (seveda drugačno kot za zunanjo particijo).
• Zdaj boste ustvarili skriti zvezek, izberite AES in SHA-512
• Z naključnimi premiki miške napolnite vrstico entropije do konca
• oblikujte skriti zvezek
• Nadaljujte s kloniranjem
• Veracrypt bo zdaj znova zagnal in kloniral okno, v katerem ste začeli ta postopek, v skriti zvezek. Ta Windows bo postal vaš skriti operacijski sistem.
• Ko bo kloniranje končano, se bo Veracrypt ponovno zagnal v skritem sistemu
• Veracrypt vas bo obvestil, da je skriti sistem zdaj nameščen, nato pa vas bo pozval, da izbrišete izvirni operacijski sistem (tisti, ki ste ga prej namestili s ključem USB).
• Uporabite 1-pasovno brisanje in nadaljujte.
• Skriti operacijski sistem je zdaj nameščen, nadaljujte z naslednjim korakom

5. korak: Ponovno zaženite in zaženite ključ USB ter znova začnite postopek namestitve operacijskega sistema Windows 10 (vabeči OS).

Zdaj, ko je skriti operacijski sistem v celoti nameščen, boste morali namestiti operacijski sistem Decoy OS.

• Ključ USB vstavite v prenosni računalnik
• Oglejte si Dodatek A: Namestitev operacijskega sistema Windows in ponovno nadaljujte z nameščanjem operacijskega sistema Windows 10 Home (ne nameščajte druge različice in ostanite pri različici Home).

Korak 6: Nastavitve zasebnosti (Decoy OS)

Glejte Dodatek B: Dodatne nastavitve zasebnosti sistema Windows

Korak 7: Začetek postopka namestitve in šifriranja Veracrypt (operacijski sistem Decoy OS)

Zdaj bomo šifrirali operacijski sistem Decoy OS:

• Namestite Veracrypt
• Zagon programa VeraCrypt
• Izberite sistem
• Izberite Encrypt System Partition/Drive
• Izberite Normalno (enostavno)
• Izberite možnost Single-Boot
• Izberite AES kot algoritem šifriranja (če želite primerjati hitrosti, kliknite gumb test)
• Izberite SHA-512 kot algoritem za stiskanje (ker zakaj ne)
• Vnesite kratko šibko geslo (da, to je resno, naredite to, razloženo bo pozneje).
• Zberite nekaj entropije z naključnim premikanjem kazalca, dokler se vrstica ne zapolni.
• Kliknite Naprej, ko se prikaže zaslon Generated Keys (Generirani ključi).
• Reševanje diska ali ne reševanje diska, to je odvisno od vas. Priporočam, da ga naredite (za vsak slučaj), le poskrbite, da ga shranite zunaj šifriranega diska (na primer ključ USB ali počakajte in si oglejte konec tega vodnika za navodila o varnih varnostnih kopijah). Ta reševalni disk ne bo shranil vaše geselske fraze in jo boste še vedno potrebovali za uporabo.
• Način brisanja: Za varnost izberite možnost 1 geslo.
• Predhodno preizkusite svojo nastavitev. Veracrypt bo zdaj ponovno zagnal vaš sistem, da bi pred šifriranjem preizkusil zagonsko napravo. Ta preskus mora biti uspešen, da se šifriranje nadaljuje.
• Ko se računalnik znova zažene in je test uspešno opravljen. Veracrypt vas bo pozval, da začnete postopek šifriranja.
• Začnite šifriranje in počakajte, da se konča.
• Vaš operacijski sistem Decoy OS je zdaj pripravljen za uporabo.

Korak 8: Preizkusite namestitev (zagon v obeh načinih)

Čas je, da preizkusite svojo namestitev.

• Ponovno zaženite računalnik in vnesite geslo skritega operacijskega sistema, zagnati se morate v skritem operacijskem sistemu.
• Ponovno zaženite računalnik in vnesite geslo Decoy OS, zagnati se morate v Decoy OS.
• Zagon Veracrypta v sistemu Decoy OS in namestitev druge particije z geslom Passphrase Outer Volume (namestite jo kot samo za branje, tako da v Mount Options izberete Read-Only) in namestite drugo particijo kot samo za branje, ki bo prikazovala vaše podatke (zbirko Anime/Porn). Zdaj jo montirate kot samo za branje, ker bi lahko, če bi nanjo zapisali podatke, prekrili vsebino iz skritega operacijskega sistema.

Korak 9: Varno spreminjanje podatkov v zunanjem volumnu

Preden preidete na naslednji korak, se morate naučiti, kako varno namestiti zunanji volumen za pisanje vsebine nanj. To je razloženo tudi v tej uradni dokumentaciji Veracrypt https://www.veracrypt.fr/en/Protection of Hidden Volumes.html [Archive.org]


To morate storiti na varnem in zaupanja vrednem mestu.


Načeloma boste svoj zunanji zvezek namestili in hkrati v možnostih namestitve navedli geslo skritega zvezka, da bi zaščitili skriti zvezek pred prepisovanjem. Veracrypt vam bo nato omogočil zapisovanje podatkov na zunanji zvezek brez tveganja, da bi prepisali podatke na skritem zvezku.


Ta operacija dejansko ne bo namestila skritega zvezka in bi morala preprečiti ustvarjanje kakršnih koli forenzičnih dokazov, ki bi lahko privedli do odkritja skritega operacijskega sistema. Vendar bosta med izvajanjem te operacije obe gesli shranjeni v pomnilniku RAM, zato ste lahko še vedno dovzetni za napad s hladnim zagonom. Da bi to ublažili, poskrbite, da bo na voljo tudi možnost šifriranja pomnilnika RAM.

• Odprite program Veracrypt
• Izberite svoj drugi razdelek
• Kliknite Mount
• Kliknite Mount Options
• Označite možnost "Zaščititi skriti volumen..." Možnost
• Vnesite geslo za dostop do skritega operacijskega sistema
• Kliknite V redu
• Vnesite geslo zunanjega volumna
• kliknite OK
• Zdaj bi morali imeti možnost odpiranja in pisanja na zunanji volumen za spreminjanje vsebine (kopiranje/premikanje/izbrisovanje/urejanje...).

Korak 10: Pustite nekaj forenzičnih dokazov o zunanjem zvezku (s podatki za vabo) v operacijskem sistemu za vabo

Operacijski sistem za vabo mora biti čim bolj verodostojen. Prav tako želimo, da vaš nasprotnik misli, da niste tako pametni.


Zato je pomembno, da prostovoljno pustite nekaj forenzičnih dokazov o svoji vabeči vsebini znotraj vabečega OS. Ti dokazi bodo forenzičnim preiskovalcem omogočili, da vidijo, da ste zunanji volumen pogosto namestili, da bi dostopali do njegove vsebine.


Tukaj so dobri nasveti za zapuščanje forenzičnih dokazov:

• Vsebino iz zunanjega zvezka predvajajte v operacijskem sistemu Decoy OS (na primer s programom VLC). Ne pozabite shraniti zgodovine teh posnetkov.
• Urejanje dokumentov in delo v njih.
• Ponovno omogočite indeksiranje datotek v operacijskem sistemu Decoy OS in vključite nameščeni zunanji zvezek.
• Odmontirajte ga in ga pogosto montirajte, da si ogledate kakšno vsebino.
• Kopirajte nekaj vsebine iz zunanjega zvezka v sistem Decoy OS in jo nato nevarno izbrišite (preprosto jo dajte v koš za smeti).
• V sistemu Decoy OS imejte nameščen odjemalec Torrent, ki ga občasno uporabite za prenos podobnih vsebin, ki jih boste pustili v sistemu Decoy OS.
• V sistemu Decoy OS lahko imate nameščen odjemalec VPN z znanim vašim VPN (plačanim brez gotovine).

V sistem Decoy OS ne namestite ničesar sumljivega, kot npr:

• Ta vodnik
• kakršne koli povezave do tega vodnika
• kakršne koli sumljive programske opreme za anonimnost, kot je Tor Browser

Opombe.

Ne pozabite, da boste za delovanje tega scenarija verjetnega zanikanja potrebovali veljavne izgovore:


Vzemite si nekaj časa in še enkrat preberite "Možne razlage za obstoj dveh razdelkov Veracrypt na enem disku" v dokumentaciji Veracrypt tukaj https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org]

• Veracrypt uporabljate, ker uporabljate operacijski sistem Windows 10 Home, ki nima funkcije Bitlocker, vendar ste kljub temu želeli zasebnost.
• Imate dve particiji, ker ste želeli ločiti sistem in podatke zaradi lažje organizacije in ker vam je neki prijatelj geek rekel, da je to boljše za zmogljivost.
• Uporabili ste šibko geslo za enostavno priročno zagonsko namestitev na sistemu in močno dolgo geslo na zunanjem zvezku, ker ste bili preveč leni, da bi ob vsakem zagonu vnesli močno geslo.
• Drugi razdelek ste šifrirali z drugačnim geslom kot Sistem, ker ne želite, da bi kdo iz vaše okolice videl vaše stvari. In tako niste želeli, da bi bili ti podatki na voljo komur koli.

Bodite previdni:

• Skritega zvezka nikoli ne smete namestiti iz operacijskega sistema za vabo (NIKOLI NIKOLI). Če bi to storili, bi ustvarili forenzične dokaze o skritem zvezku v operacijskem sistemu, ki bi lahko ogrozili vaš poskus verjetnega zanikanja. Če ste to vseeno storili (namerno ali po pomoti) iz operacijskega sistema Decoy OS, obstajajo načini za brisanje forenzičnih dokazov, ki bodo pojasnjeni pozneje na koncu tega vodnika.
• Nikoli ne uporabljajte operacijskega sistema Decoy OS iz istega omrežja (javnega omrežja Wi-Fi) kot skriti operacijski sistem.
• Ko namestite zunanji volumen iz operacijskega sistema Decoy OS, v zunanji volumen ne zapisujte nobenih podatkov, saj bi to lahko prekrilo tisto, kar je videti kot prazen prostor, vendar je v resnici vaš skriti operacijski sistem. Vedno ga morate namestiti samo za branje.
• Če želite spremeniti vsebino zunanjega volumna, uporabite ključ USB z operacijskim sistemom Live OS, na katerem bo nameščen program Veracrypt.
• Upoštevajte, da skritega operacijskega sistema ne boste uporabljali za izvajanje občutljivih dejavnosti, to boste storili pozneje iz virtualnega stroja v skritem operacijskem sistemu. Skriti operacijski sistem je namenjen le zaščiti pred mehkim nasprotnikom, ki bi lahko pridobil dostop do vašega prenosnika in vas prisilil, da razkrijete svoje geslo.
• Bodite previdni pri kakršnih koli posegih v vaš prenosni računalnik. Napadi zlobne služabnice lahko razkrijejo vaš skriti operacijski sistem.

 

[HEISENBERG]

Virtualbox v vašem gostiteljskem operacijskem sistemu.

Ne pozabite na Dodatek W: Virtualizacija.


Ta korak in naslednje korake je treba opraviti v gostiteljskem operacijskem sistemu. To je lahko vaš gostiteljski OS s preprostim šifriranjem (Windows/Linux/MacOS) ali vaš skriti OS z verjetnim zanikanjem (samo Windows).


Pri tem bomo v veliki meri uporabljali brezplačno programsko opremo Oracle Virtualbox. To je virtualizacijska programska oprema, v kateri lahko ustvarite virtualne stroje, ki emulirajo računalnik z določenim operacijskim sistemom (če želite uporabiti kaj drugega, na primer Xen, Qemu, KVM ali VMWARE, lahko to storite, vendar ta del vodnika zaradi priročnosti zajema samo Virtualbox).


Zato se morate zavedati, da Virtualbox ni programska oprema za virtualizacijo z najboljšimi rezultati na področju varnosti in da nekatere od prijavljenih težav do danes še niso bile v celoti odpravljene, in če uporabljate Linux z nekoliko več tehničnega znanja, namesto tega razmislite o uporabi KVM, pri čemer sledite vodniku, ki je na voljo v Whonixu tukaj https://www.whonix.org/wiki/KVM [Archive.org] in tukaj https://www.whonix.org/wiki/KVM#Why_Use_KVM_Over_VirtualBox.3F [Archive.org].


V vseh primerih je treba sprejeti nekatere ukrepe:


Vse občutljive dejavnosti boste izvajali v gostujočem virtualnem stroju z operacijskim sistemom Windows 10 Pro (tokrat ne Home), Linux ali MacOS.


To ima nekaj prednosti, ki vam bodo v veliki meri pomagale ostati anonimni:

• prepreči, da bi operacijski sistem gostujočega virtualnega stroja (Windows/Linux/MacOS), aplikacije in vsa telemetrija znotraj virtualnih strojev neposredno dostopali do vaše strojne opreme. Tudi če je vaš VM okužen z zlonamerno programsko opremo, ta ne bi smela imeti dostopa do VM in ogroziti vašega dejanskega prenosnika.
• To nam bo omogočilo, da ves omrežni promet iz vašega odjemalskega VM prisilimo, da teče skozi drug VM Gateway, ki bo ves promet usmerjal (toriziral) proti omrežju Tor. To je omrežno stikalo. Če drugi VM izgubi povezavo z omrežjem Tor, bo vaš VM popolnoma izgubil omrežno povezljivost in bo onemogočen.
• Sam VM, ki ima internetno povezljivost samo prek prehoda omrežja Tor, se bo povezal z vašo storitvijo VPN, plačano z denarjem, prek omrežja Tor.
• Uhajanje DNS ne bo mogoče, ker je VM v izoliranem omrežju, ki mora ne glede na vse potekati prek omrežja Tor.

 

[HEISENBERG]

Izberite svoj način povezovanja.

Na tej poti je na voljo 7 možnosti:

• Priporočena in prednostna:
  
  • Uporabite samo Tor (Uporabnik > Tor > Internet)
  • V posebnih primerih uporabite VPN prek Tora (Uporabnik > Tor > VPN > Internet).
• Možno, če to zahteva kontekst:
  
  • Uporabite VPN prek Tora prek VPN (Uporabnik > VPN > Tor > VPN > Internet)
  • Uporabite Tor nad VPN (Uporabnik > VPN > Tor > Internet)
• Ni priporočljivo in tvegano:
  
  • Uporabite samo VPN (Uporabnik > VPN > Internet)
  • Uporaba VPN prek VPN (Uporabnik > VPN > VPN > Internet)
• Ni priporočljivo in zelo tvegano (vendar je mogoče)
  
  • Brez VPN in Tor (Uporabnik > Internet)

Samo Tor.

To je najprimernejša in najbolj priporočljiva rešitev.

Pri tej rešitvi gre vse vaše omrežje prek omrežja Tor in v večini primerov zadostuje za zagotavljanje vaše anonimnosti.


Obstaja ena glavna pomanjkljivost: nekatere storitve blokirajo/zaklenejo vozlišča Tor Exit in ne dovolijo ustvarjanja računov iz teh vozlišč.


Da bi to ublažili, boste morda morali razmisliti o naslednji možnosti: VPN prek Tora, vendar upoštevajte nekatera tveganja, povezana z njo, ki so razložena v naslednjem razdelku.

VPN/Proxy prek Tora.

Ta rešitev lahko v nekaterih posebnih primerih prinese nekatere prednosti v primerjavi z uporabo samo omrežja Tor, kadar dostop do ciljne storitve ne bi bil mogoč iz izhodnega vozlišča omrežja Tor. To je zato, ker bodo številne storitve preprosto popolnoma prepovedale, ovirale ali blokirale Tor ( glej https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor [Archive.org]).


Kot lahko vidite na tej sliki, bo nasprotnik v primeru, da bo vaš gotovinski (prednostni)/Monero plačani VPN/Proxy kompromitiral (kljub njihovi izjavi o zasebnosti in pravilom o prepovedi beleženja), našel le anonimni gotovinski/Monero plačani VPN/Proxy račun, ki se do njihovih storitev povezuje iz Tor Exit vozlišča.

Če nasprotniku nekako uspe kompromitirati tudi omrežje Tor, bo razkril le IP naključnega javnega omrežja Wi-Fi, ki ni povezan z vašo identiteto.


Če nasprotnik nekako kompromitira vaš operacijski sistem VM (na primer z zlonamerno programsko opremo ali izkoriščanjem), bo ujet v notranjem omrežju Whonix in ne bo mogel razkriti IP javnega omrežja Wi-Fi.


Ta rešitev pa ima eno glavno pomanjkljivost, ki jo je treba upoštevati: motnje pri izolaciji toka Tor.


Izolacija toka je tehnika blaženja, ki se uporablja za preprečevanje nekaterih korelacijskih napadov z različnimi toki Tor za vsako aplikacijo. Tukaj je ilustracija, ki prikazuje, kaj je izolacija toka:

(Ilustracija iz Marcelo Martins, https://stakey.club/en/decred-via-tor-network/ [Archive.org])


VPN/Proxy nad Tor spada na desno stran, kar pomeni, da uporaba VPN/Proxy nad Tor prisili Tor, da za vse dejavnosti uporablja en krog namesto več krogov za vsako dejavnost posebej. To pomeni, da lahko uporaba VPN/Proxy nad Tor v nekaterih primerih nekoliko zmanjša učinkovitost Tora in jo je zato treba uporabljati le v nekaterih posebnih primerih:

• Kadar ciljna storitev ne dovoljuje izhodnih vozlišč Tor.
• Kadar vas ne moti uporaba skupnega tokokroga Tor za različne storitve. Kot na primer za uporabo različnih overjenih storitev.

Vendar pa bi morali razmisliti, da te metode ne uporabljate, kadar je vaš cilj le naključno brskanje po različnih neavtentificiranih spletnih mestih, saj ne boste imeli koristi od izolacije toka in bi to lahko nasprotniku sčasoma olajšalo korelacijske napade med posameznimi vašimi sejami (glejte poglavje Vaš anonimizirani promet Tor/VPN). Če pa je vaš cilj, da pri vsaki seji uporabljate isto identiteto v istih overjenih storitvah, je vrednost izolacije toka manjša, saj vas je mogoče povezati na druge načine.


Vedeti morate tudi, da Izolacija toka ni nujno privzeto konfigurirana v delovni postaji Whonix. Predkonfigurirana je le za nekatere aplikacije (vključno z brskalnikom Tor Browser).


Upoštevajte tudi, da Izolacija toka ne spreminja nujno vseh vozlišč v vašem vezju Tor. Včasih lahko spremeni le eno ali dve. V mnogih primerih bo Izolacija toka (na primer v brskalniku Tor Browser) spremenila le prenosno (vmesno) vozlišče in izhodno vozlišče, medtem ko bo ohranila isto varovalno (vstopno) vozlišče.


Več informacij najdete na:

• [Arhiv.org]: https://www.whonix.org/wiki/Stream_Isolation [Arhiv.org]
• https://tails.boum.org/contribute/design/stream_isolation/ [Archive.org]
• https://www.whonix.org/wiki/Tunnels/Introduction#Comparison_Table [Archive.org]

Tor preko VPN.

Morda se sprašujete: Kaj pa če bi namesto VPN nad Tor uporabili Tor nad VPN? No, to ni nujno:

• Slabosti:
  
  • Vaš ponudnik VPN je le še en ponudnik internetnih storitev, ki bo poznal vaš izvorni IP in vas bo lahko po potrebi deanonimiziral. Ne zaupamo jim. Raje imam situacijo, v kateri ponudnik VPN ne ve, kdo ste. V smislu anonimnosti ne prispeva veliko.
  • To bi povzročilo, da bi se povezovali z različnimi storitvami z uporabo IP izhodnega vozlišča Tor, ki so marsikje prepovedani/označeni. To ne pomaga pri udobju.
• Prednosti:
  
  • Če ste v sovražnem okolju, kjer je dostop do Tora nemogoč/nevaren/podvržen nevarnosti, pa je VPN v redu, je glavna prednost v tem, da je dostop do Tora nemogoč/nevaren/podvržen nevarnosti.
  • Ta metoda prav tako ne krši izolacije toka Tor.

Opomba: Če imate težave z dostopom do omrežja Tor zaradi blokiranja/cenzure, lahko poskusite uporabiti mostove Tor. Glejte Dodatek X: Uporaba mostov Tor v sovražnih okoljih.


Razmislite lahko tudi o možnosti, da namesto tega uporabite VPN prek omrežja Tor (Uporabnik > VPN > Tor > VPN > Internet ) z uporabo dveh VPN, plačanih z gotovino/Monero. To pomeni, da boste gostiteljski operacijski sistem povezali s prvim omrežjem VPN iz javnega omrežja Wi-Fi, nato se bo Whonix povezal s Tor in nazadnje se bo vaš virtualni stroj povezal z drugim omrežjem VPN prek Tor over VPN ( glejte https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [Archive.org]).


To bo seveda močno vplivalo na zmogljivost in bo morda precej počasno, vendar menim, da je Tor nekje potreben za doseganje razumne anonimnosti.


Doseganje tega je tehnično enostavno znotraj te poti, potrebujete dva ločena anonimna računa VPN in se morate povezati s prvim VPN iz gostiteljskega operacijskega sistema ter slediti poti.


Zaključek: To storite le, če menite, da je uporaba samega Tora tvegana/nemogoča, vendar so omrežja VPN v redu. Ali pa samo zato, ker lahko in zakaj ne.

 

[HEISENBERG]

Samo VPN.

Ta pot ne bo razložena niti priporočena.


Če lahko uporabljate omrežje VPN, potem bi morali biti sposobni nad njim dodati plast Tor. In če lahko uporabljate Tor, potem lahko nad Tor dodate anonimni VPN in tako dobite prednostno rešitev.


Samo uporaba VPN ali celo VPN nad VPN nima smisla, saj je te mogoče sčasoma izslediti nazaj do vas. Eden od ponudnikov VPN bo poznal vaš pravi izvorni IP (tudi če je v varnem javnem prostoru), in tudi če dodate enega nad njim, bo drugi še vedno vedel, da ste uporabljali to drugo prvo storitev VPN. To bo le nekoliko odložilo vašo deanonimizacijo. Da, to je dodana plast ... vendar je to trajna centralizirana dodana plast in sčasoma se lahko deanonimizirate. To je le veriženje treh ponudnikov internetnih storitev, ki so vsi predmet zakonitih zahtev.


Za več informacij glejte naslednje reference:

• https://www.whonix.org/wiki/Compari..._VPN_Services#Tor_and_VPN_Services_Comparison [Archive.org]
• https://www.whonix.org/wiki/Why_does_Whonix_use_Tor [Archive.org]
• https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [Archive.org]
• https://gist.github.com/joepie91/5a9909939e6ce7d09e29#file-vpn-md [Archive.org]
• https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html [Archive.org]

V kontekstu tega vodnika je Tor nekje potreben za doseganje razumne in varne anonimnosti, zato ga uporabljajte, če ga lahko.

Brez VPN/Tor.

Če tam, kjer se nahajate, ne morete uporabljati VPN ali Tora, ste verjetno v zelo sovražnem okolju, kjer sta nadzor in kontrola zelo visoka.


Preprosto ne uporabljajte, saj se ne splača in je IMHO preveč tvegano. Vsak motiviran nasprotnik, ki bi lahko v nekaj minutah prišel do vaše fizične lokacije, vas lahko skoraj takoj deanonimizira.


Ne pozabite preveriti nazaj v poglavju Nasprotniki (grožnje) in Dodatek S: Preverite svoje omrežje za nadzor/cenzuro z uporabo OONI.


Če nimate popolnoma nobene druge možnosti in še vedno želite nekaj storiti, si oglejte Dodatek P: Čim varnejši dostop do interneta, ko Tor/VPN ni mogoč (na lastno odgovornost), in namesto tega razmislite o poti The Tails.

Zaključek.

Na žalost bo že sama uporaba omrežja Tor vzbudila sume pri platformah številnih destinacij. Če uporabljate samo Tor, se boste soočili s številnimi ovirami (captcha, napake, težave pri prijavi). Poleg tega se lahko zaradi uporabe Tora tam, kjer se nahajate, že samo zaradi tega znajdete v težavah. Vendar Tor ostaja najboljša rešitev za anonimnost in mora biti nekje za anonimnost.

• Če je vaš namen ustvariti trajne skupne in overjene identitete v različnih storitvah, kjer je dostop iz Tora težaven, priporočam možnost VPN prek Tora (ali po potrebi VPN prek Tora prek VPN). Morda je zaradi prekinitve izolacije toka Tor nekoliko manj varna pred korelacijskimi napadi, vendar zagotavlja veliko boljše udobje pri dostopu do spletnih virov kot samo z uporabo omrežja Tor. To je "sprejemljiv" kompromis IMHP, če ste dovolj pozorni na svojo identiteto.
• Če pa je vaš namen samo anonimno brskanje po naključnih storitvah brez ustvarjanja posebnih skupnih identitet, uporaba Tor prijaznih storitev; ali če ne želite sprejeti tega kompromisa v prejšnji možnosti. Potem priporočam uporabo načina Samo Tor, da ohranite vse prednosti izolacije toka (ali Tor prek VPN, če to potrebujete).
• Če so stroški težava, priporočam možnost Samo Tor, če je to mogoče.
• Če sta tako Tor kot dostop VPN nemogoča ali nevarna, potem vam ne preostane drugega, kot da se varno zanašate na javno omrežje wi-fis. Glejte Dodatek P: Čim varnejši dostop do interneta, kadar Tor in VPN nista mogoča.

Za več informacij si lahko ogledate tudi tukajšnje razprave, ki vam lahko pomagajo pri odločitvi:

• Projekt Tor: https: //gitlab.torproject.org/legacy/trac/-/wikis/doc/TorPlusVPN [Archive.org]
• Dokumentacija za Tails:
  
  • https://gitlab.tails.boum.org/tails/blueprints/-/wikis/vpn_support/ [Archive.org]
  • https://tails.boum.org/support/faq/index.en.html#index20h2 [Archive.org]
• Dokumentacija Whonix (v tem vrstnem redu):
  
  • https://www.whonix.org/wiki/Tunnels/Introduction [Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_Tor_before_a_VPN [Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [Archive.org]
• Nekaj dokumentov o tej zadevi:
  
  • https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [Archive.org]

 

[HEISENBERG]

Pridobite anonimno omrežje VPN/Proxy.

Ta korak preskočite, če želite uporabljati samo Tor.


Glejte Dodatek O: Pridobite anonimni VPN/Proxy

Whonix.

Ta korak preskočite, če ne morete uporabljati Tora.


Ta pot bo kot del postopka anonimizacije uporabljala virtualizacijo in Whonix309. Whonix je distribucija Linuxa, sestavljena iz dveh virtualnih strojev:

• Whonix Workstation (to je virtualni stroj, v katerem lahko izvajate občutljive dejavnosti)
• Vrata Whonix (ta VM bo vzpostavil povezavo z omrežjem Tor in usmerjal ves omrežni promet iz delovne postaje prek omrežja Tor).

V tem vodniku bosta zato predlagana dva načina te poti:

• samo pot Whonix, pri kateri je ves promet usmerjen prek omrežja Tor (samo Tor ali Tor prek VPN).

Hibridna pot Whonix, pri kateri je ves promet usmerjen prek VPN, plačanega z gotovino (prednostno)/monero, prek omrežja Tor (VPN prek Tor ali VPN prek Tor prek VPN).

Na podlagi mojih priporočil se boste lahko odločili, kateri okus boste uporabili. Priporočam drugega, kot je bilo pojasnjeno prej.


Whonix je dobro vzdrževan ter ima obsežno in neverjetno podrobno dokumentacijo.

Opomba o posnetkih Virtualboxa.

Pozneje boste v Virtualboxu ustvarili in zagnali več virtualnih strojev za svoje občutljive dejavnosti. Virtualbox ponuja funkcijo, imenovano "Snapshots", ki omogoča shranjevanje stanja virtualnega stroja v katerem koli trenutku. Če se pozneje iz kakršnega koli razloga želite vrniti v to stanje, lahko posnetek kadar koli obnovite.


Močno priporočam, da to funkcijo izkoristite tako, da ustvarite posnetek po začetni namestitvi/posodobitvi vsakega VM. Ta posnetek je treba narediti pred njihovo uporabo za kakršno koli občutljivo/anonimno dejavnost.


To vam bo omogočilo, da svoje virtualne računalnike spremenite v nekakšne "žive operacijske sisteme" za enkratno uporabo (podobno kot prej obravnavani repi). To pomeni, da boste lahko izbrisali vse sledove svojih dejavnosti v VM s ponovno vzpostavitvijo posnetka v prejšnje stanje. Seveda to ne bo "tako dobro" kot pri Tails (kjer je vse shranjeno v pomnilniku), saj lahko ostanejo sledi te dejavnosti na trdem disku. Forenzične študije so pokazale, da je mogoče obnoviti podatke iz vrnjenega VM. Na srečo bodo obstajali načini za odstranitev teh sledi po izbrisu ali vrnitvi na prejšnji posnetek. Takšne tehnike bodo obravnavane v razdelku Nekateri dodatni ukrepi proti forenziki v tem priročniku.

Prenesite programa Virtualbox in Whonix.

V gostiteljskem operacijskem sistemu morate prenesti nekaj stvari.

• Najnovejšo različico namestitvenega programa Virtualbox glede na vaš gostiteljski OS https://www.virtualbox.org/wiki/Downloads [Archive.org]
• (To preskočite, če ne morete uporabljati Tora v izvirniku ali prek VPN) Najnovejšo datoteko Whonix OVA s spletne strani https://www.whonix.org/wiki/Download [Archive.org] glede na vaše želje (Linux/Windows, z namiznim vmesnikom XFCE za preprostost ali samo z besedilnim odjemalcem za napredne uporabnike)

S tem so priprave končane in zdaj morate biti pripravljeni, da začnete vzpostavljati končno okolje, ki bo varovalo vašo anonimnost na spletu.

Priporočila za utrditev Virtualboxa.

Za idealno varnost morate upoštevati priporočila, ki so navedena tukaj za vsak virtualni stroj Virtualbox https://www.whonix.org/wiki/Virtualization_Platform_Security#VirtualBox_Hardening [Archive.org]:

• Onemogočite zvok.
• Ne omogočite map v skupni rabi.
• Ne omogočite 2D pospeševanja. To storite z naslednjim ukazom VBoxManage modifyvm "vm-id" --accelerate2dvideo on|off
• Ne omogočite 3D pospeševanja.
• Ne omogočite zaporednih vrat.
• Odstranite disketni pogon.
• Odstranite pogon CD/DVD.
• Ne omogočite strežnika Remote Display.
• Omogočite PAE/NX (NX je varnostna funkcija).
• Onemogočite vmesnik ACPI (Advanced Configuration and Power Interface). To storite z naslednjim ukazom VBoxManage modifyvm "vm-id" --acpi on|off
• Ne priključite naprav USB.
• Onemogočite krmilnik USB, ki je privzeto omogočen. Nastavite kazalno napravo na "PS/2 Mouse", sicer se bodo spremembe vrnile.

Nazadnje upoštevajte tudi to priporočilo za desinhronizacijo ure vašega VM v primerjavi z gostiteljskim OS https://www.whonix.org/wiki/Network...oof_the_Initial_Virtual_Hardware_Clock_Offset [Archive.org]


Ta zamik mora biti v razponu 60000 milisekund in mora biti različen za vsak VM, tukaj pa je nekaj primerov (ki jih lahko pozneje uporabite za kateri koli VM):

• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset +27931
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset +27931

Razmislite tudi o uporabi teh ublažitev iz VirtualBoxa za ublažitev ranljivosti Spectre/Meltdown, tako da zaženete ta ukaz iz programskega imenika VirtualBoxa. Vse te so opisane tukaj: https://www.whonix.org/wiki/Spectre_Meltdown [Archive.org] (zavedajte se, da lahko resno vplivajo na zmogljivost vaših virtualnih strojev, vendar jih je treba izvesti za najboljšo varnost).


Nazadnje upoštevajte varnostne nasvete podjetja Virtualbox: https: //www.virtualbox.org/manual/ch13.html [Archive.org].

 

[HEISENBERG]

Tor nad VPN.

Ta korak preskočite, če ne nameravate uporabljati Tora prek VPN in nameravate uporabljati le Tor ali ne morete.


Če nameravate uporabljati Tor prek omrežja VPN iz katerega koli razloga. Najprej morate konfigurirati storitev VPN v gostiteljskem operacijskem sistemu.


Ne pozabite, da v tem primeru priporočam, da imate dva računa VPN. Oba plačana z gotovino/Monero (glejte Dodatek O: Pridobite anonimno omrežje VPN/Proxy). Eden bo uporabljen v gostiteljskem operacijskem sistemu za prvo povezavo VPN. Drugi se lahko uporablja v virtualnem računalniku za doseganje povezave VPN prek omrežja Tor prek omrežja VPN (Uporabnik > VPN > Tor > VPN).


Če nameravate uporabljati samo Tor prek VPN, potrebujete samo en račun VPN.


Za navodila glejte Dodatek R: Namestitev VPN v VM ali gostiteljski OS.

 

[HEISENBERG]

Virtualni stroji Whonix.

Ta korak preskočite, če ne morete uporabljati sistema Tor.

• V svojem gostiteljskem operacijskem sistemu zaženite program Virtualbox.
• Datoteko Whonix uvozite v Virtualbox po navodilih na spletni strani https://www.whonix.org/wiki/VirtualBox/XFCE [Archive.org].
• Zagon virtualnih strojev Whonix

Na tej stopnji ne pozabite, da če imate težave s povezavo s Tor zaradi cenzure ali blokiranja, morate razmisliti o povezavi z uporabo mostov, kot je razloženo v tem navodilu https://www.whonix.org/wiki/Bridges [Archive.org].

• Posodobite virtualne stroje Whonix po navodilih na spletni strani https://www.whonix.org/wiki/Operating_System_Software_and_Updates#Updates [Archive.org].
• Izklopite virtualne računalnike Whonix
• V programu Virtualbox naredite posnetek posodobljenih virtualnih strojev Whonix (izberite virtualni stroj in kliknite gumb Naredi posnetek). Več o tem pozneje.
• Pojdite na naslednji korak

Pomembna opomba: preberite tudi ta zelo dobra priporočila naspletni strani https://www.whonix.org/wiki/DoNot [Archive.org], saj bo večina teh načel veljala tudi za ta vodnik. Prav tako morate prebrati njihovo splošno dokumentacijo tukaj https://www.whonix.org/wiki/Documentation [Archive.org], ki bo prav tako vsebovala veliko nasvetov, kot je ta vodnik.