Маршрутът на Whonix.
Избор на хост операционна система (операционната система, инсталирана на вашия лаптоп).
По този маршрут ще се използват широко виртуални машини, те ще изискват хост ОС, за да се стартира софтуерът за виртуализация. В тази част на ръководството имате 3 препоръчителни избора:
- Вашата дистрибуция на Linux по избор (с изключение на Qubes OS)
- Windows 10 (за предпочитане издание Home поради липсата на Bitlocker)
- MacOS (Catalina или по-висока версия)
В допълнение, има голяма вероятност вашият Mac да е или да е бил свързан с акаунт в Apple (при покупката или след влизането в системата) и следователно уникалните му хардуерни идентификатори да водят до вас в случай на изтичане на хардуерни идентификатори.
Linux също не е непременно най-добрият избор за анонимност в зависимост от модела на заплаха. Това е така, защото използването на Windows ще ни позволи удобно да използваме Plausible Deniability (известна още като Deniable Encryption) лесно на ниво операционна система. За съжаление Windows е едновременно и кошмар за неприкосновеността на личния живот, но е единствената (удобна) възможност за използване на правдоподобно отричане на ниво операционна система. Телеметрията и блокирането на телеметрията на Windows също са широко документирани, което би трябвало да смекчи много проблеми.
И така, какво е правдоподобно отричане? Това е възможността да сътрудничите на противник, който иска достъп до вашето устройство/данни, без да разкривате истинската си тайна. Всичко това става с помощта на криптиране, което може да се отрече.
Един мек законен противник може да поиска паролата на криптирания ви лаптоп. Първоначално бихте могли да откажете да дадете каквато и да е парола (използвайки "правото си да запазите мълчание", "правото си да не се уличавате"), но някои държави въвеждат закони за освобождаване от тези права (защото терористите и "мислят за децата"). В такъв случай може да се наложи да разкриете паролата или може би да бъдете осъдени на затвор за неуважение към съда. Тук ще се наложи да се използва правдоподобно отричане.
Тогава бихте могли да разкриете парола, но тази парола ще дава достъп само до "правдоподобни данни" (операционна система-примамка). Криминалистите ще са наясно, че е възможно да имате скрити данни, но не би трябвало да могат да докажат това
(ако го направите правилно). Вие ще сте сътрудничили и разследващите ще имат достъп до нещо, но не и до това, което всъщност искате да скриете. Тъй като тежестта на доказване следва да лежи на тяхна страна, те няма да имат друг избор, освен да ви повярват, освен ако не разполагат с доказателство, че имате скрити данни.
Тази функция може да се използва на ниво операционна система (правдоподобна операционна система и скрита операционна система) или на ниво файлове, където ще имате криптиран файлов контейнер (подобен на zip файл), в който ще се показват различни файлове в зависимост от паролата за криптиране, която използвате.
Това също така означава, че можете да създадете своя собствена усъвършенствана конфигурация за "правдоподобно отричане", като използвате всяка хост ОС, например като съхранявате виртуални машини в контейнер със скрит обем Veracrypt (внимавайте за следи в то на хост ОС, които ще трябва да бъдат почистени, ако хост ОС е постоянна, вижте раздела
Някои допълнителни мерки срещу криминалистиката по-късно). Съществува проект за постигане на това в рамките на Tails
(https://github.com/aforensics/HiddenVM [Archive.org]), който би направил хост операционната система непостоянна и би използвал правдоподобно отричане в рамките на Tails.
В случая с Windows правдоподобната възможност за отричане е и причината, поради която в идеалния случай трябва да имате Windows 10 Home (а не Pro). Това е така, защото Windows 10 Pro предлага естествено система за криптиране на целия диск (Bitlocker), докато Windows 10 Home не предлага никакво криптиране на целия диск. По-късно ще използваме софтуер с отворен код на трета страна за криптиране, който ще позволи криптиране на целия диск в Windows 10 Home. Това ще ви даде добро (правдоподобно) извинение да използвате този софтуер. Докато използването на този софтуер в Windows 10 Pro ще бъде подозрително.
Забележка за Linux: И така, какво ще кажете за Linux и правдоподобното отричане? Да, възможно е да се постигне правдоподобно отричане и с Linux. Но настройката е сложна и ИМХО изисква достатъчно високо ниво на умения, че вероятно не се нуждаете от това ръководство, за да ви помогне да го опитате.
За съжаление, криптирането не е магия и в него има някои рискове:
Заплахите при криптирането.
Ключът за 5 долара.
Не забравяйте, че криптирането със или без правдоподобна възможност за отричане не е сребърен куршум и няма да е от голяма полза в случай на изтезания. Всъщност, в зависимост от това кой би бил вашият противник (вашият модел на заплаха), може би е разумно изобщо да не използвате Veracrypt (преди TrueCrypt), както е показано в тази демонстрация:
https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org]
Правдоподобното отричане е ефективно само срещу меки законни противници, които няма да прибягнат до физически средства.
Избягвайте, ако е възможно, използването на софтуер с възможност за отричане (като Veracrypt), ако вашият модел на заплаха включва твърди противници. Така че потребителите на Windows трябва в този случай да инсталират Windows Pro като хост операционна система и вместо това да използват Bitlocker.
Вижте https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]
Атака на злата прислужница.
Атаките на злата прислужница се провеждат, когато някой посяга към вашия лаптоп, докато ви няма. За да инсталира да клонира твърдия ви диск, да инсталира зловреден софтуер или програма за записване на клавиши. Ако могат да клонират твърдия ви диск, те могат да сравнят едно изображение на твърдия ви диск в момента, в който са го взели, докато сте отсъствали, с твърдия диск, когато го изземат от вас. Ако междувременно отново сте използвали лаптопа, криминалистите може да успеят да докажат съществуването на скритите данни, като разгледат разликите между двете изображения в мястото, което би трябвало да е празно/неизползвано. Това може да доведе до убедителни доказателства за съществуването на скрити данни. Ако инсталират програма за записване на клавиши или злонамерен софтуер във вашия лаптоп (софтуер или хардуер), те ще могат просто да получат паролата от вас за последващо използване, когато го конфискуват. Такива атаки могат да бъдат извършени в дома ви, в хотела ви, на граничен пункт или навсякъде, където оставяте устройствата си без надзор.
Можете да смекчите тази атака, като направите следното (както беше препоръчано по-рано):
- Разполагайте с основна защита срещу подправяне (както беше обяснено по-рано), за да предотвратите физическия достъп до вътрешните части на лаптопа без ваше знание. Това ще им попречи да клонират дисковете ви и да инсталират физически логер на клавиши без ваше знание.
- Деактивирайте всички USB портове (както беше обяснено по-рано) в рамките на защитен с парола BIOS/UEFI. Отново няма да могат да ги включат (без физически достъп до дънната платка, за да нулират BIOS), за да заредят USB устройство, което може да клонира твърдия ви диск или да инсталира софтуерно базиран зловреден софтуер, който може да действа като програма за записване на ключове.
- Настройте пароли за BIOS/UEFI/Firmware, за да предотвратите всяко неоторизирано зареждане на неоторизирано устройство.
- Някои операционни системи и софтуер за криптиране разполагат със защита срещу злонамереност, която може да бъде активирана. Такъв е случаят с Windows/Veracrypt и QubeOS.
Атака за студено зареждане.
Атаките за студено зареждане са по-сложни от атаката Evil Maid, но могат да бъдат част от атака Evil Maid, тъй като изискват противникът да влезе във владение на вашия лаптоп, докато активно използвате устройството си или малко след това.
Идеята е доста проста, както е показано в този видеоклип, теоретично противникът може бързо да зареди устройството ви със специален USB ключ, който ще копира съдържанието на RAM (паметта) на устройството, след като го изключите. Ако USB портовете са деактивирани или ако прецени, че има нужда от повече време, той би могъл да го отвори и да "охлади" паметта с помощта на спрей или други химикали (например течен азот), предотвратявайки разпадането на паметта. След това те могат да копират съдържанието й за анализ. Това копие на паметта би могло да съдържа ключа за декриптиране на устройството ви. По-късно ще приложим няколко принципа за смекчаване на последиците от тях.
В случая с правдоподобното отричане имаше някои криминалистични изследвания за техническо доказване на наличието на скрити данни с обикновена съдебна експертиза (без атака Cold Boot/Evil Maid), но те бяха оспорени от други изследвания и от поддържащия Veracrypt, така че засега не бих се притеснявал твърде много за тях.
Същите мерки, използвани за смекчаване на атаките Evil Maid, би трябвало да са налице и за атаките Cold Boot с някои допълнителни такива:
- Ако операционната система или софтуерът за криптиране го позволяват, трябва да помислите за криптиране на ключовете и в оперативната памет (това е възможно с Windows/Veracrypt и ще бъде обяснено по-късно)
- Трябва да ограничите използването на режим на готовност за заспиване и вместо това да използвате Shutdown (Изключване) или Hibernate (Хибернация), за да предотвратите оставането на ключовете за криптиране в RAM паметта, когато компютърът ви заспи. Това е така, защото при заспиване ще се запази мощността на паметта ви за по-бързо възобновяване на дейността ви. Само хибернацията и изключването действително ще изчистят ключа от паметта.
Вижте също
https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.org] и
https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org]
Ето и някои интересни инструменти, които потребителите на Linux могат да разгледат, за да се защитят от тях:
За заспиването, хибернацията и изключването.
Ако искате по-добра сигурност, трябва да изключвате напълно лаптопа си всеки път, когато го оставяте без надзор или затваряте капака. Това трябва да почисти и/или освободи оперативната памет и да осигури смекчаване на последиците от атаки при студено зареждане. Това обаче може да бъде малко неудобно, тъй като ще трябва да рестартирате напълно и да въведете куп пароли в различни приложения. Рестартирайте различни виртуални машини и други приложения. Така че вместо това можете да използвате и хибернация (не се поддържа в Qubes OS). Тъй като целият диск е криптиран, хибернацията сама по себе си не би трябвало да представлява голям риск за сигурността, но все пак ще изключи лаптопа ви и ще изчисти паметта, като същевременно ще ви позволи удобно да възобновите работата си след това.
Това, което никога не трябва да правите, е да използвате стандартната функция за заспиване, която ще държи компютъра ви включен и паметта захранвана. Това е вектор на атака срещу атаките "evil-maid" и "cold-boot", разгледани по-рано. Това е така, защото в паметта на компютъра се съхраняват ключовете за криптиране на диска (криптирани или не) и до тях може да получи достъп опитен противник.
По-късно в това ръководство ще бъдат дадени указания как да активирате хибернацията на различни хост операционни системи (с изключение на Qubes OS), ако не искате да се изключвате всеки път.
Локално изтичане на данни (следи) и съдебномедицинска експертиза.
Както бе споменато накратко по-рано, това са изтичания на данни и следи от операционната система и приложенията, когато извършвате някаква дейност на компютъра си. Те се отнасят предимно за криптирани файлови контейнери (със или без правдоподобно отричане), отколкото за криптиране в цялата операционна система. Такива изтичания са по-малко "важни", ако цялата ви операционна система е криптирана (ако не сте принудени да разкривате паролата).
Да кажем например, че имате USB ключ, криптиран с Veracrypt, с включена вероятна възможност за отричане. В зависимост от паролата, която използвате при монтирането на USB ключа, той ще отвори примамлива папка или чувствителната папка. В рамките на тези папки ще имате документи/данни за примамка в папката за примамка и чувствителни документи/данни в чувствителната папка.
Във всички случаи (най-вероятно) ще отворите тези папки с Windows Explorer, MacOS Finder или друга програма и ще направите каквото сте планирали да направите. Може би ще редактирате документ в рамките на чувствителната папка. Може би ще търсите документ в папката. Може би ще изтриете такъв или ще гледате чувствителен видеоклип с помощта на VLC.
Е, всички тези приложения и операционната ви система може да запазят записи и следи от това използване. Това може да включва пълния път до папката/файловете/дисковете, времето, когато са били достъпни, временните кешове на тези файлове, списъците "Последни" във всяко приложение, системата за индексиране на файлове, която може да индексира диска, и дори миниатюрите, които могат да бъдат генерирани
Ето няколко примера за такива изтичания:
Windows.
- Windows ShellBags, които се съхраняват в регистъра на Windows, безшумно съхраняват различни истории на достъпните томове/файлове/папки.
- Индексиране на Windows, което по подразбиране запазва следи от файловете, намиращи се в потребителската ви папка.
- Списъци на скорошни файлове (известни още като Jump Lists) в Windows и различни приложения, които съхраняват следи от наскоро достъпвани документи.
- Още много други следи в различни логове, моля, вижте този удобен интересен постер за повече информация: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org]
MacOS.
- Gatekeeper290 и XProtect, които следят историята на изтеглянията в локална база данни и атрибутите на файловете.
- Индексиране на Spotlight
- Списъци с неотдавнашни документи в различни приложения, които съхраняват следи от наскоро достъпвани документи.
- Временни папки, съхраняващи различни следи от използването на приложения и документи.
- Дневници на MacOS
- ...
Linux.
- Индексиране на тракера
- История на Bash
- USB дневници
- Списъци с неотдавнашни документи в различни приложения, които съхраняват следи от наскоро достъпвани документи.
- Дневници на Linux
- ...
Криминалистите биха могли да използват всички тези изтичания (вж. "
Локални изтичания на данни и криминалистика"), за да докажат съществуването на скрити данни и да провалят опитите ви да използвате правдоподобно отричане и да разберат за различни ваши чувствителни дейности.
Затова ще бъде важно да приложите различни стъпки, за да попречите на криминалистите да направят това, като предотвратите и почистите тези течове/следи и, което е по-важно, като използвате криптиране на целия диск, виртуализация и компартментализация.
Криминалистите не могат да извлекат локални изтичания на данни от операционна система, до която нямат достъп. А повечето от тези следи ще можете да изчистите чрез изтриване на диска или чрез сигурно изтриване на виртуалните ви машини (което не е толкова лесно, колкото си мислите, при SSD дискове).
Въпреки това някои техники за почистване ще бъдат разгледани в частта "Прикриване на следите" на това ръководство в самия му край.
Изтичане на данни онлайн.
Независимо дали използвате обикновено криптиране или криптиране с вероятна възможност за отричане. Дори ако сте прикрили следите си на самия компютър. Все още съществува риск от онлайн изтичане на данни, което може да разкрие наличието на скрити данни.
Телеметрията е вашият враг. Както беше обяснено по-рано в това ръководство, телеметрията на операционните системи, но също и от приложенията, може да изпрати зашеметяващи количества лична информация онлайн.
В случая на Windows тези данни могат например да се използват за доказване на съществуването на скрита операционна система/том на компютъра и биха били лесно достъпни в Microsoft. Ето защо е изключително важно да деактивирате и блокирате телеметрията с всички средства, с които разполагате. Без значение каква операционна система използвате.
Заключение.
Никога не трябва да извършвате чувствителни дейности от некриптирана система. А дори и да е криптирана, вероятно никога не трябва да извършвате чувствителни дейности от самата хост операционна система. Вместо това трябва да използвате виртуална машина, за да можете ефективно да изолирате и разделяте дейностите си и да предотвратите локално изтичане на данни.
Ако нямате почти никакви познания за Linux или ако искате да използвате правдоподобна отричаща информация за цялата операционна система, бих ви препоръчал да изберете Windows (или да се върнете към маршрута на Tails) за удобство. Това ръководство ще ви помогне да го втвърдите колкото е възможно повече, за да предотвратите изтичане на информация. Това ръководство също така ще ви помогне да подсилите MacOS и Linux колкото е възможно повече, за да предотвратите подобни изтичания.
Ако не се интересувате от правдоподобно отричане в операционната система и искате да се научите да използвате Linux, силно ви препоръчвам да изберете Linux или маршрута Qubes, ако хардуерът ви го позволява.
Във всички случаи хост операционната система никога не трябва да се използва за пряко извършване на чувствителни дейности. Хост операционната система ще се използва само за свързване към обществена Wi-Fi точка за достъп. Тя ще бъде оставена неизползвана, докато извършвате чувствителни дейности, и в идеалния случай не трябва да се използва за никакви ваши ежедневни дейности.
Помислете и за четене на
https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org]
