Guida all'anonimato online (da https://anonymousplanet.org/)

Utilizzo a proprio rischio e pericolo. Non prendete questa guida come una verità definitiva per ogni cosa, perché non lo è.

Spoiler: Indice dei contenuti

• Introduzione:
• Comprendere alcune nozioni di base su come alcune informazioni possono ricondurre a voi e su come mitigarne alcune:
  • La vostra rete:
    • Il vostro indirizzo IP:
    • Le vostre richieste DNS e IP:
    • I vostri dispositivi RFID:
    • I dispositivi Wi-Fis e Bluetooth intorno a voi:
    • Punti di accesso Wi-Fi dannosi/rottamati:
    • Il vostro traffico Tor/VPN anonimizzato:
    • Alcuni dispositivi possono essere tracciati anche quando sono offline:
  • Gli identificatori hardware:
    • IMEI e IMSI (e, per estensione, il vostro numero di telefono):
    • Indirizzo MAC Wi-Fi o Ethernet:
    • Indirizzo MAC Bluetooth:
  • La CPU:
  • I sistemi operativi e i servizi di telemetria delle app:
  • I vostri dispositivi intelligenti in generale:
  • Voi stessi:
    • I vostri metadati, compresa la vostra geo-localizzazione:
    • La vostra impronta digitale, la vostra impronta e il vostro comportamento online:
    • I vostri indizi sulla vostra vita reale e OSINT:
    • Il vostro volto, la vostra voce, la vostra biometria e le vostre immagini:
    • Phishing e ingegneria sociale:
  • Malware, exploit e virus:
    • Malware nei vostri file/documenti/e-mail:
    • Malware ed exploit nelle app e nei servizi:
    • Dispositivi USB dannosi:
    • Malware e backdoor nel firmware dell'hardware e nel sistema operativo:
  • File, documenti, immagini e video:
    • Proprietà e metadati:
    • Filigrana:
    • Informazioni pixelate o sfocate:
  • Le vostre transazioni in criptovalute:
  • I vostri servizi di backup/sincronizzazione su cloud:
  • Impronte digitali del browser e del dispositivo:
  • Fughe di dati locali e forensi:
  • Crittografia scadente:
  • Nessuna registrazione ma politiche di registrazione:
  • Alcune tecniche avanzate mirate:
  • Alcune risorse bonus:
  • Note:
• Preparazione generale:
  • Scelta del percorso:
    • Limiti di tempo:
    • Limiti di budget/materiali:
    • Abilità:
    • Avversari (minacce):
  • Fasi per tutti i percorsi:
    • Ottenere un numero di telefono anonimo:
    • Procurarsi una chiave USB:
    • Trovare luoghi sicuri con Wi-Fi pubblico decente:
  • Il percorso TAILS:
    • Negazione plausibile persistente utilizzando Whonix all'interno di TAILS:
  • Passi per tutti gli altri percorsi:
    • Procuratevi un computer portatile dedicato alle vostre attività sensibili:
    • Alcune raccomandazioni per i portatili:
    • Impostazioni Bios/UEFI/Firmware del portatile:
    • Proteggere fisicamente il portatile:
  • Il percorso Whonix:
    • Scegliere il sistema operativo host (il sistema operativo installato sul portatile):
    • Sistema operativo host Linux:
    • MacOS Sistema operativo host:
    • Sistema operativo host Windows:
    • Virtualbox sul sistema operativo host:
    • Scegliere il metodo di connettività:
    • Ottenere una VPN/Proxy anonima:
    • Whonix:
    • Tor su VPN:
    • Whonix Macchine virtuali:
    • Scegliere la macchina virtuale della workstation guest:
    • Macchina virtuale Linux (Whonix o Linux):
    • Windows 10 Macchina virtuale:
    • Android Macchina virtuale:
    • MacOS Macchina virtuale:
    • KeepassXC:
    • Installazione del client VPN (a pagamento):
    • (Opzionale) che consente solo alle macchine virtuali di accedere a Internet, tagliando fuori il sistema operativo host per evitare qualsiasi perdita:
    • Fase finale:
  • Il percorso Qubes:
    • Scegliere il metodo di connettività:
    • Ottenere una VPN/Proxy anonima:
    • Installazione:
    • Comportamento di chiusura del coperchio:
    • Connettersi a un Wi-Fi pubblico:
    • Aggiornare il sistema operativo Qubes:
    • Irrobustimento del sistema operativo Qubes:
    • Configurazione della VPN ProxyVM:
    • Configurare un browser sicuro all'interno di Qube OS (opzionale ma consigliato):
    • Configurazione di una VM Android:
    • KeePassXC:
• Creare le proprie identità online anonime:
  • Comprendere i metodi utilizzati per impedire l'anonimato e verificare l'identità:
    • Captchas:
    • Verifica telefonica:
    • Verifica via e-mail:
    • Verifica dei dati dell'utente:
    • Verifica della prova d'identità:
    • Filtri IP:
    • Fingerprinting del browser e del dispositivo:
    • Interazione umana:
    • Moderazione degli utenti:
    • Analisi comportamentale:
    • Transazioni finanziarie:
    • Accesso con qualche piattaforma:
    • Riconoscimento del volto e biometria (di nuovo):
    • Recensioni manuali:
  • Entrare in rete:
    • Creare nuove identità:
    • Il sistema dei nomi reali:
    • Informazioni sui servizi a pagamento:
    • Panoramica:
    • Come condividere file o chattare in modo anonimo:
    • Ridurre documenti/immagini/video/audio in modo sicuro:
    • Comunicare informazioni sensibili a varie organizzazioni conosciute:
    • Attività di manutenzione:
• Backup del lavoro in modo sicuro:
  • Backup offline:
    • Backup di file selezionati:
    • Backup dell'intero disco/sistema:
  • Backup online:
    • File:
    • Informazioni:
  • Sincronizzazione dei file tra dispositivi Online:
• Coprire le proprie tracce:
  • Comprendere HDD e SSD:
    • Livellamento dell'usura.
    • Operazioni di ritaglio:
    • Garbage Collection:
    • Conclusione:
  • Come cancellare in modo sicuro l'intero laptop/disco se si vuole cancellare tutto:
    • Linux (tutte le versioni, compreso Qubes OS):
    • Windows:
    • MacOS:
  • Come cancellare in modo sicuro file/cartelle/dati specifici su HDD/SSD e unità Thumb:
    • Windows:
    • Linux (non Qubes OS):
    • Linux (Qubes OS):
    • MacOS:
  • Alcune misure aggiuntive contro la forensics:
    • Rimozione dei metadati da file/documenti/immagini:
    • TAILS:
    • Whonix:
    • MacOS:
    • Linux (Qubes OS):
    • Linux (non Qubes):
    • Windows:
  • Rimozione di alcune tracce della vostra identità sui motori di ricerca e su varie piattaforme:
    • Google:
    • Bing:
    • DuckDuckGo:
    • Yandex:
    • Qwant:
    • Yahoo Search:
    • Baidu:
    • Wikipedia:
    • Archive.today:
    • Internet Archive:
• Alcuni trucchi low-tech della vecchia scuola:
  • Comunicazioni nascoste in bella vista:
  • Come scoprire se qualcuno ha cercato tra le vostre cose:
• Alcune ultime riflessioni sull'OPSEC:
• Se pensate di essere stati scottati:
  • Se avete un po' di tempo:
  • Se non avete tempo:
• Una piccola nota editoriale finale

 

[HEISENBERG]

Limiti di budget/materiale.

• Avete a disposizione un solo computer portatile e non potete permettervi altro. Si usa questo portatile per il lavoro, la famiglia o le cose personali (o per entrambi):
  
  • L'opzione migliore è quella di scegliere la strada di Tails.
• Potete permettervi un portatile di riserva, non sorvegliato e non monitorato, per le vostre attività sensibili:
  
  • Ma è vecchio, lento e con specifiche scadenti (meno di 6 GB di RAM, meno di 250 GB di spazio su disco, CPU vecchia/lenta):
    
    • Dovreste scegliere la strada di Tails.
  • Non è così vecchio e ha specifiche decenti (almeno 6 GB di RAM, 250 GB di spazio su disco o più, CPU decente):
    
    • Potreste scegliere i percorsi Tails e Whonix.
  • È nuovo e ha ottime specifiche (più di 8 GB di RAM, >250 GB di spazio su disco, CPU veloce recente):
    
    • Potete scegliere qualsiasi strada, ma vi consiglio Qubes OS se il vostro modello di minaccia lo consente.
  • Se si tratta di un Mac M1 basato su ARM:
    
    • Al momento non è possibile per questi motivi:
      
      • La virtualizzazione di immagini x86 su Mac M1 ARM è ancora limitata al software commerciale (Parallels) che non è ancora supportato da Whonix.
      • Virtualbox non è ancora disponibile per l'architettura ARM.
      • Whonix non è ancora supportato dall'architettura ARM.
      • Tails non è ancora supportato su architettura ARM.
      • Qubes OS non è ancora supportato dall'architettura ARM.

L'unica opzione sui Mac M1 è probabilmente quella di utilizzare Tor Browses per il momento. Ma credo che se potete permettervi un Mac M1, dovreste probabilmente procurarvi un portatile x86 dedicato per le attività più delicate.

 

[HEISENBERG]

Competenze.

• Non avete alcuna competenza informatica e il contenuto di questa guida vi sembra una lingua aliena?
  
  • Dovreste seguire la strada di Tails (esclusa la sezione sulla negazione plausibile persistente).
• Hai qualche competenza informatica e finora hai capito la guida.
  
  • Dovreste scegliere i percorsi Tails (inclusa la sezione sulla negazione plausibile persistente) o Whonix.
• Avete competenze informatiche da moderate a elevate e conoscete già alcuni dei contenuti di questa guida.
  
  • Potete scegliere qualsiasi cosa, ma vi consiglio vivamente Qubes OS.
• Siete un hacker l33T, "non c'è un cucchiaio", "la torta è una bugia", avete usato "doas" per anni e "tutte le vostre basi appartengono a noi", e avete forti opinioni su systemd.
  
  • Questa guida non è fatta per voi e non vi aiuterà con il vostro HardenedBSD sul vostro portatile Libreboot temprato ;-)

 

[HEISENBERG]

Avversari (minacce).

• Se la vostra preoccupazione principale è l'esame forense dei vostri dispositivi:
  
  • Dovreste scegliere la strada di Tails (con la possibilità di negare l'evidenza in modo persistente).
• Se la preoccupazione principale è rappresentata da avversari remoti che potrebbero scoprire la vostra identità online su varie piattaforme:
  
  • Potreste scegliere i percorsi Whonix o Qubes OS.
  • Potreste anche scegliere Tails (con plausible deniability persistente opzionale).
• Se volete assolutamente la negabilità plausibile a livello di sistema, nonostante i rischi:
  
  • Si può scegliere il percorso Tails, compresa la sezione di negabilità plausibile persistente.
  • Si può scegliere il percorso Whonix (solo su sistemi operativi Windows Host nell'ambito di questa guida).
• Se vi trovate in un ambiente ostile dove l'uso di Tor/VPN da solo è impossibile/pericoloso/sospetto:
  
  • Si può scegliere la strada di Tails (senza usare Tor).
  • Si può scegliere la strada di Whonix o Qubes OS (senza usare Whonix).

In tutti i casi, dovreste leggere queste due pagine della documentazione di Whonix che vi daranno una visione approfondita delle vostre scelte:

• https://www.whonix.org/wiki/Warning [Archive.org]
• https://www.whonix.org/wiki/Dev/Threat_Model [ Archive.org]
• https://www.whonix.org/wiki/Comparison_with_Others [ Archive.org]

Potreste chiedervi: "Come faccio a sapere se mi trovo in un ambiente online ostile in cui le attività sono attivamente monitorate e bloccate?".

• Per saperne di più, leggete qui: https://ssd.eff.org/en/module/understanding-and-circumventing-network-censorship [Archive.org]
• Verificate voi stessi alcuni dati sul sito web del Progetto Tor OONI (Open Observatory of Network Interference): https://explorer.ooni.org/ [ Archive.org].
• Date un'occhiata a https://censoredplanet.org/ [Archive.org] e verificate se ci sono dati relativi al vostro Paese.
• Testate voi stessi utilizzando OONI (può essere rischioso in un ambiente ostile).

 

[HEISENBERG]

Passi per tutti i percorsi.

Abituarsi a usare password migliori.

Vedere l'Appendice A2: Linee guida per le password e le frasi di accesso.

Ottenere un numero di telefono anonimo.

Saltate questo passaggio se non avete intenzione di creare account anonimi sulla maggior parte delle piattaforme tradizionali ma volete solo navigare in modo anonimo o se le piattaforme che userete consentono la registrazione senza numero di telefono.

Telefono fisico e scheda SIM prepagata.

Procuratevi un telefono usa e getta.

È piuttosto semplice. Lasciate il vostro smartphone spento o spegnetelo prima di uscire. Munitevi di un po' di contanti e andate in un mercatino delle pulci o in un piccolo negozio a caso (possibilmente senza telecamere a circuito chiuso all'interno o all'esterno ed evitando di essere fotografati/filmati) e acquistate il telefono più economico che riuscite a trovare in contanti e senza fornire alcuna informazione personale. È sufficiente che sia funzionante.


Personalmente, consiglierei di acquistare un vecchio "dumbphone" con batteria rimovibile (un vecchio Nokia, se le reti mobili consentono ancora la connessione, dato che alcuni Paesi hanno eliminato completamente l'1G-2G). Questo per evitare l'invio/raccolta automatica di dati telemetrici/diagnostici sul telefono stesso. Non si deve mai collegare il telefono a una rete Wi-Fi.


È inoltre fondamentale non accendere mai quel telefono usa e getta (nemmeno senza la scheda SIM) in qualsiasi luogo geografico che possa condurre a voi (ad esempio, a casa/lavoro) e mai nello stesso luogo in cui si trova l'altro smartphone conosciuto (perché quest'ultimo ha un IMEI/IMSI che vi condurrà facilmente a voi). Questo potrebbe sembrare un grosso onere, ma non lo è, dato che questi telefoni vengono utilizzati solo durante il processo di configurazione/iscrizione e per le verifiche di tanto in tanto.


Vedere l'Appendice N: Avvertenze su smartphone e dispositivi intelligenti.


Prima di passare alla fase successiva, è necessario verificare che il telefono sia funzionante. Ma mi ripeterò e ribadirò che è importante lasciare lo smartphone a casa quando si va (o spegnerlo prima di partire se si deve tenerlo) e testare il telefono in un luogo casuale che non possa essere ricondotto a voi (e ancora una volta, non fatelo davanti a una TV a circuito chiuso, evitate le telecamere, siate consapevoli di ciò che vi circonda). In questo luogo non è necessario nemmeno il Wi-Fi.


Quando siete certi che il telefono è funzionante, disabilitate il Bluetooth, spegnetelo (rimuovete la batteria se potete) e tornate a casa per riprendere le vostre normali attività. Passare alla fase successiva.

Procuratevi una carta SIM prepagata anonima.

Questa è la parte più difficile di tutta la guida. Si tratta di un SPOF (Single Point of Failure). I luoghi in cui è ancora possibile acquistare carte SIM prepagate senza registrazione del documento d'identità sono sempre più limitati a causa di varie normative di tipo KYC.


Ecco quindi un elenco di luoghi in cui è ancora possibile acquistarle: https://prepaid-data-sim-card.fandom.com/wiki/Registration_Policies_Per_Country [Archive.org].


Dovreste essere in grado di trovare un posto "non troppo lontano" e di recarvi fisicamente lì per acquistare le carte prepagate e i buoni di ricarica in contanti. Prima di partire, verificate che non sia stata approvata alcuna legge che renda obbligatoria la registrazione (nel caso in cui il wiki di cui sopra non sia stato aggiornato). Cercate di evitare le telecamere a circuito chiuso e non dimenticate di acquistare un buono di ricarica con la carta SIM (se non si tratta di un pacchetto), poiché la maggior parte delle carte prepagate richiede una ricarica prima dell'uso.


Vedere l'Appendice N: Avvertenze su smartphone e dispositivi intelligenti.


Prima di recarsi sul posto, verificare che gli operatori di telefonia mobile che vendono le carte SIM prepagate accettino l'attivazione e la ricarica della SIM senza alcun tipo di registrazione del documento d'identità. Idealmente, dovrebbero accettare l'attivazione e la ricarica della SIM dal Paese in cui si risiede.


Personalmente, consiglierei GiffGaff nel Regno Unito, in quanto sono "convenienti", non richiedono l'identificazione per l'attivazione e la ricarica e consentono persino di cambiare il proprio numero fino a 2 volte dal loro sito web. Una carta SIM prepagata GiffGaff vi garantirà quindi 3 numeri da utilizzare per le vostre esigenze.


Spegnete il telefono dopo l'attivazione/ricarica e prima di andare a casa. Non riaccendetelo mai, a meno che non vi troviate in un luogo che possa essere usato per rivelare la vostra identità e a meno che lo smartphone non venga spento prima di recarsi in quel luogo "non di casa".

Numero di telefono online (meno consigliato).

DISCLAIMER: non tentare questa operazione prima di aver impostato un ambiente sicuro secondo uno dei percorsi selezionati. Questa fase richiede un accesso online e deve essere eseguita solo da una rete anonima. Non eseguire questa operazione da un ambiente noto/non sicuro. Saltate questa fase fino a quando non avrete completato uno dei percorsi.


Esistono molti servizi commerciali che offrono numeri per ricevere messaggi SMS online, ma la maggior parte di questi non garantisce l'anonimato/la privacy e non può essere di alcun aiuto poiché la maggior parte delle piattaforme di social media pone un limite al numero di volte in cui un numero di telefono può essere utilizzato per la registrazione.


Esistono alcuni forum e subreddit (come r/phoneverification/) in cui gli utenti offrono il servizio di ricezione di tali messaggi SMS per una piccola somma (utilizzando PayPal o qualche cripto pagamento). Purtroppo, questi siti sono pieni di truffatori e molto rischiosi in termini di anonimato. Non dovreste usarli in nessun caso.


A oggi, non conosco nessun servizio affidabile che offra questo servizio e accetti pagamenti in contanti (ad esempio per posta) come alcuni fornitori di VPN. Ci sono però alcuni servizi che forniscono numeri di telefono online e accettano Monero, che potrebbero essere ragionevolmente anonimi (ma meno raccomandabili del metodo fisico descritto nel capitolo precedente) e che potreste prendere in considerazione:

• Raccomandato: Non richiedono alcuna identificazione (nemmeno l'e-mail):
  
  • (con sede nel Regno Unito, sembra non disponibile al momento in cui scriviamo) https://dtmf.io/ [Archive.org] preferito perché fornisce anche un indirizzo di servizio nascosto a cipolla per l'accesso diretto attraverso la rete Tor a http://dtmfiovjh42uviqez6qn75igbagtiyo724hy3rdxm77dy2m5tt7lbaqd.onion/
  • (con sede in Islanda) https://crypton.sh [Archive.org]
  • (con sede in Ucraina) https://virtualsim.net/ [Archive.org]
• Richiedono un'identificazione (e-mail valida):
  
  • (con sede in Germania) https://www.sms77.io/ [Archive.org]
  • (con sede in Russia) https://onlinesim.ru/ [Archive.org]

Ci sono altre possibilità elencate qui https://cryptwerk.com/companies/sms/xmr/ [ Archive.org]. Utilizzatele a vostro rischio e pericolo.


DISCLAIMER: non posso garantire per nessuno di questi provider e quindi vi raccomando di farlo voi stessi. In questo caso dovrete fare affidamento sull'anonimato di Monero e non dovreste utilizzare alcun servizio che richieda un qualsiasi tipo di identificazione utilizzando la vostra vera identità. Leggete questa clausola di esclusione di responsabilità di Monero.


Pertanto, secondo me, è probabilmente più comodo, più economico e meno rischioso procurarsi una carta SIM prepagata in uno dei luoghi fisici che ancora la vendono in contanti senza richiedere la registrazione dell'identità. Ma almeno c'è un'alternativa se non avete altre possibilità.

Procuratevi una chiave USB.

Procuratevi almeno una o due chiavette USB generiche di dimensioni decenti (almeno 16GB, ma io consiglierei 32GB).


Non acquistate o utilizzate dispositivi di crittografia automatica come questi: https://syscall.eu/blog/2018/03/12/aigo_part1/ [Archive.org].


Alcuni possono essere molto efficienti, ma molti sono gadget fantasiosi che non offrono alcuna protezione reale.

Trovate luoghi sicuri con Wi-Fi pubblico decente.

Dovete trovare luoghi sicuri dove poter svolgere le vostre attività sensibili utilizzando un Wi-Fi accessibile al pubblico (senza registrazione di account/ID, evitando le telecamere a circuito chiuso).


Può trattarsi di un luogo che non sia direttamente collegato a voi (casa/lavoro) e dove possiate utilizzare il Wi-Fi per un po' senza essere disturbati. Ma anche un luogo dove poterlo fare senza essere "notati" da nessuno.


Se pensate che Starbucks sia una buona idea, potete ripensarci:

• Probabilmente hanno telecamere a circuito chiuso in tutti i loro negozi e conservano le registrazioni per un periodo di tempo imprecisato.
• Nella maggior parte dei casi è necessario acquistare un caffè per ottenere il codice di accesso al Wi-Fi. Se pagate questo caffè con un metodo elettronico, saranno in grado di collegare il vostro accesso Wi-Fi alla vostra identità.

La consapevolezza della situazione è fondamentale e dovete essere costantemente attenti a ciò che vi circonda, evitando i luoghi turistici come se fossero infestati dall'ebola. Evitate di apparire in qualsiasi foto/video mentre qualcuno si scatta un selfie, gira un video su TikTok o pubblica una foto di viaggio su Instagram. Se lo fate, ricordate che è molto probabile che quelle foto finiscano online (pubblicamente o privatamente) con tutti i metadati allegati (ora/data/geolocalizzazione) e il vostro volto. Ricordate che queste possono essere e saranno indicizzate da Facebook/Google/Yandex/Apple e probabilmente da tutte e tre le agenzie di stampa.


Sebbene questo non sia ancora disponibile per gli agenti di polizia locale, potrebbe esserlo nel prossimo futuro.


Idealmente avrete bisogno di una serie di 3-5 luoghi diversi come questo per evitare di usare lo stesso posto due volte. Saranno necessari diversi viaggi nel corso delle settimane per i vari passaggi di questa guida.


Per una maggiore sicurezza, si potrebbe anche pensare di collegarsi a questi luoghi da una distanza di sicurezza. Vedere l'Appendice Q: Utilizzo di un'antenna a lungo raggio per connettersi al Wi-Fi pubblico da una distanza di sicurezza.

 

[HEISENBERG]

Il percorso della coda.

Questa parte della guida vi aiuterà a configurare Tails se una delle seguenti condizioni è vera:

• Non potete permettervi un computer portatile dedicato
• Il vostro portatile dedicato è troppo vecchio e lento
• Le vostre competenze informatiche sono molto scarse
• Decidete comunque di utilizzare Tails

Tails è l'acronimo di The Amnesic Incognito Live System. Si tratta di un sistema operativo live avviabile da una chiavetta USB, progettato per non lasciare tracce e per forzare tutte le connessioni attraverso la rete Tor.


In pratica, si inserisce la chiavetta USB Tails nel computer portatile, la si avvia e si ha un sistema operativo completo che funziona nel rispetto della privacy e dell'anonimato. Non appena si spegne il computer, tutto sparisce, a meno che non lo si sia salvato da qualche parte.


Tails è un modo molto semplice per iniziare a lavorare in poco tempo con quello che si ha a disposizione e senza dover imparare molto. Dispone di un'ampia documentazione e di esercitazioni.


ATTENZIONE: Tails non è sempre aggiornato con il software in dotazione. E non è sempre aggiornato nemmeno con gli aggiornamenti del browser Tor. Dovete sempre assicurarvi di utilizzare l'ultima versione di Tails e dovete usare estrema cautela quando utilizzate le applicazioni in bundle con Tails che potrebbero essere vulnerabili agli exploit e rivelare la vostraposizione265.


Tuttavia, presenta alcuni svantaggi:

• Tails utilizza Tor e quindi si utilizzerà Tor per accedere a qualsiasi risorsa su Internet. Questo fatto da solo vi renderà sospetti per la maggior parte delle piattaforme in cui volete creare account anonimi (questo verrà spiegato più avanti in dettaglio).
• Anche il vostro ISP (che sia il vostro o un Wi-Fi pubblico) vedrà che state usando Tor e questo potrebbe rendervi di per sé sospetti.
• Tails non include (in modo nativo) alcuni dei software che potreste voler utilizzare in seguito, il che complica non poco le cose se volete eseguire alcune cose specifiche (emulatori Android, per esempio).
• Tails utilizza Tor Browser che, pur essendo molto sicuro, viene rilevato dalla maggior parte delle piattaforme e vi impedisce di creare identità anonime su molte piattaforme.
• Tails non vi proteggerà di più dalla chiave inglese da 5$8.
• Tor di per sé potrebbe non essere sufficiente a proteggervi da un avversario con risorse sufficienti, come spiegato in precedenza.

Nota importante: se il vostro portatile è monitorato/supervisionato e sono in vigore alcune restrizioni locali, leggete l' Appendice U: Come aggirare (alcune) restrizioni locali sui computer supervisionati.


Si consiglia di leggere anche la documentazione, le avvertenze e le limitazioni di Tails prima di proseguire https://tails.boum.org/doc/about/warnings/index.en.html [Archive.org].


Tenendo conto di tutto questo e del fatto che la loro documentazione è ottima, vi indirizzerò verso il loro tutorial, ben fatto e ben curato:


https://tails.boum.org/install/index.en.html [ Archive.org], scegliete il vostro gusto e procedete.


Quando avete finito e avete un Tails funzionante sul vostro portatile, andate al passo Creare le vostre identità anonime online più avanti in questa guida.


Se avete problemi di accesso a Tor a causa della censura o di altri problemi, potete provare a usare Tor Bridges seguendo questo tutorial su Tails: https://tails.boum.org/doc/first_steps/welcome_screen/bridge_mode/index.en.html [Archive.org] e trovare ulteriori informazioni su Tor Documentation https://2019.www.torproject.org/docs/bridges [Archive.org].


Se pensate che usare Tor da solo sia pericoloso/sospetto, consultate l'Appendice P: Accedere a Internet nel modo più sicuro possibile quando Tor/VPN non è un'opzione.

 

[HEISENBERG]

Negazione plausibile persistente con Whonix all'interno di Tails.

Considerate il progetto https://github.com/aforensics/HiddenVM [Archive.org] per Tails.


Questo progetto è un'idea intelligente di una soluzione VM autonoma con un solo clic che si potrebbe memorizzare su un disco crittografato utilizzando la plausible deniability256 (vedere Il percorso di Whonix: primi capitoli e anche per alcune spiegazioni sulla plausible deniability, nonché la sezione Come eliminare in modo sicuro file/cartelle/dati specifici su HDD/SSD e unità Thumb: alla fine di questa guida per una maggiore comprensione).


Ciò consentirebbe di creare un sistema ibrido che mescola Tails con le opzioni di virtualizzazione del percorso Whonix di questa guida.

Nota: Per ulteriori spiegazioni sull'isolamento dei flussi, consultare la sezione Scegliere il metodo di connettività nel percorso Whonix.


In breve:

• È possibile eseguire Tails non persistenti da una chiave USB (seguendo le loro raccomandazioni).
• Si possono memorizzare le macchine virtuali persistenti all'interno di un contenuto secondario che può essere crittografato normalmente o utilizzando la funzione di plausible deniability di Veracrypt (queste potrebbero essere macchine virtuali Whonix, ad esempio, o qualsiasi altra).
• Si può beneficiare dell'aggiunta della funzione Tor Stream Isolation (vedere Tor over VPN per maggiori informazioni sull'isolamento dei flussi).

In questo caso, come descritto nel progetto, non dovrebbero esserci tracce delle vostre attività sul computer e il lavoro sensibile potrebbe essere svolto da macchine virtuali memorizzate in un contenitore nascosto che non dovrebbe essere facilmente individuabile da un avversario soft.


Questa opzione è particolarmente interessante per "viaggiare leggeri" e per mitigare gli attacchi forensi mantenendo la persistenza del lavoro. Sono necessarie solo due chiavi USB (una con Tails e una con un contenitore Veracrypt contenente Whonix persistente). La prima chiavetta USB sembrerà contenere solo Tails, mentre la seconda USB sembrerà contenere solo spazzatura casuale, ma avrà un volume di richiamo che potrete mostrare per una negazione plausibile.


Ci si potrebbe anche chiedere se questo comporterà una configurazione "Tor over Tor", ma non è così. Le macchine virtuali Whonix accederanno alla rete direttamente attraverso clearnet e non attraverso Tails Onion Routing.


In futuro, questo potrebbe essere supportato anche dal progetto Whonix stesso, come spiegato qui: https://www.whonix.org/wiki/Whonix-Host [Archive.org], ma non è ancora raccomandato per gli utenti finali.


Ricordate che la crittografia, con o senza plausible deniability, non è una pallottola d'argento e sarà poco utile in caso di tortura. In effetti, a seconda dell'avversario (il vostro modello di minaccia), potrebbe essere saggio non usare affatto Veracrypt (ex TrueCrypt), come mostrato in questa dimostrazione: https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org].


Lanegabilità plausibile è efficace solo contro avversari legittimi morbidi che non ricorreranno a mezzi fisici.


Vedere https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]


ATTENZIONE: consultare l'Appendice K: Considerazioni sull'uso di unità SSD esterne e le sezioni Comprendere le unità HDD e SSD se si intende archiviare tali macchine virtuali nascoste su un'unità SSD esterna:

• Non utilizzare volumi nascosti su unità SSD perché non è supportato/raccomandato da Veracrypt.
• Utilizzare invece contenitori di file anziché volumi crittografati.
• Assicuratevi di sapere come pulire correttamente i dati da un'unità SSD esterna.

Ecco la mia guida su come farlo:

Prima esecuzione.

• Scaricate l'ultima versione di HiddenVM da https://github.com/aforensics/HiddenVM/releases [Archive.org].
• Scaricate l'ultima versione di Whonix XFCE da https://www.whonix.org/wiki/VirtualBox/XFCE [ Archive.org].
• Preparare una chiave/un'unità USB con Veracrypt
  
  • Creare un volume nascosto sull'unità USB/chiave (raccomanderei almeno 16 GB per il volume nascosto).
  • Nel volume esterno, collocare alcuni file esca.
  • Nel volume nascosto, collocare il file dell'appimage HiddenVM
  • Nel volume nascosto, collocare il file ova di Whonix XFCE.
• Avviare in Tails
• Impostare il layout della tastiera come si desidera.
• Selezionare Impostazioni aggiuntive e impostare una password di amministratore (root) (necessaria per l'installazione di HiddenVM).
• Avviare Tails
• Connettersi a una rete wi-fi sicura (questo è un passo necessario per far funzionare il resto).
• Andare in Utilità e Sbloccare il volume (nascosto) Veracrypt (non dimenticare di selezionare la casella di controllo del volume nascosto).
• Avviare l'immagine dell'applicazione HiddenVM
• Quando viene richiesto di selezionare una cartella, selezionare la radice del volume nascosto (dove si trovano i file immagine dell'OVA Whonix e dell'applicazione HiddenVM).
• Lasciate che faccia il suo dovere (in pratica installerà Virtualbox all'interno di Tails con un solo clic).
• Al termine, dovrebbe avviare automaticamente Virtualbox Manager.
• Importare i file OVA di Whonix (vedere Macchine virtuali Whonix:)

Se durante l'importazione si verificano problemi come "NS_ERROR_INVALID_ARG (0x80070057)", probabilmente lo spazio su disco del volume nascosto non è sufficiente per Whonix. Whonix raccomanda 32 GB di spazio libero, ma probabilmente non è necessario e 10 GB dovrebbero essere sufficienti per iniziare. Potete provare a risolvere questo errore rinominando il file Whonix *.OVA in *.TAR e decomprimendolo all'interno di Tails. Una volta terminata la decompressione, eliminate il file OVA e importate gli altri file con la procedura guidata di importazione. Questa volta potrebbe funzionare.

Esecuzioni successive.

• Avvio in Tails
• Connettersi al Wi-Fi
• Sbloccare il volume nascosto
• Avviare l'applicazione HiddenVM
• Questo dovrebbe aprire automaticamente VirtualBox manager e mostrare le macchine virtuali precedenti alla prima esecuzione.

 

[HEISENBERG]

Passi per tutti gli altri percorsi.

Procuratevi un computer portatile dedicato per le vostre attività sensibili.

Idealmente, dovreste procurarvi un computer portatile dedicato che non sia legato a voi in alcun modo (possibilmente pagato in contanti in modo anonimo e usando le stesse precauzioni già menzionate per il telefono e la carta SIM). È consigliabile ma non obbligatorio, perché questa guida vi aiuterà a rendere il vostro portatile il più resistente possibile per evitare fughe di dati attraverso vari mezzi. Tra le vostre identità online e voi stessi ci saranno diverse linee di difesa che dovrebbero impedire alla maggior parte degli avversari di de-anonimizzarvi, a parte gli attori statali/globali dotati di notevoli risorse.


Questo computer portatile dovrebbe essere un computer portatile pulito appena installato (Windows, Linux o MacOS), privo di attività quotidiane e offline (mai collegato alla rete). Nel caso di un portatile Windows, e se lo si è usato prima di tale installazione pulita, non deve essere attivato (reinstallato senza un codice prodotto). In particolare, nel caso dei MacBook, non dovrebbe essere mai stato collegato alla vostra identità in alcun modo. Quindi, acquistate un prodotto di seconda mano in contanti da uno sconosciuto che non conosce la vostra identità.


Questo per mitigare alcuni problemi futuri in caso di fughe di notizie online (tra cui la telemetria del sistema operativo o delle applicazioni) che potrebbero compromettere gli identificatori univoci del portatile durante l'utilizzo (indirizzo MAC, indirizzo Bluetooth e codice prodotto...). Ma anche per evitare di essere rintracciati nel caso in cui si debba smaltire il portatile.


Se il portatile è stato utilizzato in precedenza per scopi diversi (come le attività quotidiane), tutti gli identificatori hardware sono probabilmente noti e registrati da Microsoft o Apple. Se in seguito uno di questi identificatori viene compromesso (da malware, telemetria, exploit, errori umani...) potrebbe ricondurre a voi.


Il portatile deve avere almeno 250 GB di spazio su disco , almeno 6 GB (idealmente 8 GB o 16 GB) di RAM e deve essere in grado di eseguire un paio di macchine virtuali contemporaneamente. Dovrebbe avere una batteria funzionante che duri alcune ore.


Questo portatile può avere un disco rigido (7200 giri/min) o un disco SSD/NVMe. Entrambe le possibilità presentano vantaggi e problemi che verranno illustrati in seguito.


Tutte le future operazioni online eseguite con questo portatile dovrebbero idealmente essere eseguite da una rete sicura, come un Wi-Fi pubblico in un luogo sicuro (vedere Trovare luoghi sicuri con Wi-Fi pubblico decente). Tuttavia, prima è necessario eseguire diverse operazioni offline.

 

[HEISENBERG]

Alcuni consigli per i computer portatili.

Se potete permettervelo, potreste prendere in considerazione l'acquisto di un portatile Purism Librem(https://puri.sm [Archive.org]) o System76(https://system76.com/ [Archive.org]) mentre utilizzate Coreboot (dove Intel IME è disabilitato dalla fabbrica).


In altri casi, consiglierei vivamente di acquistare portatili di tipo Business (cioè non portatili di tipo consumer/gioco), se possibile. Ad esempio, alcuni ThinkPad di Lenovo (i miei preferiti). Qui ci sono elenchi di portatili che attualmente supportano Libreboot e altri in cui è possibile flashare Coreboot da soli (che vi permetterà di disabilitare Intel IME o AMD PSP):

• https://freundschafter.com/research...-intel-me-iamt-and-amd-psp-secure-technology/ [Archive.org]
• https://libreboot.org/docs/hardware/ [Archive.org]
• https://coreboot.org/status/board-status.html [ Archive.org]

Questo perché i portatili business di solito offrono funzioni di sicurezza migliori e più personalizzabili (specialmente nelle impostazioni del BIOS/UEFI) con un supporto più lungo rispetto alla maggior parte dei portatili consumer (Asus, MSI, Gigabyte, Acer...). Le caratteristiche interessanti da ricercare sono IMHO:

• Migliori impostazioni di Secure Boot personalizzate (dove è possibile gestire selettivamente tutte le chiavi e non solo utilizzare quelle standard)
• Password per HDD/SSD in aggiunta alle sole password per BIOS/UEFI.
• I portatili AMD potrebbero essere più interessanti perché alcuni offrono la possibilità di disabilitare AMD PSP (l'equivalente AMD di Intel IME) dalle impostazioni del BIOS/UEFI per impostazione predefinita. Inoltre, poiché AFAIK, AMD PSP è stato sottoposto a verifica e, contrariamente a IME, non è risultato avere alcuna funzionalità "malvagia". Tuttavia, se si sceglie il percorso del sistema operativo Qubes, si consideri Intel, poiché non supporta AMD con il suo sistema anti-malocchio.
• Strumenti di cancellazione sicura dal BIOS (particolarmente utili per le unità SSD/NVMe, vedere l'Appendice M: Opzioni BIOS/UEFI per la cancellazione dei dischi in vari marchi).
• Migliore controllo sulla disabilitazione/abilitazione di periferiche selezionate (porte USB, Wi-Fis, Bluetooth, fotocamera, microfono...).
• Migliori funzioni di sicurezza con la virtualizzazione.
• Protezioni antimanomissione native.
• Supporto più lungo con gli aggiornamenti del BIOS/UEFI (e i successivi aggiornamenti di sicurezza del BIOS/UEFI).
• Alcuni sono supportati da Libreboot

 

[HEISENBERG]

Impostazioni Bios/UEFI/Firmware del computer portatile.

PC.

Queste impostazioni sono accessibili dal menu di avvio del computer portatile. Ecco un buon tutorial di HP che spiega tutti i modi per accedere al BIOS su vari computer: https://store.hp.com/us/en/tech-takes/how-to-enter-bios-setup-windows-pcs [Archive.org]


Di solito si accede premendo un tasto specifico (F1, F2 o Del) all'avvio (prima del sistema operativo).


Una volta entrati, è necessario applicare alcune impostazioni consigliate:

• Disattivare completamente il Bluetooth, se possibile.
• Disattivare la biometria (scanner di impronte digitali), se presente. Tuttavia, si potrebbe aggiungere un controllo biometrico aggiuntivo solo per l'avvio (pre-boot) ma non per accedere alle impostazioni del BIOS/UEFI.
• Disattivare la webcam e il microfono, se possibile.
• Abilitare la password del BIOS/UEFI e utilizzare una lunga passphrase al posto della password (se possibile) e assicurarsi che questa password sia richiesta per:
  
  • Accedere alle impostazioni del BIOS/UEFI stesso
  • Cambiare l'ordine di avvio
  • Avvio/Accensione del dispositivo
• Abilitare la password dell'HDD/SSD se la funzione è disponibile. Questa funzione aggiunge un'altra password sull'unità disco/SSD stessa (non nel firmware BIOS/UEFI) che impedisce l'uso dell'unità disco/SSD in un altro computer senza la password. Si noti che questa funzione è specifica di alcuni produttori e potrebbe richiedere un software specifico per sbloccare il disco da un computer completamente diverso.
• Impedire l'accesso alle opzioni di avvio (l'ordine di avvio) senza fornire la password del BIOS/UEFI, se possibile.
• Disabilitare USB/HDMI o qualsiasi altra porta (Ethernet, Firewire, scheda SD...) se possibile.
• Disabilitare Intel ME, se possibile.
• Disattivare AMD PSP se possibile (l'equivalente di AMD a IME, vedere La vostra CPU).
• Disattivare il Secure Boot se si intende utilizzare QubesOS, in quanto non lo supportano. Mantenetelo attivo se intendete usare Linux/Windows.
• Verificare se il BIOS del portatile dispone di un'opzione di cancellazione sicura per l'HDD/SSD che potrebbe essere utile in caso di necessità.

Abilitatele solo in caso di "necessità" e disabilitatele di nuovo dopo l'uso. Questo può aiutare a mitigare alcuni attacchi nel caso in cui il portatile venga sequestrato mentre è bloccato ma ancora acceso OPPURE nel caso in cui si sia dovuto spegnere piuttosto rapidamente e qualcuno se ne sia impossessato (questo argomento verrà spiegato più avanti in questa guida).

Informazioni sul Secure Boot.

In breve, si tratta di una funzione di sicurezza UEFI progettata per impedire al computer di avviare un sistema operativo il cui bootloader non sia stato firmato da chiavi specifiche memorizzate nel firmware UEFI del portatile.


In pratica, quando il sistema operativo (o il bootloader) lo supporta, è possibile memorizzare le chiavi del bootloader nel firmware UEFI e questo impedirà l'avvio di qualsiasi sistema operativo non autorizzato (ad esempio un live OS USB o qualcosa di simile).


Le impostazioni di Secure Boot sono protette dalla password impostata per accedere alle impostazioni del BIOS/UEFI. Se si dispone di tale password, è possibile disabilitare il Secure Boot e consentire l'avvio di sistemi operativi non firmati sul sistema. Questo può aiutare a mitigare alcuni attacchi Evil-Maid (spiegati più avanti in questa guida).


Nella maggior parte dei casi il Secure Boot è disabilitato per impostazione predefinita oppure è abilitato ma in modalità "setup", che consente l'avvio di qualsiasi sistema. Affinché il Secure Boot funzioni, il sistema operativo deve supportarlo e quindi firmare il proprio bootloader e inviare le chiavi di firma al firmware UEFI. Dopodiché si dovrà andare nelle impostazioni del BIOS/UEFI e salvare le chiavi inviate dal sistema operativo e cambiare il Secure Boot da modalità setup a modalità utente (o modalità personalizzata in alcuni casi).


Dopo aver eseguito questo passaggio, solo i sistemi operativi da cui il firmware UEFI può verificare l'integrità del bootloader saranno in grado di avviarsi.


La maggior parte dei computer portatili ha alcune chiavi predefinite già memorizzate nelle impostazioni di avvio sicuro. Di solito provengono dal produttore stesso o da alcune aziende come Microsoft. Ciò significa che, per impostazione predefinita, sarà sempre possibile avviare alcuni dischi USB anche con l'avvio sicuro. Questi includono Windows, Fedora, Ubuntu, Mint, Debian, CentOS, OpenSUSE, Tails, Clonezilla e molti altri. L'avvio sicuro non è tuttavia supportato da QubesOS in questo momento.


In alcuni portatili, è possibile gestire le chiavi e rimuovere quelle che non si desiderano con una "modalità personalizzata" per autorizzare solo il proprio bootloader che si può firmare da soli se lo si desidera veramente.


Quindi, da cosa protegge Secure Boot? Proteggerà il vostro portatile dall'avvio di bootloader non firmati (dal fornitore del sistema operativo) con, ad esempio, malware iniettato.


Da cosa non protegge Secure Boot?

• Secure Boot non cripta il disco e un avversario può comunque rimuovere il disco dal portatile ed estrarre i dati da esso utilizzando un'altra macchina. L'avvio sicuro è quindi inutile senza la crittografia completa del disco.
• Secure Boot non vi protegge da un bootloader firmato che sarebbe compromesso e firmato dal produttore stesso (Microsoft ad esempio nel caso di Windows). La maggior parte delle distribuzioni Linux mainstream sono firmate al giorno d'oggi e si avviano con Secure Boot abilitato.
• Il Secure Boot può avere difetti ed exploit come qualsiasi altro sistema. Se si utilizza un vecchio computer portatile che non beneficia dei nuovi aggiornamenti del BIOS/UEFI, è possibile che questi non vengano risolti.

Inoltre, ci sono diversi attacchi possibili contro il Secure Boot, come spiegato (in modo approfondito) in questi video tecnici:

• Defcon 22,
  [Invidious]
• BlackHat 2016,
  [Invidious]

Quindi, può essere utile come misura aggiuntiva contro alcuni avversari, ma non tutti. Il Secure Boot di per sé non cripta il disco rigido. Si tratta di un livello aggiuntivo, ma è tutto qui.


Vi consiglio comunque di tenerlo attivo se potete.

Mac.

Impostate una password per il firmware seguendo l'esercitazione qui: https://support.apple.com/en-au/HT204455 [Archive.org].


Dovreste anche attivare la protezione per la reimpostazione della password del firmware (disponibile da Catalina) secondo la documentazione qui: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org].


Questa funzione ridurrà la possibilità per alcuni avversari di utilizzare hack hardware per disabilitare/bypassare la password del firmware. Si noti che questo impedirà anche ad Apple di accedere al firmware in caso di riparazione.

 

[HEISENBERG]

Proteggete fisicamente il vostro portatile.

A un certo punto, inevitabilmente, lascerete il portatile da solo da qualche parte. Non dormirete con lui e non lo porterete ovunque ogni giorno. Dovete fare in modo che sia il più difficile possibile per chiunque manometterlo senza che ve ne accorgiate. Questo è utile soprattutto contro avversari limitati che non useranno una chiave inglese da 5 dollari contro di voi.


È importante sapere che è banalmente facile per alcuni specialisti installare un key logger nel vostro portatile, o semplicemente fare una copia clone del vostro disco rigido che potrebbe in seguito permettere loro di rilevare la presenza di dati criptati al suo interno utilizzando tecniche forensi (maggiori informazioni in seguito).


Ecco un buon metodo economico per rendere il vostro computer portatile a prova di manomissione utilizzando lo smalto per unghie (con brillantini) https://mullvad.net/en/help/how-tamper-protect-laptop/ [Archive.org] (con immagini).


Sebbene sia un buon metodo economico, potrebbe anche destare sospetti in quanto è piuttosto "evidente" e potrebbe rivelare che "avete qualcosa da nascondere". Esistono quindi modi più sottili per ottenere lo stesso risultato. Ad esempio, si potrebbe fare una fotografia macro ravvicinata delle viti posteriori del computer portatile o utilizzare una piccolissima quantità di cera di candela all'interno di una delle viti, che potrebbe apparire come un normale sporco. Si può quindi verificare la manomissione confrontando le fotografie delle viti con quelle nuove. Il loro orientamento potrebbe essere cambiato un po' se l'avversario non è stato abbastanza attento (stringendole esattamente come prima). Oppure la cera nella parte inferiore della testa della vite potrebbe essere stata danneggiata rispetto a prima.

Le stesse tecniche possono essere utilizzate con le porte USB, dove basterebbe mettere una piccola quantità di cera di candela all'interno della spina che verrebbe danneggiata inserendovi una chiave USB.


Negli ambienti più rischiosi, controllate che il vostro portatile non sia stato manomesso prima di utilizzarlo regolarmente.

 

[HEISENBERG]

Il percorso di Whonix.

Scegliere il sistema operativo host (il sistema operativo installato sul portatile).

Questo percorso farà ampio uso di macchine virtuali, che richiederanno un sistema operativo host per eseguire il software di virtualizzazione. In questa parte della guida sono consigliate tre scelte:

• La distribuzione Linux di vostra scelta (escluso Qubes OS)
• Windows 10 (preferibilmente l'edizione Home a causa dell'assenza di Bitlocker)
• MacOS (Catalina o superiore)

Inoltre, è probabile che il vostro Mac sia o sia stato legato a un account Apple (al momento dell'acquisto o dopo l'accesso) e quindi i suoi identificativi hardware unici potrebbero ricondurre a voi in caso di fuga di identificativi hardware.


Anche Linux non è necessariamente la scelta migliore per l'anonimato, a seconda del modello di minaccia. Questo perché l'uso di Windows ci permette di utilizzare facilmente la Plausible Deniability (alias crittografia negabile) a livello di sistema operativo. Purtroppo Windows è anche un incubo per la privacy, ma è l'unica opzione (conveniente) per utilizzare la plausible deniability a livello di sistema operativo. La telemetria e il blocco della telemetria di Windows sono inoltre ampiamente documentati e dovrebbero attenuare molti problemi.


Quindi, cos'è la Plausible Deniability? È la possibilità di collaborare con un avversario che richiede l'accesso al vostro dispositivo/dati senza rivelare il vostro vero segreto. Il tutto utilizzando la crittografia negabile.


Un avversario legittimo potrebbe chiedere la password criptata del vostro computer portatile. In un primo momento potreste rifiutarvi di fornire qualsiasi password (avvalendovi del vostro "diritto di rimanere in silenzio", "diritto di non incriminarvi"), ma alcuni Paesi stanno implementando leggi che esentano da tali diritti (perché i terroristi e "pensate ai bambini"). In questo caso, potreste essere costretti a rivelare la password o a rischiare il carcere per oltraggio alla corte. Qui entra in gioco la negazione plausibile.


Potreste quindi rivelare una password, ma questa darà accesso solo a "dati plausibili" (un sistema operativo esca). La scientifica saprà che è possibile che abbiate nascosto dei dati, ma non sarà in grado di dimostrarlo (se lo fate bene). Voi avrete collaborato e gli investigatori avranno accesso a qualcosa, ma non a ciò che volete effettivamente nascondere. Poiché l'onere della prova dovrebbe ricadere su di loro, non avranno altra scelta se non quella di credervi, a meno che non abbiano la prova che avete nascosto dei dati.


Questa funzione può essere utilizzata a livello di sistema operativo (un sistema operativo plausibile e un sistema operativo nascosto) o a livello di file, dove si avrà un contenitore di file crittografati (simile a un file zip) in cui verranno mostrati file diversi a seconda della password di crittografia utilizzata.


Ciò significa anche che è possibile impostare una configurazione avanzata di "plausible deniability" utilizzando qualsiasi sistema operativo host, ad esempio memorizzando le macchine virtuali su un contenitore di volumi nascosti Veracrypt (attenzione alle tracce nel sistema operativo host che devono essere pulite se il sistema operativo host è persistente, vedere la sezione Alcune misure aggiuntive contro la forensics più avanti). Esiste un progetto per ottenere questo risultato all'interno di Tails(https://github.com/aforensics/HiddenVM [Archive.org]) che rende il sistema operativo host non persistente e utilizza la plausible deniability all'interno di Tails.


Nel caso di Windows, la plausible deniability è anche il motivo per cui si dovrebbe avere Windows 10 Home (e non Pro). Questo perché Windows 10 Pro offre nativamente un sistema di crittografia dell'intero disco (Bitlocker), mentre Windows 10 Home non offre alcuna crittografia dell'intero disco. In seguito utilizzeremo un software open-source di terze parti per la crittografia che consentirà la crittografia dell'intero disco su Windows 10 Home. Questo vi darà una buona scusa (plausibile) per utilizzare questo software. Mentre l'uso di questo software su Windows 10 Pro sarebbe sospetto.


Nota su Linux: Quindi, che dire di Linux e della negabilità plausibile? Sì, è possibile ottenere la negabilità plausibile anche con Linux. Ma è complicato da configurare e IMHO richiede un livello di abilità abbastanza alto che probabilmente non ha bisogno di questa guida per aiutarvi a provarlo.


Sfortunatamente, la crittografia non è una magia e ci sono alcuni rischi:

Minacce con la crittografia.

La chiave da 5 dollari.

Ricordate che la crittografia, con o senza plausible deniability, non è un proiettile d'argento e sarà poco utile in caso di tortura. In effetti, a seconda di chi sia il vostro avversario (il vostro modello di minaccia), potrebbe essere saggio non usare affatto Veracrypt (ex TrueCrypt), come mostrato in questa dimostrazione: https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org].


La negabilità plausibile è efficace solo contro avversari legittimi e morbidi che non ricorreranno a mezzi fisici. Evitate, se possibile, l'uso di software in grado di garantire la negazione plausibile (come Veracrypt) se il vostro modello di minaccia prevede avversari duri. In questo caso, gli utenti di Windows dovrebbero installare Windows Pro come sistema operativo host e utilizzare Bitlocker.


Cfr. https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]

Attacco Evil-Maid.

Gli attacchi Evil Maid sono condotti quando qualcuno manomette il vostro computer portatile mentre siete lontani. Per installare la clonazione del disco rigido, installare malware o un key logger. Se riescono a clonare il disco rigido, possono confrontare l'immagine del disco rigido nel momento in cui l'hanno preso mentre eravate via con quella del disco rigido quando ve lo sequestrano. Se nel frattempo il portatile è stato utilizzato di nuovo, gli esaminatori forensi potrebbero essere in grado di dimostrare l'esistenza dei dati nascosti osservando le variazioni tra le due immagini in quello che dovrebbe essere uno spazio vuoto/non utilizzato. Questo potrebbe portare a una forte prova dell'esistenza di dati nascosti. Se installano un key logger o un malware all'interno del vostro computer portatile (software o hardware), saranno in grado di ottenere semplicemente la password da voi per utilizzarla successivamente quando lo sequestreranno. Questi attacchi possono essere effettuati a casa vostra, in albergo, a un valico di frontiera o ovunque lasciate i vostri dispositivi incustoditi.


È possibile mitigare questo attacco eseguendo le seguenti operazioni (come raccomandato in precedenza):

• dotarsi di una protezione antimanomissione di base (come spiegato in precedenza) per impedire l'accesso fisico ai componenti interni del computer portatile a vostra insaputa. In questo modo si eviterà di clonare i dischi e di installare un key logger fisico a vostra insaputa.
• Disattivate tutte le porte USB (come spiegato in precedenza) all'interno di un BIOS/UEFI protetto da password. Anche in questo caso, non sarà possibile attivarle (senza accedere fisicamente alla scheda madre per reimpostare il BIOS) per avviare un dispositivo USB che potrebbe clonare il disco rigido o installare un malware basato su software che potrebbe fungere da key logger.
• Impostare le password del BIOS/UEFI/Firmware per impedire l'avvio non autorizzato di un dispositivo non autorizzato.
• Alcuni sistemi operativi e software di crittografia dispongono di una protezione anti-EvilMaid che può essere attivata. È il caso di Windows/Veracrypt e QubeOS.

Attacco Cold-Boot.

Gli attacchi cold boot sono più difficili dell'attacco Evil Maid, ma possono far parte di un attacco Evil Maid in quanto richiedono che un avversario entri in possesso del portatile mentre si sta utilizzando attivamente il dispositivo o poco dopo.


L'idea è piuttosto semplice: come mostrato in questo video, un avversario potrebbe teoricamente avviare rapidamente il dispositivo con una speciale chiave USB che copierebbe il contenuto della RAM (la memoria) del dispositivo dopo lo spegnimento. Se le porte USB sono disabilitate o se ritiene di avere bisogno di più tempo, potrebbe aprirlo e "raffreddare" la memoria utilizzando uno spray o altre sostanze chimiche (ad esempio azoto liquido) che impediscono il decadimento della memoria. Potrebbero quindi copiare il suo contenuto per analizzarlo. Questo dump di memoria potrebbe contenere la chiave per decriptare il dispositivo. In seguito applicheremo alcuni principi per mitigare questi problemi.


Nel caso della Plausible Deniability, ci sono stati alcuni studi forensi che hanno dimostrato tecnicamente la presenza dei dati nascosti con un semplice esame forense (senza un Cold Boot/Evil Maid Attack), ma questi sono stati contestati da altri studi e dal manutentore di Veracrypt, quindi non mi preoccuperei troppo di questi studi.


Le stesse misure utilizzate per mitigare gli attacchi Evil Maid dovrebbero essere adottate per gli attacchi Cold Boot, con qualche aggiunta:

• Se il vostro sistema operativo o il software di crittografia lo consentono, dovreste considerare la possibilità di crittografare le chiavi anche all'interno della RAM (questo è possibile con Windows/Veracrypt e verrà spiegato più avanti).
• Dovreste limitare l'uso dello stand-by a riposo e utilizzare invece lo spegnimento o l'ibernazione per evitare che le chiavi di crittografia rimangano nella RAM quando il computer va a riposo. Questo perché la sospensione manterrà l'alimentazione della memoria per riprendere l'attività più velocemente. Solo l'ibernazione e l'arresto cancellano effettivamente la chiave dalla memoria.

Vedere anche https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.org] e https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org].


Ecco anche alcuni strumenti interessanti da considerare per gli utenti Linux per difendersi da questi attacchi:

• https://github.com/0xPoly/Centry [Archive.org] (sfortunatamente non viene mantenuto, quindi ho fatto un fork e una richiesta di pull per aggiornare Veracrypt https://github.com/AnonymousPlanet/Centry [Archive.org], che dovrebbe funzionare ancora)
• https://github.com/hephaest0s/usbkill [Archive.org] (purtroppo anch'esso non mantenuto, a quanto pare)
• https://github.com/Lvl4Sword/Killer [ Archive.org]
• https://askubuntu.com/questions/153245/how-to-wipe-ram-on-shutdown-prevent-cold-boot-attacks [ Archive.org]
• (Qubes OS, solo CPU Intel) https://github.com/QubesOS/qubes-antievilmaid [ Archive.org]

Informazioni su sospensione, ibernazione e spegnimento.

Se si desidera una maggiore sicurezza, è necessario spegnere completamente il portatile ogni volta che lo si lascia incustodito o si chiude il coperchio. Questo dovrebbe pulire e/o liberare la RAM e fornire mitigazioni contro gli attacchi cold boot. Tuttavia, questa operazione può essere un po' scomoda, in quanto dovrete riavviare completamente il computer e digitare una tonnellata di password in varie applicazioni. Riavviare varie macchine virtuali e altre applicazioni. Al suo posto si potrebbe utilizzare l'ibernazione (non supportata su Qubes OS). Poiché l'intero disco è crittografato, l'ibernazione di per sé non dovrebbe rappresentare un grosso rischio per la sicurezza, ma spegnerà comunque il portatile e cancellerà la memoria, consentendovi di riprendere comodamente il vostro lavoro. Ciò che non si deve mai fare è utilizzare la funzione di sospensione standard che mantiene il computer acceso e la memoria alimentata. Si tratta di un vettore di attacco contro gli attacchi di tipo "evil-maid" e "cold-boot" di cui si è parlato in precedenza. Infatti, la memoria accesa contiene le chiavi di crittografia del disco (crittografato o meno) e potrebbe essere accessibile a un avversario esperto.


Questa guida fornirà indicazioni su come abilitare l'ibernazione su vari sistemi operativi host (tranne Qubes OS) se non si vuole spegnere ogni volta.

Fughe di dati locali (tracce) ed esami forensi.

Come accennato in precedenza, si tratta di fughe di dati e tracce dal sistema operativo e dalle applicazioni quando si esegue una qualsiasi attività sul computer. Si tratta soprattutto di contenitori di file crittografati (con o senza plausible deniability) piuttosto che di crittografia a livello di sistema operativo. Tali perdite sono meno "importanti" se l'intero sistema operativo è crittografato (se non si è costretti a rivelare la password).


Supponiamo ad esempio di avere una chiave USB crittografata con Veracrypt e con la plausible deniability abilitata. A seconda della password utilizzata durante il montaggio della chiave USB, si aprirà una cartella decoy o una cartella sensitive. All'interno di queste cartelle, ci saranno documenti/dati esca all'interno della cartella esca e documenti/dati sensibili all'interno della cartella sensibile.


In tutti i casi, si apriranno (molto probabilmente) queste cartelle con Esplora risorse di Windows, Finder di MacOS o qualsiasi altra utility e si farà ciò che si intende fare. Forse modificherete un documento all'interno della cartella sensibile. Forse si cercherà un documento all'interno della cartella. Forse cancellerete un documento o guarderete un video sensibile utilizzando VLC.


Tutte le applicazioni e il sistema operativo potrebbero conservare registri e tracce di tale utilizzo. Questi potrebbero includere il percorso completo delle cartelle/file/disco, l'ora in cui sono stati acceduti, le cache temporanee di questi file, gli elenchi "recenti" in ogni app, il sistema di indicizzazione dei file che potrebbe indicizzare l'unità e persino le miniature che potrebbero essere generate.


Ecco alcuni esempi di tali fughe di notizie:

Windows.

• Windows ShellBags che sono memorizzati all'interno del registro di Windows e che memorizzano silenziosamente varie cronologie di volumi/file/cartelle accessibili.
• Indicizzazione di Windows che conserva tracce dei file presenti nella cartella utente per impostazione predefinita.
• Elenchi recenti (alias elenchi di salto) in Windows e in varie applicazioni che conservano le tracce dei documenti a cui si è acceduto di recente.
• Molte altre tracce sono presenti in vari registri; per maggiori informazioni, consultare questo interessante poster: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org].

MacOS.

• Gatekeeper290 e XProtect tengono traccia della cronologia dei download in un database locale e degli attributi dei file.
• Indicizzazione Spotlight
• Elenchi recenti in varie applicazioni che tengono traccia dei documenti consultati di recente.
• Cartelle temporanee che conservano varie tracce dell'uso delle app e dei documenti.
• Registri MacOS
• ...

Linux.

• Indicizzazione del tracker
• Cronologia di Bash
• Registri USB
• Elenchi recenti in varie applicazioni che conservano le tracce dei documenti a cui si è acceduto di recente.
• Registri Linux
• ...

La scientifica potrebbe utilizzare tutte queste fughe di dati(vedere Fughe di dati locali e Forensics) per dimostrare l'esistenza di dati nascosti e sconfiggere i vostri tentativi di usare la negazione plausibile e di scoprire le vostre varie attività sensibili.


È quindi importante applicare varie misure per impedire alla scientifica di farlo, prevenendo e pulendo queste perdite/tracce e, soprattutto, utilizzando la crittografia dell'intero disco, la virtualizzazione e la compartimentazione.


La scientifica non può estrarre le fughe di dati locali da un sistema operativo a cui non può accedere. La maggior parte delle tracce può essere pulita cancellando l'unità o cancellando in modo sicuro le macchine virtuali (cosa non così facile come si pensa per le unità SSD).


Alcune tecniche di pulizia saranno comunque trattate nella parte "Coprire le tracce" di questa guida, alla fine.

Perdite di dati online.

Sia che si utilizzi una crittografia semplice o una crittografia a negazione plausibile. Anche se avete coperto le vostre tracce sul computer stesso. Esiste comunque il rischio di fughe di dati online che potrebbero rivelare la presenza di dati nascosti.


Latelemetria è un nemico. Come spiegato in precedenza in questa guida, la telemetria dei sistemi operativi ma anche delle applicazioni può inviare online quantità impressionanti di informazioni private.


Nel caso di Windows, questi dati potrebbero ad esempio essere utilizzati per dimostrare l'esistenza di un sistema operativo/volume nascosto su un computer e sarebbero prontamente disponibili presso Microsoft. Pertanto, è di fondamentale importanza disabilitare e bloccare la telemetria con tutti i mezzi a disposizione. Indipendentemente dal sistema operativo utilizzato.

Conclusioni.

Non dovreste mai svolgere attività sensibili da un sistema non crittografato. E anche se è crittografato, probabilmente non dovreste mai svolgere attività sensibili dal sistema operativo host stesso. Dovreste invece utilizzare una macchina virtuale per poter isolare e compartimentare efficacemente le vostre attività ed evitare fughe di dati locali.


Se avete poca o nessuna conoscenza di Linux o se volete usare la plausible deniability del sistema operativo, vi consiglio di scegliere Windows (o di tornare alla strada di Tails) per comodità. Questa guida vi aiuterà a rendere il sistema più rigido possibile per prevenire le perdite. Questa guida vi aiuterà anche a rendere MacOS e Linux il più resistenti possibile per evitare falle simili.


Se non siete interessati alla plausible deniability del sistema operativo e volete imparare a usare Linux, vi consiglio vivamente di scegliere Linux o la strada di Qubes, se il vostro hardware lo consente.


In tutti i casi, il sistema operativo host non dovrebbe mai essere usato per condurre direttamente attività sensibili. Il sistema operativo host verrà utilizzato solo per connettersi a un punto di accesso Wi-Fi pubblico. Verrà lasciato inutilizzato mentre si svolgono attività sensibili e idealmente non dovrebbe essere utilizzato per le attività quotidiane.


Considerate anche la lettura di https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org].

 

[HEISENBERG]

Sistema operativo host Linux.

Come accennato in precedenza, non consiglio di utilizzare il vostro portatile di tutti i giorni per attività molto delicate. O almeno non consiglio di utilizzare il sistema operativo in uso per queste attività. Ciò potrebbe causare fughe di dati indesiderate che potrebbero essere utilizzate per de-anonimizzarvi. Se avete un portatile dedicato a questo scopo, dovreste reinstallare un nuovo sistema operativo pulito. Se non volete cancellare il vostro portatile e ricominciare da capo, dovreste prendere in considerazione la strada di Tails o procedere a vostro rischio e pericolo.


Raccomando inoltre di eseguire l'installazione iniziale completamente offline per evitare qualsiasi perdita di dati.


Dovete sempre ricordare che, nonostante la reputazione, le distribuzioni mainstream di Linux (Ubuntu per esempio) non sono necessariamente più sicure di altri sistemi come MacOS e Windows. Si veda questo riferimento per capire perché https://madaidans-insecurities.github.io/linux.html [Archive.org].

Crittografia dell'intero disco.

Con Ubuntu ci sono due possibilità:

• (consigliata e facile) Crittografare come parte del processo di installazione: https://ubuntu.com/tutorials/install-ubuntu-desktop [Archive.org].
  
  • Questo processo richiede la cancellazione completa dell'intero disco (installazione pulita).
  • Selezionate "Crittografa la nuova installazione di Ubuntu per sicurezza".
• (noioso ma possibile) Crittografare dopo l'installazione: https://help.ubuntu.com/community/ManualFullSystemEncryption [Archive.org]

Per altre distro, dovrete documentarvi, ma probabilmente sarà simile. La crittografia durante l'installazione è molto più semplice nel contesto di questa guida.

Rifiutare/disabilitare qualsiasi telemetria.

• Durante l'installazione, assicurarsi di non consentire la raccolta dei dati se richiesto.
• Se non siete sicuri, assicuratevi di non aver abilitato alcuna telemetria e seguite questo tutorial se necessario https://vitux.com/how-to-force-ubuntu-to-stop-collecting-your-data-from-your-pc/ [Archive.org].
• Qualsiasi altra distro: È necessario documentarsi e scoprire da soli come disabilitare la telemetria, se presente.

Disabilitare tutto ciò che non è necessario.

• Disabilitare il Bluetooth, se abilitato, seguendo questa guida https://www.addictivetips.com/ubuntu-linux-tips/disable-bluetooth-in-ubuntu/ [Archive.org] o lanciando il seguente comando:
  
  • sudo systemctl disable bluetooth.service --force
• Disabilitare l'indicizzazione se abilitata per impostazione predefinita (Ubuntu >19.04) seguendo questa guida https://www.linuxuprising.com/2019/07/how-to-completely-disable-tracker.html [Archive.org] o lanciando i seguenti comandi:
  
  • sudo systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service
    
    • Si può tranquillamente ignorare qualsiasi errore se dice che qualche servizio non esiste
  • sudo tracker reset -hard

Ibernazione.

Come spiegato in precedenza, non si dovrebbero usare le funzioni di sospensione, ma spegnere o ibernare il computer portatile per mitigare alcuni attacchi di tipo evil-maid e cold-boot. Purtroppo, questa funzione è disabilitata per impostazione predefinita su molte distro Linux, tra cui Ubuntu. È possibile attivarla, ma potrebbe non funzionare come previsto. Seguite queste informazioni a vostro rischio e pericolo. Se non volete farlo, non dovreste mai usare la funzione di sospensione e spegnere il computer (e probabilmente impostare il comportamento di chiusura del coperchio su spegnimento invece che su sospensione).


Seguite una di queste esercitazioni per attivare l'ibernazione:

• https://www.how2shout.com/linux/how-to-hibernate-ubuntu-20-04-lts-focal-fossa/ [Archive.org]
• http://www.lorenzobettini.it/2020/07/enabling-hibernation-on-ubuntu-20-04/ [ Archive.org]
• https://blog.ivansmirnov.name/how-to-set-up-hibernate-on-ubuntu-20-04/ [Archive.org ]

Dopo aver abilitato l'ibernazione, modificate il comportamento in modo che il portatile si iberni quando si chiude il coperchio seguendo questo tutorial per Ubuntu 20.04 http://ubuntuhandbook.org/index.php/2020/05/lid-close-behavior-ubuntu-20-04/ [Archive.org] e questo tutorial per Ubuntu 18.04 https://tipsonubuntu.com/2018/04/28/change-lid-close-action-ubuntu-18-04-lts/ [Archive.org].


Sfortunatamente, questo non pulirà la chiave dalla memoria direttamente durante l'ibernazione. Per evitare questo inconveniente, a scapito delle prestazioni, si può considerare la possibilità di crittografare il file di swap seguendo questo tutorial: https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap [Archive.org].


Queste impostazioni dovrebbero mitigare gli attacchi di cold boot se si riesce a ibernare abbastanza velocemente.

Abilitare la randomizzazione degli indirizzi MAC.

• Ubuntu, seguite questi passi https://help.ubuntu.com/community/AnonymizingNetworkMACAddresses [Archive.org].
• Qualsiasi altra distro: dovrete trovare da soli la documentazione, ma dovrebbe essere abbastanza simile a quella di Ubuntu.
• Considerate questo tutorial, che dovrebbe comunque funzionare: https://josh.works/shell-script-basics-change-mac-address [Archive.org].

Irrigidimento di Linux.

Come introduzione leggera per i nuovi utenti di Linux, prendete in considerazione

[Invidious]


Per opzioni più approfondite e avanzate, fare riferimento a:

• Questa eccellente guida: https://madaidans-insecurities.github.io/guides/linux-hardening.html [Archive.org]
• Questa eccellente risorsa wiki: https://wiki.archlinux.org/title/Security [Archive.org]
• Questi eccellenti script basati sulla guida e sul wiki di cui sopra: https://codeberg.org/SalamanderSecurity/PARSEC [ Archive.org]

Impostazione di un browser sicuro.

Vedere l'Appendice G: Browser sicuro sul sistema operativo host.

 

[HEISENBERG]

Sistema operativo host MacOS.

Nota: al momento, questa guida non supporta i MacBook ARM M1 (ancora). A causa del fatto che Virtualbox non supporta ancora questa architettura. Tuttavia, potrebbe essere possibile se si utilizzano strumenti commerciali come VMWare o Parallels, ma questi non sono trattati in questa guida.


Come accennato in precedenza, non consiglio di utilizzare il portatile di tutti i giorni per attività molto delicate. O almeno non consiglio di utilizzare il sistema operativo in uso per queste attività. Ciò potrebbe causare fughe di dati indesiderate che potrebbero essere utilizzate per de-anonimizzarvi. Se avete un portatile dedicato a questo scopo, dovreste reinstallare un nuovo sistema operativo pulito. Se non volete cancellare il vostro portatile e ricominciare da capo, dovreste prendere in considerazione la strada di Tails o procedere a vostro rischio e pericolo.


Vi consiglio inoltre di eseguire l'installazione iniziale completamente offline per evitare qualsiasi perdita di dati.


Non accedete mai al vostro account Apple utilizzando quel Mac.

Durante l'installazione.

• Rimanete offline
• Disattivare tutte le richieste di condivisione dei dati quando richiesto, compresi i servizi di localizzazione.
• Non effettuare l'accesso ad Apple
• Non attivare Siri

Irrigidimento di MacOS.

Come introduzione leggera per i nuovi utenti di MacOS, prendete in considerazione

[Invidious]


Per approfondire la messa in sicurezza e l'indurimento di MacOS, vi consiglio di leggere questa guida su GitHub che dovrebbe coprire molti dei problemi: https://github.com/drduh/macOS-Security-and-Privacy-Guide [Archive.org].


Ecco i passi fondamentali da compiere dopo l'installazione offline:

Abilitare la password del firmware con l'opzione "disable-reset-capability".

Per prima cosa dovreste impostare una password per il firmware seguendo questa guida di Apple: https://support.apple.com/en-us/HT204455 [Archive.org]


Sfortunatamente, alcuni attacchi sono ancora possibili e un avversario potrebbe disabilitare questa password, quindi dovreste seguire anche questa guida per evitare che la password del firmware venga disabilitata da chiunque, Apple compresa: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org]

Attivare l'ibernazione invece della sospensione.

Anche in questo caso, si tratta di prevenire alcuni attacchi cold-boot e evil-maid spegnendo la RAM e pulendo la chiave di crittografia quando si chiude il coperchio. Dovreste sempre o ibernare o spegnere. Su MacOS, la funzione di ibernazione ha persino un'opzione speciale per cancellare specificamente la chiave di crittografia dalla memoria durante l'ibernazione (mentre in altri sistemi operativi si potrebbe dover attendere il decadimento della memoria). Ancora una volta non ci sono opzioni semplici per farlo all'interno delle impostazioni, quindi dovremo eseguire alcuni comandi per abilitare l'ibernazione:

• Aprire un terminale
• Eseguire: sudo pmset -a destroyfvkeyonstandby 1
  
  • Questo comando indicherà a MacOS di distruggere la chiave Filevault in Standby (sleep)
• Eseguire: sudo pmset -a hibernatemode 25
  
  • Questo comando indica a MacOS di spegnere la memoria durante la sospensione invece di eseguire un'ibernazione ibrida che mantiene la memoria accesa. Il risultato sarà un risveglio più lento, ma aumenterà la durata della batteria.

Ora, quando si chiude il coperchio del MacBook, questo dovrebbe andare in ibernazione invece che in sospensione e attenuare i tentativi di eseguire attacchi cold-boot.


Inoltre, è necessario impostare una sospensione automatica (Impostazioni > Energia) in modo che il MacBook si iberni automaticamente se lasciato incustodito.

Disattivare i servizi non necessari.

Disattivate alcune impostazioni non necessarie all'interno delle impostazioni:

• Disattivare il Bluetooth
• Disattivare la fotocamera e il microfono
• Disattivare i servizi di localizzazione
• Disattivare Airdrop
• Disattivare l'indicizzazione

Impedire le chiamate OCSP di Apple.

Si tratta delle famigerate chiamate di "telemetria non bloccabile" di MacOS Big Sur, descritte qui: https://sneak.berlin/20201112/your-computer-isnt-yours/ [Archive.org].


È possibile bloccare le segnalazioni OCSP lanciando il seguente comando nel Terminale:

• sudo sh -c 'echo "127.0.0.1 ocsp.apple.com" >> /etc/hosts'

Prima di agire, però, è bene documentarsi sul problema reale. Questa pagina è un buon punto di partenza: https://blog.jacopo.io/en/post/apple-ocsp/ [Archive.org].


Sta a voi decidere. Io lo bloccherei perché non voglio alcuna telemetria dal mio sistema operativo alla casa madre senza il mio specifico consenso. Nessuno.

Abilitare la crittografia completa del disco (Filevault).

Dovreste attivare la crittografia completa del disco sul vostro Mac utilizzando Filevault, come indicato in questa parte della guida: https://github.com/drduh/macOS-Security-and-Privacy-Guide#full-disk-encryption [Archive.org].


Fate attenzione durante l'abilitazione. Non memorizzate la chiave di ripristino presso Apple, se richiesto (non dovrebbe essere un problema, dato che in questa fase dovreste essere offline). Ovviamente non si vuole che una terza parte abbia la chiave di ripristino.

Randomizzazione dell'indirizzo MAC.

Sfortunatamente, macOS non offre un modo nativo per randomizzare l'indirizzo MAC e quindi dovrete farlo manualmente. Questo verrà resettato a ogni riavvio e dovrete rifarlo ogni volta per assicurarvi di non utilizzare il vostro indirizzo MAC effettivo quando vi connettete a vari Wi-Fi.


Potete farlo lanciando i seguenti comandi nel terminale (senza le parentesi):

• (Disattivare il Wi-Fi) networksetup -setairportpower en0 off
• (Cambiare l'indirizzo MAC) sudo ifconfig en0 ether 88:63:11:11:11:11
• (Riaccendere il Wi-Fi) networksetup -setairportpower en0 on

Impostazione di un browser sicuro.

Vedere l'Appendice G: Browser sicuro sul sistema operativo host.

Sistema operativo host Windows.

Come accennato in precedenza, non è consigliabile utilizzare il portatile di tutti i giorni per attività molto delicate. O almeno non è consigliabile utilizzare il sistema operativo in uso per queste attività. Ciò potrebbe causare fughe di dati indesiderate che potrebbero essere utilizzate per de-anonimizzarvi. Se avete un portatile dedicato a questo scopo, dovreste reinstallare un nuovo sistema operativo pulito. Se non volete cancellare il vostro portatile e ricominciare da capo, dovreste prendere in considerazione la strada di Tails o procedere a vostro rischio e pericolo.


Vi consiglio inoltre di eseguire l'installazione iniziale completamente offline per evitare qualsiasi perdita di dati.

Installazione.

Seguire l'Appendice A: Installazione di Windows


Come introduzione leggera, si consiglia di guardare

[Invidious]

Abilitare la randomizzazione dell'indirizzo MAC.

È necessario randomizzare l'indirizzo MAC come spiegato in precedenza in questa guida:


Andare in Impostazioni > Rete e Internet > Wi-Fi > Abilita indirizzi hardware casuali


In alternativa, è possibile utilizzare questo software gratuito: https://technitium.com/tmac/ [Archive.org].

Impostazione di un browser sicuro.

Vedere Appendice G: Browser sicuro sul sistema operativo host

Attivare alcune impostazioni aggiuntive per la privacy sul sistema operativo host.

Vedere Appendice B: Impostazioni aggiuntive per la privacy di Windows

Crittografia del sistema operativo host di Windows.

Se si intende utilizzare la plausible deniability a livello di sistema.

Veracrypt è il software che vi consiglio per la crittografia completa del disco, la crittografia dei file e la negazione plausibile. Si tratta di un fork del ben noto ma deprecato e non mantenuto TrueCrypt. Può essere utilizzato per

• Crittografia semplice dell'intero disco (il disco rigido viene crittografato con una passphrase).
• Crittografia di tutto il disco con plausible deniability (ciò significa che, a seconda della passphrase immessa all'avvio, si avvierà un sistema operativo esca o un sistema operativo nascosto).
• Crittografia semplice del contenitore di file (si tratta di un file di grandi dimensioni che sarà possibile montare all'interno di Veracrypt come se fosse un'unità esterna per memorizzare i file crittografati).
• Contenitore di file con negazione plausibile (si tratta dello stesso file di grandi dimensioni ma, a seconda della passphrase utilizzata durante il montaggio, si monterà un "volume nascosto" o un "volume esca").

A mia conoscenza è l'unico software di crittografia gratuito, open-source e verificato apertamente che fornisce anche una plausibile negabilità per uso generale e funziona con Windows Home Edition.


Scaricate e installate Veracrypt da: https://www.veracrypt.fr/en/Downloads.html [Archive.org].


Dopo l'installazione, prendetevi un momento per esaminare le seguenti opzioni che vi aiuteranno a mitigare alcuni attacchi:

• Crittografare la memoria con l'opzione Veracrypt (impostazioni > opzioni prestazioni/driver > crittografia RAM) al costo del 5-15% delle prestazioni. Questa impostazione disabilita anche l'ibernazione (che non cancella attivamente la chiave durante l'ibernazione) e invece cripta completamente la memoria per mitigare alcuni attacchi cold-boot.
• Attivate l'opzione Veracrypt per cancellare le chiavi dalla memoria se viene inserito un nuovo dispositivo (sistema > impostazioni > sicurezza > cancella le chiavi dalla memoria se viene inserito un nuovo dispositivo). Questo potrebbe essere utile nel caso in cui il sistema venga sequestrato mentre è ancora acceso (ma bloccato).
• Abilitare l'opzione Veracrypt per montare i volumi come volumi rimovibili (Impostazioni > Preferenze > Monta volume come supporto rimovibile). Questo impedirà a Windows di scrivere alcuni log relativi ai montaggi nei registri eventi e di evitare alcune fughe di dati locali.
• Se percepite qualcosa di strano, prestate attenzione e tenete sotto controllo la situazione. Spegnete il portatile il più rapidamente possibile.
• Anche se le versioni più recenti di Veracrypt supportano il Secure Boot, vi consiglio di disabilitarlo dal BIOS perché preferisco il sistema Veracrypt Anti-Evil Maid al Secure Boot.

Se non si vuole usare la memoria criptata (perché le prestazioni potrebbero essere un problema), si dovrebbe almeno attivare l'ibernazione invece della sospensione. Questo non cancellerà le chiavi dalla memoria (sarete ancora vulnerabili agli attacchi cold boot), ma almeno dovrebbe mitigarli un po' se la memoria ha abbastanza tempo per decadere.


Maggiori dettagli in seguito in Percorso A e B: Crittografia semplice con Veracrypt (esercitazione per Windows).

Se non si intende utilizzare la plausible deniability a livello di sistema.

In questo caso, raccomando l'uso di BitLocker invece di Veracrypt per la crittografia dell'intero disco. Il ragionamento è che BitLocker non offre una possibilità di plausible deniability, contrariamente a Veracrypt. Un avversario agguerrito non ha quindi alcun incentivo a proseguire il suo interrogatorio "rafforzato" se si rivela la passphrase.


Di norma, in questo caso dovreste aver installato Windows Pro e la configurazione di BitLocker è abbastanza semplice.


In linea di massima potete seguire le istruzioni qui: https://support.microsoft.com/en-us...cryption-0c453637-bc88-5f74-5105-741561aae838 [Archive.org].


Ma ecco i passi da seguire:

• Fare clic sul menu di Windows
• Digitare "Bitlocker".
• Fare clic su "Gestisci Bitlocker".
• Fare clic su "Attiva Bitlocker" sull'unità di sistema
• Seguire le istruzioni
  
  • Non salvare la chiave di recupero in un account Microsoft se richiesto.
  • Salvare la chiave di recupero solo su un'unità esterna crittografata. Per evitare questo problema, stampare la chiave di ripristino utilizzando la stampante Microsoft Print to PDF e salvare la chiave nella cartella Documenti.
  • Crittografare l'intera unità (non crittografare solo lo spazio su disco utilizzato).
  • Utilizzare "Nuova modalità di crittografia".
  • Eseguire il controllo BitLocker
  • Riavviare
• La crittografia dovrebbe ora essere avviata in background (si può verificare facendo clic sull'icona di Bitlocker in basso a destra della barra delle applicazioni).

Abilitare l'ibernazione (opzionale).

Ancora una volta, come spiegato in precedenza. Non si dovrebbe mai usare la funzione di sospensione per mitigare alcuni attacchi cold-boot e evil-maid. Si dovrebbe invece spegnere o ibernare il computer. Pertanto, si dovrebbe passare dalla funzione di sospensione a quella di ibernazione quando si chiude il coperchio o quando il portatile va a dormire.


(Si noti che non è possibile attivare l'ibernazione se in precedenza è stata attivata la crittografia della RAM in Veracrypt).


Il motivo è che l'ibernazione spegne completamente il portatile e pulisce la memoria. La sospensione, invece, lascia la memoria accesa (compresa la chiave di decrittografia) e potrebbe rendere il portatile vulnerabile agli attacchi cold-boot.


Per impostazione predefinita, Windows 10 potrebbe non offrire questa possibilità, quindi dovreste attivarla seguendo questa guida di Microsoft: https://docs.microsoft.com/en-us/tr.../deployment/disable-and-re-enable-hibernation [Archive.org].

• Aprite un prompt dei comandi da amministratore (fate clic con il pulsante destro del mouse su Prompt dei comandi e "Esegui come amministratore").
• Eseguire: powercfg.exe /hibernate on
• Eseguire ora il comando aggiuntivo: **powercfg /h /type full**
  
  • Questo comando si assicurerà che la modalità di ibernazione sia piena e pulirà completamente la memoria (non in modo sicuro).

Dopodiché si dovrebbe entrare nelle impostazioni di alimentazione:

• Aprire il Pannello di controllo
• Aprire Sistema e sicurezza
• Aprire Opzioni di alimentazione
• Aprite "Scegli cosa fa il pulsante di accensione".
• Modificare tutto da sospensione a ibernazione o spegnimento
• Tornare alle opzioni di alimentazione
• Selezionare Modifica impostazioni piano
• Selezionare Impostazioni avanzate di alimentazione
• Modificare tutti i valori di sospensione per ciascun piano di risparmio energetico in 0 (mai).
• Assicurarsi che la modalità di sospensione ibrida sia disattivata per ogni piano di risparmio energetico.
• Abilitare l'ibernazione dopo il tempo desiderato.
• Disattivare tutti i timer di risveglio

Decidere quale percorso secondario seguire.

Ora dovrete scegliere il passo successivo tra due opzioni:

• Percorso A: Semplice crittografia del sistema operativo attuale
  
  • Pro:
    
    • Non richiede la cancellazione del laptop
    • Nessun problema di perdita di dati locali
    • Funziona bene con un'unità SSD
    • Funziona con qualsiasi sistema operativo
    • Semplice
  • Contro:
    
    • Potreste essere costretti da un avversario a rivelare la vostra password e tutti i vostri segreti e non avrete alcuna possibilità di negazione plausibile.
    • Pericolo di fughe di dati online
• Percorso B: semplice crittografia del sistema operativo attuale con successivo utilizzo della negazione plausibile sui file stessi:
  
  • Pro:
    
    • Non richiede la cancellazione del laptop
    • Funziona bene con un'unità SSD
    • Funziona con qualsiasi sistema operativo
    • Possibilità di negazione plausibile con avversari "morbidi".
  • Contro:
    
    • Pericolo di fughe di dati online
    • Pericolo di fughe di dati locali (che comporterà più lavoro per ripulire tali fughe)
• Percorso C: Negabilità plausibile Crittografia del sistema operativo (avrete un "OS nascosto" e un "OS esca" in esecuzione sul portatile):
  
  • Pro:
    
    • Nessun problema di fughe di dati locali
    • Negazione plausibile possibile con avversari "morbidi".
  • Contro:
    
    • Richiede Windows (questa funzione non è "facilmente" supportata su Linux).
    • Pericolo di fughe di dati online
    • Richiede la cancellazione completa del computer portatile
    • Non utilizzabile con un'unità SSD a causa della necessità di disabilitare le operazioni di ritaglio. Questa operazione deteriorerà gravemente le prestazioni/la salute dell'unità SSD nel corso del tempo.

Come si può notare, il percorso C offre solo due vantaggi in termini di privacy rispetto agli altri e sarà utile solo contro un avversario legittimo e morbido. Ricordate https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org].


Sta a voi decidere quale percorso seguire. Il percorso A è il minimo.


Assicuratevi sempre di controllare frequentemente la presenza di nuove versioni di Veracrypt per assicurarvi di beneficiare delle ultime patch. Verificate in particolare prima di applicare aggiornamenti di Windows di grandi dimensioni che potrebbero rompere il bootloader di Veracrypt e farvi entrare in un loop di avvio.


NOTA CHE PER DEFAULT VERACRYPT PROPONE SEMPRE UNA PASSWORD DI SISTEMA IN QWERTY (visualizza la password come test). Questo può causare problemi se l'input di avvio viene utilizzato con la tastiera del portatile (ad esempio AZERTY), poiché la password è stata impostata in QWERTY e all'avvio viene inserita in AZERTY. Pertanto, durante l'avvio di prova, verificare il layout della tastiera utilizzato dal BIOS. Il login potrebbe fallire proprio a causa della confusione tra QWERTY e AZERTY. Se il BIOS si avvia con AZERTY, è necessario digitare la password in QWERTY all'interno di Veracrypt.

Percorso A e B: Crittografia semplice con Veracrypt (esercitazione per Windows)

Saltate questo passaggio se avete usato BitLocker.


Non è necessario avere un disco rigido per questo metodo e non è necessario disabilitare Trim in questo percorso. Le perdite di Trim saranno utili solo alla scientifica per rilevare la presenza di un volume nascosto, ma non saranno di grande utilità per il resto.


Questo percorso è piuttosto semplice e si limita a crittografare il sistema operativo corrente senza perdere alcun dato. Assicuratevi di leggere tutti i testi che Veracrypt vi mostra in modo da avere una comprensione completa di ciò che sta accadendo.

• Avviare VeraCrypt
• Andate in Impostazioni:
  
  • Impostazioni > Opzioni prestazioni/driver > Crittografa RAM
  • Sistema > Impostazioni > Sicurezza > Cancella le chiavi dalla memoria se viene inserito un nuovo dispositivo
  • Sistema > Impostazioni > Windows > Abilita Desktop sicuro
• Selezionare Sistema
• Selezionare Crittografa partizione/disco di sistema
• Selezionare Normale (semplice)
• Selezionare Single-Boot
• Selezionare AES come algoritmo di crittografia (fare clic sul pulsante di prova se si desidera confrontare le velocità).
• Selezionare SHA-512 come algoritmo di hash (perché no).
• Inserite una passphrase forte (più lunga è meglio è, ricordate l'Appendice A2: Linee guida per password e passphrase)
• Raccogliere un po' di entropia muovendo a caso il cursore finché la barra non si riempie.
• Fare clic su Avanti per visualizzare la schermata Chiavi generate
• Se salvare il disco o non salvare il disco, dipende da voi. Vi consiglio di crearne uno (per ogni evenienza), ma assicuratevi di conservarlo al di fuori dell'unità crittografata (ad esempio una chiavetta USB, oppure aspettate e consultate la fine di questa guida per una guida sui backup sicuri). Questo disco di ripristino non memorizzerà la passphrase e sarà comunque necessario per utilizzarlo.
• Modalità di cancellazione:
  
  • Se non ci sono ancora dati sensibili su questo portatile, selezionare Nessuno.
  • Se avete dati sensibili su un'unità SSD, Trim da solo dovrebbe occuparsene, ma vi consiglio di fare un solo passaggio (dati casuali) per essere sicuri.
  • Se sono presenti dati sensibili su un'unità disco, non c'è Trim e si consiglia almeno un passaggio.
• Testare la configurazione. Veracrypt riavvia il sistema per testare il bootloader prima della crittografia. Questo test deve essere superato affinché la crittografia vada avanti.
• Dopo il riavvio del computer e il superamento del test. Verrà richiesto da Veracrypt di avviare il processo di crittografia.
• Avviare la crittografia e attendere il completamento.
• Il gioco è fatto, saltate il percorso B e passate ai passi successivi.

Ci sarà un'altra sezione sulla creazione di contenitori di file crittografati con Plausible Deniability su Windows.

Percorso B: Crittografia Plausible Deniability con un sistema operativo nascosto (solo Windows)

È supportata solo su Windows.


È consigliata solo su un'unità HDD. Non è consigliato su un'unità SSD.


Il sistema operativo nascosto non deve essere attivato (con un codice prodotto MS). Pertanto, questo percorso vi consiglierà e vi guiderà attraverso un'installazione pulita completa che cancellerà tutto ciò che è presente sul vostro portatile.


Leggete la documentazione di Veracrypt https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org] (Processo di creazione del sistema operativo nascosto) e https://www.veracrypt.fr/en/Security Requirements for Hidden Volumes.html [Archive.org] (Requisiti di sicurezza e precauzioni relative ai volumi nascosti).


Ecco come apparirà il sistema al termine di questo processo:

(Illustrazione tratta da Veracrypt Documentation, https://veracrypt.fr/en/VeraCrypt Hidden Operating System.html [ Archive.org])


Come si può notare, questo processo richiede la presenza di due partizioni sul disco rigido fin dall'inizio.


Questo processo eseguirà le seguenti operazioni:

• Crittografare la seconda partizione (il volume esterno), che apparirà come un disco vuoto non formattato dal sistema operativo di facciata.
• Vi chiederà di copiare alcuni contenuti dell'esca all'interno del volume esterno.
  
  • In questo caso, copierete la vostra collezione di Anime/Porno da un disco rigido esterno al volume esterno.
• Creare un volume nascosto all'interno del volume esterno della seconda partizione. Qui risiederà il sistema operativo nascosto.
• Clonare l'installazione di Windows 10 attualmente in esecuzione sul volume nascosto.
• Cancellare il sistema operativo Windows 10 attualmente in esecuzione.
• Ciò significa che il vostro Windows 10 corrente diventerà il Windows 10 nascosto e che dovrete reinstallare un nuovo sistema operativo Windows 10.

Obbligatorio se si dispone di un'unità SSD e si vuole comunque eseguire questa operazione contro le raccomandazioni: Disabilitare SSD Trim in Windows (anche in questo caso non è assolutamente raccomandato, in quanto la disabilitazione di Trim è di per sé molto sospetta). Inoltre, come già accennato, la disabilitazione di Trim ridurrà la durata dell'unità SSD e inciderà in modo significativo sulle sue prestazioni nel tempo (il portatile diventerà sempre più lento nel corso di diversi mesi di utilizzo fino a diventare quasi inutilizzabile, a quel punto sarà necessario pulire l'unità e reinstallare tutto). Ma è necessario farlo per evitare fughe di dati che potrebbero consentire alla scientifica di sconfiggere la vostra plausibile negabilità. L'unico modo per ovviare a questo problema al momento è avere un portatile con un'unità HDD classica.

 

[HEISENBERG]

Fase 1: Creare una chiave USB per l'installazione di Windows 10

Consultate l'Appendice C: Creazione del supporto di installazione di Windows e scegliete la via della chiave USB.

Fase 2: Avviare la chiave USB e avviare il processo di installazione di Windows 10 (sistema operativo nascosto)

• Inserire la chiave USB nel computer portatile
• Vedere l'Appendice A: Installazione di Windows e procedere con l'installazione di Windows 10 Home.

Fase 3: Impostazioni sulla privacy (sistema operativo nascosto)

Vedere Appendice B: Impostazioni aggiuntive di Windows per la privacy

Fase 4: avvio del processo di installazione e crittografia di Veracrypt (sistema operativo nascosto)

Ricordarsi di leggere https://www.veracrypt.fr/en/VeraCrypt Sistema operativo nascosto.html [Archive.org].


Non collegare questo sistema operativo alla rete Wi-Fi conosciuta. È necessario scaricare il programma di installazione di Veracrypt da un altro computer e copiare il programma di installazione qui utilizzando una chiave USB.

• Installare Veracrypt
• Avviare Veracrypt
• Accedere a Impostazioni:
  
  • Impostazioni > Prestazioni/Opzioni driver > Crittografia RAM(si noti che questa opzione non è compatibile con l'ibernazione del laptop e significa che dovrete spegnerlo completamente).
  • Sistema > Impostazioni > Sicurezza > Cancella le chiavi dalla memoria se viene inserito un nuovo dispositivo
  • Sistema > Impostazioni > Windows > Abilita Desktop sicuro
• Andare in Sistema e selezionare Crea sistema operativo nascosto
• Leggete attentamente tutte le richieste
• Selezionare Single-Boot se richiesto
• Creare il volume esterno utilizzando AES e SHA-512.
• Utilizzare tutto lo spazio disponibile sulla seconda partizione per il volume esterno.
• Utilizzare una passphrase forte (ricordare l'Appendice A2: Linee guida per password e passphrase).
• Selezionare Sì ai file di grandi dimensioni
• Creare un po' di entropia muovendo il mouse fino a riempire la barra e selezionare NTFS (non selezionare exFAT perché vogliamo che il volume esterno abbia un aspetto "normale" e NTFS è normale).
• Formattare il volume esterno
• Aprire il volume esterno:
  
  • In questa fase, è necessario copiare i dati dell'esca sul volume esterno. Quindi, dovreste avere alcuni file/cartelle sensibili ma non così sensibili da copiare lì. Nel caso in cui sia necessario rivelare una password per questo volume. Questo è un buon posto per la vostra collezione di Anime/Mp3/Movies/Porno.
  • Vi consiglio di non riempire troppo o troppo poco il volume esterno (circa il 40%). Ricordate di lasciare spazio sufficiente per il sistema operativo nascosto (che avrà le stesse dimensioni della prima partizione creata durante l'installazione).
• Utilizzate una passphrase forte per il volume nascosto (ovviamente diversa da quella per il volume esterno).
• Ora si creerà il volume nascosto, selezionando AES e SHA-512.
• Riempire la barra dell'entropia fino alla fine con movimenti casuali del mouse.
• Formattare il volume nascosto
• Procedere con la clonazione
• Veracrypt ora riavvierà e clonerà il Windows da cui è partito il processo nel volume nascosto. Questo Windows diventerà il vostro sistema operativo nascosto.
• Al termine della clonazione, Veracrypt si riavvia nel sistema nascosto.
• Veracrypt informerà che il sistema nascosto è ora installato e chiederà di cancellare il sistema operativo originale (quello installato in precedenza con la chiave USB).
• Utilizzare 1-Pass Wipe e procedere.
• Ora il sistema operativo nascosto è installato, passare al passaggio successivo.

Fase 5: riavviare la chiavetta USB e avviare nuovamente il processo di installazione di Windows 10 (Decoy OS)

Ora che il sistema operativo nascosto è completamente installato, è necessario installare un sistema operativo esca.

• Inserire la chiave USB nel computer portatile
• Vedere l'Appendice A: Installazione di Windows e procedere con una nuova installazione di Windows 10 Home (non installare una versione diversa e attenersi a Home).

Passo 6: Impostazioni sulla privacy (Decoy OS)

Vedere Appendice B: Impostazioni aggiuntive di Windows per la privacy

Fase 7: avvio dell'installazione di Veracrypt e del processo di crittografia (Decoy OS)

Ora si procederà alla crittografia di Decoy OS:

• Installare Veracrypt
• Avviare VeraCrypt
• Selezionare Sistema
• Selezionare Crittografa partizione/disco di sistema
• Selezionare Normale (semplice)
• Selezionare Single-Boot
• Selezionare AES come algoritmo di crittografia (fare clic sul pulsante di prova se si desidera confrontare le velocità).
• Selezionare SHA-512 come algoritmo di hash (perché no).
• Inserite una breve password debole (sì, è una cosa seria, fatelo, vi sarà spiegato più avanti).
• Raccogliere un po' di entropia muovendo a caso il cursore fino a riempire la barra.
• Fare clic su Avanti per visualizzare la schermata Chiavi generate
• Se salvare il disco o non salvare il disco, dipende da voi. Vi consiglio di crearne uno (per ogni evenienza), ma assicuratevi di conservarlo al di fuori dell'unità crittografata (una chiavetta USB, ad esempio, oppure aspettate e consultate la fine di questa guida per una guida sui backup sicuri). Questo disco di ripristino non memorizzerà la passphrase e sarà comunque necessario per utilizzarlo.
• Modalità di cancellazione: Selezionare 1-Pass per sicurezza
• Prova preliminare della configurazione. Veracrypt riavvia il sistema per testare il bootloader prima della crittografia. Questo test deve essere superato per poter procedere con la crittografia.
• Dopo il riavvio del computer e il superamento del test. Verrà richiesto da Veracrypt di avviare il processo di crittografia.
• Avviare la crittografia e attendere il completamento.
• Il sistema operativo Decoy è ora pronto per l'uso.

Fase 8: Prova della configurazione (avvio in entrambi)

È ora di testare la configurazione.

• Riavviate e inserite la passphrase del sistema operativo nascosto: l'avvio dovrebbe avvenire nel sistema operativo nascosto.
• Riavviare e inserire la passphrase del sistema operativo Decoy, per avviare il sistema operativo Decoy.
• Avviare Veracrypt sul sistema operativo Decoy e montare la seconda partizione utilizzando la passphrase del volume esterno (montarla in sola lettura, andando in Opzioni di montaggio e selezionando Solo lettura) e dovrebbe montare la seconda partizione in sola lettura visualizzando i dati dell'esca (la raccolta di Anime/Porno). La montate in sola lettura perché se doveste scriverci dei dati, potreste sovrascrivere il contenuto del vostro sistema operativo nascosto.

Passo 9: modificare i dati esca sul volume esterno in modo sicuro

Prima di passare al passo successivo, è necessario imparare a montare il volume esterno in modo sicuro per scrivervi contenuti. Questo è spiegato anche nella documentazione ufficiale di Veracrypt https://www.veracrypt.fr/en/Protection of Hidden Volumes.html [Archive.org].


È necessario eseguire questa operazione da un luogo sicuro e fidato.


In pratica, si monta il volume esterno fornendo anche la passphrase del volume nascosto nelle opzioni di montaggio per proteggere il volume nascosto dalla sovrascrittura. Veracrypt consentirà quindi di scrivere dati sul volume esterno senza rischiare di sovrascrivere i dati sul volume nascosto.


Questa operazione non monta effettivamente il volume nascosto e dovrebbe impedire la creazione di prove forensi che potrebbero portare alla scoperta del sistema operativo nascosto. Tuttavia, mentre si esegue questa operazione, entrambe le password saranno memorizzate nella RAM e quindi si potrebbe essere ancora soggetti a un attacco Cold-Boot. Per mitigare questo problema, assicuratevi di avere l'opzione di criptare anche la RAM.

• Aprite Veracrypt
• Selezionare la seconda partizione
• Fare clic su Monta
• Fare clic su Opzioni di montaggio
• Selezionare l'opzione "Proteggi il volume nascosto...". Opzione
• Immettere la passphrase del sistema operativo nascosto
• Fare clic su OK
• Immettere la passphrase del volume esterno
• Fare clic su OK
• Ora dovreste essere in grado di aprire e scrivere sul volume esterno per modificarne il contenuto (copiare/spostare/cancellare/modificare...).

Passo 10: Lasciare una prova forense del volume esterno (con i dati dell'esca) all'interno del sistema operativo esca.

Dobbiamo rendere il Decoy OS il più plausibile possibile. Vogliamo anche che l'avversario pensi che non siete così intelligenti.


Pertanto, è importante lasciare volontariamente alcune prove forensi del contenuto dell'esca all'interno del sistema operativo dell'esca. Queste prove permetteranno agli esaminatori forensi di capire che avete montato il vostro Outer Volume frequentemente per accedere al suo contenuto.


Ecco alcuni buoni consigli per lasciare delle prove forensi:

• Riprodurre il contenuto dell'Outer Volume dal sistema operativo Decoy (ad esempio, utilizzando VLC). Assicurarsi di conservarne la cronologia.
• Modificare i documenti e lavorarci dentro.
• Abilitare nuovamente l'indicizzazione dei file sul sistema operativo esca e includere il volume esterno montato.
• Smontarlo e montarlo frequentemente per guardare alcuni contenuti.
• Copiare alcuni contenuti dal volume esterno al sistema operativo esca e poi eliminarli in modo non sicuro (basta metterli nel cestino).
• Installare un client Torrent sul Decoy OS e utilizzarlo di tanto in tanto per scaricare materiale simile da lasciare sul Decoy OS.
• Potreste installare un client VPN sul sistema operativo Decoy con una vostra VPN nota (non pagata in contanti).

Non inserite nulla di sospetto nel sistema operativo Decoy, ad esempio:

• Questa guida
• Qualsiasi link a questa guida
• Qualsiasi software di anonimato sospetto come Tor Browser

Note.

Ricordate che per far funzionare questo scenario di negazione plausibile avrete bisogno di scuse valide:


Prendetevi un po' di tempo per rileggere la sezione "Possibili spiegazioni per l'esistenza di due partizioni Veracrypt su una singola unità" della documentazione di Veracrypt qui https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org].

• Si utilizza Veracrypt perché si utilizza Windows 10 Home, che non dispone di Bitlocker, ma si desidera comunque la privacy.
• Avete due partizioni perché volevate separare il sistema e i dati per facilitare l'organizzazione e perché un amico geek vi ha detto che era meglio per le prestazioni.
• Avete usato una password debole per facilitare l'avvio del sistema e una passphrase lunga e forte per il volume esterno perché eravate troppo pigri per digitare una passphrase forte a ogni avvio.
• Avete crittografato la seconda partizione con una password diversa da quella del sistema perché non volete che nessuno del vostro entourage veda le vostre cose. Quindi, non volevate che quei dati fossero disponibili a nessuno.

Fate attenzione:

• Non si deve mai montare il volume nascosto dal sistema operativo esca (MAI). Se lo fate, creerete prove forensi del volume nascosto all'interno del sistema operativo esca che potrebbero compromettere il vostro tentativo di negazione plausibile. Se lo avete fatto comunque (intenzionalmente o per errore) dal sistema operativo esca, ci sono modi per cancellare le prove forensi che verranno spiegati più avanti, alla fine di questa guida.
• Non utilizzare mai il Decoy OS dalla stessa rete (Wi-Fi pubblico) del sistema operativo nascosto.
• Quando si monta il volume esterno dal sistema operativo esca, non scrivere alcun dato all'interno del volume esterno, in quanto ciò potrebbe annullare quello che sembra spazio vuoto ma che in realtà è il sistema operativo nascosto. È necessario montarlo sempre in sola lettura.
• Se si desidera modificare il contenuto dell'esca del volume esterno, è necessario utilizzare una chiave USB con sistema operativo live che esegua Veracrypt.
• Si noti che non si utilizzerà il sistema operativo nascosto per eseguire attività sensibili, che verranno eseguite in seguito da una macchina virtuale all'interno del sistema operativo nascosto. Il sistema operativo nascosto ha il solo scopo di proteggere l'utente da un avversario non fidato che potrebbe accedere al computer portatile e costringerlo a rivelare la password.
• Fate attenzione a qualsiasi manomissione del vostro portatile. Gli attacchi maligni possono rivelare il sistema operativo nascosto.

 

[HEISENBERG]

Virtualbox sul sistema operativo host.

Ricordare l'Appendice W: Virtualizzazione.


Questo passaggio e i successivi devono essere eseguiti dal sistema operativo host. Questo può essere il sistema operativo host con crittografia semplice (Windows/Linux/MacOS) o il sistema operativo nascosto con negazione plausibile (solo Windows).


In questo percorso, faremo ampio uso del software gratuito Virtualbox di Oracle. Si tratta di un software di virtualizzazione in cui è possibile creare macchine virtuali che emulano un computer su cui è in esecuzione uno specifico sistema operativo (se volete usare qualcos'altro come Xen, Qemu, KVM o VMWARE, sentitevi liberi di farlo, ma questa parte della guida riguarda solo Virtualbox per comodità).


Quindi, è bene sapere che Virtualbox non è il software di virtualizzazione con il miglior curriculum in termini di sicurezza e che alcuni dei problemi segnalati non sono stati completamente risolti fino ad oggi; se si utilizza Linux con un po' più di competenze tecniche, si dovrebbe prendere in considerazione l'utilizzo di KVM seguendo la guida disponibile su Whonix qui https://www.whonix.org/wiki/KVM [Archive.org] e qui https://www.whonix.org/wiki/KVM#Why_Use_KVM_Over_VirtualBox.3F [Archive.org].


In tutti i casi è necessario adottare alcuni accorgimenti:


Tutte le attività sensibili saranno svolte all'interno di una macchina virtuale guest con Windows 10 Pro (non Home questa volta), Linux o MacOS.


Questo comporta alcuni vantaggi che vi aiuteranno notevolmente a rimanere anonimi:

• Dovrebbe impedire al sistema operativo della macchina virtuale guest (Windows/Linux/MacOS), alle app e a qualsiasi telemetria all'interno delle macchine virtuali di accedere direttamente al vostro hardware. Anche se la vostra VM è compromessa da un malware, questo malware non dovrebbe essere in grado di accedere alla VM e compromettere il vostro laptop reale.
• Ci consentirà di forzare tutto il traffico di rete dalla vostra VM client a passare attraverso un'altra VM gateway che dirigerà (torifica) tutto il traffico verso la rete Tor. Si tratta di un "kill switch" di rete. La vostra VM perderà completamente la connettività di rete e andrà offline se l'altra VM perde la connessione alla rete Tor.
• La stessa macchina virtuale che dispone di connettività Internet solo attraverso un gateway di rete Tor si connetterà al vostro servizio VPN pagato in contanti attraverso Tor.
• Le fughe di DNS saranno impossibili perché la macchina virtuale si trova su una rete isolata che deve passare attraverso Tor in ogni caso.

 

[HEISENBERG]

Scegliete il vostro metodo di connettività.

Ci sono 7 possibilità in questo percorso:

• Consigliato e preferito:
  
  • Utilizzare Tor da solo (Utente > Tor > Internet)
  • Utilizzare VPN su Tor (Utente > Tor > VPN > Internet) in casi specifici.
• Possibile se richiesto dal contesto:
  
  • Utilizzare VPN su Tor su VPN (Utente > VPN > Tor > VPN > Internet)
  • Utilizzare Tor su VPN (Utente > VPN > Tor > Internet)
• Sconsigliato e rischioso:
  
  • Utilizzare la sola VPN (Utente > VPN > Internet)
  • Utilizzare VPN su VPN (Utente > VPN > VPN > Internet)
• Sconsigliato e altamente rischioso (ma possibile)
  
  • Nessuna VPN e nessun Tor (Utente > Internet)

Solo Tor.

Questa è la soluzione preferita e più consigliata.

Con questa soluzione, tutta la rete passa attraverso Tor e dovrebbe essere sufficiente a garantire l'anonimato nella maggior parte dei casi.


C'è però uno svantaggio principale: alcuni servizi bloccano/bancano completamente i nodi Tor Exit e non permettono la creazione di account da questi.


Per ovviare a questo inconveniente, potreste prendere in considerazione l'opzione successiva: VPN over Tor, ma considerate alcuni rischi ad essa associati, spiegati nella prossima sezione.

VPN/Proxy su Tor.

Questa soluzione può apportare alcuni vantaggi in alcuni casi specifici rispetto all'uso esclusivo di Tor, quando l'accesso al servizio di destinazione sarebbe impossibile da un nodo Tor Exit. Questo perché molti servizi vietano, ostacolano o bloccano Tor ( si veda https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor [Archive.org]).


Come si può vedere in questa illustrazione, se la vostra VPN/Proxy a pagamento in contanti (preferita)/Monero viene compromessa da un avversario (nonostante la loro dichiarazione sulla privacy e le politiche di non registrazione), troverà solo un account VPN/Proxy anonimo a pagamento in contanti/Monero che si connette ai loro servizi da un nodo di uscita Tor.

Se un avversario riesce in qualche modo a compromettere anche la rete Tor, rivelerà solo l'IP di un Wi-Fi pubblico casuale non legato alla vostra identità.


Se un avversario riesce a compromettere il sistema operativo della macchina virtuale (ad esempio con un malware o un exploit), rimarrà intrappolato nella rete interna di Whonix e non potrà rivelare l'IP del Wi-Fi pubblico.


Questa soluzione presenta tuttavia un inconveniente principale da considerare: Interferenza con Tor Stream Isolation.


L'isolamento dei flussi è una tecnica di mitigazione utilizzata per prevenire alcuni attacchi di correlazione, disponendo di circuiti Tor diversi per ogni applicazione. Ecco un'illustrazione per mostrare cos'è l'isolamento del flusso:

(Illustrazione di Marcelo Martins, https://stakey.club/en/decred-via-tor-network/ [Archive.org])


Il VPN/Proxy over Tor si colloca sul lato destro, ovvero l'utilizzo di un VPN/Proxy over Tor costringe Tor a utilizzare un circuito per tutte le attività invece di circuiti multipli per ciascuna di esse. Ciò significa che l'uso di una VPN/Proxy su Tor può ridurre in qualche modo l'efficacia di Tor in alcuni casi e dovrebbe quindi essere usato solo per alcuni casi specifici:

• Quando il servizio di destinazione non consente i nodi di uscita Tor.
• Quando non ci si preoccupa di utilizzare un circuito Tor condiviso per vari servizi. Ad esempio, per utilizzare vari servizi autenticati.

Tuttavia, si dovrebbe considerare di non utilizzare questo metodo quando lo scopo è solo quello di navigare a caso su vari siti web non autenticati, poiché non si beneficia della Stream Isolation e questo potrebbe rendere più facili gli attacchi di correlazione nel tempo da parte di un avversario tra ciascuna delle sessioni (vedere Il vostro traffico Tor/VPN anonimizzato). Se invece il vostro obiettivo è quello di utilizzare la stessa identità in ogni sessione sugli stessi servizi autenticati, il valore dello Stream Isolation diminuisce, poiché potete essere correlati con altri mezzi.


È inoltre necessario sapere che Stream Isolation non è necessariamente configurato per impostazione predefinita su Whonix Workstation. È preconfigurato solo per alcune applicazioni (tra cui Tor Browser).


Si noti inoltre che Stream Isolation non modifica necessariamente tutti i nodi del circuito Tor. A volte può modificarne solo uno o due. In molti casi, Stream Isolation (ad esempio all'interno di Tor Browser) cambierà solo il nodo di relay (centrale) e il nodo di uscita, mantenendo lo stesso nodo di guardia (di ingresso).


Maggiori informazioni su:

• https://www.whonix.org/wiki/Stream_Isolation [Archive.org]
• https://tails.boum.org/contribute/design/stream_isolation/ [Archive.org]
• https://www.whonix.org/wiki/Tunnels/Introduction#Comparison_Table [ Archive.org]

Tor su VPN.

Vi starete chiedendo: Beh, e se usassimo Tor su VPN invece di VPN su Tor? Beh, io non lo farei necessariamente:

• Svantaggi
  
  • Il vostro provider VPN è solo un altro ISP che conoscerà il vostro IP di origine e sarà in grado di de-anonimizzarvi se necessario. Non ci fidiamo di loro. Preferisco una situazione in cui il vostro provider VPN non sa chi siete. Non aggiunge molto in termini di anonimato.
  • In questo modo vi connettereste a vari servizi utilizzando l'IP di un Tor Exit Node che è vietato/flaggato in molti luoghi. Non aiuta in termini di convenienza.
• Vantaggi:
  
  • Il vantaggio principale è che se ci si trova in un ambiente ostile dove l'accesso a Tor è impossibile/pericoloso/sospetto, la VPN va bene.
  • Questo metodo, inoltre, non interrompe l'isolamento del flusso Tor.

Nota: se si hanno problemi di accesso alla rete Tor a causa di blocchi/censure, si può provare a usare Tor Bridges. Vedere l'Appendice X: Utilizzo dei ponti Tor in ambienti ostili.


È anche possibile considerare una VPN su Tor su VPN (Utente > VPN > Tor > VPN > Internet) utilizzando invece due VPN a pagamento. Ciò significa che il sistema operativo host si collegherà a una prima VPN dal Wi-Fi pubblico, poi Whonix si collegherà a Tor e infine la macchina virtuale si collegherà a una seconda VPN su Tor over VPN ( vedere https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [Archive.org]).


Questo ovviamente avrà un impatto significativo sulle prestazioni e potrebbe essere piuttosto lento, ma credo che Tor sia necessario per ottenere un ragionevole anonimato.


Tecnicamente è facile ottenere questo risultato con questo percorso: sono necessari due account VPN anonimi separati e ci si deve connettere alla prima VPN dal sistema operativo host e seguire il percorso.


Conclusione: Fatelo solo se pensate che l'uso di Tor da solo sia rischioso/impossibile ma che le VPN vadano bene. Oppure solo perché si può e quindi perché no.

 

[HEISENBERG]

Solo VPN.

Questo percorso non verrà spiegato né consigliato.


Se siete in grado di utilizzare le VPN, allora dovreste essere in grado di aggiungervi un livello Tor. E se potete usare Tor, allora potete aggiungere una VPN anonima su Tor per ottenere la soluzione preferita.


Utilizzare semplicemente una VPN o anche una VPN su VPN non ha senso, perché nel tempo si può risalire all'utente. Uno dei fornitori di VPN conoscerà il vostro vero IP di origine (anche se si trova in uno spazio pubblico sicuro) e anche se ne aggiungete uno sopra, il secondo saprà comunque che stavate utilizzando il primo servizio VPN. Questo ritarderà solo leggermente la vostra de-anonimizzazione. Sì, è un livello aggiuntivo... ma è un livello aggiuntivo persistente e centralizzato, e nel tempo si può essere de-anonimizzati. Si tratta solo di concatenare 3 ISP che sono tutti soggetti a richieste legittime.


Per ulteriori informazioni, consultare i seguenti riferimenti:

• https://www.whonix.org/wiki/Compari..._VPN_Services#Tor_and_VPN_Services_Comparison [Archive.org]
• https://www.whonix.org/wiki/Why_does_Whonix_use_Tor [Archive.org]
• https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [ Archive.org]
• https://gist.github.com/joepie91/5a9909939e6ce7d09e29#file-vpn-md [ Archivio.org]
• https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html [ Archive.org]

Nel contesto di questa guida, Tor è necessario per ottenere un anonimato ragionevole e sicuro e dovreste usarlo se potete.

Niente VPN/Tor.

Se non potete usare VPN o Tor nel luogo in cui vi trovate, probabilmente vi trovate in un ambiente molto ostile dove la sorveglianza e il controllo sono molto elevati.


Non fatelo, non ne vale la pena ed è troppo rischioso IMHO. Potete essere de-anonimizzati quasi istantaneamente da qualsiasi avversario motivato che potrebbe raggiungere la vostra posizione fisica in pochi minuti.


Non dimenticate di controllare gli Avversari (minacce) e l'Appendice S: Verificare la sorveglianza/censura della rete utilizzando OONI.


Se non avete altra scelta e volete comunque fare qualcosa, consultate l'Appendice P: Accedere a Internet nel modo più sicuro possibile quando Tor/VPN non è un'opzione (a vostro rischio e pericolo) e prendete invece in considerazione la via Tails.

Conclusioni.

Sfortunatamente, l'uso di Tor da solo solleverà i sospetti di molte piattaforme di destinazione. Dovrete affrontare molti ostacoli (captchas, errori, difficoltà di registrazione) se utilizzate solo Tor. Inoltre, l'uso di Tor nel luogo in cui vi trovate potrebbe mettervi nei guai solo per questo. Ma Tor rimane la soluzione migliore per l'anonimato e deve essere presente da qualche parte per l'anonimato.

• Se il vostro intento è quello di creare identità persistenti condivise e autenticate su vari servizi dove l'accesso da Tor è difficile, vi consiglio l'opzione VPN su Tor (o VPN su Tor su VPN, se necessario). Potrebbe essere un po' meno sicura contro gli attacchi di correlazione a causa della rottura dell'isolamento del Tor Stream, ma offre una comodità di accesso alle risorse online molto migliore rispetto all'utilizzo di Tor. È un compromesso "accettabile" IMHP se si è abbastanza attenti alla propria identità.
• Se invece il vostro intento è solo quello di navigare in modo anonimo su servizi casuali senza creare identità specifiche condivise, utilizzando servizi Tor friendly; o se non volete accettare il compromesso dell'opzione precedente. Allora vi consiglio di utilizzare il percorso Tor Only per mantenere tutti i vantaggi dello Stream Isolation (o Tor over VPN se necessario).
• Se il costo è un problema, raccomando l'opzione solo Tor se possibile.
• Se l'accesso sia a Tor che alla VPN è impossibile o pericoloso, non si ha altra scelta che affidarsi in modo sicuro al wi-fi pubblico. Vedere l'Appendice P: Accedere a Internet nel modo più sicuro possibile quando Tor e VPN non sono un'opzione.

Per ulteriori informazioni, potete anche consultare le discussioni qui che potrebbero aiutarvi a decidere:

• Progetto Tor: https://gitlab.torproject.org/legacy/trac/-/wikis/doc/TorPlusVPN [Archive.org]
• Documentazione di Tails:
  
  • https://gitlab.tails.boum.org/tails/blueprints/-/wikis/vpn_support/ [Archive.org]
  • https://tails.boum.org/support/faq/index.en.html#index20h2 [Archive.org]
• Documentazione di Whonix (in questo ordine):
  
  • https://www.whonix.org/wiki/Tunnels/Introduction [Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_Tor_before_a_VPN [ Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [ Archive.org]
• Alcuni documenti sull'argomento:
  
  • https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [Archivio.org]

 

[HEISENBERG]

Ottenere una VPN/Proxy anonima.

Saltate questo passaggio se volete usare solo Tor.


Vedere l'Appendice O: Ottenere una VPN/Proxy anonima.

Whonix.

Saltate questo passaggio se non potete usare Tor.


Questo percorso utilizzerà la virtualizzazione e Whonix309 come parte del processo di anonimizzazione. Whonix è una distribuzione Linux composta da due macchine virtuali:

• Whonix Workstation (è una macchina virtuale in cui è possibile svolgere attività sensibili).
• Il Gateway Whonix (questa VM stabilirà una connessione alla rete Tor e instraderà tutto il traffico di rete dalla Workstation attraverso la rete Tor).

Questa guida proporrà quindi due varianti di questo percorso:

• Il percorso solo Whonix in cui tutto il traffico viene instradato attraverso la rete Tor (solo Tor o Tor over VPN).

Un percorso ibrido Whonix in cui tutto il traffico viene instradato attraverso una VPN a pagamento in contanti (preferibile)/Monero sulla rete Tor (VPN over Tor o VPN over Tor over VPN).

Sarete in grado di decidere quale tipo di percorso utilizzare in base alle mie raccomandazioni. Io consiglio il secondo, come spiegato in precedenza.


Whonix è ben curato e dispone di una documentazione ampia e incredibilmente dettagliata.

Una nota sulle istantanee di Virtualbox.

In seguito, creerete ed eseguirete diverse macchine virtuali all'interno di Virtualbox per le vostre attività sensibili. Virtualbox offre una funzione chiamata "Snapshots" che consente di salvare lo stato di una macchina virtuale in qualsiasi momento. Se in seguito, per qualsiasi motivo, si desidera tornare a quello stato, è possibile ripristinare l'istantanea in qualsiasi momento.


Vi consiglio vivamente di utilizzare questa funzione creando un'istantanea dopo l'installazione/aggiornamento iniziale di ogni VM. Questa istantanea dovrebbe essere fatta prima del loro utilizzo per qualsiasi attività sensibile/anonima.


Questo vi permetterà di trasformare le vostre macchine virtuali in una sorta di "sistemi operativi live" usa e getta (come Tails discusso in precedenza). Ciò significa che potrete cancellare tutte le tracce delle vostre attività all'interno di una macchina virtuale ripristinando un'istantanea a uno stato precedente. Naturalmente, questo non sarà "buono" come Tails (dove tutto è memorizzato), poiché potrebbero rimanere tracce di questa attività sul disco rigido. Studi forensi hanno dimostrato la capacità di recuperare i dati da una macchina virtuale ripristinata. Fortunatamente, esistono modi per rimuovere queste tracce dopo l'eliminazione o il ripristino di un'istantanea precedente. Tali tecniche saranno discusse nella sezione Alcune misure aggiuntive contro la forensics di questa guida.

Scaricare le utility di Virtualbox e Whonix.

È necessario scaricare alcune cose all'interno del sistema operativo host.

• L'ultima versione del programma di installazione di Virtualbox in base al sistema operativo host https://www.virtualbox.org/wiki/Downloads [Archive.org].
• (L'ultimo file OVA di Whonix da https://www.whonix.org/wiki/Download [Archive. org] in base alle vostre preferenze (Linux/Windows, con interfaccia desktop XFCE per semplicità o solo con il client di testo per gli utenti avanzati).

Questo conclude i preparativi e ora dovreste essere pronti per iniziare a configurare l'ambiente finale che proteggerà il vostro anonimato online.

Raccomandazioni per l'hardening di Virtualbox.

Per una sicurezza ideale, si dovrebbero seguire le raccomandazioni fornite qui per ogni macchina virtuale Virtualbox https://www.whonix.org/wiki/Virtualization_Platform_Security#VirtualBox_Hardening [Archive.org]:

• Disattivare l'audio.
• Non abilitare le cartelle condivise.
• Non abilitare l'accelerazione 2D. Questo si fa eseguendo il seguente comando VBoxManage modifyvm "vm-id" --accelerate2dvideo on|off
• Non abilitare l'accelerazione 3D.
• Non abilitare la porta seriale.
• Rimuovere l'unità floppy.
• Rimuovere l'unità CD/DVD.
• Non abilitare il server di visualizzazione remota.
• Abilitare PAE/NX (NX è una funzione di sicurezza).
• Disattivare l'Advanced Configuration and Power Interface (ACPI). Questo si fa eseguendo il seguente comando VBoxManage modifyvm "vm-id" --acpi on|off
• Non collegare dispositivi USB.
• Disattivare il controller USB che è abilitato per impostazione predefinita. Impostare il dispositivo di puntamento su "PS/2 Mouse" o le modifiche verranno annullate.

Infine, seguite anche questa raccomandazione per desincronizzare l'orologio della vostra macchina virtuale rispetto a quello del sistema operativo host https://www.whonix.org/wiki/Network...oof_the_Initial_Virtual_Hardware_Clock_Offset [Archive.org].


Questo offset dovrebbe essere compreso in un intervallo di 60000 millisecondi e dovrebbe essere diverso per ogni macchina virtuale; ecco alcuni esempi (che possono essere successivamente applicati a qualsiasi macchina virtuale):

• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset +27931
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset +27931

Considerate anche l'applicazione di queste mitigazioni da VirtualBox per attenuare le vulnerabilità Spectre/Meltdown eseguendo questo comando dalla directory dei programmi di VirtualBox. Tutte queste mitigazioni sono descritte qui: https://www.whonix.org/wiki/Spectre_Meltdown [Archive.org] (attenzione, queste mitigazioni possono influire pesantemente sulle prestazioni delle macchine virtuali, ma devono essere eseguite per garantire la massima sicurezza).


Infine, considerate i consigli di sicurezza forniti da Virtualbox stesso qui https://www.virtualbox.org/manual/ch13.html [Archive.org].

 

[HEISENBERG]

Tor su VPN.

Saltate questo passaggio se non intendete usare Tor su VPN e intendete usare solo Tor o non potete.


Se si intende utilizzare Tor su VPN per qualsiasi motivo. Dovete prima configurare un servizio VPN sul vostro sistema operativo host.


Ricordate che in questo caso vi consiglio di avere due account VPN. Entrambi pagati in contanti/Monero (vedere Appendice O: Ottenere una VPN/Proxy anonima). Uno sarà utilizzato nel sistema operativo host per la prima connessione VPN. L'altro potrebbe essere utilizzato nella macchina virtuale per ottenere una VPN su Tor su VPN (Utente > VPN > Tor > VPN).


Se si intende utilizzare solo Tor su VPN, è necessario un solo account VPN.


Per le istruzioni, vedere l'Appendice R: Installazione di una VPN sulla macchina virtuale o sul sistema operativo host.

 

[HEISENBERG]

Macchine virtuali Whonix.

Saltate questo passaggio se non potete usare Tor.

• Avviare Virtualbox sul sistema operativo host.
• Importare il file Whonix in Virtualbox seguendo le istruzioni su https://www.whonix.org/wiki/VirtualBox/XFCE [Archive.org].
• Avviare le macchine virtuali Whonix

Ricordate a questo punto che se avete problemi di connessione a Tor a causa di censura o blocco, dovreste considerare la possibilità di connettervi usando Bridges come spiegato in questo tutorial https://www.whonix.org/wiki/Bridges [Archive.org].

• Aggiornare le macchine virtuali Whonix seguendo le istruzioni su https://www.whonix.org/wiki/Operating_System_Software_and_Updates#Updates [Archive.org].
• Spegnere le macchine virtuali Whonix
• Acquisire un'istantanea delle macchine virtuali Whonix aggiornate in Virtualbox (selezionare una macchina virtuale e fare clic sul pulsante Acquisisci istantanea). Maggiori informazioni in seguito.
• Passare al passo successivo

Nota importante: si consiglia di leggere anche queste ottime raccomandazioni su https://www.whonix.org/wiki/DoNot [Archive.org] , poiché la maggior parte di questi principi si applica anche a questa guida. Si consiglia di leggere anche la documentazione generale qui https://www.whonix.org/wiki/Documentation [Archive.org] , che fornisce anche tonnellate di consigli come questa guida.