Настройка Kali Linux для безопасности и анонимности!
BezLich
Все манипуляции, описанные в статье, проводились на Kali 64 bit с графическим окружением Gnome 3.
За работоспособность на другой разрядности или окружении я не ручаюсь. Все делаете на свой страх и риск!
Для начала узнаем какая разрядность у вашей системы:
Код:
grep -qP ’^flags\s*:.*\blm\b’ /proc/cpuinfo && echo 64-bit || echo 32-bit
Затем качаем образ только с официального сайта и сверяем контрольные суммы методом:
Код:
sha256sum kali-linux-2017.3-amd64.iso
Записываем его на флешку обьемом от 4 Gb с помощью утилиты RosaImageWriter
Будем устанавливать Kali Linux на полностью зашифрованную файловую систему.
После первого входа в систему отключим swap через Меню-Утилиты-Диски. Это самый быстрый способ:
Отключен ли swap, можно посмотреть в Системном мониторе:
Проверяем, чтобы репозитории в /etc/apt/sources.list имели вид:
Код:
deb http://http.kali.org/kali kali-rolling main contrib non-free # deb-src http://http.kali.org/kali kali-rolling main contrib non-free
Сделаем, чтобы при каждом подключении к сети mac менялся на рандомный.
Для этого содержимое файла /etc/NetworkManager/NetworkManager.confменяем на:
Код:
NetworkManager.conf [main] plugins=ifupdown,keyfile [ifupdown] managed=false [connection] wifi.cloned-mac-address=random [connection] ethernet.cloned-mac-address=random
Теперь правильно и безопасно настроим ssh, ведь без него никуда:
Код:
update-rc.d -f ssh remove update-rc.d -f ssh defaults cd /etc/ssh/ mkdir insecure_original_default_kali_keys mv ssh_host_* insecure_original_default_kali_keys/ dpkg-reconfigure openssh-server
В файле конфигурации /etc/ssh/sshd_configменяем:
Код:
# Port 22 # PermitRootLogin without-password
на
Код:
Port 2282 PermitRootLogin no
Порт 22 меняем на любой нестандартный (в нашем случае 2282) для защиты от брутфорса.
PermitRootLogin no запрещает другим машинам подключаться к root пользователю на нашей машине.
Возможно в дальнейшем вы обзаведетесь своим VPS. Поэтому советую подключаться к нему не по паролю, а создать ключ, так как это безопасней:
Код:
ssh-keygen -t rsa
Жмем Enter несколько раз. Сгенерированный ключ /root/.ssh/id_rsa.pub потом поместите на свой сервер.
Так же не советую добавлять службу ssh в автозагрузку, а стартовать/выключать командами:
Код:
service ssh start service ssh stop
Теперь важный момент. Сделаем пароль самоуничтожения заголовков зашифрованного диска.
По сути без них он превращается просто в кирпич.
Позволю себе сократить этот процесс до минимума:
Код:
cryptsetup luksAddNuke /dev/sda5 Enter any existing passphrase: Ваша фраза шифрования Enter new passphrase for key slot: Пароль самоуничтожения Verify passphrase: Повтор пароля самоуничтожения cryptsetup luksHeaderBackup --header-backup-file luksheader.back /dev/sda5 file luksheader.back openssl enc -aes-256-cbc -salt -in luksheader.back -out luksheader.back.enc enter aes-256-cbc encryption password: Пароль для зашифрованного заголовка Verifying - enter aes-256-cbc encryption password: Повтор пароля для зашифрованного заголовка ls -lh luksheader.back* file luksheader.back*
Файлы luksheader.back и luksheader.back.encхраним на зашифрованной с помощью LUKS
(можно сделать с помощью Меню-Утилиты-Диски) microsd флешке где нибудь вне дома.
Идеально подойдет какое нибудь гнездо в лесу.
Вот теперь пора бы нам обновить систему:
Код:
apt-get update && apt-get dist-upgrade
Так же скорее всего запросит, поэтому удаляем ненужные пакеты:
Код:
apt autoremove
Если в будущем хотим получать обновления по https, то выполняем:
Код:
apt install apt-transport-https
Проверяем, чтобы репозитории в /etc/apt/sources.list имели вид:
Код:
deb https://http.kali.org/kali kali-rolling main non-free contrib # deb-src https://http.kali.org/kali kali-rolling main non-free contrib
И снова обновим систему:
Код:
apt-get update && apt-get dist-upgrade
Софт. Почему именно такой? Дальше будет описание, зачем нужен каждый инструмент:
Код:
apt-get install mat steghide network-manager-openvpn-gnome secure-delete keepassx pidgin pidgin-otr etherape irssi tor lighttpd virtualbox
Описание:
mat - удаление метаданных в файлах
steghide - позволяет скрывать информацию методом стеганографии
network-manager-openvpn-gnome - нужен для настройки VPN
secure-delete - предназначен для безвозвратного удаления данных и удаления остаточной информации
keepassx - для безопасного хранение паролей
pidgin и pidgin-otr - джаббер клиент с OTR шифрованием. Это вам не телега!
etherape - анализатор пакетов/инструмент для мониторинга трафика
irssi - консольный IRC-клиент
tor и lighttpd - в представлении не нуждается. Пригодится, как начиная от банального использования утилиты torsocks, так и до подьема своего ресурса в сети Tor.
virtualbox - виртуальная машина, которая может пригодиться для установки Whonix...
Так же думаю не лишним будет установить и донастроить еще кое что:
Ram wiping. Очишает дамп оперативной памяти при перезагрузке.
VPN. Сработает команда:
Код:
openvpn --client --dev tun --config ВАША_КОНФИГУРАЦИЯ.ovpn --proto tcp
Уже закупились вай-фай адаптером ALFA или только думаете? Тогда пишем скрипт /bin/wlan1 с содержимым:
Код:
#!/bin/sh ifconfig wlan1 down macchanger -r wlan1 iw reg set BZ iwconfig wlan1 txpower 30 ifconfig wlan1 up echo "MAC updated..." exit 0
и делаем его исполняемым:
Код:
chmod +x /bin/wlan1
Теперь при подключении ALFA и вводе в терминале команды wlan1 будет не только меняться mac, но и повышаться мощность.
Возможно вам пригодится Tor browser?
Не забудьте добавить в путь_до/tor-browser_en-US/Browser/TorBrowser/Data/Tor/torrc в самый низ строки:
Код:
ExcludeNodes {ru},{ua},{by}
Это исключит подключение к неблагополучным нодам.
Измените свои DNS на заслуживающие доверия, иначе модем будет использовать автоматически определенные сервера, что не анонимно. Нужные сервера можно найти в интернете, но https-dns предпочтительней по очевидным причинам.
Используйте хотя бы два DNS-сервера, чтобы избежать проблем с подключением, которые иногда случаются.
Чтобы предотвратить перезапись этого файла системой при перезагрузке, запустите под рутом:
Код:
chattr +i /etc/resolv.conf
Это сделает файл неизменяемым, даже для рута.Чтобы отменить это для последующих изменений запустите:
Код:
chattr -i /etc/resolv.conf
Это заставит браузер использовать указанные DNS-сервера, вместо обычных. Разные DNS можно найти здесь
Вот собственно и все!
⚡️Читайте Самые интересные материалы про Безопасность на Канале Безопасность Личности⚡️