💻ЧТО НА САМОМ ДЕЛЕ СКРЫВАЮТ "АНОНИМНЫЕ" ОС

Недавно я делал обзор на популярные приватные ОС — Tails и Whonix. Это действительно хорошие решения, если вам нужно быстро и бесплатно обезопасить себя здесь и сейчас. Но есть нюансы. Серьёзные, технические, неочевидные — те, о которых молчат даже опытные пользователи. Я собрал основные моменты из-за которых часть сообщества относится к ним настороженно. Сегодня я подробно всё объясню, к каждому пункту вставлю свои комментарии и в одной из следующих статей, предложу альтернативы.

Tails: король одноразовых сессий — и его скрытые подводные камни

Tails (The Amnesic Incognito Live System) — это операционная система, которую запускают с флешки . Она не устанавливается на жёсткий диск, а работает только в оперативной памяти. Как только вы выключаете компьютер - всё стирается. Никаких следов. Никаких файлов. Отсюда название: «амнезия». Это делает Tails идеальным инструментом для разовых задач. Весь трафик в Tails идёт через Tor. Обычные сайты (вне Tor) даже не открываются - система блокирует такие подключения, чтобы вы случайно не «просочились» в открытый интернет. Казалось бы идеал. Но есть нюансы.

1. Tails не защищает от атак на прошивку

Tails живёт в оперативной памяти и все стирается при выключении. Но железо компьютера - остаётся. А в нём есть прошивка (firmware) — это низкоуровневое ПО, которое управляет самим устройством: сетевой картой, клавиатурой, SSD-диском. Если злоумышленник уже внедрил вредонос в прошивку (например получив физический доступ к устройству) - пиши пропало. Прошивка работает до запуска любой операционной системы, включая Tails. Она может:

— перехватывать нажатия клавиш,

— подменять сетевые пакеты,

— отправлять данные наружу, даже если вы в Tor.

Да, это целевая атака и обычным пользователем переживать не за что, но факт остаётся фактом, серьёзный момент. ни один Live-дистрибутив не защищает от атак через прошивку. Решение - физическая защита и отключение DMA-портов

2. Cold boot attack — «атака на тёплую память»

Если вы просто выключите компьютер — данные в оперативной памяти не исчезают мгновенно. Они могут оставаться несколько секунд, а при охлаждении — даже минуты. Это называется cold boot attack (атака «холодной перезагрузки»).

Злоумышленник может:

— быстро вытащить модули оперативной памяти,

— или перезагрузить машину в свою ОС,.

Tails предупреждает об этом и рекомендует полностью обесточить компьютер, чтобы память гарантированно очистилась.

С этим тоже можно поспорить, если у тебя из ноута уже вытаскивают оперативку, то ты упустил гораздо больше моментов, чем выбор операционной системы. Главная претензия - отсутствие встроенной очистки RAM при завершении работы. Open-source утилиты вроде sdmem решают это, но не интегрированы в Tails.

4. Постоянное хранилище: плюс и минус одновременно

По умолчанию Tails ничего не сохраняет, но можно включить Persistent Storage - зашифрованную область на той же флешке. Оно нужно, чтобы не терять ключи, настройки и документы. Однако: создаётся вручную, легко ошибиться при настройке, при слабом пароле его можно подобрать. Украдут флешку и Persistent Storage станет уязвимостью.

Используйте Tails по назначению, его смысл как раз в том, чтобы была эта "амнезия", если вас это не устраивает, не используйте его вообще. Можно пофиксить дополнительным шифрованием, ну и не теряйте флешку ). Претензия не обоснована

3. Tails не скрывает факт использования Tor

Да, ваш IP скрыт. Но провайдер видит, что вы подключаетесь к узлам Tor. Это уже повод для внимания, трафик тора сильно отличается и виден сразу. А если вы уже в разработке, это может стать частью доказательной базы.

Это уже серьезная проблема и с этим ты не поспоришь, это можно пофиксить встроенным VPN в роутер + мостами. Но мосты не всегда стабильно работают

5. systemd — потенциальный риск утечки метаданных

Tails построен на Debian и использует systemd — систему инициализации, которая управляет всем: сетью, устройствами, логами, временем, службами. Формально systemd - с открытым исходным кодом. Любой может посмотреть его. Но это не делает его прозрачным. Проблема не в том, что код “закрыт или нет”, а в том, что он слишком огромный и сложный. По умолчанию systemd-journald не отправляет логи наружу. Но у него есть такая возможность через сервисы вроде systemd-journal-remote и systemd-journal-upload. В Tails они отключены, однако сам факт, что лог-система умеет работать по сети( и впринципе пишет логи) — уже вызывает тревогу у сообщества. Кроме того, вместе с systemd работают службы вроде NetworkManager и Avahi, которые могут обмениваться данными по локальной сети (через mDNS или DHCP). Если что-то сработает не так — можно случайно “подсветить” имя хоста или MAC-адрес в локалке.

В Tails логи systemd живут только в оперативной памяти и стираются при выключении.Код systemd открыт и регулярно проходит аудиты, но из-за масштаба часто находят CVE. Проблема не в секретности, а в сложности.

6. WebRTC-утечки (утечки через браузер)

Tails запускает Tor Browser, в котором WebRTC (технология прямой связи между браузерами) отключена по умолчанию. Однако, если вы вручную меняли настройки, использовали старую сборку или запустили другой браузер, WebRTC может активироваться и произойдет утечка реального IP. Это не уязвимость Tails как системы - это ошибка конфигурации

Другой браузер в tails запустить практически нереально .Если вы: запустили Tails и сразу открыли Tor Browser - всё в порядке. но если вы вручную включили WebRTC (например, чтобы посмотреть видео), или используете старую версию Tails (< 6.0),то WebRTC может быть активен, и ваш реальный IP уйдёт наружу. Если использовать систему правильно - рисков нет.

Whonix: стальная крепость на виртуалке — и её скрытые трещины

Whonix — это не одна операционная система, а две виртуальные машины, которые работают вместе:

• Whonix-Gateway — отвечает только за выход в интернет, и весь трафик идёт через Tor.
• Whonix-Workstation — это ваша «рабочая станция», где вы работаете.

Главное особенность: Workstation вообще не знает, как выйти в интернет. Она отправляет запрос на Gateway, а Gateway уже сам выходит в Tor и возвращает результат. Это называется изоляция сети - и это одна из сильнейших защит от утечек IP.

Whonix идеален для тех, кто хочет постоянную, стабильную среду для анонимной работы: форумы, переписки, анализ данных, OSINT и тд.

Но здесь тоже есть свои моменты которые не нравятся людям :

1. Зависимость от хоста

Whonix работает внутри другой операционной системы и на виртуальной машине. Если хост заражен или скомпрометирован, никакая изоляция не поможет. Все клавиши, экран и память идут через гипервизор, а значит вредонос на основной системе может видеть всё, что происходит в обеих виртуалках - и в Gateway, и в Workstation. Комьюнити считает это фундаментальной уязвимостью.

Полностью согласен, претензия обоснована, Whonix нельзя считать безопасной системой, если ты не контролируешь хост.

2. Чистый Tor — те же проблемы, что и у Tails

То же самое что и в Tails: провайдер видит факт подключения к Tor.

Но здесь это решается использованием VPN в Gateway, если мы сделаем это, то цепочка получается VPN-TOR. Однако это не супер решение, вопрос доверия к VPN сервису. Претензия обоснована

3.Тот же systemd

Однако, здесь это более критично чем в Tails. У Whonix нет амнезии, логи нужно стирать вручную

В virtualbox можно поставить настройку "не сохранять изменения диска". И всё точно так же будет стираться, сама претензия systemd -ок, в контексте именно whonix - не обоснована

4. Виртуализация

Whonix живёт внутри гипервизора — VirtualBox, KVM или Qubes. И это уже риск. Если будет обнаружена и использована уязвимость в самом гипервизоре, злоумышленник получит доступ к обеим виртуалкам.

чтобы это произошло, злоумышленник должен либо получить доступ к хосту, либо эксплуатировать уязвимость самого гипервизора. Риск уязвимости гипервизора есть у любой ВМ. QEMU/KVM предпочтительнее VirtualBox — у них комьюнити быстрее закрывает уязвимости

БОЛЬШЕ ПОЛЕЗНОГО МАТЕРИАЛА ЗДЕСЬ : https://t.me/wannacry_channel

P.s большое спасибо людям, которые мне помогали написать статью.
@wahnx, @root_flanders, Keeperman.