libre.UA ВІКІ

Автори: Alex, The Hidden; just_bird та ШІ (переклад)

Посібник автостопом до онлайн-анонімності

(Або «Як я навчився турбуватися і любити конфіденційність анонімність»)

Версія v1.1.9, серпень 2023 р. від Anonymous Planet

Джерела

Цей посібник в оригіналі написаний на англійській але був перекладений українською. Оригінал: The Hitchhiker’s Guide to Online Anonymity

ВАЖЛИВА РЕКОМЕНДАЦІЯ ДЛЯ УКРАЇНЦІВ. ВАЖЛИВА РЕКОМЕНДАЦІЯ ДЛЯ УКРАЇНЦІВ

Це послання народу України. Ми наполегливо рекомендуємо вам використовувати Briar для спілкування. Ви можете знайти його тут: https://briarproject.org/ За допомогою цього додатка ви можете спілкуватися, навіть коли немає Інтернету. Посібник тут: https://briarproject.org/manual/ , короткий посібник тут: https://briarproject.org/quick-start/

Цей посібник знаходиться в стадії розробки . Ймовірно, це ніколи не буде «закінчено».

Немає зв’язку з Анонімом ^{[Без Wiki] [Archive.org]} колектив/рух.

У цьому посібнику може бути неправильна або застаріла інформація, оскільки ніхто не ідеальний.

Ваш досвід може відрізнятися. Не забувайте регулярно перевіряти наявність оновленої версії цього посібника.

Цей посібник є некомерційною ініціативою з відкритим вихідним кодом, ліцензовано за Creative Commons Attribution-NonCommercial 4.0 International ( cc-by-nc-4.0 ^{[Archive.org]} ).

• Щодо дзеркал див. Додаток A6: Дзеркала
• Довідку щодо порівняння версій див. у Додатку A7: Порівняння версій

Не соромтеся надсилати проблеми (будь ласка, повідомляйте про помилки) за допомогою GitHub Issues за адресою: https://github.com/Anon-Planet/thgtoa/issues

Не соромтеся приходити, щоб обговорити ідеї за адресою:

• Правила для наших чатів: https://anonymousplanet.org/chatrooms-rules.html
• Номер матриці/елемента: #anonymity:matrix.org https://matrix.to/#/#anonymity:matrix.org
• Matrix Space перегруповує кілька кімнат зі схожими інтересами: #privacy-security-anonymity:matrix.org https://matrix.to/#/#privacy-security-anonymity:matrix.org .

Слідкуй за нами на:

• Twitter за адресою https://twitter.com/AnonyPla
• Mastodon на https://mastodon.social/@anonymousplanet

Щоб зв’язатися зі мною, перегляньте оновлену інформацію на веб-сайті або надішліть електронний лист на contact@anonymousplanet.org

Будь ласка, подумайте про пожертвування , якщо вам подобається проект і ви хочете підтримати плату за хостинг або підтримати фінансування таких ініціатив, як розміщення вузлів виходу Tor.

Цей посібник можна прочитати кількома способами:

• Ви хочете зрозуміти поточний стан конфіденційності й анонімності в Інтернеті, не обов’язково вдаватися до технічних питань: просто прочитайте розділи « Вступ» , «Вимоги» , «Розуміння деяких основ того, як деяка інформація може повернутися до вас і як пом’якшити їх», а також « Останнє редакційне зауваження» . .
• Ви хочете зробити вищезазначене, а також дізнатися, як видалити деяку інформацію про себе в Інтернеті: просто прочитайте вищезазначене та додайте Видалення деяких слідів вашої особистості в пошукових системах і на різних платформах.
• Ви хочете зробити вищевказане та безпечно та надійно створювати анонімні онлайн-ідентифікатори: прочитайте весь посібник.

Застереження під час читання цього посібника та переходу за різними посиланнями:

• Поряд із документами/файлами є посилання [Archive.org] для доступу до вмісту через Archive.org для підвищення конфіденційності та на випадок, якщо вміст зникне. Деякі посилання ще не заархівовано або застаріли на archive.org, у цьому випадку ми рекомендуємо вам попросити нове збереження, якщо це можливо.
• Поруч із відео YouTube є посилання [Invidious] для доступу до вмісту через екземпляр Invidious (у цьому випадку yewtu.be, розміщений у Нідерландах) для підвищення конфіденційності. Рекомендується використовувати ці посилання, коли це можливо. Перегляньте https://github.com/iv-org/inviious ^{[Archive.org]} для отримання додаткової інформації.
• Поруч із посиланнями на Twitter є посилання [Nitter] для доступу до вмісту через екземпляр Nitter (у цьому випадку nitter.net) для підвищення конфіденційності. Рекомендується використовувати ці посилання, коли це можливо. Перегляньте https://github.com/zedeus/nitter ^{[Archive.org]} для отримання додаткової інформації.
• Поруч із посиланнями на Wikipedia є посилання [Wikiless] для доступу до вмісту через екземпляр Wikiless (у цьому випадку Wikiless.org) для підвищення конфіденційності. Рекомендується використовувати ці посилання, коли це можливо. Перегляньте https://codeberg.org/orenom/wikiless ^{[Archive.org]} для отримання додаткової інформації.
• Середні посилання мають посилання [Scribe.rip] поруч із ними для доступу до вмісту через екземпляр Scribe.rip для підвищення конфіденційності. Знову ж таки, рекомендується використовувати ці посилання, коли це можливо. Дивіться https://scribe.rip/ ^{[Archive.org]} для отримання додаткової інформації.
• Якщо ви читаєте це у форматі PDF або ODT, ви помітите багато «`` замість подвійних лапок («»). Ці «`` призначені для полегшення перетворення у формат Markdown/HTML для онлайн-перегляду блоків коду на веб-сайті.

Якщо ви не бажаєте клопоту та використовуєте один із наведених нижче браузерів, ви також можете просто встановити наступне розширення у своєму браузері: https://libredirect.github.io/ ^{[Archive.org]} :

• Firefox: https://addons.mozilla.org/en-US/firefox/addon/libredirect/
• Браузери на основі Chromium (Chrome, Brave, Edge): https://github.com/libredirect/libredirect/blob/master/chromium.md

Якщо у вас виникли проблеми з доступом до будь-якої з багатьох академічних статей, на які посилаються в цьому посібнику, через платні екрани, сміливо використовуйте Sci-Hub ( https://en.wikipedia.org/wiki/Sci-Hub ^{[Без Wiki] [Archive.org]} ) або LibGen ( https://en.wikipedia.org/wiki/Library_Genesis ^{[Без Wiki] [Archive.org]} ) для їх пошуку та читання. Бо наука має бути безкоштовною. Все це. Якщо ви зіткнулися з платним доступом до деяких ресурсів, спробуйте скористатися https://12ft.io/ .

Насамкінець зауважте, що в цьому посібнику згадуються та навіть рекомендуються різноманітні комерційні послуги (такі як VPN, CDN, постачальники електронної пошти, хостинг-провайдери…), але жодним із них жодним чином не підтримується та не спонсорується. Немає реферальних посилань і комерційних зв’язків із жодним із цих постачальників. Цей проект є 100% некомерційним і покладається лише на пожертви.

Зміст:

• Передумови та обмеження:
  • Передумови:
  • Обмеження:
• Вступ:
• Розуміння деяких основ того, як деяка інформація може повернутися до вас і як пом’якшити деякі:
  • Ваша мережа:
    • Ваша IP адреса:
    • Ваші DNS та IP запити:
    • Ваші пристрої з RFID:
    • Пристрої Wi-Fi та Bluetooth навколо вас:
    • Зловмисні/підроблені точки доступу Wi-Fi:
    • Ваш анонімний трафік Tor/VPN:
    • Деякі пристрої можна відстежувати навіть у режимі офлайн:
  • Ваші ідентифікатори обладнання:
    • Ваш IMEI та IMSI (а також ваш номер телефону):
    • Ваша MAC-адреса Wi-Fi або Ethernet:
    • Ваша MAC-адреса Bluetooth:
  • Ваш ЦП:
  • Ваші послуги телеметрії операційних систем і програм:
  • Ваші розумні пристрої в цілому:
  • Ви самі:
    • Ваші метадані, включаючи ваше геомісцезнаходження:
    • Ваш цифровий відбиток пальця, слід і онлайн-поведінка:
    • Ваші підказки про ваше реальне життя та OSINT:
    • Ваше обличчя, голос, біометрія та зображення:
    • Розпізнавання ходи та інші біометричні дані
    • Фішинг і соціальна інженерія:
  • Зловмисне програмне забезпечення, експлойти та віруси:
    • Зловмисне програмне забезпечення у ваших файлах/документах/електронній пошті:
    • Зловмисне програмне забезпечення та експлойти у ваших програмах і службах:
    • Шкідливі пристрої USB:
    • Зловмисне програмне забезпечення та бекдори у вашому апаратному забезпеченні, прошивці та операційній системі:
  • Ваші файли, документи, зображення та відео:
    • Властивості та метадані:
    • Водяний знак:
    • Піксельна або розмита інформація:
  • Ваші транзакції з криптовалютами:
  • Ваші хмарні служби резервного копіювання/синхронізації:
  • Мікроархітектурні атаки деанонімізації бічних каналів:
  • Локальні витоки даних і криміналістика:
  • Погана криптографія:
  • Політика реєстрації не ведеться, але все одно реєструється:
  • Деякі вдосконалені цільові методи:
  • Деякі бонусні ресурси:
  • Примітки:
• Загальні приготування:
  • Вибір маршруту:
    • Обмеження за часом:
    • Бюджет/матеріальні обмеження:
    • Навички:
    • Змагальні міркування:
  • Кроки для всіх маршрутів:
    • Звикання до кращих паролів:
    • Отримання анонімного номера телефону:
    • Отримайте USB-ключ:
    • Знайдіть безпечні місця з пристойним громадським Wi-Fi:
  • Маршрут браузера Tor:
    • Windows, Linux і macOS:
    • Android:
    • iOS:
    • Важливе попередження:
  • Маршрут Tails:
    • Налаштування браузера Tor на Tails:
    • Постійне правдоподібне заперечення за допомогою Whonix у Tails:
  • Кроки для всіх інших маршрутів:
    • Отримайте спеціальний ноутбук для вашої делікатної діяльності:
    • Деякі рекомендації щодо ноутбуків:
    • Налаштування BIOS/UEFI/прошивки вашого ноутбука:
    • Захист ноутбука від фізичного втручання:
  • Маршрут Whonix:
    • Вибір хост-ОС (ОС, встановленої на вашому ноутбуці):
    • Хост-ОС Linux:
    • Хост-ОС macOS:
    • Хост-ОС Windows:
    • Virtualbox у вашій хост-ОС:
    • Виберіть спосіб підключення:
    • Отримання анонімного VPN/проксі:
    • Whonix:
    • Tor через VPN:
    • Віртуальні машини Whonix:
    • Виберіть віртуальну машину гостьової робочої станції:
    • Віртуальна машина Linux (Whonix або Linux):
    • Віртуальна машина Windows 10/11:
    • Віртуальна машина Android:
    • Віртуальна машина macOS:
    • KeepassXC:
    • Встановлення клієнта VPN (готівка/оплата Monero):
    • (Необов’язково) Перемикач блокування віртуальної машини:
    • Останній крок:
  • Маршрут Qubes:
    • Виберіть спосіб підключення:
    • Отримання анонімного VPN/проксі:
    • Примітка про ймовірне заперечення:
    • Установка:
    • Поведінка закриття кришки:
    • Anti Evil Maid (AEM):
    • Підключіться до публічної Wi-Fi:
    • Оновлення Qubes OS:
    • Оновлення Whonix з версії 15 до версії 16:
    • Зміцнення Qubes OS:
    • Налаштуйте VPN ProxyVM:
    • Налаштуйте безпечний браузер в ОС Qubes (необов’язково, але рекомендовано):
    • Налаштуйте віртуальну машину Android:
    • KeePassXC:
• Коротка примітка: кореляція проти атрибуції:
• Створення вашої анонімної онлайн-ідентичності:
  • Розуміння методів, які використовуються для запобігання анонімності та підтвердження особи:
    • Captcha:
    • Перевірка телефону:
    • Підтвердження електронної пошти:
    • Перевірка даних користувача:
    • Підтвердження ідентифікації:
    • IP-фільтри:
    • Відбитки пальців браузера та пристрою:
    • Людська взаємодія:
    • Модерація користувача:
    • Аналіз поведінки:
    • Фінансові операції:
    • Увійдіть за допомогою певної платформи:
    • Живе розпізнавання обличчя та біометрія (знову):
    • Огляди вручну:
  • Вихід в Інтернет:
    • Створення нових ідентичностей:
    • Перевірте, чи поганий ваш Tor Exit Node:
    • Система справжніх імен:
    • Про платні послуги:
    • огляд:
    • Як ділитися файлами приватно та/або спілкуватися анонімно:
    • Як поділитися файлами публічно, але анонімно:
    • Безпечне редагування документів/зображень/відео/аудіо:
    • Передача конфіденційної інформації різним відомим організаціям:
    • Завдання з обслуговування:
• Безпечне резервне копіювання вашої роботи:
  • Автономні резервні копії:
    • Резервні копії вибраних файлів:
    • Резервне копіювання повного диска/системи:
  • Онлайн резервне копіювання:
    • Файли:
    • Інформація:
  • Синхронізація файлів між пристроями в Інтернеті:
• Замітання слідів:
  • Розуміння HDD проти SSD:
    • Вирівнювання зносу.
    • Операції обрізки:
    • Вивіз сміття:
    • висновок:
  • Як безпечно стерти весь ноутбук/накопичувачі, якщо ви хочете стерти все:
    • Linux (усі версії, включаючи Qubes OS):
    • Windows:
    • macOS:
  • Як безпечно видалити певні файли/папки/дані на вашому HDD/SSD та дисках Thumb:
    • Windows:
    • Linux (не Qubes OS):
    • Linux (ОС Qubes):
    • macOS:
  • Деякі додаткові заходи проти судової експертизи:
    • Видалення метаданих із файлів/документів/зображень:
    • Хвости:
    • Whonix:
    • macOS:
    • Linux (ОС Qubes):
    • Linux (не Qubes):
    • Windows:
  • Видалення деяких слідів вашої особистості в пошукових системах і на різних платформах:
    • Google:
    • Bing:
    • DuckDuckGo:
    • Яндекс:
    • Qwant:
    • Пошук Yahoo:
    • Baidu:
    • Вікіпедія:
    • Archive.today:
    • Інтернет-архів:
    • інші:
• Кілька низькотехнологічних прийомів старої школи:
  • Приховані комунікації на виду:
  • Як визначити, чи хтось шукав ваші речі:
• Деякі останні думки OPSEC:
• Якщо ви думаєте, що обпеклися:
  • Якщо у вас є час:
  • Якщо немає часу:
• Невелике заключне редакційне зауваження:
• Пожертви:
• Допомога іншим залишатися анонімними:
• Подяки:
• Додаток A: Встановлення Windows
  • Установка:
  • Налаштування конфіденційності:
• Додаток B: Додаткові параметри конфіденційності Windows
• Додаток C: Створення інсталяційного носія Windows
• Додаток D: Використання System Rescue для безпечного очищення SSD-накопичувача
• Додаток E: Clonezilla
• Додаток F: Diskpart
• Додаток G: Безпечний браузер у хост-ОС
  • Якщо ви можете використовувати Tor:
  • Якщо ви не можете використовувати Tor:
• Додаток H: Засоби очищення Windows
• Додаток I: Використання ShredOS для безпечного очищення жорсткого диска:
  • Windows:
  • Linux:
• Додаток J: Інструменти виробника для очищення жорстких дисків і SSD:
  • Інструменти, які надають завантажувальний диск для стирання із завантаження:
  • Інструменти, які забезпечують лише підтримку запущеної ОС (для зовнішніх дисків).
• Додаток K: міркування щодо використання зовнішніх накопичувачів SSD
  • Windows:
    • Підтримка обрізки:
    • Операції ATA/NVMe (безпечне видалення/дезінфекція):
  • Linux:
    • Підтримка обрізки:
    • Операції ATA/NVMe (безпечне видалення/дезінфекція):
  • macOS:
    • Підтримка обрізки:
    • Операції ATA/NVMe (безпечне видалення/дезінфекція):
• Додаток L: Створення гостьової віртуальної машини mat2-web для видалення метаданих із файлів
• Додаток M: параметри BIOS/UEFI для стирання дисків різних марок
• Додаток N: Попередження про смартфони та розумні пристрої
• Додаток O: отримання анонімного VPN/проксі
  • VPN з оплатою готівкою/Monero:
  • Власний VPN/проксі-сервер на Monero/VPS, що оплачується готівкою (для користувачів, які більше знайомі з Linux):
    • VPN VPS:
    • Socks Proxy VPS:
• Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні
• Додаток Q: Використання антени великого радіусу дії для підключення до загальнодоступних Wi-Fi з безпечної відстані:
• Додаток R: Встановлення VPN на вашу віртуальну машину або хост-ОС
• Додаток S: Перевірте свою мережу на наявність стеження/цензури за допомогою OONI
• Додаток T: Перевірка файлів на наявність шкідливих програм
  • Цілісність (за наявності):
  • Автентичність (за наявності):
  • Безпека (перевірка на наявність шкідливих програм):
    • Антивірусне програмне забезпечення:
    • Перегляди посібника:
• Додаток U: Як обійти (деякі) локальні обмеження для контрольованих комп’ютерів
  • Портативні програми:
  • Завантажувальні живі системи:
  • Запобіжні заходи:
• Додаток V: Який браузер використовувати у гостьовій віртуальній машині/одноразовій віртуальній машині
  • Хоробрий:
  • Ungoogled-Chromium:
  • край:
  • Safari:
  • Firefox:
  • Браузер Tor:
• Додаток V1: Захист ваших браузерів:
  • Хоробрий:
  • Ungoogled-Chromium:
  • край:
  • Safari:
  • Firefox:
    • Нормальні налаштування:
    • Розширені налаштування:
    • Додатки для встановлення/розгляду:
    • Бонусні ресурси:
• Додаток W: Віртуалізація
  • Ризики вкладеної віртуалізації
• Додаток X: Використання мостів Tor у агресивному середовищі
• Додаток Y: Встановлення та використання настільного браузера Tor
  • Установка:
  • Використання та запобіжні заходи:
• Додаток Z: Анонімні онлайн-платежі з використанням криптовалют
  • Анонімне використання біткойн:
  • Використання анонімного варіанту Monero:
  • Попередження про спеціальні гаманці та сервіси конфіденційності, пов’язані з акробатичними, змішуваними, coinjoining
  • При конвертації з BTC на Monero:
• Додаток A1: Рекомендовані хостинг-провайдери VPS
• Додаток A2: Інструкції щодо паролів і парольних фраз
• Додаток A3: Пошукові системи
• Додаток A4: Протидія судовій лінгвістиці
  • Вступ:
  • Що шукає супротивник, перевіряючи ваші твори?
  • приклади:
  • Як протидіяти зусиллям противника:
  • Що різні мовні вибори можуть сказати про вас:
    • Смайлики:
    • Конструктивні особливості:
    • Правопис сленгу та символів:
  • Техніки запобігання письменному друку:
    • Перевірка орфографії та граматики:
    • Техніка перекладу:
    • Пошук і заміна:
    • Остаточна порада:
  • Бонусні посилання:
• Додаток A5: Додаткові запобіжні заходи браузера з увімкненим JavaScript
• Додаток A6: Дзеркала
• Додаток A7: Порівняння версій
• Додаток A8: Сервіси обміну криптовалютами без реєстрації та KYC
  • Загальний Crypto Swap:
  • Лише від BTC до Monero:
• Додаток A9: Встановлення гаманця Zcash:
  • Debian 11 VM:
  • Ubuntu 20.04/21.04/21.10 VM:
  • Віртуальна машина Windows 10/11:
  • Whonix Workstation 16 VM:
• Додаток B1: Перелік речей, які потрібно перевірити перед наданням інформації:
• Додаток B2: Відмова від відповідальності Monero
• Додаток B3: Ресурси моделювання загроз
• Додаток B4: Важливі зауваження щодо злої служниці та втручання
• Додаток B5: Типи атак ЦП:
• Додаток B6: Попередження про використання Orbot на Android
• Додаток B7: Застереження щодо месенджера сеансу
• Література:

Передумови та обмеження:

Передумови:

• Розуміння англійської мови (в даному випадку американської).
• Бути постійним жителем Німеччини, де суди підтвердили законність невикористання справжніх імен на онлайн-платформах (§13 VI Закону Німеччини про телемедіа 2007 р. ¹ ' ² ). Крім того, ви можете бути резидентом будь-якої іншої країни, де ви можете самостійно підтвердити та перевірити законність цього посібника.
• Цей посібник припускає, що ви вже маєте доступ до портативного комп’ютера (Windows/Linux/macOS) – в ідеалі не до робочого/спільного пристрою – і базове розуміння того, як працюють комп’ютери.
• Наберіться терпіння, оскільки цей процес може тривати кілька тижнів, якщо ви хочете переглянути весь вміст.
• Майте трохи вільного часу, щоб присвятити цьому процесу (залежно від того, який маршрут ви оберете).
• Будьте готові ретельно прочитати багато посилань (прочитайте їх), посібників (не пропускайте їх) і підручників (їх теж не пропускайте).
• Не будь злим (цього разу по-справжньому) ³ .
• Зрозумійте, що немає спільного шляху, який був би швидким і легким.

Обмеження:

Цей посібник не призначений для:

• Створення ботів будь-якого типу.
• Створення облікових записів під імітацією існуючих людей (наприклад, крадіжка особистих даних).
• Допомога зловмисникам у проведенні неетичної, злочинної чи незаконної діяльності (наприклад, тролінг, переслідування, дезінформація, дезінформація, переслідування, залякування чи шахрайство).
• Використання неповнолітніми.

Вступ:

TLDR для всього посібника: «Дивна гра. Єдиний виграшний хід — не грати» ⁴ .

Створити обліковий запис у соціальних мережах із псевдонімом або ім’ям виконавця/бренду легко. І в більшості випадків цього достатньо, щоб захистити свою особистість як наступного Джорджа Орвелла. Є багато людей, які використовують псевдоніми у Facebook/Instagram/Twitter/LinkedIn/TikTok/Snapchat/Reddit/... Але переважна більшість із них не є анонімними, і місцеві офіцери поліції можуть легко відстежити їх справжню особу, випадково людей в OSINT ⁵ (Open-Source Intelligence) спільнота та тролі ⁶ на 4chan ⁷ .

Це добре, оскільки більшість злочинців/тролів не розбираються в техніці, і їх зазвичай легко ідентифікувати. Але це також жахливо, оскільки більшість політичних дисидентів, правозахисників і викривачів також можна досить легко відстежити.

Метою цього посібника є ознайомлення з різними методами деанонімізації, методами відстеження, методами перевірки посвідчення особи та необов’язковими вказівками щодо безпечного створення та підтримки розумно та справді анонімних ідентифікаторів в Інтернеті, включаючи облікові записи в соціальних мережах. Сюди входять основні платформи, а не лише ті, що забезпечують конфіденційність.

Важливо розуміти, що метою цього посібника є анонімність, а не лише конфіденційність, але більшість інструкцій, які ви тут знайдете, також допоможуть вам покращити вашу конфіденційність і безпеку, навіть якщо ви не зацікавлені в анонімності. Техніки та інструменти, які використовуються для забезпечення конфіденційності, безпеки та анонімності, суттєво збігаються, але в деякій точці вони відрізняються:

• Конфіденційність означає, що люди знають, хто ви, але не знають, що ви робите.
• Анонімність означає, що люди знають, що ви робите, але не знають, хто ви ⁸ .

(Ілюстрація з ⁹ )

Чи допоможе вам цей посібник захистити себе від АНБ, ФСБ, Марка Цукерберга чи Моссаду, якщо вони хочуть вас знайти? Напевно, ні… Моссад буде робити «справи Моссаду» ¹⁰ і, ймовірно, знайде вас, як би ви не намагалися сховатися ¹¹ .

Ви повинні розглянути свою модель загрози ¹² перш ніж йти далі.

(Ілюстрація Рендалла Манро, xkcd.com, ліцензія CC BY-NC 2.5)

Чи допоможе вам цей посібник захистити вашу конфіденційність від дослідників OSINT, таких як Bellingcat ¹³ , Доксінг ¹⁴ тролі на 4chan ¹⁵ та інші, які не мають доступу до інструментарію АНБ? Більш схоже. Хоча ми не були б настільки впевнені щодо 4chan.

Ось базова спрощена модель загроз для цього посібника:

(Зауважте, що жарти про «магічні амулети/підводний човен/імітуйте власну смерть» цитуються з чудової статті «This World of Ours» Джеймса Мікенса, 2014 рік. ¹⁰ )

Відмова від відповідальності: жарти в сторону (магічний амулет…). Звичайно, існують також розширені способи пом’якшення атак проти таких просунутих і досвідчених супротивників, але вони виходять за межі цього посібника. Надзвичайно важливо, щоб ви розуміли обмеження моделі загроз у цьому посібнику. Тому цей посібник не буде збільшуватися вдвічі, щоб допомогти з цими розширеними засобами пом’якшення, оскільки він надто складний і вимагатиме надзвичайно високого рівня знань і навичок, які не очікуються від цільової аудиторії цього посібника.

EFF пропонує кілька сценаріїв безпеки, які слід враховувати залежно від вашої діяльності. Хоча деякі з цих порад можуть не входити в рамки цього посібника (більше про конфіденційність, ніж про анонімність), їх все одно варто прочитати як приклади. Див. https://ssd.eff.org/en/module-categories/security-scenarios ^{[Archive.org]} .

Якщо ви хочете глибше ознайомитися з моделюванням загроз, див. Додаток B3: Ресурси моделювання загроз .

Ви можете подумати, що цей посібник не має законного застосування, але їх багато ¹⁶ ' ¹⁷ ' ¹⁸ ' ¹⁹ ' ²⁰ ' ²¹ ' ²² як от:

• Уникнення онлайн-цензури ²³
• Уникнення гноблення в Інтернеті
• Уникнення онлайн-переслідування, Doxxing і агресивних дій
• Ухилення від незаконного стеження уряду в Інтернеті
• Анонімне онлайн-інформування
• Анонімний онлайн-активізм
• Анонімна онлайн-журналістика
• Анонімна онлайн-юридична практика
• Анонімна академічна онлайн-діяльність (наприклад, доступ до наукових досліджень, де такі ресурси заблоковані). Див. примітку нижче.
• …

Цей посібник написаний з надією на людей із добрими намірами , які, можливо, недостатньо обізнані, щоб розглянути загальну картину онлайн-анонімності та конфіденційності.

Нарешті, використовуйте його на свій страх і ризик. Усе, що тут міститься, не є юридичною порадою, і ви повинні перевірити відповідність місцевому законодавству перед використанням (IANAL ²⁴ ). «Довіряй, але перевіряй» ²⁵ всю інформацію самостійно (а ще краще: «Ніколи не довіряй, завжди перевіряй») ²⁶ ). Ми настійно рекомендуємо вам поінформувати себе та без вагань перевірити будь-яку інформацію в цьому посібнику з зовнішніх джерел у разі сумнівів. Будь ласка, повідомляйте нам про будь-яку помилку, яку ви помітили, оскільки ми вітаємо критику. Навіть сувора, але обґрунтована критика вітається і призведе до того, що необхідні виправлення будуть внесені якомога швидше.

Розуміння деяких основ того, як деяка інформація може повернутися до вас і як пом’якшити деякі:

Існує багато способів стеження за вами, окрім файлів cookie та реклами веб-переглядача, вашої електронної пошти та номера телефону. І якщо ви думаєте, що тільки Моссад або АНБ/ФСБ можуть вас знайти, ви помиляєтеся.

По-перше, ви також можете розглянути ці більш загальні ресурси щодо конфіденційності та безпеки, щоб дізнатися більше про основи:

• Нова нафта*: https://thenewoil.org/ ^{[Archive.org]}
• Відео Techlore*: https://www.youtube.com/c/Techlore ^[Invidious]
• Посібники з конфіденційності: https://privacyguides.org/ ^{[Archive.org]}
• Інструменти конфіденційності*: https://privacytools.io ^{[Archive.org]}

Зауважте, що ці веб-сайти можуть містити афілійований/спонсорований вміст і/або рекламу. Цей посібник не підтримує та не спонсорується будь-якою комерційною організацією.

Якщо ви пропустили їх, вам справді варто розглянути цей список відтворення YouTube із проекту Techlore Go Incognito ( https://github.com/techlore-official/go-incognito ^{[Archive.org]} ) як вступ, перш ніж йти далі: https://www.youtube.com/playlist?list=PL3KeV6Ui_4CayDGHw64OFXEPHgXLkrtJO ^[Invidious] . У цьому посібнику буде розглянуто багато тем у відео цього списку відтворення з більш детальною інформацією та посиланнями, а також деякі додані теми, які не розглядаються в цій серії. Це займе у вас лише 2-3 години, щоб переглянути все це.

Тепер ось неповний список деяких із багатьох способів відстеження та деанонімізації:

Ваша мережа:

Ваша IP адреса:

Застереження: весь цей параграф стосується вашої загальнодоступної IP-адреси в Інтернеті, а не IP-адреси локальної мережі.

Ваша IP-адреса ²⁷ це найбільш відомий і очевидний спосіб відстеження. Це IP-адреса, яку ви використовуєте в джерелі. Тут ви підключаєтеся до Інтернету. Цю IP-адресу зазвичай надає ваш ISP (провайдер послуг Інтернету) (xDSL, мобільний зв’язок, кабельне телебачення, оптоволокно, кафе, бар, друг, сусід). У більшості країн діють правила зберігання даних ²⁸ які зобов’язують зберігати журнали того, хто використовує яку IP-адресу в певний час/дату протягом кількох років або безстроково. Ваш інтернет-провайдер може повідомити третій стороні, що ви використовували певну IP-адресу в певну дату та час через роки. Якщо ця IP-адреса (оригінальна) витікає в будь-який момент з будь-якої причини, її можна використовувати для безпосереднього відстеження вас. У багатьох країнах ви не зможете отримати доступ до Інтернету, не надавши певну форму ідентифікації постачальнику (адреса, ідентифікатор, справжнє ім’я, електронна пошта…).

Зайве говорити, що більшість платформ (таких як соціальні мережі) також зберігають (іноді необмежений час) IP-адреси, які ви використовували для реєстрації та входу в їхні служби.

знайти інформацію про свою поточну загальнодоступну IP-адресу : Ось деякі онлайн-ресурси, за допомогою яких ви можете прямо зараз

• Знайдіть свій IP:
  https://resolve.rs/ https://www.dnsleaktest.com/ (Бонус, перевірте свою IP на наявність витоків DNS)
• Знайдіть свою IP-адресу або будь-яку IP-адресу:
  • https://resolve.rs/ip/geolocation.html
• Дізнайтеся, чи є IP-адреса «підозрілою» (у чорних списках) або завантажила «речі» на деяких публічних ресурсах:
  https://mxtoolbox.com/blacklists.aspx https://www.virustotal.com/gui/home/search https://iknowwhatyoudownload.com (Сприймайте це з недовірою, воно може не показувати нічого цікавого та матиме обмежені джерела даних. Це більше для розваги, ніж для чогось серйозного.)
• Реєстраційна інформація IP-адреси (швидше за все, ваш Інтернет-провайдер або Інтернет-провайдер вашого підключення, який, швидше за все, знає, хто використовує цю IP-адресу в будь-який час):
  • https://whois.domaintools.com/
• Перевірте наявність відкритих служб або відкритих пристроїв на IP-адресі (особливо якщо на ній є небезпечні смарт-пристрої):
  • https://www.shodan.io/host/185.220.101.134 (замініть IP-адресу на свою чи будь-яку іншу або змініть у вікні пошуку, у цьому прикладі IP-адреса є вузлом виходу Tor)
• Різноманітні інструменти для перевірки вашої IP-адреси, наприклад перевірка списків блокувань тощо:
  https://browserleaks.com/ip https://www.whatismyip.com
• Чи хотіли б ви знати, чи підключені ви через Tor?
  • https://check.torproject.org

З цих причин вам потрібно буде замаскувати та приховати цей вихідний IP (той, який прив’язаний до вашої ідентифікації) або приховати його за допомогою комбінації різних засобів:

• Використання загальнодоступної служби Wi-Fi (безкоштовно).
• Використання анонімної мережі Tor ²⁹ (безкоштовно).
• Використання VPN ³⁰ послуги анонімно (анонімно оплачуються готівкою або Monero).

Зауважте, що, на жаль, ці рішення не ідеальні, і у вас виникнуть проблеми з продуктивністю ³¹ .

Усе це буде пояснено пізніше в цьому посібнику.

Ваші DNS та IP запити:

DNS розшифровується як «система доменних імен» ³² і є службою, яка використовується вашим браузером (та іншими програмами) для пошуку IP-адрес служби. Це величезний «список контактів» (телефонна книга для людей похилого віку), який працює так, ніби запитує ім’я, і повертає номер, на який потрібно зателефонувати. За винятком того, що замість цього повертається IP-адреса.

Кожного разу, коли ваш браузер хоче отримати доступ до певної служби, наприклад Google, через www.google.com. Ваш веб-переглядач (Chrome або Firefox) запитає службу DNS, щоб знайти IP-адреси веб-серверів Google.

Ось відео, яке візуально пояснює DNS, якщо ви вже заблукали: https://www.youtube.com/watch?v=vrxwXXytEuI ^[Invidious]

Зазвичай служба DNS надається вашим провайдером і автоматично налаштовується мережею, до якої ви підключаєтеся. Ця служба DNS також може підпадати під дію правил збереження даних або просто зберігатиме журнали з інших причин (наприклад, збір даних для рекламних цілей). Таким чином, цей Інтернет-провайдер зможе розповісти все, що ви робили в Інтернеті, просто переглянувши ці журнали, які, у свою чергу, можуть бути надані зловмиснику. Це також найпростіший спосіб для багатьох зловмисників застосувати цензуру або батьківський контроль за допомогою блокування DNS ³³ . Надані DNS-сервери нададуть вам іншу адресу (ніж справжня) для деяких веб-сайтів (наприклад, переспрямування thepiratebay.org на якийсь державний веб-сайт). Таке блокування широко застосовується в усьому світі для певних сайтів ³⁴ .

Використання приватної служби DNS або вашої власної служби DNS могло б пом’якшити ці проблеми, але інша проблема полягає в тому, що більшість цих запитів DNS за замовчуванням надсилаються через мережу у вигляді відкритого тексту (незашифрованого). Навіть якщо ви переглядаєте PornHub у вікні анонімного перегляду, використовуючи HTTPS і приватну службу DNS, є надзвичайно висока ймовірність того, що ваш браузер надішле відкритий незашифрований DNS-запит до деяких DNS-серверів із запитом «То яка IP-адреса www.pornhub .com?».

Оскільки він не зашифрований, ваш Інтернет-провайдер та/або будь-який інший супротивник все одно може перехопити (за допомогою атаки "Людина посередині" ³⁵ ) ваш запит знатиме та, можливо, реєструватиме, що шукав ваш IP. Той самий провайдер також може втручатися у відповіді DNS, навіть якщо ви використовуєте приватний DNS. Зробити марним використання приватної служби DNS.

Як бонус, багато пристроїв і програм використовуватимуть жорстко закодовані DNS-сервери в обхід будь-яких системних налаштувань, які ви можете встановити. Це, наприклад, у випадку більшості (70%) Smart TV і значної частини (46%) ігрових консолей ³⁶ . Для цих пристроїв вам доведеться їх змусити ³⁷ припинити використання їхньої жорстко закодованої служби DNS, через що вони можуть перестати працювати належним чином.

Рішенням цього є використання зашифрованого DNS за допомогою DoH (DNS через HTTPS ³⁸ ), DoT (DNS через TLS ³⁹ ) із приватним DNS-сервером (його можна розмістити локально за допомогою такого рішення, як pi-hole ⁴⁰ , віддалено розміщений за допомогою такого рішення, як nextdns.io, або за допомогою рішень, наданих вашим провайдером VPN або мережею Tor). Це має завадити вашому Інтернет-провайдеру або якомусь посереднику стежити за вашими запитами ... за винятком того, що це може бути не так.

Невелике проміжне застереження: цей посібник не обов’язково схвалює або рекомендує послуги Cloudflare, навіть якщо вони згадуються кілька разів у цьому розділі для технічного розуміння.

На жаль, протокол TLS, який використовується в більшості HTTPS-з’єднань у більшості браузерів (Chrome/Brave серед них), призведе до витоку доменного імені знову через SNI ⁴¹ рукостискання (це можна перевірити тут, на Cloudflare: https://www.cloudflare.com/ssl/encrypted-sni/ ^{[Archive.org]} ). На момент написання цього посібника лише браузери на базі Firefox підтримують ECH (Encrypted Client Hello ⁴² раніше відомий як eSNI ⁴³ ) на деяких веб-сайтах, які шифруватимуть усе наскрізне (на додаток до використання безпечного приватного DNS через TLS/HTTPS) і дозволять вам приховати свої запити DNS від третіх сторін ⁴⁴ . Цей параметр також не ввімкнено за замовчуванням, тому вам доведеться ввімкнути його самостійно.

На додаток до обмеженої підтримки браузера, лише веб-сервіси та CDN ⁴⁵ за Cloudflare CDN підтримує ECH/eSNI на цьому етапі ⁴⁶ . Це означає, що ECH та eSNI не підтримуються (на момент написання цього посібника) більшістю основних платформ, таких як:

• Amazon (включаючи AWS, Twitch…)
• Microsoft (включаючи Azure, OneDrive, Outlook, Office 365…)
• Google (включаючи Gmail, Google Cloud…)
• Apple (включаючи iCloud, iMessage…)
• Reddit
• YouTube
• Facebook
• Instagram
• Twitter
• GitHub
• …

Деякі країни люблять Росію ⁴⁷ і Китай ⁴⁸ може (неперевірено, незважаючи на статті) блокувати рукостискання ECH/eSNI на рівні мережі, щоб дозволити стеження та запобігти обходу цензури. Це означає, що ви не зможете встановити HTTPS-з’єднання зі службою, якщо не дозволите їм побачити, що це було.

На цьому проблеми не закінчуються. Частина перевірки HTTPS TLS називається OCSP ⁴⁹ і цей протокол, який використовується браузерами на базі Firefox, призведе до витоку метаданих у вигляді серійного номера сертифіката веб-сайту, який ви відвідуєте. Потім зловмисник може легко знайти веб-сайт, який ви відвідуєте, за номером сертифіката ⁵⁰ . Цю проблему можна пом’якшити за допомогою зшивання OCSP ⁵¹ . На жаль, це ввімкнено, але не застосовується за умовчанням у браузері Firefox/Tor. Але веб-сайт, який ви відвідуєте, також повинен підтримувати це, і не всі це роблять. З іншого боку, браузери на основі Chromium використовують іншу систему під назвою CRLSets ⁵² ' ⁵³ що, можливо, краще.

Ось список того, як різні браузери поводяться з OCSP: https://www.ssl.com/blogs/how-do-browsers-handle-revoked-ssl-tls-certificates/ ^{[Archive.org]}

Ось ілюстрація проблеми, з якою ви можете зіткнутися в браузерах на базі Firefox:

Нарешті, навіть якщо ви використовуєте спеціальний зашифрований DNS-сервер (DoH або DoT) із підтримкою ECH/eSNI та зшиванням OCSP, цього може бути недостатньо для аналізу трафіку ⁵⁴ показали, що все ще можна надійно знімати відбитки пальців і блокувати небажані запити. Лише DNS через Tor зміг продемонструвати ефективну конфіденційність DNS у нещодавніх дослідженнях, але навіть це можна подолати іншими засобами (див. Ваш анонімний трафік Tor/VPN ).

Можна також вирішити використовувати службу Tor Hidden DNS або ODoH (Oblivious DNS over HTTPS ⁵⁵ ), щоб ще більше підвищити конфіденційність/анонімність, але , на жаль , наскільки нам відомо, на момент написання цієї статті ці методи надає лише Cloudflare ( https://blog.cloudflare.com/welcome-hidden-resolver/ ^{[Archive.org]} , https://blog.cloudflare.com/oblivious-dns/ ^{[Archive.org]} ). Це робочі та достатньо безпечні технічні варіанти, але є також моральний вибір, чи хочете ви використовувати Cloudflare чи ні (незважаючи на ризик, який представляють деякі дослідники ⁵⁶ ).

Зауважте, що Oblivious DNS звертається до зловмисника, який підслуховує одне з перелічених тут з’єднань, але не всі. Він не стосується глобального пасивного противника (GPA), який може підслуховувати багато чи всі з цих з’єднань :

• трафік між клієнтським розпізначем і рекурсивним розпізначем
• рекурсивний розпізнавач і розпізнавач ODNS
• резолвер ODNS і авторитетний сервер.

Нарешті, є також ця нова можливість під назвою DoHoT, яка означає DNS через HTTPS через Tor, яка також може ще більше підвищити вашу конфіденційність/анонімність і яку ви можете розглянути, якщо ви більш навички роботи з Linux. Перегляньте https://github.com/alecmuffett/dohot ^{[Archive.org]} . Цей посібник не допоможе вам із цим на даному етапі, але він може бути незабаром.

Ось ілюстрація, яка показує поточний стан конфіденційності DNS і HTTPS на основі наших поточних знань.

Що стосується вашого звичайного щоденного використання (без чутливості), пам’ятайте, що лише браузери на базі Firefox підтримують ECH (раніше eSNI) і що на даному етапі це корисно лише для веб-сайтів, розміщених за Cloudflare CDN. Якщо ви віддаєте перевагу версії на базі Chrome (що для деяких зрозуміло через деякі краще інтегровані функції, як-от миттєвий переклад), тоді ми рекомендуємо замість цього використовувати Brave, який підтримує всі розширення Chrome і забезпечує набагато кращу конфіденційність, ніж версія Chrome.

Але історія на цьому не закінчується. Тепер, тому що після всього цього, навіть якщо ви зашифруєте свій DNS і використаєте всі можливі засоби захисту. Прості IP-запити до будь-якого сервера, ймовірно, дозволять зловмиснику виявити, який сайт ви відвідуєте. І це просто тому, що до більшості веб-сайтів прив’язані унікальні IP-адреси, як описано тут: https://blog.apnic.net/2019/08/23/what-can-you-learn-from-an-ip-address / ^{[Archive.org]} . Це означає, що зловмисник може створити набір даних відомих веб-сайтів, наприклад, включаючи їхні IP-адреси, а потім зіставити цей набір даних із IP-адресою, яку ви запитуєте. У більшості випадків це призведе до правильного визначення веб-сайту, який ви відвідуєте. Це означає, що незважаючи на зшивання OCSP, незважаючи на ECH/eSNI, незважаючи на використання зашифрованого DNS... Зловмисник усе одно може вгадати веб-сайт, який ви відвідуєте.

Тому, щоб пом’якшити всі ці проблеми (наскільки це можливо і якнайкраще), цей посібник пізніше рекомендуватиме два рішення: використання Tor і віртуалізоване (Див. Додаток W: Віртуалізація ) багаторівневе рішення VPN через Tor ( DNS через VPN через Tor або DNS через TOR). Інші варіанти також будуть пояснені (Tor через VPN, лише VPN, без Tor/VPN), але менш рекомендовані.

Ваші пристрої з RFID:

RFID означає радіочастотну ідентифікацію ⁵⁷ , це технологія, яка використовується, наприклад, для безконтактних платежів і різних систем ідентифікації. Звичайно, ваш смартфон є серед цих пристроїв і має можливості безконтактної оплати RFID через NFC ⁵⁸ . Як і у всьому іншому, такі можливості можуть використовуватися для відстеження різними учасниками.

Але, на жаль, це не обмежується вашим смартфоном, і ви також, ймовірно, постійно носите з собою певну кількість пристроїв із підтримкою RFID, наприклад:

• Ваші безконтактні кредитні/дебетові картки
• Картки лояльності вашого магазину
• Ваші транспортні платіжні картки
• Ваші робочі картки доступу
• Ваші ключі від машини
• Ваше національне посвідчення особи або водійське посвідчення
• Ваш паспорт
• Цінники/протиугінні бирки на речах/одязі
• …

Хоча все це не можна використовувати для деанонімізації вас від віддаленого зловмисника в Інтернеті, їх можна використовувати для звуження пошуку, якщо відомо ваше приблизне місцезнаходження в певний час. Наприклад, ви не можете виключити, що деякі магазини будуть ефективно сканувати (і реєструвати) усі чіпи RFID, що проходять через двері. Можливо, вони шукають свої картки постійного клієнта, але попутно реєструють інші. Такі мітки RFID можна відстежити до вашої особи та дозволити деанонімізацію.

Більше інформації у Вікіпедії: https://en.wikipedia.org/wiki/Radio-frequency_identification#Security_concerns ^{[Без Wiki] [Archive.org]} і https://en.wikipedia.org/wiki/Radio-frequency_identification#Privacy ^{[Без Wiki] [Archive.org]}

Єдиний спосіб пом’якшити цю проблему — не мати на собі RFID-міток або знову захистити їх за допомогою клітинки Фарадея. Ви також можете використовувати спеціалізовані гаманці/сумки, які спеціально блокують зв’язок RFID. Багато з них зараз виробляються відомими брендами, такими як Samsonite ⁵⁹ . Ви просто не повинні носити такі RFID-пристрої під час виконання конфіденційної діяльності.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Пристрої Wi-Fi та Bluetooth навколо вас:

Геолокація здійснюється не тільки за допомогою тріангуляції мобільних антен. Це також робиться за допомогою пристроїв Wi-Fi і Bluetooth навколо вас. Виробники операційних систем, такі як Google (Android ⁶⁰ ) і Apple (IOS ⁶¹ ) підтримувати зручну базу даних про більшість точок доступу Wi-Fi, пристроїв Bluetooth та їх розташування. Коли ваш Android-смартфон або iPhone увімкнено (а не в режимі літака), він активно скануватиме (якщо ви спеціально не вимкнете цю функцію в налаштуваннях) точки доступу Wi-Fi та пристрої Bluetooth навколо вас і зможе визначати ваше геолокацію за допомогою точніше, ніж при використанні GPS.

Потім це активне та безперервне зондування можна надіслати назад до Google/Apple/Microsoft як частину їх телеметрії. Проблема в тому, що це зондування є унікальним і може використовуватися для однозначної ідентифікації користувача та відстеження такого користувача. Магазини, наприклад, можуть використовувати цю техніку для відбитків пальців клієнтів, зокрема коли вони повертаються, куди вони йдуть у магазині та як довго вони залишаються в певному місці. Є декілька паперів ⁶² ' ⁶³ та статті ⁶⁴ детально описуючи це питання.

Це дозволяє їм забезпечувати точне місцезнаходження, навіть коли GPS вимкнено, але це також дозволяє їм вести зручний облік усіх пристроїв Wi-Fi Bluetooth у всьому світі. До якого потім можуть отримати доступ вони або треті сторони для відстеження.

Примітка. Якщо у вас є смартфон Android, Google, ймовірно, знає, де він знаходиться, незалежно від того, що ви робите. Ви не можете дійсно довіряти налаштуванням. Вся операційна система створена компанією, якій потрібні ваші дані. Пам’ятайте, що якщо це безкоштовно, то ви є продуктом.

Але це не те, що можуть зробити всі точки доступу Wi-Fi. Нещодавно розроблені технології можуть навіть дозволити комусь точно відстежувати ваші рухи лише на основі радіоперешкод. Це означає, що можна відстежувати ваші переміщення всередині кімнати/будівлі на основі радіосигналів, що проходять. Це може здатися твердженням про теорію змови в капелюсі з фольги, але ось посилання ⁶⁵ з демонстраціями цієї технології в дії: http://rfpose.csail.mit.edu/ ^{[Archive.org]} і відео тут: https://www.youtube.com/watch?v=HgDdaMy8KNE ^[Invidious]

Інші дослідники знайшли спосіб підрахувати людей у ​​визначеному просторі, використовуючи лише Wi-Fi, див. https://www.news.ucsb.edu/2021/020392/dont-fidget-wifi-will-count-you ^{[Archive.org]}

Таким чином, можна уявити багато варіантів використання таких технологій, як-от запис того, хто входить у певні будівлі/офіси (наприклад, готелі, лікарні чи посольства), а потім виявити, хто з ким зустрічається, і таким чином відстежувати їх ззовні. Навіть якщо у них немає смартфона.

Знову ж таки, таку проблему можна було пом’якшити, лише перебуваючи в кімнаті/будівлі, яка діяла б як клітка Фарадея.

Ось ще одне відео того самого виду технології в дії: https://www.youtube.com/watch?v=FDZ39h-kCS8 ^[Invidious]

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ви мало що можете зробити з цим. Крім того, що в першу чергу не можна ідентифікувати.

Зловмисні/підроблені точки доступу Wi-Fi:

Вони використовувалися принаймні з 2008 року з використанням атаки під назвою «Jasager» ⁶⁶ і це може зробити будь-хто за допомогою саморобних інструментів або комерційних пристроїв, таких як Wi-Fi Pineapple ⁶⁷ .

Нижче наведено кілька відео, які детальніше пояснюють цю тему:

• HOPE 2020, https://archive.org/details/hopeconf2020/20200725_1800_Advanced_Wi-Fi_Hacking_With_%245_Microcontrollers.mp4
• YouTube, Hak5, Wi-Fi Pineapple Mark VII https://www.youtube.com/watch?v=7v3JR4Wlw4Q ^[Invidious]

Ці пристрої поміщаються в невелику сумку та можуть керувати середовищем Wi-Fi будь-якого місця в межах їх дії. Наприклад, бар/ресторан/кафе/лобі готелю. Ці пристрої можуть змусити клієнтів Wi-Fi від’єднатися від поточної мережі Wi-Fi (за допомогою атак деавтентифікації та роз’єднання ⁶⁸ ) під час підробки звичайних мереж Wi-Fi у тому самому місці. Вони продовжуватимуть виконувати цю атаку, поки ваш комп’ютер або ви не вирішите спробувати підключитися до шахрайської точки доступу.

Потім ці пристрої можуть імітувати портал приєднання ⁶⁹ з таким самим макетом, як Wi-Fi, до якого ви намагаєтеся отримати доступ (наприклад, портал реєстрації Wi-Fi в аеропорту). Або вони можуть просто надати вам необмежений доступ до Інтернету, який вони самі отримають з того самого місця.

Коли ви підключитесь через Rogue AP, ця точка доступу зможе виконувати різні атаки типу "людина посередині" для аналізу вашого трафіку. Це можуть бути зловмисні перенаправлення або просте перехоплення трафіку. Потім вони можуть легко ідентифікувати будь-якого клієнта, який, наприклад, спробує підключитися до сервера VPN або мережі Tor.

Це може бути корисно, коли ви знаєте, що хтось, кого ви хочете деанонімізувати, знаходиться в людному місці, але ви не знаєте, хто. Це дозволить такому зловмиснику, можливо, знімати відбитки будь-якого веб-сайту, який ви відвідуєте, незважаючи на використання HTTPS, DoT, DoH, ODoH, VPN або Tor за допомогою аналізу трафіку, як зазначено вище в розділі DNS.

Їх також можна використовувати для ретельного створення та обслуговування розширених фішингових веб-сторінок, які збиратимуть ваші облікові дані або намагатимуться змусити вас встановити зловмисний сертифікат, який дозволить їм бачити ваш зашифрований трафік.

Як їх пом'якшити? Якщо ви все-таки підключитесь до загальнодоступної точки доступу Wi-Fi, скористайтеся Tor або VPN, а потім Tor (Tor через VPN) або навіть (VPN через Tor), щоб приховати трафік від шахрайської точки доступу, продовжуючи її використовувати.

Ваш анонімний трафік Tor/VPN:

Tor і VPN не є срібною кулею. Протягом багатьох років було розроблено та вивчено багато передових методів для деанонімізації зашифрованого трафіку Tor ⁷⁰ . Більшість із цих методів є кореляційними атаками, які так чи інакше співвідносять ваш мережевий трафік із журналами чи наборами даних. Ось кілька прикладів:

• Кореляційна атака відбитків пальців: як показано (спрощено) нижче, ця атака знімає відбитки вашого зашифрованого трафіку Tor (наприклад, веб-сайтів, які ви відвідали) на основі аналізу вашого зашифрованого трафіку без його дешифрування. Деякі з цих методів можуть досягти успіху в 96% у закритому світі . Ефективність цих методів у реальному відкритому світі ще не була продемонстрована та, ймовірно, вимагатиме величезних ресурсів і обчислювальної потужності, що робить дуже малоймовірним, що такі методи будуть використані місцевим ворогом у найближчому майбутньому. Однак гіпотетично такі методи можуть бути використані просунутим і, ймовірно, глобальним супротивником, який має доступ до вашої вихідної мережі, щоб визначити частину вашої активності. Приклади таких атак описані в кількох наукових роботах ⁷¹ ' ⁷² ' ⁷³ а також їх обмеження ⁷⁴ . Сам проект Tor опублікував статтю про ці атаки з деякими пом’якшеннями: https://blog.torproject.org/new-low-cost-traffic-analysis-attacks-mitigations ^{[Archive.org]} .

• Кореляційні атаки за часом: Як показано (спрощено) нижче, зловмисник, який має доступ до журналів мережевих з’єднань (наприклад, IP або DNS, пам’ятайте, що більшість серверів VPN і більшість вузлів Tor відомі та розміщені у відкритому списку) у джерелі та пункті призначення, можуть корелювати час для деанонімізації без необхідності будь-якого доступу до мережі Tor або VPN між ними. У 2013 році ФБР розробило реальний випадок використання цієї техніки для деанонімізації ⁷⁵ містифікація загрози вибуху в Гарвардському університеті.

• Атаки підрахунку кореляції: як показано (спрощено) нижче, зловмисник, який не має доступу до детальних журналів з’єднань (не бачить, що ви використовували Tor або Netflix), але має доступ до журналів підрахунку даних, може побачити, що ви завантажили 600 МБ у певний час/ дата, яка відповідає 600 Мб завантаження в пункт призначення. Цю кореляцію потім можна використовувати для деанонімізації з часом.

Існують способи пом’якшити їх, наприклад:

• Не використовуйте Tor/VPN для доступу до служб, які знаходяться в тій же мережі (ISP), що й служба призначення. Наприклад, не підключайтеся до Tor зі своєї університетської мережі, щоб отримати доступ до університетської служби анонімно. Замість цього використовуйте іншу точку джерела (наприклад, загальнодоступну Wi-Fi), яку противник не може легко співвіднести.
• Не використовуйте Tor/VPN з явно сильно контрольованої мережі (наприклад, корпоративної/урядової мережі), натомість спробуйте знайти неконтрольовану мережу, таку як громадська Wi-Fi або домашня Wi-Fi.
• Розгляньте можливість використання кількох рівнів (наприклад, те, що буде рекомендовано в цьому посібнику пізніше: VPN через Tor), щоб зловмисник міг побачити, що хтось підключився до служби через Tor, але не зможе побачити, що це були ви тому що ви були підключені до VPN, а не до мережі Tor.

Зауважте ще раз, що цього може бути недостатньо проти вмотивованого глобального противника ⁷⁶ з широким доступом до глобального масового стеження. Такий зловмисник може мати доступ до журналів незалежно від того, де ви перебуваєте, і використовувати їх для деанонімізації. Зазвичай ці атаки є частиною так званого нападу Сибіл ⁷⁷ . Ці супротивники виходять за рамки цього посібника.

Майте також на увазі, що всі інші методи, описані в цьому посібнику, такі як аналіз поведінки, також можна використовувати для опосередкованої деанонімізації користувачів Tor (див. далі Ваш цифровий відбиток пальця, слід і онлайн-поведінка ).

Я також наполегливо рекомендую прочитати цей дуже хороший, повний і ретельний (і більш детальний) посібник про більшість відомих векторів атак на Tor: https://github.com/Attacks-on-Tor/Attacks-on-Tor ^{[Archive.org]} а також цю недавню публікацію дослідження https://www.researchgate.net/publication/323627387_Shedding_Light_on_the_Dark_Corners_of_the_Internet_A_Survey_of_Tor_Research ^{[Archive.org]}

А також цю чудову серію публікацій у блозі: https://www.hackerfactor.com/blog/index.php?/archives/906-Tor-0day-The-Management-Vulnerability.html ^{[Archive.org]}

Нещодавно була здійснена спроба однієї з цих атак на мережу Tor. Більше інформації можна знайти тут: https://arstechnica.com/information-technology/2014/07/active-attack-on-tor-network-tried-to-decloak-users -на-п'ять місяців/ ^{[Archive.org]}

Нарешті, пам’ятайте, що використання Tor вже можна вважати підозрілою діяльністю ⁷⁸ , і деякі можуть вважати його використання зловмисним ⁷⁹ .

Пізніше в цьому посібнику будуть запропоновані деякі способи пом’якшення таких атак шляхом зміни джерела з самого початку (наприклад, за допомогою загальнодоступних Wi-Fi). Пам’ятайте, що такі атаки зазвичай здійснюються висококваліфікованими, дуже винахідливими та вмотивованими противниками, і вони виходять за рамки цього посібника. Також рекомендуємо дізнатися про практичні кореляційні атаки, які виконуються спецслужбами: https://officercia.mirror.xyz/WeAilwJ9V4GIVUkYa7WwBwV2II9dYwpdPTp3fNsPFjo ^{[Archive.org]}

Відмова від відповідальності: слід також зазначити, що Tor не призначений для захисту від глобального противника. Для отримання додаткової інформації див. https://svn-archive.torproject.org/svn/projects/design-paper/tor-design.pdf ^{[Archive.org]} і, зокрема, «Частина 3. Цілі та припущення проекту».

Деякі пристрої можна відстежувати навіть у режимі офлайн:

Ви бачили це в бойовиках/шпигунських/науково-фантастичних фільмах і серіалах, головні герої завжди виймають акумулятор своїх телефонів, щоб переконатися, що ним не можна користуватися. Більшість людей подумає, що це надмірно. Ну, на жаль, ні, тепер це стає правдою принаймні для деяких пристроїв:

• iPhone та iPad (IOS 13 і вище) ⁸⁰ ' ⁸¹
• Телефони Samsung (Android 10 і вище) ⁸²
• MacBook (macOS 10.15 і вище) ⁸³

Такі пристрої продовжуватимуть передавати ідентифікаційну інформацію на пристрої поблизу навіть у режимі офлайн за допомогою Bluetooth Low-Energy ⁸⁴ . Вони не мають прямого доступу до пристроїв (які не підключені до Інтернету), а замість цього використовують BLE, щоб знайти їх через інші пристрої поблизу ⁸⁵ . Вони використовують одноранговий зв’язок короткого радіусу дії Bluetooth, щоб транслювати свій статус через сусідні онлайн-пристрої.

Тепер вони могли знаходити такі пристрої та зберігати місцезнаходження в якійсь базі даних, яку потім могли використовувати треті сторони або вони самі для різних цілей (включно з аналітикою, рекламою або збором доказів/розвідувальних даних).

Див. Додаток N: Попередження про смартфони та розумні пристрої

TLDR: не беріть із собою такі пристрої, коли займаєтесь делікатною діяльністю.

Ваші ідентифікатори обладнання:

Ваш IMEI та IMSI (а також ваш номер телефону):

IMEI (міжнародний ідентифікатор мобільного обладнання). ⁸⁶ ) та IMSI (міжнародна ідентифікація мобільного абонента ⁸⁷ ) унікальні номери, створені виробниками стільникових телефонів і операторами стільникового зв’язку.

IMEI прив'язаний безпосередньо до телефону, яким ви користуєтеся. Цей номер відомий і відстежується операторами стільникового зв’язку та виробниками. Кожного разу, коли ваш телефон підключається до мобільної мережі, він реєструватиме IMEI в мережі разом із IMSI (якщо SIM-карта вставлена, але вона навіть не потрібна). Його також використовують багато програм (наприклад, банківські програми, які зловживають дозволом телефону на Android ⁸⁸ ) і операційні системи смартфона (Android/IOS) для ідентифікації пристрою ⁸⁹ . Це можливо, але важко (і не є незаконним у багатьох юрисдикціях ⁹⁰ ), щоб змінити IMEI на телефоні, але, мабуть, простіше та дешевше просто знайти та купити якийсь старий (робочий) телефон Burner за кілька євро (цей посібник призначений для Німеччини, пам’ятайте) на блошиному ринку чи в якомусь випадковому маленькому магазині.

IMSI прив’язується безпосередньо до передплати мобільного зв’язку або плану передоплати, який ви використовуєте, і прив’язується до вашого номера телефону оператором мобільного зв’язку. IMSI жорстко закодовано безпосередньо на SIM-карті та не може бути змінено. Пам’ятайте, що кожного разу, коли ваш телефон підключається до мобільної мережі, він також реєструє IMSI в мережі разом із IMEI. Як і IMEI, IMSI також використовується деякими програмами та операційними системами смартфонів для ідентифікації та відстежується. Деякі країни ЄС, наприклад, підтримують базу даних асоціацій IMEI/IMSI для легкого запиту правоохоронних органів.

Сьогодні розповісти свій (справжній) номер телефону те ж саме або навіть краще, ніж роздати номер соціального страхування/ідентифікаційний номер паспорта/ідентифікаційний номер громадянина.

IMEI та IMSI можна отримати принаймні шістьма способами:

• Журнали абонентів оператора мобільного зв’язку зазвичай зберігають IMEI разом із IMSI та базою даних про абонентів. Якщо ви використовуєте передплачену анонімну SIM-картку (анонімний IMSI, але з відомим IMEI), вони можуть побачити, що ця комірка належить вам, якщо ви раніше використовували цей мобільний телефон з іншою SIM-карткою (інший анонімний IMSI, але той самий відомий IMEI).
• У журналах антени мобільного оператора буде зручно зберігати журнал, який IMEI. IMSI також зберігає деякі дані підключення. Вони знають і реєструють, наприклад, що телефон із цією комбінацією IMEI/IMSI під’єднано до набору мобільних антен і наскільки потужним був сигнал для кожної з цих антен, що дозволяє легко тріангуляції/геолокації сигналу. Вони також знають, які інші телефони (наприклад, ваш справжній) підключилися одночасно до тих самих антен із таким самим сигналом. Це дає змогу точно знати, що цей «телефон записувача» завжди був підключений у тому самому місці/часі, що й цей інший «відомий телефон», який відображається щоразу, коли використовується телефон записувача. Ця інформація може/використовується різними третіми сторонами для точного геолокації/відстеження ⁹¹ ' ⁹² .
• Виробник телефону може відстежити продаж телефону за допомогою IMEI, якщо цей телефон було придбано неанонімним способом. Дійсно, вони матимуть журнали кожного продажу телефону (включаючи серійний номер та IMEI), якому магазину/особі він був проданий. І якщо ви користуєтеся телефоном, який купили в Інтернеті (або в когось, хто вас знає). За допомогою цієї інформації його можна відстежити до вас. Навіть якщо вони не знайдуть вас на камері відеоспостереження ⁹³ і ви купили телефон готівкою, вони все ще можуть знайти, який інший телефон (ваш справжній у вашій кишені) був там (у тому магазині) у той час/дату за допомогою антенних журналів.
• Лише за допомогою IMSI можна також знайти вас, оскільки зараз більшість країн вимагають від клієнтів надати ідентифікатор під час купівлі SIM-карти (за передплатою чи передплатою). Тоді IMSI прив’язується до особи покупця картки. У країнах, де SIM-картку все ще можна купити за готівку (наприклад, у Великій Британії), вони все одно знають, де (в якому магазині) її було придбано та коли. Цю інформацію потім можна використовувати для отримання інформації з самого магазину (наприклад, запис камери відеоспостереження, як для випадку IMEI). Або знову ж таки журнали антен також можна використовувати, щоб визначити, який ще телефон був там на момент продажу.
• Виробники ОС для смартфонів (Google/Apple для Android/IOs) також зберігають журнали ідентифікації IMEI/IMSI, прив’язаної до облікових записів Google/Apple і користувачів, які їх використовували. Вони також можуть відстежити історію телефону та дізнатися, до яких облікових записів він був прив’язаний у минулому ⁹⁴ .
• Державні установи в усьому світі, зацікавлені у вашому номері телефону, можуть і використовують ⁹⁵ спеціальні пристрої під назвою «IMSI catchers» ⁹⁶ як скат ⁹⁷ або нещодавно Nyxcell ⁹⁸ . Ці пристрої можуть імітувати (підробляти) антену стільникового телефону та змушувати певний IMSI (ваш телефон) підключатися до нього для доступу до стільникової мережі. Як тільки вони це зроблять, вони зможуть використовувати різні MITM ³⁵ (Man-In-The-Middle Attacks), що дозволить їм:
  Торкніться телефону (голосові дзвінки та SMS). Понюхайте та перевірте свій трафік даних. Видавати себе за свій номер телефону, не контролюючи телефон. …

Ось також гарне відео YouTube на цю тему: DEFCON Safe Mode - Cooper Quintin - Detecting Fake 4G Base Stations in Real-Time https://www.youtube.com/watch?v=siCk4pGGcqA ^[Invidious]

З цих причин вкрай важливо отримати спеціальний анонімний номер телефону та/або анонімний телефон для запису з попередньо оплаченою SIM-карткою, придбаною готівкою, яка жодним чином не прив’язана до вас (в минулому чи зараз) для ведення конфіденційної діяльності. Також можна отримати анонімний попередньо оплачений, але бажано виділений номер у безкоштовних і платних онлайн-сервісах, які приймають анонімні криптовалюти, як-от Monero. Отримайте більше практичних вказівок тут: Отримання анонімного номера телефону .

Хоча є деякі виробники смартфонів, такі як Purism із серією Librem ⁹⁹ які стверджують, що дбають про вашу конфіденційність, вони все ще не дозволяють рандомізацію IMEI, що, на нашу думку, є ключовою функцією захисту від відстеження, яку мають надавати такі виробники. Хоча цей захід не перешкоджатиме відстеженню IMSI на SIM-карті, він принаймні дозволить вам зберегти той самий «телефон для запису» та лише змінювати SIM-карти замість того, щоб змінювати обидві для конфіденційності.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ваша MAC-адреса Wi-Fi або Ethernet:

MAC-адреса ¹⁰⁰ — це унікальний ідентифікатор, прив’язаний до вашого фізичного мережевого інтерфейсу (дротового Ethernet або Wi-Fi), і, звичайно, його можна використовувати для відстеження, якщо він не рандомізований. Як і у випадку з IMEI, виробники комп’ютерів і мережевих карт зазвичай зберігають журнали своїх продажів (зазвичай включаючи такі речі, як серійний номер, IMEI, Mac-адреси тощо), і вони знову можуть відстежувати, де і коли комп’ютер із вказаною MAC-адресою було продано та кому. Навіть якщо ви купили його за готівку в супермаркеті, у супермаркеті все одно може бути система відеоспостереження (або система відеоспостереження біля цього магазину), і знову ж таки час/дата продажу можна використати, щоб дізнатися, хто був там, використовуючи журнали антен постачальника мобільного зв’язку на того часу (IMEI/IMSI).

Виробники операційних систем (Google/Microsoft/Apple) також зберігатимуть журнали пристроїв та їхні MAC-адреси у своїх журналах для ідентифікації пристроїв (наприклад, служби пошуку типу пристрою). Apple може сказати, що MacBook із цією конкретною MAC-адресою раніше був прив’язаний до певного облікового запису Apple. Можливо, ваш до того, як ви вирішили використовувати MacBook для конфіденційних справ. Можливо, іншому користувачеві, який продав його вам, але пам’ятає вашу електронну пошту/номер із моменту продажу.

Ваш домашній маршрутизатор/точка доступу Wi-Fi зберігає журнали пристроїв, зареєстрованих у Wi-Fi, і до них також можна отримати доступ, щоб дізнатися, хто використовував вашу Wi-Fi. Іноді це може бути зроблено дистанційно (і тихо) провайдером залежно від того, чи цей маршрутизатор/точка доступу Wi-Fi «керується» дистанційно провайдером (що часто буває, коли вони надають маршрутизатор своїм клієнтам).

Деякі комерційні пристрої реєструватимуть MAC-адреси, що переміщуються з різними цілями, як-от затори на дорогах ¹⁰¹ .

Отже, знову важливо не брати з собою телефон, коли/де ви виконуєте конфіденційну діяльність. Якщо ви користуєтеся власним ноутбуком, дуже важливо приховати цю MAC-адресу (та адресу Bluetooth) усюди, де ви ним користуєтеся, і будьте дуже обережні, щоб не допустити витоку інформації. На щастя, багато останніх ОС тепер мають або дозволяють можливість рандомізувати MAC-адреси (Android, IOS, Linux і Windows 10/11), за помітним винятком macOS, яка не підтримує цю функцію навіть у своїй останній версії Big Sur.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ваша MAC-адреса Bluetooth:

Ваша MAC-адреса Bluetooth схожа на попередню MAC-адресу, за винятком того, що вона призначена для Bluetooth. Знову ж таки, його можна використовувати для відстеження вас, оскільки виробники та виробники операційних систем зберігають журнали такої інформації. Він може бути прив’язаний до місця/часу/дати або облікових записів, а потім може використовуватися для відстеження вас за допомогою такої інформації, платіжної інформації магазину, відеоспостереження або журналів мобільної антени у відповідності.

Операційні системи мають засоби захисту для рандомізації цих адрес, але все ще піддаються вразливості ¹⁰² .

З цієї причини, і якщо вони вам дійсно не потрібні, вам слід просто повністю вимкнути Bluetooth у налаштуваннях BIOS/UEFI, якщо це можливо, або в операційній системі в іншому випадку.

У Windows 10 вам потрібно буде вимкнути та ввімкнути пристрій Bluetooth у самому диспетчері пристроїв, щоб примусово рандомізувати адресу для наступного використання та запобігти відстеженню.

Загалом, це не повинно викликати зайвого занепокоєння порівняно з MAC-адресами. Адреси BT досить часто рандомізуються.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ваш ЦП:

Всі сучасні процесори ¹⁰³ зараз інтегрують приховані платформи керування, такі як нині сумнозвісний Intel Management Engine ¹⁰⁴ і AMD Platform Security Processor ¹⁰⁵ .

Ці платформи керування — це невеликі операційні системи, які працюють безпосередньо на вашому центральному процесорі, якщо вони мають живлення. Ці системи мають повний доступ до мережі вашого комп’ютера, і до них може отримати доступ зловмисник, щоб деанонімізувати вас різними способами (використовуючи, наприклад, прямий доступ або використовуючи зловмисне програмне забезпечення), як показано в цьому повчальному відео: BlackHat, How to Hack a Turned-Off Комп’ютер або запуск непідписаного коду в Intel Management Engine https://www.youtube.com/watch?v=9fhNokIgBMU ^[Invidious] .

У минулому вони вже зазнали кількох уразливостей безпеки ¹⁰⁶ що дозволило шкідливим програмам отримати контроль над цільовими системами. Їх також звинувачують багато учасників конфіденційності, включаючи EFF і Libreboot, у тому, що вони є бекдором у будь-якій системі. ¹⁰⁷ .

Є кілька не дуже простих способів ¹⁰⁸ щоб вимкнути Intel IME на деяких процесорах, і ви повинні це зробити, якщо можете. Для деяких ноутбуків AMD його можна вимкнути в налаштуваннях BIOS, вимкнувши PSP.

Зауважте, що на захист AMD не було виявлено вразливості безпеки для ASP і бекдорів. Дивіться https://www.youtube.com/watch?v=bKH5nGLgi08&t=2834s ^[Invidious] . Крім того, AMD PSP не надає жодних можливостей віддаленого керування на відміну від Intel IME.

Якщо ви відчуваєте себе більш авантюрним, ви можете встановити свій власний BIOS за допомогою Coreboot ¹⁰⁹ або Libreboot (дистрибутив Coreboot), якщо ваш ноутбук це підтримує. Coreboot дозволяє користувачам додавати власний мікрокод або інші мікропрограмні блоки, щоб машина працювала, але це залежить від вибору користувача, і станом на грудень 2022 року Libreboot прийняв подібний прагматичний підхід для підтримки нових пристроїв у Coreboot дерево. (Дякую, люб'язному Анону, який виправив попередню інформацію в цьому абзаці.)

Перевір себе:

• Якщо ви користуєтеся Linux, ви можете перевірити статус уразливості вашого ЦП до атак Spectre/Meltdown за допомогою https://github.com/speed47/spectre-meltdown-checker ^{[Archive.org]} який доступний як пакет для більшості дистрибутивів Linux, включаючи Whonix. Spectre — це тимчасова атака виконання. Тут також є код PoC для Spectre v1 і v2 на пристроях iPhone: https://github.com/cispa/BranchDifferent ^{[Archive.org]} і тут https://misc0110.net/files/applespectre_dimva22.pdf ^{[Archive.org]}
• Якщо ви користуєтеся Windows, ви можете перевірити статус вразливості вашого ЦП за допомогою inSpectre https://www.grc.com/inspectre.htm ^{[Archive.org]}

Деякі процесори мають невиправні недоліки (особливо процесори Intel), які можуть бути використані різними зловмисними програмами. Ось хороший поточний список таких вразливостей, які впливають на нещодавно поширені ЦП: https://en.wikipedia.org/wiki/Transient_execution_CPU_vulnerability ^{[Без Wiki] [Archive.org]}

Деякі з них можна уникнути за допомогою налаштувань програмного забезпечення віртуалізації, які можуть пом’якшити такі експлойти. Перегляньте цей посібник для отримання додаткової інформації https://www.whonix.org/wiki/Spectre_Meltdown ^{[Archive.org]} (попередження: це може серйозно вплинути на продуктивність ваших віртуальних машин).

Цей посібник не заглиблюватиметься в атаки на бічні канали та мікроархітектуру, але ми висвітлимо деякі проблеми з архітектурами ЦП Intel і AMD, які будуть усунені. Важливо розуміти, що апаратне забезпечення однаково сприйнятливе до помилок і, отже, до експлуатації, незалежно від виробника.

У цьому посібнику ми пом’якшимо деякі з цих проблем, порекомендувавши використовувати віртуальні машини на виділеному анонімному ноутбуці для конфіденційних дій, які використовуватимуться лише з анонімної публічної мережі.

Крім того, ми рекомендуємо використовувати процесори AMD замість процесорів Intel.

• Уразливості процесора, виявлені за останні кілька років:
  • Meltdown , Spectre , Æpic , SGAxe , LVI , Plundervolt , MicroScope replay attack , Enclave , Prime+Probe , Crosstalk , Hertzbleed , Squip attack , Zenbleed

Ваші послуги телеметрії операційних систем і програм:

Будь то Android, iOS, Windows, macOS або навіть Ubuntu. Більшість популярних операційних систем тепер збирають телеметричну інформацію за замовчуванням, навіть якщо ви ніколи не погоджуєтеся або не відмовляєтеся ¹¹⁰ з самого початку. Деякі, такі як Windows, навіть не дозволять повністю вимкнути телеметрію без деяких технічних налаштувань. Цей збір інформації може бути великим і включати приголомшливу кількість деталей (метаданих і даних) про ваші пристрої та їх використання.

Ось хороші огляди того, що збирають ці п’ять популярних ОС у їхніх останніх версіях:

• Android/Google:
  Просто прочитайте їхню політику конфіденційності https://policies.google.com/privacy ^{[Archive.org]} Школа комп’ютерних наук і статистики, Трініті-коледж Дубліна, Ірландія Конфіденційність мобільних телефонів: вимірювання даних, які iOS і Android надсилають Apple і Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf ^{[Archive.org]}
• IOS/Apple:
  Більше інформації на сторінці https://www.apple.com/legal/privacy/en-ww/ ^{[Archive.org]} і https://support.apple.com/en-us/HT202100 ^{[Archive.org]} Школа комп’ютерних наук і статистики, Трініті-коледж Дубліна, Ірландія Конфіденційність мобільних телефонів: вимірювання даних, які iOS і Android надсилають Apple і Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf ^{[Archive.org]} Apple заявляє ¹¹¹ що вони анонімізують ці дані за допомогою диференціальної конфіденційності ¹¹² але ви повинні довіряти їм у цьому.
• Windows/Microsoft:
  Повний список необхідних діагностичних даних: https://docs.microsoft.com/en-us/windows/privacy/required-windows-diagnostic-data-events-and-fields-2004 ^{[Archive.org]} Повний список додаткових діагностичних даних: https://docs.microsoft.com/en-us/windows/privacy/windows-diagnostic-data ^{[Archive.org]}
• macOS:
  • Докладніше на https://support.apple.com/guide/mac-help/share-analytics-information-mac-apple-mh27990/mac ^{[Archive.org]}
• Ubuntu:
  • Незважаючи на те, що Ubuntu є дистрибутивом Linux, тепер також збирає телеметричні дані. Однак ці дані досить обмежені порівняно з іншими. Детальніше на https://ubuntu.com/desktop/statistics ^{[Archive.org]}

Не тільки операційні системи збирають телеметричні послуги, але й самі програми, як-от браузери, поштові клієнти та програми соціальних мереж, установлені у вашій системі.

Важливо розуміти, що ці телеметричні дані можуть бути пов’язані з вашим пристроєм і допомогти деанонімізувати вас, а пізніше можуть бути використані проти вас зловмисником, який отримає доступ до цих даних.

Це не означає, наприклад, що пристрої Apple є жахливим вибором для якісної конфіденційності (хоча це може змінитися ¹¹³ ), але вони, звичайно, не найкращі варіанти для (відносної) анонімності. Вони можуть захистити вас від того, що треті сторони знають, що ви робите, але не від себе. Цілком імовірно, вони точно знають, хто ви.

Далі в цьому посібнику ми використаємо всі наявні засоби, щоб вимкнути та заблокувати якомога більше телеметрії, щоб пом’якшити цей вектор атаки в операційних системах, які підтримуються в цьому посібнику. Серед них будуть Windows, macOS і навіть Linux у певному відношенні.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ваші розумні пристрої в цілому:

Ти зрозумів; Ваш смартфон є передовим пристроєм для шпигунства/відстеження, який:

• Записує все, що ви говорите в будь-який час («Hey Siri», «Hey Google»).
• Записує ваше місцезнаходження, де б ви не були.
• Завжди записує інші пристрої навколо вас (пристрої Bluetooth, точки доступу Wi-Fi).
• Записує дані про ваші звички та здоров’я (кроки, час використання екрана, схильність до захворювань, дані підключених пристроїв)
• Записує всі ваші мережеві розташування.
• Записує всі ваші фотографії та відео (і, швидше за все, місце їх зйомки).
• Швидше за все, має доступ до більшості ваших відомих облікових записів, включаючи соціальні мережі, обмін повідомленнями та фінансові облікові записи.

Дані передаються, навіть якщо ви відмовилися ¹¹⁰ , обробляється та зберігається необмежений час (швидше за все незашифрованим ¹¹⁴ ) різними третіми особами ¹¹⁵ .

Але це ще не все, цей розділ називається не «Смартфони», а «Розумні пристрої», тому що за вами шпигує не тільки ваш смартфон. Це також будь-який інший розумний пристрій, який ви можете мати:

• Ваш розумний годинник? (Apple Watch, Android Smartwatch…)
• Ваші фітнес-пристрої та програми ¹¹⁶ ' ¹¹⁷ ? (Страва ¹¹⁸ ' ¹¹⁹ , Fitbit ¹²⁰ , Garmin, Polar ¹²¹ , …)
• Ваш розумний динамік? (Amazon Alexa ¹²² , Google Echo, Apple Homepod…)
• Ваш розумний транспорт? (Автомобіль? Скутер?)
• Ваші розумні теги? (Apple AirTag, Galaxy SmartTag, Tile…)
• Твоя машина? (Так, сьогодні більшість сучасних автомобілів мають розширені функції реєстрації/відстеження ¹²³ )
• Будь-який інший розумний пристрій? Існують навіть зручні пошукові системи, призначені для пошуку їх в Інтернеті:
  https://www.shodan.io/ https://censys.io/ https://www.zoomeye.org/

Див. Додаток N: Попередження про смартфони та розумні пристрої

Висновок: не беріть із собою смарт-пристрої, коли займаєтесь делікатною діяльністю.

Ви самі:

Ваші метадані, включаючи ваше геомісцезнаходження:

Ваші метадані — це вся інформація про вашу діяльність без фактичного вмісту цієї діяльності. Наприклад, це все одно, що знати, що вам подзвонив онколог, перш ніж подзвонити своїй родині та друзям. Ви не знаєте, що було сказано під час розмови, але ви можете здогадатися, що це було лише з метаданих ¹²⁴ .

Ці метадані також часто включатимуть ваше місцезнаходження, яке збирають смартфони, операційні системи (Android ¹²⁵ /IOS), браузери, програми, веб-сайти. Швидше за все, кілька компаній точно знають, де ви перебуваєте в будь-який час ¹²⁶ через ваш смартфон ¹²⁷ .

Ці дані про місцезнаходження використовувалися в багатьох судових справах ¹²⁸ вже в рамках «ордерів геозонування» ¹²⁹ які дозволяють правоохоронним органам запитувати у компаній (таких як Google/Apple) список усіх пристроїв, присутніх у певному місці в певний час. Крім того, ці дані про місцезнаходження навіть продаються приватними компаніями військовим, які потім можуть ними зручно користуватися ¹³⁰ . Ці ордери починають широко використовуватися правоохоронними органами ¹³¹ ' ¹³² ' ¹³³ .

Якщо ви хочете на собі випробувати, як виглядатиме «ордер на геозонування», ось приклад: https://wigle.net/ .

Тепер припустімо, що ви використовуєте VPN, щоб приховати свій IP. Платформа соціальних мереж знає, що ви були активними в цьому обліковому записі 4 листопада з 8 ранку до 13:00 з цією IP-адресою VPN. VPN нібито не веде журналів і не може відстежити IP-адресу VPN до вашої IP-адреси. Однак ваш інтернет-провайдер знає (або принаймні може знати), що ви були підключені до того ж VPN-провайдера 4 листопада з 7:30 до 14:00, але не знає, що ви з ним робили.

Питання: чи є десь хтось, хто мав би обидві частини інформації ¹³⁴ для кореляції в зручній базі даних?

Ви чули про Едварда Сноудена ¹³⁵ ? Зараз саме час погуглити його та прочитати його книгу ¹³⁶ . Також читайте про XKEYSCORE ¹³⁷ ' ¹³⁸ , М'ЯЗОВА ¹³⁹ , СОРМ ¹⁴⁰ , Темпора ¹⁴¹ і PRISM ¹⁴² .

Див. «Ми вбиваємо людей на основі метаданих» ¹⁴³ або цей знаменитий твіт від ЦАХАЛ https://twitter.com/idf/status/1125066395010699264 ^{[Archive.org] [Nitter]} .

Див. Додаток N: Попередження про смартфони та розумні пристрої

Ваш цифровий відбиток пальця, слід і онлайн-поведінка:

Це та частина, де варто подивитися документальний фільм «Соціальна дилема» ¹⁴⁴ на Netflix, оскільки вони висвітлюють цю тему набагато краще, ніж будь-хто інший.

Сюди входить те, як ви пишете (стилометрія) ¹⁴⁵ ' ¹⁴⁶ , як ти поводишся ¹⁴⁷ ' ¹⁴⁸ . Спосіб натискання. Спосіб перегляду. Шрифти, які ви використовуєте у своєму браузері ¹⁴⁹ . Відбитки пальців використовуються, щоб здогадатися, хто хтось за поведінкою користувача. Можливо, ви використовуєте певні педантичні слова або робите специфічні орфографічні помилки, які можуть видати вас за допомогою простого пошуку в Google за подібними функціями, оскільки ви вводили порівнянний текст у якійсь публікації на Reddit 5 років тому, використовуючи не дуже анонімний обліковий запис Reddit ¹⁵⁰ . Лише слова, які ви вводите в пошуковій системі, можуть бути використані проти вас, оскільки органи влади тепер мають ордери на пошук користувачів, які використовували певні ключові слова в пошукових системах ¹⁵¹ .

Платформи соціальних медіа, такі як Facebook/Google, можуть піти далі й зареєструвати вашу поведінку в самому браузері. Наприклад, вони можуть зареєструвати все, що ви вводите, навіть якщо ви його не надсилаєте/зберігаєте. Подумайте про те, коли ви створюєте електронний лист у Gmail. Він зберігається автоматично під час введення. Вони також можуть реєструвати ваші клацання та рухи курсору.

Все, що їм потрібно, щоб досягти цього в більшості випадків, — увімкнути Javascript у вашому браузері (що є у більшості браузерів, включаючи браузер Tor за замовчуванням). Навіть якщо Javascript вимкнено, є способи зняти ваш відбиток пальця ¹⁵² .

Хоча ці методи зазвичай використовуються для маркетингових цілей і реклами, вони також можуть бути корисним інструментом для користувачів зняття відбитків пальців. Це тому, що ваша поведінка є унікальною або достатньо унікальною, щоб з часом вас могли деанонімізувати.

Ось кілька прикладів:

• Спеціалізовані компанії продають, наприклад, правоохоронним органам продукти для аналізу діяльності соціальних мереж, наприклад https://mediasonar.com/ ^{[Archive.org]}
• Наприклад, як основу автентифікації, швидкість друку користувача, натискання клавіш, шаблони помилок (скажімо, випадкове натискання «l» замість «k» у трьох із кожних семи транзакцій) і рухи миші встановлюють унікальний шаблон цієї людини. поведінки ¹⁵³ . Деякі комерційні служби, такі як TypingDNA ( https://www.typingdna.com/ ^{[Archive.org]} ) навіть пропонують такий аналіз як заміну двофакторній автентифікації.
• Ця технологія також широко використовується в CAPTCHAS ¹⁵⁴ послуги для підтвердження того, що ви «людина», і їх можна використовувати для відбитків пальців користувача.
• Див. Додаток A4: Протидія судовій лінгвістиці .

Потім можна використовувати алгоритми аналізу, щоб зіставити ці шаблони з іншими користувачами та зіставити вас з іншим відомим користувачем. Незрозуміло, чи такі дані вже використовуються урядами та правоохоронними органами, але це може бути в майбутньому. І поки це в основному використовується для цілей реклами/маркетингу/captchas. У короткостроковому або середньостроковому майбутньому він може використовуватися і, ймовірно, буде використаний для розслідування, щоб деанонімізувати користувачів.

Ось цікавий приклад, на якому ви намагаєтеся побачити деякі з цих речей у дії: https://clickclickclick.click (на жаль, для цього немає посилань на архів). Ви побачите, що з часом це стане цікавим (для цього потрібно ввімкнути Javascript).

Ось також нещодавній приклад, який просто показує, що Google Chrome збирає про вас: https://web.archive.org/web/https://pbs.twimg.com/media/EwiUNH0UYAgLY7V?format=jpg&name=4096x4096

Ось деякі інші ресурси на цю тему, якщо ви не можете переглянути цей документальний фільм:

• 2017, Аналіз поведінки в соціальних мережах, https://link.springer.com/10.1007/978-1-4614-7163-9_110198-1 ^{[Archive.org]}
• 2017, Соціальні мережі та позитивний і негативний вплив https://www.sciencedirect.com/science/article/pii/S1877042811013747/pdf?md5=253d8f1bb615d5dee195d353dc077d46&pid=1-s2.0-S1877042811013747- main.pdf ^{[Архів.today]}
• 2015, Використання даних соціальних мереж для аналізу поведінки та настроїв https://www.researchgate.net/publication/300562034_Using_Social_Networks_Data_for_Behavior_and_Sentiment_Analysis ^{[Archive.org]}
• 2016, Опитування щодо аналізу поведінки користувачів у соціальних мережах https://www.academia.edu/30936118/A_Survey_on_User_Behaviour_Analysis_in_Social_Networks ^{[Archive.org]}
• 2017, презентація DEF CON 25: DEF CON 25 - Свеа Екерт, Андреас Дьюс - Темні дані ^[Invidious]
• 2019, Аналіз впливу та поведінки в соціальних мережах і соціальних мережах https://sci-hub.se/10.1007/978-3-030-02592-2 ^{[Archive.org]}

Отже, як ви можете пом’якшити їх?

• У цьому посібнику наведено деякі технічні засоби пом’якшення за допомогою інструментів, стійких до зняття відбитків пальців, але цього може бути недостатньо.
• Ви повинні застосувати здоровий глузд і спробувати знайти власні шаблони у своїй поведінці та поводитися інакше, використовуючи анонімні особи. Це включає:
  Спосіб друку (швидкість, точність…). Слова, які ви використовуєте (будьте обережні зі своїми звичними виразами). Тип відповіді, який ви використовуєте (якщо ви саркастичні за замовчуванням, спробуйте інший підхід до вашої особистості). Те, як ви використовуєте мишу та клацаєте (спробуйте вирішити Captcha інакше, ніж ваш звичайний спосіб) Звички, які ви маєте під час використання деяких програм або відвідування деяких веб-сайтів (не завжди використовуйте однакові меню/кнопки/посилання для переходу на свій вміст). …

Ви повинні грати і повністю прийняти роль, як це зробив би актор для вистави. Вам потрібно стати іншою людиною, думати і діяти як ця людина. Це не технічне, а людське пом’якшення. У цьому ви можете покладатися тільки на себе.

Зрештою, здебільшого ви самі можете обдурити ці алгоритми, засвоївши нові звички та не розкриваючи реальну інформацію під час використання анонімних ідентифікацій. Див. Додаток A4: Протидія судовій лінгвістиці .

Ваші підказки про ваше реальне життя та OSINT:

Це підказки, які ви можете дати з часом, які можуть вказати на вашу справжню особу. Можливо, ви розмовляєте з кимось або публікуєте повідомлення на дошці/форумі/Reddit. У цих дописах з часом ви можете отримати витік інформації про своє справжнє життя. Це можуть бути спогади, досвід або підказки, якими ви поділилися, які потім можуть дозволити вмотивованому противнику створити профіль, щоб звузити пошук.

Реальним використанням і добре задокументованим випадком цього був арешт хакера Джеремі Хаммонда ¹⁵⁵ який з часом поділився декількома подробицями свого минулого, які пізніше були виявлені.

У Bellingcat також є кілька випадків, пов’язаних з OSINT ¹⁵⁶ . Перегляньте їх дуже інформативний (але трохи застарілий) інструментарій тут: https://docs.google.com/spreadsheets/d/18rtqh8EG2q1xBo2cLNyhIDuK9jrPGwYr9DI2UncoqJQ/edit#gid=930747607 ^{[Archive.org]}

У нашій спільноті Matrix є кімната для дискусій OSINT. Не соромтеся приєднатися до #OSINT:matrix.org.

Ви також можете переглянути деякі зручні списки деяких доступних інструментів OSINT тут, якщо ви хочете спробувати їх на собі, наприклад:

• https://github.com/jivoi/awesome-osint ^{[Archive.org]}
• https://web.archive.org/web/20210426041234/https://jakecreps.com/tag/osint-tools/
• https://osintframework.com/
• https://recontool.org

А також цей цікавий список відтворення на YouTube: https://www.youtube.com/playlist?list=PLrFPX1Vfqk3ehZKSFeb9pVIHqxqrNW8Sy ^[Invidious]

А також цікаві подкасти:

https://www.inteltechniques.com/podcast.html

Ви ніколи не повинні ділитися реальним особистим досвідом/подробицями, використовуючи свої анонімні особи, що згодом може призвести до пошуку вашої справжньої особи. Ви побачите докладнішу інформацію про це в розділі Створення нових ідентифікацій .

Ваше обличчя, голос, біометрія та зображення:

«Пекло — це інші люди», навіть якщо ви ухиляєтеся від усіх перерахованих вище методів, ви ще не вийшли з лісу завдяки широкому використанню розширеного розпізнавання облич усіма.

Такі компанії, як Facebook, роками використовують розширене розпізнавання облич ¹⁵⁷ ' ¹⁵⁸ і використовували інші засоби (супутникові зображення) для створення карт «людей» по всьому світу ¹⁵⁹ . Ця еволюція тривала роками до того моменту, коли ми можемо сказати, що «ми втратили контроль над своїми обличчями». ¹⁶⁰ .

Якщо ви гуляєте в туристичному місці, ви, швидше за все, з’явиться на чиємусь селфі протягом декількох хвилин, не підозрюючи про це. Потім ця особа могла б завантажити це селфі на різні платформи (Twitter, Google Photos, Instagram, Facebook, Snapchat…). Потім ці платформи застосовуватимуть алгоритми розпізнавання облич до цих фотографій під приводом того, що вони дозволять краще/простіше додавати теги або краще впорядкувати вашу бібліотеку фотографій. На додаток до цього, те саме зображення забезпечить точну позначку часу та, у більшості випадків, геолокацію місця його зйомки. Навіть якщо особа не надає мітки часу та геолокації, це все одно можна вгадати за допомогою інших засобів ¹⁶¹ ' ¹⁶² .

Ось кілька ресурсів, щоб навіть спробувати це самостійно:

• Bellingcat, посібник із використання зворотного пошуку зображень для розслідувань: https://www.bellingcat.com/resources/how-tos/2019/12/26/guide-to-using-reverse-image-search-for-investigations/ ^{[Archive.org]}
• Bellingcat, використання нового російського сайту розпізнавання облич SearchFace https://www.bellingcat.com/resources/how-tos/2019/02/19/using-the-new-russian-facial-recognition-site-searchface-ru/ ^{[Archive.org]}
• Bellingcat, Далі, Уорхол, Боширов: визначення часу передбачуваної фотографії підозрюваного Скрипаля Чепіги https://www.bellingcat.com/resources/how-tos/2018/10/24/dali-warhol-boshirov-determining-time -alleged-photograph-skripal-suspect-chepiga/ ^{[Archive.org]}
• Bellingcat, Advanced Guide on Verifying Video Content https://www.bellingcat.com/resources/how-tos/2017/06/30/advanced-guide-verifying-video-content/ ^{[Archive.org]}
• Bellingcat, Використання сонця та тіней для геолокації https://www.bellingcat.com/resources/2020/12/03/using-the-sun-and-the-shadows-for-geolocation/ ^{[Archive.org]}
• Bellingcat, група отруйних речовин Навального причетна до вбивства трьох російських активістів https://www.bellingcat.com/news/uk-and-europe/2021/01/27/navalny-poison-squad-implicated-in-murders-of- три-російські-активісти/ ^{[Archive.org]}
• Bellingcat, вбивство в Берліні: нові докази щодо підозрюваного вбивці ФСБ передано німецьким слідчим https://www.bellingcat.com/news/2021/03/19/berlin-assassination-new-evidence-on-suspected-fsb-hitman-passed -до-німецьких-слідчих/ ^{[Archive.org]}
• Bellingcat, Підручник з цифрових досліджень: Розслідування бомбардування лікарні Ємену очолюваною Саудівською Аравією коаліцією https://www.youtube.com/watch?v=cAVZaPiVArA ^[Invidious]
• Bellingcat, Підручник із цифрових досліджень: використання розпізнавання облич у розслідуваннях https://www.youtube.com/watch?v=awY87q2Mr0E ^[Invidious]
• Bellingcat, Підручник з цифрових досліджень: геолокація (імовірно) корумпованих венесуельських чиновників у Європі https://www.youtube.com/watch?v=bS6gYWM4kzY ^[Invidious]

Розпізнавання ходи та інші біометричні дані

Навіть якщо ви не дивитеся в камеру, вони все одно можуть зрозуміти, хто ви ¹⁶³ , виявляй свої емоції ¹⁶⁴ , проаналізуйте свою ходу ¹⁶⁵ ' ¹⁶⁶ ' ¹⁶⁷ , читаю по губах ¹⁶⁸ , проаналізуйте поведінку своїх очей ¹⁶⁹ , і, ймовірно, вгадати вашу політичну приналежність ¹⁷⁰ ' ¹⁷¹ .

Всупереч поширеній думці та поп-культурі, сучасні системи розпізнавання ходи не можна обдурити простою зміною того, як ви ходите (наприклад, із чимось незручним у взутті), оскільки вони аналізують те, як м’язи вашого тіла рухаються по всьому тілу, коли ви виконуєте певні дії. Найкращий спосіб обдурити сучасне розпізнавання ходи – це носити вільний одяг, який закриває те, як ваші м’язи рухаються під час виконання дій.

Інші речі, за якими можна ідентифікувати вас, включають мочки вух, які насправді легше ідентифікувати, ніж відбитки пальців, або навіть форму вашого черепа. Таким чином, м’які головні убори, такі як балаклави, не рекомендуються для приховування вашої особистості – вони змушують вас виглядати неймовірно підозріло, а також відповідають формі вашого черепа.

(Ілюстрація з https://www.nature.com/articles/s41598-020-79310-1 ^{[Archive.org]} )

(ілюстрація з https://rd.springer.com/chapter/10.1007/978-3-030-42504-3_15 ^{[Archive.org]} )

Ці платформи (Google/Facebook) уже знають, хто ви є, з кількох причин:

• Тому що у вас є або був профіль із ними, і ви ідентифікували себе.
• Навіть якщо ви ніколи не створювали профіль на цих платформах, ви все одно маєте його, навіть не підозрюючи про це ¹⁷² ' ¹⁷³ ' ¹⁷⁴ ' ¹⁷⁵ ' ¹⁷⁶ .
• Тому що інші люди позначили вас або впізнали на своїх фотографіях зі свят/вечірки.
• Тому що інші люди розмістили ваше фото у своєму списку контактів, яким потім поділилися з ними.

Ось також змістовна демонстрація Microsoft Azure, яку ви можете спробувати самі за адресою https://azure.microsoft.com/en-us/services/cognitive-services/face/#demo , де ви можете виявити емоції та порівняти обличчя з різних зображень .

Уряди вже знають, хто ви, тому що вони мають ваші фотографії ідентифікаційного номера/паспорта/водійських прав і часто додають біометричні дані (відбитки пальців) у своїй базі даних. Ті самі уряди інтегрують ці технології (часто надаються приватними компаніями, такими як ізраїльська Oosto ¹⁷⁷ , Clearview AI ¹⁷⁸ ' ¹⁷⁹ , або NEC ¹⁸⁰ ) у своїх мережах відеоспостереження, щоб шукати «осіб, які представляють інтерес» ¹⁸¹ . А деякі країни, які перебувають під ретельним наглядом, наприклад Китай, широко використовують розпізнавання облич для різних цілей. ¹⁸² ' ¹⁸³ включно з можливою ідентифікацією етнічних меншин ¹⁸⁴ . Проста помилка розпізнавання обличчя якимось алгоритмом може зруйнувати ваше життя ¹⁸⁵ ' ¹⁸⁶ .

Ось кілька ресурсів із детальним описом деяких методів, які сьогодні використовують правоохоронні органи:

• Відео CCC, що пояснює поточні можливості стеження правоохоронних органів: https://media.ccc.de/v/rc3-11406-spot_the_surveillance#t=761 ^{[Archive.org]}
• EFF SLS: https://www.eff.org/sls ^{[Archive.org]}

Apple робить FaceID основним і наполягає на його використанні для входу в багато служб, включаючи банківські системи.

Те саме стосується автентифікації за відбитками пальців, яку використовують багато виробників смартфонів для автентифікації. Щоб деанонімізувати вас, можна використати просте зображення, на якому з’являються ваші пальці ¹⁸⁷ ' ¹⁸⁸ ' ¹⁸⁹ ' ¹⁹⁰ .

Те саме стосується вашого голосу, який можна аналізувати для різних цілей, як показано в нещодавньому патенті Spotify ¹⁹¹ .

У деяких місцях для ідентифікації можна використовувати навіть райдужну оболонку ока ¹⁹² .

Ми можемо сміливо уявити собі найближче майбутнє, коли ви не зможете створювати облікові записи чи входити будь-де без надання унікальних біометричних даних (відповідний час, щоб повторно переглянути Gattaca ¹⁹³ , Цікава персона ¹⁹⁴ та Звіт меншості ¹⁹⁵ ). І ви можете сміливо уявити, наскільки ці великі біометричні бази даних можуть бути корисними для зацікавлених третіх сторін.

Крім того, вся ця інформація також може бути використана проти вас (якщо ви вже деанонімізовані) за допомогою deepfake ¹⁹⁶ шляхом створення неправдивої інформації (картинки, відео, записи голосу ¹⁹⁷ …) і вже використовувалися для таких цілей ¹⁹⁸ ' ¹⁹⁹ . Існують навіть комерційні служби для цього, такі як https://www.respeecher.com/ ^{[Archive.org]} і https://www.descript.com/overdub ^{[Archive.org]} .

Перегляньте цю демонстрацію: https://www.youtube.com/watch?v=t5yw5cR79VA ^[Invidious]

У цей час є кілька кроків ²⁰⁰ Ви можете використовувати для пом’якшення (і тільки пом’якшення) розпізнавання обличчя під час виконання конфіденційних дій, де може бути присутнім відеоспостереження:

• Носіть маску для обличчя, оскільки було доведено, що вона перешкоджає деяким технологіям розпізнавання обличчя ²⁰¹ але не всі ²⁰² .
• Одягайте бейсболку або капелюх, щоб пом’якшити ідентифікацію за допомогою висококутних камер відеоспостереження (зйомка зверху) від запису вашого обличчя. Пам’ятайте, що це не допоможе проти фронтальних камер.
• Носіть сонцезахисні окуляри на додаток до маски та бейсболки, щоб пом’якшити ідентифікацію за рисами очей.
• Спробуйте носити спеціальні сонцезахисні окуляри (на жаль, дорогі) під назвою «Reflectacles» https://www.reflectacles.com/ ^{[Archive.org]} . Було невелике дослідження, яке показало їхню ефективність проти розпізнавання облич IBM і Amazon ²⁰³ .
• Все це може бути марним через згадане раніше розпізнавання ходи, але тут може бути надія, якщо у вас є 3D-принтер: https://gitlab.com/FG-01/fg-01 ^{[Archive.org]}

(див. Розпізнавання ходи та інші дальні біометричні дані )

(Зауважте, що якщо ви збираєтеся використовувати їх там, де встановлено розширені системи розпізнавання обличчя, ці заходи також можуть самі позначити вас як підозрілий і запустити перевірку людиною)

Фішинг і соціальна інженерія:

Фішинг ²⁰⁴ це соціальна інженерія ²⁰⁵ тип атаки, коли супротивник може спробувати отримати від вас інформацію, прикидаючись або видаючи щось/когось іншого.

Типовий випадок — противник, який використовує людину посередині ³⁵ атака або фальшивий електронний лист/дзвінок, щоб запитати облікові дані для послуги. Це може бути, наприклад, через електронну пошту або через видавання себе за фінансові служби.

Такі атаки також можуть бути використані, щоб деанонімізувати когось, обманом змусивши його завантажити зловмисне програмне забезпечення або розкрити особисту інформацію з часом. Єдиний захист від них — не потрапити на них і здоровий глузд.

Вони використовувалися незліченну кількість разів з перших днів існування Інтернету, і звичайний з них називається «шахрайство 419» (див. https://en.wikipedia.org/wiki/Advance-fee_scam ^{[Без Wiki] [Archive.org]} ).

Ось гарне відео, якщо ви хочете дізнатися більше про типи фішингу: Black Hat, Ichthyology: Phishing as a Science https://www.youtube.com/watch?v=Z20XNp-luNA ^[Invidious] .

Зловмисне програмне забезпечення, експлойти та віруси:

Зловмисне програмне забезпечення у ваших файлах/документах/електронній пошті:

Використовуючи стеганографію чи інші методи, можна легко вставити зловмисне програмне забезпечення у типові формати файлів, такі як Office Documents, Pictures, Videos, PDF-документи…

Це можуть бути як прості посилання для відстеження HTML, так і складне цільове шкідливе програмне забезпечення.

Це можуть бути прості зображення розміром у піксель ²⁰⁶ приховані у ваших електронних листах, які викликають віддалений сервер, щоб спробувати отримати вашу IP-адресу.

Це може бути використання вразливості в застарілому форматі або застарілому зчитувачі ²⁰⁷ . Такі експлойти можуть бути використані для компрометації вашої системи.

Перегляньте ці хороші відео, щоб отримати додаткові пояснення з цього питання:

• Що таке формат файлу? https://www.youtube.com/watch?v=VVdmmN0su6E ^[Invidious]
• Ange Albertini: Funky File Formats: https://www.youtube.com/watch?v=hdCs6bPM4is ^[Invidious]

Ви завжди повинні бути дуже обережними. Щоб пом’якшити ці атаки, у цьому посібнику пізніше буде рекомендовано використання віртуалізації (див. Додаток W: Віртуалізація ), щоб пом’якшити витік будь-якої інформації, навіть у разі відкриття такого шкідливого файлу.

Якщо ви хочете дізнатися, як спробувати виявити таке зловмисне програмне забезпечення, див. Додаток T: Перевірка файлів на наявність зловмисного програмного забезпечення

Зловмисне програмне забезпечення та експлойти у ваших програмах і службах:

Отже, ви використовуєте Tor Browser або Brave Browser поверх Tor. Ви можете використовувати їх через VPN для додаткової безпеки. Але слід пам'ятати, що є експлойти ²⁰⁸ (хаки), які можуть бути відомі зловмиснику (але невідомі постачальнику програми/браузера). Такі експлойти можуть бути використані для компрометації вашої системи та розкриття деталей для деанонімізації, таких як ваша IP-адреса чи інші дані.

Справжнім випадком використання цієї техніки був Freedom Hosting ²⁰⁹ у 2013 році, коли ФБР вставило зловмисне програмне забезпечення ²¹⁰ використання експлойта браузера Firefox на веб-сайті Tor. Цей експлойт дозволив їм розкрити деталі деяких користувачів. Зовсім недавно з'явився відомий SolarWinds ²¹¹ хакер, який порушив кілька урядових установ США, вставивши зловмисне програмне забезпечення на офіційний сервер оновлення програмного забезпечення.

У деяких країнах зловмисне програмне забезпечення є просто обов’язковим і/або розповсюджується самою державою. Це, наприклад, у Китаї з WeChat ²¹² які потім можна використовувати в поєднанні з іншими даними для державного нагляду ²¹³ .

Є незліченна кількість прикладів зловмисних розширень для браузерів, програм для смартфонів і різноманітних програм, у які протягом багатьох років було проникнуто зловмисне програмне забезпечення.

Ось кілька кроків, щоб пом’якшити цей тип атаки:

• Ви ніколи не повинні довіряти додаткам, які використовуєте, на 100%.
• Завжди перевіряйте, чи використовуєте ви оновлену версію таких програм перед використанням, і в ідеалі перевіряйте кожне завантаження за допомогою їхнього підпису, якщо він доступний.
• Ви не повинні використовувати такі програми безпосередньо з апаратної системи, замість цього використовуйте віртуальну машину для розділення.

Щоб відобразити ці рекомендації, цей посібник пізніше допоможе вам використовувати віртуалізацію (див. Додаток W: Віртуалізація ), щоб навіть якщо ваш веб-переглядач/програми були скомпрометовані досвідченим зловмисником, цей зловмисник опиниться в пісочниці. ²¹⁴ без можливості доступу до ідентифікаційної інформації або компрометації вашої системи.

Шкідливі пристрої USB:

Є доступні комерційні та дешеві «badUSB» ²¹⁵ пристрої, які можуть розгортати зловмисне програмне забезпечення, реєструвати ваші введення, геолокувати вас, слухати вас або отримати контроль над вашим ноутбуком, просто підключивши їх. Ось кілька прикладів, які ви вже можете придбати самостійно:

• Hak5, USB Rubber Ducky https://shop.hak5.org/products/usb-rubber-ducky-deluxe ^{[Archive.org]}
• Hak5, кабель O.MG https://www.youtube.com/watch?v=V5mBJHotZv0 ^[Invidious]
• Keelog https://www.keelog.com/ ^{[Archive.org]}
• AliExpress https://www.aliexpress.com/i/4000710369016.html ^{[Archive.org]}

Такі пристрої можуть бути імплантовані де завгодно (зарядний кабель, миша, клавіатура, USB-ключ …) зловмисником і можуть використовуватися для відстеження вас або компрометації вашого комп’ютера чи смартфона. Найпомітнішим прикладом таких атак є, ймовірно, Stuxnet ²¹⁶ в 2005 році.

Хоча ви можете перевірити USB-ключ фізично, просканувати його за допомогою різних утиліт, перевірити різні компоненти на справжність, ви, швидше за все, ніколи не зможете виявити складне шкідливе програмне забезпечення, вбудоване в справжні частини справжнього USB-ключа досвідченим противником. без передового криміналістичного обладнання ²¹⁷ .

Щоб пом’якшити це, ніколи не довіряйте таким пристроям і підключайте їх до чутливого обладнання. Якщо ви використовуєте зарядний пристрій, вам слід розглянути можливість використання пристрою блокування даних USB, який дозволить лише заряджати, але не передавати дані. Такі пристрої для блокування даних тепер легко доступні в багатьох інтернет-магазинах. Вам також слід повністю вимкнути USB-порти в BIOS комп’ютера, якщо вони вам не потрібні (якщо це можливо).

Зловмисне програмне забезпечення та бекдори у вашому апаратному забезпеченні, прошивці та операційній системі:

Це може здатися трохи знайомим, оскільки це вже було частково розглянуто раніше в розділі Ваш ЦП .

Зловмисне програмне забезпечення та бекдори можуть бути вбудовані безпосередньо у ваші апаратні компоненти. Іноді ці бекдори впроваджує сам виробник, наприклад IME у випадку з процесорами Intel. А в інших випадках такі бекдори можуть бути реалізовані третьою стороною, яка розміщує себе між замовленнями нового обладнання та доставкою клієнту ²¹⁸ .

Такі шкідливі програми та бекдори також можуть бути розгорнуті зловмисником за допомогою програмних експлойтів. Багато з них називаються руткітами ²¹⁹ у світі технологій. Зазвичай такі типи зловмисного програмного забезпечення важче виявити та подолати, оскільки вони реалізовані на нижчому рівні, ніж простір користувача ²²⁰ і часто в прошивці ²²¹ самих апаратних компонентів.

Що таке прошивка? Прошивка — це низькорівнева операційна система для пристроїв. Кожен компонент вашого комп’ютера, ймовірно, має мікропрограму, включаючи, наприклад, диски. BIOS ²²² /UEFI ²²³ система вашої машини, наприклад, є типом мікропрограми.

Вони можуть дозволити дистанційне керування та здатні забезпечити повний контроль цільової системи непомітно та непомітно.

Як згадувалося раніше, користувачам їх важче виявити, але деякі обмежені кроки можна вжити, щоб пом’якшити деякі з них, захистивши свій пристрій від втручання та застосувавши деякі заходи (наприклад, перепрошивання BIOS). На жаль, якщо таке шкідливе програмне забезпечення або бекдор реалізовано самим виробником, виявити та вимкнути їх стає надзвичайно важко.

Ваші файли, документи, зображення та відео:

Властивості та метадані:

Це може бути очевидним для багатьох, але не для всіх. До більшості файлів додаються метадані. Гарними прикладами є зображення, які зберігають EXIF ²²⁴ інформація, яка може містити багато інформації, як-от GPS-координати, модель камери/телефону, яка це зняла, і коли саме це було знято. Хоча ця інформація може не розповісти про вас безпосередньо, вона може точно визначити, де ви були в певний момент, що може дозволити іншим використовувати різні джерела, щоб знайти вас (камери відеоспостереження або інші записи, зняті в тому самому місці в той самий час під час протест, наприклад). Ви повинні перевірити будь-який файл, який ви розміщуєте на цих платформах, на наявність будь-яких властивостей, які можуть містити будь-яку інформацію, яка може привести до вас.

Ось приклад даних EXIF, які можуть бути на зображенні:

(Ілюстрація з Вікіпедії)

Це також працює для відео. Так, відео також мають геотеги, і багато хто про це не знає. Ось, наприклад, дуже зручний інструмент для геолокації відео YouTube: https://mattw.io/youtube-geofind/location ^{[Archive.org]}

З цієї причини ви завжди повинні бути надзвичайно обережними, завантажуючи файли, використовуючи ваші анонімні особи, і перевіряти метадані цих файлів.

Навіть якщо ви публікуєте звичайний текстовий файл, перед публікацією завжди двічі або тричі перевіряйте його на предмет витоку інформації. Ви знайдете деякі вказівки щодо цього в розділі «Деякі додаткові заходи проти криміналістики» в кінці посібника.

Водяний знак:

Зображення/відео/аудіо:

Зображення/відео часто містять видимі водяні знаки, які вказують, хто є власником/творцем, але в різних продуктах також є невидимі водяні знаки, призначені для ідентифікації самого глядача.

Отже, якщо ви є інформатором і думаєте про витік зображення/аудіо/відеофайлу. Подумай двічі. Існують шанси, що вони можуть містити невидимі водяні знаки всередині, які міститимуть інформацію про вас як глядача. Такі водяні знаки можна ввімкнути за допомогою простого перемикання, наприклад Zoom (Video ²²⁵ або Аудіо ²²⁶ ) або з розширеннями ²²⁷ для популярних програм, таких як Adobe Premiere Pro. Їх можна вставляти різними системами керування вмістом.

Для нещодавнього прикладу, коли хтось злив запис зустрічі Zoom був спійманий через те, що на ньому був водяний знак: https://theintercept.com/2021/01/18/leak-zoom-meeting/ ^{[Дзеркало Tor] [Archive.org]}

Такі водяні знаки можна вставляти на різні продукти ²²⁸ ' ²²⁹ ' ²³⁰ ' ²³¹ за допомогою стеганографії ²³² і може протистояти стисненню ²³³ і перекодування ²³⁴ ' ²³⁵ .

Ці водяні знаки важко виявити, і вони можуть дозволити ідентифікувати джерело, незважаючи на всі зусилля.

Окрім водяних знаків, камеру, яка використовується для зйомки (і, отже, пристрій, який використовується для зйомки), відео також можна ідентифікувати за допомогою різних методів, таких як ідентифікація об’єктива ²³⁶ що може призвести до деанонімізації.

Будьте надзвичайно обережні, публікуючи відео/зображення/аудіофайли з відомих комерційних платформ, оскільки вони можуть містити такі невидимі водяні знаки на додаток до деталей на самих зображеннях. Немає гарантованого 100% захисту від них. Вам доведеться використовувати здоровий глузд.

Друк водяних знаків:

Чи знаєте ви, що ваш принтер, швидше за все, також шпигує за вами? Навіть якщо він не підключений до жодної мережі? Зазвичай цей факт відомий багатьом людям в ІТ-спільноті, але небагатьом стороннім.

Так… Ваші принтери можна використовувати для деанонімізації, а також пояснення EFF тут https://www.eff.org/issues/printers ^{[Archive.org]}

У цьому (старому, але все ще актуальному) відео також пояснюється, як з EFF: https://www.youtube.com/watch?v=izMGMsIZK4U ^[Invidious]

Багато принтерів друкують невидимий водяний знак, що дозволяє ідентифікувати принтер на кожній надрукованій сторінці. Це називається принтерною стеганографією ²³⁷ . Немає реального способу пом’якшити це, окрім як дізнатися про свій принтер і переконатися, що він не друкує невидимі водяні знаки. Це важливо, якщо ви збираєтеся друкувати анонімно.

Ось (старий, але все ще актуальний) список принтерів і брендів, які не друкують такі точки відстеження, наданий EFF https://www.eff.org/pages/list-printers-which-do-or-do-not -display-tracking-dots ^{[Archive.org]}

Ось також кілька порад із документації Whonix ( https://www.whonix.org/wiki/Printing_and_Scanning ^{[Archive.org]} ):

Ніколи не друкуйте в кольорі, зазвичай водяні знаки відсутні без кольорових тонерів/картриджів ²³⁸ .

Піксельна або розмита інформація:

Ви коли-небудь бачили документ із розмитим текстом? Ви коли-небудь висміювали ці фільми/серіали, де вони «покращують» зображення, щоб відновити інформацію, яку, здавалося б, неможливо прочитати?

Що ж, існують способи відновлення інформації з таких документів, відео та зображень.

Ось, наприклад, проект із відкритим вихідним кодом, який ви можете використати самостійно для відновлення тексту з деяких розмитих зображень: https://github.com/beurtschipper/Depix ^{[Archive.org]}

Звичайно, це проект із відкритим кодом, доступний для всіх. Але ви можете собі уявити, що такі методи, ймовірно, використовувалися раніше іншими ворогами. Вони можуть бути використані для виявлення розмитої інформації з опублікованих документів, яка потім може бути використана для деанонімізації.

Існують також навчальні посібники з використання таких методів за допомогою інструментів редагування фотографій, таких як GIMP, наприклад https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b ^{[Archive.org]} потім https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d ^{[Scribe.rip] [Archive.org]}

Нарешті, ви знайдете багато ресурсів для видалення розмиття тут: https://github.com/subeeshvasu/Awesome-Deblurring ^{[Archive.org]}

Деякі онлайн-сервіси можуть навіть допомогти вам зробити це в певній мірі автоматично, як-от інструмент покращення MyHeritage.com:

https://www.myheritage.com/photo-enhancer ^{[Archive.org]}

Ось результат зображення вище:

Звичайно, на даний момент цей інструмент більше схожий на «вгадування», ніж справжнє видалення розмиття, але його може бути достатньо, щоб знайти вас за допомогою різних служб зворотного пошуку зображень.

Існують також методи зменшення розмиття/депіксельації частин у відео: див. https://positive.security/blog/video-depixelation ^{[Archive.org]}

З цієї причини завжди надзвичайно важливо правильно відредагувати та підготувати будь-який документ, який ви можете опублікувати. Розмиття недостатньо, і ви завжди повинні повністю чорнити/вилучати будь-які конфіденційні дані, щоб уникнути будь-яких спроб відновлення даних від будь-якого противника. Не пікселізуйте, не розмивайте, просто помістіть жорсткий чорний прямокутник, щоб редагувати інформацію.

Ваші транзакції з криптовалютами:

Всупереч поширеній думці, криптовалютні транзакції (такі як біткойни та Ethereum) не є анонімними. ²³⁹ . Більшість криптовалют можна точно відстежувати різними методами ²⁴⁰ ' ²⁴¹ .

Згадайте, що вони пишуть на їхній сторінці: https://bitcoin.org/en/you-need-to-know ^{[Archive.org]} і https://bitcoin.org/en/protect-your-privacy ^{[Archive.org]} : «Біткойн не анонімний»

Основна проблема полягає в тому, що не налаштувати випадковий гаманець Crypto для отримання певної валюти за адресою VPN/Tor (на даний момент гаманець анонімний). Проблема головним чином виникає, коли ви хочете конвертувати фіатні гроші (євро, долари…) у криптовалюту, а потім, коли ви хочете перевести в готівку свою криптовалюту. У вас буде кілька реалістичних варіантів, крім передачі їх на біржу (наприклад, Coinbase/Kraken/Bitstamp/Binance). Ці біржі мають відомі адреси гаманців і зберігатимуть детальні журнали (через KYC ²⁴² фінансові правила), а потім може відстежити ці криптовалютні транзакції до вас за допомогою фінансової системи ²⁴³ .

Існують деякі криптовалюти, які мають на увазі конфіденційність/анонімність, як-от Monero, але навіть у них є деякі застереження, які слід враховувати ²⁴⁴ ' ²⁴⁵ .

Використання «приватних» міксерів, стаканів ²⁴⁶ (централізовані служби, які спеціалізуються на «анонімізації» криптовалют шляхом їх «змішування»), і койнджойнери ризиковані, оскільки ви не знаєте, що з ними відбувається ²⁴⁷ і може бути тривіально деміксований ²⁴⁸ . Їх централізований характер також може створити вам проблеми, оскільки вони більш чутливі до законів про відмивання грошей ²⁴⁹ .

Це не означає, що ви взагалі не можете використовувати біткойни анонімно. Ви фактично можете використовувати біткойни анонімно, доки не конвертуєте їх у реальну валюту, використовуєте біткойн-гаманець із безпечної анонімної мережі та не використовуєте повторно адреси чи консолідує виходи, які використовувалися під час витрат у різних продавців. Це означає, що вам слід уникати правил KYC/AML на різних біржах, уникати використання мережі Bitcoin з будь-якої відомої IP-адреси та використовувати гаманець, який надає інструменти для збереження конфіденційності. Див. Додаток Z: Анонімні онлайн-платежі з використанням криптовалют .

Загалом, найкращим варіантом для використання Crypto з розумною анонімністю та конфіденційністю все ще є Monero, і в ідеалі вам не слід використовувати будь-який інший для конфіденційних транзакцій, якщо ви не знаєте про обмеження та пов’язані з цим ризики. Прочитайте Додаток B2: Відмова від відповідальності Monero .

TLDR: використовуйте Monero!

Ваші хмарні служби резервного копіювання/синхронізації:

Усі компанії рекламують використання наскрізного шифрування (E2EE). Це стосується майже кожної програми обміну повідомленнями та веб-сайту (HTTPS). Apple і Google рекламують використання шифрування на своїх пристроях Android і iPhone.

Але як щодо ваших резервних копій? У вас є автоматизовані резервні копії iCloud/Google Drive?

Що ж, ви повинні знати, що більшість із цих резервних копій не є повністю наскрізним шифруванням і містять частину вашої інформації, легко доступну для третьої сторони. Ви побачите їхні заяви, що дані зашифровані в стані спокою та захищені від будь-кого… За винятком того, що вони зазвичай зберігають ключ для доступу до деяких даних самостійно. Ці ключі використовуються для індексації вашого вмісту, відновлення вашого облікового запису, збору різноманітної аналітики.

Існують спеціальні комерційні судово-медичні рішення (Magnet Axiom ²⁵⁰ , Cellebrite Cloud ²⁵¹ ), що допоможе зловмиснику легко проаналізувати ваші хмарні дані.

Примітні приклади:

• Apple iCloud: https://support.apple.com/en-us/HT202303 ^{[Archive.org]} : «Повідомлення в iCloud також використовують наскрізне шифрування. Якщо у вас увімкнено резервне копіювання iCloud , ваша резервна копія містить копію ключа, який захищає ваші повідомлення . Це гарантує, що ви зможете відновити свої повідомлення, якщо втратите доступ до iCloud Keychain і довірених пристроїв. “.
• Диск Google і WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ ^{[Archive.org]} : « Медіафайли та повідомлення, які ви створюєте резервну копію, не захищені наскрізним шифруванням WhatsApp під час зберігання на Диску Google . “. Однак зауважте, що Facebook/Whatsapp оголосили про впровадження зашифрованих резервних копій 14^ жовтня 2021 року ( https://about.fb.com/news/2021/10/end-to-end-encrypted-backups-on- WhatsApp/ ^{[Archive.org]} ), яка має вирішити цю проблему.
• Dropbox: https://www.dropbox.com/privacy#terms ^{[Archive.org]} «Щоб забезпечити ці та інші функції, Dropbox отримує доступ, зберігає та сканує ваші матеріали . Ви надаєте нам дозвіл робити це, і цей дозвіл поширюється на наших афілійованих осіб і довірених третіх сторін, з якими ми працюємо».
• Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement ^{[Archive.org]} : продукти для підвищення продуктивності та комунікацій, «Коли ви використовуєте OneDrive, ми збираємо дані про використання вами служби, а також вміст, який ви зберігаєте, щоб надавати, покращувати та захищати служби. Приклади включають індексування вмісту ваших документів OneDrive, щоб ви могли шукати їх пізніше, і використання інформації про місцезнаходження, щоб ви могли шукати фотографії на основі того, де було зроблено фотографію ».

Ви не повинні довіряти хмарним провайдерам свої конфіденційні дані (раніше не зашифровані локально), і вам слід остерігатися їхніх претензій щодо конфіденційності. У більшості випадків вони можуть отримати доступ до ваших даних і надати їх третій стороні, якщо захочуть ²⁵² .

Єдиний спосіб пом’якшити це – зашифрувати свої дані на вашій стороні, а потім лише завантажувати їх у такі служби або взагалі не використовувати їх.

Мікроархітектурні атаки деанонімізації бічних каналів:

Була опублікована атака, яка може деанонімізувати користувачів, якщо вони мають відомий псевдонім. Наприклад, зловмисник, який намагається відстежити діяльність журналіста, може використати загальнодоступний дескриптор Twitter цього журналіста, щоб пов’язати його анонімну особу з публічною. Це порушує розділення ідентичностей і може призвести до повної деанонімізації навіть користувачів, які практикують правильний OPSEC.

Атака, опублікована на https://leakuidatorplusteam.github.io/ ^{[Archive.org]} , можна пом’якшити за допомогою відомого розширення NoScript , і це буде нашою кращою рекомендацією.

Одна слабо задокументована атака може використовувати такий підхід до зняття відбитків пальців: Аліса переглядає веб-сторінки за допомогою Firefox. Веб-сайт, який вона щойно відвідала, використовує невидимку iframeякий створює довгі рядки, наприклад, речення або хеші, щоб створити деякий рядок, який не переглядає користувач. Ці рядки встановлюють певний тип шрифту, Arial. Неважливо, чи відобразить це веб-переглядач, це має значення лише якщо зміниться шрифт. The iframeу цьому випадку не служить лише для визначення того, чи користувач встановив певний шрифт на своїй машині. Якщо Аліса використовує шрифт, який цей фрейм намагався відобразити, про це повідомляється веб-сайту та особі, яка контролює веб-сайт.

Шрифт відображає рамку певної висоти та ширини навколо себе, тож це означає певну висоту та ширину тексту, що міститься в ній. The iframeпродовжує робити це для кожного встановленого шрифту, щоб створити список встановлених шрифтів для Alice. Через стилістичні відмінності між кожною сімейством шрифтів той самий рядок і той самий розмір шрифту означатимуть іншу висоту та іншу ширину, ніж Arial. Він використовується як резервний шрифт для відображення тексту, який інакше не відображатиметься, якщо користувач не має цього шрифту на своєму комп’ютері, і, отже, його не можна переглянути в браузері.

Якщо шрифт, який запитує an iframeнедоступний, Arial використовуватиметься для показу цього тексту користувачеві. Кожного разу, коли вимірювання шрифту (ідентифікується розмірами виробленої коробки) змінюється, це означає, що шрифт присутній у браузері Аліси та її комп’ютері. Роблячи це для сотень шрифтів, веб-сайти можуть використовувати цю інформацію для відстеження користувачів, які використовують встановлені ними шрифти на веб-сайтах. Уявіть собі веб-сайт, який потім продає цю «анонімну» інформацію як набір даних рекламним компаніям, щоб показувати вам рекламу на основі веб-сайтів, які ви відвідуєте, оскільки вони знають кожен шрифт, який ви встановили на своєму комп’ютері, і тепер можуть відстежувати вашу особу в Інтернеті. Ця атака продемонстрована тут: все, що ви завжди хотіли знати про відбитки пальців веб-пристроїв (але боялися запитати), доктор Нік Нікіфоракіс, доктор комп’ютерних наук з KU Leuven. Він пояснює, як його команда дослідників визначила, які сайти використовують такі методи в 10 000 найкращих веб-сайтів Alexa. По-перше, вони виявили, що з них 145 були браузерами з відбитками пальців. У 100% випадків у них знімали відбитки пальців — чи використовували вони заголовок «Не відстежувати», популярний параметр «Конфіденційність і безпека» в багатьох браузерах, не мало значення.

Таких атак, як невидимі iframe та медіа-елементи, можна уникнути, заблокувавши всі сценарії глобально за допомогою щось на зразок uBlock Origin https://chrome.google.com/webstore/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm або за допомогою NoScript https://chrome .google.com/webstore/detail/noscript/doojmbjmlfjjnbmnoijecmcbfeoakpjm . Це дуже заохочується не лише для тих, хто бажає бути анонімним, але й для звичайних користувачів Інтернету.

Браузер Tor:

Примітка. Цю атаку тепер за умовчанням запобігає оновлення NoScript (11.4.8 і вище) на всіх рівнях безпеки в браузері Tor.

Всі інші:

Встановлення розширення NoScript запобігатиме атаці за замовчуванням лише в приватних Windows за допомогою нової функції TabGuard. Але його можна ввімкнути в параметрах NoScript для роботи в усіх Windows. Побачити:

• Опублікувати твіт: https://twitter.com/ma1/status/1557751019945299969 ^{[Archive.org]}
• Пояснення користувача: https://noscript.net/usage/#crosstab-identity-leak-protection ^{[Archive.org]}
• Повідомлення на форумі проекту Tor: https://forum.torproject.net/t/tor-browser-can-leak-your-identity-through-side-channel-attack/4005/2 ^{[Archive.org]}
• Розширення NoScript для Firefox (Firefox та інші веб-переглядачі на базі Firefox, крім Tor Browser): https://addons.mozilla.org/en-US/firefox/addon/noscript/
• Розширення NoScript для браузерів на основі Chromium (Brave, Chrome, Edge та інших браузерів на основі Chromium): https://chrome.google.com/webstore/detail/noscript/doojmbjmlfjjnbmnoijecmcbfeoakpjm?hl=en

Альтернатива NoScript для всіх інших браузерів:

Дослідники, які розкрили проблему, також зробили розширення доступним нижче. Знову ж таки, у браузері Tor нічого не потрібно . Цей шлях не є нашим кращим шляхом, але все ще доступний, якщо ви не хочете використовувати NoScript.

• Розширення Leakuidator+ для браузерів на основі Chromium (Brave, Chrome, Edge та інших браузерів на основі Chromium): https://chrome.google.com/webstore/detail/leakuidator%2B/hhfpajcjkikoocmmhcimllpinjnbedll
• Розширення Leakuidator+ для Firefox (Firefox та інші веб-переглядачі на базі Firefox, крім Tor Browser): https://addons.mozilla.org/en-US/firefox/addon/leakuidatorplus/

Щоб уникнути цієї атаки, недостатньо відокремити ідентифікатори за допомогою окремих браузерів або навіть за допомогою віртуальних машин. Однак іншим рішенням є переконатися, що коли ви починаєте працювати з анонімним ідентифікатором, ви повністю закриваєте всі дії, пов’язані з іншими ідентифікаторами. Уразливість працює, лише якщо ви активно ввійшли в неанонімну особу. Проблема полягає в тому, що це може перешкоджати ефективному робочому процесу, оскільки багатозадачність із кількома особами стає неможливою.

Локальні витоки даних і криміналістика:

Більшість із вас, мабуть, бачили достатньо кримінальних драм на Netflix чи телебаченні, щоб знати, що таке криміналістика. Це технічні спеціалісти (зазвичай вони працюють у правоохоронних органах), які виконуватимуть різний аналіз доказів. Звичайно, це може включати ваш смартфон або ноутбук.

Хоча це може зробити супротивник, коли ви вже «обгоріли», це також може бути зроблено випадковим чином під час звичайного контролю або перевірки на кордоні. Ці непов’язані перевірки можуть відкрити секретну інформацію зловмисникам, які раніше не знали про таку діяльність.

Техніка криміналістики зараз дуже просунута і може виявити приголомшливу кількість інформації з ваших пристроїв, навіть якщо вони зашифровані ²⁵³ . Ці методи широко використовуються правоохоронними органами в усьому світі, і їх слід враховувати.

Ось деякі останні ресурси, які ви повинні прочитати про свій смартфон:

• UpTurn, повноваження правоохоронних органів США щодо пошуку мобільних телефонів https://www.upturn.org/reports/2020/mass-extraction/ ^{[Archive.org]}
• New-York Times, поліція, ймовірно, може зламати ваш телефон https://www.nytimes.com/2020/10/21/technology/iphone-encryption-police.html ^{[Archive.org]}
• Vice, копи по всій країні тепер можуть розблоковувати iPhone, звіти показують https://www.vice.com/en/article/vbxxxd/unlock-iphone-ios11-graykey-grayshift-police ^{[Archive.org]}

Я також настійно рекомендую вам прочитати деякі документи з точки зору судово-медичної експертизи, наприклад:

• Посібник користувача EnCase Forensic, http://encase-docs.opentext.com/documentation/encase/forensic/8.07/Content/Resources/External%20Files/EnCase%20Forensic%20v8.07%20User%20Guide.pdf ^{[Archive.org]}
• FTK Forensic Toolkit, https://accessdata.com/products-services/forensic-toolkit-ftk ^{[Archive.org]}
• Цифрова криміналістика SANS та відео реагування на інциденти, https://www.youtube.com/c/SANSDigitalForensics/videos

І нарешті, ось цей дуже повчальний докладний документ про поточний стан безпеки IOS/Android від Університету Джона Гопкінса: https://securephones.io/main.html ²⁵⁴ .

Коли мова заходить про ваш ноутбук, методи криміналістики численні та широко поширені. Багато з цих проблем можна пом’якшити за допомогою повного шифрування диска, віртуалізації (Див. Додаток W: Віртуалізація ) і компартменталізації. Пізніше в цьому посібнику будуть докладно описані такі загрози та методи їх усунення.

Погана криптографія:

Серед спільноти інфосектора часто звучить прислів’я: «Не розгортайте власну криптовалюту!».

І є причини ²⁵⁵ ' ²⁵⁶ ' ²⁵⁷ ' ²⁵⁸ для того:

Ми б не хотіли, щоб люди через це прислів’я відмовлялися від навчання та впровадження інновацій у сфері криптографії. Тому натомість ми рекомендуємо людям бути обережними з «Розкрутіть свою власну криптовалюту», оскільки це не обов’язково хороша криптовалюта:

• Хороша криптографія непроста, для її розробки та налагодження зазвичай потрібні роки досліджень.
• Хороша криптографія є прозорою, а не пропрієтарним/закритим кодом, тому її можуть переглядати колеги.
• Хороша криптографія розробляється обережно, повільно і рідко самостійно.
• Хороша криптографія зазвичай представляється та обговорюється на конференціях і публікується в різних журналах.
• Хороша криптографія ретельно перевіряється, перш ніж її випустять для використання в дикій природі.
• Правильне використання та впровадження існуючої хорошої криптографії вже є проблемою.

Тим не менш, це не заважає деяким робити це в будь-якому випадку та публікувати різні робочі додатки/сервіси за допомогою власної криптографії або власних методів із закритим кодом:

• Ви повинні бути обережними, використовуючи програми/сервіси із закритим кодом або власні методи шифрування. Усі хороші криптостандарти є загальнодоступними та рецензованими, і не повинно виникати проблем із розголошенням того, який ви використовуєте.
• Вам слід остерігатися програм/служб, які використовують «модифікований» або власний криптографічний метод ²⁵⁹ .
• За замовчуванням ви не повинні довіряти будь-якій «Розгорніть власну криптовалюту», доки вона не буде перевірена, рецензована, перевірена та прийнята спільнотою криптографів ²⁶⁰ ' ²⁶¹ .
• Не існує такого поняття, як «військова криптовалюта» ²⁶² ' ²⁶³ ' ²⁶⁴ .

Криптографія — складна тема, і погана криптографія може легко призвести до деанонімізації.

У контексті цього посібника ми рекомендуємо дотримуватись додатків/служб, використовуючи добре встановлені, опубліковані та перевірені методи.

Отже, чому віддати перевагу, а чого уникати з 2021 року? Вам доведеться самостійно шукати технічні деталі кожної програми та перевіряти, чи використовують вони «погану криптовалюту» чи «хорошу криптовалюту». Отримавши технічні деталі, ви можете перевірити цю сторінку, щоб дізнатися, скільки це коштує: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html ^{[Archive.org]}

Ось кілька прикладів:

• Хеші:
  Бажано: SHA-3 або BLAKE2 ²⁶⁵ Все ще відносно добре використовувати: SHA-2 (наприклад, широко використовувані SHA-256 або SHA-512) Уникайте: SHA-1, MD5 (на жаль, все ще широко використовується), CRC, MD6 (використовується рідко)
• Шифрування файлу/диска:
  Віддаю перевагу:
  • Апаратне прискорення ²⁶⁶ : AES (Rijndael) 256 біт із HMAC-SHA-2 або HMAC-SHA-3 (це те, що Veracrypt, Bitlocker, Filevault 2, KeepassXC і LUKS використовують за замовчуванням). Віддавайте перевагу SHA-3.
  • Неапаратне прискорення: те саме, що прискорене вище, або, якщо доступно, врахуйте:

    • ЧаЧа20 ²⁶⁷ або XChaCha20 (Ви можете використовувати ChaCha20 з Kryptor https://www.kryptor.co.uk , на жаль, він недоступний з Veracrypt).

    • Змій ²⁶⁸

    • TwoFish ²⁶⁹

  Уникайте: Майже всього іншого
• Зберігання паролів:
  • Віддавайте перевагу: Argon2, scrypt
  • Якщо це не варіанти, використовуйте bcrypt або, якщо це неможливо, принаймні PBKDF2 (лише в крайньому випадку)
  Скептично ставтеся до Argon2d, оскільки він вразливий до деяких форм побічних каналів. Віддайте перевагу Argon2i або Argon2id
  • Уникайте: SHA-3, SHA-2, SHA-1, MD5
• Безпека браузера (HTTPS):
  Бажано: TLS 1.3 (в ідеалі TLS 1.3 з підтримкою ECH/eSNI) або принаймні TLS 1.2 (широко використовується) Уникайте: будь-чого іншого (TLS =<1.1, SSL =<3)
• Підписання повідомлень/файлів за допомогою PGP/GPG:
  Надавайте перевагу ECDSA (ed25519)+ECDH (ec25519) або RSA 4096 біт*
  • Розглянемо більш сучасний ²⁷⁰ альтернатива PGP/GPG: Minisign https://jedisct1.github.io/minisign/ ^{[Archive.org]}
  Уникайте: RSA 2048 біт
• Ключі SSH:
  ED25519 (бажано) або RSA 4096 біт* Уникайте: RSA 2048 біт
• Попередження: RSA та ED25519, на жаль, не вважаються «квантово стійкими» ²⁷¹ і хоча вони ще не зламані, вони, ймовірно, будуть зламані колись у майбутньому. Питання лише в тому, коли, а не в тому, чи буде зламано RSA. Таким чином, вони є кращими в цих контекстах через відсутність кращої можливості.

Ось кілька реальних випадків проблем із поганою криптографією:

• Telegram: https://democratic-europe.eu/2021/07/20/cryptographers-uncover-four-vulnerabilities-in-telegram/ ^{[Archive.org]}
• Telegram: https://buttondown.email/cryptography-dispatches/archive/cryptography-dispatches-the-most-backdoor-looking/ ^{[Archive.org]}
• Cryptocat: https://web.archive.org/web/20130705051050/https://blog.crypto.cat/2013/07/new-critical-vulnerability-in-cryptocat-details/
• Деякі інші приклади можна знайти тут: https://www.cryptofails.com/ ^{[Archive.org]}

Пізніше цей посібник не рекомендуватиме «погану криптографію», і цього буде достатньо, щоб захистити вас?

Політика реєстрації не ведеться, але все одно реєструється:

Багато людей вважають, що послуги, орієнтовані на збереження конфіденційності, як-от VPN або постачальники електронної пошти, є безпечними через їх політику відмови від реєстрації або схеми шифрування. На жаль, багато з тих самих людей забувають, що всі ці постачальники є юридичними комерційними особами, які підпадають під дію законодавства країн, у яких вони працюють.

Будь-якого з цих провайдерів можна змусити мовчки (без вашого відома (використовуючи, наприклад, ухвалу суду з розпорядженням про кляп) ²⁷² або лист про національну безпеку ²⁷³ ) реєструвати вашу активність, щоб деанонімізувати вас. Нещодавно було наведено кілька таких прикладів:

• 2021, Proton, Proton зареєстрував IP-адресу французького активіста після наказу швейцарської влади (посилання на джерело недоступне).
• 2021, WindScribe, Сервери не були зашифровані, оскільки вони мали дозволяти владі атаки MITM ²⁷⁴ .
• 2021, правоохоронні органи вилучили сервери DoubleVPN, журнали та інформацію про облікові записи ²⁷⁵ .
• 2021 р. Німецький поштовий провайдер Tutanota був змушений контролювати певні облікові записи протягом 3 місяців ²⁷⁶ .
• 2020 р. Німецький поштовий провайдер Tutanota був змушений запровадити бекдор для перехоплення та збереження копій незашифрованих електронних листів одного користувача ²⁷⁷ (вони не розшифровували збережену електронну пошту).
• У 2017 році PureVPN був змушений розкрити інформацію про одного користувача ФБР ²⁷⁸ .
• У 2014 році користувач EarthVPN був заарештований голландською поліцією на основі постачальника журналів ²⁷⁹ .
• 2013 рік. Провайдер безпечної електронної пошти Lavabit припиняє роботу після боротьби з секретним розпорядженням ²⁸⁰ .
• 2011, користувача HideMyAss було деанонімізовано, а журнали надано ФБР ²⁸¹ .

Деякі провайдери запровадили використання Warrant Canary ²⁸² це дозволить їхнім користувачам дізнатися, чи були вони скомпрометовані такими замовленнями, але, наскільки нам відомо, це ще не перевірено.

Нарешті, зараз добре відомо, що деякі компанії можуть бути спонсорованими передніми частинами для деяких державних противників (див. історію Crypto AG ²⁸³ і історія Омнісіка ²⁸⁴ ).

З цих причин ви не повинні довіряти таким постачальникам щодо вашої конфіденційності, незважаючи на всі їхні претензії. У більшості випадків ви будете останньою людиною, яка дізнається, чи хтось із ваших облікових записів був націлений на такі замовлення, і ви можете взагалі ніколи не дізнатись.

Щоб пом’якшити це, у випадках, коли ви хочете використовувати VPN, ми рекомендуємо використовувати через Tor постачальника VPN, який оплачується готівкою/Monero, щоб запобігти отриманню службою VPN будь-якої ідентифікаційної інформації про вас.

Якщо провайдер VPN нічого не знає про вас, це має пом’якшити будь-яку проблему через те, що вони не реєструють, але все одно реєструють.

Деякі вдосконалені цільові методи:

(Ілюстрація: чудовий фільм, який ми дуже рекомендуємо: Das Leben der Anderen ²⁸⁵ )

Досвідчені супротивники можуть використовувати багато передових прийомів ²⁸⁶ щоб обійти ваші заходи безпеки, якщо вони вже знають, де знаходяться ваші пристрої. Багато з цих методів детально описано тут https://cyber.bgu.ac.il/advanced-cyber/airgap ^{[Archive.org]} (Сторінка досліджень Air-Gap, Дослідницький центр кібербезпеки, Університет Бен-Гуріона в Негеві, Ізраїль), а також у цьому звіті https://www.welivesecurity.com/wp-content/uploads/2021/12/eset_jumping_the_air_gap_wp. pdf ^{[Archive.org]} (ESET, JUMPING THE AIR GAP: 15 років зусиль національної держави) і включають:

• Атаки, які потребують імплантації зловмисного програмного забезпечення:
  Викрадання даних через заражений шкідливим програмним забезпеченням маршрутизатор: https://www.youtube.com/watch?v=mSNt4h7EDKo ^[Invidious] Викрадання даних шляхом спостереження за зміною світла на клавіатурі з підсвічуванням зі зламаною камерою: https://www.youtube.com/watch?v=1kBGDHVr7x0 ^[Invidious]
  • Викрадання даних через скомпрометовану камеру відеоспостереження (яка спочатку могла використати попередню атаку) https://www.youtube.com/watch?v=om5fNqKjj2M ^[Invidious]
  • Зв’язок стороннього користувача з скомпрометованими камерами безпеки через ІЧ-сигнали: https://www.youtube.com/watch?v=auoYKSzdOj4 ^[Invidious]
  Вилучення даних зі зламаного комп’ютера з повітряним проміжком за допомогою акустичного аналізу шумів вентилятора за допомогою смартфона https://www.youtube.com/watch?v=v2_sZIfZkDQ ^[Invidious] Вилучення даних із зараженого зловмисним програмним забезпеченням комп’ютера з повітряним проміжком через світлодіоди HD за допомогою дрона https://www.youtube.com/watch?v=4vIu8ld68fc ^[Invidious] Викрадання даних із зловмисного програмного забезпечення USB на комп’ютері з повітряним розривом через електромагнітні перешкоди https://www.youtube.com/watch?v=E28V1t-k8Hk ^[Invidious] Вилучення даних із зараженого шкідливим ПЗ жорсткого диска за допомогою прихованого акустичного шуму https://www.youtube.com/watch?v=H7lQXmSLiP8 ^[Invidious] Викрадання даних через частоти GSM із скомпрометованого (зі зловмисним програмним забезпеченням) комп’ютера з повітряним розривом https://www.youtube.com/watch?v=RChj7Mg3rC4 ^[Invidious] Вилучення даних через електромагнітне випромінювання зламаного пристрою відображення https://www.youtube.com/watch?v=2OzTWiGl1rM&t=20s ^[Invidious] Передача даних через магнітні хвилі зі зламаного комп’ютера з повітряним проміжком на смартфон, який зберігається в сумці Фарадея https://www.youtube.com/watch?v=yz8E5n1Tzlo ^[Invidious] Зв’язок між двома скомпрометованими комп’ютерами з повітряним проміжком за допомогою ультразвукових звукових хвиль https://www.youtube.com/watch?v=yz8E5n1Tzlo ^[Invidious] Викрадання біткойн-гаманця зі зламаного комп’ютера з повітряним розривом на смартфон https://www.youtube.com/watch?v=2WtiHZNeveY ^[Invidious] Вилучення даних зі зламаного комп’ютера з повітряним проміжком за допомогою яскравості дисплея https://www.youtube.com/watch?v=ZrkZUO2g4DE ^[Invidious] Вилучення даних зі зламаного комп’ютера з повітряним проміжком через вібрацію https://www.youtube.com/watch?v=XGD343nq1dg ^[Invidious] Вилучення даних зі зламаного комп’ютера з повітряним проміжком шляхом перетворення оперативної пам’яті на випромінювач Wi-Fi https://www.youtube.com/watch?v=vhNnc0ln63c ^[Invidious] Вилучення даних зі зламаного комп’ютера з повітряним проміжком через лінії електропередач https://arxiv.org/pdf/1804.04014.pdf ^{[Archive.org]}
• Атаки, які не потребують зловмисного програмного забезпечення:
  Спостерігайте здалеку за глухою стіною в кімнаті, щоб визначити, скільки людей у ​​кімнаті та що вони роблять ²⁸⁷ . Публікація з демонстрацією: http://wallcamera.csail.mit.edu/ ^{[Archive.org]} Спостерігайте здалеку за світловідбиваючим пакетом із закусками в кімнаті, щоб реконструювати всю кімнату ²⁸⁸ . Публікація з фотоприкладами: https://arxiv.org/pdf/2001.04642.pdf ^{[Archive.org]} Вимірювання вібрації підлоги для ідентифікації людей і визначення їх стану здоров'я та настрою ²⁸⁹ . Публікація з демонстрацією: https://engineering.cmu.edu/news-events/news/2020/02/17-mauraders-map.html ^{[Archive.org]} Спостереження за лампочкою здалеку, щоб послухати звук у кімнаті ²⁹⁰ без шкідливих програм : Демонстрація: https://www.youtube.com/watch?v=t32QvpfOHqw ^[Invidious] . Слід зазначити, що цей вид атаки зовсім не новий і статті про подібні прийоми були ще в 2013 році. ²⁹¹ і що ви навіть можете придбати пристрої для виконання цього самостійно, як-от тут: http://www.gcomtech.com/ccp0-prodshow/laser-surveillance-laser-listening.html ^{[Archive.org]}

Ось також гарне відео від тих же авторів, щоб пояснити ці теми: Black Hat, The Air-Gap Jumpers https://www.youtube.com/watch?v=YKRtFgunyj4 ^[Invidious]

Реально кажучи, цей посібник мало допоможе проти таких ворогів, оскільки такі зловмисні програми можуть бути імплантовані на пристрої виробником або будь-ким посередині ²⁹² , або будь-ким, хто має фізичний доступ до комп’ютера з повітряним проміжком, але є ще кілька способів пом’якшити такі методи:

• Не виконуйте конфіденційну діяльність під час підключення до ненадійної/незахищеної лінії електропередач, щоб запобігти витоку електромережі.
• Не використовуйте свої пристрої перед камерою, яка може бути скомпрометована.
• Використовуйте свої пристрої в звукоізольованому приміщенні, щоб запобігти витоку звуку.
• Використовуйте свої пристрої в клітці Фарадея, щоб запобігти електромагнітним витокам.
• Не розповідайте про конфіденційну інформацію там, де лампочки можна побачити ззовні.
• Купуйте свої пристрої в різних/непередбачуваних/офлайн-магазинах (магазинах), де ймовірність їх зараження таким шкідливим програмним забезпеченням менша.
• Не дозволяйте нікому отримати доступ до ваших комп’ютерів із закритим проміжком, крім довірених осіб.

Деякі бонусні ресурси:

• Перегляньте документацію Whonix щодо методів збору даних тут: https://www.whonix.org/wiki/Data_Collection_Techniques ^{[Archive.org]}
• Вам також може сподобатися цей сервіс https://tosdr.org/ ^{[Archive.org]} (Умови надання послуг, не читав), які дадуть вам хороший огляд різноманітних Умов обслуговування багатьох служб.
• Перегляньте https://www.eff.org/issues/privacy ^{[Archive.org]} для додаткових ресурсів.
• Перегляньте https://en.wikipedia.org/wiki/List_of_government_mass_surveillance_projects ^{[Без Wiki] [Archive.org]} мати огляд усіх відомих проектів масового стеження, поточних і минулих.
• Перегляньте https://www.gwern.net/Death-Note-Anonymity ^{[Archive.org]} (навіть якщо ви не знаєте про Death Note).
• Знайдіть і прочитайте книгу Майкла Баззелла «Технології розвідки з відкритим кодом» (восьме видання на момент написання цієї статті, щоб дізнатися більше про новітні методи OSINT) https://inteltechniques.com/book1.html
• Нарешті, перевірте https://www.freehaven.net/anonbib/date.html ^{[Archive.org]} для останніх наукових статей, пов’язаних з онлайн-анонімністю.

Примітки:

Якщо ви все ще не вважаєте, що таку інформацію можуть використовувати різні суб’єкти для стеження за вами, ви можете самостійно переглянути деякі статистичні дані для деяких платформ і пам’ятайте, що вони враховують лише законні запити даних і не враховують такі речі, як PRISM, MUSCULAR , SORM або XKEYSCORE, пояснені раніше:

• Звіт про прозорість Google https://transparencyreport.google.com/user-data/overview ^{[Archive.org]}
• Звіт про прозорість Facebook https://transparency.facebook.com/ ^{[Archive.org]}
• Звіт про прозорість Apple https://www.apple.com/legal/transparency/ ^{[Archive.org]}
• Звіт про прозорість Cloudflare https://www.cloudflare.com/transparency/ ^{[Archive.org]}
• Звіт про прозорість Snapchat https://www.snap.com/en-US/privacy/transparency ^{[Archive.org]}
• Звіт про прозорість Telegram https://t.me/transparency ^{[Archive.org]} (потрібно встановити Telegram)
• Звіт Microsoft Transparency Report https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report ^{[Archive.org]}
• Звіт про прозорість Amazon https://www.amazon.com/gp/help/customer/display.html?nodeId=GYSDRGWQ2C2CRYEF ^{[Archive.org]}
• Звіт про прозорість Dropbox https://www.dropbox.com/transparency ^{[Archive.org]}
• Звіт про прозорість Discord https://discord.com/blog/discord-transparency-report-q1-2022 ^{[Archive.org]}
• Звіт про прозорість GitHub https://github.blog/2021-02-25-2020-transparency-report/ ^{[Archive.org]}
• Звіт про прозорість TikTok https://www.tiktok.com/transparency/en/information-requests-2021-2/ ^{[Archive.org]}
• Звіт про прозорість Reddit https://www.redditinc.com/policies/transparency-report-2021 ^{[Archive.org]}
• Звіт про прозорість Twitter https://transparency.twitter.com/ ^{[Archive.org]}

Загальні приготування:

Особисто в контексті цього посібника також цікаво поглянути на вашу модель безпеки. І в цьому контексті ми можемо порекомендувати лише одне:

Безпека без довіри ²⁶ («Ніколи не довіряй, завжди перевіряй»).

Ось деякі різноманітні ресурси про те, що таке Zero-Trust Security:

• DEFCON, Zero Trust a Vision for Securing Cloud, https://www.youtube.com/watch?v=euSsqXO53GY ^[Invidious]
• Від самого АНБ, «Впровадження моделі безпеки нульової довіри», https://media.defense.gov/2021/Feb/25/2002588479/-1/-1/0/CSI_EMBRACING_ZT_SECURITY_MODEL_UOO115131-21.PDF ^{[Archive.org]}

Вибір маршруту:

По-перше, ось невелика базова діаграма UML, яка показує доступні варіанти відповідно до ваших навичок/бюджету/часу/ресурсів.

Обмеження за часом:

• У вас зовсім немає часу:
  • Перейдіть за маршрутом браузера Tor.
• У вас надзвичайно обмежений час на навчання та потрібне швидке рішення:
  • Ваш найкращий варіант — піти шляхом «Хвости» (за винятком постійного розділу правдоподібного заперечення).
• У вас є час і, що важливіше, мотивація для навчання:
  • Ідіть будь-яким маршрутом.

Бюджет/матеріальні обмеження:

• У вас немає бюджету, і навіть отримати доступ до ноутбука складно або у вас є лише смартфон:
  • Перейдіть за маршрутом браузера Tor.
• У вас є лише один ноутбук, і ви не можете дозволити собі нічого іншого. Ви використовуєте цей ноутбук для роботи, сім’ї чи особистих речей (або обох):
  • Ваш найкращий варіант - піти на маршрут Tails.
• Ви можете дозволити собі додатковий спеціальний ноутбук без нагляду/неконтролю для ваших конфіденційних справ:
  Але він старий, повільний і має погані характеристики (менше 6 ГБ оперативної пам’яті, менше 250 ГБ місця на диску, старий/повільний ЦП):
  • Ви повинні йти на маршрут Tails.
  Він не такий вже й старий, і має пристойні характеристики (принаймні 8 ГБ оперативної пам’яті, 250 ГБ дискового простору або більше, пристойний ЦП):
  • Ви можете вибрати маршрути Tails, Whonix.
  Він новий і має чудові характеристики (понад 16 ГБ або в ідеалі 32 ГБ оперативної пам’яті, >250 ГБ дискового простору, нещодавно швидкий ЦП):
  • Ви можете вибрати будь-який шлях, але ми рекомендуємо Qubes OS, якщо ваша модель загроз це дозволяє. Перегляньте вимоги. ²⁹³
  Якщо це Mac M1/M2 на базі ARM:
  • Зараз це неможливо з таких причин:

    • Віртуалізація образів Intel x86 на хостах ARM (M1/M2) все ще обмежена комерційним програмним забезпеченням (наприклад, Parallels, Fusion), яке поки що переважно не підтримується Whonix. Вони дуже глючні і тільки для досвідчених людей. Будь ласка, знайдіть цю інформацію самостійно.

    • Virtualbox тепер доступний для архітектури ARM64 у пакеті станом на жовтень 2022 року. Завантажте «Попередню версію розробника для хостів macOS/Arm64 (M1/M2)» .

    • Whonix нелегко підтримує macOS. «Вам потрібно створити Whonix за допомогою сценарію збірки, щоб запустити його на Apple Silicon». Перегляньте тему форуму .

    • Tails ще не підтримується на архітектурі ARM64. Перегляньте цю тему для отримання додаткової інформації (майте на увазі, що ця сторінка нещодавно не оновлювалася).

    • ОС Qubes ще не підтримується на архітектурі ARM64, але ведеться робота, щоб зробити її доступною на aarch64, що може бути відкладено на непередбачене майбутнє.

Загальна порада в цьому посібнику щодо програмного забезпечення віртуалізації полягає в тому, що воно дороге. Тим не менш, вам, ймовірно, слід придбати спеціальний ноутбук із програмним забезпеченням для віртуалізації, бажано з 64-розрядною архітектурою, який буде використовуватися для більш чутливої ​​діяльності та тестування.

Навички:

• У вас немає навичок у сфері ІТ, хоча зміст цього посібника здається вам чужою мовою? Розглянемо:
  Маршрут браузера Tor (найпростіший з усіх) Маршрут «Хвости» (за винятком постійного розділу правдоподібного заперечення).
• Ви маєте певні навички в ІТ і наразі здебільшого розумієте цей посібник, зверніть увагу на:
  Маршрут «Хвости» (з необов’язковим розділом постійного правдоподібного заперечення). Маршрут Whonix.
• Ви маєте помірні та високі навички ІТ, і ви вже знайомі з деяким змістом цього посібника, зверніть увагу на:
  • Будь-який шлях (якщо ви можете собі це дозволити, бажано ОС Qubes).
• Ви хакер l33T, «немає ложки», «пиріг — це брехня», ви роками використовуєте «doas», і «вся ваша база належить нам», і ви маєте тверду думку про systemd.
  • Цей посібник не призначений для вас і не допоможе вам із HardenedBSD на вашому захищеному ноутбуці Libreboot ;-)

Змагальні міркування:

Тепер, коли ви знаєте, що можливо, вам також слід розглянути загрози та ворогів, перш ніж вибрати правильний маршрут.

Загрози:

• Якщо вас головним чином хвилює судово-медична експертиза ваших пристроїв, вам слід розглянути маршрут Tor Browser або маршрут Tails.
• Якщо вас головним чином хвилюють віддалені зловмисники, які можуть розкрити вашу онлайн-ідентичність на різних платформах, вам слід розглянути маршрути ОС Tails, Whonix або Qubes (указані в порядку складності).
• Якщо ви хочете правдоподібне заперечення в системі ²⁹⁴ ' ²⁹⁵ незважаючи на ризики ²⁹⁶ ' ²⁹⁷ , розглянемо маршрут Tails, включно з розділом про постійне правдоподібне заперечення (див. Persistent Plausible Deniability за допомогою Whonix у Tails ).**
• Якщо ви перебуваєте у агресивному середовищі, де лише використання Tor/VPN є неможливим/небезпечним/підозрілим, розгляньте маршрут Tails (фактично не використовуючи Tor) або більш складні маршрути, такі як Whonix або Qubes OS.

противники:

• Низькі навички:
  Низькі ресурси:
  • Будь-яка мотивація: Будь-який маршрут
  Середні ресурси:
  • Мотивація від низького до середнього: Будь-який маршрут
  • Висока мотивація: Tails, Whonix, Qubes OS Routes
  Високі ресурси:
  • Низька мотивація: Будь-який шлях
  • Від середньої до високої мотивації: Tails, Whonix, Qubes OS Routes
• Навички середнього рівня:
  Низькі ресурси:
  • Низька мотивація: Будь-який маршрут
  • Від середньої до високої мотивації: Tails, Whonix, Qubes OS Routes
  Середні ресурси:
  • Низька мотивація: Будь-який маршрут
  • Від середньої до високої мотивації: Tails, Whonix, Qubes OS Routes
  Високі ресурси:
  • Мотивація від низького до високого: Tails, Whonix, Qubes OS Routes
• Висококваліфікований:
  Низькі ресурси:
  • Низька мотивація: Будь-який маршрут
  • Від середньої до високої мотивації: Tails, Whonix, Qubes OS Routes
  Середні ресурси:
  • Мотивація від низького до високого: Tails, Whonix, Qubes OS Routes
  Високі ресурси:
  • Мотивація від низького до високого: Tails, Whonix, Qubes OS Routes (але, ймовірно, виходить за рамки цього посібника, оскільки це, ймовірно, глобальний противник)

У будь-якому випадку вам слід прочитати ці дві сторінки документації Whonix, які дадуть вам глибше розуміння ваших виборів:

• https://www.whonix.org/wiki/Warning ^{[Archive.org]}
• https://www.whonix.org/wiki/Dev/Threat_Model ^{[Archive.org]}
• https://www.whonix.org/wiki/Comparison_with_Others ^{[Archive.org]}

Ви можете запитати себе: «Як мені дізнатися, що я перебуваю у ворожому онлайн-середовищі, де діяльність активно відстежується та блокується?»

• Спочатку прочитайте більше про це на EFF тут: https://ssd.eff.org/en/module/understanding-and-circumventing-network-censorship ^{[Archive.org]}
• Перевірте деякі дані самостійно тут, на Tor Project OONI ²⁹⁸ Веб-сайт (Відкрита обсерваторія мережевих перешкод): https://explorer.ooni.org/
• Подивіться на https://censoredplanet.org/ і подивіться, чи є там дані про вашу країну.
• Що стосується Китаю, перегляньте https://gfwatch.org/ і https://www.usenix.org/system/files/sec21-hoang.pdf ^{[Archive.org]}
• Перевірте себе за допомогою OONI (це може бути ризиковано у агресивному середовищі).

Кроки для всіх маршрутів:

Звикання до кращих паролів:

Див. Додаток A2: Рекомендації щодо паролів і парольних фраз .

Отримання анонімного номера телефону:

Пропустіть цей крок, якщо ви не маєте наміру створювати анонімні облікові записи на більшості основних платформ, а просто хочете анонімний перегляд або якщо платформи, якими ви будете користуватися, дозволяють реєстрацію без номера телефону.

Physical Burner Phone і передплачена SIM-карта:

Отримати телефон для запису:

Це досить легко. Залиште свій смартфон увімкненим і вдома. Візьміть трохи готівки та підіть на випадковий блошиний ринок або в невеликий магазин (в ідеалі без камер відеоспостереження всередині чи зовні та уникайте фотографування/зйомки) і просто купіть найдешевший телефон, який тільки можете знайти, за готівку та без надання жодної особистої інформації. Він повинен бути лише в робочому стані.

Примітка щодо вашого поточного телефону: сенс залишати смартфон увімкненим – це уникнути витоку інформації про те, що ви не використовуєте пристрій. Якщо смартфон вимкнено, створюється слід метаданих, який можна використовувати для співвіднесення часу вимкнення смартфона з активацією записувача. Якщо можливо, залиште свій телефон робити щось (наприклад, дивитися YouTube у режимі автоматичного відтворення), щоб ще більше приховати слід метаданих. Це не унеможливить співвіднесення вашої бездіяльності, але може ускладнити це, якщо моделі використання вашого телефону можуть виглядати переконливо, поки ви купуєте записувач.

Ми б рекомендували придбати старий «дурман» зі знімною батареєю (стара Nokia, якщо ваші мобільні мережі все ще дозволяють підключатися, оскільки деякі країни повністю відмовилися від 1G-2G). Це робиться для того, щоб уникнути автоматичного надсилання/збору будь-яких телеметричних/діагностичних даних на самому телефоні. Ви ніколи не повинні підключати цей телефон до Wi-Fi.

Примітка сайту: будьте обережні з деякими продавцями, як показано тут https://therecord.media/malware-found-preinstalled-in-classic-push-button-phones-sold-in-russia/ ^{[Archive.org]}

Також важливо ніколи не вмикати цей телефон-записувач (навіть без SIM-картки) у будь-якому географічному місці, яке може привести до вас (наприклад, у вашому домі/на роботі), і ніколи в тому самому місці, де знаходиться ваш інший відомий смартфон (оскільки той має IMEI/IMSI, який легко приведе до вас). Це може здатися великим тягарем, але це не так, оскільки ці телефони використовуються лише під час процесу налаштування/реєстрації та час від часу для перевірки.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Перш ніж переходити до наступного кроку, перевірте, чи працює телефон. Але ми повторимося й зазначимо, що важливо залишати свій смартфон вдома, коли йдете (або вимкнути його перед від’їздом, якщо вам потрібно його залишити), і що ви тестуєте телефон у випадковому місці, яке неможливо відстежити ( і знову ж таки, не робіть цього перед камерою відеоспостереження, уникайте камер, будьте уважні до свого оточення). Тут також не потрібен Wi-Fi.

Коли ви переконаєтеся, що телефон справний, вимкніть Bluetooth, потім вимкніть його (витягніть батарею, якщо можете) і поверніться додому та відновіть свою звичайну діяльність. Перейдіть до наступного кроку.

Отримання анонімної передплаченої SIM-картки:

Це найскладніша частина всього посібника. Це SPOF (єдина точка відмови). Місця, де ви все ще можете придбати передплачені SIM-карти без реєстрації ідентифікатора, стають дедалі обмеженішими через різні правила типу KYC ²⁹⁹ .

Отже, ось список місць, де ви все ще можете отримати їх зараз: https://prepaid-data-sim-card.fandom.com/wiki/Registration_Policies_Per_Country ^{[Archive.org]}

Ви повинні мати можливість знайти місце, яке знаходиться «не надто далеко», і просто піти туди фізично, щоб купити передоплачені картки та ваучери поповнення готівкою. Переконайтеся, що не було прийнято жодного закону, який би зробив реєстрацію обов’язковою (якщо наведену вище вікі не було оновлено). Намагайтеся уникати відеоспостереження та камер і не забудьте придбати ваучер поповнення разом із SIM-картою (якщо це не пакет), оскільки більшість передплачених карт вимагають поповнення перед використанням.

Див. Додаток N: Попередження про смартфони та розумні пристрої

Перш ніж відправитися туди, ще раз переконайтеся, що оператори мобільного зв’язку, які продають передплачені SIM-карти, приймають активацію та поповнення SIM-карти без будь-якої ідентифікаційної реєстрації. В ідеалі вони повинні приймати активацію та поповнення SIM-карти з країни, в якій ви живете.

Ми б рекомендували GiffGaff у Великій Британії, оскільки вони «доступні», не вимагають ідентифікації для активації та поповнення, і навіть дозволяють змінювати свій номер до двох разів на їх веб-сайті. Тому одна передплачена SIM-карта GiffGaff надасть вам три номери для ваших потреб.

Вимикайте телефон після активації/поповнення та перед тим, як йти додому. Ніколи не вмикайте його знову, якщо ви не перебуваєте в місці, яке може бути використано для розкриття вашої особи, і в ідеалі залиште свій справжній телефон увімкненим, але вдома, перш ніж піти в безпечне місце з одним лише телефоном-записувачем.

Онлайн номер телефону:

ВІДМОВА ВІД ВІДПОВІДАЛЬНОСТІ: не намагайтеся цього зробити, доки не завершите налаштування безпечного середовища відповідно до одного з вибраних маршрутів. Цей крок потребує онлайн-доступу, і його слід виконувати лише з анонімної мережі. Не робіть цього з відомого/незахищеного середовища. Пропускайте це, доки не закінчите один із маршрутів.

Є багато комерційних служб, які пропонують номери для отримання SMS-повідомлень онлайн, але більшість із них не мають анонімності/конфіденційності та не можуть бути корисними, оскільки більшість платформ соціальних медіа встановлюють обмеження на те, скільки разів номер телефону можна використовувати для реєстрації.

Існують деякі форуми та субредити (наприклад, r/phoneverification/), де користувачі пропонуватимуть вам послугу отримання таких SMS-повідомлень за невелику плату (за допомогою PayPal або якогось крипто-платежу). На жаль, тут повно шахраїв і дуже ризиковано з точки зору анонімності. Ви не повинні використовувати їх ні за яких обставин.

На сьогоднішній день ми не знаємо жодної авторитетної служби, яка б пропонувала цю послугу та приймала готівкові платежі (наприклад, поштою), як деякі провайдери VPN. Але кілька служб надають онлайн-номери телефонів і приймають Monero, який може бути досить анонімним (але менш рекомендованим, ніж той фізичний спосіб у попередньому розділі), який ви можете розглянути:

• Рекомендовано : постачальники, які приймають Monero (XMR) і не вимагають перевірки:
  (Ісландія) https://crypton.sh ^{[Дзеркало Tor] [Archive.org]} (В Україні) https://virtualsim.net/ ^{[Archive.org]} (Багато країн) https://silent.link/ ^{[Archive.org]} (мій улюблений)
• Вимагайте підтвердження електронної пошти, але прийміть Monero:
  (США, Каліфорнія) https://mobilesms.io ^{[Archive.org]} (Німеччина) https://www.sms77.io/ ^{[Archive.org]} (Росія) https://onlinesim.ru/ ^{[Archive.org]}

Є деякі інші можливості, перелічені тут https://cryptwerk.com/companies/sms/xmr/ ^{[Archive.org]} . Використовуйте на свій страх і ризик.

А що, якщо у вас немає грошей? Що ж, у такому випадку вам доведеться спробувати щастя з безкоштовними послугами та сподіватися на краще. Ось кілька прикладів, використовуйте на свій страх і ризик :

• https://oksms.org
• https://smspva.com
• https://sms24.me

Застереження: ми не можемо поручитися за жодного з цих постачальників. Рекомендуємо зробити це самостійно фізично. У цьому випадку вам доведеться покладатися на анонімність Monero, і ви не повинні використовувати будь-які служби, які вимагають будь-якої ідентифікації за допомогою вашої справжньої особи. Прочитайте Додаток B2: Відмова від відповідальності Monero .

Зручніше, дешевше та менш ризиковано просто отримати передплачену SIM-картку в одному з фізичних закладів, де їх досі продають за готівку без посвідчення особи.

Отримайте USB-ключ:

Пропустіть цей крок, якщо ви не маєте наміру створювати анонімні облікові записи на більшості основних платформ, але вам потрібен анонімний перегляд; або якщо платформи, якими ви будете користуватися, дозволяють реєстрацію без номера телефону.

Придбайте принаймні один або два загальні USB-ключі пристойного розміру (принаймні 16 ГБ, але ми рекомендуємо 32 ГБ).

Будь ласка, не купуйте та не використовуйте химерні пристрої з самошифруванням, такі як ці: https://syscall.eu/blog/2018/03/12/aigo_part1/ ^{[Archive.org]}

Деякі з них можуть бути дуже ефективними ³⁰⁰ але багато з них є химерними гаджетами, які не забезпечують реального захисту ³⁰¹ .

Знайдіть безпечні місця з пристойним громадським Wi-Fi:

Вам потрібно знайти безпечні місця, де ви зможете виконувати свою конфіденційну діяльність, використовуючи загальнодоступну мережу Wi-Fi (без реєстрації облікового запису/ідентифікатора, уникайте камер відеоспостереження).

Це може бути будь-яке місце, яке не буде прив’язане до вас напряму (ваш дім/робота) і де ви можете деякий час користуватися Wi-Fi, не турбуючи себе. Але також місце, де ви можете це зробити, не будучи «поміченим».

Якщо ви вважаєте Starbucks розумною ідеєю, ви можете переглянути:

• Ймовірно, вони мають камери відеоспостереження у всіх своїх магазинах і зберігають ці записи невідомо скільки часу.
• Вам потрібно буде купити каву, щоб отримати код доступу до Wi-Fi у більшості випадків. Якщо ви платите за цю каву електронним способом, вони зможуть прив’язати ваш Wi-Fi доступ до вашої особистості.

Ситуаційна обізнаність має ключове значення, і ви повинні постійно стежити за своїм оточенням і уникати туристичних місць, які, наприклад, були охоплені лихоманкою Ебола. Ви не хочете з’являтися на фотографіях/відео будь-кого, коли хтось робить селфі, знімає відео TikTok або публікує фотографії подорожей у своєму Instagram. Якщо ви це зробите, пам’ятайте, що висока ймовірність того, що ці зображення потраплять в Інтернет (публічно чи приватно) із повними метаданими, доданими до них (час/дата/геолокація) і вашим обличчям. Пам’ятайте, що вони можуть і будуть індексуватися Facebook/Google/Yandex/Apple і, ймовірно, усіма трьома літерними агентствами.

Хоча це ще не буде доступно для ваших місцевих офіцерів поліції, це може бути в найближчому майбутньому.

В ідеалі вам знадобиться набір із 3-5 окремих місць, як це, щоб не використовувати те саме місце двічі. Для виконання різних кроків у цьому посібнику знадобиться декілька поїздок протягом кількох тижнів.

Ви також можете підключитися до цих місць із безпечної відстані для додаткової безпеки. Див. Додаток Q: Використання далекобійної антени для підключення до загальнодоступних Wi-Fi з безпечної відстані.

Маршрут браузера Tor:

Ця частина посібника допоможе вам налаштувати найпростіший і найлегший спосіб анонімного перегляду веб-сторінок. Це не обов’язково найкращий метод, і нижче є більш просунуті методи з (набагато) кращим захистом і (набагато) кращими пом’якшеннями від різних ворогів. Тим не менш, це простий спосіб анонімного та швидкого доступу до ресурсів без бюджету, часу, навичок і обмеженого використання.

Отже, що таке браузер Tor? Браузер Tor ( https://www.torproject.org/ ^{[Archive.org]} ) – це веб-браузер, як-от Safari/Firefox/Chrome/Edge/Brave, розроблений з урахуванням конфіденційності й анонімності.

Цей браузер відрізняється від інших браузерів тим, що він підключатиметься до Інтернету через мережу Tor за допомогою Onion Routing. Спочатку ми рекомендуємо вам переглянути це чудове вступне відео від самих проектів Tor: https://www.youtube.com/watch?v=JWII85UlzKw ^[Invidious] . Після цього вам, ймовірно, слід перейти на їхню сторінку, щоб прочитати їхній короткий огляд тут: https://2019.www.torproject.org/about/overview.html.en ^{[Archive.org]} . Не вдаючись у надто багато технічних подробиць, Tor Browser — це легке та просте рішення «запустити й забути» для анонімного перегляду веб-сторінок практично з будь-якого пристрою. Ймовірно, цього достатньо для більшості людей, і ним можна користуватися з будь-якого комп’ютера чи смартфона.

Ось кілька способів налаштування для всіх основних ОС.

Попередження: Вам слід уникати встановлення розширень у браузері Tor, оскільки вони можуть використовуватися для відбитків пальців та ідентифікації.

Windows, Linux і macOS:

Перегляньте Додаток Y: Встановлення та використання настільного браузера Tor .

Android:

Примітка щодо браузера Tor для Android. Розробка браузера Tor для Android ведеться за пакетом Tor Browser Bundle (TBB). Деякі функції поки що недоступні. Наприклад, настільна версія Tor тепер дозволяє створювати автоматичні мости за допомогою Moat:

“ Connection Assist працює, шукаючи та завантажуючи оновлений список параметрів для певної країни, щоб спробувати використовувати ваше місцезнаходження (за вашою згодою). Йому вдається зробити це без необхідності спочатку підключатися до мережі Tor, використовуючи moat – той самий інструмент доступу до домену, який використовує браузер Tor для запиту мосту від torproject.org».

• Перейдіть до:
  Play Store: https://play.google.com/store/apps/details?id=org.torproject.torbrowser Магазин F-Droid: його ще немає, але ви можете додати його вручну, дотримуючись інструкцій на сторінці https://support.torproject.org/tormobile/tormobile-7/ ^{[Archive.org]}
• встановити
• Запустіть браузер Tor
• у верхньому правому куті налаштувань Після запуску натисніть піктограму
• Виберіть Налаштування > Конфіденційність і безпека > Мережа Tor
• Виберіть Config Bridge .
• Прочитайте Додаток X: Використання мостів Tor у агресивному середовищі .
• Якщо потрібно (після прочитання додатку вище) , активуйте опцію та виберіть потрібний тип моста:
  Obfs4 Лагідно-Лазурний Сніжинка
• Якщо ваш Інтернет не піддається цензурі , спробуйте запустити один із типів мостів, щоб допомогти мережі!
  Легко: Obsf4. Ви можете легко запустити власний Obsf4 за допомогою цих інструкцій. https://community.torproject.org/relay/setup/bridge/ Середній: сніжинка – докладніше про сніжинки тут. https://snowflake.torproject.org/ Hard: Meek - це документація. Це не так просто. https://gitlab.torproject.org/legacy/trac/-/wikis/doc/meek/#how-to-run-a-meek-server-bridge

Особисто, якщо вам потрібно використовувати міст (це не обов’язково для неворожого середовища), вам слід вибрати Meek-Azure. Ймовірно, це спрацює, навіть якщо ви перебуваєте в Китаї і хочете обійти Великий брандмауер. Це, мабуть, найкращий варіант, щоб замаскувати вашу діяльність Tor, якщо це необхідно, а сервери Microsoft зазвичай не блокуються.

Доступно лише для користувачів настільного комп’ютера Tor: нещодавно проект Tor неймовірно спростив доступ до Bridges за допомогою Connection Assist , і тепер це робиться автоматично у ворожих або цензурованих регіонах. Просто відкрийте браузер Tor, і з’єднання буде налаштовано відповідно до ваших потреб у будь-якій ворожій мережі. Раніше під цим параграфом у нас був список параметрів, необхідних для ввімкнення та налаштування мостів, але тепер це робиться автоматично за допомогою moat . ^{[Archive.org]}

• Ви майже закінчили

Як і у випадку з настільною версією, вам потрібно знати, що в браузері Tor є рівні безпеки. На Android ви можете отримати доступ до них, виконавши такі дії:

• Натисніть меню (праворуч внизу)
• Натисніть Налаштування .
• Перейдіть до розділу Конфіденційність і безпека .
• Натисніть Налаштування безпеки .

Ви знайдете докладну інформацію про кожен рівень тут: https://tb-manual.torproject.org/security-settings/ ^{[Archive.org]} але ось підсумок:

• Стандарт (за замовчуванням):
  • Усі функції ввімкнено (включаючи JavaScript)
• Безпечніше:
  JavaScript вимкнено на веб-сайтах без HTTPS Деякі шрифти та символи вимкнено Будь-яке відтворення мультимедійних файлів є «клацніть, щоб відтворити» (вимкнено за замовчуванням)
• Найбезпечніше:
  Javascript скрізь вимкнено Деякі шрифти та символи вимкнено Будь-яке відтворення мультимедійних файлів є «клацніть, щоб відтворити» (вимкнено за замовчуванням)

Для більшості випадків ми рекомендуємо рівень «Безпечніше». Якщо ви вважаєте, що відвідуєте підозрілі або небезпечні веб-сайти, і/або якщо у вас надмірний параноїк, слід увімкнути найбезпечніший рівень.

Якщо у вас надмірний параноїк, використовуйте рівень «Найбезпечніший» за замовчуванням і подумайте про пониження до безпечнішого, якщо веб-сайт непридатний для використання через блокування Javascript.

Однак під час роботи з деякими веб-сайтами слід використовувати безпечний рівень із деякими додатковими запобіжними заходами: див. Додаток A5: Додаткові запобіжні заходи для браузера з увімкненим JavaScript .

Тепер ви дійсно готові, і тепер ви можете анонімно переглядати веб-сторінки зі свого пристрою Android.

Перегляньте Попередження про використання Orbot на Android .

iOS:

Відмова від відповідальності: після випуску 2018 року для iOS у браузері Onion Browser стався витік IP через WebRTC. Це все ще єдиний офіційно схвалений браузер для мережі Tor для iOS. Користувачам слід бути обережними під час використання браузера та перевіряти наявність витоків DNS.

Хоча офіційний браузер Tor ще не доступний для iOS, існує альтернатива під назвою Onion Browser, схвалена проектом Tor ³⁰² .

• Перейдіть на сторінку https://apps.apple.com/us/app/onion-browser/id519296448
• встановити
• Вимкніть Wi-Fi і мобільні дані
• Запустіть Onion Browser
• Після запуску клацніть піктограму налаштувань у верхньому правому куті (вимкнення Wi-Fi і мобільних даних раніше мало запобігти автоматичному підключенню Onion Browser і дозволити доступ до цих параметрів).
• Виберіть «Конфігурація мосту» та прочитайте Додаток X: Використання мостів Tor у агресивному середовищі
• Якщо потрібно (після прочитання додатку вище) , активуйте опцію та виберіть потрібний тип моста:
  Obfs4 Сніжинка (На жаль, Meek-Azure недоступний у Onion Browser для iOS ( див. у коміті 21bc18428 .) додаткову інформацію
• Якщо ваш Інтернет не піддається цензурі , спробуйте запустити один із типів мостів, щоб допомогти мережі!
  Легко: Obsf4. Ви можете легко запустити власний Obsf4 за допомогою цих інструкцій. https://community.torproject.org/relay/setup/bridge/ Середній: сніжинка – докладніше про сніжинки тут. https://snowflake.torproject.org/ Hard: Meek - це документація. Це не так просто. https://gitlab.torproject.org/legacy/trac/-/wikis/doc/meek/#how-to-run-a-meek-server-bridge

Особисто, якщо вам потрібно використовувати міст (це необов’язково для неворожого середовища), вам слід вибрати міст «Сніжинка» (оскільки мости Meek-Azure недоступні). Ймовірно, це спрацює, навіть якщо ви перебуваєте в Китаї і хочете обійти Великий брандмауер. Це, мабуть, найкращий варіант для iOS.

• Ви майже закінчили

Як і у версії для настільного ПК, вам потрібно знати, що в Onion Browser існують рівні безпеки. На iOS ви можете отримати доступ до них, виконавши такі дії:

• Натисніть значок щита (верхній лівий кут)
• У вас буде три рівні на вибір
  • 1. Золото: ідеально підходить, якщо ви підозрілі, параноїкові або маєте доступ до ресурсів, які, на вашу думку, є небезпечними.
    • JavaScript вимкнено
    • WebSockets, геолокація та XHR вимкнено
    • Немає відео чи аудіо
    • Посилання не можуть відкрити програми
    • WebRTC заблоковано
    • Змішаний HTTP/HTTPS заблоковано
    • Реклама та спливаючі вікна заблоковано
  • 1. срібло:
    • JavaScript частково дозволено
    • WebSockets, геолокація та XHR вимкнено
    • Немає відео чи аудіо
    • Посилання не можуть відкрити програми
    • WebRTC заблоковано
    • Змішаний HTTP/HTTPS заблоковано
    • Реклама та спливаючі вікна заблоковано
  • 1. Бронза (не рекомендується):
    • JavaScript дозволено
    • Дозволено аудіо та відео
    • Посилання не можуть відкрити програми
    • WebRTC не заблоковано
    • Змішаний HTTP/HTTPS не блокується
    • Реклама та спливаючі вікна заблоковано

Для більшості випадків ми рекомендуємо рівень «Срібло». Золотий рівень слід увімкнути, лише якщо ви вважаєте, що відвідуєте підозрілі чи небезпечні веб-сайти, або якщо у вас надмірний параноїк. Золотий режим також, швидше за все, зламає багато веб-сайтів, які активно покладаються на JavaScript.

Оскільки JavaScript увімкнено в срібному режимі, див. Додаток A5: Додаткові запобіжні заходи браузера з увімкненим JavaScript .

Тепер ви дійсно готові, і тепер ви можете анонімно переглядати веб-сторінки зі свого пристрою iOS.

Важливе попередження:

Цей маршрут є найпростішим, але не призначений для протистояння висококваліфікованим супротивникам. Однак його можна використовувати на будь-якому пристрої незалежно від конфігурації. Цей маршрут також вразливий до кореляційних атак (перегляньте ваш анонімний трафік Tor/VPN ) і не бачить нічого, що може бути на вашому пристрої (це може бути будь-яке шкідливе програмне забезпечення, експлойт, вірус, програмне забезпечення для віддаленого адміністрування, батьківський контроль…). Проте, якщо ваша модель загроз досить низька, її, ймовірно, достатньо для більшості людей.

Якщо у вас є час і ви хочете навчитися, ми рекомендуємо вибрати інші шляхи, оскільки вони забезпечують набагато кращий захист і зменшують набагато більше ризиків, значно зменшуючи рівень атаки.

Маршрут Tails:

Ця частина посібника допоможе вам налаштувати Tails, якщо виконується одне з наступного:

• Ви не можете дозволити собі спеціальний ноутбук
• Ваш ноутбук занадто старий і занадто повільний
• У вас дуже низькі навички ІТ
• Ви все одно вирішили піти з Tails

Хвости ³⁰³ означає The Amnesic Incognito Live System . Це завантажувальна оперативна операційна система, яка працює з USB-ключа, розроблена для того, щоб не залишати слідів і примусово здійснювати всі з’єднання через мережу Tor.

Ви вставляєте USB-ключ Tails у свій ноутбук, завантажуєтеся з нього, і у вас працює повна операційна система з урахуванням конфіденційності та анонімності. Як тільки ви вимкнете комп’ютер, усе зникне, якщо ви не зберегли це десь.

Tails — це надзвичайно простий спосіб миттєво розпочати роботу з тим, що у вас є, і без особливого навчання. Він містить обширну документацію та навчальні посібники.

ПОПЕРЕДЖЕННЯ: Tails не завжди встановлює найновіше програмне забезпечення, що входить до комплекту. І не завжди в курсі оновлень браузера Tor. Завжди переконайтеся, що ви використовуєте найновішу версію Tails, і ви повинні бути надзвичайно обережними, коли використовуєте пакетні програми в Tails, які можуть бути вразливими до експлойтів і розкривати ваше місцезнаходження ³⁰⁴ .

Однак він має деякі недоліки:

• Tails використовує Tor, тому ви будете використовувати Tor для доступу до будь-якого ресурсу в Інтернеті. Саме це викличе у вас підозру для більшості платформ, де ви хочете створити анонімні облікові записи (це буде пояснено більш детально пізніше).
• Ваш Інтернет-провайдер (незалежно від того, чи є він вашим, чи якийсь загальнодоступний Wi-Fi) також побачить, що ви використовуєте Tor, і це саме по собі може викликати у вас підозру.
• Tails не включає (нативно) деяке програмне забезпечення, яке ви, можливо, захочете використати пізніше, що значно ускладнить роботу, якщо ви хочете запустити деякі конкретні речі (наприклад, емулятори Android).
• Tails використовує браузер Tor, який, незважаючи на те, що він дуже безпечний, також буде виявлений більшістю платформ і заважатиме вам створювати анонімні особи на багатьох платформах.
• Хвости не захистять вас більше від гайкового ключа за 5 доларів ¹¹ .
• Tor сам по собі може бути недостатнім, щоб захистити вас від супротивника з достатніми ресурсами, як пояснювалося раніше.

Важлива примітка. Якщо ваш ноутбук відстежується та діють деякі місцеві обмеження, будь ласка, прочитайте Додаток U: Як обійти (деякі) локальні обмеження для контрольованих комп’ютерів .

Ви також повинні прочитати документацію Tails, попередження та обмеження, перш ніж йти далі https://tails.boum.org/doc/about/warnings/index.en.html ^{[Archive.org]}

Беручи все це до уваги та той факт, що їх документація чудова, ми просто перенаправляємо вас до їхнього добре зробленого та добре підтримуваного підручника:

https://tails.boum.org/install/index.en.html ^{[Archive.org]} , виберіть свій смак і продовжуйте.

Якщо у вас виникла проблема з доступом до Tor через цензуру чи інші проблеми, ви можете спробувати використати Tor Bridges, дотримуючись цього підручника Tails: https://tails.boum.org/doc/anonymous_internet/tor/index.en.html ^{[Archive.org]} і знайдіть більше інформації про них у документації Tor https://2019.www.torproject.org/docs/bridges ^{[Archive.org]}

Якщо ви вважаєте, що використання лише Tor є небезпечним/підозрілим, перегляньте Додаток P: максимально безпечний доступ до Інтернету, коли Tor/VPN не є варіантом

Налаштування браузера Tor на Tails:

Під час використання браузера Tor потрібно клацнути піктограму маленького щита (угорі праворуч, поруч із адресним рядком) і вибрати рівень безпеки (див. https://tb-manual.torproject.org/security-settings/ ^{[Archive.org]} для деталей). В основному їх три.

• Стандарт (за замовчуванням):
  • Усі функції ввімкнено (включаючи JavaScript)
• Безпечніше:
  JavaScript вимкнено на веб-сайтах без HTTPS Деякі шрифти та символи вимкнено Будь-яке відтворення мультимедійних файлів є «клацніть, щоб відтворити» (вимкнено за замовчуванням)
• Найбезпечніше:
  Javascript скрізь вимкнено Деякі шрифти та символи вимкнено Будь-яке відтворення мультимедійних файлів є «клацніть, щоб відтворити» (вимкнено за замовчуванням)

Для більшості випадків ми рекомендуємо рівень «Безпечніше». Найбезпечніший рівень слід увімкнути, якщо ви вважаєте, що відвідуєте підозрілі чи небезпечні веб-сайти, або якщо у вас надмірний параноїк. Найбезпечніший режим також, швидше за все, зламає багато веб-сайтів, які активно покладаються на JavaScript.

Якщо у вас надмірний параноїк, використовуйте рівень «Найбезпечніший» за замовчуванням і подумайте про пониження до безпечнішого, якщо веб-сайт непридатний для використання через блокування Javascript.

Насамкінець, під час використання браузера Tor на Tails на рівні «Безпечніше», зверніть увагу на Додаток A5: Додаткові запобіжні заходи браузера з увімкненим JavaScript

Коли ви закінчите та матимете робочий Tails на своєму ноутбуці, перейдіть до кроку Створення вашої анонімної онлайн-ідентичності набагато далі в цьому посібнику або, якщо вам потрібна наполегливість і правдоподібне заперечення, перейдіть до наступного розділу.

Постійне правдоподібне заперечення за допомогою Whonix у Tails:

Перевірте https://github.com/aforensics/HiddenVM ^{[Archive.org]} проект для Tails.

Цей проект є розумною ідеєю автономного рішення віртуальної машини одним клацанням миші, яке можна зберегти на зашифрованому диску за допомогою правдоподібного заперечення ²⁹⁴ (Див. The Whonix route: перші розділи, а також деякі пояснення щодо правдоподібного заперечення, а також розділ «Як безпечно видалити певні файли/папки/дані на вашому жорсткому диску/SSD і дисках Thumb:» у кінці цього посібника для кращого розуміння ).

Це дозволить створити гібридну систему, яка поєднує Tails з параметрами віртуалізації маршруту Whonix у цьому посібнику.

Примітка. Виберіть спосіб підключення в Whonix Route Докладніші пояснення щодо ізоляції потоку див. у розділі

Коротко:

• Ви можете запускати непостійні Tails з одного USB-ключа (дотримуючись їхніх рекомендацій)
• Ви можете зберігати постійні віртуальні машини у вторинному контейнері, який можна зашифрувати звичайним чином або за допомогою функції вірогідного заперечення Veracrypt (це можуть бути, наприклад, віртуальні машини Whonix або будь-які інші).
• Ви отримуєте переваги від доданої функції ізоляції потоку Tor ( див. у розділі Tor через VPN ). додаткову інформацію про ізоляцію потоку

У цьому випадку, як зазначено в проекті, на вашому комп’ютері не повинно бути слідів будь-якої вашої діяльності, а конфіденційна робота може виконуватися з віртуальних машин, збережених у прихованому контейнері, який не повинен бути легко виявлений програмним противником.

Ця опція особливо цікава для «подорожі на легкому» та для пом’якшення атак криміналістів, зберігаючи наполегливість у своїй роботі. Вам знадобляться лише 2 USB-ключа (один із хвостами та інший із контейнером Veracrypt, що містить постійний Whonix). Здається, що перший USB-ключ містить лише Tails, а другий USB – лише випадкове сміття, але матиме приманку, яку ви можете показати для правдоподібного заперечення.

Ви також можете запитати, чи призведе це до налаштування «Tor над Tor», але це не так. Віртуальні машини Whonix отримуватимуть доступ до мережі безпосередньо через Clearnet, а не через Tails Onion Routing.

У майбутньому це також може підтримуватися самим проектом Whonix, як описано тут: https://www.whonix.org/wiki/Whonix-Host ^{[Archive.org]} але наразі це не рекомендовано для кінцевих користувачів.

Пам’ятайте, що шифрування з правдоподібним запереченням або без нього не є ідеальним рішенням і буде малокорисним у разі тортур. Насправді, залежно від того, ким буде ваш супротивник (ваша модель загрози), було б доцільно взагалі не використовувати Veracrypt (раніше TrueCrypt), як показано в цій демонстрації: https://defuse.ca/truecrypt-plausible -deniability-useless-by-game-theory.htm ^{[Archive.org]}

Правдоподібне заперечення ефективне лише проти м’яких законних супротивників, які не вдаються до фізичних засобів.

Див. https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis ^{[Без Wiki] [Archive.org]}

ЗАСТЕРЕЖЕННЯ. Додаток K: міркування щодо використання зовнішніх SSD-накопичувачів і Розуміння порівняння жорсткого диска з SSD : Якщо ви плануєте зберігати такі приховані віртуальні машини на зовнішньому SSD-накопичувачі, перегляньте розділи

• Не використовуйте приховані томи на дисках SSD, оскільки це не підтримується/не рекомендовано Veracrypt ³⁰⁵ .
• Використовуйте контейнери файлів замість зашифрованих томів.
• Переконайтеся, що ви знаєте, як правильно очистити дані із зовнішнього SSD-накопичувача.

Ось мій посібник щодо того, як цього досягти:

Перший запуск:

• Завантажте останню версію HiddenVM з https://github.com/aforensics/HiddenVM/releases ^{[Archive.org]}
• Завантажте останню версію Whonix XFCE з https://www.whonix.org/wiki/VirtualBox/XFCE ^{[Archive.org]}
• Підготуйте USB-ключ/накопичувач із Veracrypt
  Створіть прихований том на USB/ключовому накопичувачі (ми рекомендуємо принаймні 16 ГБ для прихованого тому) У зовнішній том розмістіть кілька файлів-приманок У Hidden Volume помістіть файл HiddenVM appimage У прихованому тому розмістіть файл Whonix XFCE ova
• Boot into Tails
• Налаштуйте розкладку клавіатури на свій розсуд.
• Виберіть «Додаткові налаштування» та встановіть пароль адміністратора (root) (потрібний для встановлення HiddenVM)
• Почніть хвости
• Підключіться до безпечного Wi-Fi (це обов’язковий крок, щоб решта працювало)
• Перейдіть у «Утиліти» та розблокуйте свій (прихований) том Veracrypt (не забудьте поставити прапорець біля прихованого тому)
• Запустіть програму HiddenVM
• Коли буде запропоновано вибрати папку, виберіть корінь прихованого тому (де знаходяться файли зображень програми Whonix OVA та HiddenVM).
• Дозвольте йому робити свою справу (Це встановить Virtualbox у Tails одним клацанням миші)
• Коли це буде зроблено, він повинен автоматично запустити Virtualbox Manager.
• Імпортуйте файли Whonix OVA (див. Віртуальні машини Whonix: )

Зауважте: якщо під час імпорту у вас виникають такі проблеми, як «NS_ERROR_INVALID_ARG (0x80070057)», можливо, це тому, що на вашому прихованому тому для Whonix недостатньо місця на диску. Самі Whonix рекомендують 32 ГБ вільного місця, але це, мабуть, не обов’язково, і для початку 10 ГБ має бути достатньо. Ви можете спробувати обійти цю помилку, перейменувавши файл Whonix *.OVA на *.TAR і розпакувавши його в Tails. Завершивши декомпресію, видаліть файл OVA та імпортуйте інші файли за допомогою майстра імпорту. Цього разу це може спрацювати.

Подальші запуски:

• Boot into Tails
• Підключіться до Wi-Fi
• Розблокуйте свій прихований том
• Запустіть програму HiddenVM
• Це має автоматично відкрити менеджер VirtualBox і показати ваші попередні віртуальні машини з першого запуску

Кроки для всіх інших маршрутів:

Отримайте спеціальний ноутбук для вашої делікатної діяльності:

В ідеалі ви маєте придбати спеціальний ноутбук, який не буде прив’язаний до вас будь-яким легким способом (в ідеалі оплата готівкою анонімна та з використанням тих самих запобіжних заходів, як згадано раніше для телефону та SIM-карти). Це рекомендовано, але не обов’язково. Цей посібник допоможе вам максимально посилити ваш ноутбук, щоб запобігти витоку даних різними способами. Між вашими онлайн-ідентифікаціями та вами буде кілька ліній захисту, які не дозволять більшості супротивників деанонімізувати вас, окрім державних/глобальних акторів. На це знадобляться значні ресурси.

В ідеалі цей ноутбук має бути чистим, щойно встановленим ноутбуком (під керуванням Windows, Linux або macOS); яка не стосується вашої звичайної повсякденної діяльності; і який знаходиться в автономному режимі (ніколи не підключався до домашньої мережі). У випадку ноутбука з Windows, і якщо ви використовували його до такої чистої інсталяції, його також не слід активувати. Просто перевстановіть без ключа продукту, якщо його було попередньо активовано. Зокрема, у випадку з MacBook, це ніколи не повинно було прив’язуватися до вашої особистості жодним чином. Отже, купуйте секонд-хенд за готівку у невідомого незнайомця, який не знає вашої особи.

Це зроблено для пом’якшення деяких майбутніх проблем у разі витоків онлайн (зокрема телеметрії з вашої ОС або програм), які можуть скомпрометувати будь-які унікальні ідентифікатори ноутбука під час його використання (MAC-адреса, адреса Bluetooth і ключ продукту…). Але також, щоб уникнути відстеження, якщо вам потрібно буде утилізувати ноутбук.

Якщо ви раніше використовували цей ноутбук для інших цілей (наприклад, для повсякденних справ), всі ідентифікатори його апаратного забезпечення, ймовірно, відомі та зареєстровані Microsoft або Apple. Якщо пізніше будь-який із цих ідентифікаторів буде скомпрометовано (зловмисним програмним забезпеченням, телеметрією, експлойтами, людськими помилками…), вони можуть повернутися до вас.

Ноутбук повинен мати принаймні 250 ГБ дискового простору, принаймні 6 ГБ (в ідеалі 8 ГБ або 16 ГБ) оперативної пам’яті та мати можливість одночасно запускати кілька віртуальних машин. У нього повинен бути робочий акумулятор, який тримає кілька годин. Ви повинні прагнути до чогось із великим обсягом пам’яті (1 ТБ+), якщо це можливо, оскільки нам знадобиться якомога більше.

Цей ноутбук може мати жорсткий диск (7200 об/хв) або накопичувач SSD/NVMe. Обидва варіанти мають свої переваги та проблеми, які будуть детально описані пізніше.

Усі подальші кроки в Інтернеті, які виконуються за допомогою цього ноутбука, в ідеалі мають виконуватися з безпечної мережі, як-от загальнодоступної Wi-Fi, у безпечному місці (див. Знайдіть безпечні місця з пристойною загальнодоступною Wi-Fi ). Але спочатку доведеться виконати кілька кроків в автономному режимі.

Деякі рекомендації щодо ноутбуків:

Ми настійно рекомендуємо придбати ноутбук бізнес-класу (тобто не споживчий/ігровий ноутбук), якщо є така можливість. Наприклад, ThinkPad від Lenovo (мій особистий фаворит).

Це пов’язано з тим, що ці бізнес-ноутбуки зазвичай пропонують кращі функції безпеки, які можна налаштувати (особливо в налаштуваннях BIOS/UEFI) і довшу підтримку, ніж більшість споживчих ноутбуків (Asus, MSI, Gigabyte, Acer…). Слід звернути увагу на такі цікаві функції:

• Кращі спеціальні параметри Secure Boot (де ви можете вибірково керувати всіма ключами, а не використовувати лише стандартні)
• Паролі HDD/SSD на додаток до паролів BIOS/UEFI.
• Ноутбуки AMD можуть бути цікавішими, оскільки деякі надають можливість вимкнути AMD PSP (еквівалент AMD Intel IME) у налаштуваннях BIOS/UEFI за замовчуванням. І, оскільки AFAIK, AMD PSP було перевірено та, на відміну від IME, не було виявлено жодних «злих» функцій ³⁰⁶ . Однак, якщо ви збираєтеся використовувати Qubes OS Route, зверніть увагу на процесори Intel, оскільки ОС Qubes не підтримує AMD із їхньою системою боротьби зі злими служницями. ³⁰⁷ .
• Інструменти безпечного стирання з BIOS (особливо корисні для накопичувачів SSD/NVMe, див. Додаток M: параметри BIOS/UEFI для стирання дисків різних марок ).
• Кращий контроль над вимкненням/увімкненням вибраних периферійних пристроїв (портів USB, Wi-Fi, Bluetooth, камери, мікрофона…).
• Кращі функції безпеки завдяки віртуалізації.
• Вбудований захист від злому.
• Більш тривала підтримка з оновленнями BIOS/UEFI (і наступними оновленнями безпеки BIOS/UEFI).
• Деякі з них підтримуються Libreboot

Налаштування BIOS/UEFI/прошивки вашого ноутбука:

ПК:

Доступ до цих налаштувань можна отримати через меню завантаження вашого ноутбука. Ось хороший підручник від HP, який пояснює всі способи доступу до BIOS на різних комп’ютерах: https://store.hp.com/us/en/tech-takes/how-to-enter-bios-setup-windows-pcs ^{[Archive.org]}

Зазвичай до нього можна отримати доступ, натиснувши певну клавішу (F1, F2 або Del) під час завантаження (перед ОС).

Коли ви потрапите туди, вам потрібно буде застосувати кілька рекомендованих налаштувань:

• Повністю вимкніть Bluetooth, якщо можете.
• Вимкніть біометрію (сканери відбитків пальців), якщо вони є, якщо можете. Однак ви можете додати додаткову біометричну перевірку лише для завантаження (перед завантаженням), але не для доступу до налаштувань BIOS/UEFI.
• Вимкніть веб-камеру та мікрофон, якщо можете.
• Увімкніть пароль BIOS/UEFI і використовуйте довгу парольну фразу замість пароля (якщо можете) і переконайтеся, що цей пароль потрібен для:
  Доступ до самих налаштувань BIOS/UEFI Зміна порядку завантаження Запуск/включення пристрою
• Увімкніть пароль HDD/SSD, якщо ця функція доступна. Ця функція додасть інший пароль на сам жорсткий диск/SSD (не в мікропрограмі BIOS/UEFI), який не дозволить використовувати цей жорсткий диск/SSD на іншому комп’ютері без пароля. Зверніть увагу, що ця функція також є специфічною для деяких виробників і може вимагати спеціального програмного забезпечення для розблокування цього диска з зовсім іншого комп’ютера.
• Забороніть доступ до параметрів завантаження (порядку завантаження) без надання пароля BIOS/UEFI, якщо це можливо.
• Вимкніть USB/HDMI або будь-який інший порт (Ethernet, Firewire, SD-карта…), якщо можете.
• Вимкніть Intel ME, якщо можете (ймовірність дуже висока, ви не можете).
• Вимкніть AMD PSP, якщо можете (еквівалент AMD IME, див. Ваш ЦП )
• Вимкніть Secure Boot, якщо ви збираєтеся використовувати Qubes OS, оскільки вони не підтримують її з коробки ³⁰⁸ . Не вмикайте, якщо ви збираєтеся використовувати Linux/Windows.
• Перевірте, чи у BIOS вашого ноутбука є опція безпечного видалення для вашого жорсткого диска/SSD, яка може бути зручною у разі потреби.

Увімкніть їх лише на основі «необхідності використання» та вимкніть їх знову після використання. Це може допомогти пом’якшити деякі атаки, якщо ваш ноутбук було заблоковано, але все ще ввімкнено АБО якщо вам довелося досить швидко вимкнути його, і хтось заволодів ним (цю тему буде пояснено далі в цьому посібнику).

Про безпечне завантаження:

Отже, що таке Secure Boot ³⁰⁹ ? Коротше кажучи, це функція безпеки UEFI, призначена для запобігання завантаженню комп’ютером операційної системи, з якої завантажувач не був підписаний певними ключами, збереженими у мікропрограмі UEFI вашого ноутбука.

Коли операційна система (або завантажувач ³¹⁰ ) підтримує його, ви можете зберігати ключі свого завантажувача у своєму мікропрограмному забезпеченні UEFI, і це запобігатиме завантаженню будь-якої неавторизованої операційної системи (наприклад, живої ОС USB або чогось подібного).

Параметри безпечного завантаження захищені паролем, який ви встановили для доступу до налаштувань BIOS/UEFI. Якщо у вас є цей пароль, ви можете вимкнути Secure Boot і дозволити непідписаним ОС завантажуватися у вашій системі. Це може допомогти пом’якшити деякі атаки Evil-Maid (пояснено далі в цьому посібнику).

У більшості випадків безпечне завантаження вимкнено за замовчуванням або ввімкнено, але в режимі «налаштування», що дозволяє завантажуватися будь-якій системі. Щоб Secure Boot працював, ваша операційна система має підтримувати його, а потім підписати свій завантажувач і передати ці ключі підпису у вашу мікропрограму UEFI. Після цього вам потрібно буде перейти до налаштувань BIOS/UEFI і зберегти ці натиснуті клавіші з вашої ОС і змінити безпечне завантаження з режиму налаштування на режим користувача (або настроюваний режим у деяких випадках).

Після виконання цього кроку зможуть завантажитися лише ті операційні системи, з яких ваша мікропрограма UEFI може перевірити цілісність завантажувача.

У більшості ноутбуків деякі ключі за замовчуванням уже збережені в налаштуваннях безпечного завантаження. Зазвичай вони надходять від самого виробника або деяких компаній, таких як Microsoft. Отже, це означає, що за замовчуванням завжди можна буде завантажити деякі USB-диски навіть із безпечним завантаженням. Серед них Windows, Fedora, Ubuntu, Mint, Debian, CentOS, OpenSUSE, Tails, Clonezilla та багато інших. Проте безпечне завантаження взагалі не підтримується ОС Qubes.

У деяких ноутбуках ви можете керувати цими ключами та видаляти непотрібні за допомогою «спеціального режиму», щоб лише авторизувати свій завантажувач, який ви можете підписати самостійно, якщо хочете.

Отже, від чого вас захищає Secure Boot? Це захистить ваш ноутбук від завантаження непідписаних завантажувачів (провайдером ОС) із, наприклад, ін’єкційним шкідливим програмним забезпеченням.

Від чого вас не захищає Secure Boot?

• Безпечне завантаження не шифрує ваш диск, і зловмисник усе ще може просто видалити диск із вашого ноутбука та отримати з нього дані за допомогою іншої машини. Тому безпечне завантаження марне без повного шифрування диска.
• Безпечне завантаження не захищає вас від підписаного завантажувача, який може бути скомпрометований і підписаний самим виробником (наприклад, Microsoft у випадку Windows). Сьогодні більшість основних дистрибутивів Linux підписані та завантажуватимуться з увімкненим безпечним завантаженням.
• Безпечне завантаження може мати недоліки та експлойти, як і будь-яка інша система. Якщо у вас старий ноутбук, який не отримує переваги від нових оновлень BIOS/UEFI, їх можна не виправляти.

Крім того, можливі кілька атак проти Secure Boot, як описано (поглиблено) у цих технічних відео:

• Defcon 22, https://www.youtube.com/watch?v=QDSlWa9xQuA ^[Invidious]
• BlackHat 2016, https://www.youtube.com/watch?v=0fZdL3ufVOI ^[Invidious]

Отже, це може бути корисним як додатковий захід проти деяких ворогів, але не всіх. Безпечне завантаження сама по собі не шифрує ваш жорсткий диск. Це додатковий шар, але це все.

Я все одно рекомендую вам продовжувати його, якщо можете.

Мак:

Знайдіть хвилинку, щоб установити пароль мікропрограми відповідно до посібника тут: https://support.apple.com/en-au/HT204455 ^{[Archive.org]}

Вам також слід увімкнути захист паролем мікропрограми (доступний у Catalina) відповідно до документації тут: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web ^{[Archive.org]}

Ця функція зменшить можливість для деяких зловмисників використовувати апаратні хаки для вимкнення/обходу вашого пароля прошивки. Зауважте, що це також завадить самій Apple отримати доступ до мікропрограми в разі ремонту.

Захист ноутбука від фізичного втручання:

У якийсь момент ви неминуче залишите цей ноутбук десь один. Ви не будете спати з ним і брати його скрізь кожен день. Ви повинні зробити так, щоб будь-кому було якомога складніше втручатися в нього, щоб ви цього не помітили. Це здебільшого корисно проти деяких обмежених супротивників, які не будуть використовувати гайковий ключ на 5 доларів проти вас ¹¹ .

Важливо знати, що деяким фахівцям дуже легко встановити програму реєстрації ключів у вашому ноутбуці або просто створити клон-копію вашого жорсткого диска, яка пізніше дозволить їм виявити наявність зашифрованих даних на ньому за допомогою криміналістичних методів. (про це пізніше).

Ось хороший дешевий спосіб захистити ваш ноутбук від несправностей за допомогою лаку для нігтів (з блискітками) https://mullvad.net/en/help/how-tamper-protect-laptop/ ^{[Archive.org] 311} (з малюнками).

Хоча це хороший дешевий метод, він також може викликати підозри, оскільки він досить «помітний» і може просто показати, що вам «є що приховувати». Отже, існують більш тонкі способи досягнення того ж результату. Ви також можете, наприклад, зробити крупним планом макрозйомку задніх гвинтів вашого ноутбука або просто використати невелику кількість свічкового воску в одному з гвинтів, який може виглядати як звичайний бруд. Потім ви можете перевірити наявність пошкоджень, порівнявши фотографії гвинтів із новими. Їх орієнтація могла дещо змінитися, якби ваш супротивник не був достатньо обережним (затягував їх точно так само, як раніше). Або віск у нижній частині головки гвинта міг бути пошкоджений порівняно з попереднім.

Ті самі методи можна використовувати з USB-портами, де ви можете просто помістити невелику кількість свічкового воску в штекер, який можна пошкодити, вставивши в нього USB-ключ.

У більш ризикованих середовищах перевіряйте свій ноутбук на наявність несанкціонованих дій, перш ніж використовувати його регулярно.

Маршрут Whonix:

Вибір хост-ОС (ОС, встановленої на вашому ноутбуці):

Цей маршрут передбачає широке використання віртуальних машин ³¹² , для запуску програмного забезпечення віртуалізації їм знадобиться хост-ОС. У цій частині посібника є три рекомендовані варіанти:

• Вибраний дистрибутив Linux (за винятком ОС Qubes)
• Windows 10/11 (бажано Home Edition через відсутність Bitlocker)
• macOS (Catalina або вище до Monterey)

Крім того, висока ймовірність того, що ваш Mac прив’язаний або був прив’язаний до облікового запису Apple (під час покупки або після входу), і тому його унікальні ідентифікатори обладнання можуть повернутися до вас у разі витоку ідентифікаторів обладнання.

Linux також не обов’язково є найкращим вибором для анонімності залежно від вашої моделі загрози. Це тому, що використання Windows дозволить нам зручно використовувати Plausible Deniability ²⁹⁴ (він же заборонене шифрування ³¹³ ) легко на рівні ОС. Windows також, на жаль, водночас є кошмаром конфіденційності ³¹⁴ але це єдиний простий у налаштуванні варіант для використання правдоподібного заперечення для всієї ОС. Телеметрія Windows і блокування телеметрії також широко задокументовані, що має пом’якшити багато проблем.

Отже, що таке правдоподібне заперечення? Ви можете співпрацювати з противником, який запитує доступ до вашого пристрою/даних, не розкриваючи ваш справжній секрет. Все це з використанням забороненого шифрування ²⁹⁷ .

М’який законний противник може запитати ваш зашифрований пароль ноутбука. Спочатку ви можете відмовитися надавати будь-який пароль (використовуючи своє «право зберігати мовчання», «право не звинувачувати себе»), але деякі країни впроваджують закони ³¹⁵ ' ³¹⁶ звільнити цього від таких прав (бо терористи і «думають про дітей»). У такому випадку вам, можливо, доведеться розкрити пароль або загрожувати тюремним терміном за неповагу до суду. Ось тут і вступить у гру правдоподібне заперечення.

Тоді ви можете відкрити пароль, але цей пароль надасть доступ лише до «правдоподібних даних» (обманна ОС). Криміналісти добре знають, що у вас можуть бути приховані дані, але вони не зможуть це довести (якщо ви все зробите правильно) . Ви співпрацюватимете, і слідчі матимуть доступ до чогось, але не до того, що ви насправді хочете приховати. Оскільки тягар доведення має лежати на їхньому боці, у них не буде іншого вибору, як повірити вам, якщо вони не матимуть доказів того, що ви приховали дані.

Цю функцію можна використовувати на рівні ОС (імовірна ОС і прихована ОС) або на рівні файлів, де ви матимете зашифрований файловий контейнер (схожий на zip-файл), де відображатимуться різні файли залежно від пароля шифрування, який ви використовувати.

Це також означає, що ви можете налаштувати власне розширене налаштування «правдоподібного заперечення» за допомогою будь-якої хост-ОС, зберігаючи, наприклад, віртуальні машини в контейнері прихованих томів Veracrypt (будьте обережні зі слідами в хост-ОС, які потрібно буде очистити, якщо хост ОС є постійною, див. розділ «Деякі додаткові заходи проти криміналістики» пізніше). Існує проект для досягнення цього в Tails ( https://github.com/aforensics/HiddenVM ^{[Archive.org]} ), що зробило б вашу хост-ОС непостійною та використовувало ймовірне заперечення в Tails.

У випадку з Windows правдоподібне заперечення також є причиною того, що в ідеалі ви повинні мати Windows 10/11 Home (а не Pro). Це тому, що Windows 10/11 Pro нативно пропонує систему шифрування повного диска (Bitlocker ³¹⁷ ), де Windows 10/11 Home взагалі не пропонує шифрування повного диска. Пізніше ви використовуватимете стороннє програмне забезпечення з відкритим кодом для шифрування, яке дозволить шифрувати повний диск у Windows 10/11 Home. Це дасть вам хороший (правдоподібний) привід для використання цього програмного забезпечення. Хоча використання цього програмного забезпечення в Windows 10/11 Pro було б підозрілим.

Примітка про Linux: Отже, як щодо Linux і правдоподібного заперечення? Так, з Linux також можна досягти правдоподібного заперечення. Більше інформації в розділі Linux Host OS пізніше.

На жаль, шифрування – це не магія, і це пов’язано з деякими ризиками:

Загрози з шифруванням:

Гайковий ключ на 5 доларів:

Пам’ятайте, що шифрування з правдоподібним запереченням або без нього не є ідеальним рішенням і буде малокорисним у разі тортур. Насправді, залежно від того, ким буде ваш супротивник (ваша модель загрози), було б доцільно взагалі не використовувати Veracrypt (раніше TrueCrypt), як показано в цій демонстрації: https://defuse.ca/truecrypt-plausible -deniability-useless-by-game-theory.htm ^{[Archive.org]}

Правдоподібне заперечення ефективне лише проти м’яких законних супротивників, які не вдаються до фізичних засобів. Уникайте, якщо це можливо, використання програмного забезпечення з можливістю заперечення (наприклад, Veracrypt), якщо ваша модель загроз включає жорстких супротивників. Отже, у такому випадку користувачі Windows повинні інсталювати Windows Pro як хост-ОС і замість цього використовувати Bitlocker.

Див. https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis ^{[Без Wiki] [Archive.org]}

Напад злої служниці:

Зла покоївка нападає ³¹⁸ проводяться, коли хтось втручається у ваш ноутбук під час вашої відсутності. Щоб клонувати жорсткий диск, інсталюйте зловмисне програмне забезпечення або програму реєстрації ключів. Якщо вони зможуть клонувати ваш жорсткий диск, вони зможуть порівняти одне зображення вашого жорсткого диска в той момент, коли вони його зробили, коли ви були відсутні з жорстким диском, коли вони його вилучать у вас. Якщо ви знову скористалися ноутбуком між ними, судово-медичні експерти могли б довести існування прихованих даних, подивившись на відмінності між двома зображеннями в тому, що має бути порожнім/невикористаним простором. Це може привести до переконливих доказів існування прихованих даних. Якщо вони встановлять реєстратор ключів або зловмисне програмне забезпечення на вашому ноутбуці (програмне або апаратне), вони зможуть просто отримати від вас пароль для подальшого використання, коли вони його заволодіють. Такі атаки можуть бути здійснені у вас вдома, у готелі, на прикордонному пункті або будь-де, де ви залишили свої пристрої без нагляду.

Ви можете пом’якшити цю атаку, виконавши такі дії (як було рекомендовано раніше):

• Майте базовий захист від несанкціонованого доступу (як пояснювалося раніше), щоб запобігти фізичному доступу до внутрішніх компонентів ноутбука без вашого відома. Це не дозволить їм клонувати ваші диски та встановити фізичний кейлогер без вашого відома.
• Вимкніть усі USB-порти (як пояснювалося раніше) у захищеному паролем BIOS/UEFI. Знову ж таки, вони не зможуть увімкнути їх (без фізичного доступу до материнської плати для скидання BIOS) для завантаження USB-пристрою, який може клонувати ваш жорсткий диск або інсталювати програмне зловмисне програмне забезпечення, яке може працювати як реєстратор ключів.
• Налаштуйте паролі BIOS/UEFI/прошивки, щоб запобігти будь-якому неавторизованому завантаженню неавторизованого пристрою.
• Деякі ОС і програмне забезпечення для шифрування мають захист Anti Evil Maid (AEM) , який можна ввімкнути. Це стосується Windows/Veracrypt і QubeOS (лише на процесорах Intel).

Атака холодного завантаження:

Атаки холодного завантаження ³¹⁹ є складнішими, ніж атака Evil Maid Attack, але можуть бути частиною атаки Evil Maid, оскільки вона вимагає, щоб супротивник заволодів вашим ноутбуком, коли ви активно використовуєте свій пристрій або невдовзі після цього.

Ідея досить проста, як показано в цьому відео ³²⁰ , зловмисник теоретично міг би швидко завантажити ваш пристрій на спеціальному USB-ключі, який скопіював би вміст оперативної пам’яті (пам’яті) пристрою після його вимкнення. Якщо USB-порти вимкнено або якщо вони відчувають, що їм потрібно більше часу, вони можуть відкрити його та «охолодити» пам’ять за допомогою спрею або інших хімікатів (наприклад, рідкого азоту), щоб запобігти розкладанню пам’яті. Потім вони зможуть скопіювати його вміст для аналізу. Цей дамп пам’яті може містити ключ для розшифровки вашого пристрою. Пізніше ви застосуєте кілька принципів, щоб пом’якшити їх.

У випадку правдоподібного заперечення були проведені деякі судово-медичні дослідження ³²¹ про технічне підтвердження присутності прихованих даних за допомогою простої судово-медичної експертизи (без холодного чобота/атаки злих служниць), але це було заперечено іншими дослідженнями ³²² і розробником Veracrypt ³²³ тому ми не будемо надто турбуватися про них.

Такі самі заходи, які використовуються для пом’якшення атак Evil Maid, мають застосовуватися для атак холодного завантаження з деякими додатковими:

• Якщо ваша ОС або програмне забезпечення для шифрування це дозволяє, вам також слід розглянути можливість шифрування ключів у оперативній пам’яті (це можливо з Windows/Veracrypt і буде пояснено пізніше). Знову див. https://sourceforge.net/p/veracrypt/discussion/technical/thread/3961542951/ ^{[Archive.org]}
• Увімкніть опцію «Витирати ключі з пам’яті», якщо пристрій вставлено у Veracrypt.
• Ви повинні обмежити використання режиму очікування в режимі сну та замість цього використовувати режим вимкнення або глибокого сну, щоб ключі шифрування не залишалися в оперативній пам’яті, коли комп’ютер переходить у режим сну. Це пояснюється тим, що сон зберігає енергію у вашій пам’яті для швидшого відновлення активності. Тільки сплячий режим і завершення роботи справді очистять ключ із пам’яті ³²⁴ .

Дивіться також https://www.whonix.org/wiki/Cold_Boot_Attack_Defense ^{[Archive.org]} і https://www.whonix.org/wiki/Protection_Against_Physical_Attacks ^{[Archive.org]}

Ось також кілька цікавих інструментів, які варто розглянути користувачам Linux, щоб захиститися від них:

• https://github.com/0xPoly/Centry ^{[Archive.org]} (на жаль, здається, не обслуговується)
• https://github.com/hephaest0s/usbkill ^{[Archive.org]} (на жаль, здається, не обслуговується)
• https://github.com/Lvl4Sword/Killer ^{[Archive.org]}
• https://askubuntu.com/questions/153245/how-to-wipe-ram-on-shutdown-prevent-cold-boot-attacks ^{[Archive.org]}
• (Лише ОС Qubes, процесор Intel) https://github.com/QubesOS/qubes-antievilmaid ^{[Archive.org]}

Про режим сну, глибокого сну та завершення роботи:

Якщо вам потрібна краща безпека, вам слід повністю вимикати ноутбук щоразу, коли ви залишаєте його без нагляду або закриваєте кришку. Це повинно очистити та/або звільнити оперативну пам’ять і забезпечити захист від атак холодного завантаження. Однак це може бути трохи незручно, оскільки вам доведеться повністю перезавантажуватись і вводити масу паролів у різні програми. Перезапустіть різні віртуальні машини та інші програми. Тож натомість ви також можете використовувати сплячий режим (не підтримується в ОС Qubes). Оскільки весь диск зашифровано, сплячий режим сам по собі не повинен становити великого ризику для безпеки, але все одно вимкне ваш ноутбук і очистить пам’ять, дозволяючи вам зручно продовжити роботу згодом. Чого ви ніколи не повинні робити, так це використовувати стандартну функцію сну, завдяки якій ваш комп’ютер буде увімкненим, а пам’ять – живою. Це вектор атаки проти атак evil-maid і холодного завантаження, про які йшлося раніше. Це пов’язано з тим, що ваша увімкнена пам’ять зберігає ключі шифрування вашого диска (зашифровані чи ні), і потім до них може отримати доступ досвідчений противник.

Пізніше цей посібник надасть вказівки щодо того, як увімкнути сплячий режим на різних хост-ОС (окрім Qubes OS), якщо ви не хочете щоразу вимикати роботу.

Локальні витоки даних (сліди) та судово-медична експертиза:

Як згадувалося раніше, це витік даних і сліди з вашої операційної системи та програм, коли ви виконуєте будь-які дії на своєму комп’ютері. Вони здебільшого стосуються зашифрованих файлових контейнерів (з правдоподібним запереченням або без нього), ніж шифрування всієї ОС. Такі витоки менш «важливі», якщо вся ваша ОС зашифрована (якщо вас не змушують відкривати пароль).

Скажімо, наприклад, у вас є зашифрований USB-ключ Veracrypt із увімкненою правдоподібною можливістю заперечення. Залежно від пароля, який ви використовуєте під час монтування USB-ключа, він відкриє папку-приманку або конфіденційну папку. У цих папках ви матимете приманні документи/дані в папці приманки та конфіденційні документи/дані в конфіденційній папці.

У всіх випадках ви (швидше за все) відкриєте ці папки за допомогою Windows Explorer, macOS Finder або будь-якої іншої утиліти та зробите все, що планували зробити. Можливо, ви редагуєте документ у конфіденційній папці. Можливо, ви шукатимете документ у папці. Можливо, ви видалите його або переглянете конфіденційне відео за допомогою VLC.

Що ж, усі ці програми та ваша операційна система можуть зберігати журнали та сліди цього використання. Це може включати повний шлях до папки/файлів/дисків, час доступу до них, тимчасові кеші цих файлів, «останні» списки в кожній програмі, систему індексування файлів, яка може індексувати диск, і навіть мініатюри, які можуть генеруватися

Ось кілька прикладів таких витоків:

Windows:

• Windows ShellBags, які зберігаються в реєстрі Windows, зберігаючи різні історії доступних томів/файлів/папок ³²⁵ .
• Індексування Windows, що за замовчуванням зберігає сліди файлів у вашій папці користувача ³²⁶ .
• Списки останніх (так званих «списків переходів») у Windows і різних програмах, що зберігають сліди нещодавно доступних документів ³²⁷ .
• Ще багато слідів у різних журналах, будь ласка, перегляньте цей зручний цікавий плакат, щоб отримати більше інформації: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download ^{[Archive.org]}

macOS:

• Воротар ³²⁸ і XProtect відстежує вашу історію завантажень у локальній базі даних і атрибутах файлів.
• Індексування в центрі уваги
• Списки останніх у різних програмах, які зберігають сліди нещодавно відкритих документів.
• Тимчасові папки, що зберігають різні сліди використання програми та використання документів.
• Журнали macOS
• …

Linux:

• Індексація трекера
• Історія Bash
• журнали USB
• Списки останніх у різних програмах, які зберігають сліди нещодавно відкритих документів.
• Журнали Linux
• …

Криміналісти могли б використати всі ці витоки (див. Локальні витоки даних і криміналістика ), щоб довести існування прихованих даних і знищити ваші спроби використати правдоподібне заперечення та дізнатися про вашу різноманітну конфіденційну діяльність.

Тому буде важливо застосувати різні кроки, щоб запобігти криміналістиці зробити це, запобігаючи та очищаючи ці витоки/сліди та, що більш важливо, використовуючи шифрування всього диска, віртуалізацію та розділення.

Криміналісти не можуть витягнути локальні витоки даних з ОС, до якої вони не мають доступу. І ви зможете очистити більшість цих слідів, очистивши диск або надійно стерши свої віртуальні машини (що не так просто, як ви думаєте, на SSD-накопичувачах).

Проте деякі методи очищення будуть розглянуті в частині «Замітайте сліди» цього посібника в самому кінці.

Витік даних онлайн:

Незалежно від того, чи використовуєте ви просте шифрування чи шифрування з можливістю заперечення. Навіть якщо ви заметали сліди на самому комп’ютері. Все ще існує ризик онлайн-витоку даних, який може виявити наявність прихованих даних.

Телеметрія - ваш ворог . Як пояснювалося раніше в цьому посібнику, телеметрія операційних систем, а також із додатків може надсилати приголомшливу кількість особистої інформації в Інтернеті.

У випадку з Windows ці дані можуть бути використані, наприклад, для підтвердження існування прихованої ОС/тома на комп’ютері, і вони будуть легко доступні в Microsoft. Тому вкрай важливо вимкнути та заблокувати телеметрію всіма доступними засобами. Незалежно від того, яку ОС ви використовуєте.

висновок:

Ви ніколи не повинні виконувати конфіденційні дії з незашифрованої системи. І навіть якщо він зашифрований, ви ніколи не повинні виконувати конфіденційні дії з самої хост-ОС. Замість цього вам слід використовувати віртуальну машину, щоб мати змогу ефективно ізолювати й розподіляти свою діяльність і запобігати локальним витокам даних.

Якщо ви мало або зовсім не знаєте Linux або хочете використовувати правдоподібне заперечення для всієї ОС, радимо для зручності вибрати Windows (або повернутися до маршруту Tails). Цей посібник допоможе вам максимально зміцнити його, щоб запобігти витокам. Цей посібник також допоможе вам максимально захистити macOS і Linux, щоб запобігти подібним витокам.

Якщо ви не зацікавлені в правдоподібному запереченні всієї ОС і хочете навчитися використовувати Linux, ми наполегливо рекомендуємо вибрати Linux або ОС Qubes, якщо ваше апаратне забезпечення це дозволяє.

У будь-якому випадку головну ОС ніколи не можна використовувати для безпосереднього здійснення конфіденційних дій. Головна ОС використовуватиметься лише для підключення до загальнодоступної точки доступу Wi-Fi. Він залишатиметься невикористаним, поки ви виконуватимете конфіденційну діяльність, і в ідеалі його не слід використовувати для будь-яких повсякденних справ.

Також варто прочитати https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs ^{[Archive.org]}

Хост-ОС Linux:

Як згадувалося раніше, ми не рекомендуємо використовувати щоденний ноутбук для конфіденційних справ. Або, принаймні, ми не рекомендуємо використовувати для цього вашу ОС на місці. Це може призвести до небажаного витоку даних, які можуть бути використані для деанонімізації. Якщо у вас є спеціальний ноутбук для цього, вам слід перевстановити нову чисту ОС. Якщо ви не хочете стирати ваш ноутбук і починати все спочатку, вам слід розглянути маршрут Tails або продовжувати на свій страх і ризик.

Я також рекомендую виконати початкову установку повністю в автономному режимі, щоб уникнути витоку даних.

Ви завжди повинні пам’ятати, що незважаючи на репутацію, основні дистрибутиви Linux (наприклад, Ubuntu) не обов’язково мають кращий рівень безпеки, ніж інші системи, такі як macOS і Windows. Перегляньте це посилання, щоб зрозуміти, чому https://madaidans-insecurities.github.io/linux.html ^{[Archive.org]} .

Повне шифрування диска:

Тут є два шляхи з дистрибутивами на основі Ubuntu або Debian:

• Використання LUKS:
  • Без правдоподібного заперечення:
    • (Рекомендовано та легко) Шифруйте як частину процесу встановлення: https://ubuntu.com/tutorials/install-ubuntu-desktop ^{[Archive.org]}
      • Цей процес вимагає повного видалення всього диска (чиста інсталяція).
      • Просто позначте «Зашифрувати нову установку Ubuntu для безпеки»
    • (Втомливо, але можливо) Шифрування після встановлення: https://help.ubuntu.com/community/ManualFullSystemEncryption ^{[Archive.org]}
  • З правдоподібним запереченням: дивіться наступний розділ The Detached Headers Way
• Використання Veracrypt:
  • З правдоподібним запереченням або без нього: дивіться наступний розділ The Veracrypt Way

Для інших дистрибутивів вам доведеться задокументувати себе, але це, ймовірно, буде подібним. Шифрування під час інсталяції набагато простіше в контексті цього посібника.

Примітка про правдоподібну заперечення в Linux:

Є кілька способів досягти правдоподібного заперечення в Linux ³²⁹ і це можливо досягти. Ось деякі додаткові відомості про способи, які ми рекомендуємо. Усі ці параметри вимагають більш високого рівня навичок роботи з Linux.

Спосіб відокремлених заголовків:

Хоча це ще не підтримується цим посібником, можна досягти певної форми відмови в Linux за допомогою LUKS, використовуючи відокремлені заголовки LUKS. Наразі ми переспрямуємо вас на цю сторінку для отримання додаткової інформації: https://wiki.archlinux.org/title/Dm-crypt/Specialties#Encrypted_system_using_a_detached_LUKS_header ^{[Archive.org]}

Шлях Veracrypt:

Технічно можливо не лише використовувати Veracrypt, але й досягти правдоподібної відмови в ОС Linux Host, використовуючи Veracrypt для шифрування повного диска системи (замість LUKS). Це не підтримується Veracrypt (системне шифрування підтримується лише в Windows) і потребує певної роботи з різними командами. Це зовсім не рекомендовано для некваліфікованих користувачів і слід використовувати лише на власний ризик.

Кроки для досягнення цієї мети ще не включені в цей посібник, але їх можна знайти тут: http://dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion/post/5779e55aae7fc06e4758 (це адреса .onion, і для неї потрібен браузер Tor).

Відхилити/вимкнути будь-яку телеметрію:

• Під час інсталяції просто переконайтеся, що ви заборонили збір даних, якщо буде запропоновано.
• Якщо ви не впевнені, просто переконайтеся, що ви не ввімкнули телеметрію, і за потреби дотримуйтесь цього підручника https://vitux.com/how-to-force-ubuntu-to-stop-collecting-your-data-from-your -pc/ ^{[Archive.org]}
• Будь-який інший дистрибутив: вам потрібно задокументувати себе та дізнатися, як відключити телеметрію.

Вимкніть все непотрібне:

• Вимкніть Bluetooth, якщо його ввімкнено, дотримуючись цього посібника https://www.addictivetips.com/ubuntu-linux-tips/disable-bluetooth-in-ubuntu/ ^{[Archive.org]} або введення такої команди:
  • sudo systemctl disable bluetooth.service --force
• Вимкніть індексування, якщо його ввімкнено за замовчуванням (Ubuntu >19.04), дотримуючись цього посібника https://www.linuxuprising.com/2019/07/how-to-completely-disable-tracker.html ^{[Archive.org]} або введення таких команд:
  sudo systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service
  • Ви можете спокійно ігнорувати будь-яку помилку, якщо вона говорить, що якась служба не існує
  sudo tracker reset -hard

Гібернація:

Як пояснювалося раніше, вам не слід використовувати функції сну, а вимкнути або перевести ноутбук у сплячий режим, щоб пом’якшити деякі атаки злих служниць і холодного завантаження. На жаль, ця функція вимкнена за замовчуванням у багатьох дистрибутивах Linux, включаючи Ubuntu. Його можна ввімкнути, але він може не працювати належним чином. Слідкуйте за цією інформацією на свій страх і ризик. Якщо ви не хочете цього робити, ніколи не використовуйте функцію сну та вимикайте замість цього (і встановіть режим закриття кришки на вимкнення замість сну).

Дотримуйтесь одного з цих посібників, щоб увімкнути Hibernate:

• https://www.how2shout.com/linux/how-to-hibernate-ubuntu-20-04-lts-focal-fossa/ ^{[Archive.org]}
• http://www.lorenzobettini.it/2020/07/enabling-hibernation-on-ubuntu-20-04/ ^{[Archive.org]}
• https://blog.ivansmirnov.name/how-to-set-up-hibernate-on-ubuntu-20-04/ ^{[Archive.org]}

Після ввімкнення сплячого режиму змініть поведінку, щоб ваш ноутбук переходив у сплячий режим, коли ви закриваєте кришку, дотримуючись цього посібника для Ubuntu 20.04 http://ubuntuhandbook.org/index.php/2020/05/lid-close-behavior-ubuntu- 20-04/ ^{[Archive.org]} і цей посібник для Ubuntu 18.04 https://tipsonubuntu.com/2018/04/28/change-lid-close-action-ubuntu-18-04-lts/ ^{[Archive.org]} . Ще немає підручника для Ubuntu 21.04 або 21.10, але наведене вище для 20.04, ймовірно, також має працювати.

На жаль, це не призведе до очищення ключа з пам’яті безпосередньо під час сплячого режиму. Щоб уникнути цього ціною певної продуктивності, ви можете зашифрувати файл підкачки, дотримуючись цього посібника: https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap ^{[Archive.org]}

Ці параметри мають пом’якшити атаки холодного завантаження, якщо ви зможете досить швидко перейти в сплячий режим.

Увімкнути рандомізацію MAC-адрес:

• Для Ubuntu виконайте ці кроки https://help.ubuntu.com/community/AnonymizingNetworkMACAddresses ^{[Archive.org]} .
• Розгляньте цей підручник, який все ще має працювати: https://josh.works/shell-script-basics-change-mac-address ^{[Archive.org]}

Зміцнення Linux:

Як легкий вступ для нових користувачів Linux, розгляньте https://www.youtube.com/watch?v=Sa0KqbpLye4 ^[Invidious]

Щоб отримати детальніші та розширені параметри, зверніться до:

• Цей чудовий посібник: https://madaidans-insecurities.github.io/guides/linux-hardening.html ^{[Archive.org]}
• Цей чудовий вікі-ресурс: https://wiki.archlinux.org/title/Security ^{[Archive.org]}
• Ці чудові сценарії засновані на посібнику та вікі вище: https://codeberg.org/SalamanderSecurity/PARSEC ^{[Archive.org]}
• Ці інструменти можуть допомогти вам посилити ваше ядро ​​Linux:
  Лініс: https://github.com/CISOfy/lynis Kconfig-hardened-check: https://github.com/a13xp0p0v/kconfig-hardened-check
• Розгляньте можливість встановлення Safing Portmaster із https://safing.io/portmaster/ ^{[Archive.org]} (Попередження: можуть бути проблеми з деякими клієнтами VPN. Див.: https://docs.safing.io/portmaster/install/status/vpn-compatibility ^{[Archive.org]}
• Розгляньте можливість використання KickSecure під час використання Debian: https://www.whonix.org/wiki/Kicksecure ^{[Archive.org]}
• Ця цікава стаття: http://0pointer.net/blog/authenticated-boot-and-disk-encryption-on-linux.html ^{[Archive.org]}

Налаштування безпечного браузера:

Див. Додаток G: Безпечний браузер у хост-ОС

Хост-ОС macOS:

Примітка: чіпи Mac M1/M2 тепер підтримуються нативно або, якщо ви бажаєте використовувати комерційні інструменти, такі як VMWare Fusion або Parallels Desktop, але вони не описані в цьому посібнику. Шукайте цю інформацію самостійно.

Як згадувалося раніше, ми не рекомендуємо використовувати щоденний ноутбук для конфіденційних справ. Або, принаймні, ми не рекомендуємо використовувати для цього вашу ОС на місці. Це може призвести до небажаного витоку даних, які можуть бути використані для деанонімізації. Якщо у вас є спеціальний ноутбук для цього, вам слід перевстановити нову чисту ОС. Якщо ви не хочете стирати ваш ноутбук і починати все спочатку, вам слід розглянути маршрут Tails або продовжувати на свій страх і ризик.

Ми також рекомендуємо виконати початкову установку повністю в автономному режимі, щоб уникнути витоку даних.

Ніколи не входьте в обліковий запис Apple за допомогою цього Mac.

Під час встановлення:

• Залишайтеся в автономному режимі
• Коли буде запропоновано, вимкніть усі запити на обмін даними, включаючи служби визначення місцезнаходження
• Не входьте за допомогою Apple
• Не вмикайте Siri

Зміцнення macOS:

Як легкий вступ для нових користувачів macOS, розгляньте https://www.youtube.com/watch?v=lFx5icuE6Io ^[Invidious]

Тепер, щоб глибше ознайомитись із захистом і зміцненням вашої macOS, рекомендуємо прочитати цей посібник, який охоплює багато питань: https://www.bejarano.io/hardening-macos/ ^{[Archive.org]}

Ось основні кроки, які слід виконати після інсталяції в режимі офлайн:

Увімкніть пароль мікропрограми за допомогою опції «disable-reset-capability»:

По-перше, вам слід встановити пароль мікропрограми, дотримуючись цього посібника від Apple: https://support.apple.com/en-us/HT204455 ^{[Archive.org]}

На жаль, деякі атаки все ще можливі, і зловмисник може вимкнути цей пароль, тому вам також слід дотримуватися цього посібника, щоб запобігти відключенню пароля мікропрограми будь-ким, включаючи Apple: https://support.apple.com/en-gb/guide/security/ sec28382c9ca/web ^{[Archive.org]}

Увімкніть сплячий режим замість сну:

Знову ж таки, це робиться для запобігання деяким атакам холодного завантаження та злих служниць, вимикаючи оперативну пам’ять і очищаючи ключ шифрування, коли ви закриваєте кришку. Ви завжди повинні перейти в сплячий режим або вимкнутись. У macOS функція сплячого режиму навіть має спеціальну опцію для спеціального очищення ключа шифрування з пам’яті під час сплячого режиму (у той час як вам, можливо, доведеться чекати, поки пам’ять розпадеться в інших операційних системах). Знову ж таки, у налаштуваннях немає простих варіантів, тому замість цього нам доведеться виконати кілька команд, щоб увімкнути сплячий режим:

• Відкрийте термінал
• запустити: sudo pmset -a destroyfvkeyonstandby 1
  • Ця команда накаже macOS знищити ключ Filevault у режимі очікування (сон)
• запустити: sudo pmset -a hibernatemode 25
  • Ця команда накаже macOS вимкнути живлення пам’яті під час сну замість виконання гібридного сплячого режиму, який утримує пам’ять увімкненою. Це призведе до повільніших пробуджень, але збільшить час роботи акумулятора.

Тепер, коли ви закриваєте кришку вашого MacBook, він повинен переходити в сплячий режим замість сну та пом’якшувати спроби виконання атак холодного завантаження.

Крім того, вам також слід налаштувати автоматичний режим сну (Налаштування > Енергія), щоб ваш MacBook автоматично переходив у сплячий режим, якщо його залишити без нагляду.

Вимкніть непотрібні служби:

Вимкніть деякі непотрібні налаштування в налаштуваннях:

• Вимкніть Bluetooth
• Вимкніть камеру та мікрофон
• Вимкнути служби визначення місцезнаходження
• Вимкнути Airdrop
• Вимкнути індексування

Запобігання викликам Apple OCSP:

Це сумнозвісні «телеметричні виклики, які не можна блокувати» з macOS Big Sur, оприлюднені тут: https://sneak.berlin/20201112/your-computer-isnt-yours/ ^{[Archive.org]}

Ви можете заблокувати звітування OCSP, виконавши таку команду в терміналі:

• sudo sh -c 'echo "127.0.0.1 ocsp.apple.com" >> /etc/hosts'

Але перш ніж діяти, ви повинні документально підтвердити реальну проблему. Ця сторінка є хорошим місцем для початку: https://blog.jacopo.io/en/post/apple-ocsp/ ^{[Archive.org]}

Насправді залежить від вас. Ми б заблокували це, тому що нам взагалі не потрібна телеметрія від моєї ОС до материнського корабля без моєї спеціальної згоди. Жодного.

Увімкнути повне шифрування диска (Filevault):

Вам слід увімкнути повне шифрування диска на вашому Mac за допомогою Filevault відповідно до цієї частини посібника: https://github.com/drduh/macOS-Security-and-Privacy-Guide#full-disk-encryption ^{[Archive.org]}

Будьте обережні, вмикаючи. Не зберігайте ключ відновлення в Apple, якщо з’явиться відповідний запит (це не повинно бути проблемою, оскільки на цьому етапі ви повинні бути в автономному режимі). Ви не хочете, щоб сторонні особи мали ваш ключ відновлення.

Рандомізація MAC-адрес:

На жаль, macOS не пропонує вбудованого зручного способу рандомізації вашої MAC-адреси, тому вам доведеться робити це вручну. Це буде скинуто під час кожного перезавантаження, і вам доведеться повторювати щоразу, щоб переконатися, що ви не використовуєте свою фактичну MAC-адресу під час підключення до різних мереж Wi-Fi

Ви можете зробити це, виконавши такі команди в терміналі (без дужок):

• (Вимкніть Wi-Fi) networksetup -setairportpower en0 off
• (Змінити MAC-адресу) sudo ifconfig en0 ether 88:63:11:11:11:11
• (Знову увімкніть Wi-Fi) networksetup -setairportpower en0 on

Налаштування безпечного браузера:

Див. Додаток G: Безпечний браузер у хост-ОС

Хост-ОС Windows:

Як згадувалося раніше, ми не рекомендуємо використовувати щоденний ноутбук для конфіденційних справ. Або принаймні ми не рекомендуємо використовувати для цього вашу ОС на місці. Це може призвести до небажаного витоку даних, які можуть бути використані для деанонімізації. Якщо у вас є спеціальний ноутбук для цього, вам слід перевстановити нову чисту ОС. Якщо ви не хочете стирати ваш ноутбук і починати все спочатку, вам слід розглянути маршрут Tails або продовжувати на свій страх і ризик.

Я також рекомендую виконати початкову установку повністю в автономному режимі, щоб уникнути витоку даних.

Установка:

Ви повинні дотримуватися Додатку A: Встановлення Windows

Як легкий вступ, подумайте про перегляд https://www.youtube.com/watch?v=vNRics7tlqw ^[Invidious]

Увімкнути рандомізацію MAC-адрес:

Ви повинні рандомізувати свою MAC-адресу, як пояснювалося раніше в цьому посібнику:

Перейдіть у Налаштування > Мережа та Інтернет > Wi-Fi > Увімкнути випадкові апаратні адреси

Крім того, ви можете скористатися цим безкоштовним програмним забезпеченням: https://technitium.com/tmac/ ^{[Archive.org]}

Налаштування безпечного браузера:

Див. Додаток G: Безпечний браузер у хост-ОС

Увімкніть деякі додаткові налаштування конфіденційності на вашій хост-ОС:

Див. Додаток B: Додаткові параметри конфіденційності Windows

Шифрування ОС Windows Host:

Якщо ви маєте намір використовувати правдоподібне заперечення в системі:

Veracrypt ³³⁰ це програмне забезпечення, яке ми рекомендуємо для шифрування повного диска, шифрування файлів і правдоподібного заперечення. Це розгалуження відомого, але застарілого та непідтримуваного TrueCrypt. Його можна використовувати для:

• Просте шифрування повного диска (ваш жорсткий диск шифрується за допомогою однієї парольної фрази).
• Повне шифрування диска з правдоподібним запереченням (це означає, що залежно від парольної фрази, введеної під час завантаження, ви завантажуватимете приманку або приховану ОС).
• Просте шифрування контейнера файлів (це великий файл, який ви зможете змонтувати у Veracrypt так, ніби це зовнішній диск для зберігання зашифрованих файлів).
• Контейнер файлів із правдоподібною можливістю заперечення (це той самий великий файл, але залежно від парольної фрази, яку ви використовуєте під час його монтування, ви монтуватимете «прихований том» або «приманний том»).

Наскільки мені відомо, це єдиний (зручний і придатний для будь-кого) безкоштовний, відкритий код і відкритий аудит ³³¹ програмне забезпечення для шифрування, яке також забезпечує правдоподібну заперечення для широкого використання та працює з Windows Home Edition.

Завантажте та встановіть Veracrypt з: https://www.veracrypt.fr/en/Downloads.html ^{[Archive.org]}

Після інсталяції перегляньте наведені нижче параметри, які допоможуть пом’якшити деякі атаки:

• Шифруйте пам'ять за допомогою опції Veracrypt ³³² (параметри > параметри продуктивності/драйвера > шифрувати RAM) за ціною 5-15% продуктивності. Цей параметр також вимикає сплячий режим (який не активно очищає ключ під час сплячого режиму) і замість цього повністю шифрує пам’ять, щоб пом’якшити деякі атаки холодного завантаження. Докладніше про цю функцію тут: https://sourceforge.net/p/veracrypt/discussion/technical/thread/3961542951/ ^{[Archive.org]}
• Увімкніть опцію Veracrypt, щоб стерти ключі з пам’яті, якщо вставлено новий пристрій (система > налаштування > безпека > очистити ключі з пам’яті, якщо вставлено новий пристрій). Це може допомогти, якщо вашу систему заблоковано, коли вона все ще ввімкнена (але заблокована).
• Увімкніть параметр Veracrypt, щоб монтувати томи як знімні томи (Налаштування > Параметри > Підключити том як знімний носій). Це не дозволить Windows записувати деякі журнали про монтування в журналах подій ³³³ і запобігти деяким локальним витокам даних.
• Будьте обережні та добре усвідомлюйте ситуацію, якщо відчуєте щось дивне. Вимкніть ноутбук якомога швидше.

Якщо ви не хочете використовувати зашифровану пам’ять (оскільки продуктивність може бути проблемою), вам слід принаймні ввімкнути сплячий режим замість сну. Це не видалить ключі з пам’яті (ви все ще вразливі до атак холодного завантаження), але принаймні пом’якшить їх, якщо ваша пам’ять має достатньо часу для розпаду.

Докладніші відомості згодом у Маршруті A та B: просте шифрування за допомогою Veracrypt (підручник Windows) .

Якщо ви не збираєтеся використовувати правдоподібне заперечення в системі:

У цьому випадку ми рекомендуємо використовувати BitLocker замість Veracrypt для повного шифрування диска. Це пояснюється тим, що BitLocker не пропонує правдоподібної можливості відмови, на відміну від Veracrypt. Жорсткий супротивник не матиме стимулу продовжувати «розширений» допит, якщо ви розкриєте парольну фразу.

Зазвичай у цьому випадку ви повинні інсталювати Windows Pro, а налаштування BitLocker досить просте.

Загалом, ви можете дотримуватись інструкцій тут: https://support.microsoft.com/en-us/windows/turn-on-device-encryption-0c453637-bc88-5f74-5105-741561aae838 ^{[Archive.org]}

Але ось кроки:

• Клацніть меню Windows
• Введіть «Bitlocker»
• Натисніть «Керувати Bitlocker»
• Натисніть «Увімкнути Bitlocker» на системному диску
• Дотримуйтесь інструкцій
  Не зберігайте ключ відновлення в обліковому записі Microsoft, якщо буде запропоновано. Зберігайте ключ відновлення лише на зовнішньому зашифрованому диску. Щоб уникнути цього, надрукуйте ключ відновлення за допомогою принтера Microsoft Print to PDF і збережіть ключ у папці «Документи». Видаліть цей файл пізніше. Шифрувати весь диск (не шифрувати лише використаний дисковий простір). Використовуйте «Новий режим шифрування» Запустіть перевірку BitLocker Перезавантаження
• Тепер шифрування має запуститися у фоновому режимі (це можна перевірити, натиснувши піктограму Bitlocker у нижньому правому куті панелі завдань).

На жаль, цього недостатньо. Завдяки цьому налаштуванню ваш ключ Bitlocker можна просто зберегти як є в мікросхемі TPM вашого комп’ютера. Це досить проблематично, оскільки в деяких випадках ключ можна легко видобути ³³⁴ ' ³³⁵ ' ³³⁶ ' ³³⁷ .

Щоб пом’якшити це, вам доведеться ввімкнути кілька додаткових параметрів відповідно до рекомендацій Microsoft ³³⁸ :

• Натисніть піктограму Windows
• Введіть Run
• Введіть «gpedit.msc» (це редактор групової політики)
• Перейдіть до Конфігурація комп’ютера > Адміністративні шаблони > Компоненти Windows > BitLocker > Диски операційної системи
  Двічі клацніть «Потрібна додаткова автентифікація під час запуску»
  • Натисніть «Налаштувати PIN-код запуску TPM» і встановіть значення «Вимагати PIN-код запуску з TPM».
  Двічі клацніть «Дозволити розширені PIN-коди для запуску»
  • Натисніть «Увімкнути» (це дозволить нам встановити пароль, а не PIN-код)
• Закрийте редактор групової політики
• Натисніть піктограму Windows
• Введіть Command, щоб відобразити «Командний рядок»
• Клацніть по ньому правою кнопкою миші та виберіть «Запуск від імені адміністратора»
• бігти manage-bde -protectors -delete c:(це видалить поточний захист: ключ відновлення вам не знадобиться)
• бігти manage-bde -protectors -add c: -TPMAndPIN(це запропонує вам ввести пароль перед завантаженням)
  • Введіть пароль або парольну фразу на ваш вибір (хороший варіант)
• бігти manage-bde -status
  • Тепер ви повинні побачити на своєму диску C: під «Ключами захисту» опцію «TPM і PIN»
• Ви готові

Тепер, коли ви перезавантажуєте комп’ютер, вам має бути запропоновано:

• Пароль для завантаження BIOS/UEFI
• Пароль розблокування SSD/HDD (якщо функція доступна у вашому BIOS)
• Екран PIN-коду Bitlocker перед завантаженням, де вам потрібно ввести пароль/пароль, який ви щойно налаштували
• І, нарешті, екран входу в систему Windows, де ви можете ввести облікові дані, які ви налаштували раніше

Увімкнути сплячий режим (необов’язково):

Знову ж таки, як пояснювалося раніше. Ви ніколи не повинні використовувати функцію сну/очікування, щоб пом’якшити деякі атаки холодного завантаження та evil maid. Натомість вам слід завершити роботу або перейти в сплячий режим. Тому вам слід перевести ноутбук із режиму сну в режим сну, коли закривається кришка або коли ноутбук переходить у режим сну.

( Зауважте, що ви не можете ввімкнути сплячий режим, якщо ви попередньо ввімкнули шифрування RAM у Veracrypt)

Причина в тому, що сплячий режим фактично повністю вимкне ваш ноутбук і очистить пам’ять. З іншого боку, режим сну залишить пам’ять увімкненою (включно з вашим ключем розшифровки) і може зробити ваш ноутбук уразливим до атак холодного завантаження.

За замовчуванням Windows 10/11 може не пропонувати цю можливість, тому вам слід увімкнути її, дотримуючись цього підручника Microsoft: https://docs.microsoft.com/en-us/troubleshoot/windows-client/deployment/disable-and- re-enable-hibernation ^{[Archive.org]}

• Відкрийте командний рядок адміністратора (клацніть правою кнопкою миші командний рядок і виберіть «Запуск від імені адміністратора»)
• Запустіть: powercfg.exe /hibernate on
• Тепер запустіть додаткову команду: **powercfg /h /type full**
  • Ця команда переконається, що ваш сплячий режим заповнений, і повністю очистить пам’ять (не надійно).

Після цього вам слід зайти в налаштування живлення:

• Відкрийте Панель керування
• Відкрийте систему та безпеку
• Відкрийте Електроживлення
• Відкрийте «Виберіть дії кнопки живлення»
• Змінюйте все: від сну до сплячого режиму або вимкнення
• Поверніться до параметрів живлення
• Виберіть «Змінити налаштування плану».
• Виберіть Додаткові параметри живлення
• Змініть усі значення режиму сну для кожного плану живлення на 0 (ніколи)
• Переконайтеся, що режим гібридного сну вимкнено для кожного плану живлення
• Увімкніть сплячий режим через потрібний час
• Вимкніть усі таймери пробудження

Вирішивши, яким підмаршрутом ви будете їхати:

Тепер вам доведеться вибрати один із двох варіантів:

• Шлях A: просте шифрування поточної ОС
  Плюси:
  • Не вимагає стирання ноутбука
  • Немає проблем із локальними витоками даних
  • Чудово працює з SSD накопичувачем
  • Працює з будь-якою ОС
  • просто
  Мінуси:
  • Зловмисник може змусити вас розкрити ваш пароль і всі секрети, і ви не матимете правдоподібного заперечення.
  • Небезпека витоку даних в Інтернеті
• Шлях B: просте шифрування вашої поточної ОС з подальшим використанням правдоподібної заперечення самих файлів:
  Плюси:
  • Не вимагає стирання ноутбука
  • Чудово працює з SSD накопичувачем
  • Працює з будь-якою ОС
  • Правдоподібне заперечення можливе з «м’якими» супротивниками
  Мінуси:
  • Небезпека витоку онлайн-даних
  • Небезпека витоку локальних даних (що призведе до додаткової роботи з усунення цих витоків)
• Шлях C: правдоподібне шифрування вашої операційної системи (у вас на ноутбуці працюватимуть «прихована ОС» і «обманна ОС»).
  Плюси:
  • Немає проблем із локальними витоками даних
  • Правдоподібне заперечення можливе з «м’якими» супротивниками
  Мінуси:
  • Потрібна Windows (ця функція не «легко» підтримується в Linux).
  • Небезпека онлайн-витоку даних
  • Потрібне повне очищення ноутбука
  • Не можна використовувати з SSD-накопичувачем через вимогу вимкнення Trim ³³⁹ Операції ³⁴⁰ . Це з часом суттєво погіршить продуктивність/справність вашого диска SSD.

Як бачите, Route C пропонує лише дві переваги конфіденційності перед іншими, і він буде корисний лише проти м’якого законного супротивника. Пам’ятайте https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis ^{[Без Wiki] [Archive.org]} .

Вирішувати, яким маршрутом ви підете. Маршрут А - це мінімум.

Завжди часто перевіряйте наявність нових версій Veracrypt, щоб переконатися, що ви отримуєте переваги від останніх виправлень. Особливо перевірте це перед застосуванням великих оновлень Windows, які можуть порушити роботу завантажувача Veracrypt і привести вас до циклу завантаження.

ЗВЕРНІТЬ УВАГУ, ЩО ЗА ЗАМОВЧУВАННЯМ VERACRYPT ЗАВЖДИ ПРОПОНУЄ СИСТЕМНИЙ ПАРОЛЬ У QWERTY (відображайте пароль як перевірку). Це може спричинити проблеми, якщо під час завантаження використовується клавіатура ноутбука (наприклад, AZERTY), оскільки ви встановили пароль у QWERTY і вводите його під час завантаження в AZERTY. Тому переконайтеся, що ви перевіряєте під час тестового завантаження, яку розкладку клавіатури використовує ваш BIOS. Ви можете не ввійти лише через сплутаність QWERTY/AZERTY. Якщо ваш BIOS завантажується за допомогою AZERTY, вам потрібно буде ввести пароль у QWERTY у Veracrypt.

Шлях A і B: просте шифрування за допомогою Veracrypt (навчальний посібник для Windows)

Пропустіть цей крок, якщо раніше використовували BitLocker.

Вам не потрібно мати жорсткий диск для цього методу, і вам не потрібно вимикати Trim на цьому маршруті. Усунення витоків буде корисним лише для криміналістики для виявлення прихованого тому, але не матиме великої користі в інших випадках.

Цей шлях досить простий і просто зашифрує вашу поточну операційну систему без втрати даних. Обов’язково прочитайте всі тексти, які показує вам Veracrypt, щоб мати повне розуміння того, що відбувається. Ось кроки:

• Запустіть VeraCrypt
• Зайдіть в налаштування:
  Налаштування > Параметри продуктивності/драйвера > Шифрувати RAM Система > Налаштування > Безпека > Очистити ключі з пам’яті, якщо вставлено новий пристрій Система > Налаштування > Windows > Увімкнути захищений робочий стіл
• Виберіть Система
• Виберіть Зашифрувати системний розділ/диск
• Виберіть Normal (Simple)
• Виберіть Single-Boot
• Виберіть AES як алгоритм шифрування (натисніть кнопку тестування, якщо ви хочете порівняти швидкості)
• Виберіть SHA-512 як хеш-алгоритм (бо чому б і ні)
• Введіть надійну парольну фразу (чим довше, тим краще, запам’ятайте Додаток A2: Рекомендації щодо паролів і парольних фраз )
• Зберіть трохи ентропії, довільно переміщаючи курсор, доки смужка не заповниться
• Натисніть «Далі» на екрані «Згенеровані ключі».
• Для порятунку диска ³⁴¹ чи не рятувальний диск, вирішувати вам. Ми рекомендуємо зробити його (про всяк випадок), просто переконайтеся, що зберігаєте його поза зашифрованим накопичувачем (наприклад, ключ USB або зачекайте та перегляньте вказівки щодо безпечного резервного копіювання в кінці цього посібника). Цей аварійний диск не зберігатиме вашу парольну фразу, і він все одно знадобиться для його використання.
• Режим очищення:
  Якщо на цьому ноутбуці ще немає конфіденційних даних, виберіть «Немає». Якщо у вас є конфіденційні дані на SSD, лише Trim повинен подбати про це ³⁴² але ми рекомендуємо один прохід (випадкові дані), щоб бути впевненим. Якщо у вас є конфіденційні дані на жорсткому диску, Trim не передбачено, і ми рекомендуємо принаймні 1-прохід.
• Перевірте налаштування. Тепер Veracrypt перезавантажить вашу систему, щоб перевірити завантажувач перед шифруванням. Цей тест має пройти, щоб шифрування було продовжено.
• Після перезавантаження комп’ютера та проходження тесту. Вам буде запропоновано Veracrypt почати процес шифрування.
• Запустіть шифрування та дочекайтеся його завершення.
• Ви готові, пропустіть маршрут B і перейдіть до наступних кроків.

Буде ще один розділ про створення зашифрованих файлових контейнерів із функцією Plausible Deniability у Windows.

Маршрут Б: правдоподібне заперечення шифрування з прихованою ОС (тільки для Windows)

Це підтримується лише в Windows.

Це рекомендовано лише для жорсткого диска. Це не рекомендується для SSD-накопичувача.

Ваша прихована ОС не повинна бути активована (за допомогою ключа продукту MS). Таким чином, цей маршрут рекомендує та проведе вас через повну чисту інсталяцію, яка зітре все на вашому ноутбуці.

Прочитайте документацію Veracrypt https://www.veracrypt.fr/en/VeraCrypt%20Hidden%20Operating%20System.html ^{[Archive.org]} (Процес створення прихованої частини операційної системи) та https://www.veracrypt.fr/en/Security%20Requirements%20for%20Hidden%20Volumes.html ^{[Archive.org]} (Вимоги безпеки та запобіжні заходи, що стосуються прихованих томів).

Ось як ваша система буде виглядати після завершення цього процесу:

(Ілюстрація з документації Veracrypt, https://veracrypt.fr/en/VeraCrypt%20Hidden%20Operating%20System.html ^{[Archive.org]} )

Як бачите, цей процес вимагає від вас двох розділів на жорсткому диску з самого початку.

Цей процес виконає наступне:

• Зашифруйте свій другий розділ (зовнішній том), який виглядатиме як порожній неформатований диск із ОС-приманки.
• Запропонувати вам можливість скопіювати деякий вміст-приманку в межах зовнішнього тому.
  • Саме тут ви скопіюєте свою приманну колекцію аніме/порно з якогось зовнішнього жорсткого диска на зовнішній том.
• Створіть прихований том у зовнішньому тому другого розділу. Тут буде знаходитися прихована ОС.
• Клонуйте поточну інсталяцію Windows 10/11 на прихований том.
• Очистіть поточну Windows 10/11.
• Це означає, що ваша поточна Windows 10/11 стане прихованою Windows 10/11 і вам потрібно буде перевстановити нову приманку ОС Windows 10/11.

Обов’язковий, якщо у вас є SSD-накопичувач, але ви все одно хочете зробити це всупереч рекомендації: Вимкнути обрізання SSD у Windows ³⁴³ (знову ж таки, це взагалі НЕ рекомендується, оскільки вимкнення Trim саме по собі є дуже підозрілим ). Крім того , як згадувалося раніше, вимкнення Trim зменшить термін служби вашого SSD-накопичувача та значно вплине на його продуктивність з часом (ваш ноутбук ставатиме повільнішим і повільнішим протягом кількох місяців використання, поки він стане майже непридатним для використання, тоді вам доведеться очистити диск і все заново встановити). Але ви повинні це зробити, щоб запобігти витоку даних ³⁴⁴ це може дозволити криміналістиці перемогти ваше правдоподібне заперечення ^{345 346} . Єдиний спосіб обійти це на даний момент — мати натомість ноутбук із класичним жорстким диском.

Крок 1. Створіть USB-ключ для встановлення Windows 10/11

Перегляньте [Додаток C: Створення інсталяційного носія Windows][306] і виконайте маршрут USB-ключа.

Крок 2. Завантажте USB-ключ і запустіть процес встановлення Windows 10/11 (прихована ОС)

• Вставте USB-ключ у ноутбук
• Див. Додаток A: Встановлення Windows і продовжте встановлення Windows 10/11 Home.

Крок 3: Налаштування конфіденційності (прихована ОС)

Див. Додаток B: Додаткові параметри конфіденційності Windows

Крок 4: встановлення Veracrypt і запуск процесу шифрування (прихована ОС)

Не забудьте прочитати https://www.veracrypt.fr/en/VeraCrypt%20Hidden%20Operating%20System.html ^{[Archive.org]}

Не підключайте цю ОС до відомої мережі Wi-Fi. Вам слід завантажити програму встановлення Veracrypt з іншого комп’ютера та скопіювати програму встановлення сюди за допомогою USB-ключа. Ось кроки:

• Встановіть Veracrypt
• Запустіть Veracrypt
• Зайдіть в налаштування:
  Параметри > Параметри продуктивності/драйвера > Шифрувати RAM ( зауважте, що цей параметр не сумісний із сплячим режимом вашого ноутбука, тому вам доведеться повністю вимкнути) Система > Налаштування > Безпека > Очистити ключі з пам’яті, якщо вставлено новий пристрій Система > Налаштування > Windows > Увімкнути захищений робочий стіл
• Перейдіть до системи та виберіть «Створити приховану операційну систему».
• Уважно прочитайте всі підказки
• Виберіть Single-Boot, якщо буде запропоновано
• Створіть зовнішній том за допомогою AES і SHA-512.
• Використовуйте весь доступний простір у другому розділі для зовнішнього тому
• Використовуйте надійну парольну фразу (пам’ятайте Додаток A2: Рекомендації щодо паролів і парольних фраз )
• Виберіть так для великих файлів
• Створіть трохи Entropy, переміщаючи мишу, доки панель не заповниться, і виберіть NTFS (не вибирайте exFAT, оскільки ви хочете, щоб цей зовнішній том виглядав «нормально», а NTFS — нормально).
• Відформатуйте зовнішній том
• Відкритий зовнішній том:
  На цьому етапі вам слід скопіювати дані приманки на зовнішній том. Отже, ви повинні мати деякі конфіденційні, але не дуже файли/папки для копіювання туди. У випадку, якщо вам знадобиться відкрити пароль до цього тому . Це гарне місце для вашої колекції аніме/MP3/фільмів/порно. Ми рекомендуємо не заповнювати зовнішній об’єм занадто багато або занадто мало (приблизно 40%). Пам’ятайте, що ви повинні залишити достатньо місця для прихованої ОС (яка матиме такий самий розмір, як і перший розділ, створений під час встановлення).
• Використовуйте надійну парольну фразу для прихованого тому (очевидно, відмінну від тієї, що використовується для зовнішнього тому).
• Тепер ви створите прихований том, виберіть AES і SHA-512
• Довільними рухами миші заповніть смужку ентропії до кінця
• Відформатуйте прихований том
• Продовжуйте клонування
• Тепер Veracrypt перезапуститься та клонує Windows, з якої ви почали цей процес, у прихований том. Ця Windows стане вашою прихованою ОС.
• Після завершення клонування Veracrypt перезапуститься в прихованій системі
• Veracrypt повідомить вам, що прихована система наразі встановлена, а потім запропонує стерти оригінальну ОС (ту, яку ви попередньо встановили за допомогою USB-ключа).
• Використовуйте 1-Pass Wipe і продовжуйте.
• Тепер ваша прихована ОС буде встановлена, перейдіть до наступного кроку

Крок 5. Перезавантажте та завантажте USB-ключ і запустіть процес інсталяції Windows 10/11 знову (Decoy OS)

Тепер, коли Hidden OS повністю встановлено, вам потрібно буде інсталювати Decoy OS:

• Вставте USB-ключ у ноутбук
• Перегляньте Додаток A: встановлення Windows і продовжте встановлення Windows 10/11 Home ще раз (не встановлюйте іншу версію й дотримуйтесь Home).

Крок 6. Налаштування конфіденційності (Decoy OS)

Див. Додаток B: Додаткові параметри конфіденційності Windows

Крок 7: встановлення Veracrypt і початок процесу шифрування (Decoy OS)

Тепер ви зашифруєте ОС Decoy:

• Встановіть Veracrypt
• Запустіть VeraCrypt
• Виберіть Система
• Виберіть Зашифрувати системний розділ/диск
• Виберіть Normal (Simple)
• Виберіть Single-Boot
• Виберіть AES як алгоритм шифрування (натисніть кнопку тестування, якщо ви хочете порівняти швидкості)
• Виберіть SHA-512 як хеш-алгоритм (бо чому б і ні)
• Введіть короткий слабкий пароль (так, це серйозно, зробіть це, це буде пояснено пізніше).
• Зберіть трохи ентропії, довільно переміщаючи курсор, доки смужка не заповниться
• Натисніть «Далі» на екрані «Згенеровані ключі».
• Для порятунку диска ³⁴⁷ чи не рятувальний диск, вирішувати вам. Ми рекомендуємо зробити його (про всяк випадок), просто переконайтеся, що зберігаєте його поза зашифрованим накопичувачем (наприклад, ключ USB або зачекайте та перегляньте вказівки щодо безпечного резервного копіювання в кінці цього посібника). Цей аварійний диск не зберігатиме вашу парольну фразу, і він все одно знадобиться для його використання.
• Режим стирання: виберіть 1-Pass для безпеки
• Попередньо перевірте налаштування. Тепер Veracrypt перезавантажить вашу систему, щоб перевірити завантажувач перед шифруванням. Цей тест має пройти, щоб шифрування було продовжено.
• Після перезавантаження комп’ютера та проходження тесту. Вам буде запропоновано Veracrypt почати процес шифрування.
• Запустіть шифрування та дочекайтеся його завершення.
• Тепер ваша ОС Decoy готова до використання.

Крок 8. Перевірте налаштування (завантажте в обох)

Час перевірити налаштування:

• Перезавантажте та введіть свою парольну фразу для прихованої ОС, ви повинні завантажитися в прихованій ОС.
• Перезавантажте та введіть парольну фразу Decoy OS, ви повинні завантажитися в Decoy OS.
• Запустіть Veracrypt в ОС Decoy і підключіть другий розділ за допомогою фрази зовнішнього тому (підключіть його як доступний лише для читання, увійшовши в параметри підключення та вибравши лише для читання), і він повинен підключити другий розділ як доступний лише для читання, відображаючи вашу приманку дані (ваша колекція аніме/порно). Зараз ви монтуєте його як лише для читання, тому що, якби ви записували на нього дані, ви могли б перевизначити вміст із вашої прихованої ОС.

Крок 9. Безпечно змініть дані-приманки на зовнішньому томі

Перш ніж переходити до наступного кроку, вам слід дізнатися, як безпечно монтувати зовнішній том для запису на ньому вмісту. Це також пояснюється в цій офіційній документації Veracrypt https://www.veracrypt.fr/en/Protection%20of%20Hidden%20Volumes.html ^{[Archive.org]}

Ви повинні робити це в безпечному, надійному місці.

По суті, ви збираєтеся підключити свій зовнішній том, а також ввести парольну фразу прихованого тому в параметрах підключення, щоб захистити прихований том від перезапису:

• Відкрийте Veracrypt
• Виберіть другий розділ
• Натисніть Змонтувати
• Натисніть Параметри монтування
• Перевірте опцію «Захистити прихований том…».
• Введіть парольну фразу прихованої ОС
• Натисніть OK
• Введіть парольну фразу зовнішнього тому
• Натисніть OK
• Тепер ви зможете відкривати та писати на своєму зовнішньому тому, щоб змінити вміст (копіювати/перемістити/видалити/редагувати…)

Ця операція фактично не монтує прихований том і має запобігти створенню будь-яких судових доказів, які могли б призвести до виявлення прихованої ОС. Однак, поки ви виконуєте цю операцію, обидва паролі зберігатимуться у вашій оперативній пам’яті. Ви все ще можете бути вразливими до атаки холодного завантаження. Щоб пом’якшити це, переконайтеся, що у вас є опція шифрування оперативної пам’яті, як описано раніше.

Крок 10. Залиште деякі криміналістичні докази вашого зовнішнього об’єму (з даними приманки) у вашій ОС Decoy

Ми повинні зробити ОС Decoy максимально правдоподібною. Ми також хочемо, щоб ваш супротивник недооцінив ваш інтелект.

Важливо добровільно залишити деякі судові докази вашого Вмісту Decoy у вашій ОС Decoy. Ці докази дозволять судмедекспертам побачити, що ви часто монтували свій зовнішній том, щоб отримати доступ до його вмісту.

Ось корисні поради щодо того, як залишити деякі судово-медичні докази:

• Відтворюйте вміст зовнішнього тому з вашої ОС Decoy (наприклад, за допомогою VLC). Обов’язково зберігайте їх історію.
• Редагувати документи та працювати над ними.
• Знову ввімкніть індексування файлів в ОС Decoy і включіть підключений зовнішній том.
• Відключайте його та часто монтуйте, щоб переглядати певний вміст або переміщувати файли.
• Скопіюйте деякий вміст із зовнішнього тому на свою ОС Decoy, а потім небезпечно видаліть його. Просто помістіть його в кошик, що зробить лише наївна людина, вважаючи, що його видалено.
• Встановити торрент-клієнт на ОС Decoy; використовуйте його час від часу, щоб завантажити щось схоже, що ви залишите в ОС Decoy.
• Ви можете встановити VPN-клієнт на ОС Decoy з відомою вашою VPN (безготівкова оплата).

Не розміщуйте в ОС Decoy нічого підозрілого, наприклад:

• Цей посібник
• Будь-які посилання на цей посібник
• Будь-яке підозріле програмне забезпечення анонімності, наприклад Tor Browser
• Будь-які томи Veracrypt
• Будь-які документи про анонімність або безпеку

Намір полягає в тому, щоб змусити вашого супротивника повірити, що ви не такі розумні, як вони думали, щоб утримати його від пошуку глибше.

Примітки:

Пам’ятайте, що вам знадобляться вагомі виправдання, щоб цей правдоподібний сценарій заперечення спрацював:

• Ви використовуєте Veracrypt, тому що використовуєте Windows 10/11 Home, яка не підтримує Bitlocker, але ви все одно бажаєте розумну конфіденційність.
• У вас є два розділи, тому що ви хотіли відокремити систему від даних для зручності організації, а також тому, що якийсь дивак-друг сказав вам, що це краще для продуктивності.
• Ви використали слабкий пароль для легкого зручного завантаження системи та надійну довгу парольну фразу на зовнішньому тому. Ви були надто лінивими, щоб ввести надійну парольну фразу під час кожного завантаження.
• Ви зашифрували другий розділ паролем, відмінним від системного, оскільки не хочете, щоб хтось із вашої групи/домену бачив ваші матеріали. Ви не хотіли, щоб ці дані були доступні комусь.

Знайдіть час, щоб ще раз прочитати «Можливі пояснення наявності двох розділів Veracrypt на одному диску» документації Veracrypt тут https://www.veracrypt.fr/en/VeraCrypt%20Hidden%20Operating%20System.html ^{[Archive.org]}

Будь обережний:

• Ви ніколи не повинні монтувати прихований том із ОС Decoy (НІКОЛИ). Якщо ви це зробите, це створить криміналістичні докази прихованого тому в ОС Decoy, що може поставити під загрозу вашу спробу правдоподібного заперечення . Якщо ви все одно зробили це (навмисно чи помилково) з ОС Decoy, існують способи стерти докази криміналістики, які будуть пояснені пізніше в кінці цього посібника, тому сама по собі ця помилка не є великою проблемою, якщо ви дотримуєтеся кроків в Деякі додаткові заходи проти криміналістики .
• Ніколи не використовуйте ОС Decoy з тієї ж мережі (загальнодоступної Wi-Fi), що й прихована ОС.
• Коли ви монтуєте зовнішній том із ОС Decoy, не записуйте жодних даних у зовнішній том. Це може замінити те, що виглядає як порожній простір, але насправді є вашою прихованою ОС. Ви завжди повинні монтувати його як лише для читання.
• Якщо ви хочете змінити приманний вміст зовнішнього тому, вам слід використовувати USB-ключ Live OS, який запускатиме Veracrypt.
• Зверніть увагу, що ви не використовуватимете приховану ОС для виконання конфіденційних дій, це буде зроблено пізніше з віртуальної машини в прихованій ОС. Прихована ОС призначена лише для захисту вас від м’яких законних зловмисників, які можуть отримати доступ до вашого ноутбука та змусити вас відкрити свій пароль.
• Будьте обережні з будь-яким втручанням у ваш ноутбук. Атаки Evil-Maid можуть виявити вашу приховану ОС.

Virtualbox у вашій хост-ОС:

Пам’ятайте Додаток W: Віртуалізація .

Цей крок і наступні кроки слід виконувати всередині хост-ОС. Це може бути або ваша хост-ОС із простим шифруванням (Windows/Linux/macOS), або ваша прихована ОС із правдоподібним запереченням (лише для Windows).

У цьому маршруті ви широко використовуватимете безкоштовний Oracle Virtualbox ³⁴⁸ програмне забезпечення. Це програмне забезпечення для віртуалізації, за допомогою якого ви можете створювати віртуальні машини, які емулюють комп’ютер із певною ОС (якщо ви хочете використовувати щось інше, як-от Xen, Qemu, KVM або VMWARE, не соромтеся це робити, але ця частина посібника стосується Virtualbox тільки для зручності).

Отже, ви повинні знати, що Virtualbox не є програмним забезпеченням віртуалізації з найкращим досвідом щодо безпеки. Деякі з повідомлених проблем ³⁴⁹ не були повністю виправлені на сьогоднішній день ³⁵⁰ . Якщо ви використовуєте Linux і маєте трохи більше технічних навичок, вам слід розглянути можливість використання KVM замість цього, дотримуючись посібника, доступного на Whonix тут https://www.whonix.org/wiki/KVM ^{[Archive.org]} і тут https://www.whonix.org/wiki/KVM#Why_Use_KVM_Over_VirtualBox.3F ^{[Archive.org]}

У всіх випадках слід вжити певних заходів:

Усі ваші конфіденційні дії виконуватимуться з гостьової віртуальної машини під керуванням Windows 10/11 Pro (цього разу не Home), Linux або macOS.

Це має кілька переваг, які допоможуть вам залишатися анонімними:

• Це має запобігти безпосередньому доступу гостьової ОС (Windows/Linux/macOS), програм і будь-якої телеметрії всередині віртуальних машин до вашого обладнання. Навіть якщо вашу віртуальну машину скомпрометовано зловмисним програмним забезпеченням, зловмисне програмне забезпечення не матиме доступу до хост-ОС і скомпрометувати вашу фактичну машину.
• Це дозволить нам змусити весь мережевий трафік від вашої віртуальної машини проходити через іншу шлюзову віртуальну машину, яка спрямовуватиме весь трафік через мережу Tor. Це мережевий «перемикач». Ваша віртуальна машина повністю втратить підключення до мережі та вийде з мережі, якщо віртуальна машина цільової мережі втратить з’єднання з мережею Tor.
• Сама віртуальна машина, яка має підключення до Інтернету лише через мережевий шлюз Tor, підключатиметься до вашої оплачуваної готівкою служби VPN через Tor.
• Витоки DNS будуть неможливі, оскільки віртуальна машина знаходиться в ізольованій мережі, яка має проходити через Tor, незважаючи ні на що.

Виберіть спосіб підключення:

У цьому маршруті є сім можливостей:

• Рекомендовані та бажані:
  Використовуйте тільки Tor (Користувач > Tor > Інтернет) Використовуйте VPN через Tor (Користувач > Tor > VPN > Інтернет) в окремих випадках Використовуйте VPS із самостійно розміщеним VPN/проксі через Tor (Користувач > Tor > Саморозміщений VPN/проксі > Інтернет) у певних випадках
• Можливо, якщо цього вимагає контекст:
  Використовуйте VPN через Tor через VPN (Користувач > VPN > Tor > VPN > Інтернет) Використовуйте Tor через VPN (Користувач > VPN > Tor > Інтернет)
• Не рекомендується і ризиковано:
  Використовуйте лише VPN (Користувач > VPN > Інтернет) Використовуйте VPN через VPN (Користувач > VPN > VPN > Інтернет)
• Не рекомендується та дуже ризиковано (але можливо)
  • Без VPN і Tor (Користувач > Інтернет)

Тільки Tor:

Це найкраще та найбільш рекомендоване рішення.

За допомогою цього рішення вся ваша мережа проходить через Tor, і цього має бути достатньо, щоб гарантувати вашу анонімність у більшості випадків.

Є один головний недолік: деякі служби блокують/забанюють вузли виходу Tor і не дозволяють створювати облікові записи з них.

Щоб пом’якшити це, вам, можливо, доведеться розглянути наступний варіант: VPN через Tor, але врахуйте деякі пов’язані з цим ризики, які пояснюються в наступному розділі.

VPN/проксі через Tor:

Це рішення може принести деякі переваги в деяких конкретних випадках порівняно з використанням Tor лише там, де доступ до служби призначення буде неможливим із вузла виходу Tor. Це тому, що багато служб просто забороняють, перешкоджають або блокують вузли виходу Tor (див. https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor ^{[Archive.org]} ).

Це рішення можна досягти двома способами:

• Платний VPN через Tor (найпростіше)
• Платний автономний VPS, налаштований як VPN/проксі (найефективніший для уникнення онлайн-перешкод, таких як captcha, але потребує додаткових навичок роботи з Linux)

Як ви можете бачити на цій ілюстрації, якщо зловмисник зламав ваш готівковий (бажано)/оплачуваний VPN/проксі-сервер Monero (незважаючи на їхню заяву про конфіденційність і політику заборони реєстрації), він знайде лише анонімний платний VPN/проксі-сервер за допомогою готівки/Monero. обліковий запис, що підключається до їхніх послуг із вузла виходу Tor.

Якщо зловмиснику якимось чином вдасться скомпрометувати мережу Tor, він розкриє лише IP-адресу випадкової публічної мережі Wi-Fi, яка не прив’язана до вашої особи.

Якщо зловмисник якимось чином скомпрометує вашу ОС віртуальної машини (наприклад, за допомогою зловмисного програмного забезпечення чи експлойту), він потрапить у внутрішню мережу Whonix і не зможе розкрити IP-адресу публічної мережі Wi-Fi.

Однак це рішення має один головний недолік, який слід враховувати: перешкоди ізоляції потоку Tor ³⁵¹ .

Ізоляція потоку — це техніка пом’якшення, яка використовується для запобігання деяким кореляційним атакам за допомогою різних ланцюгів Tor для кожної програми. Ось ілюстрація, яка показує, що таке ізоляція потоку:

(Ілюстрація Марсело Мартінса, https://stakey.club/en/decred-via-tor-network/ ^{[Archive.org]} )

VPN/Proxy через Tor знаходиться праворуч ³⁵² тобто використання VPN/проксі через Tor змушує Tor використовувати один канал для всіх дій замість кількох каналів для кожного. Це означає, що використання VPN/проксі-сервера через Tor у деяких випадках може знизити ефективність Tor, і тому його слід використовувати лише в окремих випадках:

• Коли служба призначення не дозволяє вузли виходу Tor.
• Коли ви не проти використовувати спільний канал Tor для різних сервісів. Наприклад, при використанні різних автентифікованих сервісів.

Однак вам слід подумати про те, щоб не використовувати цей метод, якщо вашою метою є лише перегляд випадкових різноманітних неавтентифікованих веб-сайтів, оскільки ви не отримаєте користі від ізоляції потоку, і це може з часом полегшити кореляційні атаки для противника між кожним із ваших сеансів (див. Ваш анонімний Tor/ трафік VPN ). Проте, якщо ваша мета полягає в тому, щоб використовувати ту саму особу під час кожного сеансу в одних і тих самих автентифікованих службах, цінність ізоляції потоку зменшується, оскільки ви можете зв’язуватися іншими способами.

Ви також повинні знати, що ізоляція потоку не обов’язково налаштована за замовчуванням на робочій станції Whonix. Він попередньо налаштований лише для деяких програм (включно з браузером Tor).

Також зауважте, що Stream Isolation не обов’язково змінює всі вузли у вашому колі Tor. Іноді це може змінити лише один або два. У багатьох випадках ізоляція потоку (наприклад, у браузері Tor) змінює лише вузол ретрансляції (середній) і вузол виходу, зберігаючи той самий охоронний (вхідний) вузол.

Більше інформації на:

• https://www.whonix.org/wiki/Stream_Isolation ^{[Archive.org]}
• https://tails.boum.org/contribute/design/stream_isolation/ ^{[Archive.org]}
• https://www.whonix.org/wiki/Tunnels/Introduction#Comparison_Table ^{[Archive.org]}

Tor через VPN:

Ви можете запитати: а як щодо використання Tor через VPN замість VPN через Tor? Що ж, ми б не обов’язково рекомендували це:

• Недоліки:
  Ваш провайдер VPN — це ще один провайдер, який тоді знатиме ваш вихідний IP і зможе деанонімізувати вас, якщо потрібно. Ми їм не довіряємо. Ми надаємо перевагу ситуації, коли ваш провайдер VPN не знає, хто ви. Це не додає багато з точки зору анонімності. Це призведе до того, що ви підключатиметеся до різних служб за допомогою IP-адреси вузла виходу Tor, який у багатьох місцях заборонений/позначений. З точки зору зручності це не допомагає.
• Переваги:
  Основна перевага полягає в тому, що якщо ви перебуваєте у ворожому середовищі, де доступ до Tor неможливий/небезпечний/підозрілий, але VPN підійде. Цей метод також не порушує ізоляцію Tor Stream. Це також приховує вашу діяльність Tor від вашого основного провайдера.

Зверніть увагу: якщо у вас виникають проблеми з доступом до мережі Tor через блокування/цензуру, ви можете спробувати скористатися Tor Bridges. Див. Додаток X: Використання мостів Tor у агресивному середовищі .

Також можна розглянути можливість використання VPN через Tor через VPN (Користувач > VPN > Tor > VPN > Інтернет), використовуючи натомість дві платні VPN/VPN за готівку/Monero. Це означає, що ви під’єднаєте хост-ОС до першої VPN із загальнодоступної Wi-Fi, потім Whonix під’єднається до Tor, і нарешті ваша віртуальна машина під’єднається до другої VPN через Tor через VPN (див. https://www. whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor ^{[Archive.org]} ).

Звичайно, це матиме значний вплив на продуктивність і може бути досить повільним, але Tor десь необхідний для досягнення розумної анонімності.

Технічно досягти цього легко в рамках цього маршруту, вам потрібні два окремі анонімні облікові записи VPN і ви повинні підключитися до першого VPN з хост-ОС і слідувати маршруту.

Висновок: робіть це, лише якщо ви вважаєте, що використання лише Tor є ризикованим/неможливим, але VPN підходять. Або просто тому, що ти можеш і чому б і ні. Цей метод не знизить вашу безпеку/конфіденційність/анонімність.

Лише VPN:

Цей маршрут не пояснюватимуть і не рекомендуватимуть.

Якщо ви можете використовувати VPN, ви зможете додати поверх нього рівень Tor. І якщо ви можете використовувати Tor, ви можете додати анонімний VPN поверх Tor, щоб отримати бажане рішення.

Просто використання VPN або навіть VPN через VPN не має сенсу, оскільки вони можуть бути відстежені до вас з часом. Один із постачальників VPN знатиме ваш справжній вихідний IP (навіть якщо він знаходиться в безпечному загальнодоступному просторі), і навіть якщо ви додасте його поверх нього, другий все одно знатиме, що ви користуєтеся цією іншою першою службою VPN. Це лише трохи затримає вашу деанонімізацію. Так, це доданий рівень… але це постійний централізований доданий рівень, і з часом вас можна деанонімізувати. Це лише об’єднання 3 провайдерів, які підлягають законним запитам.

Для отримання додаткової інформації перегляньте такі посилання:

• https://www.whonix.org/wiki/Comparison_Of_Tor_with_CGI_Proxies,_Proxy_Chains,_and_VPN_Services#Tor_and_VPN_Services_Comparison ^{[Archive.org]}
• https://www.whonix.org/wiki/Why_does_Whonix_use_Tor ^{[Archive.org]}
• https://www.researchgate.net/publication/324251041_Anonymity_communication_VPN_and_Tor_a_comparative_study ^{[Archive.org]}
• https://gist.github.com/joepie91/5a9909939e6ce7d09e29#file-vpn-md ^{[Archive.org]}
• https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html ^{[Archive.org]}

У контексті цього посібника Tor десь потрібен для досягнення розумної та безпечної анонімності, і ви повинні використовувати його, якщо можете.

Без VPN/Tor:

Якщо ви не можете використовувати ні VPN, ні Tor там, де ви знаходитесь, ви, ймовірно, перебуваєте в дуже ворожому середовищі, де стеження та контроль надзвичайно сильні.

Тільки не варто, це того не варто і занадто ризиковано. Ви можете бути майже миттєво деанонімізовані будь-яким вмотивованим противником, який може дістатися до вашого фізичного місцезнаходження за лічені хвилини.

Не забудьте ще раз перевірити Adversaries (загрози) і Додаток S: Перевірте свою мережу на стеження/цензуру за допомогою OONI .

Якщо у вас зовсім немає іншого варіанту, але ви все одно хочете щось зробити, перегляньте Додаток P: максимально безпечний доступ до Інтернету, коли Tor/VPN не є варіантом (на ваш власний ризик), і розгляньте маршрут The Tails . натомість

висновок:

На жаль, використання лише Tor викличе підозру у багатьох платформ призначення. Ви зіткнетеся з багатьма перешкодами (Captcha, помилки, труднощі з реєстрацією), якщо будете використовувати лише Tor. Крім того, використання Tor там, де ви знаходитесь, може створити вам проблеми саме для цього. Але Tor все ще є найкращим рішенням для анонімності та має бути десь для анонімності.

• Якщо ви маєте намір створити постійні спільні та автентифіковані ідентифікатори в різних службах, де доступ із Tor ускладнений, ми рекомендуємо варіанти VPN через Tor і VPS VPN/Proxy через Tor (або VPN через Tor через VPN, якщо потрібно). Це може бути трохи менш безпечним проти кореляційних атак через порушення ізоляції Tor Stream, але забезпечує набагато кращу зручність доступу до онлайн-ресурсів, ніж просто використання Tor. Це «прийнятний» компроміс IMHP, якщо ви достатньо обережні зі своєю ідентичністю.
  • Примітка: стає все більш поширеним, що основні служби та CDNS також блокують або перешкоджають користувачам VPN за допомогою капчі та інших різноманітних перешкод . У такому випадку найкращим рішенням для цього є автономний VPS із VPN/проксі-сервером через Tor, оскільки наявність власного виділеного VPS гарантує, що ви єдиний користувач своєї IP-адреси та майже не стикаєтеся з перешкодами. Розгляньте можливість самостійного розміщення VPN/проксі на Monero/оплачуваних готівкою VPS (для користувачів, які більше знайомі з Linux), якщо ви хочете мати найменшу кількість проблем (це буде пояснено в наступному розділі більш детально).
• Однак якщо ваш намір полягає лише в тому, щоб анонімно переглядати випадкові служби без створення певних спільних ідентифікацій, використовуючи дружні служби tor; або якщо ви не бажаєте прийняти цей компроміс у попередньому варіанті. Тоді ми рекомендуємо використовувати маршрут Tor Only, щоб зберегти всі переваги Stream Isolation (або Tor over VPN, якщо потрібно).
• Якщо вартість є проблемою, ми рекомендуємо варіант лише Tor, якщо це можливо.
• Якщо доступ як до Tor, так і до VPN неможливий або небезпечний, у вас немає іншого вибору, окрім як безпечно покладатися на громадську Wi-Fi. Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні

Для отримання додаткової інформації ви також можете переглянути обговорення тут, які можуть допомогти вирішити самостійно:

• Проект Tor: https://gitlab.torproject.org/legacy/trac/-/wikis/doc/TorPlusVPN ^{[Archive.org]}
• Документація Tails:
  https://gitlab.tails.boum.org/tails/blueprints/-/wikis/vpn_support/ ^{[Archive.org]} https://tails.boum.org/support/faq/index.en.html#index20h2 ^{[Archive.org]}
• Документація Whonix (у такому порядку):
  https://www.whonix.org/wiki/Tunnels/Introduction ^{[Archive.org]} https://www.whonix.org/wiki/Tunnels/Connecting_to_Tor_before_a_VPN ^{[Archive.org]} https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor ^{[Archive.org]}
• Деякі документи з цього питання:
  • https://www.researchgate.net/publication/324251041_Anonymity_communication_VPN_and_Tor_a_comparative_study ^{[Archive.org]}

Отримання анонімного VPN/проксі:

Пропустіть цей крок, якщо хочете використовувати лише Tor.

Див. Додаток O: Отримання анонімного VPN/проксі

Whonix:

Пропустіть цей крок, якщо ви не можете використовувати Tor.

Цей маршрут використовуватиме віртуалізацію та Whonix ³⁵³ як частину процесу анонімізації. Whonix — це дистрибутив Linux, що складається з двох віртуальних машин:

• Робоча станція Whonix (це віртуальна машина, де ви можете виконувати конфіденційні дії)
• Шлюз Whonix (ця віртуальна машина встановлюватиме з’єднання з мережею Tor і направлятиме весь мережевий трафік від робочої станції через мережу Tor).

Тому цей путівник запропонує два варіанти цього маршруту:

• Лише маршрут Whonix, де весь трафік направляється через мережу Tor (тільки Tor або Tor через VPN).

• Гібридний маршрут Whonix, де весь трафік спрямовується через платну мережу VPN готівкою (бажано)/Monero через мережу Tor (VPN через Tor або VPN через Tor через VPN).

Ви зможете вирішити, який смак використовувати, спираючись на мої рекомендації. Ми рекомендуємо другий, як пояснювалося раніше.

Whonix добре підтримується та має велику та неймовірно детальну документацію.

Примітка щодо миттєвих знімків Virtualbox:

Пізніше ви створите та запустите кілька віртуальних машин у Virtualbox для ваших конфіденційних дій. Virtualbox надає функцію під назвою «Моментальні знімки» ³⁵⁴ які дозволяють зберігати стан віртуальної машини в будь-який момент часу. Якщо з будь-якої причини пізніше ви захочете повернутися до цього стану, ви можете відновити цей знімок у будь-який момент.

Я наполегливо рекомендую вам скористатися цією функцією, створивши знімок після початкової інсталяції/оновлення кожної віртуальної машини. Цей знімок слід зробити перед використанням для будь-якої конфіденційної/анонімної діяльності.

Це дозволить вам перетворити ваші віртуальні машини на своєрідні одноразові «живі операційні системи» (як-от Tails, про які йшлося раніше). Це означає, що ви зможете стерти всі сліди своїх дій у віртуальній машині, відновивши знімок до попереднього стану. Звичайно, це не буде «так добре», як Tails (де все зберігається в пам’яті), оскільки на вашому жорсткому диску можуть залишитися сліди цієї діяльності. Криміналістика показала здатність відновлювати дані з відновленої віртуальної машини ³⁵⁵ . На щастя, будуть способи видалити ці сліди після видалення або повернення до попереднього знімка. Такі методи будуть обговорюватися в розділі «Деякі додаткові заходи проти криміналістики» цього посібника.

Завантажте утиліти Virtualbox і Whonix:

Ви повинні завантажити кілька речей у хост-ОС:

• Остання версія інсталятора Virtualbox відповідно до вашої хост-ОС https://www.virtualbox.org/wiki/Downloads ^{[Archive.org]}
• (Пропустіть це, якщо ви не можете використовувати Tor нативно або через VPN) Останній файл Whonix OVA з https://www.whonix.org/wiki/Download ^{[Archive.org]} відповідно до ваших уподобань (Linux/Windows, з настільним інтерфейсом XFCE для спрощення або лише з текстовим клієнтом для досвідчених користувачів)

На цьому підготовка завершена, і тепер ви повинні бути готові почати налаштування остаточного середовища, яке захистить вашу анонімність в Інтернеті.

Рекомендації щодо зміцнення Virtualbox:

Для ідеальної безпеки вам слід дотримуватися наведених тут рекомендацій для кожної віртуальної машини Virtualbox https://www.whonix.org/wiki/Virtualization_Platform_Security#VirtualBox_Hardening ^{[Archive.org]} :

• Вимкнути аудіо.
• Не вмикайте спільні папки.
• Не вмикайте 2D-прискорення. Це виконується за допомогою наступної команди VBoxManage modifyvm "vm-id" --accelerate2dvideo on|off
• Не вмикайте 3D-прискорення.
• Не вмикайте послідовний порт.
• Вийміть дисковод.
• Вийміть CD/DVD-привід.
• Не вмикайте сервер Remote Display.
• Увімкнути PAE/NX (NX є функцією безпеки).
• Вимкніть розширену конфігурацію та інтерфейс живлення (ACPI). Це виконується за допомогою наступної команди VBoxManage modifyvm "vm-id" --acpi on|off
• Не підключайте USB-пристрої.
• Вимкніть контролер USB, який увімкнено за замовчуванням. Встановіть вказівний пристрій на «Миша PS/2», інакше зміни буде скасовано.

Нарешті, також дотримуйтесь цієї рекомендації, щоб десинхронізувати годинник, який є вашою віртуальною машиною, порівняно з вашою хост-ОС https://www.whonix.org/wiki/Network_Time_Synchronization#Spoof_the_Initial_Virtual_Hardware_Clock_Offset ^{[Archive.org]}

Це зміщення має бути в межах 60 000 мілісекунд і має відрізнятися для кожної віртуальної машини. Ось кілька прикладів (які пізніше можна застосувати до будь-якої віртуальної машини):

• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset +27931
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset +27931

Також подумайте про застосування цих пом’якшень від VirtualBox для пом’якшення Spectre ³⁵⁶ /Зрив ³⁵⁷ уразливості, запустивши цю команду з каталогу програм VirtualBox. Усе це описано тут: https://www.whonix.org/wiki/Spectre_Meltdown ^{[Archive.org]} (майте на увазі, що це може серйозно вплинути на продуктивність ваших віртуальних машин, але це слід зробити для найкращої безпеки).

Нарешті, зверніть увагу на поради щодо безпеки від самих Virtualbox тут https://www.virtualbox.org/manual/ch13.html ^{[Archive.org]}

Tor через VPN:

Пропустіть цей крок, якщо ви не збираєтеся використовувати Tor через VPN і лише збираєтесь використовувати Tor або не можете.

Якщо ви маєте намір використовувати Tor через VPN з будь-якої причини. Спершу потрібно налаштувати службу VPN на хост-ОС.

Пам’ятайте, що в цьому випадку ми рекомендуємо мати два облікові записи VPN. Обидва платили готівкою/Monero (див. Додаток O: Отримання анонімного VPN/проксі ). Один буде використовуватися в ОС хоста для першого VPN-з’єднання. Інший можна використовувати у віртуальній машині для досягнення VPN через Tor через VPN (Користувач > VPN > Tor > VPN).

Якщо ви збираєтеся використовувати лише Tor через VPN, вам потрібен лише один обліковий запис VPN.

див. у Додатку R: Встановлення VPN на віртуальну машину або хост-ОС . Інструкції

Віртуальні машини Whonix:

Пропустіть цей крок, якщо ви не можете використовувати Tor.

• Запустіть Virtualbox на своїй хост-ОС.
• Імпортуйте файл Whonix у Virtualbox, дотримуючись інструкцій на https://www.whonix.org/wiki/VirtualBox/XFCE ^{[Archive.org]}
• Запустіть віртуальні машини Whonix

На цьому етапі пам’ятайте, що якщо у вас виникають проблеми з підключенням до Tor через цензуру чи блокування, вам слід розглянути можливість підключення за допомогою Bridges, як описано в цьому підручнику https://www.whonix.org/wiki/Bridges ^{[Archive.org]} .

• Оновіть віртуальні машини Whonix, дотримуючись інструкцій на сторінці https://www.whonix.org/wiki/Operating_System_Software_and_Updates#Updates ^{[Archive.org]}
• Вимкніть віртуальні машини Whonix
• Зробіть знімок оновлених віртуальних машин Whonix у Virtualbox (виберіть віртуальну машину та натисніть кнопку «Зробити знімок»). Про це пізніше.
• Перейдіть до наступного кроку

Важлива примітка: ви також повинні прочитати ці дуже хороші рекомендації там https://www.whonix.org/wiki/DoNot ^{[Archive.org]} оскільки більшість із цих принципів також стосуватимуться цього посібника. Ви також повинні прочитати їх загальну документацію тут https://www.whonix.org/wiki/Documentation ^{[Archive.org]} який також надасть масу порад, як цей посібник.

Виберіть віртуальну машину гостьової робочої станції:

Використання Whonix/Linux потребує від вас додаткових навичок, оскільки це дистрибутиви Linux. Ви також зіткнетеся з більшими труднощами, якщо збираєтеся використовувати певне програмне забезпечення, яке може бути складніше використовувати на Whonix/Linux. Налаштувати VPN через Tor на Whonix також буде складніше, ніж на Windows.

Якщо ви можете використовувати Tor:

Ви можете вирішити, чи віддаєте перевагу виконувати свої конфіденційні дії з робочої станції Whonix, наведеної в попередньому розділі (настійно рекомендовано), чи з спеціальної віртуальної машини, яка використовуватиме шлюз Whonix, як-от робоча станція Whonix (менш безпечна, але може знадобитися залежно від того, що ви мають намір зробити).

Якщо ви не можете використовувати Tor:

Якщо ви не можете використовувати Tor, ви можете використовувати спеціальну віртуальну машину на ваш вибір, яка ідеально використовуватиме анонімну VPN, якщо це можливо, для підключення до мережі Tor. Або ви можете піти ризикованим шляхом: дивіться Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не є варіантом

Віртуальна машина Linux (Whonix або Linux):

Робоча станція Whonix (рекомендовано та бажано) :

Пропустіть цей крок, якщо ви не можете використовувати Tor.

Просто скористайтеся наданою віртуальною машиною Whonix Workstation. Це найбезпечніший і найбезпечніший спосіб пройти цей маршрут.

Це також єдина віртуальна машина, яка за замовчуванням забезпечить ізоляцію потоку, попередньо налаштовану для більшості програм ³⁵⁸ .

Якщо вам потрібне додаткове програмне забезпечення на робочій станції (наприклад, інший браузер), дотримуйтесь їх посібника тут https://www.whonix.org/wiki/Install_Software ^{[Archive.org]}

Розгляньте можливість запуску Whonix у режимі реального часу, якщо для додаткового захисту від зловмисного програмного забезпечення див. https://www.whonix.org/wiki/Anti-Forensics_Precautions ^{[Archive.org]}

Не забудьте застосувати рекомендації щодо зміцнення VM тут: Рекомендації щодо зміцнення Virtualbox .

Розгляньте можливість використання AppArmor на робочих станціях Whonix, дотримуючись цього посібника: https://www.whonix.org/wiki/AppArmor ^{[Archive.org]}

Linux (будь-який дистрибутив):

Будьте обережні, будь-які налаштування, які ви вносите в гостьові віртуальні машини (не-Whonix) (розкладка клавіатури, мова, часовий пояс, роздільна здатність екрана тощо), можуть бути використані для відбитків ваших віртуальних машин пізніше. Див. https://www.whonix.org/wiki/VM_Fingerprinting ^{[Archive.org]}

Якщо ви можете використовувати Tor (нативно або через VPN):

Використовуйте дистрибутив Linux на свій вибір. Ми рекомендуємо Ubuntu або Fedora для зручності, але будь-який інший також підійде. Не вмикайте телеметрію.

Перегляньте цей підручник https://www.whonix.org/wiki/Other_Operating_Systems ^{[Archive.org]} для отримання детальних інструкцій.

Подумайте про посилення захисту віртуальної машини, як це рекомендовано в розділі Зміцнення Linux .

Якщо ви не можете використовувати Tor:

Використовуйте дистрибутив Linux на свій вибір. Ми рекомендуємо Ubuntu або Fedora для зручності, але будь-який інший також підійде. Не вмикайте телеметрію. Ви можете піти ризикованим шляхом: Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не є варіантом

Виберіть браузер у віртуальній машині:

Цього разу ми рекомендуємо браузер Brave.

Дізнайтесь, чому тут: Додаток V: Який браузер використовувати у гостьовій віртуальній машині/одноразовій віртуальній машині

Див. Додаток V1: Посилення безпеки Ваших браузерів .

Віртуальна машина Windows 10/11:

Будьте обережні, будь-які налаштування, які ви вносите в гостьові віртуальні машини (не-Whonix) (розкладка клавіатури, мова, часовий пояс, роздільна здатність екрана тощо), можуть бути використані для відбитків ваших віртуальних машин пізніше. Див. https://www.whonix.org/wiki/VM_Fingerprinting ^{[Archive.org]}

Завантаження ISO для Windows 10 і 11:

Використовуйте офіційну віртуальну машину Windows 10/11 Pro і посиліть її самостійно: перегляньте [Додаток C: Створення інсталяційного носія Windows][306] і перейдіть за маршрутом ISO.

Якщо ви можете використовувати Tor (нативно або через VPN):

Перегляньте цей підручник https://www.whonix.org/wiki/Other_Operating_Systems ^{[Archive.org]} для отримання детальних інструкцій.

встановити:

• Вимкніть Whonix Gateway VM (це не дозволить Windows надсилати телеметрію та дозволить вам створити локальний обліковий запис).
• Відкрийте Virtualbox
• Виберіть Машина > Новий > Виберіть Windows 10 або Windows 11 64-розрядна
• Виділіть мінімум 2 ГБ для Windows 10 і 4 ГБ для Windows 11
• Створіть віртуальний диск у форматі VDI та виберіть «Динамічний розподіл».
• Зберігайте розмір диска на рівні 50 ГБ для Windows 10 і 80 ГБ для Windows 11 (це максимум; він не повинен досягати такого обсягу)
• Переконайтеся, що PAE/NX увімкнено в System > Processor
• Виберіть віртуальну машину та натисніть Налаштування, перейдіть на вкладку Мережа
• Виберіть «Внутрішня мережа» в полі «Прикріплено до» та виберіть Whonix.
• Перейдіть на вкладку «Зберігання», виберіть «Порожній компакт-диск» і натисніть піктограму поруч із портом SATA 1
• Клацніть «Вибрати файл диска» та виберіть ISO Windows, який ви завантажили раніше
• Натисніть OK і запустіть віртуальну машину
• Virtualbox запропонує вам або натиснути кнопку, щоб завантажити ISO, або запитає, що завантажити, виберіть ISO або натисніть.
• Виконайте кроки в Додатку A: Встановлення Windows
• Запустіть Whonix Gateway VM

Мережеві налаштування:

• Повернутися до Windows
• Windows 10: поверніться до Налаштувань, а потім Мережа та Інтернет. Windows 11: перейдіть до налаштувань, клацніть меню вгорі ліворуч і виберіть «Мережа та Інтернет»
• Windows 10: натисніть «Властивості» (під Ethernet). Windows 11: натисніть Ethernet
• Windows 10: Змініть параметри IP. Windows 11: редагування призначення IP.
• Windows 10: увімкніть IPv4 і встановіть наступне, Windows 11: переключіться з DHCP на ручний і встановіть наступне:
  IP-адреса 10.152.152.50(збільште цей IP на один для будь-якої іншої віртуальної машини) Довжина префікса підмережі 18( 255.255.192.0) Шлюз 10.152.152.10(це шлюз Whonix) (Windows 10) DNS 10.152.152.10(це знову шлюз Whonix) (Windows 11) вийдіть із призначення IP-адреси та виберіть Призначення DNS-сервера та встановіть його 10.152.152.10(це знову шлюз Whonix) зберегти
• Windows може запитати вас, якщо ви хочете бути «видимим» у цій мережі. Натисніть НІ. Завжди залишайтеся в «загальнодоступній мережі», якщо буде запропоновано.

Кожного разу, коли ви вмикатимете цю віртуальну машину в майбутньому, ви повинні обов’язково змінювати її Ethernet Mac-адресу перед кожним завантаженням. Ви можете зробити це у Virtualbox > Налаштування > Мережа > Додатково > Натисніть кнопку оновлення поруч із MAC-адресою. Це можна зробити, лише коли віртуальну машину вимкнено.

Якщо ви не можете використовувати Tor:

Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні

встановити:

• Відкрийте Virtualbox
• Виберіть Машина > Створити > Виберіть Windows 10 або 11 64-розрядна
• Виділіть мінімум 4 ГБ оперативної пам’яті для 11, 2 ГБ оперативної пам’яті для 10.
• Створіть віртуальний диск у форматі VDI та виберіть «Динамічний розподіл».
• Переконайтеся, що на вкладці «Система/процесор» увімкнено PAE/NX.
• Зберігайте розмір диска на рівні 80 ГБ для 11, 50 ГБ для 10 (це максимум; він не повинен досягати стільки)
• Перейдіть на вкладку «Зберігання», виберіть «Порожній компакт-диск» і натисніть піктограму поруч із портом SATA 1
• Клацніть «Вибрати файл диска» та виберіть ISO Windows, який ви завантажили раніше
• Натисніть OK і запустіть віртуальну машину
• Virtualbox запропонує вам або натиснути кнопку, щоб завантажити ISO, або запитає, що завантажити, виберіть ISO або натисніть.
• Виконайте кроки в Додатку A: Встановлення Windows

Мережеві налаштування:

• Windows запропонує вам, чи хочете ви бути видимими в цій мережі. Натисніть НІ.

Кожного разу, коли ви вмикатимете цю віртуальну машину в майбутньому, ви повинні обов’язково змінювати її Ethernet Mac-адресу перед кожним завантаженням. Ви можете зробити це у Virtualbox > Налаштування > Мережа > Додатково > Натисніть кнопку оновлення поруч із MAC-адресою. Це можна зробити, лише коли віртуальну машину вимкнено.

Виберіть браузер у віртуальній машині:

Цього разу ми рекомендуємо браузер Brave.

Дізнайтесь, чому тут: Додаток V: Який браузер використовувати у гостьовій віртуальній машині/одноразовій віртуальній машині

Див. Додаток V1: Посилення безпеки Ваших браузерів .

Додаткові параметри конфіденційності в Windows 10/11:

Див. Додаток B: Додаткові параметри конфіденційності Windows

Віртуальна машина Android:

Тому що іноді ви також хочете запускати мобільні програми анонімно. Ви також можете налаштувати Android VM для цієї мети. Як і в інших випадках, в ідеалі ця віртуальна машина також знаходитиметься за шлюзом Whonix для підключення до мережі Tor. Але це також можна налаштувати як VPN через Tor через VPN

Якщо ви можете використовувати Tor (нативно або через VPN):

Пізніше в налаштуваннях віртуальної машини під час створення перейдіть до Мережа та виберіть Внутрішня мережа, Whonix.

Потім на самому Android:

• Виберіть Wi-Fi
• Виберіть VirtWifi для підключення
• Перейдіть до розширених властивостей Wi-Fi
• Переключіться з DHCP на Static
  IP-адреса 10.152.152.50(збільште цей IP на один для будь-якої іншої віртуальної машини) Довжина префікса підмережі 18( 255.255.192.0) Шлюз 10.152.152.10(це шлюз Whonix) DNS 10.152.152.10(це знову шлюз Whonix)

Якщо ви не можете використовувати Tor:

Просто використовуйте підручники як є та перегляньте Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні

Установка:

Два варіанти: AnBox або Android-x86

Особисто ми б рекомендували AnBox замість Android-x86, але для цього потрібен Linux

AnBox:

В основному дотримуйтесь інструкції з встановлення AnBox на робочій станції Whonix: https://www.whonix.org/wiki/Anbox ^{[Archive.org]} для запуску програм Android у віртуальній машині AnBox.

Або дотримуйтесь інструкцій тут https://anbox.io/ , щоб встановити на будь-яку іншу віртуальну машину (тільки для Linux)

Android-x86:

Загалом, дотримуйтеся посібника тут: https://www.android-x86.org/documentation/virtualbox.html ^{[Archive.org]}

• Завантажте файл ISO за вашим вибором
• Створіть нову віртуальну машину.
• Виберіть Linux і Linux 2.6 / 3.x / 4.x 64 Bit.
• У системі:
  Виділіть принаймні 2048 МБ (2 ГБ) пам’яті Зніміть позначку з дисковода На вкладці «Процесор» виберіть принаймні 1 або більше ЦП Увімкнути PAE/NX
• У налаштуваннях дисплея змініть адаптер на VBoxVGA
• У налаштуваннях звуку виберіть Intel HD Audio
• Запустіть віртуальну машину
• Виберіть «Додатково», якщо вам потрібна постійність, «Живе», якщо ви хочете одноразове завантаження (і пропустіть наступні кроки).
• Виберіть «Автоматичне встановлення на вибраний жорсткий диск».
• Виберіть «Запустити Android».
• Налаштуйте за бажанням (вимкніть усі підказки для збору даних). Я рекомендую використовувати головну панель завдань.
• Перейдіть у Налаштування, Параметри Android-x86 і вимкніть усі колекції.
• Підключіться до мережі Wi-Fi VirtWifi (перегляньте розділ вище, якщо ви працюєте за Whonix і хочете використовувати Tor)

Тепер ви готові та можете встановлювати будь-яку програму Android.

Віртуальна машина macOS:

Так, ви дійсно можете запустити macOS у Virtualbox (на хост-системах Windows/Linux/macOS), якщо хочете використовувати macOS. Ви можете запустити будь-яку версію macOS.

Якщо ви можете використовувати Tor (нативно або через VPN):

Під час наступних посібників перед запуском віртуальної машини macOS переконайтеся, що ви розмістили віртуальні машини macOS у мережі Whonix.

• Виберіть віртуальну машину та натисніть Налаштування, перейдіть на вкладку Мережа
• Виберіть «Внутрішня мережа» в полі «Прикріплено до» та виберіть Whonix

Після цього та під час інсталяції вам потрібно буде вручну ввести IP-адресу для підключення через шлюз Whonix.

Використовуйте ці параметри, коли буде запропоновано в процесі інсталяції macOS:

• IP-адреса 10.152.152.50(збільште цей IP на один для будь-якої іншої віртуальної машини)
• Довжина префікса підмережі 18( 255.255.192.0)
• Шлюз 10.152.152.10(це шлюз Whonix)
• DNS 10.152.152.10(це знову шлюз Whonix)

Якщо ви не можете використовувати Tor:

Просто використовуйте підручники як є та перегляньте Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні

Установка:

• Хост-ОС Windows:
  Підручник з Virtualbox Catalina: https://www.wikigain.com/install-macos-catalina-on-virtualbox-on-windows/ ^{[Archive.org]} Підручник з Virtualbox Big Sur: https://www.wikigain.com/how-to-install-macos-big-sur-on-virtualbox-on-windows-pc/ ^{[Archive.org]} Підручник з Virtualbox Monterey: https://www.wikigain.com/install-macos-monterey-on-virtualbox/ ^{[Archive.org]}
• Хост-ОС macOS:
  • Просто використовуйте ті самі підручники, що й вище, але виконуйте різні команди в терміналі. Він повинен працювати без проблем.
• Хост-ОС Linux:
  • Просто використовуйте ті самі підручники, що й вище, але виконуйте різні команди в терміналі. Він повинен працювати без проблем.

Запуск macOS на віртуальних машинах має деякі недоліки. Основний з них полягає в тому, що вони не мають серійного номера (0 за замовчуванням), і ви не зможете увійти в будь-який сервіс Apple (iCloud, iMessage…) без справжнього ідентифікатора. Ви можете встановити такі ідентифікатори за допомогою цього сценарію: https://github.com/myspaghetti/macos-virtualbox ^{[Archive.org]} але майте на увазі, що випадково згенеровані ідентифікатори не працюватимуть, а використання чужого ідентифікатора порушить їхні Умови надання послуг і може вважатися видаванням себе за іншу особу (і тому може бути незаконним).

Примітка. Ми також зіткнулися з кількома проблемами під час їх запуску на процесорах AMD. Це можна виправити, тому ось використана конфігурація, яка добре працювала з Catalina, Big Sur і Monterey, яка накаже Virtualbox натомість емулювати процесор Intel:

• VBoxManage modifyvm "macOSCatalina" ---cpuidset 00000001 000106e5 00100800 0098e3fd bfebfbff
• VBoxManage setextradata "macOSCatalina" "VBoxInternal/Devices/efi/0/Config/DmiSystemProduct" "MacBookPro15,1"
• VBoxManage setextradata "macOSCatalina" "VBoxInternal/Devices/efi/0/Config/DmiBoardProduct" "Mac-551B86E5744E2388"
• VBoxManage setextradata "macOSCatalina" "VBoxInternal/Devices/smc/0/Config/DeviceKey" "ourhardworkbythesewordsguardedpleasedontsteal(c)AppleComputerInc"
• VBoxManage setextradata "macOSCatalina" "VBoxInternal/Devices/smc/0/Config/GetKeyFromRealSMC" 1
• VBoxManage modifyvm "macOSCatalina" --cpu-profile "Intel Core i7-6700K"
• VBoxManage setextradata "macOSCatalina" VBoxInternal2/EfiGraphicsResolution 1920x1080

Зміцнення macOS:

Див. Посилення macOS .

Виберіть браузер у віртуальній машині:

Цього разу ми рекомендуємо браузер Brave.

Дізнайтесь, чому тут: Додаток V: Який браузер використовувати у гостьовій віртуальній машині/одноразовій віртуальній машині

Див. Додаток V1: Посилення безпеки Ваших браузерів .

KeepassXC:

Вам знадобиться щось для зберігання ваших даних (логіни/паролі, ідентифікаційні дані та TOTP ³⁵⁹ інформація).

Для цієї мети ми наполегливо рекомендуємо KeePassXC через вбудовану функцію TOTP. Це можливість створювати записи для 2FA ³⁶⁰ автентифікація за допомогою функції автентифікатора.

Пам’ятайте, що в ідеалі це має бути встановлено на вашій гостьовій віртуальній машині, а не на вашій хост-ОС. Ви ніколи не повинні виконувати будь-які конфіденційні дії з вашої хост-ОС.

Ось підручники:

• Записи: KeePassXC інтегровано за замовчуванням
• Whonix: https://www.whonix.org/wiki/Keepassxc ^{[Archive.org]}
• Linux:
  Завантажити з https://keepassxc.org/download/ ^{[Archive.org]} Дотримуйтесь інструкції тут https://keepassxc.org/docs/KeePassXC_GettingStarted.html#_linux ^{[Archive.org]}
• Windows:
  Завантажити з https://keepassxc.org/download/ ^{[Archive.org]} Дотримуйтесь інструкції тут https://KeePassXC.org/docs/KeePassXC_GettingStarted.html#_microsoft_windows/ ^{[Archive.org]}
• macOS:
  Завантажити з https://keepassxc.org/download/ ^{[Archive.org]} Дотримуйтесь інструкції тут https://keepassxc.org/docs/KeePassXC_GettingStarted.html#_macos ^{[Archive.org]}

Перш ніж переходити до наступного кроку, перевірте, чи KeePassXC працює.

Встановлення клієнта VPN (готівка/оплата Monero):

Якщо ви вирішили не використовувати готівковий VPN і просто хочете використовувати Tor, пропустіть цей крок.

Якщо ви взагалі не можете використовувати VPN у агресивному середовищі, пропустіть цей крок.

В іншому випадку перегляньте Додаток R: Встановлення VPN на вашу віртуальну машину або хост-ОС, щоб установити клієнт VPN на вашу клієнтську віртуальну машину.

На цьому маршрут завершується, і ви повинні бути готові.

Про інтелектуальний аналіз/витік даних клієнта VPN:

Ви можете запитати себе, чи заслуговують на довіру ці VPN-клієнти, щоб не передавати інформацію про ваше локальне середовище постачальнику VPN під час використання їх у контексті «VPN через Tor».

Це обґрунтоване занепокоєння, але слід сприймати його з певною часткою солі.

Пам’ятайте, що всі дії VPN відбуваються з віртуальної машини ізольованого програмного середовища у внутрішній мережі за мережевим шлюзом (шлюз Whonix). Неважливо, якщо VPN-клієнт залишить деякі ідентифікатори на вашій гостьовій віртуальній машині. Гостьова віртуальна машина все ще знаходиться в ізольованому програмному середовищі та відгороджена від хост-ОС. Поверхня атаки невелика, особливо при використанні авторитетних і рекомендованих постачальників VPN у посібниках (iVPN, Mullvad, Proton VPN і, можливо, Safing.io).

У найкращому випадку VPN-клієнт знатиме вашу локальну IP-адресу (внутрішню IP-адресу) і деякі рандомізовані ідентифікатори, але не зможе нічого отримати від хост-ОС. Теоретично VPN-клієнт не повинен надсилати телеметрію постачальнику VPN. Якщо ваш VPN-клієнт робить це або запитує це, вам слід змінити постачальника.

(Необов’язково) Перемикач блокування віртуальної машини:

Цей крок дозволить вам налаштувати ОС хоста так, щоб лише віртуальна машина Whonix Gateway мала доступ до Інтернету. Таким чином, це запобіжить будь-якому «витоку» з вашої хост-ОС, дозволяючи шлюзу Whonix встановити підключення до Tor. Інші віртуальні машини (Whonix Workstation або будь-яка інша віртуальна машина, яку ви за нею встановили, це не вплине)

Є три способи зробити це:

• Лінивий шлях (насправді не рекомендується): не підтримується Whonix і може мати певні наслідки для безпеки, оскільки ви відкриєте віртуальну машину Whonix Gateway для публічної мережі Wi-Fi. Ми б не рекомендували цього робити, якщо ви не поспішаєте або дуже ліниві.
  • Цей метод не працюватиме з адаптивними порталами Wi-Fi, для підключення яких потрібна реєстрація.
• Кращий спосіб (див. далі): все ще не підтримується Whonix, але він не відкриватиме віртуальну машину Whonix Gateway для публічної мережі Wi-Fi. Це має контролювати ситуацію з точки зору безпеки.
• Найкращий спосіб: використання зовнішнього USB-ключа Wi-Fi і просто відключення Wi-Fi на головній ОС/комп’ютері.

Ледачий спосіб ( не підтримується Whonix , але він спрацює, якщо ви поспішаєте, дивіться далі, щоб дізнатися про кращий спосіб):

Цей спосіб не підтримується проектом Whonix ³⁶¹ але я все одно дам цей варіант. Це допоможе запобігти витоку будь-якої інформації з вашої хост-ОС під час використання віртуальних машин Whonix.

Зауважте, що цей варіант «як є» працюватиме лише на Wi-Fi без адаптивного порталу (куди потрібно ввести деяку інформацію, щоб розблокувати доступ).

На ілюстрації нижче показано результат цього кроку:

Конфігурація Whonix Gateway VM:

Щоб це працювало, нам потрібно буде змінити деякі конфігурації віртуальної машини Whonix Gateway. нам потрібно буде додати клієнта DHCP до Whonix Gateway, щоб отримувати IP-адреси з мережі. Щоб внести ці зміни, хост-ОС все ще має мати доступ до Інтернету.

Отже, ось як:

• Переконайтеся, що ваша хост-ОС підключена до безпечної мережі Wi-Fi.
• Через VirtualBox запустіть Whonix Gateway VM
• Запустіть термінал на віртуальній машині
• Встановіть клієнт DHCP на віртуальну машину Whonix Gateway за допомогою такої команди:
  • sudo apt install dhcpcd5
• Тепер відредагуйте конфігурацію мережі Whonix Gateway VM за допомогою такої команди:
  • sudo nano /etc/network/interfaces.d/30_non-qubes-whonix
• У файлі змініть такі рядки:
  # auto eth0до auto eth0 # iface eth0 inet dhcpдо iface eth0 inet dhcp iface eth0 inet staticдо # iface eth0 inet static address 10.0.2.15до # address 10.0.2.15 netmask 255.255.255.0до # netmask 255.255.255.0 gateway 10.0.2.2до # gateway 10.0.2.2
• Збережіть (за допомогою Ctrl+X і підтвердіть, натиснувши Y) і вимкніть віртуальну машину з верхнього лівого меню
• Зайдіть у програму VirtualBox і виберіть Whonix Gateway VM
• Натисніть Налаштування
• Натисніть вкладку Мережа
• Для адаптера 1 змініть значення «Attached To» з «NAT» на «Bridged Adapter»
• У полі «Назва» виберіть мережевий адаптер Wi-Fi
• Натисніть OK, і ви закінчите з частиною налаштування віртуальної машини

Конфігурація хост-ОС:

Тепер ви повинні заблокувати доступ до Інтернету з вашої хост-ОС, дозволяючи віртуальній машині підключатися. Це буде зроблено шляхом підключення до Wi-Fi за допомогою хост-ОС, але без призначення IP-адреси. Потім віртуальна машина використовуватиме ваш зв’язок Wi-Fi, щоб отримати IP-адресу.

Хост-ОС Windows:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте адміністративний командний рядок (клацніть правою кнопкою миші командний рядок і запустіть від імені адміністратора)
• Виконайте таку команду: route delete 0.0.0.0(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину Whonix Gateway, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation або іншим).
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Хост-ОС Linux:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте термінал
• Виконайте таку команду: sudo ip route del default(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину Whonix Gateway, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation або іншим).
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Хост-ОС macOS:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте термінал
• Виконайте таку команду: sudo route delete default(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину Whonix Gateway, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation або іншим).
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Кращий спосіб (рекомендовано):

Цей спосіб не суперечитиме рекомендаціям Whonix (оскільки він не відкриватиме шлюз Whonix для хост-ОС) і матиме перевагу, дозволяючи з’єднання не лише для відкритих Wi-Fi, але й до тих, що мають Captive Portal, де вам потрібно введіть деяку інформацію для доступу до Інтернету.

Проте це все ще не підтримуватиметься проектом Whonix, але це добре, оскільки головна проблема для попереднього Lazy Way полягає в тому, щоб віртуальна машина Whonix Gateway була доступна до хост-мережі, а тут це не так.

Ця опція потребуватиме додаткової віртуальної машини між ОС хоста та шлюзом Whonix, щоб діяти як мережевий міст.

Для цієї мети я рекомендую використовувати легкий дистрибутив Linux. Підійде будь-який, але найпростішим буде дистрибутив на базі Ubuntu, і я б рекомендував полегшений XUbuntu, оскільки налаштувати це налаштування буде надзвичайно легко.

Чому XUbuntu, а не Ubuntu або KUbuntu? Оскільки XUbuntu використовує середовище робочого столу XFCE, яке є легким, і ця віртуальна машина слугуватиме лише як проксі-сервер і нічого більше.

Звичайно, ви також можете досягти цього за допомогою будь-якого іншого дистрибутива Linux, якщо вирішите, що вам не подобається XUbuntu.

Ось як це буде виглядати в кінці:

Встановлення XUbuntu VM:

XUbuntu було обрано через продуктивність XFCE.

Для цієї операції переконайтеся, що ви підключені до безпечної мережі Wi-Fi.

По-перше, вам потрібно буде завантажити останню версію XUbuntu Stable ISO з https://xubuntu.org/download/

Коли ви закінчите із завантаженням, настав час створити нову віртуальну машину:

• Запустіть VirtualBox Manager
• Створіть нову віртуальну машину та назвіть її як завгодно, наприклад «XUbuntu Bridge»
• Виберіть тип «Linux»
• Виберіть версію «Ubuntu (64-bit)»
• Залиште інші параметри за замовчуванням і натисніть «Створити».
• На наступному екрані залиште параметри за замовчуванням і натисніть «Створити».
• Виберіть щойно створену віртуальну машину та натисніть «Параметри».
• Виберіть Мережа
• Для адаптера 1 перейдіть у режим Bridged і виберіть свій адаптер Wi-Fi у полі «Назва».
• Виберіть адаптер 2 і ввімкніть його
• Приєднайте його до «Внутрішньої мережі» та назвіть «Міст XUbuntu»
• Виберіть Сховище
• Виберіть Очистити компакт-диск
• Праворуч натисніть значок компакт-диска та виберіть «Вибрати файл на диску».
• Виберіть ISO XUbuntu, який ви завантажили раніше, і натисніть «ОК».
• Запустіть віртуальну машину
• Виберіть Запустити XUbuntu
• Виберіть «Встановити XUbuntu».
• Виберіть розкладку клавіатури та натисніть «Продовжити».
• Виберіть Мінімальна інсталяція та Завантажте оновлення під час інсталяції XUbuntu
• Виберіть «Очистити диск» і встановіть XUbuntu та натисніть «Установити зараз».
• Виберіть потрібний часовий пояс і натисніть «Продовжити».
• Виберіть кілька випадкових імен, які не стосуються вас (моє улюблене ім’я користувача «NoSuchAccount»)
• Виберіть пароль і вимагайте пароль для входу
• Натисніть «Продовжити», дочекайтеся завершення встановлення та перезапустіть
• Коли ви завершите перезавантаження, увійдіть
• Клацніть піктограму підключення у верхньому правому куті (це виглядає як дві сфери, що обертаються)
• Натисніть Редагувати підключення
• Виберіть Wired Connection 2 (адаптер 2, попередньо налаштований у налаштуваннях VirtualBox)
• Виберіть вкладку IPv4
• Змініть метод на «Спільний доступ до інших комп’ютерів» і натисніть «Зберегти».
• Тепер ви закінчили налаштування XUbuntu Bridge VM

Налаштування віртуальної машини Whonix Gateway:

За замовчуванням шлюз Whonix не має клієнта DHCP і потребує його для отримання IP-адреси зі спільної мережі, яку ви налаштували раніше:

• Через VirtualBox запустіть Whonix Gateway VM
• Запустіть термінал на віртуальній машині
• Встановіть клієнт DHCP на віртуальну машину Whonix Gateway за допомогою такої команди:
  • sudo apt install dhcpcd5
• Тепер відредагуйте конфігурацію мережі Whonix Gateway VM за допомогою такої команди:
  • sudo nano /etc/network/interfaces.d/30_non-qubes-whonix
• У файлі змініть такі рядки:
  # auto eth0до auto eth0 # iface eth0 inet dhcpдо iface eth0 inet dhcp iface eth0 inet staticдо # iface eth0 inet static address 10.0.2.15до # address 10.0.2.15 netmask 255.255.255.0до # netmask 255.255.255.0 gateway 10.0.2.2до # gateway 10.0.2.2
• Збережіть (за допомогою Ctrl+X і підтвердіть, натиснувши Y) і вимкніть віртуальну машину з верхнього лівого меню
• Зайдіть у програму VirtualBox і виберіть Whonix Gateway VM
• Натисніть Налаштування
• Натисніть вкладку Мережа
• Для адаптера 1 змініть значення «Attached To» з «NAT» на «Internal Network»
• Як «Назва» виберіть внутрішню мережу «XUbuntu Bridge», яку ви створили раніше, і натисніть OK
• Перезавантажте віртуальну машину Whonix Gateway
• У верхньому лівому меню виберіть «Система», «Панель керування Tor» і переконайтеся, що ви підключені (так має бути)
• Ви закінчили налаштування віртуальної машини Whonix Gateway

Конфігурація хост-ОС:

Тепер ви повинні заблокувати доступ до Інтернету з вашої хост-ОС, дозволяючи віртуальній машині XUbuntu Bridge підключатися. Це буде зроблено шляхом підключення до Wi-Fi за допомогою хост-ОС, але без призначення адреси шлюзу. Потім віртуальна машина використовуватиме ваш зв’язок Wi-Fi, щоб отримати IP-адресу.

За потреби з віртуальної машини XUbuntu Bridge VM ви зможете запустити браузер, щоб ввести інформацію в будь-який портал приєднання/реєстрації в мережі Wi-Fi.

Лише віртуальна машина XUbuntu Bridge повинна мати доступ до Інтернету. Основна ОС буде обмежена лише локальним трафіком.

Хост-ОС Windows:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте адміністративний командний рядок (клацніть правою кнопкою миші командний рядок і запустіть від імені адміністратора)
• Виконайте таку команду: route delete 0.0.0.0(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину XUbuntu Bridge, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation чи іншим).
• Якщо необхідно, ви можете використовувати XUbuntu Bridge VM Browser, щоб заповнити будь-яку інформацію на будь-якому адаптивному/реєстраційному порталі для доступу до Wi-Fi.
• Після цього ви можете запустити віртуальну машину Whonix Gateway, яка має отримати підключення до Інтернету від віртуальної машини XUbuntu Bridge.
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Хост-ОС Linux:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте термінал
• Виконайте таку команду: sudo ip route del default(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину XUbuntu Bridge, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation чи іншим).
• Якщо необхідно, ви можете використовувати XUbuntu Bridge VM Browser, щоб заповнити будь-яку інформацію на будь-якому адаптивному/реєстраційному порталі для доступу до Wi-Fi.
• Після цього ви можете запустити віртуальну машину Whonix Gateway, яка має отримати підключення до Інтернету від віртуальної машини XUbuntu Bridge.
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Хост-ОС macOS:

Мета тут полягає в тому, щоб зв’язатися з мережею Wi-Fi без підключення до Інтернету. Ви досягнете цього, видаливши шлюз із підключення після підключення:

• Спочатку підключіться до безпечної Wi-Fi за вашим вибором
• Відкрийте термінал
• Виконайте таку команду: sudo route delete default(це видаляє шлюз із конфігурації IP-адреси)
• Ви готові, ваша хост-ОС тепер не зможе отримати доступ до Інтернету, поки все ще підключена до Wi-Fi
  • Зауважте, що це буде скинуто після кожного відключення/повторного підключення до мережі, і вам доведеться знову видаляти маршрут. Це не постійно.
• Тепер ви можете запустити віртуальну машину XUbuntu Bridge, яка має автоматично отримувати IP-адресу від мережі Wi-Fi та надавати мережу іншим віртуальним машинам (Whonix Workstation чи іншим).
• Якщо необхідно, ви можете використовувати XUbuntu Bridge VM Browser, щоб заповнити будь-яку інформацію на будь-якому адаптивному/реєстраційному порталі для доступу до Wi-Fi.
• Після цього ви можете запустити віртуальну машину Whonix Gateway, яка має отримати підключення до Інтернету від віртуальної машини XUbuntu Bridge.
• І, нарешті, після цього ви можете запустити Whonix Workstation VM (або будь-яку іншу віртуальну машину, яку ви налаштували для роботи позаду Whonix Gateway VM), і вона повинна бути підключена до Інтернету через Tor.

Найкращий спосіб:

Цей спосіб не суперечитиме рекомендаціям Whonix (оскільки він не відкриватиме шлюз Whonix для хост-ОС) і матиме перевагу, дозволяючи з’єднання не лише для відкритих Wi-Fi, але й до тих, що мають Captive Portal, де вам потрібно введіть деяку інформацію для доступу до Інтернету. Проте це все ще не підтримуватиметься проектом Whonix, але це добре, оскільки головна проблема для попереднього Lazy Way полягає в тому, щоб віртуальна машина Whonix Gateway була доступна до хост-мережі, а тут це не так. Цей варіант є найкращим, оскільки мережа буде повністю вимкнена на хост-ОС від завантаження.

Для цього параметра знадобиться додаткова віртуальна машина між ОС хоста та шлюзом Whonix, щоб діяти як мережевий міст і підключатися до мережі Wi-Fi. Для цього параметра потрібен робочий USB-ключ Wi-Fi, який буде передано до віртуальної машини моста.

Для цієї мети я рекомендую використовувати легкий дистрибутив Linux. Підійде будь-який, але найпростішим буде дистрибутив на базі Ubuntu, і я б рекомендував полегшений XUbuntu, оскільки налаштувати це налаштування буде надзвичайно легко.

Чому XUbuntu, а не Ubuntu або KUbuntu? Оскільки XUbuntu використовує середовище робочого столу XFCE, яке є легким, і ця віртуальна машина слугуватиме лише як проксі-сервер і нічого більше.

Звичайно, ви також можете досягти цього за допомогою будь-якого іншого дистрибутива Linux, якщо вирішите, що вам не подобається XUbuntu.

Ось як це буде виглядати в кінці:

Конфігурація хост-ОС:

• Повністю вимкніть роботу в мережі на вашій хост-ОС (повністю вимкніть вбудований Wi-Fi)
• Підключіть і встановіть USB-ключ Wi-Fi. Підключіть його до безпечної загальнодоступної мережі Wi-Fi. Це має бути легко та автоматично встановлено будь-якою новітньою ОС (Windows 10/11, macOS, Linux).

Налаштування віртуальної машини Whonix Gateway:

За замовчуванням шлюз Whonix не має клієнта DHCP і потребує його для отримання IP-адреси зі спільної мережі, яку ви налаштуєте пізніше, на Bridge VM:

• Через VirtualBox запустіть Whonix Gateway VM
• Запустіть термінал на віртуальній машині
• Встановіть клієнт DHCP на віртуальну машину Whonix Gateway за допомогою такої команди:
  • sudo apt install dhcpcd5
• Тепер відредагуйте конфігурацію мережі Whonix Gateway VM за допомогою такої команди:
  • sudo nano /etc/network/interfaces.d/30_non-qubes-whonix
• У файлі змініть такі рядки:
  # auto eth0до auto eth0 # iface eth0 inet dhcpдо iface eth0 inet dhcp iface eth0 inet staticдо # iface eth0 inet static address 10.0.2.15до # address 10.0.2.15 netmask 255.255.255.0до # netmask 255.255.255.0 gateway 10.0.2.2до # gateway 10.0.2.2
• Збережіть (за допомогою Ctrl+X і підтвердіть, натиснувши Y) і вимкніть віртуальну машину з верхнього лівого меню

Встановлення XUbuntu VM:

Для цієї операції переконайтеся, що ви підключені до безпечної мережі Wi-Fi.

По-перше, вам потрібно буде завантажити останню версію XUbuntu Stable ISO з https://xubuntu.org/download/

Коли ви закінчите із завантаженням, настав час створити нову віртуальну машину:

• Від’єднайте свою хост-ОС від Wi-Fi, до якої ви раніше підключалися за допомогою ключа, і забудьте про мережу.
• Запустіть VirtualBox Manager
• Створіть нову віртуальну машину та назвіть її як завгодно, наприклад «XUbuntu Bridge»
• Виберіть тип «Linux»
• Виберіть версію «Ubuntu (64-bit)»
• Залиште інші параметри за замовчуванням і натисніть «Створити».
• На наступному екрані залиште параметри за замовчуванням і натисніть «Створити».
• Виберіть щойно створену віртуальну машину та натисніть «Параметри».
• Виберіть Мережа
• Для адаптера 1 підключіть його до «Internal Network» і назвіть «XUbuntu Bridge»
• Виберіть Сховище
• Виберіть Очистити компакт-диск
• Праворуч натисніть значок компакт-диска та виберіть «Вибрати файл на диску».
• Виберіть ISO XUbuntu, який ви завантажили раніше, і натисніть «ОК».
• Виберіть вкладку USB
• З правого боку натисніть значок USB зі знаком + (другий зверху)
• Виберіть адаптер Wi-Fi зі списку та переконайтеся, що він позначений (залиште параметри USB стандартними)
• Запустіть віртуальну машину
• Виберіть Запустити XUbuntu
• Виберіть «Встановити XUbuntu».
• Виберіть розкладку клавіатури та натисніть «Продовжити».
• Виберіть Мінімальна інсталяція та не встановлюйте прапорець Завантажувати оновлення під час інсталяції
• Виберіть «Очистити диск» і встановіть XUbuntu та натисніть «Установити зараз».
• Виберіть потрібний часовий пояс і натисніть «Продовжити».
• Виберіть кілька випадкових імен, які не стосуються вас (моє улюблене ім’я користувача «NoSuchAccount»)
• Виберіть пароль і вимагайте пароль для входу
• Натисніть «Продовжити», дочекайтеся завершення встановлення та перезапустіть
• Коли ви завершите перезавантаження, увійдіть
• Клацніть піктограму підключення у верхньому правому куті (це виглядає як дві сфери, що обертаються)
• Натисніть Редагувати підключення
• Виберіть Wired Connection 1 (зазвичай має бути лише одне)
• Виберіть вкладку IPv4
• Змініть метод на «Спільний доступ до інших комп’ютерів» і натисніть «Зберегти».
• Знову клацніть піктограму підключення у верхньому правому куті
• Підключіться до безпечної мережі Wi-Fi за вашим вибором і, якщо необхідно, введіть необхідну інформацію в Captive Portal.
• Тепер ви закінчили налаштування XUbuntu Bridge VM

На цьому етапі ваша хост-ОС взагалі не повинна мати мережі, а ваша віртуальна машина XUbuntu повинна мати повноцінне робоче з’єднання Wi-Fi, і це з’єднання Wi-Fi буде надано для внутрішньої мережі «Міст XUbuntu».

Додаткова конфігурація Whonix Gateway VM:

Тепер настав час налаштувати віртуальну машину Whonix Gateway, щоб отримати доступ до спільної мережі з віртуальної машини моста, яку ви щойно створили на попередньому кроці:

• Зайдіть у програму VirtualBox і виберіть Whonix Gateway VM
• Натисніть Налаштування
• Натисніть вкладку Мережа
• Для адаптера 1 змініть значення «Attached To» з «NAT» на «Internal Network»
• Як «Назва» виберіть внутрішню мережу «XUbuntu Bridge», яку ви створили раніше, і натисніть OK
• Перезавантажте віртуальну машину Whonix Gateway
• У верхньому лівому меню виберіть «Система», «Панель керування Tor» і переконайтеся, що ви підключені (так має бути)
• Ви закінчили налаштування віртуальної машини Whonix Gateway

На цьому етапі ваша віртуальна машина Whonix Gateway VM повинна отримувати доступ до Інтернету від віртуальної машини XUbuntu Bridge, яка, у свою чергу, отримує доступ до Інтернету від Wi-Fi Dongle та ділиться ним. Ваша хост-ОС взагалі не повинна мати підключення до мережі.

Усі віртуальні машини, що стоять за шлюзом Whonix, тепер мають працювати нормально без додаткового налаштування.

Останній крок:

Зробіть знімок своїх віртуальних машин VirtualBox після встановлення.

Ви закінчили, і тепер можете пропустити решту, щоб перейти до частини підключення до мережі .

Маршрут Qubes:

Зверніть увагу, що посібник оновлено до Qubes OS 4.1

Як сказано на їхньому веб-сайті, Qubes OS є достатньо безпечною, безкоштовною операційною системою з відкритим вихідним кодом і орієнтованою на безпеку для однокористувацьких настільних комп’ютерів. ОС Qubes широко використовує віртуалізацію на основі Xen, щоб створювати ізольовані відсіки під назвою Qubes і керувати ними.

Qubes OS не є дистрибутивом Linux ³⁶² але дистрибутив Xen. Він відрізняється від дистрибутивів Linux, оскільки широко використовує віртуалізацію та компартменталізацію, тому будь-яка програма працюватиме в іншій віртуальній машині (Qube). Як бонус, Qubes OS інтегрує Whonix за замовчуванням і забезпечує підвищену конфіденційність і анонімність. Настійно рекомендуємо ознайомитись із принципами ОС Qubes перед цим. Ось деякі рекомендовані ресурси:

• Ознайомлення з ОС Qubes, https://www.qubes-os.org/intro/ ^{[Archive.org]}
• Відеотури Qubes OS, https://www.qubes-os.org/video-tours/ ^{[Archive.org]}
• Qubes OS Початок роботи, https://www.qubes-os.org/doc/getting-started/ ^{[Archive.org]}
• YouTube, Life Behind the Tinfoil: погляд на Qubes і Copperhead - Костянтин Рябіцев, The Linux Foundation https://www.youtube.com/watch?v=8cU4hQg6GvU ^[Invidious]
• YouTube, ми використовували досить безпечну ОС Qubes протягом 6 місяців і вижили - Метті Макфетті [@themattymcfatty] https://www.youtube.com/watch?v=sbN5Bz3v-uA ^[Invidious]
• YouTube, Qubes OS: як це працює та демонстрація цієї орієнтованої на ВМ ОС https://www.youtube.com/watch?v=YPAvoFsvSbg ^[Invidious]

Цю ОС рекомендують такі відомі особи, як Едвард Сноуден, PrivacyGuides.org.

Qubes — найкращий варіант у цьому посібнику для людей, які зручніше користуються Linux і технологіями загалом. Але він має деякі недоліки, такі як відсутність правдоподібного заперечення в усій ОС, його апаратні вимоги та апаратна сумісність. Хоча ви можете запустити це на 4 ГБ оперативної пам’яті відповідно до їхніх вимог ^{[Archive.org]} , рекомендований обсяг оперативної пам’яті становить 16 ГБ. Ми рекомендуємо не використовувати Qubes OS, якщо у вас менше 8 ГБ оперативної пам’яті. Якщо вам потрібна комфортна робота, у вас має бути 16 ГБ, якщо ви хочете особливо приємного досвіду, у вас має бути 24 ГБ або 32 ГБ.

Причина такої вимоги до оперативної пам’яті полягає в тому, що кожна програма працюватиме в іншій віртуальній машині, і кожна з цих віртуальних машин потребуватиме та виділить певний обсяг пам’яті, який буде недоступний для інших програм. Якщо ви використовуєте рідні програми Windows у Qubes OS Qubes, накладні витрати оперативної пам’яті будуть значними.

Ви також повинні перевірити сумісність їх апаратного забезпечення тут https://www.qubes-os.org/hcl/ ^{[Archive.org]} перш ніж продовжити. Ваш пробіг може відрізнятися, і ви можете зіткнутися з кількома проблемами сумісності апаратного забезпечення, які вам доведеться усунути та вирішити самостійно.

Я думаю, що якщо ви можете собі це дозволити і вас влаштовує ідея використання Linux, вам слід вибрати цей шлях, оскільки він, мабуть, найкращий з точки зору безпеки та конфіденційності. Єдиним недоліком цього маршруту є те, що він не дає можливості ввімкнути правдоподібне заперечення для всієї ОС https://en.wikipedia.org/wiki/Plausible_deniability ^{[Без Wiki]} , на відміну від маршруту Whonix.

Виберіть спосіб підключення:

У цьому маршруті є сім можливостей:

• Рекомендовані та бажані:
  Використовуйте тільки Tor (Користувач > Tor > Інтернет) Використовуйте VPN через Tor (Користувач > Tor > VPN > Інтернет) в окремих випадках Використовуйте VPS із самостійно розміщеним VPN/проксі через Tor (Користувач > Tor > Саморозміщений VPN/проксі > Інтернет) у певних випадках
• Можливо, якщо цього вимагає контекст:
  Використовуйте VPN через Tor через VPN (Користувач > VPN > Tor > VPN > Інтернет) Використовуйте Tor через VPN (Користувач > VPN > Tor > Інтернет)
• Не рекомендується і ризиковано:
  Використовуйте лише VPN (Користувач > VPN > Інтернет) Використовуйте VPN через VPN (Користувач > VPN > VPN > Інтернет)
• Не рекомендується та дуже ризиковано (але можливо)
  • Без VPN і Tor (Користувач > Інтернет)

Тільки Tor:

Це найкраще та найбільш рекомендоване рішення.

За допомогою цього рішення вся ваша мережа проходить через Tor, і цього має бути достатньо, щоб гарантувати вашу анонімність у більшості випадків.

Є один головний недолік: деякі служби блокують/забанюють вузли виходу Tor і не дозволяють створювати облікові записи з них.

Щоб пом’якшити це, вам, можливо, доведеться розглянути наступний варіант: VPN через Tor, але врахуйте деякі пов’язані з цим ризики, які пояснюються в наступному розділі.

VPN/проксі через Tor:

Це рішення може принести деякі переваги в деяких конкретних випадках порівняно з використанням Tor лише там, де доступ до служби призначення буде неможливим із вузла виходу Tor. Це тому, що багато служб просто забороняють, перешкоджають або блокують вузли виходу Tor (див. https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor ^{[Archive.org]} ).

Це рішення можна досягти двома способами:

• Платний VPN через Tor (найпростіше)
• Платний автономний VPS, налаштований як VPN/проксі (найефективніший для уникнення онлайн-перешкод, таких як captcha, але потребує додаткових навичок роботи з Linux)

Як ви можете бачити на цій ілюстрації, якщо зловмисник зламав ваш готівковий (бажано)/платний VPN/проксі-сервер Monero (незважаючи на їхню заяву про конфіденційність і політику заборони ведення журналів), він знайде лише анонімний платний обліковий запис VPN/монеро за підключенням. до своїх послуг із вузла виходу Tor.

Якщо зловмиснику якимось чином вдасться скомпрометувати мережу Tor, він розкриє лише IP-адресу випадкової публічної мережі Wi-Fi, яка не прив’язана до вашої особи.

Якщо зловмисник якимось чином скомпрометує вашу ОС віртуальної машини (наприклад, за допомогою зловмисного програмного забезпечення чи експлойту), він потрапить у внутрішню мережу Whonix і не зможе розкрити IP-адресу публічної мережі Wi-Fi.

Однак це рішення має один головний недолік, який слід враховувати: перешкоди ізоляції потоку Tor ³⁶³ .

Ізоляція потоку — це техніка пом’якшення, яка використовується для запобігання деяким кореляційним атакам за допомогою різних ланцюгів Tor для кожної програми. Ось ілюстрація, яка показує, що таке ізоляція потоку:

(Ілюстрація Марсело Мартінса, https://stakey.club/en/decred-via-tor-network/ ^{[Archive.org]} )

VPN/Proxy через Tor знаходиться праворуч ³⁶⁴ тобто використання VPN/проксі через Tor змушує Tor використовувати один канал для всіх дій замість кількох каналів для кожного. Це означає, що використання VPN/проксі-сервера через Tor у деяких випадках може знизити ефективність Tor, і тому його слід використовувати лише в окремих випадках:

• Коли служба призначення не дозволяє вузли виходу Tor.
• Коли ви не проти використовувати спільний канал Tor для різних сервісів. Наприклад, для використання різних автентифікованих сервісів.

Однак вам слід подумати про те, щоб не використовувати цей метод, якщо вашою метою є просто перегляд випадкових різноманітних неавтентифікованих веб-сайтів, оскільки ви не отримаєте користі від ізоляції потоку, і це може полегшити кореляційні атаки для противника між кожним із ваших сеансів (див. Ваш анонімний трафік Tor/VPN ).

Більше інформації на:

• https://www.whonix.org/wiki/Stream_Isolation ^{[Archive.org]}
• https://tails.boum.org/contribute/design/stream_isolation/ ^{[Archive.org]}
• https://www.whonix.org/wiki/Tunnels/Introduction#Comparison_Table ^{[Archive.org]}

Tor через VPN:

Ви можете запитати: а як щодо використання Tor через VPN замість VPN через Tor?

• Недоліки
  Ваш провайдер VPN — це ще один провайдер, який тоді знатиме ваш вихідний IP і зможе деанонімізувати вас, якщо потрібно. Ми їм не довіряємо. Віддайте перевагу ситуації, коли ваш провайдер VPN не знає, хто ви. Це не додає багато з точки зору анонімності. Це призведе до того, що ви підключатиметеся до різних служб за допомогою IP-адреси вузла виходу Tor, який у багатьох місцях заборонений/позначений. З точки зору зручності це не допомагає.
• Переваги:
  Основна перевага полягає в тому, що якщо ви перебуваєте у ворожому середовищі, де доступ до Tor неможливий/небезпечний/підозрілий, але VPN підійде. Цей метод також не порушує ізоляцію Tor Stream.

Зверніть увагу: якщо у вас виникають проблеми з доступом до мережі Tor через блокування/цензуру, ви можете спробувати скористатися Tor Bridges (див. документацію Tor https://2019.www.torproject.org/docs/bridges ^{[Archive.org]} і документація Whonix https://www.whonix.org/wiki/Bridges ^{[Archive.org]} ).

Також можна розглянути можливість використання VPN через Tor через VPN (Користувач > VPN > Tor > VPN > Інтернет), використовуючи натомість дві платні VPN/VPN за готівку/Monero. Це означає, що ви під’єднаєте хост-ОС до першої VPN із загальнодоступної Wi-Fi, потім Whonix під’єднається до Tor, і нарешті ваша віртуальна машина під’єднається до другої VPN через Tor через VPN (див. https://www. whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor ^{[Archive.org]} ).

Звичайно, це матиме значний вплив на продуктивність і може бути досить повільним, але Tor десь необхідний для досягнення розумної анонімності.

Технічно досягти цього легко в рамках цього маршруту, вам потрібні два окремі анонімні облікові записи VPN і ви повинні підключитися до першого VPN з хост-ОС і слідувати маршруту.

Висновок: робіть це, лише якщо ви вважаєте, що використання лише Tor є ризикованим/неможливим, але VPN підходять. Або просто тому, що ти можеш і чому б і ні. Цей метод не знизить вашу безпеку/конфіденційність/анонімність.

Лише VPN:

Цей маршрут не пояснюватимуть і не рекомендуватимуть.

Якщо ви можете використовувати VPN, ви зможете додати поверх нього рівень Tor. І якщо ви можете використовувати Tor, ви можете додати анонімний VPN поверх Tor, щоб отримати бажане рішення.

Просто використання VPN або навіть VPN через VPN не має сенсу, оскільки вони можуть бути відстежені до вас з часом. Один із постачальників VPN знатиме ваш справжній вихідний IP (навіть якщо він знаходиться в безпечному загальнодоступному просторі), і навіть якщо ви додасте його поверх нього, другий все одно знатиме, що ви користуєтеся цією іншою першою службою VPN. Це лише трохи затримає вашу деанонімізацію. Так, це доданий рівень… але це постійний централізований доданий рівень, і з часом вас можна деанонімізувати. Це лише об’єднання 3 провайдерів, які підлягають законним запитам.

Для отримання додаткової інформації перегляньте такі посилання:

• https://www.whonix.org/wiki/Comparison_Of_Tor_with_CGI_Proxies,_Proxy_Chains,_and_VPN_Services#Tor_and_VPN_Services_Comparison ^{[Archive.org]}
• https://www.whonix.org/wiki/Why_does_Whonix_use_Tor ^{[Archive.org]}
• https://www.researchgate.net/publication/324251041_Anonymity_communication_VPN_and_Tor_a_comparative_study ^{[Archive.org]}
• https://gist.github.com/joepie91/5a9909939e6ce7d09e29#file-vpn-md ^{[Archive.org]}
• https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html ^{[Archive.org]}

У контексті цього посібника Tor десь потрібен для досягнення розумної та безпечної анонімності, і ви повинні використовувати його, якщо можете.

Без VPN/Tor:

Якщо ви не можете використовувати ні VPN, ні Tor там, де ви знаходитесь, ви, ймовірно, перебуваєте в дуже ворожому середовищі, де стеження та контроль надзвичайно сильні.

Тільки не варто, це того не варто і занадто ризиковано. Ви можете бути майже миттєво деанонімізовані будь-яким вмотивованим противником, який може дістатися до вашого фізичного місцезнаходження за лічені хвилини.

Не забудьте ще раз перевірити Adversaries (загрози) і Додаток S: Перевірте свою мережу на стеження/цензуру за допомогою OONI .

Якщо у вас зовсім немає іншого виходу, але ви все одно хочете щось зробити, перегляньте Додаток P: максимально безпечний доступ до Інтернету, коли Tor/VPN не є варіантом (на ваш власний ризик).

висновок:

На жаль, використання лише Tor викличе підозру у багатьох платформ призначення. Ви зіткнетеся з багатьма перешкодами (Captcha, помилки, труднощі з реєстрацією), якщо будете використовувати лише Tor. Крім того, використання Tor там, де ви знаходитесь, може створити вам проблеми саме для цього. Але Tor залишається найкращим рішенням для анонімності і має бути десь для анонімності.

• Якщо ви маєте намір створити постійні спільні та автентифіковані ідентифікатори в різних службах, де доступ із Tor ускладнений, ми рекомендуємо варіанти VPN через Tor і VPS VPN/Proxy через Tor (або VPN через Tor через VPN, якщо потрібно). Це може бути трохи менш безпечним проти кореляційних атак через порушення ізоляції Tor Stream, але забезпечує набагато кращу зручність доступу до онлайн-ресурсів, ніж просто використання Tor. Це «прийнятний» компроміс IMHP, якщо ви достатньо обережні зі своєю ідентичністю.
  • Примітка: стає все більш поширеним, що основні служби та CDNS також блокують або перешкоджають користувачам VPN за допомогою капчі та інших різноманітних перешкод . У такому випадку найкращим рішенням для цього є автономний VPS із VPN/проксі-сервером через Tor, оскільки наявність власного виділеного VPS гарантує, що ви єдиний користувач своєї IP-адреси та майже не стикаєтеся з перешкодами. Розгляньте можливість самостійного розміщення VPN/проксі на Monero/оплачуваних готівкою VPS (для користувачів, які більше знайомі з Linux), якщо ви хочете мати найменшу кількість проблем (це буде пояснено в наступному розділі більш детально).
• Однак якщо ваш намір полягає лише в тому, щоб анонімно переглядати випадкові служби без створення певних спільних ідентифікацій, використовуючи дружні служби tor; або якщо ви не бажаєте прийняти цей компроміс у попередньому варіанті. Тоді ми рекомендуємо використовувати маршрут Tor Only, щоб зберегти всі переваги Stream Isolation (або Tor over VPN, якщо потрібно).
• Якщо вартість є проблемою, ми рекомендуємо варіант лише Tor, якщо це можливо.
• Якщо доступ як до Tor, так і до VPN неможливий або небезпечний, у вас немає іншого вибору, окрім як безпечно покладатися на громадську Wi-Fi. Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні

Для отримання додаткової інформації ви також можете переглянути обговорення тут, які можуть допомогти вирішити самостійно:

• Проект Tor: https://gitlab.torproject.org/legacy/trac/-/wikis/doc/TorPlusVPN ^{[Archive.org]}
• Документація Tails:
  https://gitlab.tails.boum.org/tails/blueprints/-/wikis/vpn_support/ ^{[Archive.org]} https://tails.boum.org/support/faq/index.en.html#index20h2 ^{[Archive.org]}
• Документація Whonix (у такому порядку):
  https://www.whonix.org/wiki/Tunnels/Introduction ^{[Archive.org]} https://www.whonix.org/wiki/Tunnels/Connecting_to_Tor_before_a_VPN ^{[Archive.org]} https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor ^{[Archive.org]}
• Деякі документи з цього питання:
  • https://www.researchgate.net/publication/324251041_Anonymity_communication_VPN_and_Tor_a_comparative_study ^{[Archive.org]}

Отримання анонімного VPN/проксі:

Пропустіть цей крок, якщо ви хочете використовувати лише Tor або VPN не є варіантом.

Див. Додаток O: Отримання анонімного VPN/проксі

Примітка про ймовірне заперечення:

ОС Qubes використовує LUKS для повного шифрування диска, і технічно можливо досягти форми заперечення за допомогою відокремлених заголовків LUKS. Це ще не включено в цей посібник, але ви знайдете навчальний посібник щодо того, як цього досягти, тут: https://forum.qubes-os.org/t/qubes-os-installation-detached-encrypted-boot-and- header/6205 і деяку додаткову довідкову інформацію в розділі Linux Host OS (див. Примітку про правдоподібну заперечення в Linux ).

Установка:

Ви будете виконувати вказівки з їх власного посібника https://www.qubes-os.org/doc/installation-guide/ ^{[Archive.org]} :

(Безпечне завантаження не підтримується відповідно до поширених запитань: https://www.qubes-os.org/faq/#is-secure-boot-supported ^{[Archive.org]} тому його слід вимкнути в налаштуваннях BIOS/UEFI.)

• Завантажте останню інсталяційну версію ISO Qubes OS 4.1.x відповідно до списку сумісного апаратного забезпечення.
• Отримайте та перевірте головний ключ підпису ОС Qubes: https://keys.qubes-os.org/keys/qubes-master-signing-key.asc
• Підготуйте USB-ключ із ISO-файлом Qubes OS
• Встановіть Qubes OS відповідно до посібника зі встановлення:
  Якщо ви хочете використовувати Tor або VPN через Tor: перевірте « Увімкнення оновлень системи та шаблонів через анонімну мережу Tor за допомогою Whonix» під час останнього кроку. Це змусить усі оновлення ОС Qubes проходити через Tor. Хоча це значно зменшить швидкість оновлення, це підвищить вашу анонімність із самого початку. (Якщо у вас виникли проблеми з підключенням до Tor через цензуру чи блокування, подумайте про використання Tor Bridges, як було рекомендовано раніше. Просто дотримуйтеся посібника, наданого тут: https://www.whonix.org/wiki/Bridges ^{[Archive.org]} ) Якщо ви хочете використовувати Tor через VPN або не можете використовувати жоден із них, не встановлюйте прапорець. Будьте абсолютно впевнені, що ви перевіряєте підпис ISO, який ви можете знайти на цій сторінці: https://www.qubes-os.org/security/verifying-signatures/ ^{[Archive.org]} . Перевірте, отримавши відбиток пальця з кількох незалежних джерел кількома різними способами, як рекомендовано. Це зроблено для того, щоб зображення не було підроблено. Не пропускайте цей важливий крок, навіть якщо ви знаєте, що отримуєте ISO з надійного джерела, тому що веб-сайт Qubes може бути скомпрометований.
• Якщо вам заборонено використовувати Tor, немає сенсу встановлювати шаблони Whonix VM. Ви можете вимкнути встановлення Whonix під час роботи майстра початкового налаштування після встановлення.

Щоб бути впевненим, що ваш Qubes ISO не було підроблено, вам слід отримати відбиток головного ключа Qubes із кількох різних джерел. Цей посібник можна використовувати як єдине джерело.

Відбиток головного ключа підпису Qubes має збігатися 427F 11FD 0FAA 4B08 0123 F01C DDFA 1A3E 3687 9494.

Не забудьте прочитати посібник із перевірки підписів на веб-сайті Qubes: https://www.qubes-os.org/security/verifying-signatures/ ^{[Archive.org]} .

Поведінка закриття кришки:

На жаль, Qubes OS не підтримує сплячий режим ³⁶⁵ що є проблемою щодо атак холодного завантаження. Щоб пом’якшити їх, я настійно рекомендую вам налаштувати Qubes OS так, щоб вона вимикала будь-яку дію живлення (кнопка живлення, закриття кришки). Ви можете налаштувати це за допомогою XFCE Power Manager. Не використовуйте функції сну.

Anti Evil Maid (AEM):

Попередження , цей крок працює лише з процесорами Intel, застарілою версією BIOS, TPM 1.2. Якщо ви не відповідаєте цим вимогам, пропустіть цей крок.

Anti Evil Maid — це реалізація статичного довіреного завантаження на основі TPM, основною метою якої є запобігання атакам Evil Maid. Для встановлення та використання AEM потрібно підключити USB-накопичувач безпосередньо до dom0. Таким чином, користувач повинен зробити вибір між захистом dom0 від потенційно шкідливого USB-накопичувача та захистом системи від атак Evil Maid. Зауважте, що AEM сумісний лише з процесорами Intel і застарілими параметрами завантаження.

Перевага для пом’якшення будь-якої атаки злих служниць – це підтримувати фізичний контроль над своїм пристроєм у будь-який час. Якщо це неможливо, можливо, це стосується вашої моделі загрози.

Перш ніж прийняти рішення про використання цієї системи, будь ласка, прочитайте Додаток B4: Важливі зауваження щодо злої служниці та втручання

Перейдіть за наведеними нижче посиланнями, щоб отримати додаткові відомості та інструкції зі встановлення:

• https://www.qubes-os.org/doc/anti-evil-maid/ ^{[Archive.org]}
• https://blog.invisiblethings.org/2011/09/07/anti-evil-maid.html ^{[Archive.org]}
• https://github.com/QubesOS/qubes-antievilmaid ^{[Archive.org]}

Підключіться до публічної Wi-Fi:

Пам’ятайте, що це слід робити з безпечного місця (див. Знайдіть кілька безпечних місць із пристойною загальнодоступною Wi-Fi та Додаток Q: Використання далекобійної антени для підключення до загальнодоступної Wi-Fi з безпечної відстані ):

• У верхньому правому куті клацніть лівою кнопкою миші значок мережі та запам’ятайте SSID Wi-Fi, до якого потрібно під’єднатися
• Тепер клацніть правою кнопкою миші значок мережі та виберіть Редагувати підключення
• Додайте один за допомогою знака +
• Виберіть Wi-Fi
• Введіть SSID потрібної мережі, яку ви зазначили раніше (за потреби)
• Виберіть Cloned Mac Address
• Виберіть Випадковий, щоб у випадковому порядку розмістити вашу Mac-адресу
  • Попередження: цей параметр має працювати в більшості випадків, але може бути ненадійним на деяких мережевих адаптерах. Перегляньте цю документацію, якщо хочете бути впевненими: https://github.com/Qubes-Community/Contents/blob/master/docs/privacy/anonymizing-your-mac-address.md ^{[Archive.org]}
• зберегти
• Тепер знову клацніть лівою кнопкою миші обліковий запис підключення та підключіться до потрібної мережі Wi-Fi
• Якщо це Open Wi-Fi, що потребує реєстрації: вам потрібно запустити браузер, щоб зареєструватися
  Після підключення запустіть одноразовий браузер Fedora Firefox Перейдіть у верхнє ліве меню Виберіть Одноразовий, Fedora, Firefox Відкрийте Firefox і зареєструйтеся (анонімно) у Wi-Fi

Оновлення Qubes OS з 4.0.x до 4.1.x (ви повинні це зробити)

Особисто ми б не робили це на місці та не встановлювали заново.

Але якщо ви дійсно цього хочете, технічно це можливо, дотримуючись цього посібника: https://www.qubes-os.org/doc/upgrade/4.1/ ^{[Archive.org]}

Оновлення Qubes OS:

Після підключення до Wi-Fi вам потрібно оновити Qubes OS і Whonix. Ви повинні постійно оновлювати Qubes OS перед виконанням будь-яких конфіденційних дій. Особливо ваші віртуальні машини браузера. Зазвичай Qubes OS попереджатиме вас про оновлення у верхньому правому куті за допомогою значка шестірні. Оскільки в цьому випадку це може зайняти деякий час через використання Tor, ви можете примусово виконати процес, виконавши такі дії:

• Клацніть піктограму програм у верхньому лівому куті
• Виберіть інструменти Qubes
• Виберіть Оновлення Qubes
• Перевірте «Увімкнути оновлення для Qubes без відомих доступних оновлень»
• Виберіть усі кубики
• Натисніть Далі та дочекайтеся завершення оновлення
• Якщо ви позначили опцію Tor під час встановлення, будьте терплячі, оскільки це може зайняти деякий час через Tor

Оновлення Whonix з версії 15 до версії 16:

Знову ж таки, ви повинні зробити це якомога швидше. Ми б використали нову установку, але технічно це можливо зробити на місці, див. https://www.whonix.org/wiki/Release_Upgrade_Whonix_15_to_Whonix_16 ^{[Archive.org]}

Дотримуйтесь інструкцій на сторінці https://www.whonix.org/wiki/Qubes/Install ^{[Archive.org]} . Якщо ви використовуєте Qubes 4.1.x, це вже зроблено за вас.

Зміцнення Qubes OS:

Застереження: цей розділ знаходиться на стадії розробки, і над ним буде інтенсивно працювати в наступних випусках. Цей розділ для більш досвідчених користувачів.

Ізольоване програмне середовище:

Незважаючи на те, що Qubes OS вже використовує пісочницю для всього, корисно також розглянути можливість пісочниці самих програм за допомогою AppArmor або SELinux.

AppArmor:

«AppArmor — це структура обов’язкового контролю доступу. Коли ввімкнено, AppArmor обмежує програми відповідно до набору правил, які визначають, до яких файлів дана програма може отримати доступ. Цей ініціативний підхід допомагає захистити систему як від відомих, так і від невідомих уразливостей» (Debian.org).

По суті, AppArmor ³⁶⁶ це система ізольованого програмного середовища. За замовчуванням він не ввімкнено, але підтримується ОС Qubes.

• Про віртуальні машини Fedora:
  • Fedora не використовує AppArmor, а скоріше SELinux, тому див. наступний розділ для цього.
• Про віртуальні машини Debian:
  • Вирушайте та читайте https://wiki.debian.org/AppArmor ^{[Archive.org]}
• Про будь-яку іншу віртуальну машину Linux:
  Вийдіть і прочитайте:
  • https://wiki.archlinux.org/title/AppArmor ^{[Archive.org]}
  • https://wiki.debian.org/AppArmor ^{[Archive.org]}
• Щодо віртуальних машин Whonix, вам слід увімкнути та використовувати AppArmor, особливо на віртуальних машинах Whonix ОС Qubes:
  По-перше, вам слід вирушити та прочитати https://www.whonix.org/wiki/AppArmor ^{[Archive.org]} По-друге, вам слід знову вирушити та прочитати https://www.whonix.org/wiki/Qubes/AppArmor ^{[Archive.org]}

SELinux:

SELinux ³⁶⁷ схожий на AppArmor. Відмінності між SELinux і AppArmor — це технічні деталі, в які ми не будемо вникати.

Ось гарне пояснення того, що це таке: https://www.youtube.com/watch?v=_WOKRaM-HI4 ^[Invidious]

У цьому посібнику та в контексті ОС Qubes важливо згадати про це, оскільки це рекомендований метод Fedora, яка є однією із систем за замовчуванням у ОС Qubes.

Отже, вирушайте та читайте https://docs.fedoraproject.org/en-US/quick-docs/getting-started-with-selinux/ ^{[Archive.org]}

Ви можете використовувати SELinux у своїх шаблонах Fedora. Але це вирішувати вам. Знову ж таки, це для досвідчених користувачів.

Налаштуйте VPN ProxyVM:

Пропустіть цей крок, якщо ви не хочете використовувати VPN і просто використовуєте лише Tor, або якщо VPN також не є варіантом.

Цей посібник також має працювати з будь-яким постачальником OpenVPN (наприклад, Mullvad, IVPN, Safing.io або Proton VPN).

Це базується на підручнику, наданому самим Qubes OS ( https://github.com/Qubes-Community/Contents/blob/master/docs/configuration/vpn.md ^{[Archive.org]} ). Якщо ви знайомі з цим процесом, ви можете слідувати їхнім підручникам.

Крім того, Mullvad також має довідкову статтю, яка допоможе вам налаштувати проксі-VM https://mullvad.net/en/help/qubes-os-4-and-mullvad-vpn/ ^{[Archive.org]} .

Створіть ProxyVM:

• Клацніть піктограму програм (верхній лівий кут)
• Натисніть «Створити Qubes VM».
• Назвіть і позначте, як хочете: я пропоную «VPNGatewayVM»
• Виберіть тип: автономний Qube, скопійований із шаблону
• Виберіть шаблон: Debian-11 (за замовчуванням)
• Виберіть мережу:
  Виберіть sys-whonix, якщо ви хочете використовувати VPN лише через Tor / Tor (рекомендовано) Виберіть sys-firewall, якщо ви хочете використовувати Tor через VPN / No Tor або VPN / Just VPN
• Додатково: Перевірте наявність мережі
• Позначте «Автоматично запускати Qube під час завантаження»
• Створіть віртуальну машину
  • Якщо ви збираєтеся використовувати VPN через Tor, вам потрібно зайти в налаштування створеної вами ProxyVM і вибрати «sys-vpn» для мережі.
    • Простіший спосіб налаштувати ProxyVM – просто запустити клієнт VPN на ProxyVM.
    • Зазвичай, коли ви підключаєтеся до веб-сайту свого постачальника VPN, він повідомляє вам, чи правильно маршрутизується ваш трафік через VPN.
  • Якщо ви збираєтеся використовувати Tor через VPN, слід зробити навпаки: ProxyVM має мати налаштування мережі як «sys-tor», а віртуальна машина «sys-tor» має мати «sys-vpn» для своєї мережі.
    • Перевірте підключення віртуальної машини до Інтернету, запустивши браузер у ProxyVM. Відвідайте https://check.torproject.org ^{[Archive.org]} (Має бути написано, що ви підключені до Tor)

Завантажте конфігурацію VPN від свого платного постачальника VPN готівкою/Monero:

Якщо ви можете використовувати Tor:

За допомогою браузера Tor (будьте обережні, щоб не використовувати для цього жодного браузера Clearnet), завантажте необхідні файли конфігурації OpenVPN для Linux від вашого постачальника VPN.

Це можна зробити за допомогою вбудованого в ОС Qubes браузера Tor, натиснувши піктограму програм (верхній лівий кут) і вибравши програму одноразового браузера Tor.

Якщо ви не можете використовувати Tor:

Запустіть браузер із DisposableVM і завантажте необхідні конфігураційні файли OpenVPN для Linux від свого постачальника VPN. Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не доступні.

Коли ви закінчите завантажувати файли конфігурації в одноразовому браузері (зазвичай файл zip), скопіюйте їх на свій комп’ютер ProxyVM VPN Gateway (клацніть файл правою кнопкою миші та надішліть до іншої AppVM).

Налаштуйте ProxyVM:

Пропустіть цей крок, якщо ви не збираєтеся використовувати VPN

• Натисніть лівий верхній кут
• Виберіть віртуальну машину VPN, яку ви щойно створили
• Відкрийте файли віртуальної машини VPN
• Перейдіть у «Qubesincoming» > dispXXXX (Це була ваша віртуальна машина з одноразовим браузером)
• Двічі клацніть завантажений zip-файл, що містить конфігураційні файли OpenVPN, щоб розпакувати його
• Тепер знову виберіть віртуальну машину VPN і запустіть термінал
• Встановіть OpenVPN за допомогою такої команди sudo apt-get install openvpn
• Скопіюйте всі конфігураційні файли OpenVPN, надані вашим провайдером VPN, у /etc/openvpn/
• Для всіх конфігураційних файлів OpenVPN (для кожного місця):
  Відредагуйте кожен файл за допомогою sudo nano configfile(не забудьте sudo для редагування файлу в /etc) Змініть протокол з «udp» на «tcp» (Tor не підтримує UDP) Змініть порт на підтримуваний (вашим постачальником VPN) порт TCP (наприклад, 80 або 443) Збережіть і закрийте кожен файл
• Відредагуйте конфігураційний файл OpenVPN (/etc/default/openvpn), ввівши sudo nano /etc/default/openvpn
  Зміна #AUTOSTART="all"до AUTOSTART="all"(іншими словами, видаліть «#») Зберегти та вийти
• Відредагуйте файл правил брандмауера Qubes (/rw/config/qubes-firewall-user-script), ввівши «sudo nano /rw/config/qubes-firewall-user-script»
  Додайте наступні рядки (без лапок і приміток у дужках)
  • virtualif=10.137.0.17

(Це IP-адреса ProxyVM, вона не є динамічною, і вам може знадобитися змінити її під час перезавантаження)

• vpndns1=10.8.0.1

(Це перший DNS-сервер вашого постачальника VPN; він не повинен змінюватися)

• vpndns2=10.14.0.1

(Це другий DNS-сервер вашого постачальника VPN; він не повинен змінюватися)

• iptables -F OUTPUT
• iptables -I FORWARD -o eth0 -j DROP
• iptables -I FORWARD -i eth0 -j DROP
• ip6tables -I FORWARD -o eth0 -j DROP
• ip6tables -I FORWARD -i eth0 -j DROP

(Це блокує вихідний трафік, коли VPN не працює, це перемикач блокування, більше інформації тут https://linuxconfig.org/how-to-create-a-vpn-killswitch-using-iptables-on-linux ^{[Archive.org]} )

• iptables -A OUTPUT -d 10.8.0.1 -j ACCEPT
• iptables -A OUTPUT -d 10.14.0.1 -j ACCEPT

(Це дозволить надсилати запити DNS до DNS вашого постачальника VPN, щоб розпізнати імена серверів VPN у файлах конфігурації OpenVPN)

• iptables -F PR-QBS -t nat
• iptables -A PR-QBS -t nat -d $virtualif -p udp --dport 53 -j DNAT --to $vpndns1
• iptables -A PR-QBS -t nat -d $virtualif -p tcp --dport 53 -j DNAT --to $vpndns1
• iptables -A PR-QBS -t nat -d $virtualif -p udp --dport 53 -j DNAT --to $vpndns2
• iptables -A PR-QBS -t nat -d $virtualif -p tcp --dport 53 -j DNAT --to $vpndns2

(Це перенаправить усі DNS-запити від ProxyVM на DNS-сервери постачальника VPN)

• Перезапустіть ProxyVM, ввівши «sudo reboot»
• Перевірте підключення ProxyVM VPN, запустивши в ньому браузер і перейшовши на тестову сторінку постачальника VPN. Тепер має бути написано, що ви підключені до VPN:
  Mullvad: https://mullvad.net/en/check/ ^{[Archive.org]} IVPN: https://www.ivpn.net/ ^{[Archive.org]} (перевірте верхній банер) Proton VPN: дотримуйтесь інструкцій тут https://protonvpn.com/support/vpn-ip-change/ ^{[Archive.org]}

VPN через Tor:

Налаштуйте одноразовий браузер Qube для використання VPN через Tor:

• У меню програм (верхній лівий кут) виберіть одноразову віртуальну машину Fedora
• Зайдіть у налаштування Qube
• Натисніть «Клонувати Qube» і назвіть його, наприклад, «sys-VPNoverTor».
• Знову ж таки, у меню програми виберіть клон, який ви щойно створили
• Зайдіть у налаштування Qube
• Змініть Networking на свій ProxyVPN, створений раніше
• Натисніть OK
• Запустіть браузер на робочій станції Whonix
• Перевірте, чи є у вас підключення до VPN, і воно має працювати

Тепер у вас має бути віртуальна машина Disposable Browser, яка працює з вашою платною VPN готівкою/Monero через Tor.

Tor через VPN:

Переналаштуйте вашу віртуальну машину Whonix Gateway, щоб використовувати вашу ProxyVM як NetVM замість sys-firewall:

• У меню програм (верхній лівий кут) виберіть віртуальну машину sys-whonix.
• Зайдіть у налаштування Qube
• Змініть Networking NetVM на свій ProxyVPN, створений раніше, замість sys-firewall
• Натисніть OK
• Створіть одноразову віртуальну машину робочої станції Whonix (виконайте цей посібник https://www.whonix.org/wiki/Qubes/DisposableVM ^{[Archive.org]} )
• Запустіть браузер із віртуальної машини та переконайтеся, що у вас є з’єднання VPN, воно має працювати.

Крім того, ви також можете створити будь-який інший тип одноразової віртуальної машини (але менш безпечний, ніж Whonix):

• У меню програм (верхній лівий кут) виберіть одноразову віртуальну машину Fedora
• Зайдіть у налаштування Qube
• Натисніть «Клонувати Qube» і назвіть його, наприклад, «sys-TorOverVPN».
• Знову ж таки, у меню програми виберіть клон, який ви щойно створили
• Зайдіть у налаштування Qube
• Змініть Networking на ваш sys-whonix, створений раніше
• Натисніть OK
• Запустіть браузер у віртуальній машині
• Перевірте, чи є у вас підключення до VPN, і воно має працювати

Тепер у вас має бути віртуальна машина Disposable Browser, яка працює з Tor через VPN, що оплачується готівкою/Monero.

Ще якась комбінація? (VPN через Tor через VPN, наприклад)

Тепер ви маєте зрозуміти, наскільки легко маршрутизувати трафік від однієї віртуальної машини до іншої за допомогою Qubes.

Ви можете створити кілька ProxyVM для доступу до VPN і зберегти одну Whonix для Tor. Вам просто потрібно змінити налаштування NetVM різних віртуальних машин, щоб змінити макет.

Ви можете мати:

• Один VPN ProxyVM для базового підключення Qubes OS
• Використовуйте sys-whonix VM (Whonix Gateway), отримуючи свою мережу від першої ProxyVM
• Другий VPN ProxyVM отримує мережу від sys-whonix
• Одноразові віртуальні машини отримують свою NetVM від другої ProxyVM

Це призведе до Користувач > VPN > Tor > VPN > Інтернет (VPN через Tor через VPN). Експериментуйте самі. Qubes OS чудово підходить для цих речей.

Налаштуйте безпечний браузер в ОС Qubes (необов’язково, але рекомендовано):

Див. Додаток V: Який браузер використовувати у гостьовій віртуальній машині/одноразовій віртуальній машині

Fedora Disposable VM:

У меню програм (верхній лівий кут) виберіть шаблон Fedora-36:

• Зайдіть у налаштування Qube
• Клонуйте віртуальну машину та назвіть її «fedora-36-brave» (у цьому шаблоні віртуальної машини буде Brave)
• Знову перейдіть до меню програм і виберіть щойно створений клон
• Зайдіть у налаштування Qube
• Змініть його мережу на ProxyVPN і подайте заявку
• Запустіть термінал з віртуальної машини

Якщо ви хочете використовувати Brave: застосуйте інструкції з https://brave.com/linux/ ^{[Archive.org]} і виконайте такі команди:

• sudo dnf install dnf-plugins-core
• sudo dnf config-manager --add-repo https://brave-browser-rpm-release.s3.brave.com/x86_64/
• sudo rpm --import https://brave-browser-rpm-release.s3.brave.com/brave-core.asc
• sudo dnf install brave-browser

Ви також повинні розглянути питання про посилення безпеки свого браузера, див. Додаток V1: Захист ваших браузерів

Одноразова віртуальна машина Whonix:

Відредагуйте шаблон одноразової віртуальної машини Whonix і дотримуйтесь інструкцій тут https://www.whonix.org/wiki/Install_Software ^{[Archive.org]}

Додаткові заходи безпеки для веб-переглядача:

• Див.: Додаток V1: Захист ваших браузерів
• Див.: Додаток A5: Додаткові запобіжні заходи браузера з увімкненим JavaScript

Налаштуйте віртуальну машину Android:

Тому що іноді ви також хочете запускати мобільні програми анонімно. Ви також можете налаштувати Android VM для цієї мети. Як і в інших випадках, в ідеалі ця віртуальна машина також знаходитиметься за шлюзом Whonix для підключення до мережі Tor. Але це також можна налаштувати як VPN через Tor через VPN.

Оскільки Android-x86 погано працює з Qubes OS (мій власний досвід). Натомість ми рекомендуємо використовувати AnBox ( https://anbox.io/ ^{[Archive.org]} ), яка «досить добре» працює з Qubes OS. Більше інформації також можна знайти на https://www.whonix.org/wiki/Anbox ^{[Archive.org]}

Якщо ви можете використовувати Tor (нативно або через VPN):

Пізніше в налаштуваннях Qubes під час створення:

• Виберіть Мережа
• Змініть на sys-whonix, щоб розмістити його за шлюзом Whonix (через Tor).

Якщо ви не можете використовувати Tor:

Просто використовуйте підручники як є. Див. Додаток P: максимально безпечний доступ до Інтернету, коли Tor і VPN не є варіантом .

Установка:

В основному, дотримуйтеся підручника тут:

• Клацніть піктограму програм (верхній лівий кут)
• Натисніть «Створити Qubes VM».
• Назвіть і позначте як хочете: ми пропонуємо «Android»
• Виберіть тип: автономний Qube, скопійований із шаблону
• Виберіть шаблон: Debian-11
• Виберіть мережу:
  Виберіть sys-whonix, якщо ви хочете використовувати VPN лише через Tor / Tor (рекомендовано) Виберіть sys-firewall, якщо ви хочете використовувати Tor через VPN / No Tor або VPN / Just VPN
• Запустіть Qube і відкрийте термінал

Тепер вам доведеться слідувати інструкціям звідси: https://github.com/anbox/anbox-modules ^{[Archive.org]} :

• Почніть із закриття сховища модулів AnBox, виконавши:
  git clone https://github.com/anbox/anbox-modules.git Перейдіть у клонований каталог бігти ./INSTALL.sh(або дотримуйтесь вказівок у посібнику)
• Перезавантажте машину
• Відкрийте новий термінал
• Встановіть Snap, запустивши:
  • sudo apt install snapd

Тепер ви будете стежити за їхнім іншим підручником звідси: https://github.com/anbox/anbox/blob/master/docs/install.md ^{[Archive.org]} :

• Встановіть AnBox, запустивши:
  • snap install --devmode --beta anbox
• Щоб оновити AnBox пізніше, запустіть:
  • snap refresh --beta --devmode anbox
• Перезавантажте машину
• Знову відкрийте термінал і запустіть емулятор, виконавши:
  • anbox.appmgr

Тут має з’явитися інтерфейс Android. Іноді він виходить з ладу, і вам, можливо, доведеться запустити його двічі, щоб він запрацював.

Якщо ви хочете встановити програми на цьому емуляторі:

• Встановіть ADB, запустивши:
  • sudo apt install android-tools-adb
• Спочатку запустіть Anbox (запустіть anbox.appmgr)
• Візьміть APK будь-якої програми, яку хочете встановити
• Тепер встановіть будь-який APK, виконавши:
  • adb install my-app.apk

Ось і все, тепер у вас повинен бути Android Qube через Tor (або щось інше), здатний запускати практично будь-яку програму, яку ви можете завантажити з ADB. Наразі це найпростіший спосіб отримати емуляцію Android на ОС Qubes.

KeePassXC:

Вам потрібно десь зберігати свої дані (логіни/паролі, ідентифікаційні дані та TOTP ³⁶⁸ інформація).

Для цієї мети рекомендується KeePassXC через вбудовану функцію TOTP. Це можливість створювати записи для 2FA ³⁶⁹ автентифікація за допомогою функції автентифікатора.

У контексті ОС Qubes ви повинні зберігати конфіденційну інформацію в сховищі Qube:

• Спочатку клацніть піктограму програм (верхній лівий кут) і виберіть сховище Qube.
• Натисніть Налаштування Qubes
• Виберіть вкладку Програми
• Зі списку доступних програм додайте KeePassXC до списку вибраних програм.

Ви закінчили, і тепер можете пропустити решту, щоб перейти до частини « Створення вашої анонімної онлайн-ідентичності ».

Підручник із встановлення віртуальних машин на базі Windows на ОС Qubes:

Перегляньте їхній посібник тут: https://github.com/Qubes-Community/Contents/blob/master/docs/os/windows/windows-tools41.md ^{[Archive.org]}

Коротка примітка: кореляція проти атрибуції

Кореляція - це зв'язок між двома або більше змінними або атрибутами . Як визначаються атрибуції? Під час цифрової судової експертизи та реагування на інциденти (DFIR) аналітики зазвичай шукають ознаки компрометації (IoC) після подій, які спонукають їх діяти. Ці індикатори зазвичай складаються з IP-адрес, імен, баз даних; усі вони можуть призначати певну поведінкову «мітку» індивіду або групі. Це називається атрибуцією. Основним у статистиці є те, що «кореляція не робить висновку про причинність». Це означає, що, хоча ви можете залишати певні сліди на певних ділянках пристрою чи мережі, це свідчить лише про наявність дій, тобто не явно про вашу присутність. Він не показує, хто ви є, він лише визначає, що щось сталося і хтось зробив щось .

Атрибуція необхідна для доведення провини чи провини, і це головна причина, чому люди, які використовують мережу Tor для доступу до темної мережі, були скомпрометовані: вони залишили сліди, які, як було показано, пов’язані з їхніми справжніми особами. Ваша IP може бути — але зазвичай не є — достатньо великим показником, щоб приписати провину. Про це свідчать сумнозвісні кібератаки NotPetya на США, які згодом були оприлюднені й на Україну. Хоча Білий дім ніколи не казав , що це зробила Росія, вони приписали атаку Росії (ГРУ) , яка є прямим офісом, де ведеться російська війна. ²⁹⁴ кіберпідрозділи, яких у розвідувальному співтоваристві (IC) рідко називають «розробниками шпигунів».

У чому сенс , можете запитати ви? Ну, відверто кажучи, це ідеальний приклад, тому що NotPetya, яка тепер, безсумнівно, є роботою російських кібероперацій проти іноземних країн і урядів, досі ніколи офіційно не приписувалася Росії, лише відомій групі в Росії (розмовно називається Cosy Bear ). що не можна ні підтвердити, ні спростувати, враховуючи те, що він дуже розділений у структурі російської армії. І це також частково через спроби замаскувати себе під звичайне програмне забезпечення-вимагач, а також через те, що воно регулярно використовує сервери зламаних іноземних активів, не пов’язаних з Росією чи її внутрішніми мережами.

Це все для того, щоб показати вам, на що йдуть державні актори. Можливо, ви не знаєте про це, але іноземні уряди використовують методи приховування, подібні до тих, які обговорюються в розділах цього посібника. Вони регулярно використовують Tor, VPN для приховування трафіку; вони щодня використовують зламані пристрої та доступ до викраденого обладнання для здійснення кібершпигунства, і це робить визначення авторства неймовірно складним, а то й неймовірним, з точки зору судмедексперта. Проблема кореляції тривіальна, і ви можете вирішити її, просто використовуючи інструменти приховування IP-адреси, такі як VPN і мережа Tor, але все одно залишатися підключеними до свого імені IRL та IP через витік даних або інші фактори. Вас нелегко приписати до вашої діяльності, якщо ви уважно дотримуєтеся та засвоюєте наведені техніки та навички, розглянуті нижче.

Створення вашої анонімної онлайн-ідентичності:

Розуміння методів, які використовуються для запобігання анонімності та підтвердження особи:

Captcha:

(Ілюстрації Рендалла Манро, xkcd.com, ліцензовано за CC BY-NC 2.5)

Captcha ¹⁵⁴ означає «Повністю автоматизований публічний тест Тьюринга для розрізнення комп’ютерів і людей». ³⁷⁰ головоломки, які потрібно виконати, перш ніж отримати доступ до форми/веб-сайту. Ви здебільшого стикаєтеся з тими, які надає Google (служба reCAPTCHA ³⁷¹ ) і Cloudflare (hCaptcha ³⁷² ). hCaptcha використовується в 15% Інтернету за їхніми власними показниками ³⁷³ .

Вони призначені для того, щоб відокремити ботів від людей, але також явно використовуються, щоб утримати анонімних і приватних користувачів від доступу до послуг.

Якщо ви часто користуєтеся VPN або Tor, ви швидко скрізь зіткнетеся з великою кількістю капчі ³⁷⁴ . Досить часто під час використання Tor, навіть якщо вам вдається вирішити всі головоломки (іноді десятки поспіль), вам все одно буде відмовлено після вирішення головоломок.

Див. https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor ^{[Archive.org]}

Хоча більшість людей вважає, що ці головоломки — це лише вирішення маленької головоломки, важливо розуміти, що це набагато складніше, і що сучасні Captcha використовують розширені алгоритми машинного навчання та аналізу ризиків, щоб перевірити, чи ви людина. ³⁷⁵ :

• Вони перевіряють ваш браузер, файли cookie та історію веб-перегляду за допомогою відбитків пальців браузера ³⁷⁶ .
• Вони відстежують ваші рухи курсору (швидкість, точність) і використовують алгоритми, щоб визначити, чи це «людський/органічний».
• Вони відстежують вашу поведінку до/під час/після тестів, щоб переконатися, що ви «людина» ³⁷⁷ .

Також дуже ймовірно, що ці платформи вже можуть надійно ідентифікувати вас на основі унікального способу взаємодії з цими головоломками. Це може працювати, незважаючи на обфускацію вашої IP-адреси/браузера та видалення всіх файлів cookie.

Подивіться, наприклад, цю презентацію DEF CON 25: DEF CON 25 - Свеа Екерт, Андреас Дьюс - Темні дані ^[Invidious]

Ви часто стикаєтеся з кількома підряд (іноді безкінечно), а іноді надзвичайно складними, пов’язаними з читанням нерозбірливих символів або ідентифікацією різних об’єктів на нескінченних наборах зображень. У вас також буде більше капчі, якщо ви використовуєте систему блокування реклами (наприклад, uBlock) або якщо ваш обліковий запис раніше було позначено з будь-якої причини за використання VPN або Tor.

Ви також матимете (з мого досвіду) більше Captcha (reCAPTCHA від Google), якщо ви не використовуєте браузер на основі Chromium. Але це можна пом’якшити, використовуючи браузери на основі Chromium, наприклад Brave. Існує також розширення браузера під назвою Buster, яке може допомогти вам у цьому https://github.com/dessant/buster ^{[Archive.org]} .

Щодо Cloudflare (hCaptcha), ви також можете скористатися їхнім рішенням доступності тут ( https://www.hcaptcha.com/accessibility ^{[Archive.org]} ), що дозволить вам зареєструватися (з вашим анонімним ідентифікатором, створеним пізніше) і встановити файл cookie у вашому веб-переглядачі, який дозволить вам обійти їхні кодові перевірки. Іншим рішенням для пом’якшення hCaptcha було б використання їх власного рішення під назвою «Privacy Pass». ³⁷⁸ https://privacypass.github.io/ ^{[Archive.org]} у формі розширення браузера, яке можна встановити у вашому браузері віртуальної машини.

Тому ви повинні мати справу з ними обережно та змусити себе змінити спосіб їх вирішення (швидкість/рух/точність/…), щоб запобігти «відбитку пальців Captcha».

На щастя, наскільки нам відомо, вони ще офіційно/публічно не використовуються для деанонімізації користувачів для третіх сторін.

Щоб уникнути цих проблем, вам слід розглянути можливість використання VPN через Tor. І найкращим варіантом уникнути цього є використання самостійного VPN/проксі-сервера через Tor на платному VPS-сервері Cash/Monero.

Перевірка телефону:

Більшість платформ рекламують перевірку телефону, щоб підтвердити, що ви людина. Але не обманюйте себе: основна причина перевірки телефону полягає не лише в тому, щоб перевірити, чи ви людина, а й у тому, щоб у разі потреби мати можливість деанонімізувати вас.

Більшість платформ (включно з орієнтованими на конфіденційність, такими як Signal/Telegram/Proton, вимагатимуть номер телефону для реєстрації, і більшість країн тепер вимагають обов’язкового надання підтвердження ідентифікації для реєстрації ³⁷⁹ .

На щастя, у цьому посібнику раніше пояснювалося, як отримати номер для таких випадків: Отримання анонімного номера телефону .

Підтвердження електронної пошти:

Перевірка електронної пошти — це те, що раніше було достатньо, але в більшості випадків цього вже не так. Важливо знати, що відкриті провайдери електронної пошти (наприклад, одноразові провайдери електронної пошти) позначаються так само, як і відкриті проксі (наприклад, Tor).

Більшість платформ не дозволять вам зареєструватися за допомогою «анонімної» або одноразової електронної пошти. Оскільки вони не дозволять вам зареєструватися за допомогою IP-адреси з мережі Tor.

Ключовим моментом є те, що стає дедалі важче зареєструватися на безкоштовний обліковий запис електронної пошти будь-де, не надавши (як ви здогадалися) … номер мобільного телефону. Той самий номер мобільного телефону можна зручно використовувати для пошуку вас у більшості місць.

Цілком можливо, що ці служби (наприклад, Proton) можуть вимагати від вас надати адресу електронної пошти для реєстрації. У такому випадку ми рекомендуємо вам створити адресу електронної пошти від таких постачальників:

• MailFence: https://mailfence.com/
• Disroot: https://disroot.org
• Аутисти: https://autistici.org
• Envs.net: https://envs.net/

Майте на увазі, що вони не забезпечують нульовий доступ (дизайн нульового доступу – це те, де лише ви можете отримати доступ до своєї електронної пошти – навіть адміністратори служби не можуть прочитати ваші повідомлення). Це означає, що вони можуть отримати доступ до вашої електронної пошти у своїй базі даних.

Примітка про Riseup:

Ордер RiseUp був продовжений із запізненням, а їхній Twitter опублікував загадкове повідомлення, яке, здається, закликало користувачів не довіряти їм. Через підозрілу ситуацію цей посібник більше не може їх рекомендувати.

Також див.: https://forums.whonix.org/t/riseup-net-likely-compromised/3195

_{Для https://riseup.net [Tor Mirror] (Мені стало відомо, що зараз, на жаль, сайт потребує запрошення від поточного зареєстрованого користувача)}

Захист вашої анонімної електронної пошти в Інтернеті за допомогою служб псевдонімів:

Якщо ви хочете уникнути передачі своїх анонімних адрес електронної пошти різним сторонам. Ми наполегливо рекомендуємо розглянути можливість використання таких служб електронної пошти, як:

• https://simplelogin.io/ (переважний перший вибір через більше можливостей, доступних для безкоштовного рівня)
• https://addy.io/

Ці служби дозволять створювати випадкові псевдоніми для вашої анонімної електронної пошти (наприклад, на Proton) і можуть підвищити вашу загальну конфіденційність, якщо ви не хочете розголошувати цю електронну пошту з будь-якою метою. Вони обидва рекомендовані Privacyguides.org і Privacytools.io. Я також їх рекомендую.

Перевірка даних користувача:

Очевидно, що Reddit (поки що) цього не робить, але Facebook, швидше за все, робить і шукатиме «підозрілі» речі у ваших даних (зокрема, розпізнавання обличчя).

Деякі приклади:

• IP-адреса з країни, відмінної від країни вашого профілю.
• Вік в профілі не відповідає віку на фото.
• Етнічна приналежність у профілі не відповідає етнічній приналежності зображення.
• Мова не відповідає мові країни.
• Невідомо в інших контактах (це означає, що вас ніхто більше не знає).
• Блокування налаштувань конфіденційності після реєстрації.
• Ім’я, яке не відповідає етнічній приналежності/мові/країні?

Підтвердження ідентифікації:

Порушник угоди в більшості випадків. Наскільки нам відомо, лише Facebook і LinkedIn (за винятком фінансових служб) запитували такі перевірки, які передбачають надсилання зображень певної форми ідентифікації (паспорт, національне посвідчення особи, водійські права…). Єдиним способом зробити це буде створення фальшивих офіційних документів (підробки) за допомогою певних навичок Photoshop, і це може бути незаконним у більшості місць.

Тому ми не збираємося допомагати вам переходити цю лінію в цьому посібнику. Деякі служби пропонують такі послуги онлайн, але ми вважаємо, що вони погані актори та переступають свої межі.

У багатьох країнах лише правоохоронні органи, деякі спеціальні процеси (наприклад, запити GDPR) і деякі добре регульовані фінансові служби можуть запитувати підтвердження особи. Таким чином, законність запиту таких документів є дискусійною, і ми вважаємо, що такі платформи не повинні вимагати їх.

У кількох країнах (наприклад, у Німеччині) така практика є незаконною, і такі онлайн-платформи, як Facebook або LinkedIn, юридично зобов’язані дозволяти вам використовувати псевдонім і залишатися анонімним.

IP-фільтри:

Як зазначалося раніше в цьому посібнику, багато платформ застосовують фільтри до IP-адрес користувачів. Вузли виходу Tor є загальнодоступними, а сервери виходу VPN «добре відомі». Існує багато комерційних і безкоштовних сервісів, які надають можливість легко блокувати ці IP-адреси (привіт, Cloudflare).

Багато операторів і адміністраторів платформ не хочуть трафіку з цих IP-адрес, оскільки вони часто спрямовують на свої платформи багато незаконного/зловмисного/неприбуткового трафіку. Ці платформи зазвичай сперечаються, використовуючи одну з таких тез:

• «Думай про дітей!»;
• «Тероризм!»;
• «Пропаганда російського троля!»;
• «Ну, це шум у даних, які ми продаємо рекламодавцям!» (наприклад, оголошення AdSense або Facebook).

«Проте ми все ще платимо за трафік, тому давайте просто відмовимо їм усім».

На щастя, ці системи не ідеальні, і ви (все ще) зможете обійти ці обмеження, змінюючи ідентифікатори (у випадку Tor) і намагаючись отримати доступ до веб-сайту кожного разу, доки не знайдете вузол виходу, який ще не внесено до чорного списку. .

Деякі платформи дозволять вам увійти за допомогою IP-адреси Tor, але не зареєструватися (див. https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor ^{[Archive.org]} ). Ці платформи зберігатимуть зручний постійний журнал IP-адрес, які ви використовували під час реєстрації. А деякі зберігатимуть такі журнали необмежено довго, наприклад, усі IP-адреси, які ви використовували для входу (привіт Facebook).

Толерантність значно вища з VPN, оскільки вони не вважаються «відкритими проксі», але це не завадить багатьом платформам ускладнювати їх використання, нав’язуючи дедалі складніші CAPTCHA більшості користувачів VPN.

З цієї причини цей посібник рекомендує використовувати VPN через Tor (а не Tor через VPN) у певних випадках використання. Пам’ятайте, що найкращий варіант уникнути цього – використовувати власний VPN/проксі-сервер через Tor на VPS, що оплачується готівкою/Monero .

Відбитки пальців браузера та пристрою:

Ваш веб-переглядач і відбитки пальців пристрою ³⁸⁰ це набір властивостей/можливостей вашої системи/браузера. Вони використовуються на більшості веб-сайтів для невидимого відстеження користувачів, а також для адаптації взаємодії з веб-сайтом залежно від браузера. Наприклад, веб-сайти зможуть надавати «мобільний досвід», якщо ви використовуєте мобільний браузер, або запропонувати певну мову/географічну версію залежно від вашого відбитка пальця. Більшість із цих методів працює з нещодавніми веб-переглядачами, такими як Chromium ³⁸¹ браузери (наприклад, Chrome/Edge) або Firefox ³⁸² якщо не вжити конкретних заходів. Браузер і пристрій ³⁸⁰ Відбитки пальців зазвичай інтегровані в служби Captcha, але також і в інші різні служби.

Багато платформ (наприклад, Google ³⁸³ ) перевірить ваш браузер на наявність різних можливостей і налаштувань і заблокує браузери, які їм не подобаються. Це одна з причин, чому ми рекомендуємо використовувати браузери на базі Chromium, такі як Brave Browser замість Tor Browser, у цій віртуальній машині.

Слід також зазначити, що хоча деякі веб-переглядачі та розширення забезпечать певну стійкість до відбитків пальців, ця стійкість сама по собі також може бути використана для відбитків ваших пальців, як пояснюється тут https://palant.info/2020/12/10/how-anti-fingerprinting -extensions-tend-to-make-fingerprinting-easier/ ^{[Archive.org]}

Цей посібник пом’якшить ці проблеми шляхом рандомізації або приховування багатьох із цих ідентифікаторів відбитків пальців:

• Використання віртуалізації (див. Додаток W: Віртуалізація );
• Використання конкретних рекомендацій (Див. Додаток A5: Додаткові запобіжні заходи браузера з увімкненим JavaScript ;
• Використання посилення Додаток V1: Захист ваших браузерів );
• і за допомогою браузерів, стійких до відбитків пальців (наприклад, Brave або Tor Browser).

Ось деякі речі, які вони перевіряють у останніх браузерах:

• User-Agent: Це назва та версія вашого браузера.
• Заголовки HTTP_ACCEPT: це тип вмісту, який може обробляти ваш браузер.
• Часовий пояс і зміщення часового поясу: ваш часовий пояс.
• Розмір екрана та глибина кольору: роздільна здатність вашого екрана.
• Системні шрифти: шрифти введення, встановлені у вашій системі.
• Підтримка файлів cookie: чи підтримує ваш браузер файли cookie.
• Хеш відбитка Canvas і хеш відбитка WebGL: це унікальні ідентифікатори, згенеровані на основі ваших можливостей відтворення графіки.
• WebGL Vendor & Renderer: назва вашої відеокарти
• Увімкнута функція Do-Not-Track чи ні: так, вони можуть використовувати вашу інформацію DNT, щоб стежити за вами
• Мова: мова вашого браузера
• Платформа: Операційна система, яку ви використовуєте
• Підтримка дотику: якщо ваша система підтримує дотик (наприклад, телефон/планшет або ноутбук із сенсорним екраном)
• Використання блокування реклами: якщо ваш браузер блокує рекламу
• Відбиток AudioContext: як і відбитки Canvas і WebGL, ці відбитки відображатимуть ваші аудіоможливості.
• ЦП: який тип ЦП ви використовуєте та скільки їх
• Пам'ять: скільки пам'яті є у вашій системі
• Дозволи веб-переглядача: чи дозволяє ваш веб-переглядач деякі речі, як-от геолокацію або доступ до мікрофона/веб-камери.

У більшості випадків ці відбитки пальців, на жаль, будуть унікальними або майже унікальними для вашого браузера/системи. Це означає, що навіть якщо ви вийшли з веб-сайту, а потім увійшли знову, використовуючи інше ім’я користувача, ваш відбиток пальця може залишитися тим самим, якщо ви не вжили запобіжних заходів. Потім зловмисник може використовувати такі відбитки пальців, щоб відстежувати вас у кількох службах, навіть якщо у вас немає облікового запису в жодній із них і ви використовуєте блокування реклами. Ці відбитки пальців, у свою чергу, можуть бути використані для деанонімізації, якщо ви зберігаєте той самий відбиток пальця між службами.

Ось служби, якими можна скористатися для перевірки відбитків пальців браузера:

• https://abrahamjuliot.github.io/creepjs/ (Мабуть, найкращий загалом)
• https://coveryourtracks.eff.org/
• https://amiunique.org
• https://browserleaks.com/
• https://www.deviceinfo.me/
• (Тільки для браузерів на основі Chromium) https://z0ccc.github.io/extension-fingerprints/#

Швидше за все, ви знайдете свій відбиток пальця в браузері унікальним, що б ви не робили.

Людська взаємодія:

Деякі платформи додадуть це як бонус і вимагатимуть від вас реальної людської взаємодії з представником служби підтримки клієнтів. Зазвичай електронною поштою, але іноді через чат/телефон. Вони захочуть підтвердити ваше існування, попросивши вас відповісти на електронний лист/чат/телефонний дзвінок.

Це неприємно, але в нашому випадку з цим досить легко впоратися. Ми не створюємо ботів. Цей посібник призначений для людей, які створюють людські облікові записи.

Модерація користувача:

Багато платформ делегують і покладаються на своїх користувачів, щоб модерувати інші та їхній вміст. Це функції «звіту», які ви знайдете на більшості платформ.

Повідомлення про тисячі разів не має значення, якщо ви Дональд Трамп чи Кім Кардашьян, але якщо на вас, як на єдиного анонімного користувача без друзів, повідомлять хоч раз, вас можуть миттєво призупинити/позначити/забанити.

Аналіз поведінки:

Перегляньте дані про свій цифровий відбиток пальця, слід і поведінку в Інтернеті .

Фінансові операції:

Прості та ефективні, деякі платформи вимагатимуть від вас здійснення фінансової операції для підтвердження вашого облікового запису, іноді під приводом підтвердження вашого віку. Це може бути підтвердження кредитної картки або банківський переказ на дуже невелику суму. Деякі приймуть пожертву в основній криптовалюті, як-от біткойн або ефіріум.

Хоча це може здатися невинним, це, очевидно, метод перевірки ідентифікатора та деанонімізації. Це лише опосередкована залежність від фінансового KYC третьої сторони ²⁴² нормативні акти.

Це, наприклад, зараз стосується деяких європейських користувачів YouTube ³⁸⁴ але також використовується такими службами, як Amazon, для створення облікового запису яких потрібен дійсний спосіб оплати.

Увійдіть за допомогою певної платформи:

«Навіщо ми самі виконуємо цю перевірку користувачів, коли ми можемо просто попросити інших розібратися з нею?»

Ви це помітите і, мабуть, уже стикалися з цим. Деякі програми/платформи проситимуть/вимагатимуть від вас увійти за допомогою відомої та добре використовуваної авторитетної платформи замість їхньої власної системи (вхід за допомогою Google/Facebook/Apple/Twitter).

Ця опція часто представлена ​​як «за замовчуванням», приховуючи «Вхід за допомогою електронної пошти та пароля» за допомогою розумних темних шаблонів ³⁸⁵ і, на жаль, іноді потрібні.

Цей метод делегує процес перевірки на цих платформах замість того, щоб припускати, що ви не зможете легко створити анонімний обліковий запис Google/Facebook/Apple/Twitter.

На щастя, створювати їх можна й сьогодні.

Живе розпізнавання обличчя та біометрія (знову):

Це поширений метод, який використовується на деяких криптовалютних торгових платформах і в деяких програмах для знайомств.

Деякі платформи/програми вимагатимуть, щоб ви зробили знімок, на якому ви щось робите (підморгуєте, піднімаєте руку…) або показуєте спеціальну інформацію (текст, написаний від руки, паспорт чи посвідчення особи) на зображенні. Іноді платформа/додаток вимагатиме кількох зображень, щоб підвищити їх достовірність.

Цей посібник (поки що) не розглядатиме цього, оскільки він в основному використовується на фінансових платформах (які все одно зможуть ідентифікувати вас за допомогою інших засобів) і в деяких програмах для знайомств, як-от Tinder ³⁸⁶ . На жаль, зараз цей метод також іноді використовується у Facebook ³⁸⁷ і Instagram як частину їх методів перевірки (хоча ми з цим ще не стикалися).

У деяких випадках ці перевірки потрібно виконувати зі смартфона та за допомогою камери «в додатку», щоб запобігти надсиланню раніше збереженого (відредагованого) зображення.

Нещодавно навіть такі платформи, як PornHub, вирішили впровадити подібні заходи в майбутньому ³⁸⁸ .

Цю перевірку надзвичайно важко подолати, але можливо. Можливий спосіб перемогти їх — це використання програмного забезпечення технології «глибокої підробки», наприклад FaceSwap з відкритим кодом https://github.com/deepfakes/faceswap ^{[Archive.org]} щоб створити необхідні перевірочні зображення, використовуючи випадково згенероване комп’ютером обличчя, яке буде замінено на зображення моделі-співучасника (або стокову фотографію).

На жаль, для перевірки деяким програмам потрібен прямий доступ до камери смартфона. У такому випадку вам потрібно буде знайти спосіб робити такі «обличчя» на льоту за допомогою фільтра та інший спосіб передати це в камеру, яку використовує додаток. Можливий підхід був би схожий на цей вражаючий проект https://github.com/iperov/DeepFaceLive ^{[Archive.org]} .

Огляди вручну:

Вони можуть бути викликані будь-яким із перерахованих вище факторів і означають, що хтось (зазвичай спеціалізовані співробітники) перегляне ваш профіль вручну та вирішить, чи він справжній, чи ні, на основі їхньої суб’єктивної думки.

Деякі країни навіть створили гарячі лінії, де можна повідомити про будь-який підривний контент ³⁸⁹ .

Плюси: Зазвичай цей вердикт є «остаточним», і ви, ймовірно, уникнете подальших проблем, якщо будете добре.

Мінуси: Зазвичай цей вердикт є «остаточним», і вас, ймовірно, забанять без можливості оскарження, якщо ви не вмієте. Іноді ці відгуки потрапляють на платформу, просто приховуючи вас і скасовуючи вас без будь-якої причини. Будь-яке звернення буде залишено без відповіді, проігноровано або призведе до випадкової темної помилки під час спроби оскаржити цю особу (це трапляється, наприклад, в Instagram, де, якщо ваш обліковий запис буде «призупинено», очевидно, через перевірку вручну, спроба подати апеляцію форма просто видасть повідомлення про помилку та повідомить вам спробувати ще раз пізніше (ми намагалися зробити таку саму апеляцію для цієї особи щонайменше протягом останніх 6 місяців).

Вихід в Інтернет:

Тепер ви маєте базове розуміння всіх способів деанонімізації, відстеження та верифікації. Давайте почнемо з ухилення від них, залишаючись анонімними. Пам'ятайте:

• Не можна довіряти інтернет-провайдерам
• Не можна довіряти провайдерам VPS
• Не можна довіряти громадським постачальникам Wi-Fi
• Не можна довіряти постачальникам мобільних мереж
• Ви не можете довіряти провайдерам VPN
• Ви не можете довіряти жодній онлайн-платформі
• Ви не можете довіряти Tor
• Ви не можете довіряти своїй операційній системі
• Ви не можете довіряти своєму ноутбуку
• Ви не можете довіряти своєму смартфону (особливо Android)
• Ви не можете довіряти своїм розумним пристроям
• Перш за все, не можна довіряти людям

І що? Замість того, щоб нікому або чомусь не довіряти, ми порадимо «Довіряй, але перевіряй» ³⁹⁰ (або «Ніколи не довіряйте, завжди перевіряйте», якщо ви більш жорсткі щодо цього і хочете застосувати Zero-Trust Security ²⁶ ) замість цього.

Не починайте цей процес, якщо:

• Ви ознайомилися з місцевим законодавством щодо відповідності та законності своїх дій.
• Ви знаєте свою модель загрози.
• Ви перебуваєте в безпечному місці з загальнодоступним Wi-Fi без свого смартфона чи будь-якого іншого розумного пристрою. І бажано в місці, де камери відеоспостереження не знімають вас (не забудьте знайти безпечні місця з пристойним громадським Wi-Fi і Додаток Q: Використання далекобійної антени для підключення до громадських Wi-Fi з безпечної відстані )
• Ви повністю готові і готуєте один із маршрутів.
• Знову ж таки, надзвичайно важливо розуміти, що ви не зможете створити більшість облікових записів без дійсного номера телефону. Таким чином, більша частина вашої анонімності на звичайних платформах залежить від анонімності вашого онлайн-номера телефону та/або телефону для запису з попередньо оплаченою SIM-карткою (якщо ви її використовуєте). Якщо ваш номер телефону не є анонімним або ваш телефон записувача можна відстежити до вас, ви можете бути деанонімними. Якщо ви не можете отримати цей анонімний номер телефону та/або фізичну SIM-картку за допомогою телефону Burner, тоді вам доведеться обмежитися платформами, які не вимагають підтвердження номера телефону.

Не забудьте переглянути Додаток N: Попередження щодо смартфонів і інтелектуальних пристроїв

Створення нових ідентичностей:

Це найцікавіша частина, у якій ви створюватимете свою особистість із повітря. Ці ідентичності не існують, але мають бути правдоподібними та виглядати «органічними». В ідеалі вони повинні мати історію, «легенду» (так, це справжній термін для цього ³⁹¹ ).

Що таке легенда? Ну, це повна передісторія вашого персонажа:

• Вік
• секс
• Стать
• Етнічна приналежність
• Місце народження та дата народження
• Місце проживання
• Країна народження
• Відвідані країни (наприклад, для подорожей)
• Інтереси та хобі
• Історія освіти
• Досвід роботи
• Інформація про здоров'я
• Релігія, якщо є
• Цілі
• Історія сім'ї
• Склад сім'ї, якщо є (діти? дружина? чоловік?)
• Стан стосунків, якщо є (одружений? неодружений?)
• Розмовні мови
• Риси особистості (інтроверт, екстраверт…)
• …

Усе це має бути ретельно розроблено для кожної окремої особистості, і ви повинні бути надзвичайно обережними, дотримуючись деталей кожної легенди, використовуючи ці ідентифікації. Ніщо не може витікати, що могло б привести до вашої справжньої особистості. Ніщо не може витікати, що могло б поставити під загрозу послідовність вашої легенди. Все завжди повинно бути узгоджено.

Інструменти, які можуть у цьому допомогти:

• https://www.fakenamegenerator.com/
• https://thispersondoesnotexist.com/
• https://generated.photos/face-generator ( Зображення, створені за допомогою цього інструменту, мають водяний знак, який, можливо, доведеться видалити за допомогою програмного забезпечення для редагування зображень, наприклад Gimp )
  • Попередження: для роботи цього інструменту потрібен JavaScript і виконує багато відбитків пальців. Більшу частину надсилають до Microsoft Clarity. Навіть із встановленим uBlock і на більш безпечному рівні браузер Tor не міг ефективно блокувати зняття відбитків пальців. Це, очевидно, не працює на безпечному рівні. Під час наших тестів лише Brave з агресивним скануванням відбитків пальців/рекламними екранами не надсилав аналітику.

Зараз також настав момент, коли ви можете нарешті подумати про те, щоб отримати онлайн-номер телефону, як пояснюється в розділі «Номер онлайн-телефону (менш рекомендовано) .

Ми трохи допоможемо вам, перерахувавши кілька порад, які ми отримали під час досліджень протягом багатьох років (застереження: це базується лише на моєму особистому досвіді) :

• «Деякі тварини рівніші за інших».
  Етнічна приналежність важлива, і ви матимете менше проблем і привернете менше уваги до алгоритмів перевірки, якщо ваша особистість кавказька/східноазіатська, ніж якщо ви арабська/чорношкіра (так, ми ретельно перевіряли це, і це безперечно проблема). Вік важливий, і у вас буде менше проблем, якщо ви молоді (18-22), ніж якщо ви середнього або старшого віку. Платформи, здається, більш м’які, не накладаючи обмежень на нову молодшу аудиторію. Стать/стать важливі, і у вас буде менше проблем, якщо ви жінка, ніж якщо ви чоловік. Країна походження важлива, і у вас буде менше проблем, якщо ви норвезька особа, ніж українська, нігерійська чи мексиканська. Країна проживання має важливе значення, і у вас буде менше проблем, якщо ваша особа проживає в Осло чи Парижі, ніж якщо ви вирішите жити в Києві чи Каїрі. Мова важлива, і у вас буде менше проблем, якщо ви розмовляєте англійською або мовою вашої особи, ніж якщо ви використовуєте неспоріднену мову. Не робіть з арабки норвежського походження 20-річну жінку, яка говорить українською або арабською.
• Особи, які є «резидентами ЄС» з «IP-адресою ЄС» (VPN/Tor Exit IP), отримають переваги від захисту GDPR на багатьох платформах. Інші не будуть. GDPR у більшості випадків є вашим другом, і ви повинні це враховувати.
• Подібним чином геолокація початкової IP-адреси (ваша IP-адреса/розташування, коли ви заходите на «whatsmyipaddress.com») має максимально відповідати вашому ідентифікаційному місцезнаходження (під час використання VPN через Tor ви можете вибрати це в клієнті VPN, якщо ви використовуєте VPN над підходом Tor або просто створіть новий ідентифікатор у браузері Tor чи вкладці Brave Tor, доки не отримаєте відповідний вузол виходу, або налаштуйте Tor, щоб обмежити ваші вузли виходу). Подумайте про виключення будь-якої вихідної IP-адреси, яка не розташована в Західній Європі/США/Канаді/Японії/Південній Кореї/Австралії/Новій Зеландії, оскільки у вас буде менше проблем. В ідеалі ви повинні отримати IP-адресу Європейського Союзу, щоб отримати додатковий захист GDPR, і, якщо можливо, IP-адресу виходу з Німеччини через їхню юридичну позицію щодо використання анонімних облікових записів на онлайн-платформах.
• Браузер Brave (на базі Chromium) із приватною вкладкою Tor має кращий рівень прийнятності, ніж браузер Tor (на базі Firefox). Ви матимете менше проблем із капчі та онлайн-платформами ³⁸³ якщо ви використовуєте Brave, ніж якщо ви використовуєте Tor Browser (не соромтеся спробувати це самостійно).
• Для кожної особи ви повинні мати відповідне зображення профілю, пов’язане з нею. Для цього ми рекомендуємо вам просто перейти на сторінку https://thispersondoesnotexist.com/ або https://generated.photos/face-generator * і створити згенероване комп’ютером зображення профілю (зверніть увагу, що алгоритми були розроблені ³⁹² ' ³⁹³ виявити їх, і це може не працювати в 100% випадків). Ви також можете створити такі зображення самостійно зі свого комп’ютера, якщо бажаєте, використовуючи відкритий проект StyleGan тут https://github.com/NVlabs/stylegan2 ^{[Archive.org]} . Просто оновлюйте сторінку, доки не знайдете зображення, яке відповідає вашій особистості в усіх аспектах (вік, стать та етнічна приналежність), і збережіть це зображення. Було б навіть краще мати кілька зображень, пов’язаних із цією ідентичністю, але ми поки що не маємо «простого способу» зробити це.

*Попередження: https://generated.photos/face-generator потребує JavaScript для роботи та виконує багато відбитків пальців. Більшу частину надсилають до Microsoft Clarity. Навіть із встановленим uBlock і на більш безпечному рівні браузер Tor не міг ефективно блокувати зняття відбитків пальців. Це, очевидно, не працює на безпечному рівні. Під час наших тестів лише Brave з агресивним скануванням відбитків пальців/рекламними екранами не надсилав аналітику.

• Бонус , ви також можете зробити це більш реальним, скориставшись цією службою (з анонімною ідентифікацією) https://www.myheritage.com/deep-nostalgia ^{[Archive.org]} щоб зробити зображення більш реалістичним. Ось приклад:
• Оригінал:

• Результат (див. Інтернет, оскільки PDF-файли погано працюють із вбудованими носіями):

Невелика проблема: MyHeritrage.com забороняє вузли виходу Tor, тому вам, можливо, доведеться знову розглянути VPN через Tor для цього.

Ви також можете досягти того самого результату, не використовуючи MyHeritage, а роблячи це самостійно, наприклад, за допомогою https://github.com/AliaksandrSiarohin/first-order-model ^{[Archive.org]} але для цього знадобиться більше ручних операцій ( і потрібен графічний процесор NVIDIA ). Інші комерційні продукти незабаром будуть доступні, наприклад: https://www.d-id.com/talkingheads/ ^{[Archive.org]} із прикладами тут: https://www.youtube.com/channel/UCqyzLOHYamYX2tNXBNSHr1w/videos ^[Invidious] .

Примітка. Якщо ви робите кілька зображень однієї особи за допомогою деяких із згаданих вище інструментів, обов’язково порівняйте схожість за допомогою інструменту Microsoft Azure Face Verification за адресою https://azure.microsoft.com/en-us/services/cognitive -services/face/#demo .

• Створіть заздалегідь і збережіть у KeePassXC кожну ідентифікаційну інформацію, яка повинна включати деякі створені деталі, як згадувалося раніше.
• Не вибирайте професію у відомій приватній корпорації/компанії, оскільки в їхніх відділах кадрів є люди, які контролюють діяльність на таких платформах, як LinkedIn, і повідомлять про те, що ваш профіль підроблений, якщо він не відповідає їхній базі даних. Натомість оберіть професію фрілансера або у великій державній установі, де через децентралізований характер ви будете менше перевірятися.
• Відстежуйте (записуйте) передісторії ваших Особистостей. Ви завжди повинні всюди використовувати однакові дати та відповіді. Все завжди має збігатися. Навіть історії, які ви розповідаєте про своє уявне життя, завжди повинні збігатися. Якщо ви скажете, що одного дня працюєте стажером у Міністерстві охорони здоров’я, а потім на іншій платформі, скажете, що ви працюєте стажером у Міністерстві транспорту, люди можуть поставити під сумнів вашу особу. Будьте послідовними.
• Використовуйте окремий номер телефону для кожної особи. Онлайн-платформи відстежують використання телефонних номерів, і якщо один ідентифікаційний номер/номер буде позначено як порушення Правил спільноти чи Умов надання послуг, інші ідентифікаційні дані, які використовують той самий номер, також можуть бути позначені/забанені.
• Адаптуйте свою мову/письмо до особистості, щоб не викликати підозр і не знизити шанси отримати відбитки пальців онлайн-платформами. Будьте особливо обережні з використанням педантичних слів і образів мови/цитат, які можуть дозволити деяким людям здогадатися, що ваші записи дуже схожі на ту людину з цим псевдонімом Twitter або цього користувача Reddit. Див. Додаток A4: Протидія судовій лінгвістиці .
• Завжди використовуйте TOTP 2FA (а не SMS, щоб запобігти атакам Sim Swapping ³⁹⁴ а також для збереження вашої ідентифікаційної інформації після завершення терміну дії вашої попередньо оплаченої картки), використовуючи KeePassXC, коли він доступний, щоб захистити ваш вхід на різні платформи.
• Запам’ятайте Додаток A2: Рекомендації щодо паролів і парольних фраз .

Ось також хороший посібник із цієї конкретної теми: https://gendersec.tacticaltech.org/wiki/index.php/Complete_manual#.22Real.22_names ^{[Archive.org]}

Примітка. Якщо у вас виникли проблеми з пошуком вузла виходу у вибраній вами країні, ви можете примусово використовувати певні країни для вузлів виходу (і, отже, країн виходу) у Tor, відредагувавши файл torrc на шлюзі Whonix або навіть у браузері Tor:

• Whonix/Tails: створити/редагувати файл /usr/local/etc/torrc.d/50_user.conf³⁹⁵ .
• У браузері Tor: відредагуйте файл torrc, розташований за адресою Browser/TorBrowser/Data/Tor³⁹⁶ .

У файлі можна виконати такі дії:

• Укажіть вузли виходу, додавши ці два рядки (для яких знадобиться вузол виходу в Китаї/Росії/Україні:
  ExitNodes {CH},{RU},{UA} StrictNodes 1
• Виключіть певні вузли виходу, додавши цей рядок (що виключить усі вузли виходу з Франції/Німеччини/США/Великобританії):
  • ExcludeNodes {FR},{DE},{US},{UK}

Завжди використовуйте великі літери для будь-якого налаштування.

Будь ласка, зверніть увагу, що це обмеження Onion Routing може обмежити вашу анонімність, якщо ви будете надто обмежені. Ви можете побачити візуалізований список доступних вузлів виходу тут: https://www.bigdatacloud.com/insights/tor-exit-nodes ^{[Archive.org]}

Ось список можливостей (це загальний список, і багато з цих країн можуть взагалі не мати вузлів виходу): https://web.archive.org/web/https://b3rn3d.herokuapp.com/blog/ 2014/03/05/tor-коди-країн/

Перевірте, чи поганий ваш Tor Exit Node:

Пропустіть це, якщо ви використовуєте VPN/проксі через Tor (хоча ви також можете виконати ті самі перевірки з вузлом виходу VPN, якщо хочете).

Не всі вузли виходу Tor однакові. Це здебільшого пов’язано з тим, яку «політику виходу» застосовує до них їхній оператор. Деякі вузли виходу Tor виглядають більш-менш «чистими» і відображатимуться лише в списках вузлів виходу Tor. Деякі інші вузли виходу Tor розглядаються як «брудні» та відображатимуться в десятках різних чорних списків. Отже, як дізнатися, чистий чи поганий? Це не так просто.

Цей процес дуже простий:

Це працює незалежно від того, чи використовуєте ви браузер Tor на хост-ОС, у віртуальній машині, з ОС Whonix або Qubes.

• Перейдіть на вкладку цільового веб-сайту, на якому ви хочете зареєструватися
• Натисніть піктограму Tor Circuit ліворуч від піктограми «замок» у верхньому лівому куті, щоб переглянути свій маршрут через мережу Tor.
• Подивіться на третю IP-адресу (IP-адреса виходу), яку ви використовуєте на цій вкладці для цього веб-сайту. (Ви не можете скопіювати IP-адресу, але ви можете ввести її в адресний рядок браузера, якщо потрібно.)
• Відкрийте нову вкладку та перейдіть до MX Toolbox. https://mxtoolbox.com/blacklists.aspx
• Введіть IP-адресу виходу з першої вкладки у вікні пошуку. Ймовірно, ви побачите «Ми помітили, що ви в чорному списку».
• Перевірте кількість чорних списків, у яких знаходиться вузол Tor Exit. В ідеалі, це має бути лише два. Якщо він є в інших списках, наприклад Spamhaus ZEN, у вас можуть виникнути проблеми:
  ДЕН ТОР ДЕН ТОРЕКЗИТ

Якщо вузол виходу «чистий» (у кількох списках), поверніться до першої вкладки та відкрийте сайт, який ви хочете використовувати для реєстрації.

Система справжніх імен:

На жаль, невикористання вашої справжньої особи суперечить Умовам надання послуг («TOS») багатьох служб, особливо тих, які належать Microsoft і Facebook. Але не впадайте у відчай, як пояснюється у Вимогах , це все ще законно в Німеччині, де суди підтвердили законність невикористання справжніх імен на онлайн-платформах (§13 VI Закону Німеччини про телемедіа 2007 року). ¹ ' ² ). не можуть перекривати закони На щастя, Умови обслуговування (поки що) .

Це не означає, що це незаконно в інших місцях, але це може бути порушенням їхніх TOS, якщо на вашому боці немає закону. Пам’ятайте, що цей посібник схвалює це лише для німецьких користувачів, які проживають у Німеччині.

Зі свого боку, ми рішуче засуджуємо таку політику щодо справжніх імен. Дивіться, наприклад, цю статтю у Вікіпедії з кількома прикладами: https://en.wikipedia.org/wiki/Facebook_real-name_policy_controversy ^{[Без Wiki] [Archive.org]}

Ось ще кілька посилань щодо німецької справи для довідки:

• https://slate.com/technology/2018/02/why-some-americans-are-cheering-germany-for-taking-on-facebooks-real-name-policy.html ^{[Archive.org]}
• https://www.theverge.com/2018/2/12/17005746/facebook-real-name-policy-illegal-german-court-rules ^{[Archive.org]}
• https://www.pcmag.com/news/german-court-rules-facebooks-real-name-policy-is-illegal ^{[Archive.org]}
• https://www.vzbv.de/sites/default/files/downloads/2018/02/14/18-02-12_vzbv_pm_facebook-urteil_en.pdf ^{[Archive.org]}
• https://www.pcmag.com/news/german-court-rules-facebooks-real-name-policy-is-illegal ^{[Archive.org]}
• https://www.reuters.com/article/us-germany-facebook/german-court-rules-facebook-use-of-personal-data-illegal-idUSKBN1FW1FI ^{[Archive.org]}

Крім того, ви можете бути повнолітнім резидентом будь-якої іншої країни, де ви можете самостійно підтвердити та перевірити законність цього. Знову ж таки, це не юридична порада, і ми не юристи. Робіть це на свій страх і ризик.

Інші країни, де це було визнано незаконним:

• Південна Корея (див. https://en.wikipedia.org/wiki/Real-name_system#South_Korea ^{[Без Wiki] [Archive.org]} )
• Якщо ви знаєте щось інше, будь ласка, дайте мені знати, додавши посилання у випусках GitHub.

Деякі платформи взагалі обходять цю вимогу, вимагаючи натомість дійсний спосіб оплати (див. Фінансові операції: ). Хоча для цього безпосередньо не потрібно вказувати справжнє ім’я в їхніх Умовах використання, це дає ті самі результати, оскільки вони зазвичай приймають лише основні (не Monero/Cash) способи оплати (такі як Visa/MasterCard/Maestro або PayPal), для яких потрібне справжнє ім’я. законно як частину їх KYC ²⁴² нормативні акти. Результат такий самий і навіть кращий, ніж проста політика справжніх імен, якою можна було б ігнорувати в деяких країнах, наприклад у Німеччині.

Про платні послуги:

Якщо ви збираєтеся користуватися платними послугами, надайте перевагу тим, хто приймає готівкові платежі або платежі Monero, які ви можете робити безпосередньо та безпечно, зберігаючи свою анонімність.

Якщо служба, яку ви збираєтеся придбати, не приймає їх, але приймає біткойни (BTC), розгляньте наступний додаток: Додаток Z: Анонімна оплата онлайн за допомогою BTC (або будь-якої іншої криптовалюти) .

огляд:

У цьому розділі наведено огляд різноманітних поточних вимог для деяких платформ:

• Скористайтеся рекомендованими інструментами на https://privacyguides.org ^{[Archive.org]} для кращої конфіденційності замість звичайних основних.
• Розгляньте можливість використання рекомендованих інструментів на https://www.whonix.org/wiki/Documentation ^{[Archive.org]} а також замість звичайних основних, таких як постачальники електронної пошти: https://www.whonix.org/wiki/E-Mail#Anonymity_Friendly_Email_Provider_List ^{[Archive.org]}

У наступному огляді не згадуються методи конфіденційності цих платформ, а лише їхні вимоги до реєстрації облікового запису. Якщо ви хочете використовувати інструменти та платформи, що забезпечують конфіденційність, перейдіть на сторінку https://privacyguides.org ^{[Archive.org]} .

Легенда:

• «Незрозуміло»: незрозуміло через брак інформації або плутанину.
• «Можливо»: це траплялося в меншості моїх тестів.
• «Ймовірно»: це траплялося в більшості моїх тестів.
• «Так» чи «Ні»: це траплялося або ніколи не відбувалося систематично в усіх моїх тестах.
• «Легко»: загальний досвід був простим, майже без перешкод.
• «Середній»: загальний досвід має деякі перешкоди, але це все одно можна зробити без зайвих проблем.
• «Важко»: загальний досвід — це болісна боротьба з багатьма перешкодами.
• «Н/З»: не застосовується, оскільки неможливо було перевірити в контексті цього посібника
• «Непрямо»: це означає, що вони дійсно вимагають щось, але опосередковано через систему третьої сторони (наприклад, фінансовий KYC).

• див. у системі справжніх імен Важливу інформацію . Подробиці дивіться нижче.

Нижче ви знайдете список «проблемних послуг». Якщо вони не нижче, це означає, що ні з чим взагалі немає проблем (наприклад, з Браяром)

Amazon:

• Це суперечить їхнім Умовам обслуговування? Ні, але так https://www.amazon.com/gp/help/customer/display.html?nodeId=202140280 ^{[Archive.org]}

«1. Послуги Amazon, програмне забезпечення Amazon

A. Використання служб Amazon для продукту. Щоб використовувати певні Послуги Amazon для Продукту, ви повинні мати власний обліковий запис Amazon.com, увійти у свій обліковий запис у Продукті та мати дійсний спосіб оплати, пов’язаний із вашим обліковим записом. «

Хоча технічно це не вимагає справжнього імені. Для цього потрібен дійсний спосіб оплати. На жаль, він не приймає «готівку» або «Monero» як спосіб оплати. Тож натомість вони покладаються на фінансовий KYC (де політика справжнього імені майже всюди дотримується).

• Чи вимагатимуть вони номер телефону? Так, але дивіться нижче
• Чи можна створювати облікові записи через Tor? Так, але дивіться нижче

Через цю вимогу щодо дійсного способу оплати ми не змогли перевірити це. Хоча це, здається, не суперечить їхнім Умовам використання, це неможливо в контексті цього посібника, якщо вам не вдасться анонімно отримати дійсний спосіб оплати KYC, що AFAIK майже неможливо або надзвичайно складно.

Отже, AFAIK, неможливо створити анонімний обліковий запис Amazon.

Apple:

• Це суперечить їхнім Умовам обслуговування? Так https://www.apple.com/legal/internet-services/icloud/en/terms.html ^{[Archive.org]}

«IV. Використання вами Сервісу

A. Ваш обліковий запис

Щоб скористатися Сервісом, ви повинні ввести свій Apple ID і пароль для автентифікації свого облікового запису . Ви погоджуєтеся надавати точну та повну інформацію під час реєстрації та під час використання Сервісу («Реєстраційні дані Сервісу»), а також погоджуєтесь оновлювати свої Реєстраційні дані Сервісу, щоб вони були точними та повними».

• Чи вимагатимуть вони номер телефону? Так
• Чи можна створювати облікові записи через Tor? Так

Зауважте, що цей обліковий запис не дозволить вам налаштувати обліковий запис електронної пошти Apple. Для цього вам знадобиться пристрій Apple.

Binance:

• Це суперечить їхнім Умовам обслуговування? Так https://www.binance.com/en/terms ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Немає

Розбрат:

• Це суперечить їхнім Умовам обслуговування? Ні https://discord.com/terms ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, але вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Наразі у нас не було проблем з цим, використовуючи Desktop Client

Ви можете зіткнутися з іншими проблемами під час використання веб-клієнта (Captchas). Особливо з Tor Browser.

Я пропоную використовувати програму Discord Client на віртуальній машині через Tor або в ідеалі через VPN/проксі через Tor, щоб пом’якшити такі проблеми.

елемент:

• Це суперечить їхнім Умовам обслуговування? Ні https://element.io/terms-of-service ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, для них навіть не потрібна електронна пошта
• Чи можна створювати облікові записи через Tor? Так

Очікуйте деяких Captcha під час створення облікового запису на деяких домашніх серверах.

Facebook:

• Це суперечить їхнім Умовам обслуговування? Так https://www.facebook.com/terms.php ^{[Archive.org]}

«1. Хто може користуватися Facebook

Коли люди відстоюють свої думки та дії, наша спільнота безпечніша та підзвітніша. З цієї причини ви повинні:

• Використовуйте те саме ім'я, яке використовуєте в повсякденному житті.
• Надайте точну інформацію про себе.
• Чи вимагатимуть вони номер телефону? Так, і, мабуть, пізніше
• Чи можна створювати облікові записи через Tor? Так, але це дуже важко і їх цибуля адресу ³⁹⁷ не допоможе. У більшості випадків ви отримаєте випадкову помилку під час реєстрації, а ваш обліковий запис буде призупинено після входу».

Але цей пункт їхніх Умов використання є незаконним у Німеччині (див. Вимоги ).

Facebook є однією з найагресивніших платформ із підтвердженням особи, і наполегливо просуває свою «політику справжнього імені». Тому цей посібник рекомендовано лише жителям Німеччини.

Під час наших тестів ми змогли визначити кілька порад:

• Це буде простіше, якщо у вас спочатку буде обліковий запис Instagram.
• Зареєструватися через Tor майже неможливо (навіть за допомогою їхньої адреси .onion, що є жартом) і вдасться, лише якщо вам «дуже пощастить» (я припускаю, якщо ви використовуєте вузол виходу, який ще не відомий системам перевірки Facebook) . У більшості випадків це взагалі не дозволить реєстрацію та просто завершиться помилкою з повідомленням «Під час реєстрації сталася помилка».
• Реєстрація через VPN з більшою ймовірністю вдасться, але все одно може призвести до тієї ж помилки. Отже, ви повинні бути готові до багатьох спроб і помилок.
• Найкраще зареєструватися через Self-Hosted VPN/Proxy, але переконайтеся, що ваш профіль/ідентифікація відповідає геолокації IP.
• Мій попередній запис у путівнику про Оруеллівську цитату з «Колгоспу тварин» повністю діє на Facebook. Ви відчуєте величезні варіації в прийнятті залежно від віку/статі/етнічної приналежності/національності/… Тут у вас буде набагато менше проблем, якщо ви створюєте обліковий запис молодої європейської кавказької жінки. Ви майже напевно зазнаєте невдачі, якщо спробуєте створити чоловіка середнього віку, якщо інші мої облікові записи все ще не призупинені/розблоковані досі.
• Проте вхід (після реєстрації) добре працює з VPN і Tor, але все одно може спричинити призупинення облікового запису через порушення Правил спільноти чи Умов надання послуг (незважаючи на те, що ви взагалі не використовуєте обліковий запис ні для чого іншого, крім реєстрації/реєстрації -в). В ідеалі вам слід увійти в систему з тією самою IP-адресою з VPN/проксі-сервера, розміщеного на власному хості.

На основі мого тесту я також сильно підозрюю, що наступні моменти впливають на вашу ймовірність призупинення з часом:

• Не мати друзів
• Відсутність інтересів і «органічної діяльності»
• Відсутність в контактах інших користувачів
• Відсутність на інших платформах (таких як Instagram/WhatsApp)
• Обмеження параметрів конфіденційності вашого профілю занадто швидко після реєстрації

Якщо ваш обліковий запис призупинено, вам потрібно буде оскаржити це рішення за допомогою досить простої форми, яка вимагатиме від вас надати «підтвердження особи». Однак ця система підтвердження ідентифікації є більш м’якою, ніж LinkedIn, і дозволить вам надсилати різні документи, які потребують набагато менше навичок роботи з Photoshop.

Також можливо, що вони просять вас зробити селфі-відео або зробити зображення певними жестами, щоб підтвердити свою особу. Якщо це так, ми боїмося, що наразі це безвихідь, якщо ви не використовуєте техніку заміни обличчя deepfake.

Якщо ви подасте апеляцію, вам доведеться почекати, поки Facebook її розгляне (я не знаю, чи це відбувається автоматично чи людиною), і вам доведеться чекати та сподіватися, що вони скасують призупинення вашого облікового запису.

GitHub:

• Це суперечить їхнім Умовам обслуговування? Ні https://docs.github.com/en/free-pro-team@latest/github/site-policy/github-terms-of-service ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, все добре
• Чи можна створювати облікові записи через Tor? Так, але чекайте капчі

GitHub простий і не потребує номеру телефону.

Обов’язково перейдіть у «Параметри» > «Електронна пошта» та зробіть свою електронну пошту приватною, а також заблокуйте будь-який push, який може розкрити вашу електронну пошту.

GitLab:

• Це суперечить їхнім Умовам обслуговування? Ні https://about.gitlab.com/handbook/legal/subscription-agreement/ ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, все добре
• Чи можна створювати облікові записи через Tor? Так, але очікуйте капчі

GitLab простий і не потребує номеру телефону.

Google:

• Це суперечить їхнім Умовам обслуговування? Ні https://policies.google.com/terms ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Так, будуть. Тут немає порятунку.
• Чи можна створювати облікові записи через Tor? Так, але очікуйте деяких captcha та ваш номер телефону

Proton — це добре… але, щоб виглядати менш підозрілим, просто краще мати основний обліковий запис Google Mail.

Як і Proton, Google також, швидше за все, вимагатиме номер телефону під час реєстрації в рамках процесу перевірки. Однак, на відміну від Proton, Google зберігатиме цей номер телефону під час процесу реєстрації, а також обмежуватиме кількість облікових записів, які можна створити під час реєстрації. ³⁹⁸ ' ³⁹⁹ .

З мого досвіду під час мого дослідження, ця кількість обмежена трьома обліковими записами/номерами телефону. Якщо вам не пощастило з вашим номером (якщо він раніше використовувався іншим мобільним користувачем), він може бути меншим.

Тому для створення облікового запису вам слід знову використати номер онлайн-телефону АБО свій телефон записувача та передплачену SIM-картку. Не забудьте використати ідентифікаційні дані, які ви створили раніше (дата народження). Коли обліковий запис буде створено, знайдіть час, щоб зробити наступне:

• (Трюк) Увійдіть у Google Mail на робочому столі та перейдіть у швидкі налаштування Gmail > Переглянути всі налаштування > Пересилання та POP/IMAP > Додайте адресу пересилання > Підтвердити (за допомогою Proton) > Поверніться до Gmail і налаштуйте пересилання на пересилання та видалення Копія Google > Зберегти. Цей крок дозволить вам перевірити свою пошту Google за допомогою Proton натомість і дозволить вам уникнути запуску перевірок безпеки Google шляхом входу з різних IP-адрес виходу VPN/Tor у майбутньому, зберігаючи конфіденційну електронну пошту на Proton. Цей трюк дозволить вам отримувати всі електронні листи з ваших адрес Gmail на вашу адресу Proton (або іншу) без необхідності входити в облікові записи Google (зменшуючи ризики призупинення роботи, особливо якщо ви використовуєте Tor).
• Увімкніть 2FA в налаштуваннях облікового запису Google. Спочатку вам потрібно буде ввімкнути 2FA за допомогою номера телефону. Потім ви побачите опцію для ввімкнення 2FA за допомогою програми Authenticator. Скористайтеся цією опцією та налаштуйте її за допомогою нового запису KeePassXC TOTP. Коли це буде зроблено, видаліть телефон 2FA з облікового запису Google. Це запобіжить комусь використовувати цей номер телефону в майбутньому (коли у вас його більше не буде) для відновлення/отримання доступу до цього облікового запису.
• Додайте Proton як адресу електронної пошти для відновлення облікового запису.
• Видаліть номер телефону з даних облікового запису як варіант відновлення.
• Завантажте зображення профілю Google, яке ви зробили раніше на етапі створення особи.
• Перегляньте налаштування конфіденційності Google, щоб вимкнути якомога більше:
  Журнал активності YouTube
• Вийдіть і не чіпайте його, якщо це не потрібно (як уже згадувалося, ви використовуватимете Proton для перевірки свого Gmail).

Майте на увазі, що існують різні алгоритми для перевірки дивної активності. Якщо ви отримуєте будь-який лист (на Proton) із запитом про попередження системи безпеки Google. Клацніть його та натисніть кнопку, щоб сказати: «Так, це був я». Це допомагає.

Ніде не використовуйте цей обліковий запис для «реєстрації в Google», якщо це не потрібно.

Будьте надзвичайно обережні, якщо ви вирішите використовувати обліковий запис для дій Google (наприклад, оглядів Карт Google або коментарів YouTube), оскільки вони можуть легко спровокувати деякі перевірки (негативні відгуки, коментарі, що порушують Правила спільноти на YouTube).

Якщо ваш обліковий запис призупинено ⁴⁰⁰ (це може статися під час реєстрації, після реєстрації або після використання в деяких службах Google), ви все одно можете розблокувати його, надіславши ⁴⁰¹ оскарження/підтвердження (що знову вимагатиме вашого номера телефону та, можливо, електронної пошти служби підтримки Google із зазначенням причини). Призупинення облікового запису не вимикає пересилання електронної пошти, але через деякий час призупинений обліковий запис буде видалено.

Якщо ваш обліковий запис Google буде відновлено після призупинення, у вас все буде добре.

Якщо ваш обліковий запис буде заблоковано, ви не матимете апеляції, а пересилання буде вимкнено. Ваш номер телефону буде позначено, і ви не зможете використовувати його для реєстрації в іншому обліковому записі. Будьте обережні, користуючись ними, щоб не втратити. Вони дорогоцінні.

Також можливо, що Google вимагатиме перевірку особи за допомогою непрямої фінансової перевірки KYC або перевірки зображення особи, якщо ви спробуєте отримати доступ або опублікувати вміст для дорослих на їхній платформі ⁴⁰² .

Instagram:

• Це суперечить їхнім Умовам обслуговування? Може бути? Ми не впевнені https://help.instagram.com/581066165581870?ref=dp ^{[Archive.org]}

« Ви не можете видавати себе за інших або надавати недостовірну інформацію. Ви не зобов’язані розкривати свою особу в Instagram, але ви повинні надати нам точну та актуальну інформацію (включно з реєстраційною інформацією) . Крім того, ви не можете видавати себе за когось, ким ви не є, і ви не можете створити обліковий запис для когось іншого, якщо у вас немає їх чіткого дозволу».

Це трохи оксюморон, вам не здається? Отже, ми не впевнені, дозволено це чи ні.

• Чи вимагатимуть вони номер телефону? Можливо, але менш імовірно через VPN і дуже ймовірно через Tor
• Чи можна створювати облікові записи через Tor? Так, але очікуйте деяких captcha та ваш номер телефону

Також можливо, що вони просять вас зробити селфі-відео або зробити зображення певними жестами, щоб підтвердити вашу особу (у додатку чи через запит електронною поштою). Якщо це так, ми боїмося, що поки що це глухий кут.

Ні для кого не секрет, що Instagram є частиною Facebook, однак він більш поблажливий, ніж Facebook, коли справа стосується перевірки користувачів. Цілком малоймовірно, що вас призупинять або забанять після реєстрації. Але це може допомогти.

Наприклад, ми помітили, що у вас буде менше проблем зі створенням облікового запису Facebook, якщо у вас уже є дійсний обліковий запис Instagram. Ви завжди повинні створити обліковий запис Instagram, перш ніж спробувати Facebook.

На жаль, є деякі обмеження при використанні веб-версії Instagram. Наприклад, ви не зможете ввімкнути Authenticator 2FA з Інтернету з невідомої нам причини.

Після реєстрації виконайте наступне:

• Якщо хочете, завантажте зображення вашої створеної особи.
• Перейдіть у налаштування
• Зробіть обліковий запис приватним (принаймні спочатку)
• Не показувати статус активності
• Не дозволяти ділитися

Джамі:

• Це суперечить їхнім Умовам обслуговування? Ні https://jami.net/privacy-policy/ ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, для них навіть не потрібна електронна пошта
• Чи можна створювати облікові записи через Tor? Ні, не працює з технічних причин

Кракен:

• Це суперечить їхнім Умовам обслуговування? Так https://www.kraken.com/legal ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Так

LinkedIn:

• Це суперечить їхнім Умовам обслуговування? Так https://www.linkedin.com/legal/user-agreement ^{[Archive.org]}

«Щоб користуватися Послугами, ви погоджуєтеся з тим, що: (1) вам має бути « мінімальний вік » (описано нижче) або більше; (2) у вас буде лише один обліковий запис LinkedIn, який має бути на ваше справжнє ім’я ; і (3) LinkedIn ще не обмежив вас у використанні Послуг. Створення облікового запису з неправдивою інформацією є порушенням наших умов , включаючи облікові записи, зареєстровані від імені інших осіб або осіб віком до шістнадцяти років. «

Але цей пункт їхніх Умов використання є незаконним у Німеччині (див. Вимоги ).

• Чи вимагатимуть вони номер телефону? Так, будуть.
• Чи можна створювати облікові записи через Tor? Так, але очікуйте деяких captcha та ваш номер телефону

LinkedIn набагато менш агресивний, ніж Twitter, але, тим не менш, у більшості випадків (хоча не завжди) вимагатиме дійсну електронну пошту (бажано знову ваш Gmail) і номер телефону.

Однак LinkedIn багато в чому покладається на звіти та модерацію користувачів/клієнтів. Ви не повинні створювати профіль із професією в приватній корпорації чи невеликій стартап-компанії. Співробітники компанії відстежують активність LinkedIn і отримують сповіщення, коли приєднуються нові люди. Потім вони можуть повідомити про ваш профіль як про підробку, і ваш профіль буде призупинено або забанено в очікуванні оскарження.

Тоді LinkedIn вимагатиме від вас пройти процес перевірки, який, на жаль, вимагатиме від вас надіслати документ, що підтверджує особу (посвідчення особи, паспорт, водійські права). Цю перевірку ідентифікатора обробляє компанія Jumio ⁴⁰³ яка спеціалізується на перевірці ідентифікаційних даних. Швидше за все, це тупик, оскільки це змусить вас розвинути деякі сильні навички Photoshop.

Натомість набагато менша ймовірність того, що про вас повідомлять, якщо ви просто залишатиметеся невизначеним (скажімо, ви студент/стажер/фрілансер) або прикидатиметеся, що працюєте у великій державній установі, яка є надто великою, щоб хтось міг її перевірити.

Як і у випадку з Twitter і Google, після реєстрації ви повинні зробити наступне:

• Відключити рекламу
• Вимкнути сповіщення
• Вимкнути пошук по телефону/електронній пошті
• Завантажте фотографію своєї особи

MailFence:

• Це суперечить їхнім Умовам обслуговування? Немає
• Чи вимагатимуть вони номер телефону? Ні, але вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Може бути. Згідно з моїми тестами, електронні листи для підтвердження реєстрації не надсилаються, коли для реєстрації використовується Tor. Однак жодних проблем не виникає при використанні VPN через Tor або проксі через Tor.

Середній:

• Це суперечить їхнім Умовам обслуговування? Ні, якщо мова не йде про криптовалюту https://policy.medium.com/medium-terms-of-service-9db0094a1e0f ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, але вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Поки що з цим проблем немає

Щоразу для входу потрібна електронна пошта.

Microsoft:

• Це суперечить їхнім Умовам обслуговування? Так https://www.microsoft.com/en/servicesagreement/ ^{[Archive.org]}

«я. Створення облікового запису. Ви можете створити обліковий запис Microsoft, зареєструвавшись онлайн. Ви погоджуєтесь не використовувати неправдиву, неточну чи оманливу інформацію під час реєстрації свого облікового запису Microsoft».

Але цей пункт їхніх Умов використання є незаконним у Німеччині (див. Вимоги ).

• Чи вимагатимуть вони номер телефону? Ймовірно, але не завжди. Залежно від вашої удачі з вузлом виходу Tor, вони можуть вимагати лише підтвердження електронної пошти. Якщо ви використовуєте VPN через Tor, вони, швидше за все, запитуватимуть лише електронну пошту.
• Чи можна створювати облікові записи через Tor? Так, ви можете, але очікуйте капчі, принаймні підтвердження електронною поштою та, ймовірно, підтвердження телефоном.

Отже, так, все ще можна створити обліковий запис MS без номера телефону та за допомогою Tor або VPN, але вам, можливо, доведеться пройти через кілька вузлів виходу, щоб досягти цього.

Після реєстрації вам слід налаштувати автентифікацію 2FA у параметрах безпеки та за допомогою KeePassXC TOTP.

OnlyFans:

• Це суперечить їхнім Умовам обслуговування? Ні, виглядає добре https://onlyfans.com/terms ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, вони вимагають електронної пошти
• Чи можна створювати облікові записи через Tor? Так, ти можеш

На жаль, ви будете дуже обмежені з цим обліковим записом, і щоб зробити будь-що, що вам знадобиться, завершіть процес перевірки, який вимагає перевірки фінансових транзакцій типу KYC. Отже, не дуже корисно.

Протон:

• Це суперечить їхнім Умовам обслуговування? Ні https://proton.me/legal/terms ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Може бути. Це залежить від вашої IP-адреси. Якщо ви прийшли з Tor, це ймовірно. З VPN це менш імовірно.
• Чи можна створювати облікові записи через Tor? Так, але дуже ймовірно, що номер телефону буде потрібним, коли через VPN буде потрібна лише електронна пошта або код перевірки. Вони навіть мають адресу «.onion» на http://protonmailrmez3lotccipshtkleegetolb73fuirgj7r4o4vfu7ozyd.onion/ .

Вам, очевидно, потрібна електронна пошта для ідентифікації в Інтернеті, а одноразові електронні листи практично скрізь заборонені.

Proton — це безкоштовний постачальник послуг електронної пошти зі Швейцарії, який підтримує безпеку та конфіденційність.

Їх рекомендує Privacyguides.org ⁴⁰⁴ . Їхня єдина очевидна проблема полягає в тому, що вони вимагають (у більшості випадків) номер телефону або іншу адресу електронної пошти для реєстрації (принаймні, коли ви намагаєтеся зареєструватися через VPN або Tor).

Вони стверджують, що не зберігають/не пов’язують телефон/електронну пошту, пов’язані з реєстрацією, а лише зберігають хеш, не пов’язаний з обліковим записом ⁴⁰⁵ . Якщо їх твердження правдиве, а хеш не пов’язано з вашим обліковим записом і ви дотримувалися моїх інструкцій щодо номера телефону, ви повинні бути достатньо захищені від відстеження.

Цей обліковий запис електронної пошти можна використовувати для створення облікового запису Google/Gmail.

Reddit:

• Це суперечить їхнім Умовам обслуговування? Ні https://www.redditinc.com/policies ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, не будуть.
• Чи можна створювати облікові записи через Tor? Так

Reddit простий. Все, що вам потрібно для реєстрації, це дійсне ім'я користувача та пароль. Зазвичай вони навіть не вимагають електронної пошти (ви можете пропустити електронну пошту під час реєстрації, залишивши її порожньою).

Жодних проблем із реєстрацією через Tor або VPN, окрім періодичних перевірок Captcha.

Прочитайте цю публікацію на Reddit: https://old.reddit.com/r/ShadowBan/comments/8a2gpk/an_unofficial_guide_on_how_to_avoid_being/ ^{[Archive.org]}

Slashdot:

• Це суперечить їхнім Умовам обслуговування? Так https://slashdotmedia.com/terms-of-use/ ^{[Archive.org]}

«8. Реєстрація; Використання захищених зон і паролів

Деякі розділи Сайтів можуть вимагати від вас реєстрації в нас. Коли та якщо ви реєструєтеся, ви погоджуєтеся (а) надавати точну, актуальну та повну інформацію про себе, як це пропонується в нашій реєстраційній формі (включаючи вашу адресу електронної пошти) та (б) зберігати та оновлювати вашу інформацію (включаючи ваш електронний -адреса електронної пошти), щоб вона була точною, актуальною та повною. Ви визнаєте, що якщо будь-яка надана вами інформація буде визнана неправдивою, неточною, неактуальною або неповною, ми залишаємо за собою право розірвати цю Угоду з вами та розірвати поточне чи майбутнє використання Сайтів (або будь-якої їх частини) вами».

• Чи вимагатимуть вони номер телефону? Немає
• Чи можна створювати облікові записи через Tor? Так

Телеграма:

• Це суперечить їхнім Умовам обслуговування? Ні https://telegram.org/tos ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? так, на жаль
• Чи можна створювати облікові записи через Tor? Так, але іноді вас випадково блокують без жодної причини

Telegram досить простий, і ви можете завантажити їхній портативний додаток для Windows, щоб зареєструватися та увійти.

Для цього знадобиться номер телефону (який можна використати лише один раз) і нічого більше.

У більшості випадків у нас не виникало проблем через Tor чи VPN, але у нас було кілька випадків, коли наш обліковий запис Telegram просто заблокували через порушення умов надання послуг (не впевнені, які?). Це знову ж таки, незважаючи на те, що вони ні для чого не використовуються.

Вони забезпечують процес оскарження електронною поштою, але нам не вдалося отримати жодної відповіді.

Їхній процес апеляції полягає в тому, щоб просто надіслати електронний лист на recover@telegram.org ^{[Archive.org]} вказавши свій номер телефону та проблему та сподіваючись, що вони дадуть відповідь.

Після реєстрації ви повинні зробити наступне:

• Перейдіть до редагування профілю
• Встановіть ім'я користувача
• Перейдіть до налаштувань (додаток для комп’ютера)
• Встановіть для параметра Phone Number видимість значення Nobody
• Для параметра «Останнє відвідування та онлайн» виберіть «Ніхто».
• Установіть для пересиланих повідомлень значення «Ніхто».
• Установіть фотографії профілю для контактів
• Установіть «Дзвінки» в «Контакти».
• Установіть групу та канали на контакти

Тутанота:

• Це суперечить їхнім Умовам обслуговування? Ні https://tutanota.com/terms/ ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, але вони вимагають електронної пошти.
• Чи можна створювати облікові записи через Tor? Не зовсім, майже всі вузли виходу Tor заборонені AFAIK

Twitter:

• Це суперечить їхнім Умовам обслуговування? Ні https://twitter.com/en/tos
• Чи вимагатимуть вони номер телефону? Надзвичайно ймовірно, можливо, тепер вимога в усіх випадках.
• Чи можна створювати облікові записи через Tor? Так, але очікуйте, що через деякий час знадобиться код перевірки, і ваш номер телефону буде потрібно.

Twitter надзвичайно агресивно запобігає анонімності у своїй мережі. Ви повинні зареєструватися за допомогою електронної пошти та пароля (не телефону), а не за допомогою функції «Вхід через Google». Використовуйте свій Gmail як адресу електронної пошти.

Швидше за все, ваш обліковий запис буде призупинено відразу під час процесу реєстрації, і вам потрібно буде пройти серію автоматизованих тестів, щоб розблокувати його. Це буде включати серію капчі, підтвердження вашої електронної пошти та дескриптора Twitter або іншу інформацію. У деяких випадках також знадобиться ваш номер телефону.

У деяких випадках, незважаючи на те, що ви вибрали текстове підтвердження, система підтвердження Twitter зателефонує на телефон незважаючи ні на що. У такому випадку вам доведеться взяти та почути код підтвердження. Ми підозрюємо, що це ще один метод запобігання автоматизованим системам і зловмисним користувачам від продажу послуг отримання текстових повідомлень через Інтернет.

Twitter зберігатиме всю цю інформацію та пов’язуватиме її з вашим обліковим записом, включаючи вашу IP-адресу, адресу електронної пошти та номер телефону. Ви не зможете створити інший обліковий запис за цим номером телефону.

Після відновлення облікового запису знадобиться деякий час, щоб зробити наступне:

• Завантажте зображення профілю особи.
• Увімкніть 2FA у налаштуваннях безпеки за допомогою нового запису KeePassXC TOTP, а також збережіть коди безпеки в KeePassXC.
• Вимкнути позначення фотографій
• Вимкнути пошук електронної пошти
• Вимкнути пошук телефону
• Вимкніть усі налаштування персоналізованої реклами
• Вимкнути геолокацію твітів
• Застереження: видаліть номер телефону з облікового запису (на свій страх і ризик, це часто призводить до призупинення облікового запису)
• Слідкуйте за деякими людьми
• Вийдіть і залиште це.

Приблизно через тиждень вам слід ще раз перевірити Twitter, і ймовірність того, що його знову буде призупинено через «підозрілу активність» або «порушення правил спільноти», незважаючи на те, що ви ним взагалі не користуєтеся (навіть жодного твіту/підписки/лайка) є досить високою. /retweet або DM), але цього разу іншою системою. Ми називаємо це «подвійним дотиком».

Цього разу вам потрібно буде подати апеляцію за допомогою форми ⁴⁰⁶ , вкажіть поважну причину та дочекайтеся обробки апеляції Twitter. Під час цього процесу ви можете отримати електронний лист (на Proton) з проханням відповісти на запит служби підтримки клієнтів, щоб підтвердити, що у вас є доступ до вашої електронної пошти і що це ви. Це буде спрямовано на вашу адресу Gmail, але надійде на ваш Proton.

Не відповідайте від Proton, оскільки це викличе підозри. Ви повинні ввійти в Gmail (на жаль) і створити нове повідомлення звідти, скопіювавши електронну пошту, тему та вміст із Proton. А також відповідь, яка підтверджує, що ви маєте доступ до цієї електронної пошти.

Через кілька днів ваш обліковий запис має бути розблоковано «назавжди». Після цього проблем не буде, але майте на увазі, що вони можуть забанити ваш обліковий запис з будь-якої причини, якщо ви порушите правила спільноти. Номер телефону та адресу електронної пошти буде позначено прапорцем, і у вас не буде іншого вибору, окрім як отримати нову особу з новим номером, щоб повторно зареєструватися. Не використовуйте цей акаунт для тролінгу.

Twitch:

• Це суперечить їхнім Умовам обслуговування? Ні https://www.twitch.tv/p/en/legal/terms-of-service/ ^{[Archive.org]}
• Чи вимагатимуть вони номер телефону? Ні, але вони вимагають електронної пошти.
• Чи можна створювати облікові записи через Tor? Так

Зверніть увагу, що ви не зможете ввімкнути 2FA на Twitch, використовуючи лише електронну пошту. Щоб увімкнути цю функцію, потрібен номер телефону.

WhatsApp:

• Це суперечить їхнім Умовам обслуговування? Так https://www.whatsapp.com/legal/updates/terms-of-service-eea ^{[Archive.org]}

« Реєстрація . Ви повинні зареєструватися в наших Послугах , використовуючи точну інформацію , надати свій поточний номер мобільного телефону та, якщо ви його зміните, оновити свій номер мобільного телефону за допомогою нашої функції зміни номера в додатку. Ви погоджуєтеся отримувати текстові повідомлення та телефонні дзвінки (від нас або наших сторонніх постачальників) із кодами для реєстрації в наших Сервісах».

• Чи вимагатимуть вони номер телефону? Так, вони роблять.
• Чи можна створювати облікові записи через Tor? Поки що з цим проблем немає.

4chan:

• Це суперечить їхнім Умовам обслуговування? Немає
• Чи вимагатимуть вони номер телефону? Ні, не будуть.
• Чи можете ви опублікувати там за допомогою Tor чи VPN? Не схоже.

4chan є 4chan… Цей посібник не пояснюватиме вам 4chan. Вони блокують вихідні вузли Tor і відомі діапазони IP-адрес VPN.

Вам доведеться знайти окремий спосіб для публікації там, використовуючи принаймні сім проксі ⁴⁰⁷ які не відомі системі блокування 4chan (підказка: анонімний VPS із використанням Monero, ймовірно, найкращий варіант).

Крипто гаманці:

Використовуйте будь-яку програму криптового гаманця у віртуальній машині Windows. Але будьте обережні, щоб нічого не переказувати на біржу чи відомий гаманець. Криптовалюта в більшості випадків НЕ анонімна, і її можна відстежити до вас, коли ви купуєте/продаєте будь-яку (запам’ятайте розділ «Транзакції з вашими криптовалютами »).

Якщо ви дійсно хочете використовувати Crypto, використовуйте Monero, який є єдиним із розумною конфіденційністю/анонімністю.

В ідеалі ви повинні знайти спосіб купити/продати криптовалюту за готівку від невідомої особи.

А як щодо тих мобільних програм (WhatsApp/Signal)?

Є лише три способи безпечного анонімного використання (ми рекомендуємо). Використання VPN на телефоні не є одним із цих способів. Усе це, на жаль, м’яко кажучи «нудно».

• Використовуйте емулятор Android у віртуальній машині Windows і запускайте додаток через багаторівневу мережу Tor/VPN. Недоліком є ​​те, що такі емулятори зазвичай потребують ресурсів, уповільнюють роботу віртуальної машини та споживають більше акумулятора. Ось також (застарілий) посібник із цього питання: https://www.bellingcat.com/resources/how-tos/2018/08/23/creating-android-open-source-research-device-pc/ ^{[Archive.org]} . Що стосується мене, ми будемо рекомендувати використання:
  Android-x86 на Virtualbox (див. https://www.android-x86.org/documentation/virtualbox.html ^{[Archive.org]} ), які також можна легко налаштувати. AnBox ( https://anbox.io ^{[Archive.org]} ), які ви також можете досить легко налаштувати, зокрема на робочій станції Whonix, див. https://www.whonix.org/wiki/Anbox ^{[Archive.org]}
• Не рекомендується: використовувати неофіційну програму (наприклад, Wassapp для WhatsApp) для підключення з віртуальної машини Windows до програми. Використовуйте на свій страх і ризик, оскільки вас можуть забанити за порушення умов надання послуг через використання неофіційної програми.
• Не рекомендовано та найскладніше: майте смартфон для запису, який ви підключите до багаторівневої мережі віртуальної машини через модем/спільний доступ до з’єднання через Wi-Fi. Ми не будемо детально описувати це тут, але це варіант.

Немає способу легко надійно встановити пристойний багаторівневий підхід до підключення на телефоні Android (наскільки нам відомо, це навіть неможливо на IOS). Під надійністю ми маємо на увазі впевненість у тому, що зі смартфона не буде витоку даних, таких як геолокація чи щось інше від завантаження до вимкнення.

Будь-що інше:

Ви повинні використовувати таку саму логіку та безпеку для будь-якої іншої платформи.

У більшості випадків це повинно працювати з більшістю платформ. Найскладнішою платформою для повної анонімності є Facebook.

Це, очевидно, не працюватиме з банками та більшістю фінансових платформ (таких як PayPal або Crypto Exchanges), які вимагають справжньої офіційної та наявної ідентифікації. Цей посібник не допоможе вам у цьому, оскільки це було б незаконним у більшості місць.

Як ділитися файлами приватно та/або спілкуватися анонімно:

Скрізь є багато програм для обміну повідомленнями. Деякі мають чудовий інтерфейс і UX і жахливу безпеку/конфіденційність. Деякі мають відмінну безпеку/конфіденційність, але жахливий інтерфейс і UX. Непросто вибрати ті, які слід використовувати для важливих заходів. Отже, цей розділ допоможе вам це зробити.

Перш ніж йти далі, є також деякі основні основні поняття, які ви повинні зрозуміти:

Наскрізне шифрування:

Наскрізне шифрування ⁴⁰⁸ (він же e2ee) — досить проста концепція. Це просто означає, що лише ви та ваша адресат знаєте відкритий ключ шифрування один одного, і ніхто між ними, хто міг би підслуховувати, не зможе розшифрувати повідомлення.

Однак цей термін часто використовується по-різному залежно від постачальника:

• Деякі постачальники заявляють про e2ee, але забувають згадати, що охоплено їхніми протоколами. Наприклад, чи метадані також захищені їхнім протоколом e2ee? Або це лише зміст повідомлень?
• Деякі постачальники надають e2ee, але лише як опцію підключення (вимкнено за замовчуванням).
• Деякі провайдери пропонують e2ee з повідомленнями 1 на 1, але не з груповими повідомленнями.
• Деякі провайдери заявлятимуть про використання e2ee, але їхні пропрієтарні програми є закритими, тому ніхто не може перевірити заяву та надійність використаного шифрування.

З цих причин завжди важливо перевіряти претензії різних програм. Завжди слід віддавати перевагу програмам із відкритим кодом, щоб перевірити, який тип шифрування вони використовують і чи правдиві їхні заяви. Якщо такі програми не мають відкритого коду, вони повинні мати відкрито доступний незалежний звіт (підготовлений авторитетною третьою стороною), який підтверджує їхні заяви.

Розкрутіть свою власну криптовалюту:

Перегляньте розділ «Погана криптографія» на початку цього посібника.

Завжди будьте обережні з програмами, які розгортають власну криптографію, доки її не перегляне багато крипто-спільноти (або ще краще опублікувати та рецензувати науковці) . Знову ж таки, це важче перевірити за допомогою закритих пропрієтарних програм.

Справа не в тому, що розгортання власної криптографії погано по суті, а в тому, що хороша криптографія потребує реального рецензування, аудиту, тестування… І оскільки ви, ймовірно, не криптоаналітик (і ми також не є), велика ймовірність, що ми не криптоаналітик. компетентний для оцінки криптографії деяких програм.

Передня секретність:

Передня секретність ⁴⁰⁹ (FS або PFS для Perfect Forward Secrecy) є властивістю протоколу узгодження ключів деяких із цих програм обміну повідомленнями та є супутньою функцією e2ee. Це відбувається до того, як ви встановите зв'язок із пунктом призначення. «Вперед» відноситься до майбутнього в часі і означає, що кожного разу, коли ви встановлюєте новий зв’язок e2ee, для цього конкретного сеансу буде створено новий набір ключів. Метою прямої секретності є збереження секретності минулих комунікацій (сеансів), навіть якщо поточний скомпрометований. Якщо зловмиснику вдасться заволодіти вашими поточними ключами e2ee, цей зловмисник буде обмежений вмістом однієї сесії та не зможе легко розшифрувати попередні.

Це має деякі недоліки взаємодії з користувачем, наприклад, новий пристрій не може мати зручний доступ до віддалено збереженої історії чату без додаткових дій.

Таким чином, Forward Secrecy захищає минулі сесії від майбутнього зламу ключів або паролів.

Більше на цю тему дивіться в цьому відео YouTube: https://www.youtube.com/watch?v=zSQtyW_ywZc ^[Invidious]

Деякі постачальники та програми, які стверджують, що пропонують e2ee, іноді не пропонують FS/PFS з міркувань зручності (наприклад, груповий обмін повідомленнями складніший із PFS). Тому важливо віддавати перевагу програмам із відкритим вихідним кодом, які забезпечують пряму таємність, а не тим, які цього не роблять.

Шифрування з нульовим доступом у стані спокою:

Шифрування без доступу ⁴¹⁰ у стані спокою використовується, коли ви зберігаєте дані в якогось постачальника (скажімо, вашу історію чату або резервні копії чату), але ця історія або резервна копія зашифровані на вашому боці, і не можуть бути прочитані чи розшифровані постачальником, який її хостинг.

Шифрування з нульовим доступом є додатковою функцією/супутником e2ee, але застосовується переважно до даних у стані спокою, а не до зв’язку.

Прикладами цієї проблеми можуть бути iMessage і WhatsApp, перегляньте служби резервного копіювання/синхронізації вашої хмари на початку цього посібника.

Отже, знову ж таки, найкраще віддавати перевагу програмам/постачальникам, які пропонують шифрування з нульовим доступом у стані спокою та не можуть читати/отримувати доступ до будь-яких ваших даних/метаданих навіть у стані спокою, а не лише для зв’язку.

Така функція запобігла б таким важливим зломам, як скандал із Cambridge Analytica ⁴¹¹ якби це було реалізовано.

Захист метаданих:

Запам’ятайте розділ «Ваші метадані», включаючи ваше геомісцезнаходження . Наскрізне шифрування — це одне, але воно не обов’язково захищає ваші метадані.

Наприклад, WhatsApp може не знати, що ви говорите, але він може знати, з ким ви розмовляєте, як довго та коли ви з кимось розмовляєте, хто ще з вами в групах і чи ви передали з ними дані (наприклад, великі файли).

Наскрізне шифрування саме по собі не захищає перехоплювача від збирання ваших метаданих.

Ці дані також можуть бути захищені/замасковані за допомогою деяких протоколів, щоб значно ускладнити збір метаданих для перехоплювачів. Це стосується, наприклад, протоколу сигналів, який пропонує додатковий захист із такими функціями, як:

• Опція Sealed Sender ⁴¹² .
• Відкриття приватного контакту ⁴¹³ .
• Система приватних груп ⁴¹⁴ .

Інші програми, такі як Briar або OnionShare, захищатимуть метадані, використовуючи мережу Tor як щит і зберігаючи все локально на пристрої. Нічого не зберігається віддалено, і всі комунікації здійснюються або безпосередньо за допомогою Wi-Fi/Bluetooth, або віддалено через мережу Tor.

Однак більшість додатків і особливо комерційні пропрієтарні додатки із закритим кодом збиратимуть і зберігають ваші метадані для різних цілей. І таких метаданих достатньо, щоб зрозуміти багато речей про ваші комунікації.

Знову ж таки, важливо віддавати перевагу програмам з відкритим вихідним кодом, пам’ятаючи про конфіденційність і різноманітні методи захисту не лише вмісту повідомлень, але й усіх пов’язаних метаданих.

Відкрите джерело:

Нарешті, слід завжди віддавати перевагу програмам з відкритим кодом, оскільки вони дозволяють третім особам перевіряти фактичні можливості та слабкі сторони в порівнянні з заявами маркетингових відділів. Відкритий вихідний код не означає, що програма має бути безкоштовною чи некомерційною. Це просто означає прозорість.

Порівняння: