Die Veröffentlichung von Whonix 18.2 fand statt, das auf die Gewährleistung von Anonymität, Sicherheit und Datenschutz ausgerichtet ist. Das System basiert auf Debian GNU/Linux und nutzt Tor, um Anonymität zu gewährleisten. Die Arbeiten am Projekt werden unter der GPLv3-Lizenz verbreitet. Die ISO-Abbilder wurden zur Verfügung gestellt virtuelle Maschinen im OVA-Format für VirtualBox (2,6 GB mit LXQt und 1,5 GB im Konsolenmodus) und im QCOW2-Format für den KVM-Hypervisor (4 GB mit LXQt und 2,3 GB im Konsolenmodus).
Ein besonderes Merkmal von Whonix ist die Trennung der Distribution in zwei separat startbare Komponenten: Whonix-Gateway als Netzwerk-Gateway für anonyme Kommunikation und Whonix-Workstation als Arbeitsumgebung. Diese Komponenten stellen separate Systemumgebungen dar und werden innerhalb eines einzigen Boot-Images geliefert und in verschiedenen virtuellen Maschinen. Der Zugang zum Netzwerk aus der Umgebung der Whonix-Workstation erfolgt ausschließlich über das Whonix-Gateway, was die Arbeitsumgebung von direkter Interaktion mit der Außenwelt isoliert und nur die Verwendung fiktiver Netzwerkadressen zulässt. Dieser Ansatz schützt den Benutzer vor der Offenlegung echter IP-Adressen im Falle eines Angriffs auf den Webbrowser oder die Ausnutzung einer Schwachstelle, die dem Angreifer Root-Zugriff auf das System gewährt.
Ein Angriff auf die Whonix-Workstation würde dem Angreifer nur fiktive Netzparameter ermöglichen, da die echte IP und die DNS-Parameter hinter dem Netzwerk-Gateway, das auf Whonix-Gateway basiert, verborgen sind, welches den Verkehr ausschließlich über Tor leitet. Dabei ist zu beachten, dass die Komponenten von Whonix für den Betrieb als Gastsysteme ausgelegt sind, d.h. die Möglichkeit von kritischen 0-Day-Schwachstellen in Virtualisierungsplattformen, die Zugang zum Host-System gewähren, besteht. Daher wird nicht empfohlen, die Whonix-Workstation auf demselben Computer wie das Whonix-Gateway auszuführen.
In der Whonix-Workstation wird standardmäßig die Benutzeroberfläche LXQt bereitgestellt. Enthalten sind Programme wie VLC und der Tor Browser. In der Whonix-Gateway-Lieferung finden sich eine Reihe von Serveranwendungen, einschließlich Apache httpd, nginx und IRC-Server, die zur Organisation des Betriebs von versteckten Tor-Diensten verwendet werden können. Es ist auch möglich, Tunnel über Tor für Freenet, I2P, JonDonym, SSH und VPNAuf Wunsch kann der Benutzer nur mit Whonix-Gateway arbeiten und seine gewöhnlichen Systeme, einschließlich Windows, darüber verbinden, was einen anonymen Zugang für bereits verwendete Arbeitsstationen ermöglicht.
Die Systemumgebung basiert auf der parallel von den gleichen Entwicklern entwickelten sicheren Distribution Kicksecure, die Debian mit zusätzlichen Mechanismen und Einstellungen zur Erhöhung der Sicherheit erweitert: AppArmor zur Isolation, Installation von Updates über Tor, Verwendung des PAM-Moduls tally2 zum Schutz vor Passwort-Cracking, Erweiterung der Entropie für RNG, Deaktivierung von suid, keine geöffneten Netzwerkports standardmäßig, Verwendung von Empfehlungen des KSPP-Projekts (Kernel Self Protection Project), Hinzufügen von Schutzmaßnahmen gegen das Auslesen von CPU-Aktivitätsdaten etc.
Hauptänderungen:
- Die Kicksecure-Umgebung wurde aktualisiert, in der anstelle von GnuPG das Paket Sequoia-PGP (OpenPGP-Implementierung in Rust) verwendet wird, das Debian Fast Track-Repository wurde standardmäßig deaktiviert, bei der Verwendung von LXQt wurde die Installation von Qps (Schnittstelle zur Anzeige laufender Prozesse) eingestellt, und die Unterstützung für qemu:///session zur Ausführung virtueller Maschinen durch nicht privilegierte Benutzer wurde hinzugefügt.
- Es wurde eine interne Sicherheitsprüfung durchgeführt und eine externe Prüfung begonnen.
- Das Kloak-Paket, das zur Bekämpfung der Benutzeridentifikation anhand von Tastatureingaben und Mausbewegungen eingesetzt wird, wurde verbessert.
- Im Lieferumfang von Qubes-Whonix-Gateway ist das Paket fwupd-qubes-vm enthalten.
- Die Whonix-Windows-Installer und Whonix-Windows-Starter wurden neu geschrieben.
- Der Build für Geräte mit Apple Silicon-Prozessoren wurde verbessert.
Quelle: opennet.ru
