La version 18.2 de la distribution Whonix a été publiée, visant à garantir l'anonymat, la sécurité et la protection des informations personnelles. Cette distribution est basée sur Debian GNU/Linux et utilise Tor pour assurer l'anonymat. Les travaux du projet sont distribués sous la licence GPLv3. Des images sont préparées pour le téléchargement. machines virtuelles au format ova pour VirtualBox (2,6 Go avec LXQt et 1,5 Go en mode console) et qcow2 pour l'hyperviseur KVM (4 Go avec LXQt et 2,3 Go en mode console).
La particularité de Whonix réside dans la séparation de la distribution en deux composants exécutables distincts : Whonix-Gateway, qui implémente une passerelle réseau pour les communications anonymes, et Whonix-Workstation, qui offre un environnement de bureau. Les composants représentent des environnements système séparés, fournis dans une seule image de démarrage et exécutés dans des des machines virtuelles. L'accès à Internet depuis Whonix-Workstation se fait uniquement via la passerelle Whonix-Gateway, isolant ainsi l'environnement de travail de toute interaction directe avec le monde extérieur et permettant l'utilisation uniquement d'adresses réseau fictives. Cette approche protège l'utilisateur des fuites de l'adresse réelle. adresses IP en cas de piratage du navigateur web ou d'exploitation d'une vulnérabilité offrant à l'attaquant un accès root au système.
Le piratage de Whonix-Workstation permettrait à l'attaquant d'obtenir uniquement des paramètres réseau fictifs, car l'adresse IP réelle et les paramètres DNS sont cachés derrière la passerelle réseau, qui fonctionne sur la base de Whonix-Gateway et dirige le trafic uniquement via Tor. Il convient de noter que les composants de Whonix sont conçus pour fonctionner sous forme de systèmes invités, ce qui n'exclut pas la possibilité d'exploitation de vulnérabilités 0-day critiques dans les plateformes de virtualisation, qui peuvent fournir un accès au système hôte. Par conséquent, il n'est pas recommandé d'exécuter Whonix-Workstation sur le même ordinateur que Whonix-Gateway.
Whonix-Workstation propose par défaut un environnement utilisateur LXQt. Elle comprend des applications telles que VLC et Tor Browser. Dans Whonix-Gateway, un ensemble d'applications serveur est disponible, y compris Apache httpd, nginx et des serveurs IRC, qui peuvent être utilisés pour organiser le fonctionnement des services cachés de Tor. Un tunneling au-dessus de Tor est également possible pour Freenet, i2p, JonDonym, SSH et VPNSi vous le souhaitez, l'utilisateur peut se contenter de Whonix-Gateway et connecter ses systèmes habituels, y compris Windows, ce qui permet d'assurer une sortie anonyme pour les stations de travail déjà en usage.
L'environnement système est basé sur la distribution sécurisée Kicksecure, développée en parallèle par les mêmes développeurs, qui étend Debian avec des mécanismes et des réglages supplémentaires pour améliorer la sécurité : AppArmor pour l'isolation, installation des mises à jour via Tor, utilisation du module PAM tally2 pour protéger contre les attaques par force brute, augmentation de l'entropie pour le RNG, désactivation de suid, absence de ports réseau ouverts par défaut, utilisation des recommandations du projet KSPP (Kernel Self Protection Project) et ajout de protections contre les fuites d'informations sur l'activité du CPU, etc.
Principales modifications :
- L'environnement Kicksecure a été mis à jour, dans lequel au lieu de GnuPG, le paquet Sequoia-PGP (une implémentation d'OpenPGP en Rust) est utilisé, le dépôt Debian Fast Track est désactivé par défaut, lors de l'utilisation de LXQt, l'installation de Qps (interface de visualisation des processus en cours) est interrompue, et le support de qemu:///session pour le lancement de machines virtuelles par des utilisateurs non privilégiés a été ajouté.
- Un audit interne de sécurité a été réalisé et un audit externe a été lancé.
- Le paquet Kloak, utilisé pour contrer l'identification des utilisateurs par le biais des habitudes de frappe au clavier et des mouvements de la souris, a été amélioré.
- Le paquet fwupd-qubes-vm a été inclus dans la distribution Qubes-Whonix-Gateway.
- Les installeurs Whonix-Windows et Whonix-Windows-Starter ont été réécrits.
- La compilation pour les appareils avec processeurs Apple Silicon a été améliorée.
Source : opennet.ru
