De release van de Whonix 18.2-distributie heeft plaatsgevonden, gericht op het bieden van gegarandeerde anonimiteit, veiligheid en bescherming van persoonlijke informatie. De distributie is gebaseerd op Debian GNU/Linux en maakt gebruik van Tor voor anonimiteit. De ontwikkelingen van het project worden verspreid onder de GPLv3-licentie. Downloadbare images zijn voorbereid virtuele machines in ova-formaat voor VirtualBox (2,6 GB met LXQt en 1,5 GB console) en qcow2 voor de KVM-hypervisor (4 GB met LXQt en 2,3 GB console).
Een kenmerk van Whonix is de splitsing van de distributie in twee afzonderlijk opstartbare componenten: Whonix-Gateway met de implementatie van een netwerkgateway voor anonieme communicatie en Whonix-Workstation met een desktop. De componenten vormen afzonderlijke systeemomgevingen die binnen Ć©Ć©n opstartimage worden geleverd en in verschillende virtuele machines. Toegang tot het netwerk vanuit de Whonix-Workstation-omgeving gebeurt uitsluitend via de Whonix-Gateway, waardoor de werkomgeving wordt geĆÆsoleerd van directe interactie met de buitenwereld en alleen gebruik van fictieve netwerkadressen is toegestaan. Deze benadering helpt de gebruiker te beschermen tegen het lekken van echte IP-adressen in het geval van een hack van de webbrowser of het uitbuiten van een kwetsbaarheid die de aanvaller roottoegang tot het systeem geeft.
Een hack van Whonix-Workstation zou de aanvaller alleen fictieve netwerkparameters bieden, aangezien het echte IP en de DNS-parameters verborgen zijn achter de netwerkgateway, die werkt op basis van Whonix-Gateway en het verkeer alleen via Tor leidt. Daarbij moet worden opgemerkt dat de Whonix-componenten zijn ontworpen om als gastsystemen te draaien, wat betekent dat het niet uitgesloten is dat kritieke 0-day kwetsbaarheden in virtualisatieplatforms worden geƫxploiteerd, die toegang tot het host-systeem kunnen geven. Om deze reden wordt het niet aanbevolen om Whonix-Workstation op dezelfde computer te draaien als Whonix-Gateway.
In Whonix-Workstation wordt standaard een LXQt-gebruikersomgeving geleverd. De levering bevat programma's zoals VLC en Tor Browser. In de Whonix-Gateway zijn een reeks serverapplicaties te vinden, waaronder Apache httpd, nginx en IRC-servers, die gebruikt kunnen worden voor het opzetten van Tor-verborgen diensten. Het is mogelijk om bovenop Tor tunnels door te geven voor Freenet, i2p, JonDonym, SSH en VPNIndien gewenst, kan de gebruiker alleen de Whonix-Gateway gebruiken en zijn reguliere systemen, waaronder Windows, eraan koppelen, wat een anonieme toegang voor de al gebruikelijke werkstations mogelijk maakt.
De systeemomgeving is gebaseerd op de parallel ontwikkelde beveiligde distributie Kicksecure, ontwikkeld door dezelfde makers, die Debian uitbreidt met extra mechanismen en instellingen voor verbeterde beveiliging: AppArmor voor isolatie, updates via Tor, het gebruik van de PAM-module tally2 ter bescherming tegen wachtwoordkraken, uitbreiding van de entropie voor RNG, uitschakeling van suid, geen standaard open netwerkpoorten, gebruik van aanbevelingen van het KSPP-project (Kernel Self Protection Project), toevoeging van bescherming tegen lekken van CPU-activiteit, enzovoort.
Belangrijkste wijzigingen:
- De Kicksecure-omgeving is bijgewerkt, waarbij het Sequoia-PGP-pakket (een implementatie van OpenPGP in Rust) in plaats van GnuPG is gebruikt, het Debian Fast Track-repository standaard is uitgeschakeld, bij het gebruik van LXQt de installatie van Qps (een interface voor het bekijken van actieve processen) is beƫindigd, en ondersteuning voor qemu:///session is toegevoegd voor het starten van virtuele machines door niet-bevoorrechte gebruikers.
- Er is een interne beveiligingsaudit uitgevoerd en een externe audit is gestart.
- Het Kloak-pakket, dat is ontworpen om identificatie van de gebruiker op basis van toetsaanslagen en muisbewegingen tegen te gaan, is verbeterd.
- Het Qubes-Whonix-Gateway-pakket bevat nu het fwupd-qubes-vm-pakket.
- De Whonix-Windows-Installer en Whonix-Windows-Starter zijn herschreven.
- De build is verbeterd voor apparaten met Apple Silicon-processoren.
Bron: opennet.ru
