Dostępna jest wersja dystrybucji Whonix 18.0, która ma na celu zapewnienie gwarantowanej anonimowości, bezpieczeństwa oraz ochrony prywatnych informacji. Dystrybucja oparta jest na Debian GNU/Linux i korzysta z Tora w celu zapewnienia anonimowości. Osiągnięcia projektu są udostępniane na licencji GPLv3. Przygotowano obrazy maszyn wirtualnych w formacie ova dla VirtualBox (2,5 GB z LXQt i 1,6 GB w wersji konsolowej) oraz qcow2 dla hipernadzorcy KVM (3,4 GB z LXQt i 2,3 GB w wersji konsolowej).
Cechą Whonix jest podział dystrybucji na dwa oddzielnie uruchamiane komponenty — Whonix-Gateway z realizacją bramy sieciowej do anonimowych komunikacji oraz Whonix-Workstation z pulpitem roboczym. Komponenty te stanowią oddzielne środowiska systemowe dostarczane w jednym obrazie rozruchowym, uruchamiane w różnych maszynach wirtualnych. Dostęp do sieci z środowiska Whonix-Workstation odbywa się wyłącznie przez bramę Whonix-Gateway, co izoluje środowisko robocze od bezpośredniego kontaktu ze światem zewnętrznym i dopuszcza użycie jedynie fikcyjnych adresów sieciowych. Takie podejście pozwala chronić użytkownika przed ujawnieniem rzeczywistego adresu IP w przypadku włamania do przeglądarki internetowej lub wykorzystania luk, które dają atakującemu dostęp do systemu z uprawnieniami root.
Naruszenie Whonix-Workstation pozwoliłoby atakującemu uzyskać jedynie fikcyjne parametry sieciowe, ponieważ rzeczywisty adres IP i parametry DNS są ukryte za granicą bramki sieciowej działającej na bazie Whonix-Gateway, która przekazuje ruch wyłącznie przez Tora. Należy jednak pamiętać, że komponenty Whonix są zaprojektowane do uruchamiania w formie systemów gościnnych, co nie wyklucza możliwości wykorzystania krytycznych luk 0-day w platformach wirtualizacji, które mogą zapewnić dostęp do systemu gospodarza. W związku z tym, nie zaleca się uruchamiania Whonix-Workstation na tym samym komputerze co Whonix-Gateway.
W Whonix-Workstation domyślnie dostępne jest środowisko użytkownika LXQt. W zestawie znajdują się takie programy jak VLC i Tor Browser. W zestawie Whonix-Gateway można znaleźć zbiór aplikacji serwerowych, w tym Apache httpd, nginx i serwery IRC, które mogą być używane do organizacji pracy ukrytych usług Tora. Możliwe jest przekierowanie tuneli na Torze dla Freenet, i2p, JonDonym, SSH i VPN. W razie potrzeby użytkownik może korzystać wyłącznie z Whonix-Gateway i podłączyć swoje zwykłe systemy, w tym Windows, co pozwala na zapewnienie anonimowego wyjścia dla już używanych stacji roboczych.
Środowisko systemowe opiera się na równolegle rozwijanym przez tych samych twórców zabezpieczonym dystrybucie Kicksecure, rozszerzającym Debian o dodatkowe mechanizmy i ustawienia w celu zwiększenia bezpieczeństwa: AppArmor dla izolacji, instalacja aktualizacji przez Tor, wykorzystanie modułu PAM tally2 dla ochrony przed zgadywaniem haseł, zwiększenie entropii dla RNG, wyłączenie suid, brak otwartych portów sieciowych domyślnie, użycie zaleceń projektu KSPP (Kernel Self Protection Project), dodanie ochrony przed wyciekiem informacji o aktywności CPU itd.
Główne zmiany:
- Baza pakietów dystrybucji została zaktualizowana z Debiana 12 do Debiana 13.
- Środowisko pulpitu Xfce zostało zastąpione LXQt. Domyślnie używany jest protokół Wayland.
- W skład wchodzi narzędzie ram-wipe, które czyści zawartość pamięci RAM przed ponownym uruchomieniem systemu.
- W skład wchodzi pakiet USBGuard do zarządzania aktywacją podłączonych urządzeń USB w celu ochrony przed atakami z użyciem złośliwych urządzeń USB, takich jak BadUSB.
- Do uruchamiania procesów z uprawnieniami wykorzystano framework privleap (odpowiednik sudo).
- W dostawie znajdują się narzędzia nmap i nping.
- Z dostawy usunięto xpdf.
- Do zarządzania podświetleniem zastosowano pakiet backlight-tool-dist.
- Do zarządzania układami klawiatury wykorzystano pakiety set-system-keymap, set-console-keymap, set-labwc-keymap, set-grub-keymap.
- Przyspieszono ładowanie i zoptymalizowano zużycie pamięci.
- W pełni przepisano i przeniesiono na Wayland pakiet Kloak, stosowany do przeciwdziałania identyfikacji użytkownika na podstawie charakterystyki wejścia z klawiatury i ruchu myszy.
- Dodano wsparcie IPv6.
- Po stronie Whonix-Gateway domyślnie aktywowany jest pakiet user-sysmaint-split, realizujący rozdzielne sesje rozruchowe dla pracy i serwisowania (SYSMAINT — konserwacja systemu).
Źródło: opennet.ru
