Відбувся реліз дистрибутива Whonix 18.2, націленого на надання гарантованої анонімності, безпеки та захисту приватної інформації. Дистрибутив заснований на Debian GNU/Linux та використовує Tor для забезпечення анонімності. Напрацювання проекту поширюються за ліцензією GPLv3. Для завантаження підготовлені образи віртуальних машин у форматі ova для VirtualBox (2.6 ГБ c LXQt та 1.5 ГБ консольний) та qcow2 для гіпервізора KVM (4ГБ c LXQt та 2.3 ГБ консольний).
Особливістю Whonix є поділ дистрибутива на два компоненти, що окремо запускаються — Whonix-Gateway з реалізацією мережевого шлюзу для анонімних комунікацій і Whonix-Workstation з робочим столом. Компоненти являють собою окремі системні оточення, що постачаються всередині одного завантажувального образу та запускаються в різних віртуальні машини. Вихід у мережу з оточення Whonix-Workstation здійснюється лише через шлюз Whonix-Gateway, що ізолює робоче оточення від прямої взаємодії із зовнішнім світом та допускає використання лише фіктивних мережевих адрес. Подібний підхід дозволяє захистити користувача від реального витоку. IP-адреси у разі злому web-браузера або експлуатації вразливості, що дає атакуючому root-доступ до системи.
Злом Whonix-Workstation дозволить атакуючому отримати лише фіктивні мережеві параметри, оскільки реальний IP та параметри DNS приховані за кордоном мережевого шлюзу, що працює на базі Whonix-Gateway, який спрямовує трафік лише через Tor. У цьому слід враховувати, що компоненти Whonix розраховані запуск у вигляді гостьових систем, тобто. не виключена можливість експлуатації критичних 0-day уразливостей у платформах віртуалізації, які можуть надати доступ до хост-системи. У зв'язку з цим не рекомендується запускати Whonix-Workstation на тому ж комп'ютері, що і Whonix-Gateway.
У Whonix-Workstation за замовчуванням надається користувача оточення LXQt. У постачання включені такі програми, як VLC та Tor Browser. У поставці Whonix-Gateway можна знайти набір серверних програм, у тому числі Apache httpd, ngnix та IRC-сервери, які можуть використовуватися для роботи прихованих сервісів Tor. Можливий прокид поверх Tor тунелів для Freenet, i2p, JonDonym, SSH та VPN. За бажанням користувач може обійтися тільки Whonix-Gateway і підключити через нього свої звичайні системи, в тому числі Windows, що дозволяє забезпечити анонімний вихід для робочих станцій, що вже перебувають в побуті.
Системне оточення базується на паралельно розвивається тими ж розробниками захищеного дистрибутиву Kicksecure, що розширює Debian додатковими механізмами та налаштуваннями для підвищення безпеки: AppArmor для ізоляції, встановлення оновлень через Tor, використання PAM-модуля tally2 для захисту від підбору паролів, розширення ентропії для RNG, відключення suid, відсутність відкритих мережних портів за замовчуванням, використання рекомендацій від проекту KSPP (Kernel Self Protection т.п.
Основні зміни:
- Оновлено оточення Kicksecure, в якому замість GnuPG задіяно пакет Sequoia-PGP (реалізація OpenPGP на Rust), відключений за умовчанням репозиторій Debian Fast Track, при використанні LXQt припинено встановлення Qps (інтерфейс для перегляду запущених процесів), додано підтримку qemu:///session для запуску віртуальних машин непривілейованими користувачами.
- Проведено внутрішній аудит безпеки та розпочато зовнішній аудит.
- Покращено пакет Kloak, який застосовується для протистояння ідентифікації користувача за характером введення з клавіатури та рухом миші.
- У постачання Qubes-Whonix-Gateway включено пакет fwupd-qubes-vm.
- Переписані Whonix-Windows-Installer і Whonix-Windows-Starter.
- Поліпшено складання для пристроїв з процесорами Apple Silicon.
Джерело: opennet.ru
