Tor i Whonix w Qubes OS — jedna z opcji

Tor jest siecią przekaźników. Whonix jest układem dwóch maszyn: jedna trzyma Tora, druga nie ma własnej drogi do zwykłego internetu. Qubes OS jest jednym z miejsc, w których ten układ da się postawić obok zwykłej pracy — w osobnych qubach, nie na tym samym pulpicie co poczta.

To jest opcja dla osoby, która już chce izolacji między zadaniami. Nie jest domyślnym systemem na co dzień i nie zamienia logowania na własne konto w anonimowość.

Co Tor robi z połączeniem

Tor (The Onion Router) puszcza ruch TCP przez obwód z kilku przekaźników, zwykle trzech. Węzeł wejściowy widzi, skąd przyszedł klient, i nie widzi adresu docelowego po stronie zwykłego internetu. Wyjście widzi, dokąd idzie strumień, i nie dostaje adresu klienta. Żaden pojedynczy przekaźnik nie ma obu końców naraz. Strona onion zostaje wewnątrz sieci i w ogóle nie schodzi na zwykłe wyjście.

Lokalna sieć — dostawca, firmowy firewall, ktoś na tym samym Wi-Fi — nadal widzi, że rozmawiasz z siecią Tor. Widzi porę i objętość. Nie widzi listy stron, o ile ruch naprawdę wszedł w obwód, a aplikacja nie wyniosła go bokiem.

Tor nie rusza treści, którą sam wpisujesz. Logowanie na konto ze swoim imieniem, ten sam nick na forum i plik z metadanymi niosą tożsamość niezależnie od trasy. Tor nie jest VPN-em „na cały komputer” tylko dlatego, że gdzieś w systemie świeci się ikona.

Dwie maszyny Whonix

Whonix rozdziela rolę:

• bramka uruchamia Tora i jest jedyną maszyną z drogą na zewnątrz
• stacja robocza ma sieć wyłącznie do bramki; aplikacje na niej nie dostają zwykłej trasy obok Tora

Przeglądarka na stacji to Tor Browser dostarczony z Whonix. Korzysta z Tora na bramce. Drugi Tor w środku tej samej stacji (Tor przez Tor) psuje obwód — dokumentacja Whonix traktuje to jako błąd konfiguracji, nie jako „mocniejszą” warstwę.

Bramka jest od połączenia i kreatora (w tym mostków, gdy sieć blokuje zwykłe przekaźniki). Pracy w dokumentach i przeglądarce na bramce się nie prowadzi. Aktualna procedura mostków jest na stronie Whonix, nie w tym wpisie.

Qubes OS jako miejsce na ten układ

Qubes OS izoluje zadania w osobnych qubach na Xen. Pocztę, bank i przeglądarkę da się trzymać w różnych maszynach, z różnymi sieciami. Whonix jest w tym modelu obsługiwaną parą, nie jedyną siecią systemu.

W aktualnej dokumentacji Qubes-Whonix para nazywa się tak:

• sys-whonix — bramka, NetVM z Torem
• anon-whonix — stacja robocza, jej sieć to sys-whonix

Pozostałe quby zostają na zwykłej ścieżce (sys-firewall i dalej sys-net), dopóki sam nie ustawisz im sieci na sys-whonix. Szablony mają numery wydań (dziś w docs występuje linia 18). Numer się zmienia. Podział bramka / stacja zostaje. Instalacja i salt, który te quby zakłada, są na Qubes/Install.

Korzystanie na co dzień wygląda tak:

1. Pracujesz w anon-whonix (albo w jednorazowym qube opartym o szablon stacji), nie w sys-whonix.
2. Zwykła poczta i konta ze swoim imieniem zostają w qubie, który nie idzie przez tę bramkę.
3. Jedna stacja Whonix to jedna rola. Dwa niespokrewnione tematy w tym samym qubie sklejają się w jeden ślad aplikacyjny, nawet gdy trasa jest wspólna.
4. Aktualizacje dom0 przez Tor to osobne ustawienie: UpdateVM = sys-whonix. Szablony idą przez UpdatesProxy skierowany na tę samą bramkę. Oba włącza się świadomie, nie „przy okazji” pierwszej instalacji, jeśli nie wiesz, co przestawiasz.

Qubes wymaga sprzętu ze wsparciem wirtualizacji i jest systemem, którego się uczysz, zanim wrzucisz na niego pracę. Whonix na innym hipernadzorcy (KVM, VirtualBox) jest tą samą parą maszyn bez reszty Qubesa.

Inne opcje, obok tej

• Tor Browser na zwykłym systemie — najkrótsza droga do stron przez Tor. Reszta aplikacji na tym hoście nadal idzie zwykłą trasą. Wystarcza, gdy chcesz jedną przeglądarkę, a nie osobny system.
• Tails — system z nośnika, nastawiony na sesję, która nie zostawia śladu na dysku komputera. Inny cel niż qub, który wraca jutro z tym samym układem.
• Whonix poza Qubes — ta sama bramka i stacja, słabsza izolacja od reszty Twojej pracy, jeśli obok na hoście jest zwykły system ze zwykłymi kontami.
• Qubes-Whonix — gdy quby już rozdzielają zadania, a ruch „tego jednego” quba ma iść przez bramkę, której nie używasz do poczty.

Czego ten układ nie domyka

Kompromitacja dom0 w Qubes jest kompromitacją hipernadzorcy. Whonix tego nie cofa. Konto, na które się logujesz, niesie tożsamość konta. Godzina, wolumen i fakt połączenia z Torem są widoczne lokalnie. Mostek zmienia sposób dobicia do sieci, nie umowę z aplikacją, w którą wpisujesz dane.

Izolacja jest tu tą samą zasadą co przy kopii i koncie administratora: jedna rola na jeden kontener. Tor jest trasą. Qubes-Whonix jest sposobem, żeby ta trasa nie była przypadkiem całym pulpitem.