Cestou Whonixu.
Výběr hostitelského operačního systému (operační systém nainstalovaný v notebooku).
Tato cesta bude ve velké míře využívat virtuální stroje, budou vyžadovat hostitelský operační systém pro spuštění virtualizačního softwaru. V této části průvodce máte na výběr ze tří doporučených možností:
- Vaše vybraná distribuce Linuxu (s výjimkou operačního systému Qubes)
- Windows 10 (nejlépe edice Home kvůli absenci nástroje Bitlocker)
- MacOS (Catalina nebo vyšší)
Kromě toho je vysoká pravděpodobnost, že váš Mac je nebo byl svázán s účtem Apple (při nákupu nebo po přihlášení), a proto by jeho jedinečné hardwarové identifikátory mohly v případě úniku hardwarových identifikátorů vést zpět k vám.
Linux také nemusí být nutně nejlepší volbou pro anonymitu v závislosti na modelu ohrožení. Je to proto, že použití systému Windows nám umožní pohodlně používat Plausible Deniability (neboli popiratelné šifrování) snadno na úrovni operačního systému. Systém Windows je bohužel zároveň noční můrou ochrany soukromí, ale je jedinou (pohodlnou) možností pro použití plausible deniability na úrovni operačního systému. Telemetrie a blokování telemetrie systému Windows je také široce zdokumentováno, což by mělo mnohé problémy zmírnit.
Co je tedy plausible deniability? Je to možnost spolupracovat s protivníkem, který požaduje přístup k vašemu zařízení/datům, aniž byste odhalili své skutečné tajemství. To vše s využitím Deniable Encryption.
Měkký zákonný protivník by mohl požádat o vaše zašifrované heslo k notebooku. Zpočátku byste mohli odmítnout sdělit jakékoli heslo (s využitím svého "práva nevypovídat", "práva neobviňovat sám sebe"), ale některé země zavádějí zákony, které z těchto práv vyjímají (protože teroristé a "myslete na děti"). V takovém případě budete možná muset heslo prozradit, nebo vám možná hrozí vězení za pohrdání soudem. Zde bude hrát roli hodnověrné popření.
Pak byste mohli heslo prozradit, ale toto heslo vám umožní přístup pouze k "věrohodným údajům" (návnada OS). Soudní znalci si budou dobře vědomi, že je možné, že máte skrytá data, ale neměli by to být schopni prokázat
(pokud to uděláte správně). Budete spolupracovat a vyšetřovatelé budou mít přístup k něčemu, ale ne k tomu, co jste ve skutečnosti chtěli skrýt. Vzhledem k tomu, že důkazní břemeno by mělo ležet na jejich straně, nebudou mít jinou možnost než vám věřit, pokud nebudou mít důkaz, že máte skryté údaje.
Tuto funkci lze použít na úrovni operačního systému (věrohodný operační systém a skrytý operační systém) nebo na úrovni souborů, kdy budete mít zašifrovaný kontejner souborů (podobně jako u souboru zip), kde se budou zobrazovat různé soubory v závislosti na použitém šifrovacím hesle.
To také znamená, že byste mohli nastavit vlastní pokročilé nastavení "věrohodného popření" pomocí libovolného hostitelského operačního systému tím, že uložíte například virtuální počítače do kontejneru se skrytým svazkem Veracrypt (pozor na stopy v hostitelském OS tho, které by bylo třeba vyčistit, pokud je hostitelský OS trvalý, viz část
Některá další opatření proti forenzním analýzám později). V rámci Tails existuje projekt pro dosažení tohoto cíle
(https://github.com/aforensics/HiddenVM [Archive.org]), který by zajistil, aby váš hostitelský OS nebyl perzistentní, a použil věrohodné popření v rámci Tails.
V případě systému Windows je věrohodné popření také důvodem, proč byste měli mít ideálně systém Windows 10 Home (a ne Pro). Je to proto, že systém Windows 10 Pro nativně nabízí systém šifrování celého disku (Bitlocker), zatímco systém Windows 10 Home žádné šifrování celého disku nenabízí. Později budeme pro šifrování používat software s otevřeným zdrojovým kódem třetí strany, který umožní šifrování celého disku v systému Windows 10 Home. To vám poskytne dobrou (věrohodnou) záminku k použití tohoto softwaru. Zatímco použití tohoto softwaru v systému Windows 10 Pro by bylo podezřelé.
Poznámka k systému Linux: Jak je to tedy se systémem Linux a věrohodným popřením? Ano, věrohodného popření lze tak trochu dosáhnout i v systému Linux. Je to však složité na nastavení a IMHO to vyžaduje dostatečně vysokou úroveň dovedností, abyste pravděpodobně nepotřebovali tento návod, který vám pomůže to vyzkoušet.
Šifrování bohužel není magie a jsou s ním spojena určitá rizika:
Hrozby s šifrováním.
Klíč za 5 dolarů.
Pamatujte, že šifrování s věrohodným popřením nebo bez něj není stříbrná kulka a v případě mučení bude málo platné. Ve skutečnosti, v závislosti na tom, kdo by byl váš protivník (váš model hrozby), by mohlo být moudré Veracrypt (dříve TrueCrypt) vůbec nepoužívat, jak ukazuje tato ukázka:
https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org].
Věrohodné popření je účinné pouze proti měkkým zákonným protivníkům, kteří se neuchýlí k fyzickým prostředkům.
Pokud je to možné, vyhněte se používání softwaru schopného věrohodného popření (jako je Veracrypt), pokud váš model hrozeb zahrnuje tvrdé protivníky. Uživatelé systému Windows by tedy v takovém případě měli nainstalovat systém Windows Pro jako hostitelský operační systém a místo něj používat nástroj Bitlocker.
Viz https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org].
Útok zlé služebnice.
Útoky zlé služky se provádějí, když někdo manipuluje s vaším notebookem v době vaší nepřítomnosti. Pro instalaci naklonovat váš pevný disk, nainstalovat malware nebo key logger. Pokud se jim podaří naklonovat váš pevný disk, mohou porovnat jeden obraz vašeho pevného disku v době, kdy ho vzali, zatímco jste byli pryč, s pevným diskem, když se ho zmocní. Pokud jste mezitím notebook znovu použili, forenzní experti mohou prokázat existenci skrytých dat tím, že se podívají na rozdíly mezi oběma obrazy v místě, které by mělo být prázdné/nevyužité. To by mohlo vést k pádným důkazům o existenci skrytých dat. Pokud do vašeho notebooku nainstalují program pro záznam kláves nebo škodlivý software (softwarový nebo hardwarový), budou od vás moci jednoduše získat heslo pro pozdější použití při jeho zabavení. Takové útoky mohou být provedeny u vás doma, v hotelu, na hraničním přechodu nebo kdekoli, kde necháte svá zařízení bez dozoru.
Tento útok můžete zmírnit následujícím postupem (jak bylo doporučeno dříve):
- Pořiďte si základní ochranu proti neoprávněné manipulaci (jak bylo vysvětleno dříve), abyste zabránili fyzickému přístupu do vnitřních částí notebooku bez vašeho vědomí. Tím zabráníte klonování disků a instalaci fyzického záznamníku kláves bez vašeho vědomí.
- Zakázat všechny porty USB (jak bylo vysvětleno dříve) v rámci systému BIOS/UEFI chráněného heslem. Opět je nebudou moci zapnout (bez fyzického přístupu k základní desce, aby resetovali systém BIOS) a spustit zařízení USB, které by mohlo naklonovat váš pevný disk nebo nainstalovat softwarový malware, který by mohl fungovat jako key logger.
- Nastavte hesla BIOS/UEFI/Firmware, abyste zabránili jakémukoli neoprávněnému spuštění neautorizovaného zařízení.
- Některé operační systémy a šifrovací software mají ochranu proti zneužití, kterou lze zapnout. To je případ systémů Windows/Veracrypt a QubeOS.
Útok studeným startem.
Útoky Cold Boot jsou složitější než útok Evil Maid, ale mohou být součástí útoku Evil Maid, protože vyžadují, aby se protivník zmocnil vašeho notebooku v době, kdy zařízení aktivně používáte, nebo krátce poté.
Myšlenka je poměrně jednoduchá, jak ukazuje toto video, protivník by teoreticky mohl rychle spustit vaše zařízení na speciálním USB klíči, který by zkopíroval obsah RAM (paměti) zařízení po jeho vypnutí. Pokud by byly porty USB vypnuty nebo pokud by měl pocit, že potřebuje více času, mohl by jej otevřít a "ochladit" paměť pomocí spreje nebo jiných chemikálií (například tekutého dusíku), čímž by zabránil rozpadu paměti. Pak by mohli být schopni zkopírovat její obsah pro analýzu. Tento výpis paměti by mohl obsahovat klíč k dešifrování zařízení. Později uplatníme několik zásad pro jejich zmírnění.
V případě Plausible Deniability se objevilo několik forenzních studií o technickém prokázání přítomnosti skrytých dat jednoduchým forenzním zkoumáním (bez Cold Boot/Evil Maid Attack), ale ty byly zpochybněny jinými studiemi a správcem Veracryptu, takže bych se jimi zatím příliš nezabýval.
Pro útoky Cold Boot by měla platit stejná opatření jako pro zmírnění útoků Evil Maid s některými přidanými:
- Pokud to váš operační systém nebo šifrovací software umožňuje, měli byste zvážit šifrování klíčů také v paměti RAM (to je možné v systému Windows/Veracrypt a bude vysvětleno později).
- Měli byste omezit používání pohotovostního režimu spánku a místo toho použít vypnutí nebo hibernaci, abyste zabránili tomu, že šifrovací klíče zůstanou v paměti RAM, když se počítač uspí. Spánek totiž zachová výkon paměti pro rychlejší obnovení činnosti. Pouze hibernace a vypnutí klíče z paměti skutečně vymaže.
Viz také
https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.org] a
https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org].
Zde je také několik zajímavých nástrojů, které by měli uživatelé Linuxu zvážit, aby se proti nim mohli bránit:
O uspávání, hibernaci a vypínání.
Pokud chcete dosáhnout lepšího zabezpečení, měli byste notebook úplně vypnout pokaždé, když jej necháte bez dozoru nebo zavřete víko. To by mělo vyčistit a/nebo uvolnit paměť RAM a zajistit zmírnění útoků proti studenému startu. Může to však být trochu nepohodlné, protože budete muset úplně restartovat počítač a zadat spoustu hesel do různých aplikací. Restartujte různé virtuální počítače a další aplikace. Místo toho tedy můžete také použít hibernaci (není podporována v operačním systému Qubes). Vzhledem k tomu, že je celý disk zašifrován, neměla by hibernace sama o sobě představovat velké bezpečnostní riziko, ale přesto dojde k vypnutí notebooku a vyčištění paměti, přičemž můžete následně pohodlně pokračovat v práci.
Co byste však nikdy neměli dělat, je používat standardní funkci uspání, která udrží počítač zapnutý a paměť napájenou. Jedná se o vektor útoku proti útokům typu evil-maid a cold-boot, o kterých jsme hovořili dříve. Zapnutá paměť totiž uchovává šifrovací klíče k disku (ať už šifrovanému, nebo nešifrovanému) a zkušený protivník by k nim pak mohl získat přístup.
V této příručce bude později uveden návod, jak povolit hibernaci v různých hostitelských operačních systémech (kromě Qubes OS), pokud nechcete pokaždé vypínat počítač.
Místní úniky dat (stopy) a forenzní zkoumání.
Jak již bylo stručně zmíněno dříve, jedná se o úniky dat a stopy z operačního systému a aplikací při provádění jakékoli činnosti na počítači. Většinou se týkají šifrovaných souborových kontejnerů (s věrohodným popřením nebo bez něj) než šifrování celého operačního systému. Tyto úniky jsou méně "důležité", pokud je zašifrován celý operační systém (pokud nejste nuceni prozradit heslo).
Řekněme, že máte například zašifrovaný klíč USB Veracrypt se zapnutou věrohodnou popiratelností. V závislosti na hesle, které použijete při připojování klíče USB, se otevře složka s návnadou nebo citlivá složka. V rámci těchto složek budete mít ve složce decoy dokumenty/data a ve složce sensitive citlivé dokumenty/data.
Ve všech případech tyto složky (s největší pravděpodobností) otevřete pomocí Průzkumníka Windows, Finderu MacOS nebo jiného nástroje a provedete, co jste měli v plánu. Možná budete upravovat dokument v rámci citlivé složky. Možná budete v dokumentu uvnitř složky vyhledávat. Možná nějaký odstraníte nebo budete sledovat citlivé video pomocí VLC.
Všechny tyto aplikace a operační systém mohou uchovávat záznamy a stopy o tomto použití. To může zahrnovat úplnou cestu ke složce/souborům/diskům, čas, kdy k nim bylo přistupováno, dočasné mezipaměti těchto souborů, seznamy "posledních" v jednotlivých aplikacích, systém indexování souborů, který by mohl indexovat disk, a dokonce i náhledy, které by mohly být generovány.
Zde je několik příkladů takových úniků:
Windows.
- Windows ShellBags, které jsou uloženy v registru systému Windows a v tichosti uchovávají různé historie přístupných svazků/souborů/složek.
- Indexování systému Windows, které ve výchozím nastavení uchovává stopy souborů přítomných v uživatelské složce.
- Seznamy posledních položek (známé také jako seznamy skoků) ve Windows a různých aplikacích, které uchovávají stopy po naposledy navštívených dokumentech.
- Mnoho dalších stop v různých záznamech, více informací naleznete na tomto zajímavém plakátu: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org].
MacOS.
- Gatekeeper290 a XProtect sledující historii stahování v místní databázi a atributy souborů.
- Indexování Spotlight
- Nedávné seznamy v různých aplikacích uchovávající stopy po nedávno navštívených dokumentech.
- Dočasné složky uchovávající různé stopy používání aplikací a dokumentů.
- Protokoly MacOS
- ...
Linux.
- Linux: Indexování sledovacích zařízení
- Historie Bash
- Protokoly USB
- Nedávné seznamy v různých aplikacích uchovávající stopy po nedávno navštívených dokumentech.
- Protokoly systému Linux
- ...
Všechny tyto úniky (viz
Úniky lokálních dat a forenzní analýza) by mohli forenzní experti využít k prokázání existence skrytých dat a zmaření vašich pokusů o použití věrohodného popření a zjištění různých citlivých činností.
Proto bude důležité aplikovat různá opatření, která forenzním pracovníkům v tomto zabrání, a to prevencí a čištěním těchto úniků/stop a především používáním šifrování celého disku, virtualizace a kompartmentalizace.
Kriminalisté nemohou získat místní úniky dat z operačního systému, ke kterému nemají přístup. A většinu těchto stop budete moci vyčistit vymazáním disku nebo bezpečným smazáním virtuálních počítačů (což u disků SSD není tak snadné, jak si myslíte).
Některými technikami čištění se nicméně budeme zabývat v části "Zahlaďte stopy" na samém konci této příručky.
Úniky dat online.
Ať už používáte jednoduché šifrování, nebo šifrování s věrohodným popřením. A to i v případě, že jste zakryli stopy na samotném počítači. Stále existuje riziko úniku dat online, které by mohlo odhalit přítomnost skrytých dat.
Telemetrie je váš nepřítel. Jak bylo vysvětleno dříve v této příručce, telemetrie operačních systémů, ale i aplikací může odesílat ohromující množství soukromých informací online.
V případě systému Windows by tato data mohla být například použita k prokázání existence skrytého operačního systému / svazku v počítači a byla by snadno dostupná u společnosti Microsoft. Proto je nesmírně důležité, abyste telemetrii zakázali a zablokovali všemi dostupnými prostředky. Bez ohledu na to, jaký operační systém používáte.
Závěr.
Nikdy byste neměli provádět citlivé činnosti z nešifrovaného systému. A i když je šifrovaný, pravděpodobně byste nikdy neměli provádět citlivé činnosti ze samotného hostitelského operačního systému. Místo toho byste měli používat virtuální počítač, abyste mohli efektivně izolovat a rozdělit své činnosti a zabránit místnímu úniku dat.
Pokud máte malé nebo žádné znalosti o Linuxu nebo pokud chcete využít věrohodného popření v rámci celého OS, doporučil bych pro pohodlí zvolit Windows (nebo se vrátit k cestě Tails). Tento návod vám pomůže jej co nejvíce ztížit, abyste zabránili únikům. Tento návod vám také pomůže co nejvíce ztížit MacOS a Linux, abyste zabránili podobným únikům.
Pokud nemáte zájem o plausible deniability celého OS a chcete se naučit používat Linux, vřele doporučuji jít cestou Linuxu nebo Qubes, pokud to váš hardware umožňuje.
V každém případě by hostitelský OS neměl být nikdy používán k přímému provádění citlivých činností. Hostitelský OS bude používán pouze k připojení k veřejnému přístupovému bodu Wi-Fi. Během provádění citlivých činností zůstane nepoužíván a v ideálním případě by neměl být používán k žádným každodenním činnostem.
Zvažte také přečtení
stránky https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org].
