Whonix-ruten.
Vælg dit Host OS (det OS, der er installeret på din bærbare computer).
Denne rute gør udstrakt brug af virtuelle maskiner, og de kræver et værts-OS til at køre virtualiseringssoftwaren. Du har 3 anbefalede valg i denne del af vejledningen:
- Din valgte Linux-distribution (undtagen Qubes OS)
- Windows 10 (helst Home Edition på grund af fraværet af Bitlocker)
- MacOS (Catalina eller højere)
Derudover er der stor sandsynlighed for, at din Mac er eller har været knyttet til en Apple-konto (på købstidspunktet eller efter login), og derfor kan dens unikke hardwareidentifikatorer føre tilbage til dig i tilfælde af lækage af hardwareidentifikatorer.
Linux er heller ikke nødvendigvis det bedste valg til anonymitet, afhængigt af din trusselsmodel. Det skyldes, at vi ved at bruge Windows nemt kan bruge Plausible Deniability (også kaldet Deniable Encryption) på OS-niveau. Windows er desværre samtidig et mareridt for privatlivets fred, men det er den eneste (bekvemme) mulighed for at bruge plausibel benægtelse på OS-niveau. Windows-telemetri og telemetriblokering er også bredt dokumenteret, hvilket burde afhjælpe mange problemer.
Så hvad er plausibel benægtelse? Det er din mulighed for at samarbejde med en modstander, der beder om adgang til din enhed/data, uden at afsløre din sande hemmelighed. Alt dette ved hjælp af benægtelig kryptering.
En blød, lovlydig modstander kunne bede om adgangskoden til din krypterede bærbare computer. I første omgang kan du nægte at udlevere en adgangskode (ved at bruge din "ret til at tie", "ret til ikke at inkriminere dig selv"), men nogle lande indfører love, der undtager dette fra sådanne rettigheder (på grund af terrorister og "tænk på børnene"). I så fald kan du blive nødt til at afsløre adgangskoden eller måske komme i fængsel for foragt for retten. Det er her, plausibel benægtelse kommer ind i billedet.
Du kan så afsløre en adgangskode, men den vil kun give adgang til "plausible data" (et lokkedue-OS). Kriminalteknikerne vil være klar over, at det er muligt for dig at have skjult data, men de bør ikke kunne bevise det (
hvis du gør det rigtigt). Du vil have samarbejdet, og efterforskerne vil have adgang til noget, men ikke det, du faktisk ønsker at skjule. Da bevisbyrden ligger på deres side, vil de ikke have andre muligheder end at tro på dig, medmindre de har bevis for, at du har skjulte data.
Denne funktion kan bruges på OS-niveau (et plausibelt OS og et skjult OS) eller på filniveau, hvor du vil have en krypteret filcontainer (svarende til en zip-fil), hvor forskellige filer vil blive vist afhængigt af den krypteringsadgangskode, du bruger.
Det betyder også, at du kan lave din egen avancerede "plausible deniability"-opsætning ved at bruge et hvilket som helst værts-OS ved f.eks. at gemme virtuelle maskiner på en Veracrypt hidden volume-container (vær opmærksom på spor i værts-OS'et, som skal renses, hvis værts-OS'et er vedvarende, se afsnittet om
yderligere foranstaltninger mod kriminalteknik senere). Der er et projekt til at opnå dette i Tails (
https://github.com/aforensics/HiddenVM [Archive.org]), som ville gøre dit værts-OS ikke-vedvarende og bruge plausibel benægtelse i Tails.
Når det gælder Windows, er plausibel benægtelse også grunden til, at du ideelt set bør have Windows 10 Home (og ikke Pro). Det skyldes, at Windows 10 Pro naturligt tilbyder et system til kryptering af hele disken (Bitlocker), hvor Windows 10 Home slet ikke tilbyder kryptering af hele disken. Vi vil senere bruge en tredjeparts open source-software til kryptering, som vil tillade fulddiskkryptering på Windows 10 Home. Det vil give dig en god (plausibel) undskyldning for at bruge denne software. Mens det ville være mistænkeligt at bruge denne software på Windows 10 Pro.
Bemærk om Linux: Hvad så med Linux og plausibel benægtelse? Ja, det er på en måde også muligt at opnå plausibel benægtelse med Linux. Men det er kompliceret at sætte op og kræver IMHO et færdighedsniveau, der er højt nok til, at du sandsynligvis ikke har brug for denne guide til at hjælpe dig med at prøve det.
Desværre er kryptering ikke magi, og der er nogle risici forbundet med det:
Trusler med kryptering.
Skruenøglen til 5$.
Husk, at kryptering med eller uden plausibel benægtelse ikke er en sølvkugle og ikke vil være til megen nytte i tilfælde af tortur. Afhængigt af hvem din modstander er (din trusselsmodel), kan det faktisk være klogt slet ikke at bruge Veracrypt (tidligere TrueCrypt), som vist i denne demonstration: https:
//defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org]
Plausibel benægtelse er kun effektiv mod bløde, lovlydige modstandere, der ikke vil ty til fysiske midler.
Undgå så vidt muligt at bruge software, der kan give plausibel benægtelse (som Veracrypt), hvis din trusselsmodel omfatter hårde modstandere. Windows-brugere bør i så fald installere Windows Pro som Host OS og bruge Bitlocker i stedet.
Se
https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org].
Evil-Maid-angreb.
Evil Maid Attacks udføres, når nogen piller ved din bærbare computer, mens du er væk. For at installere en kloning af din harddisk skal du installere malware eller en key logger. Hvis de kan klone din harddisk, kan de sammenligne et billede af din harddisk på det tidspunkt, hvor de tog den, mens du var væk, med harddisken, når de beslaglægger den fra dig. Hvis du brugte den bærbare computer igen i mellemtiden, kan kriminalteknikere måske bevise eksistensen af de skjulte data ved at se på variationerne mellem de to billeder i det, der burde være et tomt/ubrugt rum. Dette kan føre til stærke beviser for eksistensen af skjulte data. Hvis de installerer en key logger eller malware i din bærbare computer (software eller hardware), kan de simpelthen få adgangskoden fra dig til senere brug, når de beslaglægger den. Sådanne angreb kan ske i dit hjem, på dit hotel, ved en grænseovergang eller andre steder, hvor du lader dine enheder være uden opsyn.
Du kan afbøde dette angreb ved at gøre følgende (som anbefalet tidligere):
- Hav en grundlæggende manipulationsbeskyttelse (som forklaret tidligere) for at forhindre fysisk adgang til den bærbare computers indre uden dit vidende. Dette vil forhindre dem i at klone dine diske og installere en fysisk key logger uden din viden.
- Deaktiver alle USB-porte (som forklaret tidligere) i en adgangskodebeskyttet BIOS/UEFI. Igen vil de ikke kunne tænde dem (uden fysisk at få adgang til bundkortet for at nulstille BIOS) for at starte en USB-enhed, der kan klone din harddisk eller installere en softwarebaseret malware, der kan fungere som en nøglelogger.
- Opsæt BIOS/UEFI/Firmware-adgangskoder for at forhindre enhver uautoriseret opstart af en uautoriseret enhed.
- Nogle operativsystemer og krypteringssoftware har anti-EvilMaid-beskyttelse, der kan aktiveres. Dette er tilfældet med Windows/Veracrypt og QubeOS.
Angreb med kold opstart.
Cold Boot-angreb er vanskeligere end Evil Maid-angrebet, men kan være en del af et Evil Maid-angreb, da det kræver, at en modstander kommer i besiddelse af din bærbare computer, mens du aktivt bruger din enhed eller kort tid efter.
Ideen er ret enkel, som vist i denne video, kan en modstander teoretisk set hurtigt starte din enhed på en særlig USB-nøgle, der vil kopiere indholdet af enhedens RAM (hukommelsen), efter du har lukket den ned. Hvis USB-portene er deaktiveret, eller hvis de føler, at de har brug for mere tid, kan de åbne den og "køle" hukommelsen ned ved hjælp af en spray eller andre kemikalier (f.eks. flydende nitrogen), som forhindrer, at hukommelsen nedbrydes. Derefter kan de kopiere indholdet og analysere det. Dette hukommelsesdump kan indeholde nøglen til at dekryptere din enhed. Vi vil senere anvende nogle få principper til at afbøde disse.
I tilfælde af plausibel benægtelse har der været nogle retsmedicinske undersøgelser om teknisk at bevise tilstedeværelsen af de skjulte data med en simpel retsmedicinsk undersøgelse (uden et Cold Boot/Evil Maid-angreb), men disse er blevet anfægtet af andre undersøgelser og af vedligeholderen af Veracrypt, så jeg ville ikke bekymre mig for meget om dem endnu.
De samme foranstaltninger, der bruges til at afbøde Evil Maid-angreb, bør være på plads for Cold Boot-angreb med nogle ekstra:
- Hvis dit operativsystem eller krypteringssoftware tillader det, bør du overveje også at kryptere nøglerne i RAM (dette er muligt med Windows/Veracrypt og vil blive forklaret senere).
- Du bør begrænse brugen af Sleep stand-by og i stedet bruge Shutdown eller Hibernate for at forhindre, at krypteringsnøglerne forbliver i RAM, når din computer går i dvale. Det skyldes, at dvale opretholder strøm til din hukommelse, så du hurtigere kan genoptage din aktivitet. Kun dvale og nedlukning vil rent faktisk slette nøglen fra hukommelsen.
Se også
https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.
org] og
https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org].
Her er også nogle interessante værktøjer, som Linux-brugere kan overveje for at forsvare sig mod disse:
Om dvale, dvaletilstand og nedlukning.
Hvis du vil have bedre sikkerhed, bør du lukke din bærbare computer helt ned, hver gang du efterlader den uden opsyn eller lukker låget. Det renser og/eller frigiver RAM og beskytter mod koldstart-angreb. Det kan dog være lidt upraktisk, da du bliver nødt til at genstarte helt og indtaste en masse adgangskoder i forskellige apps. Genstarte forskellige VM'er og andre apps. Så i stedet kan du også bruge dvaletilstand (understøttes ikke af Qubes OS). Da hele disken er krypteret, burde dvale i sig selv ikke udgøre en stor sikkerhedsrisiko, men vil stadig lukke din bærbare ned og rydde hukommelsen, samtidig med at du nemt kan genoptage dit arbejde bagefter.
Hvad du aldrig bør gøre, er at bruge den almindelige dvalefunktion, som holder computeren tændt og hukommelsen i gang. Det er en angrebsvektor mod evil-maid- og cold-boot-angreb, som vi talte om tidligere. Det skyldes, at den tændte hukommelse indeholder krypteringsnøglerne til din disk (krypteret eller ej), som en dygtig modstander så kan få adgang til.
Denne vejledning vil senere give vejledning i, hvordan man aktiverer dvale på forskellige værts-OS'er (undtagen Qubes OS), hvis man ikke ønsker at lukke ned hver gang.
Lokale datalækager (spor) og retsmedicinsk undersøgelse.
Som nævnt kort tidligere er dette datalækager og spor fra dit operativsystem og dine apps, når du udfører en aktivitet på din computer. Det gælder for det meste krypterede filcontainere (med eller uden plausibel benægtelse) og ikke OS-kryptering. Sådanne lækager er mindre "vigtige", hvis hele dit operativsystem er krypteret (hvis du ikke er tvunget til at afsløre adgangskoden).
Lad os f.eks. sige, at du har en Veracrypt-krypteret USB-nøgle med plausibel benægtelse aktiveret. Afhængigt af den adgangskode, du bruger, når du monterer USB-nøglen, vil den åbne en lokkedue-mappe eller den følsomme mappe. I disse mapper vil du have falske dokumenter/data i den falske mappe og følsomme dokumenter/data i den følsomme mappe.
I alle tilfælde vil du (højst sandsynligt) åbne disse mapper med Windows Stifinder, MacOS Finder eller et andet program og gøre, hvad du har planlagt at gøre. Måske vil du redigere et dokument i den følsomme mappe. Måske vil du søge i et dokument i mappen. Måske vil du slette et eller se en følsom video ved hjælp af VLC.
Alle disse apps og dit operativsystem kan gemme logfiler og spor af denne brug. Det kan omfatte den fulde sti til mappen/filerne/drevene, tidspunktet, hvor de blev åbnet, midlertidige cacher for disse filer, listerne over "seneste" i hver app, filindekseringssystemet, der kan indeksere drevet, og endda miniaturebilleder, der kan genereres.
Her er nogle eksempler på sådanne lækager:
Windows.
- Windows ShellBags, der er gemt i Windows-registreringsdatabasen, og som lydløst gemmer forskellige historier om tilgåede diskenheder/filer/mapper.
- Windows-indeksering, der som standard gemmer spor af de filer, der findes i din brugermappe.
- Seneste lister (også kaldet Jump Lists) i Windows og forskellige apps, der gemmer spor af nyligt åbnede dokumenter.
- Mange flere spor i forskellige logfiler, se venligst denne praktiske og interessante plakat for mere indsigt: https: //www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org]
MacOS.
- Gatekeeper290 og XProtect holder styr på din downloadhistorik i en lokal database og filattributter.
- Spotlight-indeksering
- Seneste lister i forskellige apps, der holder styr på nyligt åbnede dokumenter.
- Midlertidige mapper holder styr på forskellige spor af app- og dokumentbrug.
- MacOS-logfiler
- ...
Linux.
- Indeksering af tracker
- Bash-historik
- USB-logfiler
- Seneste lister i forskellige apps med spor af nyligt åbnede dokumenter.
- Linux-logfiler
- ...
Kriminalteknikere kan bruge alle disse lækager (se
Lokale datalækager og kriminalteknik) til at bevise eksistensen af skjulte data og besejre dine forsøg på at bruge plausibel benægtelse og til at finde ud af dine forskellige følsomme aktiviteter.
Det vil derfor være vigtigt at anvende forskellige trin for at forhindre kriminalteknikere i at gøre dette ved at forhindre og rense disse lækager/spor og endnu vigtigere ved at bruge kryptering af hele disken, virtualisering og opsplitning.
Kriminalteknikere kan ikke udtrække lokale datalækager fra et operativsystem, som de ikke har adgang til. Og du vil kunne rense de fleste af disse spor ved at slette disken eller ved at slette dine virtuelle maskiner på en sikker måde (hvilket ikke er så nemt, som du tror på SSD-drev).
Nogle renseteknikker vil ikke desto mindre blive dækket i "Dæk dine spor"-delen af denne vejledning til allersidst.
Online datalækager.
Uanset om du bruger simpel kryptering eller plausibel benægtelseskryptering. Selv hvis du dækker dine spor på selve computeren. Der er stadig en risiko for online datalækager, som kan afsløre tilstedeværelsen af skjulte data.
Telemetri er din fjende. Som forklaret tidligere i denne guide kan telemetri fra operativsystemer, men også fra apps, sende svimlende mængder af private oplysninger online.
I Windows' tilfælde kan disse data f.eks. bruges til at bevise, at der findes et skjult operativsystem/volumen på en computer, og de vil være let tilgængelige hos Microsoft. Derfor er det kritisk vigtigt, at du deaktiverer og blokerer telemetri med alle de midler, du har til rådighed. Uanset hvilket operativsystem du bruger.
Konklusion.
Du bør aldrig udføre følsomme aktiviteter fra et ikke-krypteret system. Og selv hvis det er krypteret, bør du sandsynligvis aldrig udføre følsomme aktiviteter fra selve host-OS'et. I stedet bør du bruge en VM for effektivt at kunne isolere og opdele dine aktiviteter og forhindre lokale datalækager.
Hvis du kun har lidt eller intet kendskab til Linux, eller hvis du vil bruge OS wide plausible deniability, vil jeg anbefale at vælge Windows (eller gå tilbage til Tails-ruten) for nemheds skyld. Denne vejledning hjælper dig med at hærde den så meget som muligt for at forhindre lækager. Denne guide vil også hjælpe dig med at hærde MacOS og Linux så meget som muligt for at forhindre lignende lækager.
Hvis du ikke er interesseret i OS wide plausible deniability og gerne vil lære at bruge Linux, vil jeg på det kraftigste anbefale at vælge Linux eller Qubes, hvis din hardware tillader det.
I alle tilfælde bør værts-OS'et aldrig bruges til at udføre følsomme aktiviteter direkte. Værts-OS'et vil kun blive brugt til at oprette forbindelse til et offentligt Wi-Fi-adgangspunkt. Det vil ikke blive brugt, mens du udfører følsomme aktiviteter, og bør ideelt set ikke bruges til nogen af dine daglige aktiviteter.
Overvej også at læse
https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org]
