Guia para o anonimato on-line (por https://anonymousplanet.org/)

Use por sua própria conta e risco. Não considere este guia como uma verdade definitiva para tudo, pois ele não é.

Spoiler: Índice

• Introdução:
• Compreender alguns princípios básicos de como algumas informações podem levar a você e como mitigar algumas delas:
  • Sua rede:
    • Seu endereço IP:
    • Suas solicitações de DNS e IP:
    • Seus dispositivos habilitados para RFID:
    • Os dispositivos Wi-Fi e Bluetooth ao seu redor:
    • Pontos de acesso Wi-Fi mal-intencionados/mal-intencionados:
    • Seu tráfego Tor/VPN anônimo:
    • Alguns dispositivos podem ser rastreados mesmo quando estão off-line:
  • Seus identificadores de hardware:
    • Seu IMEI e IMSI (e, por extensão, seu número de telefone):
    • Seu endereço MAC de Wi-Fi ou Ethernet:
    • Seu endereço MAC Bluetooth:
  • Sua CPU:
  • Seus sistemas operacionais e serviços de telemetria de aplicativos:
  • Seus dispositivos inteligentes em geral:
  • Você mesmo:
    • Seus metadados, incluindo sua localização geográfica:
    • Sua impressão digital, sua pegada e seu comportamento on-line:
    • Suas pistas sobre sua vida real e OSINT:
    • Seu rosto, voz, biometria e imagens:
    • Phishing e engenharia social:
  • Malware, exploits e vírus:
    • Malware em seus arquivos/documentos/e-mails:
    • Malware e exploits em seus aplicativos e serviços:
    • Dispositivos USB mal-intencionados:
    • Malware e backdoors no firmware do hardware e no sistema operacional:
  • Seus arquivos, documentos, fotos e vídeos:
    • Propriedades e metadados:
    • Marca d'água:
    • Informações pixelizadas ou desfocadas:
  • Suas transações com moedas criptográficas:
  • Seus serviços de backups/sincronização na nuvem:
  • Impressões digitais de seu navegador e dispositivo:
  • Vazamentos de dados locais e análise forense:
  • Criptografia ruim:
  • Políticas sem registro, mas com registro de qualquer forma:
  • Algumas técnicas avançadas direcionadas:
  • Alguns recursos de bônus:
  • Notas:
• Preparações gerais:
  • Escolhendo sua rota:
    • Limitações de tempo:
    • Limitações de orçamento/material:
    • Habilidades:
    • Adversários (ameaças):
  • Etapas para todas as rotas:
    • Obter um número de telefone anônimo:
    • Obter uma chave USB:
    • Encontrar alguns locais seguros com Wi-Fi público decente:
  • A rota TAILS:
    • Negação plausível persistente usando o Whonix no TAILS:
  • Etapas para todas as outras rotas:
    • Obtenha um laptop dedicado para suas atividades confidenciais:
    • Algumas recomendações de laptops:
    • Configurações de BIOS/UEFI/Firmware de seu laptop:
    • Proteja fisicamente seu laptop contra violações:
  • A rota Whonix:
    • Escolhendo o sistema operacional host (o sistema operacional instalado no laptop):
    • Linux Host OS:
    • MacOS Sistema operacional host:
    • Sistema operacional Windows Host:
    • Virtualbox em seu sistema operacional host:
    • Escolha seu método de conectividade:
    • Obtenha uma VPN/Proxy anônima:
    • Whonix:
    • Tor sobre VPN:
    • Máquinas virtuais do Whonix:
    • Escolha a máquina virtual de sua estação de trabalho convidada:
    • Máquina virtual Linux (Whonix ou Linux):
    • Máquina virtual Windows 10:
    • Android Máquina virtual:
    • MacOS Máquina virtual:
    • KeepassXC:
    • Instalação do cliente VPN (pago em dinheiro/Monero):
    • (Opcional), permitindo que apenas as VMs acessem a Internet e cortando o sistema operacional host para evitar qualquer vazamento:
    • Etapa final:
  • A rota Qubes:
    • Escolha seu método de conectividade:
    • Obtenha uma VPN/Proxy anônima:
    • Instalação:
    • Comportamento de fechamento da tampa:
    • Conectar-se a um Wi-Fi público:
    • Atualizar o sistema operacional Qubes:
    • Fortalecimento do sistema operacional Qubes:
    • Configurar a VPN ProxyVM:
    • Configurar um navegador seguro no sistema operacional Qube (opcional, mas recomendado):
    • Configurar uma VM Android:
    • KeePassXC:
• Criando suas identidades on-line anônimas:
  • Compreensão dos métodos usados para impedir o anonimato e verificar a identidade:
    • Captchas:
    • Verificação por telefone:
    • Verificação de e-mail:
    • Verificação de detalhes do usuário:
    • Verificação de comprovante de identidade:
    • Filtros de IP:
    • Impressão digital do navegador e do dispositivo:
    • Interação humana:
    • Moderação de usuários:
    • Análise comportamental:
    • Transações financeiras:
    • Login com alguma plataforma:
    • Reconhecimento facial ao vivo e biometria (novamente):
    • Revisões manuais:
  • Ficar on-line:
    • Criação de novas identidades:
    • O sistema de nomes reais:
    • Sobre serviços pagos:
    • Visão geral:
    • Como compartilhar arquivos ou bater papo anonimamente:
    • Redigindo documentos/fotos/vídeos/áudio com segurança:
    • Comunicação de informações confidenciais a várias organizações conhecidas:
    • Tarefas de manutenção:
• Como fazer backup de seu trabalho com segurança:
  • Backups off-line:
    • Backups de arquivos selecionados:
    • Backups completos de disco/sistema:
  • Backups on-line:
    • Arquivos:
    • Informações:
  • Sincronização de seus arquivos entre dispositivos Online:
• Cobrindo seus rastros:
  • Entendendo HDD vs. SSD:
    • Nivelamento de desgaste.
    • Operações de corte:
    • Coleta de lixo:
    • Conclusão:
  • Como limpar com segurança todo o laptop/drive se você quiser apagar tudo:
    • Linux (todas as versões, inclusive o Qubes OS):
    • Windows:
    • MacOS:
  • Como excluir com segurança arquivos/pastas/dados específicos em seu HDD/SSD e unidades Thumb:
    • Windows:
    • Linux (não Qubes OS):
    • Linux (Qubes OS):
    • MacOS:
  • Algumas medidas adicionais contra a ciência forense:
    • Remoção de metadados de arquivos/documentos/imagens:
    • TAILS:
    • Whonix:
    • MacOS:
    • Linux (Qubes OS):
    • Linux (não Qubes):
    • Windows:
  • Remoção de alguns rastros de suas identidades em mecanismos de pesquisa e várias plataformas:
    • Google:
    • Bing:
    • DuckDuckGo:
    • Yandex:
    • Qwant:
    • Yahoo Search:
    • Baidu:
    • Wikipedia:
    • Archive.today:
    • Arquivo da Internet:
• Alguns truques de baixa tecnologia da velha escola:
  • Comunicações ocultas à vista de todos:
  • Como identificar se alguém está vasculhando seu material:
• Algumas últimas considerações sobre OPSEC:
• Se você acha que se queimou:
  • Se você tiver algum tempo:
  • Se você não tem tempo:
• Uma pequena nota editorial final

 

[HEISENBERG]

Limitações orçamentárias/materiais.

• Você só tem um laptop disponível e não pode comprar outro. Você usa esse laptop para trabalho, família ou coisas pessoais (ou ambos):
  
  • Sua melhor opção é optar pela rota Tails.
• Você pode comprar um laptop sobressalente dedicado, não supervisionado/não monitorado, para suas atividades confidenciais:
  
  • Mas ele é antigo, lento e tem especificações ruins (menos de 6 GB de RAM, menos de 250 GB de espaço em disco, CPU antiga/lenta):
    
    • Você deve optar pela rota do Tails.
  • Ele não é tão antigo e tem especificações decentes (pelo menos 6 GB de RAM, 250 GB de espaço em disco ou mais, CPU decente):
    
    • Você poderia optar pelas rotas Tails e Whonix.
  • É novo e tem ótimas especificações (mais de 8 GB de RAM, >250 GB de espaço em disco, CPU rápida recente):
    
    • Você poderia optar por qualquer rota, mas eu recomendaria o Qubes OS se o modelo de ameaça permitir.
  • Se for um Mac M1 baseado em ARM:
    
    • Não é possível no momento por esses motivos:
      
      • A virtualização de imagens x86 em Macs ARM M1 ainda está limitada ao software comercial (Parallels), que ainda não é suportado pelo Whonix.
      • O Virtualbox ainda não está disponível para a arquitetura ARM.
      • O Whonix ainda não é compatível com a arquitetura ARM.
      • O Tails ainda não é compatível com a arquitetura ARM.
      • O Qubes OS ainda não é compatível com a arquitetura ARM.

Sua única opção nos Macs M1 é provavelmente usar o Tor Browses por enquanto. Mas eu diria que, se você tem condições de comprar um Mac M1, provavelmente deveria adquirir um laptop x86 dedicado para atividades mais sensíveis.

 

[HEISENBERG]

Habilidades.

• Você não tem nenhuma habilidade em TI e o conteúdo deste guia parece um idioma estranho para você?
  
  • Você deve seguir o caminho do Tails (excluindo a seção de negação plausível persistente).
• Você tem algum conhecimento de TI e, até o momento, entendeu quase tudo sobre este guia
  
  • Você deve optar pelas rotas Tails (incluindo a seção de negação plausível persistente) ou Whonix.
• Você tem habilidades de TI de moderadas a altas e já está familiarizado com parte do conteúdo deste guia
  
  • Você pode escolher o que quiser, mas eu recomendaria fortemente o sistema operacional Qubes.
• Você é um hacker l33T, "não há colher", "o bolo é uma mentira", você usa "doas" há anos e "toda a sua base pertence a nós" e tem opiniões fortes sobre o systemd.
  
  • Este guia não é realmente destinado a você e não o ajudará com o seu HardenedBSD no seu laptop Libreboot endurecido ;-)

 

[HEISENBERG]

Adversários (ameaças).

• Se sua principal preocupação for o exame forense de seus dispositivos:
  
  • Você deve seguir a rota Tails (com negação plausível persistente opcional).
• Se sua principal preocupação são adversários remotos que podem descobrir sua identidade on-line em várias plataformas:
  
  • Você pode optar pelas rotas Whonix ou Qubes OS.
  • Você também pode optar pelo Tails (com negação plausível persistente opcional).
• Se você quiser absolutamente uma negação plausível em todo o sistema, apesar dos riscos:
  
  • Pode optar pelo Tails Route, incluindo a seção de negação plausível persistente.
  • Você pode optar pela Whonix Route (no sistema operacional Windows Host somente dentro do escopo deste guia).
• Se estiver em um ambiente hostil em que o uso do Tor/VPN sozinho seja impossível/perigoso/suspeito:
  
  • Você pode usar a rota Tails (sem usar o Tor).
  • Você pode seguir a rota do Whonix ou do Qubes OS (sem realmente usar o Whonix).

Em todos os casos, você deve ler estas duas páginas da documentação do Whonix que lhe darão uma visão aprofundada sobre suas escolhas:

• https://www.whonix.org/wiki/Warning [Archive.org]
• https://www.whonix.org/wiki/Dev/Threat_Model [Archive.org]
• https://www.whonix.org/wiki/Comparison_with_Others [Archive.org]

Você pode estar se perguntando: "Como posso saber se estou em um ambiente on-line hostil em que as atividades são ativamente monitoradas e bloqueadas?"

• Primeiro leia mais sobre isso na EFF aqui: https://ssd.eff.org/en/module/understanding-and-circumventing-network-censorship [Archive.org]
• Verifique você mesmo alguns dados aqui no site do Projeto Tor OONI (Open Observatory of Network Interference): https://explorer.ooni.org/ [Archive.org]
• Dê uma olhada em https://censoredplanet.org/ [Archive.org] e veja se eles têm dados sobre o seu país.
• Teste você mesmo usando o OONI (isso pode ser arriscado em um ambiente hostil).

 

[HEISENBERG]

Etapas para todas as rotas.

Acostume-se a usar senhas melhores.

Consulte o Apêndice A2: Diretrizes para senhas e frases-senha.

Obtenha um número de telefone anônimo.

Pule esta etapa se não tiver a intenção de criar contas anônimas na maioria das plataformas convencionais, mas quiser apenas uma navegação anônima, ou se as plataformas que você usará permitirem o registro sem um número de telefone.

Telefone físico do Burner e cartão SIM pré-pago.

Adquira um celular de gravação.

Isso é bastante fácil. Deixe seu smartphone desligado ou desligue-o antes de sair. Tenha algum dinheiro e vá a algum mercado de pulgas aleatório ou a uma pequena loja (de preferência uma sem CCTV dentro ou fora e evitando ser fotografado/filmado) e compre o telefone mais barato que puder encontrar com dinheiro e sem fornecer nenhuma informação pessoal. Ele só precisa estar funcionando.


Pessoalmente, eu recomendaria comprar um "dumbphone" antigo com bateria removível (Nokia antigo, se as redes de telefonia móvel ainda permitirem a conexão desses aparelhos, já que alguns países eliminaram completamente o 1G-2G). Isso é para evitar o envio/coleta automática de dados de telemetria/diagnóstico no próprio telefone. Você nunca deve conectar esse telefone a nenhuma rede Wi-Fi.


Também é fundamental não ligar esse telefone queimado (nem mesmo sem o cartão SIM) em nenhum local geográfico que possa levar a você (em sua casa/trabalho, por exemplo) e nunca no mesmo local que seu outro smartphone conhecido (porque esse tem um IMEI/IMSI que facilmente levará a você). Isso pode parecer um grande fardo, mas não é, pois esses telefones são usados apenas durante o processo de configuração/assinatura e para verificação de tempos em tempos.


Consulte o Apêndice N: Aviso sobre smartphones e dispositivos inteligentes


Você deve verificar se o telefone está funcionando bem antes de passar para a próxima etapa. Mas vou me repetir e afirmar novamente que é importante deixar o smartphone em casa quando for viajar (ou desligá-lo antes de sair, se precisar ficar com ele) e testar o telefone em um local aleatório que não possa ser rastreado até você (e, mais uma vez, não faça isso na frente de um circuito fechado de TV, evite câmeras, esteja atento ao seu entorno). Também não há necessidade de Wi-Fi nesse local.


Quando tiver certeza de que o telefone está funcionando, desative o Bluetooth e desligue-o (remova a bateria, se possível), volte para casa e retome suas atividades normais. Vá para a próxima etapa.

Obtenha um cartão SIM pré-pago anônimo.

Esta é a parte mais difícil de todo o guia. É um SPOF (Single Point of Failure, ponto único de falha). Os locais onde você ainda pode comprar cartões SIM pré-pagos sem registro de identidade estão ficando cada vez mais limitados devido a várias regulamentações do tipo KYC.


Portanto, aqui está uma lista dos locais onde você ainda pode obtê-los agora: https://prepaid-data-sim-card.fandom.com/wiki/Registration_Policies_Per_Country [Archive.org]


Você deve conseguir encontrar um local que não seja "muito longe" e simplesmente ir até lá fisicamente para comprar alguns cartões pré-pagos e vouchers de recarga em dinheiro. Antes de ir, verifique se não foi aprovada nenhuma lei que torne o registro obrigatório (caso o wiki acima não tenha sido atualizado). Tente evitar CCTV e câmeras e não se esqueça de comprar um voucher de recarga com o cartão SIM (se não for um pacote), pois a maioria dos cartões pré-pagos exigirá uma recarga antes do uso.


Consulte o Apêndice N: Aviso sobre smartphones e dispositivos inteligentes


Verifique novamente se as operadoras de telefonia móvel que vendem os cartões SIM pré-pagos aceitam a ativação e a recarga do SIM sem nenhum tipo de registro de identificação antes de ir até lá. O ideal é que elas aceitem a ativação e a recarga do SIM do país em que você reside.


Pessoalmente, eu recomendaria a GiffGaff no Reino Unido, pois eles são "acessíveis", não exigem identificação para ativação e recarga e ainda permitem que você altere seu número até duas vezes no site deles. Portanto, um cartão SIM pré-pago da GiffGaff lhe concederá 3 números para usar de acordo com suas necessidades.


Desligue o telefone após a ativação/carga e antes de ir para casa. Nunca o ligue novamente, a menos que não esteja em um local que possa ser usado para revelar sua identidade e a menos que seu smartphone seja desligado antes de ir para esse local "não é sua casa".

Número de telefone on-line (menos recomendado).

AVISO LEGAL: não tente fazer isso até que tenha concluído a configuração de um ambiente seguro de acordo com uma das rotas selecionadas. Essa etapa exigirá acesso on-line e só deve ser feita em uma rede anônima. Não faça isso em um ambiente conhecido/inseguro. Pule esta etapa até que você tenha concluído uma das rotas.


Há muitos serviços comerciais que oferecem números para receber mensagens SMS on-line, mas a maioria deles basicamente não tem anonimato/privacidade e não pode ser útil, pois a maioria das plataformas de mídia social impõe um limite de quantas vezes um número de telefone pode ser usado para registro.


Há alguns fóruns e subreddits (como r/phoneverification/) em que os usuários oferecem o serviço de recebimento dessas mensagens SMS por uma pequena taxa (usando o PayPal ou alguma criptomoeda). Infelizmente, esses sites estão cheios de golpistas e são muito arriscados em termos de anonimato. Você não deve usá-los em nenhuma circunstância.


Até o momento, não conheço nenhum serviço respeitável que ofereça esse serviço e aceite pagamentos em dinheiro (por correio, por exemplo) como alguns provedores de VPN. Mas há alguns serviços que fornecem números de telefone on-line e aceitam Monero, o que poderia ser razoavelmente anônimo (mas menos recomendado do que a forma física no capítulo anterior) que você poderia considerar:

• Recomendado: Não exigem nenhuma identificação (nem mesmo e-mail):
  
  • (com sede no Reino Unido, parece indisponível no momento em que este artigo foi escrito) https://dtmf.io/ [Archive.org] preferido porque eles fornecem até mesmo um endereço de serviço onion hidden para acesso direto por meio da rede Tor em http://dtmfiovjh42uviqez6qn75igbagtiyo724hy3rdxm77dy2m5tt7lbaqd.onion/
  • (com base na Islândia) https://crypton.sh [Archive.org]
  • (com base na Ucrânia) https://virtualsim.net/ [Archive.org]
• Exigem identificação (e-mail válido):
  
  • (com base na Alemanha) https://www.sms77.io/ [Archive.org]
  • (com base na Rússia) https://onlinesim.ru/ [Archive.org]

Há algumas outras possibilidades listadas aqui https://cryptwerk.com/companies/sms/xmr/ [Archive.org]. Use por sua própria conta e risco.


AVISO LEGAL: Não posso garantir nenhum desses provedores e, portanto, ainda recomendo que você mesmo faça isso fisicamente. Nesse caso, você terá que confiar no anonimato do Monero e não deve usar nenhum serviço que exija qualquer tipo de identificação usando sua identidade real. Leia este Aviso de isenção de responsabilidade do Monero.


Portanto, na minha opinião, é provavelmente mais conveniente, mais barato e menos arriscado obter um cartão SIM pré-pago em um dos locais físicos que ainda os vendem por dinheiro sem exigir registro de identidade. Mas pelo menos há uma alternativa se você não tiver outra opção.

Obtenha uma chave USB.

Adquira pelo menos uma ou duas chaves USB genéricas de tamanho decente (pelo menos 16 GB, mas eu recomendaria 32 GB).


Não compre nem use dispositivos autocriptografados como estes: https://syscall.eu/blog/2018/03/12/aigo_part1/ [Archive.org]


Alguns deles podem ser muito eficientes, mas muitos são dispositivos ardilosos que não oferecem proteção real.

Encontre alguns locais seguros com Wi-Fi público decente.

Você precisa encontrar locais seguros onde possa realizar suas atividades confidenciais usando uma rede Wi-Fi acessível ao público (sem registro de conta/identificação, evite CCTVs).


Pode ser qualquer lugar que não esteja diretamente ligado a você (sua casa/trabalho) e onde você possa usar o Wi-Fi por um tempo sem ser incomodado. Mas também um lugar onde você possa fazer isso sem ser "notado" por ninguém.


Se você acha que a Starbucks é uma boa ideia, pode reconsiderar:

• Eles provavelmente têm CCTVs em todas as suas lojas e mantêm essas gravações por um período de tempo desconhecido.
• Você precisará comprar um café para obter o código de acesso ao Wi-Fi na maioria das lojas. Se você pagar esse café com um método eletrônico, eles poderão vincular seu acesso ao Wi-Fi à sua identidade.

A consciência situacional é fundamental, e você deve estar sempre atento ao seu entorno e evitar locais turísticos como se estivessem infestados pelo Ebola. Evite aparecer em qualquer foto/vídeo de qualquer pessoa enquanto ela estiver tirando uma selfie, fazendo um vídeo no TikTok ou postando alguma foto de viagem no Instagram. Se isso acontecer, lembre-se de que há grandes chances de que essas fotos acabem on-line (pública ou privadamente) com metadados completos anexados a elas (hora/data/geolocalização) e seu rosto. Lembre-se de que essas fotos podem e serão indexadas pelo Facebook/Google/Yandex/Apple e, provavelmente, por todas as três agências de notícias.


Embora isso ainda não esteja disponível para seus policiais locais, poderá estar em um futuro próximo.


O ideal é que você precise de um conjunto de 3 a 5 locais diferentes como esse para evitar usar o mesmo local duas vezes. Serão necessárias várias viagens ao longo das semanas para as várias etapas deste guia.


Você também pode considerar a possibilidade de se conectar a esses locais de uma distância segura para aumentar a segurança. Consulte o Apêndice Q: Uso de antena de longo alcance para conectar-se a redes Wi-Fi públicas a uma distância segura.

 

[HEISENBERG]

A rota das caudas.

Esta parte do guia o ajudará a configurar o Tails se uma das opções a seguir for verdadeira:

• Você não pode comprar um laptop dedicado
• Seu laptop dedicado é muito antigo e muito lento
• Você tem poucos conhecimentos de TI
• Você decidir usar o Tails mesmo assim

Tails significa The Amnesic Incognito Live System. É um sistema operacional Live inicializável executado a partir de uma chave USB, projetado para não deixar rastros e forçar todas as conexões por meio da rede Tor.


Você praticamente insere a chave USB do Tails em seu laptop, inicializa a partir dela e tem um sistema operacional completo em execução com privacidade e anonimato em mente. Assim que você desligar o computador, tudo desaparecerá, a menos que você o tenha salvo em algum lugar.


O Tails é uma maneira muito fácil de começar a trabalhar rapidamente com o que você tem e sem muito aprendizado. Ele tem uma extensa documentação e tutoriais.


ADVERTÊNCIA: O Tails nem sempre está atualizado com o software que o acompanha. E também nem sempre está atualizado com as atualizações do Navegador Tor. Você deve sempre se certificar de que está usando a versão mais recente do Tails e deve ter muito cuidado ao usar aplicativos incluídos no Tails que possam ser vulneráveis a explorações e revelar sualocalização265.


No entanto, ele tem algumas desvantagens:

• O Tails usa o Tor e, portanto, você usará o Tor para acessar qualquer recurso na Internet. Isso, por si só, o tornará suspeito para a maioria das plataformas em que você deseja criar contas anônimas (isso será explicado em mais detalhes posteriormente).
• Seu provedor de Internet (seja o seu ou algum Wi-Fi público) também verá que você está usando o Tor e isso pode torná-lo suspeito por si só.
• O Tails não inclui (nativamente) alguns dos softwares que você pode querer usar mais tarde, o que complicará um pouco as coisas se você quiser executar algumas coisas específicas (emuladores de Android, por exemplo).
• O Tails usa o navegador Tor que, embora seja muito seguro, também é detectado pela maioria das plataformas e dificulta a criação de identidades anônimas em muitas plataformas.
• O Tails não o protegerá mais da chave inglesa de 5$8.
• O Tor, por si só, pode não ser suficiente para protegê-lo de um adversário com recursos suficientes, conforme explicado anteriormente.

Observação importante: Se o seu laptop for monitorado/supervisionado e houver algumas restrições locais, leia o Apêndice U: Como contornar (algumas) restrições locais em computadores supervisionados.


Você também deve ler a documentação, avisos e limitações do Tails antes de prosseguir https://tails.boum.org/doc/about/warnings/index.en.html [Archive.org]


Levando tudo isso em conta e o fato de que a documentação do Tails é excelente, vou apenas redirecioná-lo para o tutorial bem feito e bem mantido:


https://tails.boum.org/install/index.en.html [Archive.org], escolha sua opção e prossiga.


Quando terminar e tiver um Tails funcionando no seu laptop, vá para a etapa Criando suas identidades anônimas on-line, mais adiante neste guia.


Se estiver tendo problemas para acessar o Tor devido a censura ou outras questões, você pode tentar usar o Tor Bridges seguindo este tutorial do Tails: https://tails.boum.org/doc/first_steps/welcome_screen/bridge_mode/index.en.html [Archive.org] e encontrar mais informações sobre isso em Tor Documentation https://2019.www.torproject.org/docs/bridges [Archive.org]


Se você acha que usar o Tor sozinho é perigoso/suspeito, consulte o Apêndice P: Acessando a Internet da forma mais segura possível quando o Tor/VPN não é uma opção

 

[HEISENBERG]

Negação plausível persistente usando o Whonix no Tails.

Considere dar uma olhada no projeto https://github.com/aforensics/HiddenVM [Archive.org] para o Tails.


Esse projeto é uma ideia inteligente de uma solução de VM autocontida com um clique que poderia ser armazenada em um disco criptografado usando negação plausível256 (consulte A rota do Whonix: primeiros capítulos e também para obter algumas explicações sobre negação plausível, bem como a seção Como excluir com segurança arquivos/pastas/dados específicos em seu HDD/SSD e unidades Thumb: no final deste guia para obter mais informações).


Isso permitiria a criação de um sistema híbrido que misturasse o Tails com as opções de virtualização da rota do Whonix neste guia.

Observação: consulte Escolha o método de conectividade na rota do Whonix para obter mais explicações sobre o Stream Isolation


Em resumo:

• Você poderia executar Tails não persistentes a partir de uma chave USB (seguindo as recomendações deles)
• Você pode armazenar VMs persistentes em um contêiner secundário que pode ser criptografado normalmente ou usando o recurso de negação plausível do Veracrypt (podem ser VMs do Whonix, por exemplo, ou qualquer outra).
• Você se beneficia do recurso adicional Tor Stream Isolation (consulte Tor over VPN para obter mais informações sobre o isolamento de fluxo).

Nesse caso, conforme descrito no projeto, não deve haver vestígios de nenhuma das suas atividades no computador, e o trabalho confidencial pode ser feito a partir de VMs armazenadas em um contêiner oculto que não deve ser facilmente descoberto por um adversário não autorizado.


Essa opção é particularmente interessante para "viajar com pouca bagagem" e para atenuar ataques forenses, mantendo a persistência em seu trabalho. Você só precisa de duas chaves USB (uma com o Tails e outra com um contêiner Veracrypt contendo o Whonix persistente). A primeira chave USB parecerá conter apenas o Tails e a segunda USB parecerá conter apenas lixo aleatório, mas terá um volume de engodo que você poderá mostrar para uma negação plausível.


Você também pode se perguntar se isso resultará em uma configuração "Tor sobre Tor", mas não resultará. As VMs do Whonix acessarão a rede diretamente pela clearnet e não pelo Tails Onion Routing.


No futuro, isso também poderá ser suportado pelo próprio projeto Whonix, conforme explicado aqui: https://www.whonix.org/wiki/Whonix-Host [Archive.org], mas ainda não é recomendado para usuários finais.


Lembre-se de que a criptografia, com ou sem negação plausível, não é uma bala de prata e será de pouca utilidade em caso de tortura. De fato, dependendo de quem seria o seu adversário (seu modelo de ameaça), talvez seja aconselhável não usar o Veracrypt (antigo TrueCrypt), conforme mostrado nesta demonstração: https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org]


A negação plausível só é eficaz contra adversários legais brandos que não recorrerão a meios físicos.


Consulte https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]


CUIDADO: consulte o Apêndice K: Considerações sobre o uso de unidades SSD externas e as seções Entendendo HDD vs SSD se considerar armazenar essas VMs ocultas em uma unidade SSD externa:

• Não use volumes ocultos em unidades SSD, pois isso não é suportado/recomendado pelo Veracrypt.
• Em vez disso, use contêineres de arquivos em vez de volumes criptografados.
• Certifique-se de saber como limpar corretamente os dados de uma unidade SSD externa.

Aqui está meu guia sobre como fazer isso:

Primeira execução.

• Faça o download da versão mais recente do HiddenVM em https://github.com/aforensics/HiddenVM/releases [Archive.org]
• Baixe a versão mais recente do Whonix XFCE em https://www.whonix.org/wiki/VirtualBox/XFCE [Archive.org]
• Prepare uma chave/drive USB com o Veracrypt
  
  • Crie um volume oculto na unidade USB/chave (eu recomendaria pelo menos 16 GB para o volume oculto)
  • No volume externo, coloque alguns arquivos de isca
  • No volume oculto, coloque o arquivo de imagem do aplicativo HiddenVM
  • No volume oculto, coloque o arquivo ova do Whonix XFCE.
• Inicialize no Tails
• Configure o layout do teclado como desejar.
• Selecione Additional Settings e defina uma senha de administrador (root) (necessária para instalar o HiddenVM)
• Inicie o Tails
• Conecte-se a uma rede wi-fi segura (essa é uma etapa necessária para que o restante funcione)
• Vá para Utilities e desbloqueie o volume Veracrypt (oculto) (não se esqueça de marcar a caixa de seleção do volume oculto)
• Inicie a imagem do aplicativo HiddenVM
• Quando solicitado a selecionar uma pasta, selecione a raiz do volume oculto (onde estão os arquivos de imagem do Whonix OVA e do aplicativo HiddenVM).
• Deixe que ele faça seu trabalho (isso basicamente instalará o Virtualbox no Tails com um clique)
• Quando terminar, ele deverá iniciar automaticamente o Virtualbox Manager.
• Importe os arquivos OVA do Whonix (consulte Máquinas virtuais do Whonix:)

Observe que, se durante a importação você estiver tendo problemas como "NS_ERROR_INVALID_ARG (0x80070057)", isso provavelmente se deve ao fato de não haver espaço suficiente em disco no volume oculto para o Whonix. O próprio Whonix recomenda 32 GB de espaço livre, mas isso provavelmente não é necessário e 10 GB devem ser suficientes para começar. Você pode tentar contornar esse erro renomeando o arquivo *.OVA do Whonix para *.TAR e descompactando-o no Tails. Quando terminar a descompressão, exclua o arquivo OVA e importe os outros arquivos com o assistente de importação. Dessa vez, talvez funcione.

Execuções subsequentes.

• Inicialização no Tails
• Conecte-se ao Wi-Fi
• Desbloqueie o volume oculto
• Inicie o aplicativo HiddenVM
• Isso deve abrir automaticamente o gerenciador do VirtualBox e mostrar suas VMs anteriores desde a primeira execução

 

[HEISENBERG]

Etapas para todas as outras rotas.

Obtenha um laptop dedicado para suas atividades confidenciais.

O ideal é obter um laptop dedicado que não seja vinculado a você de forma fácil (de preferência pago em dinheiro anonimamente e usando as mesmas precauções mencionadas anteriormente para o telefone e o cartão SIM). Isso é recomendado, mas não obrigatório, pois este guia o ajudará a fortalecer seu laptop o máximo possível para evitar vazamentos de dados por vários meios. Haverá várias linhas de defesa entre as suas identidades on-line e você mesmo, o que deve impedir que a maioria dos adversários o desanonimize, além de agentes estatais/globais com recursos consideráveis.


O ideal é que esse laptop seja um laptop limpo e recém-instalado (executando Windows, Linux ou MacOS), limpo de suas atividades diárias normais e off-line (nunca conectado à rede ainda). No caso de um laptop Windows, e se você o usou antes dessa instalação limpa, ele também não deve ser ativado (reinstalado sem uma chave de produto). Especificamente no caso de MacBooks, ele nunca deve ter sido vinculado à sua identidade antes, de forma alguma. Portanto, compre de segunda mão com dinheiro de um desconhecido que não conheça sua identidade


Isso é para atenuar alguns problemas futuros em caso de vazamentos on-line (incluindo telemetria do seu sistema operacional ou aplicativos) que poderiam comprometer qualquer identificador exclusivo do laptop durante o uso (endereço MAC, endereço Bluetooth e chave do produto...). Mas também para evitar ser rastreado caso precise se desfazer do laptop.


Se você usou esse laptop anteriormente para diferentes finalidades (como suas atividades diárias), todos os identificadores de hardware provavelmente são conhecidos e registrados pela Microsoft ou pela Apple. Se, mais tarde, algum desses identificadores for comprometido (por malware, telemetria, explorações, erros humanos...), eles poderão levá-lo de volta a você.


O laptop deve ter pelo menos 250 GB de espaço em disco , pelo menos 6 GB (idealmente 8 GB ou 16 GB) de RAM e deve ser capaz de executar duas máquinas virtuais ao mesmo tempo. Ele deve ter uma bateria que funcione por algumas horas.


Esse laptop pode ter um HDD (7200 rpm) ou uma unidade SSD/NVMe. Ambas as possibilidades têm seus benefícios e problemas que serão detalhados posteriormente.


O ideal é que todas as futuras etapas on-line realizadas com esse laptop sejam feitas em uma rede segura, como uma Wi-Fi pública em um local seguro (consulte Encontrar alguns locais seguros com Wi-Fi pública decente). Mas várias etapas terão de ser realizadas off-line primeiro.

 

[HEISENBERG]

Algumas recomendações para laptops.

Se puder pagar, considere a possibilidade de adquirir um laptop Purism Librem(https://puri.sm [Archive.org]) ou System76(https://system76.com/ [Archive.org]) enquanto estiver usando o Coreboot (em que o Intel IME é desativado de fábrica).


Em outros casos, eu recomendaria fortemente a aquisição de laptops de nível comercial (ou seja, não de nível de consumidor/jogos), se possível. Por exemplo, alguns ThinkPad da Lenovo (meu favorito). Aqui estão as listas de laptops que atualmente suportam o Libreboot e outros em que você mesmo pode fazer o flash do Coreboot (que permitirá desativar o Intel IME ou o AMD PSP):

• https://freundschafter.com/research...-intel-me-iamt-and-amd-psp-secure-technology/ [Archive.org]
• https://libreboot.org/docs/hardware/ [Archive.org]
• https://coreboot.org/status/board-status.html [Archive.org]

Isso ocorre porque esses laptops comerciais geralmente oferecem recursos de segurança melhores e mais personalizáveis (especialmente nas configurações do BIOS/UEFI) com suporte mais longo do que a maioria dos laptops de consumo (Asus, MSI, Gigabyte, Acer...). Os recursos interessantes a serem procurados são, na minha opinião:

• Melhores configurações personalizadas de inicialização segura (onde você pode gerenciar seletivamente todas as chaves e não apenas usar as padrão)
• Senhas de HDD/SSD, além de apenas senhas de BIOS/UEFI.
• Os laptops da AMD podem ser mais interessantes, pois alguns oferecem a possibilidade de desativar o AMD PSP (o equivalente da AMD ao Intel IME) nas configurações do BIOS/UEFI por padrão. E, como AFAIK, o AMD PSP foi auditado e, ao contrário do IME, não foi encontrado nenhum recurso "maligno". No entanto, se estiver optando pelo Qubes OS Route, considere a Intel, pois ela não oferece suporte à AMD com seu sistema anti-máfia.
• Ferramentas Secure Wipe do BIOS (especialmente úteis para unidades SSD/NVMe, consulte o Apêndice M: opções do BIOS/UEFI para limpar discos em várias marcas).
• Melhor controle sobre a desativação/inativação de periféricos selecionados (portas USB, Wi-Fi, Bluetooth, câmera, microfone...).
• Melhores recursos de segurança com a virtualização.
• Proteções nativas contra adulteração.
• Suporte mais longo com atualizações do BIOS/UEFI (e atualizações de segurança subsequentes do BIOS/UEFI).
• Alguns são suportados pelo Libreboot

 

[HEISENBERG]

Configurações de Bios/UEFI/Firmware de seu laptop.

PC.

Essas configurações podem ser acessadas por meio do menu de inicialização do seu laptop. Aqui está um bom tutorial da HP que explica todas as maneiras de acessar o BIOS em vários computadores: https://store.hp.com/us/en/tech-takes/how-to-enter-bios-setup-windows-pcs [Archive.org]


Normalmente, para acessá-la, é necessário pressionar uma tecla específica (F1, F2 ou Del) na inicialização (antes do sistema operacional).


Quando estiver lá, você precisará aplicar algumas configurações recomendadas:

• Desative completamente o Bluetooth, se possível.
• Se possível, desative a biometria (scanners de impressões digitais), caso tenha algum. No entanto, você pode adicionar uma verificação biométrica adicional apenas para a inicialização (pré-inicialização), mas não para acessar as configurações do BIOS/UEFI.
• Desative a webcam e o microfone, se possível.
• Habilite a senha do BIOS/UEFI e use uma frase secreta longa em vez de uma senha (se possível) e certifique-se de que essa senha seja necessária para:
  
  • Acessar as próprias configurações do BIOS/UEFI
  • Alterar a ordem de inicialização
  • Inicialização/ligação do dispositivo
• Ativar a senha do HDD/SSD se o recurso estiver disponível. Esse recurso adicionará outra senha no próprio HDD/SSD (não no firmware do BIOS/UEFI) que impedirá que esse HDD/SSD seja usado em um computador diferente sem a senha. Observe que esse recurso também é específico de alguns fabricantes e pode exigir um software específico para desbloquear esse disco em um computador completamente diferente.
• Evite acessar as opções de inicialização (a ordem de inicialização) sem fornecer a senha do BIOS/UEFI, se possível.
• Desative a porta USB/HDMI ou qualquer outra porta (Ethernet, Firewire, cartão SD...), se possível.
• Desative o Intel ME, se possível.
• Desative o AMD PSP, se possível (o equivalente da AMD ao IME, consulte Sua CPU)
• Desative a inicialização segura se você pretende usar o QubesOS, pois ele não é compatível com ele desde o início. Mantenha-o ativado se você pretende usar o Linux/Windows.
• Verifique se o BIOS do laptop tem uma opção de apagamento seguro para o HDD/SSD, o que pode ser conveniente em caso de necessidade.

Ative-as somente quando for necessário e desative-as novamente após o uso. Isso pode ajudar a atenuar alguns ataques no caso de o laptop ser apreendido enquanto estiver bloqueado, mas ainda ligado OU se você tiver que desligá-lo rapidamente e alguém se apossar dele (esse tópico será explicado mais adiante neste guia).

Sobre a inicialização segura.

Em resumo, é um recurso de segurança UEFI projetado para impedir que o computador inicialize um sistema operacional cujo carregador de inicialização não tenha sido assinado por chaves específicas armazenadas no firmware UEFI do laptop.


Basicamente, quando os sistemas operacionais (ou o carregador de inicialização) são compatíveis, é possível armazenar as chaves do carregador de inicialização no firmware UEFI, o que impedirá a inicialização de qualquer sistema operacional não autorizado (como um live OS USB ou algo semelhante).


As configurações de inicialização segura são protegidas pela senha que você configurou para acessar as configurações do BIOS/UEFI. Se você tiver essa senha, poderá desativar a inicialização segura e permitir que sistemas operacionais não assinados sejam inicializados no sistema. Isso pode ajudar a atenuar alguns ataques do Evil-Maid (explicados mais adiante neste guia).


Na maioria dos casos, a inicialização segura está desativada por padrão ou está ativada, mas no modo de "configuração", o que permitirá que qualquer sistema seja inicializado. Para que a inicialização segura funcione, o seu sistema operacional deverá oferecer suporte a ela e, em seguida, assinar o carregador de inicialização e enviar essas chaves de assinatura para o firmware UEFI. Depois disso, será necessário acessar as configurações do BIOS/UEFI, salvar essas chaves enviadas pelo sistema operacional e alterar a inicialização segura do modo de configuração para o modo de usuário (ou modo personalizado em alguns casos).


Depois de realizar essa etapa, somente os sistemas operacionais dos quais o firmware UEFI pode verificar a integridade do carregador de inicialização poderão inicializar.


A maioria dos laptops terá algumas chaves padrão já armazenadas nas configurações de inicialização segura. Normalmente, essas chaves são do próprio fabricante ou de algumas empresas, como a Microsoft. Portanto, isso significa que, por padrão, sempre será possível inicializar alguns discos USB, mesmo com a inicialização segura. Isso inclui o Windows, o Fedora, o Ubuntu, o Mint, o Debian, o CentOS, o OpenSUSE, o Tails, o Clonezilla e muitos outros. No entanto, a inicialização segura não é compatível com o QubesOS até o momento.


Em alguns laptops, você pode gerenciar essas chaves e remover as que não deseja com um "modo personalizado" para autorizar apenas o seu próprio carregador de inicialização, que você mesmo pode assinar se realmente quiser.


Então, do que o Secure Boot está protegendo você? Ele protegerá seu laptop contra a inicialização de carregadores de inicialização não assinados (pelo provedor do sistema operacional) com, por exemplo, malware injetado.


Do que o Secure Boot não está protegendo você?

• O Secure Boot não criptografa o disco e um adversário ainda pode simplesmente remover o disco do laptop e extrair dados dele usando uma máquina diferente. Portanto, a inicialização segura é inútil sem a criptografia completa do disco.
• A inicialização segura não está protegendo você de um carregador de inicialização assinado que seria comprometido e assinado pelo próprio fabricante (a Microsoft, por exemplo, no caso do Windows). Atualmente, a maioria das distribuições Linux convencionais é assinada e inicializa com o Secure Boot ativado.
• A inicialização segura pode ter falhas e explorações como qualquer outro sistema. Se você estiver usando um laptop antigo que não se beneficia das novas atualizações do BIOS/UEFI, essas falhas podem não ser corrigidas.

Além disso, há vários ataques que podem ser possíveis contra a inicialização segura, conforme explicado (em detalhes) nestes vídeos técnicos:

• Defcon 22,
  [Invidious]
• BlackHat 2016,
  [Invidious]

Portanto, ele pode ser útil como uma medida adicional contra alguns adversários, mas não contra todos. A inicialização segura, por si só, não criptografa o disco rígido. É uma camada adicional, mas é só isso.


Ainda assim, recomendo que você o mantenha ativado, se possível.

Mac.

Reserve um momento para definir uma senha de firmware de acordo com o tutorial aqui: https://support.apple.com/en-au/HT204455 [Archive.org]


Você também deve ativar a proteção de redefinição de senha do firmware (disponível no Catalina) de acordo com a documentação aqui: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org]


Esse recurso reduzirá a possibilidade de alguns adversários usarem hacks de hardware para desativar/contornar a senha do firmware. Observe que isso também impedirá que a própria Apple acesse o firmware em caso de reparo.

 

[HEISENBERG]

Proteja fisicamente seu laptop contra violações.

Em algum momento, você inevitavelmente deixará esse laptop sozinho em algum lugar. Você não dormirá com ele nem o levará para todos os lugares todos os dias. Você deve tornar o mais difícil possível que alguém o adultere sem que você perceba. Isso é útil principalmente contra alguns adversários limitados que não usarão uma chave inglesa de US$ 5 contra você.


É importante saber que é trivialmente fácil para alguns especialistas instalar um key logger em seu laptop ou simplesmente fazer uma cópia clonada de seu disco rígido, o que poderia permitir que eles detectassem a presença de dados criptografados nele usando técnicas forenses (mais sobre isso adiante).


Aqui está um bom método barato para tornar seu laptop inviolável usando esmalte de unha (com glitter) https://mullvad.net/en/help/how-tamper-protect-laptop/ [Archive.org] (com fotos).


Embora esse seja um bom método barato, ele também pode levantar suspeitas, pois é bastante "perceptível" e pode revelar que você "tem algo a esconder". Portanto, há maneiras mais sutis de obter o mesmo resultado. Você também pode, por exemplo, tirar uma fotografia macro dos parafusos traseiros do laptop ou usar uma quantidade muito pequena de cera de vela em um dos parafusos, que pode parecer uma sujeira comum. Em seguida, você pode verificar se há adulteração comparando as fotografias dos parafusos com as novas. A orientação deles pode ter mudado um pouco se o seu adversário não tiver sido cuidadoso o suficiente (apertando-os exatamente da mesma forma que estavam antes). Ou a cera na parte inferior da cabeça de um parafuso pode ter sido danificada em comparação com a anterior.

As mesmas técnicas podem ser usadas com portas USB, nas quais você poderia simplesmente colocar uma pequena quantidade de cera de vela no plugue, que seria danificada ao inserir uma chave USB nele.


Em ambientes mais arriscados, verifique se há adulteração em seu laptop antes de usá-lo regularmente.

 

[HEISENBERG]

A rota da Whonix.

Escolha do sistema operacional host (o sistema operacional instalado em seu laptop).

Essa rota fará uso extensivo de máquinas virtuais, que exigirão um sistema operacional host para executar o software de virtualização. Você tem três opções recomendadas nesta parte do guia:

• Sua distribuição Linux preferida (excluindo o sistema operacional Qubes)
• Windows 10 (de preferência a edição Home devido à ausência do Bitlocker)
• MacOS (Catalina ou superior)

Além disso, há grandes chances de que o seu Mac esteja ou tenha sido vinculado a uma conta da Apple (no momento da compra ou após o login) e, portanto, seus identificadores de hardware exclusivos podem levá-lo de volta a você em caso de vazamento de identificadores de hardware.


O Linux também não é necessariamente a melhor opção para o anonimato, dependendo do seu modelo de ameaça. Isso ocorre porque o uso do Windows nos permitirá usar convenientemente a negação plausível (também conhecida como criptografia negável) com facilidade no nível do sistema operacional. Infelizmente, o Windows também é, ao mesmo tempo, um pesadelo para a privacidade, mas é a única opção (conveniente) para usar a negação plausível em todo o sistema operacional. A telemetria e o bloqueio de telemetria do Windows também são amplamente documentados, o que deve atenuar muitos problemas.


Então, o que é negação plausível? É a capacidade de cooperar com um adversário que solicita acesso ao seu dispositivo/dados sem revelar seu verdadeiro segredo. Tudo isso usando a criptografia negável.


Um adversário legal e brando poderia solicitar a senha criptografada do seu laptop. A princípio, você poderia se recusar a fornecer qualquer senha (usando seu "direito de permanecer em silêncio", "direito de não se incriminar"), mas alguns países estão implementando leis que isentam esses direitos (porque os terroristas e "pensam nas crianças"). Nesse caso, talvez você tenha que revelar a senha ou talvez seja preso por desacato ao tribunal. É aqui que a negação plausível entrará em ação.


Você poderia então revelar uma senha, mas essa senha só daria acesso a "dados plausíveis" (um sistema operacional falso). A perícia estará ciente de que é possível que você tenha ocultado dados, mas não poderá provar isso (se você fizer isso corretamente). Você terá cooperado e os investigadores terão acesso a algo, mas não ao que você realmente deseja ocultar. Como o ônus da prova deve estar do lado deles, eles não terão outra opção a não ser acreditar em você, a menos que tenham uma prova de que você tem dados ocultos.


Esse recurso pode ser usado no nível do sistema operacional (um sistema operacional plausível e um sistema operacional oculto) ou no nível dos arquivos, em que você terá um contêiner de arquivos criptografados (semelhante a um arquivo zip) em que arquivos diferentes serão exibidos dependendo da senha de criptografia usada.


Isso também significa que você pode definir sua própria configuração avançada de "negação plausível" usando qualquer sistema operacional host, armazenando, por exemplo, máquinas virtuais em um contêiner de volume oculto do Veracrypt (tenha cuidado com os rastros no sistema operacional host que precisariam ser limpos se o sistema operacional host for persistente; consulte a seção Algumas medidas adicionais contra perícia mais adiante). Há um projeto para conseguir isso no Tails(https://github.com/aforensics/HiddenVM [Archive.org]) que tornaria seu sistema operacional host não persistente e usaria a negação plausível no Tails.


No caso do Windows, a negação plausível também é o motivo pelo qual o ideal é que você tenha o Windows 10 Home (e não o Pro). Isso ocorre porque o Windows 10 Pro oferece nativamente um sistema de criptografia de disco completo (Bitlocker), enquanto o Windows 10 Home não oferece nenhum tipo de criptografia de disco completo. Mais tarde, usaremos um software de código aberto de terceiros para criptografia que permitirá a criptografia de disco completo no Windows 10 Home. Isso lhe dará uma boa desculpa (plausível) para usar esse software. Já o uso desse software no Windows 10 Pro seria suspeito.


Observação sobre o Linux: Então, o que dizer do Linux e da negação plausível? Sim, é possível obter uma negação plausível com o Linux também. Mas a configuração é complicada e, na minha opinião, requer um nível de habilidade alto o suficiente para que você provavelmente não precise deste guia para ajudá-lo a tentar.


Infelizmente, a criptografia não é mágica e há alguns riscos envolvidos:

Ameaças com a criptografia.

A chave inglesa de 5 dólares.

Lembre-se de que a criptografia, com ou sem negação plausível, não é uma bala de prata e será de pouca utilidade em caso de tortura. De fato, dependendo de quem seria o seu adversário (seu modelo de ameaça), talvez seja prudente não usar o Veracrypt (antigo TrueCrypt), conforme mostrado nesta demonstração: https://defuse.ca/truecrypt-plausible-deniability-useless-by-game-theory.htm [Archive.org]


A negação plausível só é eficaz contra adversários legais e brandos que não recorrerão a meios físicos. Evite, se possível, o uso de software com capacidade de negação plausível (como o Veracrypt) se o seu modelo de ameaça incluir adversários difíceis. Portanto, os usuários do Windows devem, nesse caso, instalar o Windows Pro como sistema operacional host e usar o Bitlocker.


Consulte https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org]

Ataque da Evil-Maid.

Os ataques Evil Maid são realizados quando alguém mexe no seu laptop enquanto você está ausente. Para instalar a clonagem do disco rígido, instale malware ou um key logger. Se eles puderem clonar o disco rígido, poderão comparar uma imagem do disco rígido no momento em que o pegaram enquanto você estava fora com o disco rígido quando o apreenderam. Se você usou o laptop novamente nesse intervalo, os examinadores forenses poderão provar a existência dos dados ocultos observando as variações entre as duas imagens no que deveria ser um espaço vazio/não utilizado. Isso pode levar a uma forte evidência da existência de dados ocultos. Se instalarem um key logger ou malware em seu laptop (software ou hardware), eles poderão simplesmente obter a senha de você para uso posterior quando o apreenderem. Esses ataques podem ser feitos em sua casa, em seu hotel, em um posto de fronteira ou em qualquer lugar onde você deixe seus dispositivos sem supervisão.


Você pode atenuar esse ataque fazendo o seguinte (conforme recomendado anteriormente):

• Tenha uma proteção básica contra violação (conforme explicado anteriormente) para impedir o acesso físico aos componentes internos do laptop sem o seu conhecimento. Isso evitará que clonem seus discos e instalem um key logger físico sem o seu conhecimento.
• Desative todas as portas USB (conforme explicado anteriormente) em um BIOS/UEFI protegido por senha. Novamente, eles não poderão ativá-las (sem acessar fisicamente a placa-mãe para redefinir o BIOS) para inicializar um dispositivo USB que poderia clonar o disco rígido ou instalar um malware baseado em software que poderia atuar como um key logger.
• Configure senhas de BIOS/UEFI/Firmware para evitar qualquer inicialização não autorizada de um dispositivo não autorizado.
• Alguns sistemas operacionais e softwares de criptografia têm proteção anti-EvilMaid que pode ser ativada. Esse é o caso do Windows/Veracrypt e do QubeOS.

Ataque de inicialização a frio.

Os ataques de inicialização a frio são mais complicados do que o ataque da Evil Maid, mas podem fazer parte de um ataque da Evil Maid, pois exigem que um adversário tome posse do seu laptop enquanto você estiver usando ativamente o dispositivo ou logo depois.


A ideia é bastante simples, conforme mostrado neste vídeo, um adversário poderia, teoricamente, inicializar rapidamente seu dispositivo com uma chave USB especial que copiaria o conteúdo da RAM (a memória) do dispositivo depois que você o desligasse. Se as portas USB estiverem desativadas ou se ele achar que precisa de mais tempo, poderá abrir o dispositivo e "resfriar" a memória usando um spray ou outros produtos químicos (nitrogênio líquido, por exemplo), evitando que a memória se deteriore. Eles poderiam então copiar seu conteúdo para análise. Esse despejo de memória poderia conter a chave para descriptografar seu dispositivo. Mais adiante, aplicaremos alguns princípios para atenuar esses problemas.


No caso da negação plausível, houve alguns estudos forenses sobre como provar tecnicamente a presença dos dados ocultos com um simples exame forense (sem uma inicialização a frio/ataque da Evil Maid), mas eles foram contestados por outros estudos e pelo mantenedor do Veracrypt, portanto, eu não me preocuparia muito com isso ainda.


As mesmas medidas usadas para atenuar os ataques da Evil Maid devem estar em vigor para os ataques de inicialização a frio, com algumas medidas adicionais:

• Se o seu sistema operacional ou software de criptografia permitir isso, considere criptografar as chaves na RAM também (isso é possível com o Windows/Veracrypt e será explicado mais adiante)
• Você deve limitar o uso do modo de espera Sleep e, em vez disso, usar Shutdown ou Hibernate para evitar que as chaves de criptografia permaneçam na RAM quando o computador entrar em modo de espera. Isso ocorre porque o modo de suspensão manterá a energia da memória para retomar a atividade mais rapidamente. Somente a hibernação e o desligamento realmente limparão a chave da memória.

Consulte também https://www.whonix.org/wiki/Cold_Boot_Attack_Defense [Archive.org ] e https://www.whonix.org/wiki/Protection_Against_Physical_Attacks [Archive.org]


Aqui estão também algumas ferramentas interessantes a serem consideradas pelos usuários do Linux para se defenderem contra isso:

• https://github.com/0xPoly/Centry [Archive.org] (infelizmente, parece que não foi mantido, então fiz uma bifurcação e uma atualização de solicitação pull para o Veracrypt https://github.com/AnonymousPlanet/Centry [Archive.org], que ainda deve funcionar)
• https://github.com/hephaest0s/usbkill [Archive.org] (infelizmente, parece que também não foi mantido)
• https://github.com/Lvl4Sword/Killer [Archive.org]
• https://askubuntu.com/questions/153245/how-to-wipe-ram-on-shutdown-prevent-cold-boot-attacks [Archive.org]
• (SO Qubes, somente CPU Intel) https://github.com/QubesOS/qubes-antievilmaid [Archive.org]

Sobre suspensão, hibernação e desligamento.

Se quiser maior segurança, você deve desligar completamente o laptop sempre que deixá-lo sem supervisão ou fechar a tampa. Isso deve limpar e/ou liberar a RAM e fornecer atenuações contra ataques de inicialização a frio. No entanto, isso pode ser um pouco inconveniente, pois você terá que reiniciar completamente e digitar uma tonelada de senhas em vários aplicativos. Reiniciar várias VMs e outros aplicativos. Portanto, em vez disso, você também pode usar a hibernação (não compatível com o sistema operacional Qubes). Como todo o disco está criptografado, a hibernação em si não deve representar um grande risco de segurança, mas ainda assim desligará o laptop e limpará a memória, permitindo que você retome o trabalho de forma conveniente depois. O que você nunca deve fazer é usar o recurso padrão de suspensão, que manterá o computador ligado e a memória energizada. Esse é um vetor de ataque contra os ataques evil-maid e cold-boot discutidos anteriormente. Isso ocorre porque a memória ligada contém as chaves de criptografia do seu disco (criptografado ou não) e pode ser acessada por um adversário habilidoso.


Este guia fornecerá orientações posteriores sobre como ativar a hibernação em vários sistemas operacionais host (exceto o sistema operacional Qubes) se você não quiser desligar todas as vezes.

Vazamentos de dados locais (rastros) e exame forense.

Conforme mencionado anteriormente, são vazamentos de dados e rastros do sistema operacional e dos aplicativos quando você realiza qualquer atividade no computador. Eles se aplicam principalmente a contêineres de arquivos criptografados (com ou sem negação plausível) do que à criptografia em todo o sistema operacional. Esses vazamentos são menos "importantes" se todo o seu sistema operacional estiver criptografado (se você não for obrigado a revelar a senha).


Digamos, por exemplo, que você tenha uma chave USB criptografada pelo Veracrypt com a negação plausível ativada. Dependendo da senha que você usar ao montar a chave USB, ela abrirá uma pasta de isca ou a pasta confidencial. Nessas pastas, você terá documentos/dados de engodo dentro da pasta de engodo e documentos/dados confidenciais dentro da pasta confidencial.


Em todos os casos, você (muito provavelmente) abrirá essas pastas com o Windows Explorer, o MacOS Finder ou qualquer outro utilitário e fará o que planejou fazer. Talvez você edite um documento dentro da pasta confidencial. Talvez você pesquise um documento dentro da pasta. Talvez você exclua um ou assista a um vídeo confidencial usando o VLC.


Bem, todos esses aplicativos e seu sistema operacional podem manter registros e rastros desse uso. Isso pode incluir o caminho completo da pasta/arquivos/drives, o horário em que foram acessados, caches temporários desses arquivos, as listas "recentes" em cada aplicativo, o sistema de indexação de arquivos que pode indexar a unidade e até mesmo miniaturas que podem ser geradas


Aqui estão alguns exemplos de tais vazamentos:

Windows.

• ShellBags do Windows que são armazenados no Registro do Windows, armazenando silenciosamente vários históricos de volumes/arquivos/pastas acessados.
• Indexação do Windows que mantém rastros dos arquivos presentes na sua pasta de usuário por padrão.
• Listas recentes (também conhecidas como Jump Lists) no Windows e em vários aplicativos que mantêm rastros de documentos acessados recentemente.
• Muitos outros rastros em vários registros, consulte este pôster interessante e conveniente para obter mais informações: https://www.sans.org/security-resources/posters/windows-forensic-analysis/170/download [Archive.org]

MacOS.

• O Gatekeeper290 e o XProtect mantêm o controle do seu histórico de downloads em um banco de dados local e nos atributos dos arquivos.
• Indexação do Spotlight
• Listas recentes em vários aplicativos, mantendo rastros de documentos acessados recentemente.
• Pastas temporárias que mantêm vários rastros do uso de aplicativos e documentos.
• Registros do MacOS
• ...

Linux.

• Indexação do rastreador
• Histórico do Bash
• Registros USB
• Listas recentes em vários aplicativos que mantêm rastros de documentos acessados recentemente.
• Registros do Linux
• ...

A perícia pode usar todos esses vazamentos (consulte Vazamentos de dados locais e perícia) para provar a existência de dados ocultos e derrotar suas tentativas de usar negação plausível e descobrir suas várias atividades confidenciais.


Portanto, será importante aplicar várias etapas para impedir que a perícia faça isso, evitando e limpando esses vazamentos/rastreamentos e, o que é mais importante, usando criptografia de todo o disco, virtualização e compartimentalização.


A perícia não pode extrair vazamentos de dados locais de um sistema operacional que não pode ser acessado. E você poderá limpar a maioria desses rastros limpando a unidade ou apagando com segurança suas máquinas virtuais (o que não é tão fácil quanto você pensa em unidades SSD).


No entanto, algumas técnicas de limpeza serão abordadas na parte "Cover your Tracks" deste guia, bem no final.

Vazamentos de dados on-line.

Se você estiver usando criptografia simples ou criptografia de negação plausível. Mesmo que tenha coberto seus rastros no próprio computador. Ainda há o risco de vazamentos de dados on-line que podem revelar a presença de dados ocultos.


A telemetria é sua inimiga. Conforme explicado anteriormente neste guia, a telemetria dos sistemas operacionais, mas também dos aplicativos, pode enviar quantidades surpreendentes de informações privadas on-line.


No caso do Windows, esses dados poderiam, por exemplo, ser usados para provar a existência de um SO/volume oculto em um computador e estariam prontamente disponíveis na Microsoft. Portanto, é extremamente importante que você desative e bloqueie a telemetria com todos os meios à sua disposição. Independentemente do sistema operacional que estiver usando.

Conclusão.

Você nunca deve realizar atividades confidenciais em um sistema não criptografado. E, mesmo que seja criptografado, você provavelmente nunca deve realizar atividades confidenciais no próprio sistema operacional host. Em vez disso, você deve usar uma VM para poder isolar e compartimentar suas atividades de forma eficiente e evitar vazamentos de dados locais.


Se você tiver pouco ou nenhum conhecimento de Linux ou se quiser usar a negação plausível de todo o sistema operacional, eu recomendaria usar o Windows (ou voltar para a rota Tails) por conveniência. Este guia o ajudará a fortalecer o máximo possível o sistema para evitar vazamentos. Este guia também o ajudará a fortalecer o MacOS e o Linux o máximo possível para evitar vazamentos semelhantes.


Se você não tiver interesse na negação plausível de todo o sistema operacional e quiser aprender a usar o Linux, recomendo enfaticamente que opte pelo Linux ou pela rota Qubes, se o seu hardware permitir.


Em todos os casos, o sistema operacional host nunca deve ser usado para realizar atividades confidenciais diretamente. O sistema operacional host será usado apenas para se conectar a um ponto de acesso Wi-Fi público. Ele não será usado enquanto você realiza atividades confidenciais e, idealmente, não deve ser usado para nenhuma de suas atividades diárias.


Considere ler também https://www.whonix.org/wiki/Full_Disk_Encryption#Encrypting_Whonix_VMs [Archive.org]

 

[HEISENBERG]

Sistema operacional host Linux.

Conforme mencionado anteriormente, não recomendo usar seu laptop diário para atividades muito sensíveis. Ou, pelo menos, não recomendo usar seu sistema operacional local para isso. Fazer isso pode resultar em vazamentos indesejados de dados que podem ser usados para tirar seu anonimato. Se você tiver um laptop dedicado a isso, deverá reinstalar um sistema operacional novo e limpo. Se não quiser limpar o laptop e começar tudo de novo, considere a rota Tails ou prossiga por sua própria conta e risco.


Também recomendo que você faça a instalação inicial completamente off-line para evitar qualquer vazamento de dados.


Lembre-se sempre de que, apesar da reputação, as principais distribuições do Linux (Ubuntu, por exemplo) não são necessariamente melhores em termos de segurança do que outros sistemas, como MacOS e Windows. Consulte esta referência para entender por que https://madaidans-insecurities.github.io/linux.html [Archive.org].

Criptografia completa de disco.

Há duas possibilidades aqui com o Ubuntu:

• (Recomendada e fácil) Criptografar como parte do processo de instalação: https://ubuntu.com/tutorials/install-ubuntu-desktop [Archive.org]
  
  • Esse processo requer o apagamento completo de toda a unidade (instalação limpa).
  • Basta marcar a opção "Encrypt the new Ubuntu installation for security" (Criptografar a nova instalação do Ubuntu para segurança)
• (Tediante, mas possível) Criptografar após a instalação: https://help.ubuntu.com/community/ManualFullSystemEncryption [Archive.org]

Para outras distribuições, você terá que se documentar, mas provavelmente será semelhante. A criptografia durante a instalação é muito mais fácil no contexto deste guia.

Rejeitar/desativar qualquer telemetria.

• Durante a instalação, certifique-se de não permitir nenhuma coleta de dados, se solicitado.
• Se não tiver certeza, certifique-se de que não habilitou nenhuma telemetria e siga este tutorial, se necessário https://vitux.com/how-to-force-ubuntu-to-stop-collecting-your-data-from-your-pc/ [Archive.org]
• Qualquer outra distribuição: Você precisará documentar a si mesmo e descobrir como desativar a telemetria, se houver alguma.

Desative tudo o que for desnecessário.

• Desative o Bluetooth, se estiver ativado, seguindo este guia https://www.addictivetips.com/ubuntu-linux-tips/disable-bluetooth-in-ubuntu/ [Archive.org] ou emitindo o seguinte comando:
  
  • sudo systemctl disable bluetooth.service --force
• Desative a indexação, se ativada por padrão (Ubuntu >19.04), seguindo este guia https://www.linuxuprising.com/2019/07/how-to-completely-disable-tracker.html [Archive.org] ou emitindo os seguintes comandos:
  
  • sudo systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service
    
    • Você pode ignorar com segurança qualquer erro se ele disser que algum serviço não existe
  • sudo tracker reset -hard

Hibernação.

Conforme explicado anteriormente, você não deve usar os recursos de suspensão, mas sim desligar ou hibernar o laptop para atenuar alguns ataques de malfeitores e de inicialização a frio. Infelizmente, esse recurso é desativado por padrão em muitas distribuições Linux, incluindo o Ubuntu. É possível ativá-lo, mas ele pode não funcionar como esperado. Siga essas informações por sua própria conta e risco. Se não quiser fazer isso, você nunca deve usar a função sleep e, em vez disso, deve desligar (e provavelmente definir o comportamento de fechamento da tampa para desligar em vez de dormir).


Siga um destes tutoriais para ativar o Hibernate:

• https://www.how2shout.com/linux/how-to-hibernate-ubuntu-20-04-lts-focal-fossa/ [Archive.org]
• http://www.lorenzobettini.it/2020/07/enabling-hibernation-on-ubuntu-20-04/ [Archive.org]
• https://blog.ivansmirnov.name/how-to-set-up-hibernate-on-ubuntu-20-04/ [Archive.org]

Depois que o Hibernate estiver ativado, altere o comportamento para que o laptop hiberne quando você fechar a tampa seguindo este tutorial para o Ubuntu 20.04 http://ubuntuhandbook.org/index.php/2020/05/lid-close-behavior-ubuntu-20-04/ [Archive.org] e este tutorial para o Ubuntu 18.04 https://tipsonubuntu.com/2018/04/28/change-lid-close-action-ubuntu-18-04-lts/ [Archive.org]


Infelizmente, isso não limpará a chave da memória diretamente da memória ao hibernar. Para evitar isso ao custo de algum desempenho, você pode considerar a criptografia do arquivo de troca seguindo este tutorial: https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap [Archive.org]


Essas configurações devem atenuar os ataques de inicialização a frio se você puder hibernar com rapidez suficiente.

Habilite a randomização de endereços MAC.

• Ubuntu, siga estas etapas https://help.ubuntu.com/community/AnonymizingNetworkMACAddresses [Archive.org].
• Qualquer outra distribuição: você terá de encontrar a documentação por conta própria, mas ela deve ser bastante semelhante ao tutorial do Ubuntu.
• Considere este tutorial que ainda deve funcionar: https://josh.works/shell-script-basics-change-mac-address [Archive.org]

Hardening Linux.

Como uma introdução leve para novos usuários do Linux, considere

[Invidious]


Para opções mais aprofundadas e avançadas, consulte:

• Este excelente guia: https://madaidans-insecurities.github.io/guides/linux-hardening.html [Archive.org]
• Este excelente recurso wiki: https://wiki.archlinux.org/title/Security [Archive.org]
• Estes excelentes scripts baseados no guia e no wiki acima: https://codeberg.org/SalamanderSecurity/PARSEC [Archive.org]

Configuração de um navegador seguro.

Consulte o Apêndice G: Navegador seguro no sistema operacional do host

 

[HEISENBERG]

Sistema operacional MacOS Host.

Observação: no momento, este guia não é compatível com MacBooks ARM M1 (ainda). Devido ao fato de o Virtualbox ainda não oferecer suporte a essa arquitetura. No entanto, isso pode ser possível se você usar ferramentas comerciais como VMWare ou Parallels, mas elas não são abordadas neste guia.


Como mencionado anteriormente, não recomendo usar seu laptop diário para atividades muito sensíveis. Ou, pelo menos, não recomendo usar seu sistema operacional local para essas atividades. Fazer isso pode resultar em vazamentos de dados indesejados que podem ser usados para tirar seu anonimato. Se você tiver um laptop dedicado a isso, deverá reinstalar um sistema operacional novo e limpo. Se não quiser limpar o laptop e começar tudo de novo, considere a rota Tails ou prossiga por sua própria conta e risco.


Também recomendo que você faça a instalação inicial completamente off-line para evitar qualquer vazamento de dados.


Jamais faça login com sua conta Apple usando esse Mac.

Durante a instalação.

• Fique off-line
• Desative todas as solicitações de compartilhamento de dados quando solicitado, inclusive os serviços de localização
• Não faça login na Apple
• Não ative a Siri

Fortalecimento do macOS.

Como uma introdução leve para novos usuários do macOS, considere

[Invidious]


Agora, para se aprofundar mais na proteção e no fortalecimento do MacOS, recomendo a leitura deste guia do GitHub, que deve cobrir muitas das questões: https://github.com/drduh/macOS-Security-and-Privacy-Guide [Archive.org]


Aqui estão as etapas básicas que você deve seguir após a instalação off-line:

Habilite a senha do firmware com a opção "disable-reset-capability".

Primeiro, você deve configurar uma senha de firmware seguindo este guia da Apple: https://support.apple.com/en-us/HT204455 [Archive.org]


Infelizmente, alguns ataques ainda são possíveis e um adversário poderia desativar essa senha, portanto, você também deve seguir este guia para evitar a desativação da senha do firmware por qualquer pessoa, inclusive a Apple: https://support.apple.com/en-gb/guide/security/sec28382c9ca/web [Archive.org]

Habilite a Hibernação em vez de dormir.

Mais uma vez, isso serve para evitar alguns ataques de inicialização a frio e de "evil-maid", desligando a RAM e limpando a chave de criptografia quando você fecha a tampa. Você deve sempre hibernar ou desligar. No MacOS, o recurso de hibernação tem até mesmo uma opção especial para limpar especificamente a chave de criptografia da memória ao hibernar (enquanto em outros sistemas operacionais talvez seja necessário esperar que a memória se deteriore). Mais uma vez, não há opções fáceis para fazer isso nas configurações, portanto, teremos que executar alguns comandos para ativar a hibernação:

• Abra um terminal
• Execute: sudo pmset -a destroyfvkeyonstandby 1
  
  • Esse comando instruirá o MacOS a destruir a chave do Filevault no modo de espera (sleep)
• Execute: sudo pmset -a hibernatemode 25
  
  • Esse comando instruirá o MacOS a desligar a memória durante o sono em vez de fazer uma hibernação híbrida que mantém a memória ligada. Isso resultará em despertares mais lentos, mas aumentará a vida útil da bateria.

Agora, quando você fechar a tampa do MacBook, ele deverá hibernar em vez de dormir e reduzir as tentativas de ataques de inicialização a frio.


Além disso, você também deve configurar um modo de suspensão automática (Configurações > Energia) para que o MacBook hiberne automaticamente se não for usado.

Desative serviços desnecessários.

Desative algumas configurações desnecessárias nas configurações:

• Desativar o Bluetooth
• Desativar a câmera e o microfone
• Desativar os serviços de localização
• Desativar o Airdrop
• Desativar a indexação

Impedir chamadas OCSP da Apple.

Essas são as infames chamadas de "telemetria desbloqueável" do MacOS Big Sur divulgadas aqui: https://sneak.berlin/20201112/your-computer-isnt-yours/ [Archive.org]


Você pode bloquear os relatórios OCSP emitindo o seguinte comando no Terminal:

• sudo sh -c 'echo "127.0.0.1 ocsp.apple.com" >> /etc/hosts'

Mas você provavelmente deve se documentar sobre o problema real antes de agir. Esta página é um bom lugar para começar: https://blog.jacopo.io/en/post/apple-ocsp/ [Archive.org]


A decisão é sua, na verdade. Eu o bloquearia porque não quero nenhuma telemetria do meu sistema operacional para a nave-mãe sem meu consentimento específico. Não há.

Ative a criptografia de disco completo (Filevault).

Você deve ativar a criptografia total do disco no Mac usando o Filevault, de acordo com esta parte do guia: https://github.com/drduh/macOS-Security-and-Privacy-Guide#full-disk-encryption [Archive.org]


Tenha cuidado ao ativar. Não armazene a chave de recuperação na Apple, se solicitado (não deve ser um problema, pois você deve estar off-line nesse estágio). Obviamente, você não deseja que terceiros tenham sua chave de recuperação.

Randomização de endereço MAC.

Infelizmente, o macOS não oferece uma maneira nativa e conveniente de randomizar seu endereço MAC e, portanto, você terá que fazer isso manualmente. Ele será redefinido a cada reinicialização e você terá que refazê-lo todas as vezes para garantir que não use seu endereço MAC real ao se conectar a vários Wi-Fi


Você pode fazer isso emitindo os seguintes comandos no terminal (sem os parênteses):

• (Desligar o Wi-Fi) networksetup -setairportpower en0 off
• (Alterar o endereço MAC) sudo ifconfig en0 ether 88:63:11:11:11:11:11
• (Ligue o Wi-Fi novamente) networksetup -setairportpower en0 on

Configuração de um navegador seguro.

Consulte o Apêndice G: Navegador seguro no sistema operacional host

Sistema operacional host Windows.

Conforme mencionado anteriormente, não recomendo usar seu laptop diário para atividades muito confidenciais. Ou, pelo menos, não recomendo usar seu sistema operacional local para essas atividades. Fazer isso pode resultar em vazamentos de dados indesejados que podem ser usados para tirar seu anonimato. Se você tiver um laptop dedicado a isso, deverá reinstalar um sistema operacional novo e limpo. Se não quiser limpar o laptop e começar tudo de novo, considere a rota Tails ou prossiga por sua própria conta e risco.


Também recomendo que você faça a instalação inicial completamente off-line para evitar qualquer vazamento de dados.

Instalação.

Você deve seguir o Apêndice A: Instalação do Windows


Como uma introdução leve, considere assistir a

[Invidious]

Habilite a randomização do endereço MAC.

Você deve randomizar seu endereço MAC conforme explicado anteriormente neste guia:


Vá para Configurações > Rede e Internet > Wi-Fi > Ativar endereços de hardware aleatórios


Como alternativa, você pode usar este software gratuito: https://technitium.com/tmac/ [Archive.org]

Configuração de um navegador seguro.

Consulte o Apêndice G: Navegador seguro no sistema operacional do host

Ativar algumas configurações adicionais de privacidade em seu sistema operacional host.

Consulte o Apêndice B: Configurações adicionais de privacidade do Windows

Criptografia do sistema operacional host do Windows.

Se você pretende usar a negação plausível em todo o sistema.

O Veracrypt é o software que recomendo para criptografia completa de disco, criptografia de arquivos e negação plausível. Ele é uma bifurcação do conhecido, mas obsoleto e sem manutenção TrueCrypt. Ele pode ser usado para

• Criptografia simples de disco completo (seu disco rígido é criptografado com uma frase secreta).
• Criptografia de disco completo com negação plausível (isso significa que, dependendo da frase secreta inserida na inicialização, você inicializará um sistema operacional falso ou um sistema operacional oculto).
• Criptografia simples de contêiner de arquivo (é um arquivo grande que você poderá montar no Veracrypt como se fosse uma unidade externa para armazenar arquivos criptografados).
• Contêiner de arquivo com negação plausível (é o mesmo arquivo grande, mas, dependendo da frase secreta usada ao montá-lo, você montará um "volume oculto" ou o "volume de engodo").

Até onde sei, é o único software de criptografia gratuito, de código aberto e auditado abertamente (conveniente e utilizável por qualquer pessoa) que também oferece negação plausível para uso geral e funciona com o Windows Home Edition.


Faça o download e instale o Veracrypt em: https://www.veracrypt.fr/en/Downloads.html [Archive.org]


Após a instalação, reserve um momento para analisar as seguintes opções que ajudarão a atenuar alguns ataques:

• Criptografe a memória com uma opção do Veracrypt (configurações > opções de desempenho/driver > criptografar RAM) a um custo de 5 a 15% de desempenho. Essa configuração também desabilitará a hibernação (que não limpa ativamente a chave ao hibernar) e, em vez disso, criptografará a memória por completo para atenuar alguns ataques de inicialização a frio.
• Ative a opção Veracrypt para limpar as chaves da memória se um novo dispositivo for inserido (sistema > configurações > segurança > limpar chaves da memória se um novo dispositivo for inserido). Isso pode ajudar caso seu sistema seja apreendido enquanto ainda estiver ligado (mas bloqueado).
• Ative a opção Veracrypt para montar volumes como volumes removíveis (Configurações > Preferências > Montar volume como mídia removível). Isso impedirá que o Windows escreva alguns registros sobre suas montagens nos logs de eventos e evitará alguns vazamentos de dados locais.
• Seja cuidadoso e tenha uma boa consciência situacional, caso sinta algo estranho. Desligue o laptop o mais rápido possível.
• Embora as versões mais recentes do Veracrypt ofereçam suporte à inicialização segura, recomendo desativá-la no BIOS, pois prefiro o sistema Veracrypt Anti-Evil Maid à inicialização segura.

Se não quiser usar a memória criptografada (porque o desempenho pode ser um problema), você deve pelo menos ativar a hibernação em vez do modo de suspensão. Isso não limpará as chaves da memória (você ainda estará vulnerável a ataques de inicialização a frio), mas, pelo menos, deverá atenuá-los um pouco se a memória tiver tempo suficiente para se deteriorar.


Mais detalhes mais adiante no Roteiro A e B: Criptografia simples usando o Veracrypt (tutorial do Windows).

Se você não pretende usar a negação plausível em todo o sistema.

Nesse caso, recomendarei o uso do BitLocker em vez do Veracrypt para a criptografia completa do disco. O raciocínio é que o BitLocker não oferece uma possibilidade de negação plausível ao contrário do Veracrypt. Assim, um adversário difícil não terá incentivo para prosseguir com seu interrogatório "aprimorado" se você revelar a senha.


Normalmente, você deve ter instalado o Windows Pro nesse caso e a configuração do BitLocker é bastante simples.


Basicamente, você pode seguir as instruções aqui: https://support.microsoft.com/en-us...cryption-0c453637-bc88-5f74-5105-741561aae838 [Archive.org]


Mas aqui estão as etapas:

• Clique no menu do Windows
• Digite "Bitlocker"
• Clique em "Manage Bitlocker" (Gerenciar Bitlocker)
• Clique em "Turn On Bitlocker" (Ativar Bitlocker) na unidade do sistema
• Siga as instruções
  
  • Não salve sua chave de recuperação em uma conta da Microsoft, se solicitado.
  • Salve a chave de recuperação somente em uma unidade externa criptografada. Para contornar isso, imprima a chave de recuperação usando a impressora Microsoft Print to PDF e salve a chave na pasta Documentos.
  • Criptografe toda a unidade (não criptografe somente o espaço em disco usado).
  • Use o "Novo modo de criptografia"
  • Execute a verificação do BitLocker
  • Reinicialize
• A criptografia deve ser iniciada em segundo plano (você pode verificar clicando no ícone do Bitlocker no canto inferior direito da barra de tarefas).

Habilite a hibernação (opcional).

Novamente, conforme explicado anteriormente. Você nunca deve usar o recurso de hibernação para atenuar alguns ataques de inicialização a frio e de malfeitores. Em vez disso, você deve desligar ou hibernar. Portanto, você deve alternar o laptop de dormir para hibernar ao fechar a tampa ou quando o laptop entrar em modo de espera.


(Observe que não é possível ativar a hibernação se você tiver ativado anteriormente a criptografia de RAM no Veracrypt)


O motivo é que a hibernação realmente desligará o laptop completamente e limpará a memória. A suspensão, por outro lado, deixará a memória ligada (inclusive a chave de descriptografia) e poderá deixar seu laptop vulnerável a ataques de inicialização a frio.


Por padrão, o Windows 10 pode não oferecer essa possibilidade, portanto, você deve habilitá-la seguindo este tutorial da Microsoft: https://docs.microsoft.com/en-us/tr.../deployment/disable-and-re-enable-hibernation [Archive.org]

• Abra um prompt de comando de administrador (clique com o botão direito do mouse em Prompt de Comando e "Executar como Administrador")
• Execute: powercfg.exe /hibernate on
• Agora, execute o comando adicional: **powercfg /h /type full**
  
  • Esse comando garantirá que o modo de hibernação esteja completo e limpará totalmente a memória (mas não de forma segura).

Depois disso, você deve acessar suas configurações de energia:

• Abra o Painel de controle
• Abra Sistema e segurança
• Abra Opções de energia
• Abra "Escolha o que o botão de energia faz"
• Altere tudo, de suspensão para hibernação ou desligamento
• Volte para as Opções de energia
• Selecione Alterar configurações do plano
• Selecione Advanced Power Settings (Configurações avançadas de energia)
• Altere todos os valores de suspensão de cada plano de energia para 0 (nunca)
• Certifique-se de que o Hybrid Sleep esteja desativado para cada plano de energia
• Habilite a hibernação após o tempo que desejar
• Desative todos os temporizadores de despertar

Decidir qual sub-rota você seguirá.

Agora você terá que escolher a próxima etapa entre duas opções:

• Rota A: Criptografia simples do seu sistema operacional atual
  
  • Prós:
    
    • Não requer que você limpe o laptop
    • Não há problemas com vazamentos de dados locais
    • Funciona bem com uma unidade SSD
    • Funciona com qualquer sistema operacional
    • Simples
  • Contras:
    
    • Você pode ser forçado por um adversário a revelar sua senha e todos os seus segredos e não terá nenhuma negação plausível.
    • Perigo de vazamento de dados on-line
• Rota B: criptografia simples do seu sistema operacional atual com uso posterior de negação plausível nos próprios arquivos:
  
  • Prós:
    
    • Não requer que você limpe seu laptop
    • Funciona bem com uma unidade SSD
    • Funciona com qualquer sistema operacional
    • Possibilidade de negação plausível com adversários "brandos"
  • Contras:
    
    • Perigo de vazamentos de dados on-line
    • Perigo de vazamentos de dados locais (o que levará a mais trabalho para limpar esses vazamentos)
• Rota C: negação plausível Criptografia do seu sistema operacional (você terá um "sistema operacional oculto" e um "sistema operacional chamariz" em execução no laptop):
  
  • Prós:
    
    • Sem problemas com vazamentos de dados locais
    • Possibilidade de negação plausível com adversários "brandos"
  • Contras:
    
    • Requer Windows (esse recurso não é "facilmente" suportado no Linux).
    • Perigo de vazamentos de dados on-line
    • Requer a limpeza completa do seu laptop
    • Não pode ser usado com uma unidade SSD devido à necessidade de desativar as operações de corte. Isso prejudicará gravemente o desempenho/saúde de sua unidade SSD ao longo do tempo.

Como você pode ver, a Rota C oferece apenas duas vantagens de privacidade em relação às outras e só será útil contra um adversário legal brando. Lembre-se de https://en.wikipedia.org/wiki/Rubber-hose_cryptanalysis [Wikiless] [Archive.org].


A decisão sobre qual rota você seguirá é sua. A rota A é o mínimo.


Certifique-se sempre de verificar com frequência se há novas versões do Veracrypt para garantir que você se beneficie dos patches mais recentes. Verifique isso especialmente antes de aplicar grandes atualizações do Windows que possam quebrar o gerenciador de inicialização do Veracrypt e fazer com que você entre em um loop de inicialização.


OBSERVE QUE, POR PADRÃO, O VERACRYPT SEMPRE PROPORÁ UMA SENHA DO SISTEMA EM QWERTY (exibirá a senha como um teste). Isso pode causar problemas se a entrada de inicialização estiver usando o teclado do laptop (AZERTY, por exemplo), pois você terá configurado a senha em QWERTY e a digitará no momento da inicialização em AZERTY. Portanto, certifique-se de verificar, ao fazer a inicialização de teste, qual layout de teclado o BIOS está usando. Você pode não conseguir fazer o login apenas por causa da confusão entre QWERTY e AZERTY. Se o seu BIOS inicializar usando AZERTY, você precisará digitar a senha em QWERTY no Veracrypt.

Rota A e B: criptografia simples usando o Veracrypt (tutorial do Windows)

Pule esta etapa se você tiver usado o BitLocker anteriormente.


Você não precisa ter um HDD para esse método e não precisa desativar o Trim nessa rota. Os vazamentos do Trim só serão úteis para a perícia na detecção da presença de um volume oculto, mas não serão muito úteis de outra forma.


Esse caminho é bastante simples e apenas criptografará seu sistema operacional atual sem perder nenhum dado. Certifique-se de ler todos os textos que o Veracrypt está mostrando para que você tenha uma compreensão completa do que está acontecendo.

• Inicie o VeraCrypt
• Vá para Settings (Configurações):
  
  • Configurações > Opções de desempenho/driver > Criptografar RAM
  • Sistema > Configurações > Segurança > Limpar chaves da memória se um novo dispositivo for inserido
  • Sistema > Configurações > Windows > Ativar área de trabalho segura
• Selecione Sistema
• Selecione Criptografar partição/drive do sistema
• Selecione Normal (Simples)
• Selecione Single-Boot (inicialização única)
• Selecione AES como Algoritmo de criptografia (clique no botão de teste se quiser comparar as velocidades)
• Selecione SHA-512 como algoritmo de hash (por que não?)
• Digite uma frase secreta forte (quanto mais longa, melhor; lembre-se do Apêndice A2: Diretrizes para senhas e frases secreta)
• Colete um pouco de entropia movendo o cursor aleatoriamente até que a barra esteja cheia
• Clique em Next na tela Generated Keys (Chaves geradas)
• Resgatar ou não resgatar o disco, bem, isso depende de você. Recomendo criar um (por precaução), mas certifique-se de armazená-lo fora da unidade criptografada (chave USB, por exemplo, ou aguarde e veja o final deste guia para obter orientações sobre backups seguros). Esse disco de recuperação não armazenará sua frase secreta e você ainda precisará dela para usá-lo.
• Modo de limpeza:
  
  • Se você ainda não tiver dados confidenciais neste laptop, selecione Nenhum
  • Se você tiver dados confidenciais em um SSD, o Trim sozinho deve resolver o problema, mas eu recomendaria uma passagem (dados aleatórios) só para ter certeza.
  • Se você tiver dados confidenciais em um HDD, não haverá Trim e eu recomendaria pelo menos uma passagem.
• Teste sua configuração. O Veracrypt reinicializará o sistema para testar o carregador de inicialização antes da criptografia. Esse teste deve ser aprovado para que a criptografia prossiga.
• Depois que seu computador for reiniciado e o teste for aprovado. O Veracrypt solicitará que você inicie o processo de criptografia.
• Inicie a criptografia e aguarde até que ela seja concluída.
• Você terminou, ignore a Rota B e siga para as próximas etapas.

Haverá outra seção sobre a criação de contêineres de arquivos criptografados com Plausible Deniability no Windows.

Rota B: Criptografia de negação plausível com um sistema operacional oculto (somente Windows)

Isso só é compatível com o Windows.


Isso só é recomendado em uma unidade de disco rígido. Não é recomendada em uma unidade SSD.


Seu sistema operacional oculto não deve ser ativado (com uma chave de produto MS). Portanto, esta rota recomendará e o guiará por uma instalação totalmente limpa que apagará tudo em seu laptop.


Leia a documentação do Veracrypt https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org] (Processo de criação da parte do sistema operacional oculto) e https://www.veracrypt.fr/en/Security Requirements for Hidden Volumes.html [Archive.org] (Requisitos de segurança e precauções referentes a volumes ocultos).


Esta é a aparência de seu sistema após a conclusão do processo:

(Ilustração da documentação da Veracrypt, https://veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org])


Como você pode ver, esse processo exige que você tenha duas partições no disco rígido desde o início.


Esse processo fará o seguinte:

• Criptografar sua segunda partição (o volume externo), que se parecerá com um disco vazio e não formatado do sistema operacional de engodo.
• Solicitará a você a oportunidade de copiar algum conteúdo de engodo dentro do volume externo.
  
  • É aqui que você copiará sua coleção de Anime/Porn decoy de algum disco rígido externo para o volume externo.
• Crie um volume oculto dentro do volume externo dessa segunda partição. É aqui que o sistema operacional oculto residirá.
• Clone sua instalação do Windows 10 atualmente em execução no volume oculto.
• Limpe o Windows 10 atualmente em execução.
• Isso significa que o seu Windows 10 atual se tornará o Windows 10 oculto e que você precisará reinstalar um novo sistema operacional Windows 10 falso.

Obrigatório se você tiver uma unidade SSD e ainda quiser fazer isso contra a recomendação: Desativar o SSD Trim no Windows (mais uma vez, isso NÃO é recomendado, pois a desativação do Trim em si é altamente suspeita).Além disso , como mencionado anteriormente, a desativação do Trim reduzirá a vida útil da unidade SSD e afetará significativamente seu desempenho ao longo do tempo (seu laptop ficará cada vez mais lento ao longo de vários meses de uso até que se torne quase inutilizável, e você terá que limpar a unidade e reinstalar tudo). Mas você deve fazer isso para evitar vazamentos de dados que possam permitir que a perícia anule sua negação plausível. A única maneira de contornar isso no momento é ter um laptop com uma unidade de HDD clássica.

 

[HEISENBERG]

Etapa 1: Criar uma chave USB de instalação do Windows 10

Consulte o Apêndice C: Criação da mídia de instalação do Windows e siga o caminho da chave USB.

Etapa 2: inicialize a chave USB e inicie o processo de instalação do Windows 10 (sistema operacional oculto)

• Insira a chave USB em seu laptop
• Consulte o Apêndice A: Instalação do Windows e prossiga com a instalação do Windows 10 Home.

Etapa 3: Configurações de privacidade (sistema operacional oculto)

Consulte o Apêndice B: Configurações adicionais de privacidade do Windows

Etapa 4: Início do processo de instalação e criptografia do Veracrypt (sistema operacional oculto)

Lembre-se de ler https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org]


Não conecte esse sistema operacional ao seu Wi-Fi conhecido. Faça o download do instalador do Veracrypt em um computador diferente e copie o instalador aqui usando uma chave USB.

• Instalar o Veracrypt
• Inicie o Veracrypt
• Vá para Settings (Configurações):
  
  • Configurações > Opções de desempenho/driver > Criptografar RAM(observe que essa opção não é compatível com a hibernação do laptop e significa que você terá que desligar completamente)
  • Sistema > Configurações > Segurança > Limpar chaves da memória se um novo dispositivo for inserido
  • Sistema > Configurações > Windows > Ativar área de trabalho segura
• Vá para System (Sistema) e selecione Create Hidden Operating System (Criar sistema operacional oculto)
• Leia atentamente todos os avisos
• Selecione Single-Boot se solicitado
• Crie o volume externo usando AES e SHA-512.
• Use todo o espaço disponível na segunda partição para o volume externo
• Use uma frase secreta forte (lembre-se do Apêndice A2: Diretrizes para senhas e frases secreta)
• Selecione sim para arquivos grandes
• Crie alguma entropia movendo o mouse até que a barra esteja cheia e selecione NTFS (não selecione exFAT, pois queremos que esse volume externo pareça "normal" e NTFS é normal).
• Formatar o volume externo
• Abra o volume externo:
  
  • Nesta etapa, você deve copiar os dados de isca para o volume externo. Portanto, você deve ter alguns arquivos/pastas confidenciais, mas não tão confidenciais, para copiar para lá. Caso seja necessário revelar uma senha para esse volume. Esse é um bom lugar para sua coleção de animes/Mp3/Filmes/Porn.
  • Recomendo que você não preencha muito ou pouco o volume externo (cerca de 40%). Lembre-se de que você deve deixar espaço suficiente para o sistema operacional oculto (que terá o mesmo tamanho da primeira partição criada durante a instalação).
• Use uma senha forte para o volume oculto (obviamente, uma senha diferente da usada no volume externo).
• Agora você criará o volume oculto, selecione AES e SHA-512
• Preencha a barra de entropia até o final com movimentos aleatórios do mouse
• Formatar o volume oculto
• Prossiga com a clonagem
• O Veracrypt agora reiniciará e clonará o Windows em que você iniciou o processo para o volume oculto. Esse Windows se tornará seu sistema operacional oculto.
• Quando a clonagem for concluída, o Veracrypt será reiniciado no sistema oculto
• O Veracrypt informará que o sistema oculto está agora instalado e solicitará que você limpe o sistema operacional original (aquele que você instalou anteriormente com a chave USB).
• Use 1-Pass Wipe e prossiga.
• Agora que o sistema operacional oculto está instalado, prossiga para a próxima etapa

Etapa 5: Reinicie e inicialize a chave USB e inicie o processo de instalação do Windows 10 novamente (SO Decoy)

Agora que o sistema operacional oculto está totalmente instalado, você precisará instalar um sistema operacional falso.

• Insira a chave USB em seu laptop
• Consulte o Apêndice A: Instalação do Windows e prossiga com a instalação do Windows 10 Home novamente (não instale uma versão diferente e fique com a Home).

Etapa 6: Configurações de privacidade (Decoy OS)

Consulte o Apêndice B: Configurações adicionais de privacidade do Windows

Etapa 7: Instalação do Veracrypt e início do processo de criptografia (Decoy OS)

Agora vamos criptografar o sistema operacional Decoy:

• Instalar o Veracrypt
• Inicie o VeraCrypt
• Selecione System (Sistema)
• Selecione Encrypt System Partition/Drive (Criptografar partição/drive do sistema)
• Selecione Normal (Simples)
• Selecione Single-Boot
• Selecione AES como algoritmo de criptografia (clique no botão de teste se quiser comparar as velocidades)
• Selecione SHA-512 como algoritmo de hash (por que não?)
• Digite uma senha curta e fraca (sim, isso é sério, faça isso, será explicado mais tarde).
• Colete alguma entropia movendo o cursor aleatoriamente até que a barra esteja cheia
• Clique em Next para ver a tela Generated Keys (Chaves geradas)
• Resgatar ou não resgatar o disco, bem, isso fica a seu critério. Recomendo criar um (por precaução), mas certifique-se de armazená-lo fora da unidade criptografada (chave USB, por exemplo, ou aguarde e veja o final deste guia para obter orientações sobre backups seguros). Esse disco de recuperação não armazenará sua frase secreta e você ainda precisará dela para usá-lo.
• Modo de limpeza: Selecione 1-Pass apenas por segurança
• Pré-teste de sua configuração. O Veracrypt reinicializará o sistema para testar o carregador de inicialização antes da criptografia. Esse teste deve ser aprovado para que a criptografia prossiga.
• Depois que seu computador for reinicializado e o teste for aprovado. O Veracrypt solicitará que você inicie o processo de criptografia.
• Inicie a criptografia e aguarde a conclusão.
• Seu Decoy OS está pronto para ser usado.

Etapa 8: teste sua configuração (inicialização em ambos)

É hora de testar sua configuração.

• Reinicialize e digite a senha do sistema operacional oculto; você deverá inicializar no sistema operacional oculto.
• Reinicialize e digite a senha do SO Decoy; você deverá inicializar no SO Decoy.
• Inicie o Veracrypt no sistema operacional Decoy e monte a segunda partição usando a senha do volume externo (monte-a como somente leitura, acessando Mount Options e selecionando Read-Only) e ele deverá montar a segunda partição como somente leitura, exibindo os dados do seu chamariz (sua coleção de animes e pornôs). Você está montando-a como somente leitura agora porque, se gravar dados nela, poderá substituir o conteúdo do sistema operacional oculto.

Etapa 9: alteração segura dos dados de chamariz no volume externo

Antes de ir para a próxima etapa, você deve aprender a montar o volume externo com segurança para gravar conteúdo nele. Isso também é explicado nesta documentação oficial da Veracrypt https://www.veracrypt.fr/en/Protection of Hidden Volumes.html [Archive.org]


Você deve fazer isso em um local seguro e confiável.


Basicamente, você montará seu volume externo e, ao mesmo tempo, fornecerá a senha do volume oculto nas opções de montagem para proteger o volume oculto contra substituição. O Veracrypt permitirá que você grave dados no volume externo sem correr o risco de sobrescrever quaisquer dados no volume oculto.


Essa operação não montará de fato o volume oculto e deverá impedir a criação de qualquer evidência forense que possa levar à descoberta do sistema operacional oculto. No entanto, enquanto estiver executando essa operação, as duas senhas serão armazenadas na RAM e, portanto, você ainda poderá estar suscetível a um ataque de inicialização a frio. Para atenuar esse problema, certifique-se de ter a opção de criptografar a RAM também.

• Abra o Veracrypt
• Selecione sua segunda partição
• Clique em Mount (Montar)
• Clique em Mount Options (Opções de montagem)
• Marque a opção "Proteger o volume oculto..." Opção
• Digite a senha do sistema operacional oculto
• Clique em OK
• Digite a senha do volume externo
• Clique em OK
• Agora você deve poder abrir e gravar no volume externo para alterar o conteúdo (copiar/mover/excluir/editar...)

Etapa 10: Deixe algumas evidências forenses do volume externo (com os dados do engodo) no sistema operacional do engodo

Devemos tornar o sistema operacional chamariz o mais plausível possível. Também queremos que seu adversário pense que você não é tão inteligente assim.


Portanto, é importante deixar voluntariamente algumas evidências forenses do conteúdo do decoy no sistema operacional do decoy. Essa evidência permitirá que os examinadores forenses vejam que você montou o volume externo com frequência para acessar seu conteúdo.


Aqui estão boas dicas para deixar algumas evidências forenses:

• Reproduza o conteúdo do volume externo em seu sistema operacional Decoy (usando o VLC, por exemplo). Certifique-se de manter um histórico desses acessos.
• Edite documentos e trabalhe neles.
• Ative a indexação de arquivos novamente no sistema operacional intermediário e inclua o volume externo montado.
• Desmonte-o e monte-o com frequência para assistir a algum conteúdo.
• Copie algum conteúdo do volume externo para o sistema operacional intermediário e, em seguida, exclua-o sem segurança (basta colocá-lo na lixeira).
• Tenha um cliente Torrent instalado no sistema operacional intermediário e use-o de vez em quando para fazer download de coisas semelhantes que você deixará no sistema operacional intermediário.
• Você pode ter um cliente VPN instalado no sistema operacional Decoy com uma VPN conhecida sua (não paga em dinheiro).

Não coloque nada suspeito no sistema operacional Decoy, como:

• Este guia
• Qualquer link para este guia
• Qualquer software de anonimato suspeito, como o Tor Browser

Observações.

Lembre-se de que você precisará de desculpas válidas para que esse cenário de negação plausível funcione:


Reserve algum tempo para ler novamente as "Possíveis explicações para a existência de duas partições Veracrypt em uma única unidade" da documentação do Veracrypt aqui https://www.veracrypt.fr/en/VeraCrypt Hidden Operating System.html [Archive.org]

• Você está usando o Veracrypt porque está usando o Windows 10 Home, que não possui o Bitlocker, mas ainda deseja privacidade.
• Você tem duas partições porque queria separar o sistema e os dados para facilitar a organização e porque algum amigo geek lhe disse que isso era melhor para o desempenho.
• Você usou uma senha fraca para facilitar a inicialização no sistema e uma senha longa e forte no volume externo porque estava com preguiça de digitar uma senha forte a cada inicialização.
• Você criptografou a segunda partição com uma senha diferente da do sistema porque não quer que ninguém do seu círculo veja suas coisas. E, portanto, não queria que esses dados estivessem disponíveis para ninguém.

Tenha cuidado:

• Você nunca deve montar o volume oculto a partir do sistema operacional falso (NUNCA, NUNCA, NUNCA). Se você fizer isso, criará evidências forenses do volume oculto dentro do sistema operacional falso que podem prejudicar sua tentativa de negação plausível. Se você fez isso de qualquer forma (intencionalmente ou por engano) no sistema operacional Decoy, há maneiras de apagar as evidências forenses que serão explicadas mais adiante, no final deste guia.
• Nunca use o sistema operacional falso na mesma rede (Wi-Fi pública) que o sistema operacional oculto.
• Ao montar o volume externo a partir do sistema operacional falso, não grave nenhum dado no volume externo, pois isso pode substituir o que parece ser um espaço vazio, mas que, na verdade, é o sistema operacional oculto. Você deve sempre montá-lo como somente leitura.
• Se quiser alterar o conteúdo do Decoy do volume externo, use uma chave USB do Live OS que execute o Veracrypt.
• Observe que você não usará o sistema operacional oculto para realizar atividades confidenciais; isso será feito posteriormente em uma VM dentro do sistema operacional oculto. O sistema operacional oculto destina-se apenas a protegê-lo de um adversário não autorizado que poderia obter acesso ao laptop e obrigá-lo a revelar sua senha.
• Tenha cuidado com qualquer alteração em seu laptop. Ataques de Evil-Maid podem revelar seu sistema operacional oculto.

 

[HEISENBERG]

Virtualbox em seu sistema operacional host.

Lembre-se do Apêndice W: Virtualização.


Esta etapa e as etapas seguintes devem ser realizadas no sistema operacional host. Esse pode ser o sistema operacional host com criptografia simples (Windows/Linux/MacOS) ou o sistema operacional oculto com negação plausível (somente Windows).


Neste roteiro, faremos uso extensivo do software gratuito Oracle Virtualbox. Esse é um software de virtualização no qual você pode criar máquinas virtuais que emulam um computador que executa um sistema operacional específico (se quiser usar outra coisa, como Xen, Qemu, KVM ou VMWARE, fique à vontade, mas esta parte do guia aborda o Virtualbox apenas por conveniência).


Portanto, você deve estar ciente de que o Virtualbox não é o software de virtualização com o melhor histórico em termos de segurança, e alguns dos problemas relatados ainda não foram completamente corrigidos até o momento. Se estiver usando o Linux com um pouco mais de habilidades técnicas, considere usar o KVM, seguindo o guia disponível no Whonix aqui https://www.whonix.org/wiki/KVM [Archive.org] e aqui https://www.whonix.org/wiki/KVM#Why_Use_KVM_Over_VirtualBox.3F [Archive.org]


Algumas medidas devem ser tomadas em todos os casos:


Todas as suas atividades confidenciais serão realizadas em uma máquina virtual convidada que executa o Windows 10 Pro (não o Home desta vez), Linux ou MacOS.


Isso tem algumas vantagens que o ajudarão muito a permanecer anônimo:

• Isso deve impedir que o sistema operacional da VM convidada (Windows/Linux/MacOS), os aplicativos e qualquer telemetria dentro das VMs acessem seu hardware diretamente. Mesmo que sua VM seja comprometida por malware, esse malware não poderá acessar a VM e comprometer seu laptop real.
• Isso nos permitirá forçar todo o tráfego de rede de sua VM cliente a passar por outra VM de gateway que direcionará (torificará) todo o tráfego para a rede Tor. Esse é um "kill switch" de rede. Sua VM perderá completamente a conectividade de rede e ficará off-line se a outra VM perder a conexão com a Rede Tor.
• A própria VM que só tem conectividade com a Internet por meio de um gateway de rede Tor se conectará ao seu serviço de VPN pago em dinheiro por meio do Tor.
• Os vazamentos de DNS serão impossíveis porque a VM está em uma rede isolada que deve passar pelo Tor, não importa o que aconteça.

 

[HEISENBERG]

Escolha seu método de conectividade.

Há sete possibilidades nessa rota:

• Recomendado e preferido:
  
  • Usar apenas o Tor (Usuário > Tor > Internet)
  • Usar VPN sobre o Tor (Usuário > Tor > VPN > Internet) em casos específicos
• Possível se exigido pelo contexto:
  
  • Usar VPN sobre Tor sobre VPN (Usuário > VPN > Tor > VPN > Internet)
  • Usar Tor sobre VPN (Usuário > VPN > Tor > Internet)
• Não recomendado e arriscado:
  
  • Usar apenas VPN (Usuário > VPN > Internet)
  • Usar VPN sobre VPN (Usuário > VPN > VPN > Internet)
• Não recomendado e altamente arriscado (mas possível)
  
  • Sem VPN e sem Tor (Usuário > Internet)

Somente Tor.

Essa é a solução preferida e mais recomendada.

Com essa solução, toda a sua rede passa pelo Tor e isso deve ser suficiente para garantir seu anonimato na maioria dos casos.


No entanto, há uma desvantagem principal: alguns serviços bloqueiam/banem completamente os nós de saída do Tor e não permitem a criação de contas a partir deles.


Para atenuar isso, talvez você tenha que considerar a próxima opção: VPN sobre o Tor, mas considere alguns riscos associados a ela, explicados na próxima seção.

VPN/Proxy sobre o Tor.

Essa solução pode trazer alguns benefícios em alguns casos específicos em comparação com o uso do Tor apenas quando o acesso ao serviço de destino seria impossível a partir de um nó de saída do Tor. Isso ocorre porque muitos serviços simplesmente banem, dificultam ou bloqueiam o Tor ( consulte https://gitlab.torproject.org/legacy/trac/-/wikis/org/doc/ListOfServicesBlockingTor [Archive.org]).


Como você pode ver nesta ilustração, se a sua VPN/Proxy paga em dinheiro (preferencialmente)/Monero for comprometida por um adversário (apesar da declaração de privacidade e das políticas de não registro), ele só encontrará uma conta VPN/Proxy anônima paga em dinheiro/Monero conectando-se aos seus serviços a partir de um nó de saída do Tor.

Se um adversário, de alguma forma, conseguir comprometer a rede Tor também, ele só revelará o IP de um Wi-Fi público aleatório que não esteja vinculado à sua identidade.


Se um adversário, de alguma forma, comprometer o sistema operacional da sua VM (com um malware ou exploit, por exemplo), ele ficará preso na rede interna do Whonix e não poderá revelar o IP do Wi-Fi público.


No entanto, essa solução tem uma desvantagem principal a ser considerada: Interferência com o Tor Stream Isolation.


O isolamento de fluxo é uma técnica de atenuação usada para evitar alguns ataques de correlação ao ter diferentes circuitos Tor para cada aplicativo. Aqui está uma ilustração para mostrar o que é o isolamento de fluxo:

(Ilustração de Marcelo Martins, https://stakey.club/en/decred-via-tor-network/ [Archive.org])


A VPN/Proxy sobre o Tor está do lado direito, o que significa que o uso de uma VPN/Proxy sobre o Tor força o Tor a usar um circuito para todas as atividades em vez de vários circuitos para cada uma delas. Isso significa que o uso de uma VPN/Proxy sobre o Tor pode reduzir um pouco a eficácia do Tor em alguns casos e, portanto, deve ser usado somente em alguns casos específicos:

• Quando seu serviço de destino não permitir nós de saída do Tor.
• Quando você não se importar em usar um circuito Tor compartilhado para vários serviços. Como, por exemplo, para usar vários serviços autenticados.

No entanto, considere não usar esse método quando seu objetivo for apenas navegar aleatoriamente em vários sites não autenticados, pois você não se beneficiará do isolamento de fluxo e isso poderá facilitar ataques de correlação ao longo do tempo para um adversário entre cada uma de suas sessões (consulte Seu tráfego Tor/VPN anonimizado). Se o seu objetivo, no entanto, for usar a mesma identidade em cada sessão nos mesmos serviços autenticados, o valor do isolamento de fluxo será menor, pois você poderá ser correlacionado por outros meios.


Você também deve saber que o Stream Isolation não é necessariamente configurado por padrão no Whonix Workstation. Ele só é pré-configurado para alguns aplicativos (incluindo o Navegador Tor).


Observe também que o Stream Isolation não altera necessariamente todos os nós em seu circuito Tor. Às vezes, ele pode alterar apenas um ou dois. Em muitos casos, o Stream Isolation (por exemplo, no Navegador Tor) alterará apenas o nó de retransmissão (intermediário) e o nó de saída, mantendo o mesmo nó de guarda (entrada).


Mais informações em:

• https://www.whonix.org/wiki/Stream_Isolation [Archive.org]
• https://tails.boum.org/contribute/design/stream_isolation/ [Archive.org]
• https://www.whonix.org/wiki/Tunnels/Introduction#Comparison_Table [Archive.org]

Tor sobre VPN.

Você deve estar se perguntando: Bem, que tal usar Tor sobre VPN em vez de VPN sobre Tor? Bem, eu não faria isso necessariamente:

• Desvantagens
  
  • Seu provedor de VPN é apenas mais um ISP que saberá seu IP de origem e poderá anonimizá-lo, se necessário. Não confiamos neles. Prefiro uma situação em que seu provedor de VPN não saiba quem você é. Isso não acrescenta muito em termos de anonimato. Isso não acrescenta muito em termos de anonimato.
  • Isso faria com que você se conectasse a vários serviços usando o IP de um nó de saída do Tor, que é proibido ou sinalizado em muitos lugares. Não ajuda em termos de conveniência.
• Vantagens:
  
  • A principal vantagem é que, se você estiver em um ambiente hostil em que o acesso ao Tor é impossível/perigoso/suspeito, a VPN é aceitável.
  • Esse método também não quebra o isolamento do Tor Stream.

Observe que, se estiver tendo problemas para acessar a rede Tor devido a bloqueio/censura, você pode tentar usar as Tor Bridges. Consulte o Apêndice X: Usando pontes Tor em ambientes hostis.


Também é possível considerar VPN sobre Tor sobre VPN (Usuário > VPN > Tor > VPN > Internet) usando duas VPNs pagas em dinheiro/Monero. Isso significa que você conectará o sistema operacional host a uma primeira VPN a partir de seu Wi-Fi público, depois o Whonix se conectará ao Tor e, por fim, sua VM se conectará a uma segunda VPN sobre Tor sobre VPN ( consulte https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [Archive.org]).


É claro que isso terá um impacto significativo no desempenho e poderá ser bastante lento, mas acho que o Tor é necessário em algum lugar para obter um anonimato razoável.


Conseguir isso tecnicamente é fácil nessa rota, você precisa de duas contas VPN anônimas separadas e deve se conectar à primeira VPN a partir do sistema operacional host e seguir a rota.


Conclusão: Só faça isso se você achar que usar o Tor sozinho é arriscado/impossível, mas que as VPNs são aceitáveis. Ou apenas porque você pode e por que não.

 

[HEISENBERG]

Somente VPN.

Essa rota não será explicada nem recomendada.


Se você puder usar VPNs, deverá ser capaz de adicionar uma camada de Tor sobre ela. E se puder usar o Tor, então poderá adicionar uma VPN anônima sobre o Tor para obter a solução preferida.


Usar apenas uma VPN ou mesmo uma VPN sobre VPN não faz sentido, pois elas podem ser rastreadas até você ao longo do tempo. Um dos provedores de VPN saberá seu IP de origem real (mesmo que seja em um espaço público seguro) e, mesmo que você adicione um sobre ele, o segundo ainda saberá que você estava usando o outro primeiro serviço de VPN. Isso só atrasará um pouco sua desanonimização. Sim, é uma camada adicional... mas é uma camada adicional centralizada e persistente e você pode ser desanonimizado com o tempo. Isso é apenas um encadeamento de 3 ISPs que estão sujeitos a solicitações legais.


Para obter mais informações, consulte as seguintes referências:

• https://www.whonix.org/wiki/Compari..._VPN_Services#Tor_and_VPN_Services_Comparison [Archive.org]
• https://www.whonix.org/wiki/Why_does_Whonix_use_Tor [Archive.org]
• https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [Archive.org]
• https://gist.github.com/joepie91/5a9909939e6ce7d09e29#file-vpn-md [Archive.org]
• https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html [Archive.org]

No contexto deste guia, o Tor é necessário em algum lugar para obter anonimato razoável e seguro e você deve usá-lo se puder.

Sem VPN/Tor.

Se não puder usar a VPN nem o Tor onde está, provavelmente está em um ambiente muito hostil, onde a vigilância e o controle são muito altos.


Simplesmente não o faça, pois não vale a pena e é muito arriscado, na minha opinião. Você pode ser desanonimizado quase instantaneamente por qualquer adversário motivado que possa chegar à sua localização física em questão de minutos.


Não se esqueça de verificar novamente em Adversários (ameaças) e Apêndice S: Verifique se há vigilância/censura em sua rede usando a OONI.


Se você não tiver absolutamente nenhuma outra opção e ainda quiser fazer alguma coisa, consulte Apêndice P: Acessar a Internet da forma mais segura possível quando o Tor/VPN não for uma opção (por sua própria conta e risco) e considere a rota do Tails.

Conclusão.

Infelizmente, usar o Tor sozinho levantará a suspeita de muitas plataformas de destino. Você enfrentará muitos obstáculos (captchas, erros, dificuldades de registro) se usar apenas o Tor. Além disso, usar o Tor onde você está pode colocá-lo em apuros só por isso. Mas o Tor continua a ser a melhor solução para o anonimato e deve estar em algum lugar para o anonimato.

• Se sua intenção é criar identidades compartilhadas e autenticadas persistentes em vários serviços em que o acesso pelo Tor é difícil, recomendo a opção VPN sobre Tor (ou VPN sobre Tor sobre VPN, se necessário). Ela pode ser um pouco menos segura contra ataques de correlação devido à quebra do isolamento do Tor Stream, mas oferece muito mais conveniência no acesso a recursos on-line do que apenas usar o Tor. É uma troca "aceitável" do IMHP se você for cuidadoso o suficiente com sua identidade.
• Se a sua intenção, no entanto, for apenas navegar anonimamente em serviços aleatórios sem criar identidades compartilhadas específicas, usando serviços compatíveis com o Tor; ou se não quiser aceitar essa troca na opção anterior. Então, recomendo usar a rota Tor Only para manter todos os benefícios do Stream Isolation (ou Tor sobre VPN, se necessário).
• Se o custo for um problema, recomendo a opção Tor Only, se possível.
• Se o acesso ao Tor e à VPN for impossível ou perigoso, você não terá outra opção a não ser confiar no Wi-Fi público com segurança. Consulte o Apêndice P: Como acessar a Internet da forma mais segura possível quando o Tor e as VPNs não são uma opção

Para obter mais informações, você também pode ver as discussões aqui que podem ajudar você a decidir:

• Projeto Tor: https://gitlab.torproject.org/legacy/trac/-/wikis/doc/TorPlusVPN [Archive.org]
• Documentação do Tails:
  
  • https://gitlab.tails.boum.org/tails/blueprints/-/wikis/vpn_support/ [Archive.org]
  • https://tails.boum.org/support/faq/index.en.html#index20h2 [Archive.org]
• Documentação do Whonix (nesta ordem):
  
  • https://www.whonix.org/wiki/Tunnels/Introduction [Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_Tor_before_a_VPN [Archive.org]
  • https://www.whonix.org/wiki/Tunnels/Connecting_to_a_VPN_before_Tor [Archive.org]
• Alguns documentos sobre o assunto:
  
  • https://www.researchgate.net/public...communication_VPN_and_Tor_a_comparative_study [Archive.org]

 

[HEISENBERG]

Obtenha uma VPN/Proxy anônima.

Pule esta etapa se quiser usar apenas o Tor.


Consulte o Apêndice O: Obter uma VPN/Proxy anônima

Whonix.

Pule esta etapa se não puder usar o Tor.


Essa rota usará a virtualização e o Whonix309 como parte do processo de anonimização. O Whonix é uma distribuição Linux composta por duas máquinas virtuais:

• A estação de trabalho Whonix (essa é uma VM na qual você pode realizar atividades confidenciais)
• O Whonix Gateway (essa VM estabelecerá uma conexão com a rede Tor e encaminhará todo o tráfego de rede da estação de trabalho por meio da rede Tor).

Portanto, este guia proporá dois tipos de rota:

• A rota somente do Whonix, em que todo o tráfego é roteado pela rede Tor (Tor Only ou Tor over VPN).

Uma rota híbrida da Whonix em que todo o tráfego é roteado por meio de uma VPN paga em dinheiro (preferencialmente)/Monero sobre a rede Tor (VPN sobre Tor ou VPN sobre Tor sobre VPN).

Você poderá decidir qual opção usar com base em minhas recomendações. Recomendo a segunda, conforme explicado anteriormente.


O Whonix é bem mantido e tem uma documentação extensa e incrivelmente detalhada.

Uma observação sobre os Snapshots do Virtualbox.

Mais tarde, você criará e executará várias máquinas virtuais no Virtualbox para suas atividades confidenciais. O Virtualbox oferece um recurso chamado "Snapshots" que permite salvar o estado de uma VM em qualquer momento. Se, por algum motivo, você quiser voltar a esse estado, poderá restaurar esse snapshot a qualquer momento.


Recomendo enfaticamente que você use esse recurso criando um instantâneo após a instalação/atualização inicial de cada VM. Esse snapshot deve ser feito antes de ser usado para qualquer atividade confidencial/anônima.


Isso permitirá que você transforme suas VMs em uma espécie de "sistemas operacionais vivos" descartáveis (como o Tails discutido anteriormente). Isso significa que você poderá apagar todos os vestígios de suas atividades em uma VM restaurando um Snapshot para um estado anterior. É claro que isso não será "tão bom" quanto o Tails (em que tudo é armazenado na memória), pois pode haver vestígios dessa atividade no disco rígido. Estudos forenses demonstraram a capacidade de recuperar dados de uma VM revertida. Felizmente, há maneiras de remover esses rastros após a exclusão ou a reversão para um snapshot anterior. Essas técnicas serão discutidas na seção Algumas medidas adicionais contra a ciência forense deste guia.

Baixe os utilitários do Virtualbox e do Whonix.

Você deve fazer o download de algumas coisas no sistema operacional host.

• A versão mais recente do instalador do Virtualbox de acordo com seu sistema operacional host https://www.virtualbox.org/wiki/Downloads [Archive.org]
• (Ignore isso se não puder usar o Tor nativamente ou por meio de uma VPN) O arquivo OVA mais recente do Whonix em https://www.whonix.org/wiki/Download [Archive.org] de acordo com a sua preferência (Linux/Windows, com uma interface de área de trabalho XFCE para simplificar ou somente com o cliente de texto para usuários avançados)

Isso concluirá os preparativos e agora você deve estar pronto para começar a configurar o ambiente final que protegerá seu anonimato on-line.

Recomendações de fortalecimento do Virtualbox.

Para obter a segurança ideal, você deve seguir as recomendações fornecidas aqui para cada máquina virtual do Virtualbox https://www.whonix.org/wiki/Virtualization_Platform_Security#VirtualBox_Hardening [Archive.org]:

• Desative o áudio.
• Não habilite as pastas compartilhadas.
• Não ativar a aceleração 2D. Isso é feito com o seguinte comando VBoxManage modifyvm "vm-id" --accelerate2dvideo on|off
• Não ative a aceleração 3D.
• Não ative a porta serial.
• Remova a unidade de disquete.
• Remova a unidade de CD/DVD.
• Não ative o servidor de exibição remota.
• Habilite o PAE/NX (o NX é um recurso de segurança).
• Desative a configuração avançada e a interface de energia (ACPI). Isso é feito com a execução do seguinte comando VBoxManage modifyvm "vm-id" --acpi on|off
• Não conecte dispositivos USB.
• Desative o controlador USB que está ativado por padrão. Defina o dispositivo de apontamento como "PS/2 Mouse" ou as alterações serão revertidas.

Por fim, siga também esta recomendação para dessincronizar o relógio da sua VM em relação ao do sistema operacional host https://www.whonix.org/wiki/Network...oof_the_Initial_Virtual_Hardware_Clock_Offset [Archive.org]


Esse deslocamento deve estar dentro de um intervalo de 60000 milissegundos e deve ser diferente para cada VM. Aqui estão alguns exemplos (que podem ser aplicados posteriormente a qualquer VM):

• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Gateway-XFCE" --biossystemtimeoffset +27931
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset -35017
• VBoxManage modifyvm "Whonix-Workstation-XFCE" --biossystemtimeoffset +27931

Considere também aplicar essas atenuações do VirtualBox para atenuar as vulnerabilidades Spectre/Meltdown executando este comando no diretório de programas do VirtualBox. Todas elas estão descritas aqui: https://www.whonix.org/wiki/Spectre_Meltdown [Archive.org] (esteja ciente de que elas podem afetar severamente o desempenho de suas VMs, mas devem ser feitas para garantir a melhor segurança).


Por fim, considere as recomendações de segurança do próprio Virtualbox aqui: https: //www.virtualbox.org/manual/ch13.html [Archive.org]

 

[HEISENBERG]

Tor sobre VPN.

Pule esta etapa se você não pretende usar o Tor sobre VPN e só pretende usar o Tor ou não pode.


Se você pretende usar o Tor sobre VPN por qualquer motivo. Primeiro, você deve configurar um serviço de VPN em seu sistema operacional host.


Lembre-se de que, nesse caso, recomendo ter duas contas de VPN. Ambas pagas com dinheiro/Monero (consulte Apêndice O: Obter uma VPN/Proxy anônima). Uma será usada no sistema operacional host para a primeira conexão VPN. A outra pode ser usada na VM para obter VPN sobre Tor sobre VPN (Usuário > VPN > Tor > VPN).


Se você pretende usar somente o Tor sobre VPN, precisará apenas de uma conta de VPN.


Consulte o Apêndice R: Instalação de uma VPN em sua VM ou sistema operacional host para obter instruções.

 

[HEISENBERG]

Máquinas virtuais do Whonix.

Pule esta etapa se você não puder usar o Tor.

• Inicie o Virtualbox em seu sistema operacional host.
• Importe o arquivo do Whonix para o Virtualbox seguindo as instruções em https://www.whonix.org/wiki/VirtualBox/XFCE [Archive.org]
• Inicie as VMs do Whonix

Lembre-se de que, nesta etapa, se estiver tendo problemas para se conectar ao Tor devido a censura ou bloqueio, considere a possibilidade de se conectar usando o Bridges, conforme explicado neste tutorial https://www.whonix.org/wiki/Bridges [Archive.org].

• Atualize as VMs do Whonix seguindo as instruções em https://www.whonix.org/wiki/Operating_System_Software_and_Updates#Updates [Archive.org]
• Desligue as VMs do Whonix
• Faça um instantâneo das VMs do Whonix atualizadas no Virtualbox (selecione uma VM e clique no botão Take Snapshot). Falaremos mais sobre isso mais tarde.
• Ir para a próxima etapa

Observação importante: você também deve ler estas recomendações muito boas em https://www.whonix.org/wiki/DoNot [Archive.org] , pois a maioria desses princípios também se aplica a este guia. Você também deve ler a documentação geral deles aqui https://www.whonix.org/wiki/Documentation [Archive.org] , que também fornecerá muitos conselhos como este guia.