Обеспечит ли такая конфигурация достаточный уровень анонимности и безопасности? + вопросы


Попробую поконкретнее изложить.

Есть: настольный комп, кабель от провайдера (на имя близкого родственника, что печально, но что уж есть). К компу физический доступ только у меня (т.е. не в общественном месте).
Цель: Иметь достаточный уровень анонимности и безопасности при использовании интернета.
Планируемое использование: Скачивание и раздача торрентов, общение через Jabber + OTR на личные и околополитические темы, просмотр различных политических ресурсов на популярную нынче международную тему. Так, чтобы провайдер и органы власти не знали, что я делаю в интернете, а по моему IP-адресу в логах сайта нельзя было на меня выйти в рамках вменяемых ресурсов для "вычисления". Ничего явно противозаконного (наркотики, терроризм и прочие религиозные карикатуры) не будет. На абсолютную анонимность и безопасность не претендую, модель использования не та.
Задачи: 1) Обезопасить интернет-канал 2) Обезопасить локальную информацию

Пока вижу это так:
– Покупается роутер, в нём прошивается DD-WRT с уже вшитым пакетом Open VPN.
– Приобретаются два различных недорогих, но хороших иностранных коммерческих VPN, желательно с Shared IP. Приобретение происходит путём оплаты этих VPN через две разных карточки Qiwi, зареганных на разные номера левых симок. Симки стоят в кетайском смарте, где IMEI можно менять. Либо в двухсимочной звонилке из магазина. Покупаются через комп, на котором бесплатный VPN.
– VPN1 настраивается на роутере в DD-WRT (т.е. роутер – клиент зарубежного VPN).
– Роутер подключается проводом к компу (вайфай использовать не планирую).
– На компе два раздела жёсткого диска: Linux Mint 17.1 и Windows 7 Ultimate SP1 (сборка с обновлениями). Linux для интернета, музыки, фильмов. Windows для работы с документами в MS Office и игр иногда. Windows принципиально не используется для выхода в сеть.
– Linux шифруется встроенными средствами, Windows – нет, т.к. там ничего интересного нет.
– В Linux добавляютcя пакеты для работы Open VPN, настраивается клиентское подключение к VPN2.
– Там же настраивается всё так, чтобы при падении линуксового VPN весь трафик рубился на корню.
– Из софта используются Firefox + HTTPS Everywhere + Adblock, Tor Browser, торрентокачалка, Psi + OTR или Jitsi. Скайпа, аськи, гуглохрома и т.д. нет. Соцсети не использую.
– Пароли хранятся в чём-то наподобие Keypass (в Linux вроде есть какая-то паролехранилка встроенная?).

Используется это всё следующим образом:
– Если нужен просто сёрфинг по сайтам + торренты, используются оба VPN.
– Если надо что-то запостить на форуме или ресурс особо "неблагонадёжный", поверх этого запускается Tor Browser.
– Все используемые аккаунты созданы на этом безопасном компьютере после всех настроек, их имена ранее не светились, не связаны с ранее использованными аккаунтами, не применяются на других компах. По возможности дополнительно пропускаются через Tor.
– Те сайты, которые приходится использовать для работы (типа корпоративной почты) и являются явным деаноном, используются с ранее используемого ноута без роутера. На ноут можно поставить халявный VPN типа Cyberghost – для корпоративной почты и Госуслуг сойдёт, а другого использования ноута в интернете не планирую.

Пожалуйста, скажите: есть ли явные косяки в такой конфигурации? Можно ли что-то легко усилить без затрат денег и времени, или стоит что-то убрать как лишнее звено? Возможно, что-то серьёзное не предусмотрел?

По реализации этого у меня есть вопросы:

1) Надо ли в DD-WRT при настройке роутера как клиента VPN дополнительно что-то настраивать, чтобы при падении VPN роутер рубил весь трафик? Или это по дефолту предусмотрено?
2) При двух осях достаточно двух разделов, или лучше два физических жёстких диска (HDD под Linux, HDD или SSD под винду)? Не имею в виду, что Linux вроде больше разделов создаст, чем 1.
3) Позволяют ли файрволлы под винду зарубить абсолютно весь входящий и исходящий трафик? Или лучше на время пользования виндой просто выдёргивать интернет-кабель из системника?
4) Достаточно ли предлагаемого после установки Linux Mint шифрования папки home, или лучше шифровать другим способом? Если другим, то каким?
5) Сложно ли для новичка настроить Linux так, чтобы при падении VPN в оси (т.е. не роутерного VPN) весь трафик резался?
6) Можно ли в linux иметь несколько заранее настроенных VPN-подключений, чтобы легко менять страну при необходимости?
7) Палевные ресурсы типа личной почты, рабочей учётки на сайте фирмы и т.д., если запустить из Linux, дадут слишком большое палево? Может, не нужен этот ноут?

Если будут ещё какие-то вопросы, напишу в комментариях.

Заранее всем спасибо, и извините за "многабукаф"!

Комментарии
Гость (28/01/2015 19:02)   
На такой длинный вопрос – один короткий ответ: вы забыли сказать что по вашему "достаточный уровень".
Кому нравится арубуз, а кому – свиной хрящик :)
Гость (28/01/2015 21:08)   
Или лучше на время пользования виндой просто выдёргивать интернет-кабель из системника?
Сурово. Может просто тогда дрова на карту не ставить, или отключить ее в профиле или в диспетчере устройств?
Гость (28/01/2015 21:17)   
Ещё один тред на тему «как я стану миллионером».

Разбирать все заблуждения неохота, начиная от

Adblock

Linux Mint [гыгы[link1]]

Windows – нет, т.к. там ничего интересного нет.

и кончая кулхацкерством с VPN'ами и симками. VPN надо использовать тогда, когда понимаете, зачем он нужен и от чего защищает, это не средство анонимности.


Вся конфигурация — почти сплошной косяк из массовых заблуждений и типа рекомендаций с кулхакерцских сайтов. Сразу видно, что pgpru вы никогда не читали (во всяком случае, систематически).


Недостаточно. Кулхацкеры не знают, как много может утекать в своп, в /var и в др. места, не говоря уже о том, что тип установленного софта и его конфигурация — тоже полезная информация для атакующего.


Таким[link2]. В пределе — вот таким[link3].


Я вам больше скажу: даже в Linux и BSD не позволяют[link4].


Можно.
Гость (28/01/2015 21:33)   

Зато справедливо[link5].
— unknown (28/01/2015 21:57)   

Для торрентов же.
Гость (29/01/2015 00:11)   

Зависит от настроек и их реализации. Чем сложнее комбайн, тем больше шансов, что что-то слетит. Почему так много ВПНа везде?
Чем TAILS'а недостаточно или Whonix'a? Готовые решения. Их ругают за множество излишеств, а ваша схема чем лучше, анонимнее, безопаснее, компактнее, проще, надёжнее?


Сама идея нагромождения и универсальности — уже своего рода косяк.
Гость (29/01/2015 00:53)   

Подмывает усомниться. Вы сами пробовали запретить файерволом весь трафик и проверить сетевую активность снифером?
Гость (29/01/2015 03:54)   

Дурачок, если бы ты сначала сходил по ссылке, ты бы узнал, что там не просто тесты были, а вообще всё началось с них — случайно при тестах утечек было обнаружено, что... а потом нагуглились детали. Но ты не слушай, что говорят в сети, не читай, что пишут, пробуй сам. Мало ли где что написано, надо всё на себе пробовать, включая rm -Rf ~/
— Бобёр (29/01/2015 17:03)   
О, тут аж несколько комментариев с ценной критикой и полезными ссылками! Это хорошо.


Вообще вот: "Так, чтобы провайдер и органы власти не знали, что я делаю в интернете, а по моему IP-адресу в логах сайта нельзя было на меня выйти в рамках вменяемых ресурсов для "вычисления". Иными словами, провайдер и органы власти не должны иметь возможности узнать, какими сайтами/сервисами я пользуюсь, что скачиваю с торрентов и что раздаю, не должны иметь технической возможности "привязать" мой комментарий тут на pgpru.com ко мне. Подчеркну – в рамках разумных ресурсов, т.е. (если вдруг дойдёт, хотя я не планирую ничего такого делать) в рамках стандартных мер: логирование и просмотр трафика провайдером, сопоставление айпишников в логах сайта с айпишниками пользователей провайдера и т.п. вещи. Возможно, MITM.


Винда штука такая, кто знает, идёт ли куда-то что-то и работает ли что-то при выключенной карте/карте без дров. Выдернутый провод как-то надёжнее представляется.


Тем не менее, спасибо за критику, признаю, что часть моих идей не самая лучшая (мягко говоря). Потому и решил посоветоваться, прежде чем сделать то, что обозначил в 1м посте.

Вместо Linux Mint могу поставить Debian. Так будет лучше? Просто Mint я хоть чуть-чуть использовал, а с Debian знаком только по Tails.

Adblock просто полезное дополнение к браузеру. Оно чем-то опасно?


VPN позволяет скрыть от провайдера, какие сайты я посещаю, какого типа трафик идёт (кстати, позволяет ли DPI сделать достоверные выводы о типе трафика, если идёт трафик по VPN?). Заодно и сайт, который я посещаю, не знает мой реальный IP. Шифрование канала и подменённый IP. Это суть того, почему оно мне надо. Да, я помню, что здесь уже писали в какой-то теме, что это лишь средство выноса своего УЖЕ шифрованного трафика в иностранную юрисдикцию. И таки да, по возможности мой трафик шифруется дополнительно. Тот же OTR для джаббера.

Что не так с симками и киви? Не покупать же VPN со своей банковской карты. Биткойн просто так не купишь, да и история транзакций публична и хранится, посылать в конверте денежку – долго ждать, да и могут потерять конверт и мало какие провайдеры VPN такое позволяют...


Читал. И немало полезного для себя вынес, но, действительно, читал несистематически, поэтому знания о безопасности и анонимности фрагментарные (рискну предположить, что всё же заметно выше, чем в среднем у пользователей отечественного интернета, что уже плюс).


Это да, это я упустил. Спасибо. Значит, шифровать весь Linux. Заодно и Windows тоже – через Diskcryptor нормально будет? Проблема в том, что в Linux я почти ничего не знаю. Так, на уровне "установить Ubuntu, сменить обои, запустить Firefox", и шанс утечки чего-то в /var мне ни о чём не говорит. Осваивать буду постепенно, надеюсь лишь явно нигде не накосячить.


Потому что для простого брождения по сайтам и скачивания торрентов VPN over VPN будет работать быстрее, чем Tor, через который идёт трафик Whonix и TAILS (при всём уважении к последнему и при том, что я его пробовал, приятная и понятная штука). Торренты через Tor вообще ведь не рекомендуют? Пара VPN потому, что вероятность того, что два разных VPN-провайдера передадут мои логи по запросу, меньше, чем то, что один VPN-провайдер их передаст. Кроме того, не хотелось бы полагаться только на Tor – уязвимости регулярно находят в TAILS том же, есть шанс, что все 3 узла окажутся подконтрольны одному оператору, что резко повышает шансы на деанонимизацию... Наконец, с точки зрения мониторинга трафика провайдером VPN как-то выглядит менее "криминально", чем Tor, привлекает чуть меньше внимания. Наверно. Поэтому VPN over VPN (плюс Tor поверх в особо критических случаях) мне показалось обоснованной идеей.

Вообще, если без наворотов, то так:

В роутере DD-WRT и настроен VPN, купленный без привязки к моей персоне. Для интернета используется Debian (торренты и обычные сайты) в котором при необходимости вместо Firefox используется Tor Browser (специфические сайты, обсуждение политических вопросов то же). Debian полностью шифрован. Вместо Tor Browser можно использовать TAILS либо запускать виртуалку и уже в ней Tor Browser. Windows 7 также зашифрована, при использовании её из системника просто вытаскивается сетевой кабель.

Так лучше?
— Бобёр (29/01/2015 17:18)   
Также хотелось бы узнать ответы на вопросы 1, 2, 5, 7 из первого поста.

Ещё возник вопрос. Linux из репозиториев выкачивает пакеты для установки по https? Может ли произойти подмена пакета при передаче через канал провайдера, например?


Сурово у вас тут с шифрованием. Кажется, придётся остановиться на обычном шифровании, предлагаемом после установки. Там хоть всё понятно. В Debian, наверно, тоже есть такая опция после установки, как и в Ubuntu/Mint?
— ressa (29/01/2015 17:27)   

Пользуйся µBlock[link6]
Гость (29/01/2015 17:32)   

Лучше. На тему Debian'а тут целый топик[link7] есть.


Профилированием, если речь идёт о TBB. По этой же причине настоятельно не рекомендуется ставить какие-либо аддоны к TBB.


Я же и писал.


Дополнительно — это Tor, скорее, если речь идёт о шифровании для анонимности, а не per se.


Если нужна винда любой ценой, то да.


Тогда ваша задача по-хорошему неразрешима.


Tor'ом пользуется 100 тыс в одной только РФ, а сколько клиентов конкретного коммерческого VPN в той или иной стране?


Эта необходимость — сайты банков, да ISP. Всё остальное прекрасно работает через TBB, включая ютуб. Сайты на флеше не в тему. :-)


Можно и Tails запускать в виртуалке. :-)


Был намёк вообще исключить винду, настоятельный намёк. Если безопасность на ней вам не важна, то зачем её вообще упоминать? Вынесите её за рамки обсуждения полностью.

Кстати, вопросы VPN'а — это ещё и вопросы оверхеда[link8].
Гость (29/01/2015 17:40)   

5 — сравнительно просто, но надо понимать iptables.
7 — вообще непонятный вопрос, какой-то совсем ни о чём.


http или ftp


Может, но установщик проверяет PGP-подписи, поэтому при подмене возникнет ошибка и ругань установщика. Чтобы это правильно работало, нужно проверить, что PGP-подпись установочного iso валидная. Для этого нужно заранее иметь GnuPG и какой-то пул доверяемых ключей от предыдущих инсталляций Linux. В крайнем случае — доверять тем, у кого они есть.


Есть. Но не после установки, а во время неё. И установочный диск нужен специальный, netinst. В нём надо выбрать expert install и там с умом делать. Занятие не для слабонервных.
Гость (29/01/2015 19:33)   
Винда штука такая, кто знает, идёт ли куда-то что-то и работает ли что-то при выключенной карте/карте без дров. Выдернутый провод как-то надёжнее представляется.

Как же тогда можно эту штуку ставить на один компьютер с хорошей системой на соседнем диски (или что еще хуже разделе того же диска)? Надо два компа, и комп с виндой лучше на всякий случай пару раз обмотать фольгой.
— Бобёр (02/02/2015 15:54)   

Хорошо, спасибо! Буду пробовать Debian вместо Ubuntu/Mint. Пора уже осваиваться с Linux.


Нет-нет, не о TBB речь. Аддоны для обычного Firefox имеются в виду. Максимум, как модифицировать TBB, это убрать СНГшные выходные ноды, и то я не уверен в необходимости этого.


Т.е., не имея хороших знаний в Linux, сколько-то надёжную и доверенную в плане безопасности и анонимности систему мне не сделать? Тогда что лучше: Linux на уровне новичка или Windows на уровне опытного?


С этой точки зрения да... даже у крупнейших VPN вряд ли наберётся 100 тыс клиентов в конкретной стране.


Не совсем. Та же веб-морда "Яндекс-почты" отказывается грузиться, пока не включишь java-скрипты... То же самое с вконтактиком – перейдёшь по ссылке на страницу, а оно без скриптов жалуется на устаревший браузер. И т.д. Наверное, я сейчас многое узнаю о своей криворукости.


Я представляю, что это, но не более того. Ни разу не работал с этим.

Пробую сформулировать. Вот я таки сделал VPN в роутере и VPN в оси (Debian). С этой оси я брожу по сайтам, использую только новые аккаунты и т.д. И тут я из этой оси по этой схеме (с обоими VPN) со своим логином и паролем зашёл на сайт компании, где я работаю. В логах сайта компании осталась связь моего VPN-айпишника с моей учёткой. Т.е. этот VPN-айпишник связан со мной уже, и прослеживается связь между VPN1 и VPN2 (провайдер знает про VPN1, работадатель знает про VPN2, люди с проницательным взглядом в итоге знают и то, и то). Следует ли всерьёз опасаться, что дальнейшее использование этого айпишника будет ниточкой, ведущей ко мне? Я потому и думал для таких явно палевных вещей (сайт работы, старая почта, интернет-банкинг...) использовать отдельный ноут c простеньким VPN (чисто для порядка чтоб канал шифровался), а основной комп для игр в "Неуловимого Джо" с VPN, Tor, Jabber и т.д.


О как. Я-то надеялся либо на https, либо в крайнем случае на возможность сравнения хэш-сумм каких-то (как последнее время делаю со скачиванием программ).


Т.е. всё, что нужно, установщик выкачивает с интернета? Т.е. я, не доверяя провайдеру, вынужден скачивать по сути в открытом виде дистрибутив оси даже без возможности самостоятельно проверить в итоге контрольную сумму, а провайдер будет знать, что у меня Debian? Мне смутно это не нравится. Неужели шифрование при установке нельзя сделать через уже скачанный полный образ типа debian-7.8.0-amd64-DVD-1.iso у которого я хотя бы могу сверить хэши?



Т.е. раздел это хуже, чем физически отдельный диск. Так и подозревал, спасибо. А "эта штука" бывает полезна. Не всё, что мне нужно, я смогу сделать в Linux – тот же офисный пакет, наверно, достаточно совместим просто для документов, а если что-то серьёзное делать в нём – не факт, что у коллег потом оно откроется нормально. У них всё заточено под MS Office.
— unknown (02/02/2015 16:25, исправлен 02/02/2015 16:28)   

Сертифицированная ложь[link9], Quantum Insert[link10].



Что мешает третьей стороне подменять хэш-суммы также как и скачиваемые программы?



Вы один раз проверите подпись установщика перед запуском, а дальше он будет проверять целостность скачиваемых компонентов сам. Очевидное узкое место в такой системе: обновления безопасности ставятся последними.

Гость (02/02/2015 16:36)   

В тему[link11].
Гость (02/02/2015 17:00)   

Если б это было можно, зачем бы люди переходили на системы с открытым исходным кодом, да ещё и столько всего нового изучали, тратили своё время на это?


Зависит от многих факторов, но если это нормальный дистр и есть хотя бы базовые знания, то первое.


JS придётся включить, ничего с этим не поделаешь. Такие сайты принципиально на него завязаны. Есть workaround[link12], но, скорей всего, вам он будет недостаточен[link13].


Вам честно ответить? Вы страдаете х-й не по разуму. Торренты — это вообще не в тему. Если бы вы занимались делом за ПК, а не ерундой, то «всё через Tor» — самый прямой и лучший способ. Там, где не надо палить факт входа под Tor'ом, ставится дополнительный прокси на выходе из Tor. Т.е., страдать можно, конечно, но велиспед с грамотным разделением трафика на VPN и в Tor — это для продвинутых, а вы слишком много хотите сразу. Надо хотеть соразмерно своим знаниям.


Будет.


Тогда нужен преднастроенный Tor-роутер с прозрачной торификацией, да и то не факт, что поможет (вдруг там какие-то важные пакеты скачиваются исключительно по ftp?).


Без понятия. Далеко не факт, надо смотреть. В убунте было три диска: автоматический (там нельзя), продвинутый (там можно, но количество опций очень ограничено, с выбором софта тоже не разгонишься, всё предустанавливается, как они решили) и netinst (его не пробовал, но должен быть аналогичен дебиановскому). Как в домохозяечеых дисках Debian — не знаю.


Откроется, но оформление будет отличаться, обсуждалось уже сто раз [например, см. здесь[link14]].
Гость (07/02/2015 14:14)   


Хрень же какая-то, не?)) Adblock Edge + Ghostery лучше работают, чем это недоразумение. Погонял намедни этот ublock – сколько рекламы было на нужном мне сайте, столько и осталось)) Может, допилят когда-нибудь. Adblock Edge и Ghostery же рекламу и все эти фейсбучные кнопочки выпилили напрочь.

Ссылки
[link1] https://www.pgpru.com/comment67738

[link2] https://www.pgpru.com/comment82154

[link3] https://www.pgpru.com/comment73398

[link4] https://www.pgpru.com/comment81914

[link5] https://www.pgpru.com/comment51934

[link6] https://github.com/gorhill/uBlock

[link7] https://www.pgpru.com/forum/unixlike/spisoksledjaschegopobezopasnajaustanovkadebian

[link8] https://www.pgpru.com/comment65318

[link9] https://www.pgpru.com/biblioteka/statji/certifiedlies

[link10] https://www.pgpru.com/comment77506

[link11] http://hitech.newsru.com/article/02feb2015/adblock

[link12] https://www.pgpru.com/comment69455

[link13] https://www.pgpru.com/comment69492

[link14] https://www.pgpru.com/comment66732