Linux для веб серфинга

Быстрая и безопасная ОС для web-серфинга с неприступным носителем, легко изменяемым пользователем

(Источник)

ОСы с неприступным носителем, т.е. с носителем, информацию на котором физически невозможно изменить, давно и широко известны — это так называемые “live CD” — точнее было бы называть их “live DVD”, т.к. iso-образы многих современных ОС для CD ROM слишком большие. Встречаются iso-образы, которые и на DVD ROM не влезут, но и это не проблема, т.к. файл iso-образа можно использовать и с жесткого диска, например, для установки ОС в виртуальную машину. Но это уже другой случай, а первоначальная идея была прожечь iso-образ на болванке CD или DVD ROM. С такой болванки можно загружать компьютер, и при этом никакие зловреды этому диску не страшны, т.к. он ROM. При этом для полного исключения заражения жестких дисков их вообще можно убрать. Это легко сделать, если HDD внешние, или если они съемные — установлены в Mobile Rack. Однако практическому использованию схемы “только один RO диск” мешают два серьезных неудобства: медленная загрузка (по сравнению с HDD) и невозможность изменять настройки, сохранять историю посещений сайтов, закладки и т.д. Эти неудобства преодолимы, во всяком случае, для простейшего web-серфинга.

Первое неудобство преодолимо использованием загрузочной флеш-карты (“флешки”) с RO форматом, второе — использованием второй флешки для сохранения текущих сохранений (но не для долговременного хранения какой-либо информации). Примером web-серфинга, о котором речь, может быть посещение Хабра: просмотреть информацию о новых публикациях, прочитать заинтересовавшие, прокомментировать, поставить плюсики понравившимся публикациям и комментариям и м.б. сделать собственную публикацию. Для чтения, комментирования и плюсования достаточно web-браузера, а для собственной публикации может пригодиться и простой графический редактор, чтобы подрезать найденную в сети картинку в заставку. Более серьезные графические и другие работы в понятие web-серфинга включать не будем. Эти работы можно делать на другом диске или компьютере, и без Интернета при этом зачастую можно обойтись. Конечно, есть много сложных работ, для которых Интернет совершенно необходим — в таком случае нужны другие решения.

В качестве исходной ОС я выбрал свободно распространяемый iso-образ live CD Knoppix 8.1. Это хорошо зарекомендовавшая себя ОС, в которой, кроме прочего, предусмотрено удобное средство установки ОС со сделанными изменениями на флешку, при этом ее можно сделать только для чтения. Скачав iso-образ, первым делом прожег DVD ROM: для коллекции и чтобы посмотреть скорость загрузки с DVD. (Склонность к коллекционированию CD и DVD здесь недавно обсуждалась и частично осуждалась — не будем возвращаться). Скорость загрузки с DVD ниже сравню со скоростью флешки. Но сначала опишу процесс установки ОС с изменениями на флешку. Этот процесс может быть многопроходным, т.к. трудно сразу все предусмотреть. Поэтому лучше использовать две флешки и два ридера к ним. Третья флешка понадобится для сохранения настроек, ридер к ней можно использовать от второй, если он подходит. Подойдут флешки и на 8 GB, но сейчас меньше 16 GB трудно найти в продаже, только если есть старые. Далее считаем, что система была загружена с флешки. В описании системный язык — английский, но при желании его можно сменить на русский, для этого в запросе “boot:” при загрузке надо набрать:

Общий вид десктопа после первой загрузки будет не совсем такой, как на приведенном снимке экрана:

Нужно добавить флаг переключения раскладки клавиатуры (русская-английская) в правом нижнем углу. Еще добавим два скрипта start.sh и stop.sh и ярлыки на них. Для этого нажимаем в линейке меню на Files (отмечено на рисунке стрелкой), нажимаем правую кнопку мыши (ПКМ, а левую кнопку будем называть ЛКМ) в окне домашней директории и выбираем в выпадающем меню создание текстового файла (Create NEW > Tex File). Этот файл называем start.sh, а повторив действия — stop.sh. Далее с помощью ПКМ открываем эти файлы (Open With > Text Editor) и копипастим следующее содержимое:

Можно сделать эти файлы в другой ОС и скопировать, а можно открыть Firefox и зайти на эту страницу Хабра. В любом случае хватаем файл ЛКМ, тянем его на десктоп, отпускаем ЛКМ, в выпавшем меню выбираем Link here. Еще нужно разрешить этим файлам исполняться. Для этого жмем ПКМ на start.sh и выбираем Properties в выпавшем меню. Откроется диалог, который нужно привести к следующему виду:

Аналогичные действия производим со stop.sh. О назначении скриптов будет рассказано ниже.

Проделав описанные действия, можем дополнительно изменить настройки системы. Например, кого-то могут раздражать анимации окон при закрытии. “Обои” десктопа тоже могут показаться слишком экстравагантными. Далее, не перегружая ОС, делаем ее клон на новой флешке. Для этого устанавливаем флешку во второй ридер — системную трогать нельзя (об этом высвечивается предупреждение в начале загрузки ОС). Нажимаем на пиктограмму дискеты (“Install KNOPPIX to . ”) в левом верхнем углу экрана. В раскрывшемся диалоге выбираем сменный носитель, а потом нашу флешку “куда”:

Соглашаемся на удаление с нее всей бывшей информации и выбираем RO формат:

Далее жмем Yes, в том числе и на переделку ОС:

Любуемся на “градусник”, но вот когда он дойдет до конца и пропадет — тут главное не торопиться вынимать флешку!

Если ридер с лампочкой/светодиодом, то будет видно мигание — процесс не закончился. Нужно дождаться заключительного сообщения (иначе флешка грузиться не будет):

Только теперь можно выбрать в меню Logout и Shutdown в открывшемся диалоге:

Весь процесс установки системы на флешку занимает на моем ПК около 9 минут — “около”, потому что процесс диалоговый и общее затраченное время зависит от скорости реакции пользователя. С DVD ROM система загружается 160 сек., а с флешки всего за 32 сек. Скрипт start.sh отрабатывает за 20 сек., а stop.sh за 25 сек. до полного выключения ПК.

В том, что полученная флешка read-only, легко убедиться — сделать какие-либо изменения и перегрузить систему — изменения исчезнут. Как уже сказали выше, для web-серфинга достаточно браузера. В Knoppix по умолчанию это Firefox. Его профиль (настройки, историю, закладки и т.д.) будем сохранять на флешке для сохранения. Казалось бы, для этого можно использовать менеджер профиля Firefox. Но, к сожалению, там прописывается фиксированный путь к папке с профилем, а флешка сохранения может смонтироваться под разными именами, например, sda1 и sde1 в зависимости от того, проводилась ли загрузка ОС в присутствии этой флешки или пользователь установил ее уже после загрузки. Не найдя папки профиля, Firefox сильно обижается. Поэтому и пришлось добавить скрипты start.sh и stop.sh. Загрузив ОС, жмем ЛКМ на ярлыке start.sh (флешка сохранения должна быть установлена и на флешке должна быть папка KnoppixSave). Скрипт отыскивает эту флешку и, если в папке KnoppixSave есть папка mozilla, то содержимое последней копируется на место удаленной папки .mozilla в домашней директории ОС. Это папка с профилем Firefox. Потом запускается Firefox. Закончив серфинг, закрываем Firefox и жмем ЛКМ на ярлыке stop.sh — происходят обратные действия по копированию профиля Firefox в папку KnoppixSave флешки сохранения. Потом следует команда на выключение ПК. Код ошибки каждой команды скрипты пишут в лог-файл.

Должен отметить, что никогда не работал системным программистом и писал скрипты по мере личной необходимости, т.е. нечасто, т.о. опыт в этом деле у меня небольшой, и те, кому приходится это делать каждый день, безусловно смогут предложить более элегантные решения — Welcome! Тем же, кто знает еще меньше меня, поясню, что знак решетки “#” обозначает начало комментария, что команды скрипта можно по одной копировать в Terminal (его пиктограмма справа от Files — см. снимок) и смотреть, какой будет результат выполнения. Чтобы получить справку о команде, надо в Terminal’e набрать эту команду, а потом “ —help”. Еще больше можно узнать, если погуглить на слово “bash” — в частности, на Хабре есть очень хорошие руководства.

Обозначим как все уязвимости ОС за исключением уязвимостей Firefox, связанных с профилем, которые обозначим как , тогда при обычной установке на жесткий диск общая уязвимость ОС будет , а в нашем случае только . C большой долей вероятности можно предположить, что F$» data-tex=»inline»/>. Для предотвращения проникновения зловредов через флешку сохранения на другие диски в случае, когда эта флешка используется вместе с ними под MS Windows, например, для перенесения скачанного из сети файла, на эту флешку стоит поставить защиту от autorun-вирусов, а в Windows отключить автозапуск. Конечно же, при этом Windows нужны и обычные системы охраны от зловредов.

К сожалению, флешки, как и всякие электронные устройства, иногда перегорают, причем делают это в самый неподходящий момент. Поэтому при достижении удобной конфигурации ОС систему стоит установить и на вторую флешку, которая будет запасной. По мере необходимости конфигурации можно обновлять, переписывая флешки.

Источник

Веб-серфинг в шапке-невидимке: Liberte Linux для настоящего анонимуса

Содержание статьи

В анонимной работе в интернете уже давно заинтересованы не только господа в черных шляпах: нередки случаи, когда обычных пользователей привлекали к ответственности всего лишь за нелестный комментарий или запись в блоге. Спрос рождает предложение, так что сегодня речь пойдет об инструменте достижения анонимности Liberte Linux.

Запили мне Liberte на флешку

Liberte Linux относится к семейству LiveUSB-дистрибутивов, то есть дистрибутивов, которые живут на флешках и прочих съемных носителях. Это весьма удобно в тех случаях, когда требуется быстро развернуть среду для (анонимной) работы на постороннем компьютере, будь то десктоп, ноутбук или нетбук без оптического привода. Среди ключевых особенностей дистрибутива, отличающих его от аналогичных решений, стоит отметить следующие:

• повышенная безопасность системы (так как в основе — Hardened Gentoo Linux);
• простота использования;
• нетребовательность к системным ресурсам;
• весь сетевой трафик идет через Tor;
• возможность общаться с другими анонимусами через скрытые сервисы Tor (опция доступна полностью в версии 2011.1);
• шифрование всей пользовательской информации.

Несмотря на то, что дистрибутив основан на Gentoo, компилировать ядро и софт не потребуется, а если приспичит собрать из исходников, то этот процесс максимально автоматизирован. Образ, который можно записать на флешку или SD-карту, уже содержит в себе все нужное для работы. В состав дистрибутива входит только легковесное ПО, основанное на GTK; минималистичный и быстрый менеджер окон Openbox; модульный X-сервер с TrueType шрифтами. Поддерживаются все unicode-локали и раскладки клавиатур, а также имеется поддержка виртуальной экранной клавиатуры. Все приложения собраны с использованием инструментария сборки проекта Hardened Gentoo, который включает такие патчи, как SSP (защита от переполнения стека и буфера) и ASLR (рандомизация распределения памяти).

Весь необходимый для работы софт есть в наличии:

• Midori 0.2.8 — легковесный браузер, основанный на движке WebKit и тулките GTK;
• Claws Mail 3.7.6 — быстрый и легкий клиент электронной почты с графическим интерфейсом, полностью поддерживающий шифрование GnuPG;
• Sakura 2.3.8 — эмулятор терминала, основанный на VTE;
• Audacious 2.4.0 — аудиопроигрыватель с поддержкой всех распространенных форматов (mp3, ogg, flac, ape);
• GNOME Mplayer 0.9.9.2 — стандартный для окружения GNOME проигрыватель видеофайлов, фронтэнд для mplayer на GTK;
• PCManFM 0.9.7 — файловый менеджер с графическим интерфейсом (Midnight Commander также в твоем распоряжении);
• Evince 2.30.3 — просмотрщик документов pdf (с поддержкой DjVu);
• Abiword 2.8.6, Gnumeric 1.10.6 — офисные приложения с поддержкой форматов Microsoft Word и Excel.

Для установки дистрибутива нам потребуется архив с образом и установочными скриптами (можно скачать с официального сайта), а также флешка емкостью не менее 256 Мб. Дистрибутив нетребователен не только к свободному месту, но и к другим аппаратным частям. Заявляется, что он будет работать на компах с оперативной памятью 128 Мб и процессорами вплоть до Pentium Pro.

Рассмотрим установку из Linux:

Создаем точку монтирования для флешки: mkdir /media/usbstick .

Монтируем флешку: mount /dev/sdb1 /media/usbstick .

Распаковываем архив в корневую директорию флешки: unzip liberte-2010.1.zip -d /media/usbstick .

Копируем установочный скрипт на локальный диск: cp /media/usbstick/liberte/setup.sh /tmp/setup.sh .

Делаем его исполняемым: chmod +x /tmp/setup.sh .

Размонтируем флешку: umount /dev/sdb1 .

Запускаем скрипт установки: /tmp/setup.sh .

Также для установки понадобится утилита syslinux версии 4.02, которая в большинстве случаев устанавливается через штатный менеджер пакетов твоего дистрибутива. Я использую Arch Linux, где на момент написания статьи была доступна syslinux 4.03 — из-за этого пришлось немного отредактировать первые строчки в скрипте:

$ head -n5 setup.sh
#!/bin/sh -e

Установленная версия

Путь к mbr.bin (можно узнать командой «find /-name mbr.bin»)

Установка из Windows более прозаична, нужно лишь распаковать содержимое архива на флешку и запустить скрипт setup.bat с правами администратора. Так как утилита syslinux идет внутри архива, то ничего дополнительно устанавливать не нужно.

Основное splash-лого дистрибутива как бы намекает

It’s easy to use!

Теперь, указав в BIOS’е приоритетную загрузку со съемных носителей, можно увидеть окно загрузчика Liberte, где требуется выбрать один из двух режимов загрузки — графический или консольный. Графический используется в большинстве случаев, а консольный полезен тем, что через него можно получить рутовый доступ, переключившись на второй виртуальный терминал (Alt+F2). Правда, следует учесть, что после двух минут бездействия рутовая консоль делает автологаут. Там же можно разблокировать учетную запись рута командой » usermod -U root » и изменить пароль по умолчанию с помощью утилиты passwd. Воспользовавшись sudo, мы ограничим свои действия всего лишь несколькими командами, поэтому запуск под рутом иногда может быть вполне оправдан.

Privatix Live-System

Разработка суровых немецких анонимусов. Эта система основана на Debian и может быть установлена как на CD-, так и на USB-устройства. Причем установка на USB происходит только из загруженного LiveCD. В дистрибутиве присутствует удобная графическая утилита для шифрования съемных носителей — UsbCryptFormat, а также утилита для простого резервного копирования зашифрованных данных CryptBackup в несколько кликов. Серфинг веба здесь происходит через Firefox и Torbutton. Система весьма требовательна к свободному месту — для установки требуется как минимум 3 Гб.

DemocraKey LiveCD

Дистрибутив был разработан в ответ на ужесточение цензуры в интернете правительствами Китая и США. Весьма интересный проект, который нацелен не столько на анонимность, сколько на сохранность персональных и финансовых данных. Автор этого проекта даже предлагает приобрести уже готовую флешку с этим дистрибутивом и радоваться жизни, а также намекает на то, чтобы все заинтересованные быстрее покупали его изделие, пока оно еще легально на территории США. Кроме всего прочего, в состав дистрибутива входит антивирусный сканер, который может помочь излечить инфицированную винду, расположенную по соседству. Среди стандартного арсенала анонимуса: анонимный веб-серфинг через Tor, шифрование почты и трафика клиента мгновенных сообщений (Pigdin + OTR).

The (Amnesic) Incognito Live System

Этот проект стал преемником дистрибутива Incognito LiveCD после того, как автор объявил об окончании разработки. Но, в отличие от Incognito LiveCD, этот дистрибутив может быть записан как на CD-диск, так и на флешку. Создатели гарантируют, что, во-первых, все соединения с Сетью принудительно происходят через Tor, а во-вторых, при работе не остается никаких следов на локальных носителях.

В качестве окружения рабочего стола используется GNOME, а в комплекте идет несметное количество GTK-программ (Firefox, OpenOffice, Pigdin с плагином для безопасной передачи сообщений OTR и так далее) — всего около 2 Гб софта! Благодаря тому, что система распространяется в том числе и как образ iso, ее легко можно запустить на виртуальной машине типа VirtualBox.

Liberte Linux не только дает возможность анонимного доступа к Сети, но и хранит все пользовательские данные в виртуальном зашифрованном разделе OTFE с применением стойкого алгоритма шифрования AES-256 в режиме XTS. Этот раздел в виде файла находится на флешке и имеет динамический размер, который можно изменять командой otfe-resize. Настройки параметров зашифрованного раздела могут гибко изменяться под нужды пользователя с помощью конфига, представленного ниже.

Параметры зашифрованного хранилища

OTFEFILE=/otfe/liberte.vol
OTFELABEL=»Liberte OTFE»

Размер хранилища, указывается как часть от общего свободного места на носителе (A/B)

Используемые алгоритм и режим шифрования, размер ключа шифрования и алгоритм хеширования

OTFECIPHER=aes-xts-plain
OTFEKEYSIZE=256
OTFEHASH=sha256

Имя раздела LVM

(используется утилитой otfe-resize)

В случае обострения параноидальных симптомов можно зашифровывать отдельные файлы с помощью GnuPG или GPA, которые входят в состав дистрибутива. Во время первой загрузки нас попросят указать пароль для зашифрованного виртуального раздела OTFE. При каждой последующей загрузке его нужно будет вспоминать и вводить, иначе система не загрузится.

Для доступа в сеть используется браузер Midori с уже настроенным Tor. Примечательно, что весь разрешенный трафик идет через Tor, что исключает непредвиденные утечки информации (например, открытые запросы к DNS-серверу, несмотря на прокси, или запросы к DHCP-серверу, содержащие реальное имя хоста), а остальной трафик просто блокируется брандмауэром. В этом можно убедиться, набрав » iptables -L » под рутом. Пакетный фильтр по умолчанию настроен на блокирование всех входящих и исходящих пакетов за исключением трафика DHCP, DNS, NTP и Tor, причем передаваемые по DHCP параметры максимально урезаны, а передача имени хоста, ARP и IPv4LL (IPv4 Link-Local Addresses) — блокируется.

Для обеспечения приватности в Wi-Fi сетях MAC-адрес беспроводного интерфейса генерируется случайным образом с помощью утилиты mac-randomize. Так как для регистрации на некоторых точках доступа необходим прямой вход браузером, в Liberte предусмотрена возможность отдельного запуска браузера от обособленного пользователя, который имеет доступ только к DNS и портам типовых сервисов web-регистрации. Стоит отметить интересный момент при работе с дистрибутивом: если внезапно наступил шухер, то можно просто выдернуть флешку из порта (и съесть), а компьютер через несколько секунд выключится сам.

Простые американцы чтут Вторую поправку к Конституции, согласно которой самый обычный гражданин может противостоять нагло попирающему его права государству, зажав купленную в кредит автоматическую винтовку M-16 в одной руке и гамбургер в другой. В мире сетей и двоичных кодов неравная расстановка сил в этой милой и наивной фантазии внезапно меняется — даже если вездесущему оку электронной разведки противостоит простой анонимус в тапочках, сжимающий флешку с современными средствами шифрования в одной ладошке и журнал «Хакер» в другой. Именно поэтому Liberte Linux ставит своей целью дать юзерам возможность скрыто и безопасно общаться между собой в любое время и в любом месте, где есть компьютер с выходом в Сеть. Данная функциональность, являющаяся основной для дистрибутива, реализована в версии 2011.1.

На скриншоте видно, что обмен сообщениями в новой версии происходит через привычный интерфейс программы для отправки почты — в данном случае, Claws-Mail. Для анонимусов, предпочитающих удобство общения потаканию паранойе, в релиз включены также IRC-клиент XChat и IM-клиент Pidgin — с настройками, ориентированными на приватность общения. Также включены простые средства создания mp4-видеороликов и аудиоклипов в формате Speex с помощью веб-камеры и микрофона.

Конечно, с визуальной точки зрения Liberte уступает более навороченным дистрибутивам, в которых можно включать такие свистелки, как Compiz. Но главный упор при разработке Liberte делается на качество и надежность работы, а также нетребовательность дистрибутива к железу. Анонимус, знай: о тебе заботятся, для тебя делают самое лучшее, бесплатно и без СМС.

Maxim Kammerer mk@dee.su, автор дистрибутива.

Сборка из исходников

Liberte можно легко собрать из исходников. Для этого подойдет любой Linux дистрибутив, необязательно быть пользователем Gentoo. Во время сборки оказалось, что у меня не установлен пакет rsync, поэтому пришлось доустановить его и заново запустить процесс. Для успешной сборки также необходим пакет SquashFS Tools 4.1. Вся процедура занимает несколько часов на более-менее современном процессоре и требует около 4 Гб свободного места на харде.

Процесс сборки выглядит следующим образом:

1. Скачиваем исходники (рекомендуется скачивать из svn, тогда вероятность возникновения проблем при сборке меньше):

svn co https://liberte.svn.sourceforge.net/svnroot/liberte/trunk/liberte liberte

1. Запускаем сборку в папке /tmp/livecd:

Если по какой-то причине невозможно скачать исходники из svn, то их можно взять с сервера sourceforge.net:

$ wget https://downloads.sourceforge.net/project/liberte/2010.1/liberte-2010.1-src.tar.bz2
$ tar xjf liberte-2010.1-src.tar.bz2
$ mv liberte-201X.Y-src liberte

В скрипте build поддерживается параметр fresh, который используется для новой сборки дистрибутива.

На основе исходников Liberte Linux можно собрать собственный LiveUSB-дистрибутив. Список пакетов находится в файле src/var/lib/portage/world — приверженцы более «человечных» окружений рабочего стола (или, наоборот, более суровых тайловых менеджеров окон) могут установить их туда, а также изменить набор интересующего софта. Потребуется просто добавить в конфиг строчку с нужным названием. Точное название приложений можно подсмотреть в дереве портежей по адресу gentoo-portage.com/browse. Все пользовательские настройки находятся в /home/anon/ и, чтобы лишний раз не мучиться с их допиливанием, можно просто скопировать нужные конфигурационные файлы из своей домашней директории (если, конечно, ты являешься счастливым пользователем линукса). Системные настройки, как и полагается, находятся в /etc.

Есть куда стремиться

Tor позволяет клиентам и серверам предоставлять скрытые сервисы. То есть можно запустить веб-сервер, SSH-сервер и так далее, не раскрывая свой IP-адрес пользователям. И, поскольку при этом не используется никакой публичный адрес, можно запустить скрытый сервис, находясь за файерволом. По задумке автора, в процессе первой загрузки на основе слепка сертификата и сервисного ключа сети Tor будет генерироваться уникальный e-mail пользователя, который в последующем можно будет использовать для связи с другими пользователями дистрибутива Liberte через скрытые сервисы Tor. В текущем релизе (2010.1 на момент написания статьи) данная возможность пока не доведена до кондиции, хотя она заявлена как ключевая. В Liberte Linux пока нет поддержки набирающей популярность сети I2P (также известной под названием «Проект Невидимый Интернет») — анонимной, самоорганизующейся распределенной сети, которая использует модифицированный DHT Kademlia, но отличается тем, что хранит в себе хешированные адреса узлов сети, зашифрованные AES IP-адреса, а также публичные ключи шифрования, причем соединения по Network database тоже зашифрованы. Автор дистрибутива открыт для новых идей. Если у тебя есть предложения по развитию проекта, то их можно отсылать на адрес mk@dee.su.

Links

Заключение

Тенденция к ужесточению интернет-цензуры в ближайшие годы будет сохраняться, поэтому готовым к этому надо быть уже сейчас. Несмотря на мое неприятие политики MS в целом, с одним высказыванием Билла Гейтса все же хочется согласиться: свобода слова в Сети рано или поздно победит…

Warning

Не стоит забывать, что анонимность, как и все в нашем мире, не бывает абсолютной. Поэтому ответственность за совершенные действия рано или поздно может придти!

Источник