Subgraph OS zapowiada się na najlepsze narzędzie do ochrony anonimowości w Internecie

Zachowanie prywatności w Sieci staje się sprawą coraztrudniejszą. Służby wywiadowcze wielu krajów robią co mogą, bywykorzystać luki w oprogramowaniu do zidentyfikowania użytkownikówsieci anonimizujących, takich jak Tor – i nie bez rezultatów.Niedawno ujawniono np. że użytkownicy systemu Tails mogą zostaćzdemaskowaniwskutek błędu w implementacji sieci Invisible Internet Project(I2P). Nie po raz pierwszy okazuje się, że dla bezpieczeństwaoprogramowania niezbędna jest nieustanna czujność programistów.Czy możliwe jest jednak wykrycie wszystkich błędów w takskomplikowanych narzędziach, jak poświęcone ochronie prywatnościnarzędzia? Zapewne nie – ale nie oznacza to, że ochronaprywatności jest w ogóle niemożliwa. Kanadyjscy deweloperzy zfirmy Subgraph twierdzą, że choć nie da się stworzyćpozbawionego luk oprogramowania, to jednak można stworzyć systemoperacyjny, który będzie odporny na takie luki.

Adam Golański

5 sierpnia 2014, 15:15

Subgraph OS, przedstawiany jako alternatywa dla znanego Tailsa,jest systemem operacyjnym bazującym na Debianie, jednak swojąarchitekturą daleko odbiega od typowej dystrybucji GNU/Linuksa.Wszystko w nim podporządkowano jednemu celowi: minimalizacji wpływuexploitów wymierzonych w luki w oprogramowaniu na działanie systemui bezpieczeństwo użytkownika. *Jeśli nawet znajdzie sięexploit, nie będzie on mógł zbyt wiele zrobić *–twierdzi David McKinney, główny programista Subgraph OS-a.

Zaprojektowany z myślą ozapewnieniu użytkownikom kompletnej anonimowości w Sieci systemwykorzystuje jądro Linuksa z łatkamiGrsecurity, chroniącymi przed wieloma klasami zagrożeń, w tymuszkodzeniami pamięci czy eskalacją uprawnień procesów.Poszczególne aplikacje uruchamiane są zaś w izolowanychkontenerach LXC, wskutek czego mają ograniczony dostęp do systemu,jego pamięci masowych i sieci. W ten sposób, jeśli nawet wotworzonym w czytniku pliku PDF znajdzie się działający exploit,to wciąż nie będzie on w stanie uzyskać dostępu do sieci, byzdemaskować użytkownika.

Twórcy SubgraphOS-a rozumieją też koniecznośćscentralizowanego zarządzania polityką dostępu do sieci dlaaplikacji, wymuszając ją za pomocą narzędzia Subgraph Metaproxy iaplikacyjnej zapory sieciowej. Metaproxy, zarządzające konfiguracjąposzczególnych proxy i przechwytujące połączenia wychodzące tak,by przeszły one przez właściwe dla nich proxy (np. HTTP czy SOCKS)pozwala na wymuszenie stosowania przez każdą aplikację korzystaniaz oddzielnego obwodu Tora. Dzięki temu można uniknąć sytuacji, wktórej internauta przeglądający strony w domenie .onion zostałbyzdemaskowany przez rozmowę prowadzoną na szyfrowanym komunikatorze.Z kolei systemowa zapora sieciowa pozwala na ograniczenie prawdostępu do Sieci dla aplikacji według ich nazwy czy docelowegoadresu sieciowego, dzięki czemu można uniemożliwić szkodnikomdzwonienie do domu.

Nowa dystrybucja przynosi nowe,napisane specjalnie dla niej aplikacje. Najważniejszą z nich jestwłasny klient poczty, zapewniający integrację z systememszyfrowania GPG i zapewniający łatwe uwierzytelnianie tożsamościpoprzez usługę Nyms (działającą jako ukryta usługa Tora).Aplikacje pisane są w językach wysokiego poziomu, by zminimalizowaćryzyko błędów uszkodzeń pamięci, chętnie wykorzystywanychprzeciwko oprogramowaniu pisanemu np. w C. Jak się możnaspodziewać, system wykorzystuje też sprawdzone mechanizmy kontroliintegralności zainstalowanych w nim aplikacji, korzystając zdeterministycznego procesu budowania pakietów ze źródeł (dziękiczemu zawsze można sprawdzić, czy nie doszło do manipulacji) isprawdzając poprawność sum kontrolnych z wersjami pakietówdostępnych w oficjalnym repozytorium.

Autorzy Subgrapha, wśród których sątacy eksperci jak Bruce Leidl, twórca narzędzia obfuscated-ssh iMirza Ahmad, twórca skanera luk Vega i niegdyś administrator listydyskusyjnej bugtraq, nie zapomnieli też o odpowiednim zabezpieczeniupamięci masowych i RAM. Szyfrowanie systemu plików nie jest tuopcjonalne – LUKS/dmcrypt działa domyślnie na wszystkichsystemowych partycjach. Podczas zaś wyłączania systemu całazawartość RAM jest wymazywana, tak by zapewnić ochronę przedatakami typu cold boot.

Kompleksowe i pragmatyczne podejście do bezpieczeństwa systemunie gwarantuje oczywiście cudów: użytkownicySubgraphOS-a nie staną się nagle całkowicie odporni na działania amerykańskich czyrosyjskich agencji wywiadowczych, policji czy cyberprzestępców. MirzaAhmad przekonuje jednak, że cuda wcale nie są tu potrzebne.Przeciwnik też bowiem nie dysponuje cudownymi technikami. Izolacjakomponentów, minimalizacja powierzchni ataku, inteligentnezarządzanie mechanizmami anonimizacji w praktyce mogą okazać sięwszystkim, co potrzebne do ochrony prywatności w erze coraz bardziejinwigilowanego Internetu, w którym np. Google otwarcie przyznajesię do tego, że skanuje pocztę swoich użytkowników (i jest ztego dumne – w końcu robi to w imię walki z dziecięcąpornografią).

Pierwsze wydanie Live CD Subgraph OS-a spodziewane jest na koniecsierpnia. Docelowo dystrybucja przeznaczona jest jednak do instalacjina komputerze, a nie do używania w formie Live CD jak Tails. Dlategozapewniać ma kompletne linuksowe środowisko robocze i swobodę winstalacji dodatkowego oprogramowania. Więcej informacji na temattego systemu znajdziecie na stronie firmySubgraph.

Adam Golański