Lindows Teil 3: Double Impact mit Whonix

Whonix ist, ähnlich wie der BitBox-Browser, eine autarke virtuelle Maschine mit Linux Debian-Betriebssystem, die per Mausklick unter Windows aufgerufen werden kann. Der Unterschied: Während die BitBox nicht viel mehr enthält als ein rudimentäres Linux plus einem Browser, arbeitet Whonix mit zwei virtuellen Maschinen gleichzeitig, um sich noch wirksamer vom Gastgeber-PC abschotten zu können und obendrein dessen IP-Adresse bei Besuchen im Internet zu verbergen. Kaum verwunderlich, dass die Setup-Datei mit satten 3,6 Gigabyte daherkommt und die Installation 8 Gigabyte freien Festplattenspeicher voraussetzt. Letztlich ist Whonix ein kompletter Desktop-PC mit allem Drum und Dran, inklusive üblicher Anwendungen, plus eine zweite Installation, die als Gateway dient.

Was sind virtuelle Maschinen?

Eine virtuelle Maschine ist eine Software, die sich verhält wie ein kompletter Rechner. Sie simuliert ein eigenständiges System auf einem Host-PC (dem Gastgeber) und ermöglicht so die gleichzeitige Ausführung von verschiedenen Plattformen. Der große Vorteil dieser von Virtualisierungs-Software wie Oracles VirtualBox erzeugten und unterhaltenen virtuellen Maschinen ist deren Unabhängigkeit vom jeweiligen Gastsystem. So lassen sich, wie bei einer Matroska-Puppe, Linux-Systeme unter Windows verwenden (oder umgekehrt), mehrere Windows-Varianten ausprobieren oder spezielle Systeme auf Basis bestimmter Plattformen realisieren, die sogar untereinander kommunizieren können.

Whonix ist so ein spezielles System, bestehend aus einem umgestalteten Debian, zwei virtuellen Maschinen sowie verschiedenen, hinsichtlich Sicherheit und Anonymität vorkonfigurierten Anwendungen. Es sorgt dafür, dass der hauseigene Datenverkehr streng innerhalb der virtuellen Maschine verbleibt und die ins Internet gehenden Übertragungen der verschiedenen Programme entweder über Tor umgeleitet oder, falls nicht möglich, blockiert werden. Individuelle Anpassungen wie weitere Programme und Desktop-Personalisierungen sind nicht vorgesehen.

Download und Installation

Der Download von Whonix erfolgt über die hauseigene Website, wo man sich die für sein Betriebssystem der Wahl angelegte Version besorgt: Windows, Linux, Mac OS X oder Qubes. Der Windows-Download kann als Komplettpaket erfolgen, bestehend aus der Setup-Routine, der Virtualisierungssoftware VirtualBox, den virtuellen Maschinen und einer einfachen Start-GUI.

Wer VirtualBox hingegen bereits installiert hat, greift bevorzugt auf die beiden separat erhältlichen virtuellen Maschinen zurück, die fertig vorkonfiguriert im Linux-Downloadbereich zu finden sind. Für die im Folgenden beschriebene Vorgehensweise wird auf die zweite Möglichkeit zurückgegriffen, da die Installation des Whonix-Komplettpakets locker von der Hand geht und keiner Erklärung bedarf – außer vielleicht den Weg der Dateiverifizierung:

Exkurs: Dateiverifizierung

Privatsphären-Enthusiasten bevorzugen nicht nur Programme, die Datenschutz ernst nehmen, sie wollen oftmals auch sicherstellen, dass diese Programme auch tatsächlich die von den jeweiligen Programmierern erstellten Versionen sind und nicht etwa durch Hintertüren erweitert oder sonst wie negativ modifiziert wurden. Hierzu bieten sich Verifizierungen mittels OpenPGP an, die folgendermaßen funktionieren:

  1. Downloade und installiere Gpg4win: https://www.gpg4win.org/
  2. Lade die zur jeweiligen Software gehörende ASC-Datei herunter, bei Whonix ist es die auf der Anleitungsseite verlinkte Datei ‚ego.asc‘. Kopiere die Datei in ein einfach zu erreichendes Verzeichnis.
  3. Öffne ein Kommandozeilenfenster. Hierzu drücke die Windowstaste gleichzeitig mit der ‚R‘-Taste und tippe ‚cmd‘ ein.
  4. Im Kommandozeilenfenster gibst du nun ‚gpg –keyid-format long –with-fingerprint ego.asc‘ ein.
  5. Das Ergebnis sollte so aussehen:
    • pub 4096R/584A8DF9FBB8E862 2016-08-12 Ego <ego-superego-id@protonmail.com>
    • Key fingerprint = 2B72 83C9 D382 4D7F 9D11 8364 584A 8DF9 FBB8 E862
    • sub 4096R/B63EEBBFD6D1BAA7 2016-08-12
  6. Falls nicht, ist die Datei korrumpiert.
  7. Falls ja, importiere nun die Datei mit ‚gpg –import ego.asc‘.
  8. Die Meldungen dieses Mal:
  • gpg: key FBB8E862: public key „Ego <ego-superego-id@protonmail.com>“ imported
  • gpg: Total number processed: 1
  • gpg: imported: 1 (RSA: 1)

Virtuelle Maschinen einrichten

Im Linux-Downloadbereich findest du die Links für die beiden virtuellen Maschinen, dem Gateway sowie der Workstation.

Lade sie herunter, starte anschließend VirtualBox (falls du VirtualBox noch installieren musst, findest du es hier) und klicke dort im oberen Menü auf ‚Datei > Appliance importieren‘. Hinweis: Möchte VirtualBox, dass du ein sogenanntes ‚Extension Pack‘ installierst, komme dem nach.

Suche das Whonix-Gateway-Image und klicke auf ‚Weiter‘. Im Einstellungsfenster belässt du ALLE Optionen wie vorgefunden, klickst auf ‚Importieren‘, bestätigst die Lizenzannahme und wartest, bis das Gateway-OVA importiert wurde. Danach wiederholst du alle Schritte für das Workstation-OVA.

Whonix Gateway

Starte jetzt zunächst die Gateway-Maschine und nehme die folgenden Einstellungen vor (ein Assistent führt dich durch die einzelnen Schritte):

  1. Gateway starten: Aktiviere die Gateway-Maschine aus der Liste der virtuellen Maschinen heraus mit einem Doppelklick.
  2. Gateway einrichten: Ist die Gateway-Maschine gestartet, müssen ein paar Einrichtungsschritte abgehakt werden.
    • System-Grundeinstellung: Stelle sicher, dass eine Internetverbindung besteht und klicke dann im gestarteten Assistenten die für dich gültige Option an – was in aller Regel ‚I am ready to enable Tor‘ sein wird. Klicke abschließend auf ‚Finish‘ und warte bis der interne Check abgelaufen ist.
    • Update: Öffne jetzt ein Terminalfenster (‚K‘-Symbol > Terminal) und aktualisiere das Gateway-Betriebssystem mit dem Befehl ‚sudo apt-get update 66 sudo apt-get dist-upgrade‘. (Der Standard-Username ist ‚user‘, dass Passwort hierfür ist ‚changeme‘ – was man übrigens durchaus wörtlich nehmen sollte.)
    • Sprache anpassen: Klicke auf das Startsymbol unten links (das ‚K‘), wechsele zu ‚Applications -> Settings -> System-Settings‘, wähle ‚Input Devices‘ unter ‚Hardware‘, aktiviere den Reiter ‚Layouts‘ und markiere unten ‚Configure Layouts‘. Via ‚Add‘ fügst du das deutsche Layout ein und löscht anschließend das englische. Übernehme die Einstellungen und kehre zum Terminalfenster zurück.
    • Passwort ändern: Um das Standard-Passwort zu ändern, tippe ‚sudo su‘ ein, dann ‚passwd‘ und anschließend ‚passwd user‘ sowie, natürlich das von dir gewünschte Passwort für den ‚Superuser‘ (su) und den normalen User.
    • Abschließen: Fahre die Gateway-Maschine herunter und starte sie neu – oder passe sie an, um auf leistungsärmeren Computern Speicher zu sparen.
  3. Gateway anpassen: Ist die Gateway-Maschine eingerichtet, kann man ihren Speicherbedarf reduzieren. Hierzu markierst du den Gateway-Eintrag in der Liste der virtuellen Maschinen (achte darauf, dass sie ausgeschaltet ist) und klickst auf ‚Ändern‘. Aktiviere das Register ‚System‘ und schiebe den Regler bei ‚Hauptspeicher‘ auf ‚128‘. Dies reicht nicht mehr für eine grafische Darstellung des Whonix-Gateways, das System erkennt aber die Änderung und startet sich selbst im Kommandozeilenmodus. Updates können dort ebenso vorgenommen werden wie auf dem grafischen Desktop – und sollten es auch, um Sicherheitslücken zu vermeiden. Möchte man den grafischen Desktop wieder herstellen, setzt man den Speicher zurück auf ‚792‘ oder ‚512‘.

Whonix Workstation

Die Workstation-Appliance wird ähnlich eingerichtet wie der Gateway, einschließlich des System-Updates. Zusätzlich hinzu kommt die Einrichtung des Tor Browsers, der aus rechtlichen Gründen nich von vornherein an Bord ist.

Klicke zur Einrichtung auf das Symbol ‚Tor Browser Download‘ und wähle die gewünschte Version aus (normalerweise die aktuellste, es sei denn, es sind Sicherheitslücken bekannt). Das war’s. Ab sofort surfst du über das Tor-Netzwerk im Internet, bzw. lässt alle Programme der Whonix Workstation über das Tor-Netz mit dem Internet kommunizieren.

Was kann man erwarten?

Dadurch, dass der getrennte Gateway den Datenaustausch mit dem Internet über das Tor-Netzwerk erledigt, braucht sich der Nutzer der Workstation kaum Sorgen um sammelwütige Datenspione aus der Wirtschaft und Kriminellen machen, die an seine IP-Adresse gelangen möchten. Auch DNS- und IP-Leaks gehören damit der Vergangenheit an. Nicht einmal Querverbindungen zwischen einzelnen Anwendungen sind machbar, da die Datenströme voneinander isoliert sind und über verschiedene Tor-Knoten laufen.

Was kann man besser machen?

Die Nachteile von Whonix liegen zum einen in der naturgegebenen Langsamkeit des Tor-Netzwerks, wogegen allerdings kein Kraut gewachsen ist. Anders das Problem der generellen Unsicherheit, was den Betreiber des Exit-Servers betrifft, dessen Glaubwürdigkeit nicht immer gegeben ist.

Hierzu solltest du wissen, dass die Datenströme beim Tor-Netzwerk über mehrere zufällige Server fließen, sogenannte Nodes, wobei der letzte Server auch der Exit-Knoten ist und die Verbindung zum eigentlichen Ziel herstellt. Alle Server des Netzes werden von Nutzern oder Organisationen bereitgestellt, ohne Kontrolle darüber, wer diese sind oder warum sie zum Netz beitragen. Da mag es dann kaum verwundern, dass gerade die Ausgangsserver, in denen die Datenströme unverschlüsselt das Tor-Netz verlassen, besonders beliebte Abhörstationen sind. Gerade Geheimdienste stehen deshalb im Verdacht, gerne solche Exit-Server zu betreiben. Abhilfe schafft eine effektive Ende-zu-Ende-Verschlüsselung, die auf dem Wirtsrechner einsetzt und auch nach dem Exit-Knoten weiter besteht.

Gesondert geschützt werden muss darüber hinaus auch das Wirtssystem, denn Whonix sorgt nur für gesicherte Verbindungen im Gastsystem, leistet aber keine Art von Schutz für den Wirt selbst. Ist dieser kompromittiert, bspw. durch Schadsoftware wie einen Trojaner, ist auch Whonix gefährdet.

Whonix mit CyberGhost

Startet man CyberGhost vor Aktivierung von Whonix, sichert man auf diese Weise auch den Traffic des Exit-Knotens, da der komplette Datenverkehr, der auf diese Weise das Tor-Netz verlässt, immer noch durch den VPN verschlüsselt ist. Selbst Knoten-Server oder Exit-Nodes, die direkt von Geheimdiensten betrieben werden, liefern dann keine verwertbaren Inhalte oder Metadaten. Ersteres verhindert die 256-Bit-Verschlüsselung durch CyberGhost und Letzteres offenbart nur die Adressen eines CyberGhost-Servers.

Um vor bösen Überraschungen sicher zu sein, bindet man deshalb am besten VirtualBox in den CyberGhost-Programmschutz ein. Hierzu klickt man im CyberGhost-Client im oberen Menü auf ‚Optionen‘, dann im Einstellungsfenster auf ‚Programmschutz‘ und arbeitet anschließend die notwendigen Schritte ab, um VirtualBox in die Liste der zu schützenden Programme aufzunehmen.

  1. Programmschutz aktivieren durch Betätigung des dafür vorgesehenen Schalters.
  2. Hinzufügen von VirtualBox durch einen Klick auf ‚Programm hinzufügen‘ und Einbinden der Datei ‚VirtualBox.exe‘ im Programmordner der Anwendung.
  3. Auswahl des gewünschte Verbindungsprofils. Beachte hierbei, dass jedes Profil immer mit den zuletzt genutzten Einstellungen angewendet wird. Sorge deshalb dafür, dass der Malwareblocker immer mit aktiviert ist.

Startest du jetzt VirtualBox, wird automatisch zuerst eine CyberGhost-Verbindung aufgebaut und erst dann die Virtualisierungssoftware in den Speicher geladen.

Tipp: Klickst du in der Liste der virtuellen Maschinen in VirtualBox mit der rechten Maustaste auf einen Eintrag, lässt sich zu der jeweiligen Maschine eine direkte Desktopverknüpfung erstellen. So kannst du Workstation und Gateway direkt vom Desktop aus starten und absichern.

Und noch ein Tipp: Klicke im Fenster der virtuellen Maschine mit der Whonix Workstation auf den Menüeintrag ‚Anzeige > Nahtloser Modus, verschwindet das Fenster und nur die in der virtuellen Maschine geöffneten Fenster sind auf deinem Windows-Desktop sichtbar.

About the author

CyberGhost VPN - Uli
CyberGhost VPN - Uli

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

© 2017 CyberGhost