Линукс для параноика

[Shutdown]

Спойлер: Вместо вступления

Все изложенное ниже, может уже где-то встречалось Вами, но тем не менее, писал то, что использовал и настраивал сам

Приветствую, данный гайд подойдет для большинства Debian-подобных дистрибутивов, разумеется о Windows речи уже не идет.
Пожалуй, начнем. Нам понадобится флешка, желательно побольше размером. 32 ГБ хватит вполне. Советую посмотреть на скорость записи, все таки это наш будущий носитель.
На флешке у нас расположится ОС, это дает относительную безопасность, в случае прихода хмурых дяденек, всегда успеете выкинуть, проклотить, а то и вовсе съесть.
Для начала скачаем дистрибутив. Пусть будет Kali, я выбрал kali-linux-mate-2019.3-amd64, достаточно легкое окружение, можете также выбрать XFCE4, можете скачать Gnome или кеды.

Спойлер: Kali Linux

Kali Linux Downloads

Official Kali Linux Downloads

www.kali.org

После следует записать образ на флешку, пользователи Windows могут воспользоваться Rufus, для линуксойдов проверенный dd и есть занятная программа Etcher.
Записав образ потребуется разметить незанятое пространство на флешке.

Спойлер: Выполняем команды

После загружаемся и выбираем режим загрузки persistence в GRUB
Дальше небольшие тонкости. Могут быть проблемы с драйверами, для сетевой карты или видеокарты понадобятся драйвера, конкретно для AMD потребуется amd-gpu-pro. Драйвера для карт можно найти на github.
Перед их установкой следует выполнить:

apt-get install linux-headers-$(uname -r) git dkms build-essential make gcc

После перейдем к основной части статьи

 

[Shutdown]

Следует помнить, что нам придется менять mac-адрес. Делается двумя путями.

ip link set [ваш интерфейс] down
macchanger [ваш интерфейс] -a
ip link set [ваш интерфейс] up

Это придется выполнять при каждом запуске
OR:

nano /etc/NetworkManager/NetworkManager.conf

Заменяем содержимое на:

[main]
plugins=ifupdown,keyfile

[ifupdown]
managed=false

[connection]
wifi.cloned-mac-address=random

[connection]
ethernet.cloned-mac-address=random

Добавим apt-transport-https, теперь репозитории будут скачивать по защищенному протоколу

apt install apt-transport-https

Проверим репозитории, они должны иметь вид:

deb https://http.kali.org/kali kali-rolling main non-free contrib
deb-src https://http.kali.org/kali kali-rolling main non-free contrib

Добавим пару приложений

apt-get install mat network-manager-openvpn-gnome secure-delete keepassx pidgin pidgin-otr etherape irssi tor lighttpd

Здесь есть ирка (IRC-клиент для общения), джаббер, который можно использовать через TOR, настройка VPN-соединения, удаление мета-информации, вроде EXIF из фото, безопасное удаление.
Стоит исключить нежелательные ноды из TOR, в path_to_tor/tor-browser_en-US/Browser/TorBrowser/Data/Tor/torrc
добавим

ExcludeNodes {ru},{ua},{by}

 

[Dahua]

Kali Linux тема
Юзал его на One

 

[Shutdown]

Маленький финт ушами. Логи терминала, псевдотерминала, будут храниться пока окно терминала открыто, а дальше удалятся. Для этого делаем:

cd /root
nano .bashrc

После HISTFILESIZE допишем, должно выйти так:

HISTFILESIZE=2000
HISTFILE=/tmp

Спойлер: небольшой перекур, я стер часть статьи :)

.

 

[Shutdown]

Итак, перейдем к шифрованию. Для данных подойдет давно известный TrueCrypt/VeraCrypt. Создаем скрытый контейнер, в обычном вы будете хранить свою легенду. Скажем, вы гей и там храните свои любимые фильмы, в условиях легенды конечно, хотя кто знает..
При разговоре с серьезными людьми скажите только этот пароль и возможно избежите наказания.
Стоит учесть, что возможна cold-boot атака, можно будет достать пароль из файлов гибернации или подкачки. Поэтому файла подкачки у меня нет)
Имеющим подкачку могу посоветовать eCryptfs:

apt-get install ecryptfs-utils cryptsetup
ecryptfs-setup-swap

Проверим все ли работает:

sudo blkid | grep swap

Найдите подпись ''cryptswap'
Ipkungfu

Спойлер

Установка:

Спойлер

apt-get install ipkungfu

Настройка:
nano /etc/ipkungfu/ipkungfu.conf

nano /etc/ipkungfu/ipkungfu.conf

Раскомментируем следующие строки:

# IP внутренней сети. Используйте "127.0.0.1"
# для автономной машины
LOCAL_NET="192.168.1.0/255.255.255.0"
---
# Gateway скорее всего не понадобиться трогать, если не соединяетесь через что-то другое.
GATEWAY=0
---
# Закрываем порты
FORBIDDEN_PORTS="135 137 139"
---
# Блокируем ping, тут отвалится большая часть хацкеров
# 1 - да, 0 - нет. По умолчанию нет.
BLOCK_PINGS=1
---
# Что делать с вероятно подозрительными пакетами
#SUSPECT="REJECT"
SUSPECT="DROP"
---
# Что делать с подозрительным трафиком
#KNOWN_BAD="REJECT"
KNOWN_BAD="DROP"
---
# Что делать со сканированием портов, в корзину сканирование
#PORT_SCAN="REJECT"
PORT_SCAN="DROP"

Автозапуск:
nano /etc/default/ipkungfu
"IPKFSTART =0" на "IPKFSTART=1"

Настройка sysctl.conf:

Спойлер

nano /etc/sysctl.conf

# Не принимайте ICMP перенаправления, во избежание MITM
net.ipv4.conf.all.accept_redirects=0
net.ipv6.conf.all.accept_redirects=0
net.ipv4.tcp_syncookies=1
#lynis recommendations
#net.ipv6.conf.default.accept_redirects=0
net.ipv4.tcp_timestamps=0
net.ipv4.conf.default.log_martians=1
# TCP Hardening
net.ipv4.icmp_echo_ignore_broadcasts=1
net.ipv4.conf.all.forwarding=0
net.ipv4.conf.all.rp_filter=1
net.ipv4.tcp_max_syn_backlog=1280
kernel.core_uses_pid=1
kernel.sysrq=0
#ignore all ping
net.ipv4.icmp_echo_ignore_all=1
# Do not send ICMP redirects (we are not a router)
net.ipv4.conf.all.send_redirects = 0
# Do not accept IP source route packets (we are not a router)
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0

 

[Shutdown]

Песочница создаст изолированную среду для приложения, на случай если оно окажется скомпрометированным.

apt-get install firejail

Для запуска через песочницу по-умолчанию создадим символическую ссылку:

ln -s /usr/bin/firejail /usr/local/bin/[приложение]

Перейдем к настройке браузера. Приходилось убивать около часа на настройку about:config, но все гораздо проще.
Идем на github и ставим себе нужную версию Librefox, для TOR версия тоже есть
Librefox
Firewall:

sudo apt-get install ufw gufw
sudo ufw enable
sudo ufw default deny incoming
sudo nano /etc/ufw/before.rules
#Меняем ACCEPT на DROP:

# ok icmp codes
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

 

[Shutdown]

Выходить в интернет можно через общественные места, а также можно ломать чужие сети.
Очень повезет, если роутеры будут подвержены атаке Pixie Dust, взлом сети уложится в 5 минут.
Самым легким способом будет использовать wifite.
Переведем карту в режим мониторинга:

ifconfig wlan0 down
iwconfig wlan0 mode monitor
ifconfig wlan0 up

Через wifite -wpa запускаем сканирование, дальше выполняем wifite -wps и выбираем нужную сеть.

 

[charliekris]

А действительно ли проглатывание флешки поможет, если придут логи?