© lassedesignen, 123RF

Unerkannt surfen: Viele Internetnutzer möchten ihre Privatsphäre im Netz schützen und ohne Not nichts von sich preisgeben. Das geht sogar kostenlos – mit der Spezial-Linux-Distribution Whonix, die das Tor-Netzwerk einbindet.

Wer Whonix[1] ausprobieren will, installiert es am besten in einer virtuellen Maschine. Natürlich würden sich auch physische Rechner eignen, sie bräuchten nicht einmal besonders neue oder leistungsstarke Hardware, aber dann müssten es zwei sein. Denn Whonix trennt konsequent die Internetverbindung physisch von dem Rechner, auf dem der Anwender arbeitet – entweder durch zwei VMs oder eben durch getrennte physische Systeme. Dabei ist es einfach, Whonix einzurichten und zu bedienen. Im Grunde sind nur zwei virtuelle Maschinen zu importieren, ein Assistent bindet sie dann an das Tor-Netzwerk an.

Die Architektur

Basis der Linux-Distribution Whonix sind also zwei virtuelle Maschinen oder zwei Computer. Einer dient als Verbindungsgateway zum Onion-Router-Netzwerk (Tor, [2]), er trägt im Whonix-Netzwerk die Bezeichnung Whonix-Gateway. Der andere Computer ist für die Applikationen gedacht, mit denen der Nutzer dann arbeiten will. Das Gateway richtet der Anwender zuerst ein, es stellt die Verbindung zum Internet her. Statt direkt mit dem Internet kann der Assistent das Gateway auch über einen Proxyserver verbinden.

Dass sich die Arbeitsstation in einem getrennten Netzwerk befindet, verhindert, dass sie durch Viren oder andere Malware verseucht werden kann oder dass ihre IP-Adresse bekannt wird. Die Arbeitsstation darf nur über das Whonix-Gateway und den darauf installierten Tor-Router auf das Internet zugreifen.

Virtualisieren lässt sich die Umgebung auf Basis von Quebes, KVM oder Virtualbox. VMware Vsphere oder Qemu lassen sich als Virtualisierungumgebung leider nicht verwenden.

Installation und Einrichtung

Der einfachste Weg zur Installation der beiden VMs führt über Virtualbox. Es gibt sie nämlich als OVA-Datei, die der Anwender recht einfach zu seiner Virtualbox-Konfiguration hinzufügen kann. Dazu muss er in Virtualbox lediglich das Importieren einer Appliance starten (Abbildung 1). Im ersten Schritt wendet sich der Anwender dem Gateway zu, im zweiten Schritt der Arbeitsstation.

Abbildung 1: Das Importieren der Whonix-VMs in Virtualbox gelingt leicht.

Nachdem die Umgebung installiert ist, hilft ein Einrichtungsassistent sie an die Anforderungen des Anwenders anzupassen. Hier lässt sich auf Wunsch noch einiges ändern, zum Beispiel die Anzahl der Prozessoren für die VM oder die Größe des verfügbaren Arbeitsspeichers. Bei der ersten Einrichtung startet Whonix auch den Setup-Wizard, der die Verbindung zum Tor-Netzwerk herstellt (Abbildung 2). Außerdem lässt sich hier festlegen, ob sich Whonix in Zukunft automatisch aktualisieren soll.

Abbildung 2: Bei der Einrichtung stellt Whonix zuerst eine Verbindung zum Tor-Netzwerk her. Es garantiert dem Nutzer das unerkannte Surfen im Internet.

Im Zuge der Einrichtung können Admins auch auswählen, welches Repository zu verwenden ist. Soll Whonix im produktiven Betrieb zum Einsatz kommen, bietet sich die Option »Whonix Stable Repository« an. Alternativ existieren ein »Testing« -Zweig und eine als »Experimental« gekennzeichnete Version.

Nachdem alle Optionen eingestellt sind, beginnt automatisch der Verbindungsaufbau zum Tor-Netzwerk. Außerdem lädt Whonix gegebenenfalls im Hintergrund Aktualisierungen herunter. Damit hier die neuesten Versionen zum Zuge kommen, empfiehlt es sich, zuvor die Repositories zu aktualisieren. Unter Whonix gelingt das mit »apt-get update« und »apt-get upgrade« . Sobald das Gateway einmal eingerichtet ist, muss es für die Verwendung von Whonix nur noch laufen, der Anwender kann es dabei bedenkenlos minimieren, denn hier gibt es nichts zu konfigurieren.

Ob alles funktioniert, überprüft das Tool Whonix Check. Es vergewissert sich, dass das Gateway aktuell und mit dem Tor-Netz verbunden ist. Sind mehrere Arbeitsstationen an das Whonix-Gateway angebunden, lässt sich der Datenverkehr mit Hilfe der Desktopverknüpfung »Arm-Tor-Controller« überwachen. Das so gestartete Tool zeigt Statistiken über den aktuellen Up- und Download (Abbildung 3).

Abbildung 3: Über das Whonix-Gateway kann auch die Verwendung der Tor-Internetverbindung durch die Whonix-Arbeitsstationen überwacht werden.

Whonix integriert eine Firewall, die sich über die Desktopverknüpfung »Global Firewall Settings« einrichten lässt. Die Einstellungen sind Kennwort-geschützt, das Default-Kennwort lautet »changeme« . Konfigurationsänderungen sind mit einem Klick auf die Desktopverknüpfung »Reload Firewall« abzuschließen.

Über das Symbol »Whonix Setup« startet der Assistent zur Anbindung an das Tor-Netzwerk neu. Das ist zum Beispiel dann nötig, wenn sich der Anwender über ein anderes Internet-Gateway verbinden will. Über den Assistenten ist es auch möglich, das Gateway an einen Proxyserver zu koppeln.

Mit Whonix arbeiten

Läuft das Gateway, passiert alles andere über die Arbeitsstation. Sie wird genauso als VM in Virtualbox importiert wie das Gateway. Um fließend arbeiten zu können, sollte man der Arbeitsstation aber mehr virtuelle CPUs und vor allem mehr Arbeitsspeicher zuweisen. Der voreingestellte Benutzername ist hier »user« , das Kennwort wieder »changeme« . Der Tor-Browser lädt sich beim ersten Start der Arbeitsstation automatisch herunter und installiert sich (Abbildung 4).

Abbildung 4: Beim ersten Start des Tor-Browsers wird die Anwendung zunächst aus dem Internet heruntergeladen und anschließend automatisch installiert.

Nach dem Start des Browsers ist oben rechts die erfolgreiche Verbindung zu Tor zu sehen. Auch erkennt man, dass die Erweiterung “No Script” installiert ist. Sie verhindert, dass Internetseiten Skripte ungefragt ausführen.

Über das Whonix-Gateway baut aber nicht nur die eigene Arbeitsstation Verbindungen zum Internet auf. Vielmehr dürfen beliebige Rechner oder auch virtuelle Maschinen dieses Gateway für denselben Zweck nutzen. Dafür verfügt es über zwei Netzwerkadapter. Einer der Adapter dient der Kommunikation mit dem öffentlichen Internet, der andere Adapter der privaten Kommunikation mit den angebundenen Arbeitsstationen. Über dieses Netzwerkinterface können ohne Probleme auch mehrere VMs oder mehr als ein physischer Computer eine Internetverbindung via Whonix-Gateway aufbauen.

Alternative: Tails

Eine Alternative zu Whonix ist Tails [3]. Auch mit dieser auf Debian basierenden Distribution können sich Anwender über eine Live-DVD oder einen USB-Stick anonym im Internet bewegen – jedoch nicht so sicher, weil eine physische Trennung der Komponenten fehlt.

Da Tails im Gegensatz zu Whonix als Live-System arbeitet, ist es noch schneller einsatzbereit und beim Start von DVD bereits vor Angriffen geschützt (Abbildung 5). Der Download ist etwa 910 MByte groß. Das System ist daher nicht dafür gedacht, das aktuelle Anwender-Betriebssystem zu ersetzen, es soll als mobile Surf-Umgebung oder sichere Umgebung für heikle Einsätze dienen.

Abbildung 5: Tails – eine Alternative zu Whonix – ist zwar schneller einsatzbereit, verzichtet aber auf das Zwei-Komponenten-Prinzip.

Anwender können in Tails den so genannten Windows-Tarnmodus aktivieren. Dann verhält sich die Umgebung genau wie ein Windows-8-System im Internet. Die Verbindung zum Internet kommt immer über das Tor-Netzwerk zustande. Direkte Internetverbindungen erlaubt Tails genauso wenig wie Whonix. Programme rufen Anwender über das Startmenü »Applications« auf.

Neben dem Tor-Browser stehen im oberen Bereich des Tails-Desktops auch das E-Mail-Tool Claws-Mail sowie mehrere Instant-Messaging-Programme bereit. Tails lässt sich auch als sichere Homebanking-Lösung verwenden. Dazu bietet die Distribution auch die Möglichkeit, eine Bildschirmtastatur einzublenden.

Über das Tor-Symbol und die Auswahl von »Preferences« lässt sich auch bei Tails ein Proxyserver einstellen. Mit Hilfe der Live-DVD können Anwender das System auch auf einem USB-Stick oder einer SD-Karte installieren. Dazu dient der Menüpunkt »Applications | Tails |Tails Installer« .

Wertung

Anwender oder Administratoren, die eine sichere und anonyme Internetverbindung benötigen und diese nicht nur einmal, sondern dauerhaft einsetzen wollen, profitieren von den Möglichkeiten von Whonix. Besonders effizient lässt sich die Sicherheitsdistribution mit Virtualbox einsetzen. Natürlich besteht auch in professionellen Netzwerken die Möglichkeit, das Gateway auf einem physischen Computer zu installieren. Dadurch lassen sich mehrere Arbeitsstationen sicher mit dem Internet verbinden.

Für Anwender, die keine umfassenden Linux-Kenntnisse haben oder auf Windows-Arbeitsstationen ein sicheres Linux-System einsetzen wollen, ist Whonix ein bestens geeignetes System. Nach der ersten Einrichtung, durch die ein leicht bedienbarer Assistenten führt, lässt sich sicher und anonym im Internet surfen. Zudem bietet das Gateway auch eine Anbindung für andere Linux-Distributionen, sei es virtualisiert oder auf physischen Rechnern. Eine Lizenzierung ist nicht notwendig. (jcb)