Добро пожаловать на моё чаепитие Алисы! 🫖🎀
Я решила сделать цикл небольших постов про безопасные операционные системы 🖥🐧

Сегодня разберём Whonix и выясним, так ли он хорош и анонимен, как о нём говорят. Спойлер: нет.

Сразу обозначу: Whonix — это не полноценная операционная система, а средство для анонимности, которое может работать самостоятельно или качестве роутера в Qubes OS. В этой статье я сосредоточусь на разборе его работы как самостоятельной системы

Как работает Whonix?🧩
Whonix построен на двух виртуальных машинах: Whonix-Gateway и Whonix-Workstation. Gateway настраивает и пускает весь ваш трафик через сеть Tor. Workstation — это ваше рабочие место. Если хотите разобраться глубже, загляните в их документацию.

Проблемы Whonix 🔓
Теперь к сути, почему Whonix не так уж нужен. Начнём с Gateway. Это просто Debian с предустановленным Tor и кучей скриптов, которые перенаправляют трафик через Tor. Всё завязано на конфиге в файле настроек и правилах iptables. Круто? Не очень. Плюс Whonix тянет за собой старый Debian, где пакеты обновляются раз в сто лет.

Whonix позиционирует себя как суперзащиту от утечек, но, если вы не понимаете, что делаете, никакая виртуалка вас не спасёт. Например, если вы запускаете браузер с JavaScript или скачиваете файлы, а потом открываете их вне Workstation, ваша анонимность накрылась.

Кстати, Whonix можно запустить без проблем только для VirtualBox. Вы можете возразить, мол, на их сайте есть версии для KVM/QEMU. Но тут начинаются проблемы. Если вы берёте Whonix для KVM, просто так установить его не выйдет — нужно править конфигурацию, причём об этих тонкостях нигде толком не написано. А вот с VirtualBox таких проблем нет — всё работает из коробки.

Но чем плох VirtualBox?🪤 
Кроме того что он существенно медленнее KVM. В марте 2025 года в Virtualbox появилась уязвимость CVE-2025-30712 с оценкой 8.1. Она позволяет злоумышленнику с доступом к хост-системе устроить VM-эскейп, то есть выбраться из виртуалки на твой основной компьютер🫠. Proof-of-concept уже гуляет по сети, и эксплуатация проще, чем кажется. Если хост скомпрометирован, вся ваша анонимность летит в трубу, и ваш реальный IP или другие данные могут утечь.

Как сделать аналог Whunix Gateway? ⚙️
Но есть другой путь. Сама модель с Gateway неплохая. Но машину с ним можно создать самому без участия Whunix, берёте минималистичный Linux(вроде Gentoo или вообще не Linux, а FreeBSD). Далее настраивайте Tor напрямую. Ведь Gateway это лишь обёртка вокруг стандартных настроек Tor и iptables, которые можно найти в Google за пять минут. Теперь приписывайте найденные iptables, и DNSPort в конфиге Tor, чтобы DNS-запросы тоже шли через Tor, и всё. Это тратит и меньше места уменьшает поверхность атаки.

Вывод
Справедливости ради, Whonix не всегда плох. Но может быть полезен в связке с Qubes OS(где он, кстати, работает в KVM), где есть дополнительные механизмы защиты, вроде изоляции доменов, которые усиливают безопасность.  Но в отрыве от Qubes ,Whonix — довольно бессмысленная штука. Можно подумать, что он подходит для тех, кто не хочет заморачиваться с настройкой Tor, но это не так. Чтобы запустить Whonix на приличной VM, вроде KVM, придётся помучиться не меньше.

Итог простой, Whonix не супер ананимная ос, а инструмент, который больше усложняет жизнь, чем защищает 💊

Надеюсь вам было полезно. ❤️✨ Если хотите, вы можете сами разобраться в теме, а именно почитать исследования и потестировать систему.

Вот несколько хороших статей про whunix:
THESIS.pdf — тут обзор анонимных ос, включая Whonix.
Whonix and Tor Limitations — о недостатках Whonix и Tor.
JOSH Article — анализ ограничений Whonix.

#anonymity #linux #whunix #cve #anonymity_os #tor #security