Linux Мануал: Максимально анонимный Debian против федералов — для новичков и не только

[miner8000]

ВНИМАНИЕ: Это для журналистов, активистов и параноиков. Абсолютной анонимности нет — твой косяк = твой провал. Нужен ПК (8+ ГБ RAM, 50+ ГБ SSD), USB (8 ГБ) и 2–4 часа. Всё оффлайн, без логов, с шифрованием и Whonix.

Шаг 1: Подготовка (оффлайн)

• Скачай Debian 13 ISO (netinst) с
  У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
  через Tor Browser. Проверь GPG/SHA256.
• Запиши на USB:

  sudo dd if=debian-13-netinst.iso of=/dev/sdX bs=4M status=progress

• Отключи интернет (вынь кабель/Wi-Fi).
• В BIOS включи VT-x/AMD-V для VirtualBox.

Новичкам: Если нет Linux, используй Rufus (но менее анонимно).

Шаг 2: Установка Debian с LUKS

• Загрузись с USB, выбери "Install" (не Graphical).
• Настройки:
  • Язык: English
  • Хост: anonbox
  • Root-пароль: >20 символов
  • Юзер: non-root, сильный пароль
• Разметка: Guided + LUKS (swap 2–4 ГБ). Passphrase запомни!
• Пакеты: Только "standard system utilities" (+ "SSH server", если нужен). Без desktop для сервера.
• GRUB на /dev/sda.
• Перезагрузи, введи LUKS-passphrase.

Проверка:

lsblk

— должен быть crypto_LUKS.

Шаг 3: Hardening системы

• Обновления:
  

  sudo apt update && sudo apt upgrade -y
  sudo apt install unattended-upgrades -y
  sudo dpkg-reconfigure unattended-upgrades

• Инструменты:
  

  sudo apt install sudo ufw fail2ban tor nyx etckeeper gpg vim curl wget git -y
  sudo usermod -aG sudo $USER
  sudo etckeeper init

• Firewall (UFW):
  

  sudo ufw default deny incoming
  sudo ufw default allow outgoing
  sudo ufw allow 22/tcp  # SSH, если нужен
  sudo ufw allow 9050    # Tor
  sudo ufw enable

• Отключи логи:
  

  sudo systemctl stop rsyslog && sudo systemctl disable rsyslog
  sudo mkdir -p /var/log/journal
  sudo systemd-tmpfiles --create --prefix /var/log/journal
  sudo systemctl stop systemd-journald
  sudo rm /var/log/wtmp /var/log/lastlog
  sudo touch /var/log/wtmp && sudo chmod 000 /var/log/wtmp
  sudo mv /etc/rsyslog.d/50-default.conf /etc/rsyslog.d/50-default.conf.bak

• Sysctl:
  

  sudo nano /etc/sysctl.conf

  Добавь:
  

  kernel.randomize_va_space = 2
  net.ipv4.conf.all.rp_filter = 1
  net.ipv4.tcp_syncookies = 1
  net.ipv4.icmp_echo_ignore_all = 1

  sudo sysctl -p

• Fail2ban:
  

  sudo nano /etc/fail2ban/jail.local

  Включи [sshd] enabled=true.
  

  sudo systemctl enable fail2ban && sudo systemctl start fail2ban

Новичкам: Для GUI:

sudo apt install task-xfce-desktop -y

Шаг 4: Анонимный networking (Mullvad + Whonix + Tor)

• VirtualBox:
  

  sudo apt install virtualbox virtualbox-ext-pack -y
  sudo usermod -aG vboxusers $USER

• Mullvad VPN:
  Скачай .deb с
  У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
  (через Tor Browser, Monero/BTC для оплаты).
  

  sudo dpkg -i MullvadVPN.deb && sudo apt install -f -y
  mullvad connect --server se1

  Включи kill-switch в GUI.
• Whonix:
  Скачай OVA с
  У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
  (проверь GPG).
  Импорт в VirtualBox: Gateway (1 ГБ RAM, Internal Network "Whonix"), Workstation (2 ГБ RAM).
  Запусти Gateway, проверь Tor:

  nyx

  .
  Запусти Workstation — весь трафик через Tor.
• Интеграция:
  

  sudo nano /etc/environment

  Добавь:

  http_proxy="socks5://127.0.0.1:9050" https_proxy="socks5://127.0.0.1:9050"

  Tor Browser:

  sudo apt install torbrowser-launcher -y

  Мосты: В /etc/tor/torrc добавь obfs4 (с
  У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
  ).

Цепочка: Mullvad → Tor (Whonix) → Workstation. Тест:

curl ifconfig.me

(должен быть Tor IP).

Шаг 5: Браузинг, общение, OpSec

• Браузинг: Tor Browser в Whonix. NoScript, HTTPS Everywhere, без ресайза окна.
• Общение: Session (
  У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
  ):

  sudo apt install session-desktop -y

  . Или Ricochet.
• Шифрование: VeraCrypt:

  sudo apt install veracrypt -y

  . Создай hidden volumes.
• OpSec:
  • Без личных аккаунтов (Gmail, VK).
  • Публичный Wi-Fi + предоплаченная SIM.
  • Чисти:

    sudo apt install bleachbit && bleachbit -l

  • Мониторь:

    sudo apt install aide && aide --check

  • Шифруй USB, храни в сейфе.
• Тесты:
  • IP:
    У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
    — только Tor IP.
  • DNS:

    dig google.com @1.1.1.1

    — без ликов.
  • Fingerprint:
    У вас нет разрешения на просмотр ссылки, пожалуйста Вход или Регистрация
    — 0% уникальности.

Шаг 6: Поддержка

• Обновляй:

  sudo apt update && sudo apt full-upgrade

• Бэкап:

  rsync -a /etc /backup/

  на LUKS-USB.
• Компрометация: Переустанови с нуля, Whonix изолирует.

Финал: LUKS + Whonix + Mullvad + Tor = федералы видят шум. Главное — твой OpSec. Косяк = провал.