现代去匿名化技术使得应用层代理不足以应对复杂的恶意软件和配置错误等问题。 软件 经常绕过本地网络设置，暴露底层 IP 地址和硬件标识符。
Whonix 通过双虚拟机架构来解决这些漏洞，该架构在架构上将网络网关与用户隔离。 工作站通过强制 Tor 路由和应用层流隔离，有效消除 IP 泄漏和 DNS 劫持。
本文对 Whonix 进行了技术分解。 框架本文重点关注其通过隔离机制实现的安全措施以及对侧信道攻击的缓解。我们研究了用于防止身份关联并在不同会话中保持一致匿名性的底层机制，并评估了该平台在虚拟化基础设施中抵御高级监控的能力。
请注意，这是一篇深度文章。建议事先阅读以下文章：
要点总结
- 双虚拟机架构：将网络网关与用户工作站分离，以防止信息泄漏。
- 防止 IP 泄露：工作站不知道您的真实 IP 地址。
- 强制 Tor 路由：所有工作站流量均由网关强制通过 Tor 网络传输。
- 安全防护靠的是隔离：即使某个应用程序遭到入侵，也不会泄露您的网络身份。
- 安全时间同步：使用 sdwdate 防止因时钟偏差或时区而导致的去匿名化。
- 硬件掩码：向客户操作系统隐藏真实的硬件序列号和 MAC 地址。
- DNS泄漏保护：自动将所有DNS查询路由到Tor网络。
- Tor浏览器 集成：包含预配置的 Tor 浏览器，可实现标准化的网络匿名性。
- 数据持久性：旨在跨重启保存文件和配置，不像记忆丧失的系统那样。
- 恶意软件抵抗能力：工作站中的根级恶意软件无法绕过网关的 Tor 强制措施。
- 不要在工作站内运行第二个 Tor 客户端：不建议这样做，这样做有风险。
Whonix 简述
Whonix 是一款基于 Debian 的专用操作系统，它采用独特的双虚拟机 (VM) 架构，旨在提供高级匿名性和安全性。与作为应用程序在宿主操作系统中运行的标准隐私工具不同，Whonix 将其操作分为两个独立的组件：
- Whonix门户： 运行 Tor 进程并充当透明的 代理人
- Whonix 工作站：为用户活动（例如网页浏览、文档编辑和通信）提供沙盒环境。
这两个虚拟机通过隔离的内部虚拟网络连接，确保工作站没有直接连接到主机物理网络接口的路径，只能通过网关的 Tor 电路与外部世界通信。
这种设计的主要技术优势在于能够有效缓解“去匿名化”攻击和DNS泄漏。由于工作站架构上无法感知主机的真实IP地址或MAC地址，即使是拥有root权限的复杂恶意软件也无法“回传”用户的真实身份。
此外，Whonix 实现了流隔离，确保不同的应用程序（例如网页浏览器和电子邮件客户端）使用独立的 Tor 电路，从而防止身份关联。通过在操作系统层面强制所有流量（包括系统更新和后台进程）都通过 Tor 网络，Whonix 提供了一个“故障安全”的环境，其可靠性远高于在标准、未经加固的操作系统上使用 Tor 浏览器。
优点
| 缺点
|
The rest of this article is reserved for members
To limit scraping bots (currently 40,000 hits per day!),
we had to restrict access to full articles and tools to registered members only.
to access all the rest.
常问问题
Whonix的核心架构是什么？
Whonix采用双虚拟机设计，包含一个处理所有Tor连接的网关和一个用于用户应用程序的工作站。这种分离确保工作站永远不会知道用户的真实IP地址或硬件序列号。
即使应用程序遭到入侵，Whonix 如何防止 IP 地址泄露？
由于工作站无法直接访问互联网，只能通过网关进行通信，因此即使是根级恶意软件也无法发现或广播您的真实 IP 地址。所有流量都会被网关的防火墙规则强制路由到 Tor 网络。
为什么 Whonix 使用两台独立的虚拟机而不是一台？
使用两台虚拟机可以创建一道“隔离式安全屏障”，防止网络层泄露和本地硬件识别。即使工作站中的应用层遭到入侵，网关中的网络层仍然保持隔离和安全。
如果我的主机操作系统感染了恶意软件，我还能使用 Whonix 吗？
不，因为宿主机操作系统及其虚拟机管理程序对虚拟机拥有完全控制权。如果宿主机被攻破，攻击者可以记录键盘输入、截取屏幕截图，甚至直接操控 Whonix 虚拟机。
Whonix 与 Tails 操作系统有何不同？
Tails 是一款实时运行的“失忆”操作系统，旨在不留下任何计算机硬盘上的痕迹；而 Whonix 则专为在虚拟化环境中持续使用而设计。由于采用了分离式虚拟机架构，Whonix 能更有效地抵御某些类型的去匿名化攻击。
使用 Whonix 时，VPN 安全吗？
虽然可行，但添加 VPN 会增加复杂性，并可能引入新的攻击途径或“隧道视野”风险。通常只建议需要向 ISP 隐藏 Tor 使用情况或访问屏蔽 Tor 的服务的高级用户使用。
什么是“流隔离”？为什么它在 Whonix 中很重要？
流隔离机制迫使不同的应用程序使用独立的 Tor 电路，从而防止出口节点轻易关联它们的流量。这可以防止观察者将您的网页浏览会话与您的后台电子邮件同步或其他活动关联起来。
为什么 Whonix 系统中的时间与我的本地时间不同？
Whonix 使用 UTC 和名为 sdwdate 的工具来安全地同步时间。 洋葱 使用安全可靠的服务，而不是不安全的 NTP 服务器。这可以防止“时间攻击”，攻击者可以利用时钟偏差或本地时区来识别您的实际位置。
我可以像在Tails系统上一样，在U盘上运行Whonix吗？
Whonix 的主要设计用途并非作为可启动的 Live USB，尽管它可以安装在外部驱动器上并通过主机操作系统运行。若要在任何硬件上获得真正的“即插即用”失忆体验，Tails 仍然是标准之选。
Whonix 能保护我免受浏览器指纹识别吗？
Whonix 内置了 Tor 浏览器，该浏览器经过专门修改，可提供与数百万其他用户共享的统一指纹。通过在标准化的工作站环境中运行 Tor 浏览器，您可以进一步减少网站可获取的唯一硬件标识符。
为什么不建议在 Whonix 工作站内运行 Tor 客户端？
“Tor over Tor”运行会创建一个嵌套电路，这会显著降低性能，并可能导致不可预测的路由行为。它并不能提供“双重匿名性”，实际上反而可能使你的流量模式更容易被网络观察者识别。
相关阅读及概念（专家观点）
- Tor网络： 一个去中心化的匿名网络，通过三个随机中继路由您的流量，以向观察者隐藏您的身份和位置。
- 虚拟化： 用于运行 Whonix 双虚拟机架构的技术，可在客户操作系统和物理硬件之间提供一层隔离。
- 运行安全（OpSec）： 为防止因行为模式或意外数据泄露而暴露身份，您必须遵循的一系列习惯和程序。
- 笔名： 使用持久但不具识别性的别名，需要在 Whonix 中进行仔细管理，以避免将不同的在线身份关联起来。
- 流隔离： 此功能强制不同的应用程序使用不同的 Tor 电路，防止观察者将您在各种服务中的活动关联起来。
- 透明代理： 网关会自动拦截所有工作站流量并通过 Tor 路由，即使对于未原生配置为 Tor 的应用程序也是如此。
- DNS泄漏： 这是一个安全漏洞，您的域名请求会绕过匿名网络，可能会将您的浏览历史记录透露给您的互联网服务提供商 (ISP)。
- IP地址泄露： 严重故障，导致您的真实、去匿名化的 IP 地址暴露给目标服务器或窃听者。
- 浏览器指纹识别： Whonix 通过提供标准化的环境来缓解基于独特浏览器配置识别用户的跟踪技术。
- Tor over Tor： 在已经通过 Tor 路由的系统内运行 Tor 客户端是一种有问题的配置，这可能会导致性能问题和不可预测的安全风险。
- 托尔桥： 未列入公共目录的私有 Tor 中继，用于绕过 Tor 网络被封锁地区的审查。
- 入口警卫： Tor 电路中的第一个中继节点经过专门挑选，以确保其长期稳定性，从而保护用户免受某些类型的去匿名化攻击。
- 洋葱服务： 以...结尾的网站或服务 。洋葱 并且完全托管在 Tor 网络内，提供 端到端 加密 以及元数据保护。
- 身份相关性： 攻击者通过观察共享的标识符或一致的行为特征，将不同的会话或帐户与同一个人联系起来的风险。
