OpenVPN і WireGuard – це дві з найпопулярніших технологій VPN на сьогоднішній день. Вони забезпечують високий рівень безпеки та конфіденційності під час використання інтернету. У цій статті ми розглянемо, як створити свій власний VPN-сервер на Ubuntu та Debian, використовуючи OpenVPN та WireGuard.

Створення сервера OpenVPN на Ubuntu та Debian

Крок 1: Встановлення OpenVPN

Першим кроком є встановлення OpenVPN на ваш сервер. Це можна зробити за допомогою наступної команди:

sudo apt-get update

sudo apt-get install openvpn

Крок 2: Генерація сертифікатів та ключів

Для роботи OpenVPN необхідно згенерувати сертифікати та ключі. Для цього виконайте такі команди:

cd /etc/openvpn/easy-rsa/

source ./vars

./clean-all

./build-ca

./build-key-server server

./build-dh

Крок 3: Налаштування сервера

Тепер потрібно настроїти сервер OpenVPN. Створіть файл /etc/openvpn/server.conf з таким вмістом:

port 1194

proto udp

dev tun

ca /etc/openvpn/easy-rsa/keys/ca.crt

cert /etc/openvpn/easy-rsa/keys/server.crt

key /etc/openvpn/easy-rsa/keys/server.key

dh /etc/openvpn/easy-rsa/keys/dh2048.pem

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt

push "redirect-gateway def1"

push "dhcp-option DNS 8.8.8.8"

push "dhcp-option DNS 8.8.4.4"

keepalive 10 120

comp-lzo

user nobody

group nogroup

persist-key

persist-tun

status openvpn-status.log

verb 3

Крок 4: Налаштування маршрутизації

Для того, щоб весь трафік йшов через VPN-сервер, необхідно налаштувати маршрутизацію. Для цього виконайте такі команди:

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Крок 5: Запуск сервера

Тепер можна запустити сервер OpenVPN за допомогою наступної команди: sudo systemctl start openvpn@server

Створення сервера WireGuard на Ubuntu та Debian

Крок 1: Встановлення WireGuard

Першим кроком є встановлення WireGuard на ваш сервер. Це можна зробити за допомогою наступної команди:

sudo apt-get update

sudo apt-get install wireguard

Крок 2: Генерація ключів

Для роботи WireGuard необхідно згенерувати ключі. Для цього виконайте таку команду:

wg genkey | tee privatekey | wg pubkey > publickey

Крок 3: Налаштування сервера

Тепер потрібно настроїти сервер WireGuard. Створіть файл /etc/wireguard/wg0.conf з таким вмістом:

[Interface]

PrivateKey = <server_private_key>

Address = 10.0.0.1/24

ListenPort = 51820

[Peer]

PublicKey = <client_public_key>

AllowedIPs = 10.0.0.2/32

Замініть <server_private_key> на приватний ключ, згенерований на кроці 2, та <client_public_key> на публічний ключ клієнта.

Крок 4: Запуск сервера

Тепер можна запустити сервер WireGuard за допомогою наступної команди: sudo wg-quick up wg0

1. Як дізнатися свій IP та взагалі місто? дізнатися Свій IP і Чужий IP . Це дає лише місто та провайдера.
1.1 Можна дізнатися, якій сітці належить, де і ким вона зареєстрована, якому домену (WHOIS), де знаходиться та ін.
1.2 Можна дізнатися шлях яким пакети бігають (tracert).
1.3 Чужі адреси часто використовують сніфери тощо.

2. Тебе можуть задидосити. Грубо кажучи, дуже швидко робитимуть запити на твій айпі і якщо потраплятимуть, то все повисне.

3. Тобі можуть заслати якихось "милих" штучок через відкриті порти. Потрібно когось дуже сильно образити, щоб до такого дійшло.

4. Це найгірше що може бути, але таке може статися, якщо ти якийсь хакер або сватер. Дізнатись можна все про тебе через запит провайдеру твого інтернету.

Підсумок:

IP нічого майже не дає.
Щоб мінімально захистити себе, просто встановіть FireWall і скажіть щоб блокував будь-які запити і тд.
Про використовувати впн і так всім зрозуміло і також не трапляйтеся на айпілогери (просто переходьте по дивним посиланням тільки з впном або взагалі не переходите).
Не забувайте, що всі сайти логують про вас дані і будь-якої миті ці дані можуть злити хакери.
Наприклад: Ви зареєструвалися на (держ) послугах з пк і ваші дані були злиті у відкритий доступ - айпі, номер, ПІБ, снілс.

Тобто, всякі роботи телеграм збережуть про вас інформацію що айпи 142.22.**.** належить Івану Іванову і тд.

IP-адреса– це унікальна адреса, що ідентифікує пристрій в Інтернеті або локальній мережі.
IP означає «Інтернет-протокол» Internet Protocol

DDoS–атака– це спосіб заблокувати роботу сайту шляхом подання великої кількості
запитів, що перевищують пропускну спроможність мережі.

Порт- це числовий ідентифікатор програми або процесу, які обслуговують
мережеві з'єднання на заданій адресі мережі (IP-адресі).

FireWall -Міжмережевий екран — програмний елемент комп'ютерної мережі, що здійснює контроль і фільтрацію мережного трафіку, що проходить через нього, відповідно до заданих правил.

Кожна з них по-своєму цікава.

Насправді більшість справ найпростіше робити у TOR. Так як вона стала свого роду мейнстрімом.

Однак якщо вам хочеться більшого занурення, відсутності тупих користувачів (яких у торі тепер дохера) та деякі унікальні фічі – welcome!

1. Короткий огляд та порівняння мереж.

I2P - має розширений функціонал приховання трафіку в порівнянні з тор. Спочатку створювалася як закрита мережа без виходів у зовнішнє середовище. Має безліч налаштувань для захисту від таймінг атак та потужне часникове шифрування. Створивши eepsite(прихований сервіс) там, ви точно збережете інкогніто. Також має безліч внутрішніх сервісів типу пошти чи роздачі торентів. Але погано підходить для виходу у звичайну мережу.

TOR - ідеально підходить для виходів у звичайний інтернет через систему exit. Також досить зручно та швидко зробити свій hidden сервіс. Який може використовуватися далеко не лише для створення власного анонімного веб-сайту. Нижче я розпишу, як використовувати тор для анонімного проксі ssh або доступу до внутрішньої мережі, минаючи будь-які NAT.

Zeronet - це система, що базується на торрент подібної логіки, яка дозволяє вам хостити свій ресурс або файл без використання реальних серверів. Кожен користувач відвідуючи сайт, згодом роздає його іншим користувачам. За замовчуванням не анонімна, але можна налаштувати на роздачу через тор для приховання своєї айпі-адреси.

Freenet – досить стара мережа для файлообміну. Має безліч налаштувань безпеки, але на жаль морально застаріла. Підтримує шифрування та обмеження по вузлам, які можуть до вас підключатися, якщо ви хочете створити свою закриту Friend To Friend мережу.

Lokinet – відносне нове рішення. Яке в логіці копіює тор, тобто є системою нод і має свої приховані сервіси snapps, а також звичайний інтернет. Однак вони додали деякі фічі, які вирішують проблеми тор мережі. Єдиний недолік мала кількість нод на даний момент.

До речі, месенджер Session розподілений заснований на їхній же системі.

2. Конкретні кроки щодо встановлення та використання.

I2P

Для встановлення існує два клієнти. Класичний на яві та сучасний i2pd, на сі. Рекомендую другий для використання.

Найпростіша установка буде за допомогою використання i2pd-браузера - https://github.com/PurpleI2P/i2pdbrowser

Завантажуємо реліз і після розпакування. Запускаємо скрипт, який скачає і налаштує firefox.

Код:

chmod a+x./build.sh; ./build.sh

Далі заходимо до папки i2p і запускаємо демон.

Код:

cd i2pd; ./i2pd

І можна стартувати браузер ./firefox-portable

Також там лежить .desktop файл, який можна кинути на папку робочий стіл. Щоб у вас був ярлик для запуску на робочому столі.

Після встановлення покаже одночасно купу цікавих російськомовних сайтів для відвідування. Побачите мене, пишіть вітання.

До речі, для скачування торентів ви можете відредагувати файл i2pd, додавши в нього.

Код:

опцію --i2cp.enabled=true

screen -Adm -S i2pd ./i2pd-amd64 --i2cp.enabled=true --datadir=.

Тоді ви зможете качати/роздавати шифровані торенти в i2p за допомогою i2psnark standalone

До речі найкращий торрент трекер - tracker2.postman.i2p

Для Android можна завантажити i2pd з f-droid і встановити браузер Kiwi, в якому можна ставити плагіни і конкретно плагін для проксі proxyswitchyomega і в нього вписати socks5 проксі 127.0.0.1 4447

TOR

Думаю, якщо ви читаєте це означає, ви вже встановили тор.

До речі, не використовуйте ці дзеркала в клірнеті типу rutor.live та інші, це максимально не анонімно.

Щодо установки найпростіше завантажити тор браузер з офіційного сайту або встановити в системах лінукс демон тор sudo apt install tor і у вас з'явиться socks5 проксі на порту 127.0.0.1 9050, яку ви можете вписати в будь-який браузер. Однак найкращим рішенням щодо використання тор буде системи типу Whonix. Розписувати не буду, мануалів на форумі вже багато. Саме я рекомендую KVM версію. Або ж темплейт whonix у рамках Qubes OS.

Щодо цікавих моментів, в системах де у вас встановлена не браузерна версія, а демон тор ви можете створити прихований сервіс відредагувати конфіг тора по дорозі /etc/tor/torrc і прокоментувавши там рядки

Код:

HiddenServiceDir /var/lib/tor/hidden_service/

HiddenServicePort 22 127.0.0.1:22

Тепер зберігши файл, перезапускаємо тор sudo service tor restart

22 це порт ssh сервера. Щоб встановити його, вводимо sudo apt install openssh-server

І тепер з будь-якого віддаленого комп'ютера ви можете підрубатися до вашого поточного за допомогою команди torsocks ssh login@address.onion

Замість address.onion вводимо ваш згенерований сервіс, який лежить у файлі /var/lib/tor/hidden_service/hostname

Таким чином, ви можете підключитися до консолі сервера. Також можна прокинути socks5 проксю за допомогою ssh або анонімно передавати файли за допомогою torsocks ssh file login@address.onion/root/

Код:

torsocks ssh -f -N -D 1234 login@address.onion

Тепер у вас на порту 1234 буде проксі, яка при використанні в браузері або ще де-небудь прокидає трафік тунелю тор до анонімного вашого сервісу і виходить вже з його інтернету. Це зручний та максимально анонімний спосіб мати доступ до ваших серверів або віддалених пк.

Zeronet

Щоб встановити лінукс робимо наступне. Зрозуміло, у нас повинен бути заздалегідь встановлений python. Так як ця мережа написана на ньому.

Код:

sudo apt-get update

sudo apt-get install msgpack-python python-gevent

wget https://github.com/HelloZeroNet/ZeroNet/archive/master.tar.gz

tar xvpfz master.tar.gz

cd ZeroNet-master

Запускаємо командою python zeronet.укр

Далі http://127.0.0.1:43110/ у вашому браузері.

ZeroNet стартова сторінка http://127.0.0.1:43110/1HeLLo4uzjaLetFx6NH3PMwFP3qbRbTf3D

Досить широкий функціонал для створення сайтів, проте всі вони не мають як таких можливостей написання клієнт-серверного додатка у звичному розумінні. Швидше тут усе заточено на html, css, javascript і вбудовані апі зі своєю бд.

Можете вивчити ресурси, народу небагато, але дуже жваво виглядає. Є блоги, особисті сайти, форуми, мікроблоггінг та навіть розподілений відео-хостинг.

Тільки пам'ятайте - заходячи на щось згодом ви роздаватимете цей ресурс/файл. Якщо не прибере вручну на панелі керування.

Freenet

У разі встановлення Freenet можуть виникати нюанси.

Інструкції можна знайти тут - https://freenetproject.org/pages/download.html

Як і I2P, Freenet використовує систему вашого комп'ютера як локальний сервер.

Freenet також має індекси сервісів Freenet, які допомагають знайти сайти, що цікавлять. Зміст та послуги, доступні для користувачів, зазвичай обмежуються приватною комунікацією та обміном файлами.

Freenet має «режим макимальної безпеки», що є справжнім з'єднанням F2F, яке може бути видимим тільки між довіреними бенкетами.

Після налаштування http://127.0.0.1:8888/ заходимо сюди та виставляємо потрібні вам характеристики.

Далі там знаходимо необхідні сайти або файли і завантажуємо їх. У цій системі все ґрунтується на файлах.

Майже всі сайти статичні. Крім вбудованих сервісів типу мила, мікроблогів та пошти (можна отримувати зовнішню адресу з клірнету)

Всі файли поділяються на частини та розподіляються між клієнтами у шифрованому вигляді, також відбувається дублювання. Швидкість завантаження досить повільна.

Lokinet

Для встановлення заходимо сюди і дивимося спосіб для вашої системи - https://git.lokinet.io/lokinet/lokinet

Якщо лінкс debian-based (ubuntu,tails,whonix), то

Код

sudo curl -so /etc/apt/trusted.gpg.d/oxen.gpg https://deb.oxen.io/pub.gpg

echo "deb https://deb.oxen.io $(lsb_release -sc) main" | sudo tee /etc/apt/sources.list.d/oxen.list

sudo apt update

sudo apt install lokinet

Тепер для запуску лише lokinet-vpn --up

Працює як впн, тільки по своїй децентралізованій мережі нод, з ланцюжком як у тор, тільки без єдиного централізованого вузла, на базі блокчейн логіки. У тор є вузький момент - це guard ноди.

Щоб зробити свій шлюз exit на lokinet, робимо таке.

Ставимо на сервері

Код:

sudo apt install docker docker-compose wget

mkdir -p /usr/local/exit/

wget https://github.com/oxen-io/oxen-docker/raw/main/lokinet/docker-compose.yml -O /usr/local/exit/docker-compose.yml

cd /usr/local/exit && docker-compose up -d

Тепер отримуємо адресу ноди вихідної вашої.

cd /usr/local/exit && docker-compose exec lokinet print-lokinet-address.sh

І на вашій системі звичайної для підключення до вихідної ноди через систему локінет.

lokinet-vpn --up --exit address

Можете використовувати як анонімну заміну впн з виходом у потрібній вам точці.

Також поки включений lokinet ви можете мати доступ до прихованих сервісів цієї мережі, наприклад

http://dw68y1xhptqbhcm5s8aaaip6dbopykagig5q5u1za4c7pzxto77y.loki/wiki/

3. Мости та дзеркала з однієї мережі в іншу.

Ці сервіси не треба використовувати на стоянці. Тільки для короткого перегляду мереж, якщо у вас немає можливості встановити їх самостійно.

Шлюз у мережу Zeronet - https://zero.acelewis.com/

Також можна підняти свій - https://github.com/d14na/zeronet-web-gateway

Дзеркала в мережу тор - https://gist.github.com/adulau/5caf188bb1f63263bf7ac00c4a19f710

Дзеркало в мережу I2P - Були, але в даний час всі неактивні.

Дзеркало у Freenet за ключом - https://www.mirrorservice.org/sites...aphy/apps/freenet/fcptools/linux/gateway.html

UEFI/BIOS атаки

Як це працює

UEFI це перше, що запускається при включенні комп'ютера - до завантажувача, до ядра ОС, до антивірусу. Код у UEFI має максимальний рівень привілеїв та повний доступ до заліза.

Шкідливий код в UEFI може: впроваджувати payload в ОС при кожному завантаженні, перехоплювати дані перед тим, як ОС встигла завантажитися, відключати механізми захисту типу Secure Boot, виживати після повної переустановки системи та заміни накопичувача.

Реальні випадки

LoJax - перший задокументований UEFI руткіт використаний у реальних атаках. Виявлено ESET у 2018 році, приписано групі APT28. Модифікував SPI флеш пам'ять UEFI та виживав після будь-яких маніпуляцій з диском.

MoonBounce - виявлено Kaspersky в 2022 році. Впроваджувався безпосередньо в CORE_DXE компонент UEFI, що робило його практично невидимим для стандартних інструментів.

CosmicStrand - ще більш просунутий, виявлений у 2022 році. Був присутнім на материнських платах Gigabyte та ASUS, імовірно, впроваджувався ще на етапі виробництва або продажу.

Вектори зараження

Фізичний доступ до машини – найпряміший спосіб. Через вразливості в драйверах деякі драйвери мають доступ до SPI флешу де зберігається UEFI. Через supply chain – зараження на етапі виробництва чи логістики, задокументовані випадки є. Через оновлення прошивки з підроблених джерел.

Як захиститися

Secure Boot з кастомними ключами – не з дефолтними ключами Microsoft, а зі своїми. Дефолтні ключі широко відомі та скомпрометовані у ряді сценаріїв.

Intel Boot Guard та AMD Platform Secure Boot – апаратна верифікація прошивки при старті. Якщо виробник увімкнув і правильно налаштував, модифікація UEFI стає вкрай складною.

Регулярна перевірка прошивки. Інструмент chipsec – відкритий проект Intel для аудиту безпеки платформи. Перевіряє параметри захисту SPI флешу, конфігурацію Secure Boot, цілісність критичних компонентів.

UEFI Capsule Updates тільки з офіційних джерел виробника, що верифіковані через офіційний сайт.

Фізичний захист - якщо до машини був фізичний доступ сторонніх, довіряти їй не можна без повної перевірки.

Thunderbolt та DMA атаки

суміжна тема. Thunderbolt дає пристроям прямий доступ до пам'яті (DMA - Direct Memory Access) в обхід процесора та ОС. Під'єднаний пристрій може читати та писати будь-яку область пам'яті.

Thunderspy – атака задокументована у 2020 році. При фізичному доступі на п'ять хвилин дозволяє обійти будь-який захист, включаючи BitLocker та екран блокування через перепрограмування контролера Thunderbolt.

Захист: відключити Thunderbolt у UEFI, якщо не використовується. Увімкнути Kernel DMA Protection у Windows або аналог на Linux. Thunderbolt із режимом Security Level встановленим у User Authorization — пристрої потребують явного підтвердження.

Апаратні кейлоггери

Що це і чому небезпечно

Апаратний кейлоггер це фізичний пристрій, який перехоплює натискання клавіш незалежно від ОС. Жодний антивірус його не бачить. Жодний форензик аналіз системи його не виявить. Він працює лише на рівні заліза.

Види

USB кейлоггери – вставляються між клавіатурою та комп'ютером. Виглядають як невеликий адаптер, що часто маскуються під USB хаб або зарядний пристрій. Накопичують дані у внутрішній пам'яті, потім фізично витягуються. Деякі моделі передають дані WiFi в реальному часі.

PS/2 кейлогери - для старих роз'ємів PS/2. Рідко зустрічаються зараз, але на промисловому устаткуванні зі старою периферією актуальні.

Firmware кейлоггери – вбудовуються у прошивку самої клавіатури. Зовнішньо клавіатура виглядає штатно, ніяких фізичних ознак. Дані можуть зберігатися у флеш пам'яті клавіатури або передаватися бездротовим каналом.

Акустичні кейлоггери - не пристрої, а метод. Різні клавіші видають трохи різні звуки при натисканні. Дослідження показали можливість відновлення тексту звуку клавіатури з точністю до 95% через мікрофон у приміщенні або через мікрофон ноутбука.

Електромагнітні кейлоггери – перехоплення електромагнітного випромінювання від провідної клавіатури. Дослідники з EPFL у 2009 році показали, що PS/2 клавіатури можна перехоплювати на відстані до 20 метрів через стіни.

Як виявити

фізичний огляд. Регулярно перевіряти з'єднання клавіатури з комп'ютером. USB кейлоггер це зайвий елемент у ланцюжку - має бути видно при уважному огляді. Якщо клавіатура раніше підключалася безпосередньо, а тепер є проміжний адаптер — питання.

Довжина кабелю та вага. USB кейлоггер додає кілька сантиметрів до довжини підключення та має вагу. На знайомому устаткуванні зміни помітні.

Аналіз USB-пристроїв. У Windows через Device Manager або USBDeview — дивитися список підключених пристроїв USB. Кейлоггер з'являється як окремий пристрій. На Linux через lsusb - будь-який невідомий пристрій у ланцюжку підозрілий.

Поведінкові ознаки. Невелика затримка між натисканням клавіші та появою символу може вказувати на перехоплення, хоча це ненадійна ознака.

Перевірка прошивки клавіатури. Складніше, але можливо для технічно підготовлених. Порівняння хеш прошивки з офіційним значенням від виробника.

Захист

Фізичний контроль доступу – основне. Якщо до робочого місця був доступ сторонніх, перевіряти обладнання перед роботою.

Бездротові клавіатури – окремий ризик. Багато хто використовують слабке шифрування або не використовують його взагалі. Дослідження MouseJack показало вразливості у більшості бездротових клавіатур, що не використовують Bluetooth. Краще провідна клавіатура з регулярним візуальним оглядом.

Екранна клавіатура для критично важливого введення – паролів, ключових фраз. Апаратний кейлоггер її не перехопить, але це захищає лише від конкретного вектора.

Загальний висновок

Ці вектори об'єднує одне — вони працюють нижче рівня, на якому більшість людей думають про безпеку. Переустановка ОС, зміна паролів, шифрування диска не допомагають, якщо загроза на рівні прошивки або фізичного пристрою. Захист від цих векторів починається з фізичного контролю доступу до обладнання та закінчується апаратною верифікацією на рівні UEFI.