Whonix

Le système consiste en deux machines virtuelles, fonctionnant sous Debian. Une est connectée au réseau Tor servant de « passerelle » ; l'autre sert pour les applications de l'utilisateur, elle est appelée « station de travail ».

Les mises à jour se font via Tor, en utilisant le gestionnaire de paquets de Debian : apt-get.

Au démarrage, chacune des deux machines virtuelles effectue une vérification pour s'assurer que leur logiciel est à jour et que la date et l'heure sont réglées correctement.

La machine virtuelle « Passerelle » est responsable de l'exécution de Tor et possède deux interfaces réseau virtuelles. L'une d'elles est connectée à l'Internet externe via NAT , et est utilisée pour communiquer avec les relais Tor. L'autre est connectée à un réseau local virtuel qui fonctionne entièrement à l'intérieur de l'hôte.

La machine virtuelle « station de travail » exécute des applications utilisateur. Elle n'est connectée qu'au réseau virtuel interne et ne peut communiquer directement qu'avec la passerelle, ce qui impose à tout le trafic venant de la station de travail de passer obligatoirement par le réseau Tor. La machine virtuelle « station de travail » ne peut « voir » que les adresses IP sur le réseau local interne, qui sont les mêmes, dans chaque installation Whonix.

Ordinateur Hote avec Whonix

Réseau Internet

Machine virtuelle « Station de travail » Réseau isolé Machine virtuelle « Passerelle » Connexion avec Tor

« Hôte » Connexion sans Tor

web

Les applications utilisateurs n'ont donc aucune connaissance de la « véritable » adresse IP de l'utilisateur, ni accès aux informations concernant le matériel physique. Afin d'obtenir de telles informations, une application devrait trouver un moyen de « sortir » de la machine virtuelle, ou de corrompre la passerelle (peut-être à travers un bug dans Tor ou le noyau Linux de la passerelle).

Le navigateur Web pré-installé dans la machine virtuelle « station de travail » est la version modifiée de Mozilla Firefox fournie par le Projet Tor dans le cadre de son paquetage Tor Browser. Ce navigateur a été modifié pour réduire le nombre de fuites d'informations spécifiques au système vers les serveurs Web.

Contrairement à Qubes, Whonix n'est pas « amnésique » ; la passerelle et le poste de travail conservent leur état passé à travers les redémarrages successifs. Le fait de ne pas être amnésique améliore la sécurité sur la Passerelle, en permettant au système de « garde d'entrée » de Tor de choisir des points d'entrée durables pour le réseau Tor, réduisant ainsi la capacité des adversaires à piéger les utilisateurs en exécutant des relais malveillants.

D'autre part, une station de travail non-amnésique pourrait éventuellement permettre à des attaquants, en particulier les opérateurs de services Web, d'injecter des états et d'associer les sessions d'un utilisateur les unes aux autres, malgré les sauvegardes de Tor Browser ; pour certains utilisateurs, cela pourrait constituer une sérieuse exposition à la sécurité. Il est possible pour les utilisateurs de forcer la station de travail à être partiellement ou totalement amnésique en la réinitialisant manuellement aux anciens états après utilisation, bien que le développeur ne le suggère pas. Il est également possible d'exécuter plusieurs machines virtuelles « stations de travail » avec une seule passerelle.

Une configuration « avancée » utilise deux ordinateurs physiquement séparés, avec la passerelle fonctionnant sur le matériel réel de l'un des ordinateurs, et la station de travail fonctionnant dans une machine virtuelle hébergée sur le second. Ceci protège contre les attaques sur VirtualBox lui-même.

• Tails, distribution GNU+Linux qui vise aussi l'anonymat, sous forme de CD autonome ou une clé USB pour ne pas laisser de traces écrites sur la machine ;
• Qubes OS, distribution GNU+Linux très sécurisée qui fait aussi appel aux « compartiments » entre les applications.