Sistemi Linux sicuri per usare il computer senza tracce

Quando si preme il tasto di accensione di un normale computer, il disco fisso inizia immediatamente a registrare eventi. Il sistema operativo annota l'orario di avvio, memorizza i frammenti dei siti visitati nella memoria temporanea e conserva un registro dettagliato delle reti senza fili a cui ci si aggancia. Chiudere il browser in modalità anonima non ferma questo processo, perché il livello sottostante continua a raccogliere dati e a scrivere file di registro sul disco solido.

Queste misure di sicurezza sono rivolte a chi gestisce informazioni sensibili, come giornalisti, ricercatori o chiunque voglia sottrarsi alla telemetria aggressiva dei software moderni. Per interrompere questa catena continua occorre cambiare le regole del gioco alla radice. Esistono ambienti di lavoro sviluppati da programmatori indipendenti e crittografi progettati per non avere alcuna memoria permanente. Sostituendo il sistema operativo commerciale con un codice aperto e orientato alla difesa attiva, diventa impossibile per chiunque eseguire un'analisi forense della macchina a posteriori.

LEGGI ANCHE: I 5 sistemi operativi usati da hacker e tecnici di sicurezza

Sistemi live che cancellano ogni traccia allo spegnimento

Alcune distribuzioni sono costruite con un unico scopo: operare esclusivamente nella memoria volatile del computer. Non montano il disco fisso interno e dimenticano ogni singola operazione nel momento esatto in cui viene interrotta l'alimentazione elettrica.

Tails

Tails (The Amnesic Incognito Live System) rappresenta lo standard globale per chiunque debba trasmettere informazioni riservate o aggirare blocchi di rete severi. Si carica direttamente da una chiavetta USB e il computer ospite non si accorge nemmeno della sua esecuzione. Tutto il traffico di rete generato dai programmi inclusi viene forzato attraverso la rete Tor, scartando in automatico qualsiasi pacchetto dati che tenti di comunicare in chiaro con l'esterno.

La caratteristica di sicurezza primaria si manifesta al momento dello spegnimento: il sistema sovrascrive e svuota la memoria RAM istantaneamente. Se qualcuno estrae il disco fisso del computer utilizzato non troverà un singolo byte che indichi l'avvenuta accensione del dispositivo. Per chi desidera salvare documenti senza compromettere la riservatezza, la rotta di Navigaweb suggerisce di configurare lo spazio persistente crittografato tramite LUKS direttamente dall'utilità di avvio di Tails, conservando i file di lavoro isolati dal resto del sistema.

Linux Kodachi

Linux Kodachi offre un arsenale difensivo pronto all'uso con un approccio massimalista. Basato su Xubuntu, si presenta con una schermata ricca di grafici che monitorano le risorse hardware e il traffico di rete in tempo reale. Carica in cascata una connessione VPN combinata con la rete a cipolla, aggiungendo il protocollo DNSCrypt per offuscare completamente le richieste di navigazione inviate ai fornitori di linea telefonica.

Integra inoltre un pulsante di emergenza per azzerare le chiavi crittografiche e chiudere le comunicazioni all'istante. Tuttavia, l'elevata quantità di script e programmi preinstallati aumenta la superficie di attacco, ovvero il numero di componenti che potrebbero nascondere vulnerabilità. Risulta una scelta valida per chi cerca una configurazione rapida, ma chi cerca l'essenzialità continua a preferire l'impostazione pulita di Tails.

Isolamento per postazioni fisse e macchine virtuali

Se le distribuzioni live servono per sessioni temporanee e trasportabili, chi lavora quotidianamente su postazioni da tavolo con dati riservati preferisce la frammentazione dello spazio di lavoro in compartimenti stagni.

Whonix

Il difetto intrinseco di molte connessioni anonime è la possibile perdita accidentale dell'indirizzo IP reale causata da un codice ostile annidato in una pagina web. Whonix risolve questa debolezza dividendosi in due macchine virtuali distinte che lavorano in coppia:

• Il Gateway: Questa macchina virtuale fa da scudo, agisce come un filtro avanzato e gestisce esclusivamente il transito dei dati protetti, senza eseguire alcuna applicazione per l'utente.
• La Workstation: È l'ambiente di lavoro vero e proprio dove si aprono documenti e browser. Questa macchina non possiede alcun accesso diretto a internet e può comunicare solo passando attraverso il Gateway.

Se un programma malevolo riuscisse a infettare la Workstation con privilegi di amministrazione, non potrebbe mai risalire all'indirizzo pubblico della rete di casa semplicemente perché quella specifica macchina virtuale non ne conosce l'esistenza.

Qubes OS

Spesso indicato come il sistema operativo preferito dagli esperti di difesa delle comunicazioni, Qubes OS applica il principio della sfiducia assoluta verso qualsiasi applicativo. Utilizza l'Hypervisor Xen per frammentare il computer in decine di ambienti virtuali indipendenti con codici colore differenti.

Si può assegnare un compartimento rosso alla navigazione generica, uno giallo alla posta aziendale e uno verde alle operazioni finanziarie, mantenendoli visibili sullo stesso monitor. Se un file scaricato nel compartimento rosso si rivela dannoso, il problema resta circoscritto in quella bolla e non può travasare verso i dati bancari. Integra anche i modelli di Whonix per creare macchine virtuali usa e getta con un clic, ma richiede processori recenti e almeno 16GB di memoria RAM per gestire tutti i moduli senza rallentamenti.

Distribuzioni per la privacy nell'uso di tutti i giorni

Non tutte le situazioni impongono misure drastiche come l'azzeramento del disco ad ogni spegnimento. Alcune persone cercano un sistema da usare tutti i giorni sul proprio portatile personale con un profilo di tracciamento ridotto al minimo.

Parrot Security OS Home Edition

Conosciuta nel settore dei controlli di sicurezza, Parrot Security OS propone una versione Home molto rifinita. Il punto di forza è lo strumento Anonsurf, un modulo che redirige l'intero traffico internet del computer attraverso canali anonimizzati tramite un singolo interruttore. Risulta scattante e opera senza intoppi anche su computer con qualche anno di servizio alle spalle.

Alpine Linux

Pensata per profili con competenze avanzate, Alpine Linux adotta una filosofia minimalista. Si appoggia alle librerie snelle musl libc e busybox per ridurre all'osso il codice del sistema operativo. Meno righe di codice significano meno falle sfruttabili dall'esterno. Viene usata spesso per comporre contenitori blindati o server isolati, ma gli appassionati la configurano come base per un ambiente desktop leggero e quasi inattaccabile.

Analisi dei limiti e accorgimenti tecnici

Punti salienti da considerare quando si adotta un sistema per l'anonimato:

• Supporto delle schede wireless. I sistemi orientati alla massima protezione spesso non integrano i pacchetti con licenza proprietaria necessari a far funzionare i chip Wi-Fi più recenti. Potrebbe essere necessario collegare il computer tramite cavo di rete o dotarsi di una chiavetta di ricezione USB supportata direttamente dai componenti liberi del kernel.
• Rallentamento generale della navigazione. Far transitare i dati attraverso molteplici nodi di rimbalzo crittografati aggiunge latenza. Guardare video ad altissima risoluzione o scaricare file di grandi dimensioni richiede una pazienza notevole rispetto a una linea domestica diretta.
• Difficoltà di accesso ai servizi online. Molti portali di pagamento e servizi di posta elettronica bloccano le connessioni originate da nodi di uscita noti. L'utente si trova spesso di fronte a controlli visivi ripetuti o rifiuti totali di autenticazione.
• Conflitti hardware. L'attivazione di funzioni come il Secure Boot nel BIOS può impedire l'avvio di alcune di queste distribuzioni. In questi casi occorre disabilitare il controllo di avvio sicuro per permettere al kernel Linux di caricarsi correttamente.

Diario di bordo di Navigaweb

Nessun software può salvare l'utente dalle proprie distrazioni. Installare l'ambiente più isolato del mondo non serve a nulla se poi si apre una sessione anonima per inserire le credenziali del proprio profilo personale sui social network. I sistemi descritti forniscono pareti spesse e porte corazzate, ma l'anonimato effettivo si ottiene solo separando la propria identità reale dalle sessioni di ricerca sul web. Se volete davvero azzerare l'impronta digitale, iniziate a dubitare di ogni modulo di registrazione che vi chiede il numero di telefono o l'email principale.

In un altro articolo, come eliminare le tracce di quel che si fa sul pc Windows.