Linux має репутацію однієї з найзахищеніших операційних систем, і для цього є підстави: відкритий код, продумана модель прав доступу, мінімум вбудованого стеження. Проте сама архітектура не гарантує приватності — багато залежить від налаштувань і звичок користувача. Добра новина в тому, що більшість додаткових заходів не потребує ні значних зусиль, ні витрат.
1. Дистрибутив, орієнтований на анонімність
Деякі дистрибутиви Linux від початку створені з прицілом на приватність. Найвідоміший — Tails (The Amnesic Incognito Live System) на основі Debian; ще один приклад — Linux Kodachi.
Такі системи зазвичай запускають у «живому» режимі (live) — з USB-накопичувача, без інсталяції на диск компʼютера. До їхнього складу входять інструменти для анонімного доступу до мережі, шифрування, захисту від стеження тощо.
Головна особливість: після кожного перезавантаження система повертається до початкового стану. Це не вада, а задум розробників — так ОС не залишає слідів роботи користувача. Водночас у Tails за потреби можна створити Persistent Storage — зашифрований паролем розділ на тому самому USB-накопичувачі для вибраних файлів і налаштувань. Для справді чутливих завдань його все ж краще не використовувати.
Варто враховувати й відмінності між проєктами. Tails розвиває міжнародна команда, і весь трафік системи спрямовується через мережу Tor. Kodachi — проєкт одного розробника, який поширюється як безкоштовне ПЗ лише для приватного некомерційного використання.
2. Tor Browser
Якщо live-дистрибутив здається надмірним кроком, мінімум — Tor Browser. Він спрямовує трафік через мережу Tor: запит проходить через кілька вузлів із багатошаровим шифруванням, тож сайт не бачить реальної IP-адреси користувача, а інтернет-провайдер — які саме сайти той відвідує. Окрім того, браузер блокує сторонні трекери, ізолює файли cookie для кожного сайту й уніфікує «цифровий відбиток», щоб усі користувачі виглядали для сайтів однаково.
Для анонімного перегляду вебсторінок Tor Browser не має повноцінних аналогів. Проте варто памʼятати: на останньому, вихідному вузлі мережі трафік розшифровується, тож дані, передані сайтам без HTTPS, теоретично можуть бути перехоплені. Саме тому Tor Browser за замовчуванням працює в режимі «лише HTTPS».
Браузер безкоштовний. Найнадійніше джерело для завантаження — офіційний сайт Tor Project. У репозиторіях багатьох дистрибутивів є також пакет torbrowser-launcher, який сам завантажує браузер із сайту розробників і перевіряє його цифровий підпис.
3. Шифрування за допомогою GnuPG
У Linux є GnuPG (GNU Privacy Guard) — вільна реалізація стандарту OpenPGP, що виріс із програми PGP (Pretty Good Privacy). GnuPG шифрує окремі файли (теки — попередньо запакувавши в архів), а також інтегрується з поштовими клієнтами для обміну зашифрованими листами.
Найпростіший сценарій — зашифрувати файл паролем:
gpg -c document.pdf
Команда створить файл document.pdf.gpg, відкрити який можна лише з паролем. Для листування знадобиться власна пара ключів — її генерують командою gpg --full-generate-key.
Важлива умова: щоб надіслати комусь зашифроване повідомлення, потрібен публічний ключ адресата. Решта налаштувань нескладна і вартує витраченого часу.
4. Вимкнення геолокації та телеметрії
Деякі дистрибутиви — особливо з робочими середовищами GNOME чи KDE Plasma — містять механізми телеметрії, тобто передавання даних про користувача командам розробників, а також служби визначення місцезнаходження.
Навіть якщо отримувачу можна довіряти, кожна передача даних — це додатковий ризик перехоплення. У GNOME службу геолокації вимикають у «Параметрах»: у розділі «Приватність» є пункт «Служби розташування», перемикач якого слід перевести в положення «Вимк.».
У KDE Plasma та інших середовищах можна заблокувати системну службу geoclue, що відповідає за визначення розташування:
sudo systemctl mask geoclue
Команда disable, яку часто наводять у порадах, тут не завжди спрацьовує: geoclue запускається на вимогу інших програм, тому надійніше саме заблокувати службу (mask). Після цього застосунки, які покладаються на геолокацію (наприклад, прогноз погоди чи автоматичний нічний режим екрана), не зможуть визначати місцезнаходження автоматично. Повернути службу можна командою sudo systemctl unmask geoclue.
5. VPN для всього трафіку
Ще один універсальний інструмент — VPN. Він шифрує трафік між пристроєм і сервером VPN-сервісу та приховує реальну IP-адресу від відвідуваних сайтів. Це суттєво ускладнює перехоплення даних — особливо в публічних мережах Wi-Fi.
Водночас VPN не робить користувача анонімним: увесь трафік бачить сам VPN-провайдер. Тому обирати сервіс слід ретельно — з перевіреною політикою відсутності журналів (no-logs) і незалежними аудитами.
Ще один нюанс: розширення VPN для браузера захищає лише браузерний трафік. Щоб під захистом опинилися також пошта, месенджери та інші мережеві застосунки, потрібен повноцінний клієнт для всієї системи. Для Linux такі клієнти пропонують, зокрема, Proton VPN, ExpressVPN і Windscribe.
6. Очищення тимчасових файлів і журналів
Linux зберігає тимчасові файли та журнали (логи), які корисні для діагностики несправностей. Проте вони можуть містити відомості, що загрожують приватності, — IP-адреси, перелік запущених служб тощо.
Частину роботи система виконує сама: вміст каталогу /tmp зазвичай очищується під час перезавантаження (у багатьох сучасних дистрибутивах він узагалі розміщений в оперативній памʼяті), а журнали регулярно ротуються — старі записи архівуються й згодом видаляються.
Ці завдання можна виконати й вручну. Найпростіший, але ризикований варіант — команда sudo rm /tmp/*: вона видалить і файли, якими саме зараз користуються запущені програми та графічний сеанс, що може спричинити збої. Безпечніше видаляти лише давні файли — наприклад, ті, до яких не зверталися понад 10 днів:
sudo find /tmp -type f -atime +10 -delete
Для журналів призначена утиліта logrotate — її налаштування дещо складніше. Потрібно створити конфігураційний файл у каталозі /etc/logrotate.d/, наприклад /etc/logrotate.d/myapp:
/var/log/myapp/*.log {
rotate 7
daily
compress
missingok
notifempty
create 0640 myapp myapp
postrotate
systemctl reload myapp
endscript
}
Такий конфіг щодня ротує журнали застосунку, зберігає сім стиснених архівів, пропускає порожні й відсутні файли, створює новий журнал із правами лише для власника та групи, а після ротації перезавантажує службу. Перевірити налаштування без жодних змін можна командою sudo logrotate -d /etc/logrotate.d/myapp, а примусово запустити ротацію за всіма конфігами — так:
sudo logrotate -f /etc/logrotate.conf
У дистрибутивах із systemd значна частина записів зберігається в системному журналі journald. Видалити з нього записи, старші за 10 днів, можна командою:
sudo journalctl --vacuum-time=10d
7. Двофакторна автентифікація
Двофакторну автентифікацію (2FA) варто вмикати скрізь, де її підтримує застосунок чи сервіс: це додатковий рівень захисту облікового запису. Після налаштування для входу, крім пароля, потрібен одноразовий код — зазвичай шестизначний. Без нього доступу до облікового запису не буде.
Код можна отримувати SMS-повідомленням, проте це найменш надійний спосіб: зловмисники здатні перехопити SMS, наприклад, через підміну SIM-картки. Перевагу краще віддавати застосункам-автентифікаторам, апаратним ключам безпеки, а там, де можливо, — ключам доступу (passkeys).
Друга перевірка забирає кілька зайвих секунд, але ця незручність себе виправдовує — і на Linux теж.
8. Моніторинг системної активності
Регулярний перегляд журналів системної активності варто перетворити на звичку. Основні файли зберігаються в каталозі /var/log/:
- syslog — повідомлення служб, демонів і застосунків (у дистрибутивах родини Debian/Ubuntu);
- log — події автентифікації, корисний для виявлення проблем зі входом;
- secure — аналог log у дистрибутивах родини Red Hat (Fedora, RHEL та похідних): події автентифікації та авторизації;
- audit/audit.log — події, повʼязані з безпекою (за наявності служби auditd);
- wtmp — історія входів користувачів і тривалість сеансів;
- btmp — невдалі спроби входу, які можуть свідчити про спроби злому.
Файли wtmp і btmp двійкові, тож переглядають їх не текстовим редактором, а командами last і sudo lastb відповідно. У дистрибутивах, де журнали веде лише systemd-journald, текстових файлів syslog і auth.log може не бути — тоді попередження й помилки з моменту завантаження системи покаже команда:
sudo journalctl -b -p warning
Якщо на компʼютері працюють інші служби — наприклад, вебсервер Apache чи СУБД MariaDB, — так само регулярно варто перевіряти і їхні журнали.
