Como copiar e colar arquivos e textos entre appVMs no Qubes e usar dispositivos USBs com arquivos

Para copiar e colar arquivos e textos entre appVMs no Qubes, é essencial seguir algumas diretrizes específicas que garantem tanto a segurança quanto a eficiência na manipulação de dados. A transferência de arquivos difere dos sistemas tradicionais devido ao isolamento e à virtualização do Qubes, o que introduz regras fundamentais para manter seu anonimato. Ao aproveitar os comandos de cópia e colagem adequados, você pode gerenciar arquivos entre as VMs de forma eficaz, evitando erros comuns que podem comprometer sua segurança. Se você deseja saber como realizar essas operações sem riscos, continue lendo para dominar essas técnicas essenciais e proteger sua privacidade ao usar dispositivos USB e arquivos sensíveis.

Como copiar e colar texto no Qubes (CTRL + C, CTRL + V do Qubes)

A forma como se copia e cola arquivos ou textos no Qubes OS é diferente dos sistemas tradicionais devido à sua natureza de virtualização, isolamento e compartimentalização. O manuseio e a organização dos arquivos no Qubes OS devem seguir certas regras para garantir a segurança do usuário.

Copiando texto de um local de uma VM para outro local de outra VM

Na VM A (source):

1. CTRL+C
2. CTRL+SHIFT+C

Na VM B (destination):

3. CTRL+SHIFT+V
4. CTRL+V

Exemplo de uso:

Utilizando a appVM anon-whonix, você navega pelo Tor e encontra um site. Para copiar um texto desse site para um arquivo que está em outra appVM offline, chamada Vault (padrão no Qubes), siga os passos abaixo:

1. Selecione o texto do site na appVM anon-whonix.
   - CTRL+C
   - CTRL+SHIFT+C

2. Entre na appVM Vault e abra o documento onde deseja colar o texto. Após abrir, clique com o ponteiro do mouse na parte do documento onde você quer inserir o texto.
   - CTRL+SHIFT+V
   - CTRL+V

Copiar ou mover arquivos ou pastas inteiras de uma appVM para outra

Exemplo da appVM Vault para a appVM anon-whonix:

Para copiar arquivos ou pastas:

1. Na appVM Vault:
   - Selecione o arquivo ou a pasta.
   - Clique com o botão direito do mouse.
   - Selecione Copy to other qube.
   - Escolha a appVM de destino, que nesse caso é anon-whonix.

2. Vá para a appVM anon-whonix na pasta QubesIncoming, localizada em /home/seu_usuario/QubesIncoming. O arquivo copiado estará lá.

Para mover arquivos ou pastas:

1. Na appVM Vault:
   - Selecione o arquivo ou a pasta.
   - Clique com o botão direito do mouse.
   - Selecione Move to other qube.
   - Escolha a appVM de destino, que nesse caso é anon-whonix.

2. Vá para a appVM anon-whonix na pasta QubesIncoming, localizada em /home/seu_usuario/QubesIncoming. O arquivo movido estará lá e não estará mais na Vault, pois foi movido!

Gerenciando dispositivos USB como pendrives e HDs externos e manipulando arquivos com segurança

Atenção: A segurança das suas appVMs depende do seu conhecimento e de como usar pendrives e HDs no Qubes da forma correta. Não é seguro anexar o pendrive ou HDs externos direto em appVMs para anonimato ou segurança. Use a sys-usb para esse fim ou crie uma appVM só para manipular arquivos. Você pode usar a appVM vault, que vem padrão no Qubes e já fica offline.

Passos para manipular os arquivos do dispositivo USB:

Ao conectar dispositivos USB, como pendrives ou HDs externos, eles serão anexados diretamente na sys-usb. No canto superior direito da tela, clique em Qube Domains, selecione sys-usb e Open File Manager. Isso abrirá a qube sys-usb e você poderá visualizar a partição ou partições do dispositivo para acessar.

Para copiar arquivos desse pendrive anexado na sys-usb para outra appVM:

Exemplo: arquivos do pendrive que estão na qubes sys-usb para anon-whonix

1. Na appVM sys-usb:
   - Vá em Qube Domains. (canto superior direito)
   - Selecione sys-usb
   - Open File Manager
   - Clique na partição que tem os arquivos que deseja copiar!
   - Selecione o arquivo ou a pasta.
   - Clique com o botão direito do mouse.
   - Selecione Copy to other qube.
   - Escolha a appVM de destino, que nesse caso é anon-whonix.

2. Vá para a appVM anon-whonix na pasta QubesIncoming, localizada em /home/seu_usuario/QubesIncoming. O arquivo copiado estará lá.

Para mover arquivos ou pastas:

1. Na appVM sys-usb:
   - Vá em Qube Domains. (canto superior direito)
   - Selecione sys-usb
   - Open File Manager
   - Clique na partição que tem os arquivos que deseja mover!
   - Selecione o arquivo ou a pasta.
   - Clique com o botão direito do mouse.
   - Selecione Move to other qube.
   - Escolha a appVM de destino, que nesse caso é anon-whonix.

2. Vá para a appVM anon-whonix na pasta QubesIncoming, localizada em /home/seu_usuario/QubesIncoming. O arquivo movido estará lá e não estará mais na sys-usb, pois foi movido!

Copiando ou movendo arquivos de outra VM para o pendrive anexado na sys-usb:

Vamos usar o exemplo da anon-whonix para sys-usb e depois para o pendrive.

1. Vá em Qube Domains. (canto superior direito)
2. Selecione anon-whonix.
3. Open File Manager.
4. Navegue e selecione o arquivo para copiar ou mover.
5. Clique com o botão direito do mouse e escolha Copy to other vm ou Move to other vm.
6. Escolha a VM de destino, no caso sys-usb.

7. Na appVM sys-usb, na pasta QubesIncoming, localizada em /home/seu_usuario/QubesIncoming, localize o arquivo copiado ou movido e copie para o pendrive ou HD externo que está anexado na sys-usb.

Para visualizar pelo terminal o pendrive ou HD externo:

Siga o caminho:

1. No canto superior direito da tela, clique em Qube Domains e selecione sys-usb.
2. Run Terminal.
3. Digite:
   lsblk -f

E a partir daqui, você pode navegar tudo via linha de comando.

Anexando o dispositivo USB em outra Qubes

Conecte o pendrive ou HD externo em uma das portas USB do seu computador.

No canto superior direito da tela, clique no símbolo de pendrive chamado Qubes Devices.

Procure o dispositivo conectado pelo nome ou marca e selecione-o.

Anexe na qube destino.

Por exemplo:

1. Vault
2. Selecione
3. Attach to qube:
4. Escolha vault.

ATENÇÃO: RISCO DE DESANONIZAÇÃO ANEXANDO PENDRIVES EM VMs DE ANONIMATO OU SENSÍVEIS

Quando você anexa um pendrive ou HD externo via USB em qualquer qube, o serial number do pendrive fica acessível pelos seguintes comandos que não são comandos de superusuário:

lsblk -o NAME,SERIAL | grep -E '^sd'

Um pendrive, SSD, HD ou pendrive importado ou fabricado em um país possuem serial numbers que poderão estar registrados em notas fiscais e outros documentos em:

Alfândega
Transportadores em geral
Reguladores
Fornecedores
Lojistas
Nota fiscal do cliente, etc.

Com isso é possível saber:

Quem foi o último comprador do dispositivo na loja.
Se você foi o último a comprar, tudo isso é rastreável pelo serial number do pendrive ou HD externo!
Se você comprou com alguém, fora da loja, sem nota fiscal, a partir do último comprador é possível investigar e chegar até você!

Então é um metadado fatal contra seu anonimato!

Usando o Whonix Gateway, o atacante não consegue desanonimizar pelo IP desativando o Tor, pois a conexão Tor é fornecida pela appVM sys-whonix que está isolada da appVM que você está usando. Todavia, pelo serial number do pendrive ou HD externo, o atacante obterá esse metadado e poderá lhe desanonimizar! Se sua appVM foi invadida por um agente governamental avançado, com esse metadado ele pode lhe desanonimizar!

Por isso, você nunca deve anexar pendrives em appVMs que você usa para navegação e operações anônimas!

Usando uma appVM em modo PVH (Paravirtualized Hardware) como a anon-whonix, o atacante não tem acesso aos metadados de marca do mouse e teclado, assim como metadados do serial number de memória RAM que podem ser rastreados exatamente como os pendrives. O serial number das memórias RAM pode ficar em vários documentos e notas fiscais ao longo de seu trajeto até o último comprador! Pelo comando:

sudo dmidecode

O atacante conseguirá ver metadados de marca/modelo de processador, placa mãe, GPU, etc., e verá o serial number das memórias RAM usadas! Na anon-whonix ou outra appVM em PVH, ele não consegue, pois a appVM não tem acesso direto ao hardware da máquina e tudo isso é virtualizado, mas no caso de pendrives e HDs externos não! Como demonstrado, ao anexar pendrives, o metadado de serial number ficará disponível na PVH appVM e o atacante poderá lhe desanonimizar! Esse problema não é do Qubes, mas do Linux e de todo sistema operacional projetado para ler o serial number dos dispositivos pendrive, HD/SSD externo ou interno e muitos outros! Por isso, nesse caso, é o usuário que precisa ter consciência e nunca cometer o erro de anexar um pendrive ou HD externo em uma appVM para anonimato!

Risco de acesso e vazamento de todos os arquivos ou seus metadados ao anexar um pendrive ou HD externo em uma appVM comprometida!

Digamos que você está usando uma appVM com o Telegram e descubram como hackear o Telegram via zero-click, ou seja, um ataque que não tem defesa, e bastará você estar usando o Telegram para ser invadido. A invasão poderá ficar local, ou escalar privilégios e controlar o sistema inteiro! Se o invasor conseguir controlar a máquina inteira ou tiver um privilégio alto, quando você conectar um pendrive com arquivos sensíveis na appVM comprometida, o atacante terá acesso a todos os arquivos ou poderá escanear os arquivos e obter metadados de tudo, podendo fazer download, talvez, de tudo!

Imagine um arquivo do banco de dados KeePassXC com todas as senhas e códigos 2FA para todas as suas contas. Mesmo que esteja criptografado, se descobrir um bug nessa versão do KeePass ou uma brecha que permite acessar driblando a barreira da criptografia, todas as suas senhas foram comprometidas e códigos 2FA estarão na mão desse criminoso!

Digamos que esse pendrive anexado tenha a chave PGP pública e privada; ele também terá acesso a isso e poderá descriptografar seus arquivos online ou mensagens online em emails ou chats que você usou essa chave!

Perceba o perigo de conectar um pendrive ou HD externo com arquivos sensíveis em qualquer appVM que tenha conexão com a internet e é usada para atividades online!

O melhor setup para manipular arquivos no Qubes é manipular arquivos e anexar mídias com arquivos sempre em appVMs offline, como a sys-usb ou a vault, projetadas para isso!

Use sempre appVMs offline para anexar o pendrive ou HD externo e para mover ou copiar arquivos para outra appVM. Faça o procedimento ensinado aqui usando copy to other vm ou move to other vm para a appVM online destino!

Para copiar arquivos de uma appVM online para o pendrive, copie ou mova o arquivo da appVM online com os comandos copy to other vm ou move to other vm para a appVM offline exclusiva para acessar pendrives e gerenciar todos os arquivos. E dessa appVM, copie para o pendrive usando os ensinamentos desse tutorial!

Metadado do serial number do pendrive e SSD/HD externo

Os metadados ficam acessíveis no Tails e em distribuições Linux normais (sem mencionar Mac e Windows). O Tails e um Linux normal registrarão e deixarão acessíveis o serial number de pendrives e HDs externos. No caso do Linux, o HD/SSD interno que está instalado o sistema operacional também ficará com seu serial number acessível para invasores lhe desanonimizarem por esse metadado!

Mesmo que seu Linux use um gateway Tor isolado por outro computador ou roteador externo, esse metadado é fatal contra seu anonimato!

O pendrive que você instala o Tails e inicia no PC sempre terá seu serial number acessível. Mesmo que o atacante, ao invadir seu Tails, não consiga desativar o Tor e outras configurações para saber seu IP real, ele tem esse metadado!

Além disso, tanto no Tails quanto em um Linux normal, o hardware está em contato direto com o SO, logo é possível saber o serial number das memórias RAM que podem ser obtidas pelo comando:

sudo dmidecode

E outros metadados de hardware! Por isso, o Qubes é uma opção mais robusta de anonimato, aniquilando todos esses metadados, mas que exige que o usuário tenha conhecimento e nunca anexe um pendrive ou HD externo em uma appVM online por segurança, por conta desse metadado crítico do serial number deles!

Para saber com mais profundidade sobre a arquitetura do Qubes OS, leia o artigo sobre Introdução ao Qubes e assista ao vídeo seminário de 2 horas aqui: Introdução ao Qubes OS.

Tutoriais avançados sobre Qubes OS: Clique aqui!

Qubes OS Espectro Proibido: Clique aqui!

Doar monero para ajudar no crescimento desse projeto: Clique aqui!