Vlákno názorů k článku Bezpečný Tor klient ve virtualizovaném prostředí od Honza77 - Nevím, zda jsem přesně pochopil princip, ale pokud...

Nevím, zda jsem přesně pochopil princip, ale pokud bude mít virtuální počítač možnost posílání DNS dotazů na přímo (nikoli přes TOR), tak v kompromitovaném virtuálním počítači stačí provést nějaký unikátní DNS dotaz a ten se dostane spolu s reálnou IP adresou mimo bezpečnou zónu. Nebo se pletu?

Nedělají se v článku DNS dotazy taky přes Tor?

Btw. ještě lepší mi přijde úplně eliminovat potřebu SOCKS proxy - virtualizovaný počítač pak nepotřebuje vůbec žádná nastavení. Pokud se nepletu, mělo by to být popsáno v https://trac.torproject.org/projects/tor/wiki/doc/TransparentProxy#LocalRedirectionandAnonymizingMiddlebox

Tor daemon vie otvorit nejaky port a na nom bude pocuvat dns poziadavky.

Da sa este na to cele pouzit nastroj badvpn-tun2socks https://code.google.com/p/badvpn/wiki/tun2socks. Na jednej strane vystupuje ako router nad tun interfacom a na druhej sa pripoji na socks proxy. Teda je mozne pomocou normalneho linuxoveho routovania pouzit socks proxy v systeme. Na stranke badvpn projektu sa ale pise ze sa neda pouzit s torom, kedze nie je mozne zistit s akymi servermi je tor daemon spojeny a nastavit pre ne staticke routy ktore pojdu mimo tun2socks. To ale nie je pravda, ide to celkom pekne cez iptables a iproute2 a oznacovania packetov ktore odchadzaju/prichad­zaju uzivatelovi ktory spustil tor daemon.

Je sice pravda, ze z virtualu sa aj nakazeny firefox dozvie menej, ale je to trochu neprakticke spustat virtual a v nom firefox na browsovanie. Ak je ale zabezpecenie kernelu dostatocne dobre da sa pouzit podla mna aj vyssie uvedene riesenie, ktore nastavi defaultnu routu rovno na tor. Takze kadza aplikacia pojde tiez iba cez tor. A kazda aplikacia, ktora nema prava na zistenie a menenie routovacich tabuliek, tak nesposobi ziadne problemy.

Ano, presne tak, je to vazna bezpecnostna slabina. Da sa to vyriesit ale velmi jednoducho - firefox sa da nastavit tak, aby aj DNS resolovval cez socks proxy - staci v about:config nastavit network.proxy­.socks_remote_dns na true.

Podobne je slabinou aj ignorovanie IPv6 (ako uz stihol poznamenat kolega nizsie). Tam je tiez niekolko jednoduchych rieseni.

...a samozrejme potom vyhodit z toho firewallu povolenie UDP 53 resp. zrusenie DNS v dnsmasq na hoste.

Toto a dalsi je uz v TAILS dafaultne nastaveno. Doporucuji pouzivat a zaroven poustet jako live = po rebootu se vymaze kompletni historie apod. Take je doporuceno pravidelne menit MAC adresu virtualu a dale na sitove karte virtualu nastavit NAT namisto bridge.

Nevieš či nie je niekde návod k inštalácii Tails v češtine?

nejjednodussi je tady:
Stahnout ISO image "tails"
Vypalit na DVD
Nabootovat z DVD
:-)