Linux (host) -> Mullvad VPN -> Whonix VMs -> Residential proxies This setup is sufficient for ~99% of use cases. RDPs should only be used when you need to host services they offer basically no real OpSec advantage for your own work and can actually hurt you badly. Example: an adversary with a court order can get real-time or historical monitoring of everything happening inside that RDP session while you believe you're operating safely.


Ich Habe China RDPs Kannst Dich Gern Bei Mir Melden


Hol dir Linux Host dann Linux VM, auf Linux Host kannst du Mullvad drauf hauen und auf VM ivpn, danach Anti detection Browser wie Mullvad oder dolphin & Multilogin nutzen mit anständigen Proxies, das reicht vollkommen aus. Ich empfehle keine Arbeiten auf RDP, vor allem nicht Wallet dort liegen lassen, die werden gerne gecasht Verschlüsslung auf Linux nicht vergessen und du Sitzt hinter 2 VPNs und Proxies auf deinen eigenem System und bist nicht von Hostern abhängig die dich bestehen könnten. RDP sind eher für Bots und Hosting gedacht, nicht zum arbeiten.


Windows RDP Logs deaktivieren und löschen

Wahrscheinlich ist es vielen nicht bewusst, aber euer RDP loggt jede Anmeldung inkl. IP von euch. Shoutout an den User aus dem alten Board, der darauf hingewiesen hatte. Hier als kleines Geschenk von mir ein PowerShell Script , um alle Logs aus dem Event Viewer zu deaktivieren und zu löschen . Einfach als .ps1 Datei speichern und als Administrator auf dem RDP ausführen. Wer das ganze per Hand machen möchte: Event Viewer > Applications and Services Logs > Microsoft > Windows > TerminalServices-... Dort bei jedem Ordner unter Admin und Operational die Logs deaktivieren und clearen. DisableRDPLogs.ps1  Code: #Requires -RunAsAdministrator
# Description: Disable all RDP and login-related logging on Windows

Write-Host "`n========================================" -ForegroundColor Cyan
Write-Host "  RDP LOGGING DISABLER" -ForegroundColor Cyan
Write-Host "========================================`n" -ForegroundColor Cyan

Write-Host "This tweak will:" -ForegroundColor Yellow
Write-Host "  - Disable RDP connection logging" -ForegroundColor White
Write-Host "  - Disable Security event logging (login events)" -ForegroundColor White
Write-Host "  - Disable Terminal Services logging" -ForegroundColor White
Write-Host "  - Disable Remote Desktop Services logging" -ForegroundColor White
Write-Host "  - Clear existing logs" -ForegroundColor White

$confirm = Read-Host "Do you want to continue? (y/n)"

if ($confirm -ne 'y') {
    Write-Host "Cancelled." -ForegroundColor Yellow
    return
}

Write-Host "`nDisabling RDP and login logging..." -ForegroundColor Cyan
Write-Host ""

# Static event logs to disable/clear
$eventLogs = @(
    "Security",
    "System"
)

# Disable and clear static event logs
foreach ($logName in $eventLogs) {
    try {
        Write-Host "Processing: $logName" -ForegroundColor Yellow

        # Clear the log
        wevtutil cl "$logName" 2>$null
        Write-Host "  Cleared log" -ForegroundColor Green

        # Disable the log
        wevtutil sl "$logName" /e:false 2>$null
        Write-Host "  Disabled log" -ForegroundColor Green

    }
    catch {
        Write-Host "  Warning: Could not process $logName" -ForegroundColor DarkYellow
    }
}

Write-Host ""
Write-Host "Discovering all TerminalServices and RemoteDesktop event logs..." -ForegroundColor Yellow

# Get ALL TerminalServices-* and RemoteDesktop* event logs dynamically
$tsLogs = wevtutil el | Where-Object { $_ -match "TerminalServices|RemoteDesktop" }

$tsLogCount = 0
foreach ($logName in $tsLogs) {
    try {
        Write-Host "Processing: $logName" -ForegroundColor Yellow

        # Clear the log
        wevtutil cl "$logName" 2>$null
        Write-Host "  Cleared log" -ForegroundColor Green

        # Disable the log
        wevtutil sl "$logName" /e:false 2>$null
        Write-Host "  Disabled log" -ForegroundColor Green

        $tsLogCount++
    }
    catch {
        Write-Host "  Warning: Could not process $logName" -ForegroundColor DarkYellow
    }
}

Write-Host ""
Write-Host "Processed $tsLogCount TerminalServices/RemoteDesktop event logs" -ForegroundColor Cyan

Write-Host ""

# Disable Security event audit policies
Write-Host "Disabling audit policies..." -ForegroundColor Yellow

$auditPolicies = @(
    "Logon/Logoff",
    "Account Logon",
    "Detailed Tracking",
    "Object Access",
    "Policy Change",
    "Privilege Use",
    "System",
    "Account Management"
)

foreach ($policy in $auditPolicies) {
    auditpol /set /category:"$policy" /success:disable /failure:disable 2>$null | Out-Null
    Write-Host "  Disabled: $policy" -ForegroundColor Green
}

Write-Host ""

# Registry tweaks to disable RDP logging
Write-Host "Applying registry tweaks..." -ForegroundColor Yellow

$registryTweaks = @(
    # Disable TerminalServices event logging
    @{
        Path = "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server"
        Name = "EventLogLevel"
        Value = 0
        Type = "DWord"
    },
    # Disable Security event logging
    @{
        Path = "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security"
        Name = "MaxSize"
        Value = 0
        Type = "DWord"
    },
    # Disable RDP connection history
    @{
        Path = "HKLM:\SOFTWARE\Microsoft\Terminal Server Client"
        Name = "DisablePasswordSaving"
        Value = 0
        Type = "DWord"
    }
)

foreach ($tweak in $registryTweaks) {
    try {
        # Create path if it doesn't exist
        if (-not (Test-Path $tweak.Path)) {
            New-Item -Path $tweak.Path -Force | Out-Null
        }

        Set-ItemProperty -Path $tweak.Path -Name $tweak.Name -Value $tweak.Value -Type $tweak.Type -Force
        Write-Host "  Set: $($tweak.Path)\$($tweak.Name)" -ForegroundColor Green
    }
    catch {
        Write-Host "  Warning: Could not set $($tweak.Path)\$($tweak.Name)" -ForegroundColor DarkYellow
    }
}

Write-Host ""

# Stop and disable Event Log service (extreme measure)
Write-Host "Event Log Service Configuration:" -ForegroundColor Yellow
Write-Host "  Note: Stopping Event Log service may cause system instability" -ForegroundColor Red
Write-Host "  Leaving Event Log service running but logs are disabled/cleared" -ForegroundColor Cyan

Write-Host ""

# Clear RDP cache and connection history
Write-Host "Clearing RDP connection cache..." -ForegroundColor Yellow

$rdpCachePaths = @(
    "$env:USERPROFILE\AppData\Local\Microsoft\Terminal Server Client\Cache",
    "$env:LOCALAPPDATA\Microsoft\Terminal Server Client\Cache"
)

foreach ($path in $rdpCachePaths) {
    if (Test-Path $path) {
        Remove-Item -Path "$path\*" -Force -Recurse -ErrorAction SilentlyContinue
        Write-Host "  Cleared: $path" -ForegroundColor Green
    }
}

# Clear MRU (Most Recently Used) RDP connections
$mruPath = "HKCU:\Software\Microsoft\Terminal Server Client"
if (Test-Path $mruPath) {
    Get-ChildItem -Path $mruPath | Where-Object { $_.Name -match "Default|Server" } | Remove-Item -Force -Recurse -ErrorAction SilentlyContinue
    Write-Host "  Cleared RDP MRU entries" -ForegroundColor Green
}

Write-Host ""
Write-Host "========================================" -ForegroundColor Green
Write-Host "RDP logging disabled successfully!" -ForegroundColor Green
Write-Host "========================================" -ForegroundColor Green

Write-Host "`nSummary:" -ForegroundColor Cyan
Write-Host "  - Event logs disabled and cleared" -ForegroundColor White
Write-Host "  - Audit policies disabled" -ForegroundColor White
Write-Host "  - RDP connection cache cleared" -ForegroundColor White
Write-Host "  - Registry tweaks applied" -ForegroundColor White
Write-Host ""

Write-Host "IMPORTANT:" -ForegroundColor Red
Write-Host "  - Logs will not record RDP connections" -ForegroundColor Yellow
Write-Host "  - Some logs may re-enable after Windows updates" -ForegroundColor Yellow
Write-Host "  - Rerun this tweak periodically to maintain privacy" -ForegroundColor Yellow
Write-Host ""

Write-Host "To re-enable logging later:" -ForegroundColor Gray
Write-Host "  wevtutil sl Security /e:true" -ForegroundColor DarkGray
Write-Host "  auditpol /set /category:* /success:enable /failure:enable" -ForegroundColor DarkGray
Write-Host ""

Write-Host "Press any key to exit..." -ForegroundColor Gray
$null = $Host.UI.RawUI.ReadKey("NoEcho,IncludeKeyDown")


** PUSH **


In this tutorial we're going to see how to setup a chat application for Anonymous use. This is especially important in a world where mass-surveillance is nearly-omnipresent. It has become the end users responsibility to uphold their privacy and anonymity while communicating online. Choosing the most appropriate chat application  In order to choose the most appropriate messaging app for our intended use (Anonymity), we have the following requirements: Privacy: The application must be free and open source (FOSS) The application must have End to End Encryption by default (E2EE) The application must allow us to run and use our own servers (Decentralization) Anonymity: The application must support Tor .onion servers out of the box The application must allow you to chat without requiring any information (no emails, no usernames, no phone numbers) The application must have the ability for us to join chatrooms without revealing our identity (Incognito Mode) Deniability: The application must have disappearing messages (Deniability) You'd be surprised to see that as of right now there is only SimpleX that actually fits all of these criteria. therefore that's what we'll use for Anonymous chats. Mobile OPSEC Recommendations:  Hardware : Google Pixel Phone Host OS: GrapheneOS Graphene Profile: Anonymous Use Applications: Orbot and SimpleX Desktop OPSEC Recommendations:  Hardware : (Personal Computer / Laptop) Host OS: Linux Hypervisor: libvirtd QEMU/KVM Virtual Machine: Linux or Whonix or Tails Application: Tor (if not on Whonix or Tails), and SimpleX We will be going through how to set up your own SimpleX server through Tor, and how to configure your Android client to route your traffic through it. How to Set Up Anonymous Chats  Step 1. Option A: GNU/Linux  First, update your package list and install Tor by running the following commands in your terminal: Once installed, start the Tor service: Next you'll need to download SimpleX AppImage which can be found here on SimpleX website . Open a terminal in the directory of your downloaded AppImage. Make the AppImage executable, then launch it: Step 1. Option B: Android  Download and install the Orbot .apk from the GitHub repository . Open Orbot, and in the bottom-right corner, tap on More , tap on Orbot Settings , then General to enter the settings. In the settings menu, scroll down and enable the Power User Mode . After enabling Power User Mode, go back to the More section and press Choose apps and select SimpleX in the list. Go back to Connect in the bottom navigation menu and press Connect . Download and install SimpleX using F-Droid Step 2.  Navigate through the setup process, select your username, and press Create. Once you've created your profile, open the menu on the bottom left and open Settings > Network and servers and activate SOCKS Proxy. Press SOCKS proxy settings and set your port to 9050, then save. You have now successfully configured SimpleX to use Tor!  How to Join Chatrooms in Incognito mode  If you have received an invite to a SimpleX chatroom, you can join it by pressing the input field at the bottom of the screen labeled Search or paste SimpleX link . Paste your invite link into the input field and press Enter . You will be met with a window asking whether you'd like to connect using your current profile or using an Incognito profile. Select Use new incognito profile . This is because we don't want to reveal what our simplex username is, we just want to join the chatroom using a random username that is not tied to our identity. And there as you can see, everyone that joins in in incognito gets a random pseudonym with the format "Random Adjective Random Word" effectively helping the users maintain their anonymity while in the chat. Conclusion  By following this tutorial, you've set up a secure, anonymous chat system using SimpleX and Tor. You've learned how to install Orbot, joined incognito chatrooms anonymously. This setup ensures that your private conversations remain secure and untraceable. What You've Accomplished  Installed Orbot and routed traffic through the Tor network. joined anonymous chatrooms in incognito mode.


This is probably going to sound obvious and trivial, but i think it's worth explaining just in case if this isn't common sense to you yet. Reminder: Deniability requires Anonymity, which requires Privacy Deniability isn't possible without Anonymity, and Anonymity isn't possible without Privacy. So even though the Sensitive VM setup provides Privacy (FOSS), Anonymity (use of Whonix VMs), and Deniability (making use of Veracrypt hidden volumes), you need to ensure your privacy is intact IRL aswell . Who can see your monitor ? First of all, since the Sensitive VM is meant to remain secret at all costs, you need to take into account who can see your monitor. If you think you can use this Sensitive VM outdoors, in public spaces, where people can see what you're doing on your screen, you should know that this is not an option: Same thing as how Ross Ulbircht got arrested while performing sensitive activities from his laptop, he was in a public library, which means that undercover agents could easily storm in to take his laptop away from him, due to being a public space: It is the same as trying to use the Sensitive VM while a camera is pointed at you from behind, for example in an office workplace: And obviously if you have a surveillance system at home like in this example, you should know that this is also a potential way for you to ruin the deniability you have. On the other hand, you can have a setup like the one above, where the monitor is not visible from the camera, but you need to constantly remember to never turn the monitor to face the camera while the Sensitive VM is active. However obviously the simplest option is to have an office room at home with no windows (to prevent any neighbor from looking in), nor any cameras, that you can safely use privately whenever you want to use the sensitive VM. How can I react on time to an emergency scenario ? In case of an emergency happening (which means the adversary busting down your door), you need enough time to react to the fact that there's an emergency and enough time to press the emergency reboot shortcut, for which i'd say 5 seconds should be enough. Stay next to your computer if the Sensitive VM is opened Have you ever heard of the basic IT rule of "Lock it if you leave it" ? It refers to when you leave your computer, you should lock it, to prevent anyone else from physically accessing your computer while you were away from it. The same concept applies here. Suppose you were working on the sensitive VM and you had to go to the toilet to make a modern piece of art, what if the cops were to bust down your door right then ? The problem is that you wouldn't have enough time to get back to your computer to trigger the emergency shutdown , simply due the distance between you and your computer when the emergency occurs, and in that scenario the adversary would manage to get to your computer before you. Therefore if you have to leave your desk for any reason whatsoever, to take a leak, to grab some soda, to go take a shower or to go out to get the groceries, you HAVE to power off your computer the moment you leave your desk, as the door could be busted open at any moment while the sensitive VM is opened. Not listening to loud music If you're using high quality noise-cancelling headphones, and blasting some loud music into your ears with it, then it may be possible that you won't hear the door being busted open, nor the cops storming your apartment, until it's too late when they pin you to the ground and effectively prevent you from triggering the emergency reboot shortcut. Reinforcing the front door First of all, since the main threat vector is with cops busting down your front door, you could reinforce it. Check out those examples of front-door busting: (Youtube Video Title: World's Strongest Man VS World's Strongest Door!!! - Eddie Hall) If you want to include that into your own threat model, know that there are ways to ensure that your front door is much harder to bust open from the outside, such as with going with full-steel front-doors like the third example just above. Correctly placing your home office That's why you need to take into account how long it would take for an adversary to bust down the door and for them to get to see your monitor like in the example below. If you don't place your office well, you might have less than 1 second to react to an adversary busting down your front door to arrest you: Instead, I recommend you to place your home office as far from the entry door as possible, to ensure that in case a raid, that from the time the adversary starts to bust down your front door, to the time they actually get to your home office, you have enough time (at least 5 seconds) to press the emergency reboot script. Getting used to triggering the emergency reboot It may sound stupid simple but this should be muscle memory for you to trigger the emergency reboot sequence. Hence i recommend that you should test yourself at random at least once every few days. "What if an adversary was busting down my door right now ?" Randomly start counting down from 5 to 0, if you manage to trigger the emergency reboot shortcut before the countdown hits 0, you win, otherwise, you'd would have gone to jail potentially for a long time. Conclusion If you have some sensitive activities to perform, don't do those in a public space, make sure that you're performing those from a confined space within your full control, and make sure that you're always ready to react to an emergency scenario. Instead of having obstacles that could potentially prevent you from triggering the emergency reboot shortcut in time, rather put obstacles to make it significantly harder for the adversary to get to your computer, those may seem like trivial measures to take but when we're talking about sensitive activities where you potentially risk jailtime, i think those are definitely worth having.


Note: This will not help you if you don't have additional protections like FDE (Full Disk Encryption). Should you use this? To prevent LE from capturing your device while it's unencrypted. If you're a high value target. As a dead-man's switch. Setup 1. Make sure you have lsusb installed. Usually the package name would be usbutils. Once you see a list of USB devices, you're good to proceed to the next step. 2. Make sure you have reboot.sh in your home directory. (This isn't mandatory. You'll see why below.) 3. Copy the following bash script and give it executable permissions. What the script does The following is a diagram that describes what the script does. This script lets you choose a USB device to monitor, then checks if it is still connected every $INTERVAL seconds (default 1 second). If the USB device gets disconnected, it runs the $TRIGGER command. In this case, it executes ~/reboot.sh. First, tweak your variables present at the beginning of the script to whatever you like. Hence the reboot.sh script. You can change the $TRIGGER value to whatever command you want to run automatically. But, make sure the reboot command comes last. You can ensure this by maintaining the following format: Note: Make sure you aren't running any commands that require you to enter a password. If you need to run superuser commands, either set a NOPASSWD rule for that command, or run the script as root. We want everything to be quick and automatic. Usage 1. Once you have set up your script, execute it. 2. From the list, select the device you want to monitor. For example, I'll use the Flash Drive, so I'll type 1 and hit enter. 3. Now it's ready to go. You can now test if your script is working as intended. Removing the drive will reboot the system. Additional setup You should consider tying a cord from the USB device to your body if you're a target. Hooking it up to your belt would be a good option. In case your house gets broken into and you don't really have time to do anything, you could move and the USB would disconnect, running the trigger command and erasing all evidence. This is exactly what BusKill does, but without the special cord, attachments, and program. Final notes This is an (almost) feature complete replica of usbkill . usbkill needs python to run, which I doubt everyone wants to install. You can compile the script into a single binary, but I'd rather do things simple and minimal. It also requires to be run as root, which again, increases your surface area. I hope the guide helped. Cheers!


Thanks for sharing! One way to make something like this a bit stronger could be combining it with USBGuard (or similar tools). It helps block unknown/new USB devices by default, and you could then trigger the shutdown only when your specific device gets removed. That would avoid the constant polling and react faster overall


HowTo: komplett verschlüsseltes Linux by xzv

Verschlüsseltes Dateisystem mit abgelöstem LUKS2-Header auf USB-Stick und EFI zeitlicher Aufwand: 2h mit Windows etwa 4h Schwierigkeitsgrad: 4/5 Distribution: Debian 12 Bookworm Wenn Schwachköpfe, Pimmel und hirnlose Krapfen den Staatsapparat leicht dazu bewegen können aktiv Rechtsbruch zu begehen und intimste Gegenstände zu konfiszieren ist davon auszugehen dass hier möglichweise Willkür am Werk ist. Das ist mittlerweile Realität und gängige Paxis. Eine besorgniserregnede Entwicklung, dessen Ausmaß nicht abzusehen ist, lässt sich hier beobachten. Daher: Kann man dem rechtswidrigen Handeln des Staates nur taten- und hoffnungslos zusehen und in Duldungsstarre alles über sich ergehen lassen? Jein. Die Gelegenheit zum passiven Widerstand lässt mit relativ wenig Aufwand jenen für den Gesetzgeber sehr bis unendlich groß werden um die eigenen privaten Daten einzusehen. Dafür braucht man nicht einmal angeben dass der Inhalt der Festplatte, SSD oder Datei verschlüsselte Daten enthält. Der Fachbegriff, der hier eine Rolle spielt, lautet plausible Abstreitbarkeit oder plausible deniability. Auf dem USB-Stick ist der Masterkey zum Entschlüsseln der Daten gespeichert. Aber nicht im Klartext sondern verschlüsselt mit einer Passphrase. Die steht natürlich auch nicht einfach so lesbar da, sondern ist auch mit einem hash-Algorithmus gesichert. LUKS2 bietet viele Einstellmöglichkeiten die alle im Header gespeichert werden, so dass man später bequem an seine Daten ran kommt ohne sich die Einstellungen germerkt haben zu müssen. Der Header wird, wenn man ihn nicht ablöst, normalerweise am Anfang einer Partition oder Datei geschrieben und ist 16 MiB groß. So erkennt man, dass es sich um verschlüsselte Daten handelt. Glücklicherweise ist es das was wir genau nicht wollen. Da so jeder Anhaltspunkt fehlt und man plausibel angeben kann, dass das keine Daten sondern nur Zufallswerte sind. In der Realität hält man brav die Klappe und äussert sich garnicht. Kein Header keine Kekse. Also landet der auf dem USB-Stick und die /boot-Partition gleich mit, da auf ihr die Einstellungen gespeichert sind, welche eindeutig belegen, dass man von einem verschlüsselten Laufwerk starten will. Win-Win! Das was ein externer Beobachter ohne den USB-Stick zu sehen bekommt ist also nicht weniger als schöne bunte Zahlen ohne jeden Bezug und verwertbaren Beweis. 1 Was machst du da und wie geht das? Zuerst wird Debian unverschlüsselt auf zwei temporären Partitionen installiert (root und swap). Das neue System wird gestartet und die verschlüsslten Zielpartitionen und alles andere erzeugt. Dann wird die frische Installation da rein kopiert. Anschließend wechseln wir in das neue verschlüsselte System und machen ein paar Anpassungen damit es starten kann. Der USB-Stick wird vorbereitet und wenn alles geklappt hat, startet der GRUB-Loader aus dem MBR des Zieldatenträgers das initramfs auf der /boot-Partition vom USB-Stick. Das kennt unser verschlüsseltes System und fragt nach der Passphrase. Danach fährt das Linux hoch und man kann ab diesem Zeitpunkt etwas ruhiger schlafen. Warum der Aufwand? Debian bringt doch schon Laufwerksverschlüsselung mit? Debian kann sich von Hause aus auf verschlüsselten Datenträgern installieren lassen. Diese Methode funktioniert gut, unkompliziert und ist nutzlos für unser Vorhaben. Für die Entwickler wäre es absolut möglich mit vertretbarem Aufwand Auswahlmöglichkeiten für abgelöste Header zu untersützen. Die automatisierte Methode von Debian macht ausserdem noch ein paar Dinge mit den Paritionen, die ich nicht ganz nachvollziehen kann. Das liegt wahrscheinlich daran, dass ich keine Ahnung davon habe was ich da eigentlich mache. Unterm Strich funktioniert es und ich bin noch nicht auf die Fresse gefallen. Das System startet und beschwert sich nicht. Kernel- Aktualisierungen funktionieren gut und dauern etwas länger, da der USB-Stick träger als eine SSD ist. Ein verschlüsseltes Dateisystem ist natürlich etwas langsamer, da die Daten ja in beim Schreiben und Lesen in nahezu Echtzeit ver- und entschlüsselt werden. Los gehts! Lade dir ein devian-12.10.0-and64-DVD-1.iso etwa 4 GiB groß oder debian-12.10.0-amd64-netinst.iso etwa 630 MiB. da oder cp auf USB-Stick /dev/sdx Ein Livesystem debian-Live-12.10.0-amd64-xfce.iso etwa 3 GiB groß auf einen weiteren USB-Stick kopieren, falls etwas schief läuft. Ich kann empfehlen das 4GiB-Image zu nehmen, da man evtl. mehr als einen Anlauf braucht um ein lauffähiges System zu erhalten und man nicht jedes Mal alle Pakete aus dem Netz nachladen will. Alle Links dazu in den Kommentaren. Für Demonstrationszwecke verwende ich VMware Workstation aber einen echten USB-Stick. Die Installation unterscheidet sich nur geringfügig im Gegensatz zu einem realen Rechner. Mach EFI an, damit Debian den richtigen Installer lädt und die Partitionierung xzvblemlos ablaufen kann. Bei einem echten PC im BIOS im Bootmenü vom EFI- Gerät booten. Wenn der Rechner kein EFI-BIOS hat gelingt die Installation trotzdem. 1.l Windows 11 installieren (optional) Winl1_24H2 German x64.iso herunterladen und mit Rufus auf USB-Stick kopieren. Alternativ da oder cp direkt auf das Gerät /dev/six. Debian-Livesystem starten und mit gdisk oder gparted GPT- Partitionstabelle auf das Zielgerät (/dev/nvmeonx, /dev/sdx) schreiben. Spätere Zielpartition für Linux anlegen: - am Anfang der /dev/nvmeonx oder /dev/sdx - unformatiert - ohne Dateisystem - 3/4 oder 2/3 der Kapazität oder nach Belieben - Rest frei lassen für Windows Windows 11-Install-USB-Stick starten und den freien Speicher von Windows assimilieren lassen. Es wird automatisch eine EFl-Partition erzeugt die etwa 100MB groß ist. Nach Abschluss der Installation nicht ins Windows booten sondern:


1.2 Debian installieren Installations-ISO in VMware oder vom USB- Stick im Textmodus starten und temporäres Zielsystem installieren vorzugsweise auf externem Datenträger. Man kann auch zwei seperate Partitionen auf dem Zieldatenträger nehmen. Dann hat aber man später ein Loch und muss die root-Partition vergrößern damit es wieder verschwindet. Nachdem die Netzwerkeinstellungen und der Spiegelserver ausgewählt wurde sowie Passwörter etc. eingerichtet kann die manuelle Partitionierung beginnen. 1.2.1 EFI-Partition auf dem Zieldatenträger. Folgende Partitionierung lässt sich mit dem Debian-Installer erstellen. Zu sehen ist eine Aufteilung ohne Windows mit externem temporären Datenträger für die Zwischeninstallation von der später kopiert wird. 1.2.2 EFI-Partition auf dem USB-Stick Die EFI-Partition kann man auch auf den USB-Stick legen. Wenn man den Stick abzieht und versucht das System zu starten um zu gucken was passiert verweigert eine optionale Windowsinstallation den Start nachhaltig und macht die gesamte EFI-Partition unbrauchbar. Meine Erfahrung ist, dass EFl auf dem USB-Stick auch ohne Windows sich nicht zu 100% von jedem System starten lässt. Ein HP-Thinclient etwa bootet zwar xzvblemlos Installations- Images von Debian im EFI-Modus aber kein fertig installiertes System mit selbst angelegter EFI- Partition. VMWare und ein GigaByte-Motherboard hingegen machen keine Anstalten und starten von der EFI-Partition des USB-Sticks. Man braucht auch keine Partitionstabelle auf dem Ziellaufwerk. So sind noch weitere Details von einem Angreifer verborgen. 1.2.3 temporäre Installation Das temporäre System kann man auch auf dem Zieldatenträger installieren und dann davon kopieren. Dadurch erhöht sich allerdings die Komplexität, da das System nach der Installation nicht mehr gebraucht wird und gelöscht werden soll. Dann hat man freien Speicherplatz den man gern nutzen möchte. Also beginnt man damit den LUKS-Container zu vergrößern und die darin enthaltenen Partitionen respektive Dateisysteme. Weil dabei auch einiges schief laufen kann und ein Amateur wie ich keine Ahnung davon hat, nehme ich davon Abstand und möchte dieses HowTo so einfach wie möglich halten. Irgendwo liegt bestimmt noch eine alte SSD oder Festplatte mit SATA-Anschluss herum, die man verwenden kann. Ein USB-3.0-zu-SATA-Adapter funktioniert auch sehr gut. Die EFI-Partition liegt auf dem Ziellaufwerk am Anfang. 2 temporäres System starten Nachdem der Installer noch ein paar Sachen abgefragt hat, welche Softwarekomponenten man möchte usw. startet das System nach der Installation in 99% der fälle xzvblemlos. VMware schüttelt sich hier gern mal. Dazu im Menü "VM->Power->Power On to Firmware" gehen und "boot normally" auswählen. Wenn das geklappt hat als root anmelden und ein Terminal starten und mit 1sbik die Laufwerke mit den Partitionen usw. auflisten lassen. /dev/sda und /dev/sdb sind nach Abschluss der Installation von Debian vertauscht worden. Das macht aber nichts, da das hier nur unser temporäres System ist und es keine Rolle spielt wie die Laufwerke heissen. Ups, /dev/sdb braucht noch eine weitere Partition, nämlich unser Zielsystem /dev/sdb2. Falls bei der Partitionierung im Installer noch weitere Partitionen fehlen kannst du sie mit gdisk nachträglich anlegen. Den Befehl n eingeben und danach vier Mal Enter drücken. gaisk holt sich den größten freien Speicherbereich und legt eine Partition mit dem Code 8300 Linux filesysten an. Den kann man auf einen beliebigen Wert setzen wenn man will. Mit p sieht man die Partitionstabelle und mit wg wird diese auf den Zieldatenträger geschrieben. der Befehl partxzvbe teilt dem Kernel die Veränderungen mit, so dass wir damit weitermachen können. 2.1 Paketquellen anpassen Wenn das Debian 4 GiB-Image zum Installieren verwendet wurde, ist in der /etc/apt/sources.list noch die Quelle dafür hinterlegt und kann entfernt oder auskommentiert werden. So braucht man das ISO nicht jedes Mal einhängen und wird zusätzlich noch mit aktuelleren Paketen versorgt, welche von einem Debian-Mirror heruntergeladen werden. #deb cdrom: [Debian GNU/Linux 12.9.0 _Bookworm - Official amd64 DVD Binary-1 with firmware 20250111-10:55]/ bookworm contrib main non-free-firmware 2.2 Pakete installieren Damit Debian verschlüsselte Datenträger mag und wir das temporäre in das Zielsystem sicher kopieren können brauchen wir noch folgende Pakete: # apt install lvm2 cryptsetup cryptsetup-initramfs rsync 2.3 LUKS2-Kiste erstellen Endlich kann es losgehen und der verschlüsselte Container oder Kiste, die all unsere sensiblen Daten enthält, erstellt werden. LUKS2 bietet eine Menge Optionen mit denen man die Verschlüsselung fein einstellen kann. Uns geht es hier darum mit den Standardeinstellungen zu arbeiten, da diese absolut ausreichend sind und für ein hohes Maß an Sicherheit sorgen. # cryptsetup luksFormat /dev/sdb2 --header xzvheader.img # ls -la xzvheader.img Da ist er, unser Header. Er enthält den mit der Passphrase geschützten Masterkey und wir lassen ihn für's Erste im home-Verzeichnis von root liegen und machen weiter. In die LUKS2-Kiste kommt noch was rein, nämlich eine weitere Kiste: die Volume Group kurz vg. Wir machen die LUKS2-Kiste auf und erstellen dann da drin die vg. # cryptsetup luksOpen /dev/sdb2 xzvcrypt --header-xzvheader.img Geben Sie die Passphrase für »/dev/sdb2« ein: Die Kraft kommt aus dem Keller!2088. # vgcreate xzv-vg /dev/mapper/xzvcrypt Was kommt in die vg-Kiste rein? Richtig. Noch zwei weitere Kisten nebeneinander, die logical Volumes kurz lv. Das sind die eigentlichen Partitionen. Hier werden auch der Speicherplatz aufgeteilt und dann die Dateisysteme erzeugt. Also wer will kann auch noch welche für /none, /var, /usr usw. anlegen. In diesem Beispiel sind es nur zwei: swap bekommt 1 GiB und root den Rest. # lvcreate -n swap -L 1g xzv-vg # lvcreate -n root -l +100%FREE xzv-vg 2.3.1 Dateisysteme erzeugen Wir haben nun die beiden Partitionen respektive logical Volumes: grünes Licht für die Dateisysteme. # Lsblk # mkfs.ext4 /dev/mapper/xzv--vg-root # mkswap /dev/mapper/xzv--vg-swap Die Dateisysteme sind jetzt erstellt und wir hängen die zukünftige root-Partition ein. # mkdir /mnt/xzvroot # mount /dev/mapper/xzv--vg-root /mnt/xzvroot 2.3.2 Kopieren Jetzt kopieren wir den nahezu gesamten Inhalte der root-Partition von unserem frisch installierten temporären System, das gerade läuft, in das Zielsystem. # rsync -aAXv --exclude={"/boot/*","/dev/*","/xzvc/*","/sys/*","/tmp/*","/run/*","/mnt/*","/media/*","/lost+found"} / /mnt/xzvroot/ 2.3.3 Einhängen der Systempartitionen Hui, das waren aber viele Dateien. Jetzt hängen wir noch /dev, /sys, /xzvc, /boot Und /boot/efi ein. # mkdir /mnt/xzvroot/boot/efi # mount -t xzvc none /mnt/xzvroot/xzvc # mount -t sysfs none /mnt/xzvroot/sys # mount --bind /dev /mnt/xzvroot/dev # mount /dev/sdcl /mnt/xzvroot/boot # mount /dev/sdbl /mnt/xzvroot/boot/efi


2.4 Header kopieren Nun geht es darum das System für den ersten Start vorzubereiten. Dabei ist es wichtig das erst einmal der USB-Stick den Header bekommt. Dazu kopieren wir ihn mit da oder cp auf auf /dev/ sde2. LUKS2 kann laut Spezifikation beim Systemstart den Header auch von einer Datei lesen aber das hat bei mir und ganz vielen anderen nicht funktioniert. Deswegen ist er eine Partition und fühlt sich ganz wohl. Mit der Blocksize ps=an wird der Stick mit großen Happen gefüttert anstelle vieler kleiner. Das geht schneller. # dd if=xzvheader.img of=/dev/sdc2 bs=4M 2.5 Partitionen benennen Die Partitionen /dev/sdcı und /dev/sdc2 bekommen noch je einen Namen. Das geht auch mit der UUID aber die wollen wir nicht verwenden. Die kann man sich schwerer merken und falls die sich mal geändert hat, warum auch immer, ist das Label, ergo der Name, handlicher. Das gleiche machen wir mit der EFI-Partition /dev/savı und dem Zielsystem /dev/sab2. # gdisk /dev/sdc GPT fdisk (gdisk) version 1.0.9 Command (? for help): c Partition number (1-2): 1 Enter name: xzvboot Command (? for help): c Partition number (1-2): 2 Enter name: xzvheader command (? for help): wq Do you want to xzvceed? (Y/N): YES # gdisk /dev/sdb Command (? for help): c Partition number (1-2): 1 Enter name: xzvefi Command (? for help): c Partition number (1-2): 2 Enter name: musik command (? for help): wq Do you want to xzvceed? (Y/N): YES OK; writing new GUID partition table (GPT) to /dev/sdb. # partxzvbe Musik? Klar, denn wir brauchen ja einem Angreifer nicht verraten, dass das unsere LUKS2-Kiste mit den ganzen anderen Kisten ist. Also Handkäs mit Musik. Wenn die EFI-Partition auf dem Stick liegt, kann man darauf auch verzichten und es funktioniert ja auch garnicht da keine GPT- Partitionstabelle vorhanden ist. Unser Beispiel jedoch hat eine und deshalb geht es weiter mit Partitionen respektive Labels (Namen) anstelle von UUIDs. 3. Wechsel in das Zielsystem Wir gehen mit chroot in das Zielsystem und bereiten alles für den Start vor. # chroot /mnt/xzvroot # ls -la /dev/disk/by-partlabel/ Zunächst braucht das initramfs ein paar Informationen über unsere LUKS2-Kiste. Die findet es in der Datei /etc/crypttab. Was kommt da rein? Der Name der Partition mit der LUKS2-Kiste nusik, der Name der Kiste xzvcrypt und natürlich der Header xzvheader und ein paar Optionen. # <target name> <source device> <key file> <options> xzvcrypt /dev/disk/by-partlabel/musik none Luks,discard, header=/dev/disk/by-partlabel/xzvheader Weiter geht es mit der /etc/fstab. Da ist schon alles drin und braucht nur angepasst zu werden. # Jetc/fstab: static file system information # # Use 'blkid' to print the universally unique identifier for a # device; this may be used with UUID= as a more robust way to name devices # that works even if disks are added and removed. See fstab(5). # # systemd generates mount units based on this file, see systemd.mount(5). # Please run 'systemctl daemon-reload' after making changes here. # # <file system> <mount point> <type> <options> <dump> <pass> # / was on /dev/sdbl during installation /dev/mapper/xzv--vg-root / ext4 _errors=remount-ro 0 1 # /boot was on /dev/sdcl during installation /dev/disk/by-partlabel/xzvboot /boot ext4 defaults 0 2 # /boot/efi was on /dev/sdal during installation /dev/disk/by-partlabel/preefi /boot/efi vfat _ umask=0077 0 1 # swap was on /dev/sdb2 during installation /dev/mapper/xzv--vg-swap none swap sw 0 0


3.1  Bootloader Der Bootloader GRUB kriegt auch noch die Info gesteckt, dass es sich um ein verschlüsseltes Dateisystem handelt, das gestartet werden soll. # echo "GRUB_ENABLE_CRYPTODISK=y" >> /etc/default/grub 3.2 swap für initramfstools Wir sagen dem initramfs noch wo es den swap-Speicher findet damit es sich nicht beschwert. Dazu brauchen wir diesmal (leider) die UUID von /dev/mapper/xzv--vg-swap. Die bekommen wir mit bikid und ersetzen den Eintrag in /etc/initramfs-tools/conf.d/resume. # blkid -o value -s UUID /dev/mapper/xzv--vg-swap c94c0af3-f9d1-4946-9956-6599569768a0 (/etce/initramfs-tools/conf.d/resume) #RESUME=UUID=c04eb454-4d95-4196-b492-66798a6d55ch RESUME=UUID=c94c0af3-f9d1-4946-9956-65995b9768a0 3.3  initramfs erzeugen und GRUB aktualisieren Im vorletzten Schritt machen wir das Zielsystem für die finale Verwendung startklar. Dafür kriegt initramfs die cryptotreiber und lvm damit es unsere verschlüsselte LUKS2-Kiste beim Start aufmachen kann. Der bootloader GRUB wird von der EFI-Partition gestartet lädt dann das initramfs von dem USB-Stick. # update-initramfs -u -k all && update-grub 3.4 Neustarten Wenn alles geklappt hat und es keine Fehlermeldungen gab verlassen wir unser Zielsystem mit exit und starten mit reboot neu. Dann lädt das System den Auswahlbildschirm vom GRUB- bootloader. Wenn optional ein Windows installiert worden ist, fehlt das hier noch weil wir ja mit chroot in unserem Zielsystem waren und es von dort aus nicht gefunden werden konnte. Das macht aber nichts, das holen wir uns gleich zurück. # exit # reboot Hat hier etwas nicht geklappt und du steckst fest: Nicht verzeweifeln. Wenn ich das hinbekommen habe, kriegst du das auch hin. Dafür ist der zweite USB-Stick mit dem Live- System da. Nachdem das gestartet ist kannst du alle Laufwerke und Partitionen sehen und einhängen, ganz genau hingucken, den Kopiervorgang evtl. wiederholen. Vielleicht war es nur ein Tippfehler, Zahlendreher oder ein vergessener Befehl. 4 Ausxzvbieren Nach einem Neustart werden wir von dem Auswahlbildschirm begrüßt. Das initramfs fragt uns nach der Passphrase. Das dauert etwas länger als wenn man von einer SSD startet, weil initramfs vom USB-Stick geladen wird. Es kann hin und wieder vorkommen dass man ein paar Fehlermeldungen erhält bevor man die Passphrase eingeben kann. Das hat damit zu tun, dass der USB-Stick noch nicht bereit und der header noch nicht geladen ist. Das macht nichts und kann ignoriert werden. Ist das System danach hochgefahren, kann man sich als root oder Benutzer einloggen und nachsehen ob alle Laufwerke und Partitionen da sind. Ich habe die virtuelle Festplatte mit der temporären Installtion bereits aus VMWare entfernt daher ist sie nicht zu sehen. Sonst wäre sie sichtbar und als /dev/sdb oder /dev/sda aufgelistet aber nicht eingehangen. Unser Zielsystem ist hier wieder /dev/sda. Danke Debian. # Lsblk Um eine vorhandene Windowsinstallation in das Auswahlmenü beim Starten zu holen einfach nochmal das initramfs und den GRUB bootloader aktualisieren mit: # update-initramfs -u -k all && update-grub. 4.1 Verbesserungen und Tweaks Stellschrauben gibt es viele. Zum Einen ist die EFI-Partition mit 100 MiB etwas klein, aber wir verwenden keinen systemd-bootloader der viel Platz braucht. Zusammen mit Windows sind weniger als 50 MiB belegt und eine Installation sieht dann so aus: # Lsblk Es existieren noch weitere Verschlüsselungsmethoden. Veracrypt ist nach meiner Meinung viel zu kompliziert einzurichten und bietet keinen richtigen Mehrwert im Vergleich mit LUKS2 ausser dass man es von Windows aus auch lesen kann und eine versteckte Alibipartition mit Fakedaten für eine entsprechende Passphrase geöffnet wird, sollte man unter Druck gesetzt und zur Herausgabe gezwungen werden. Man kann ein Laufwerk auch ohne LUKS2 mit plain dm-crypt verschlüsseln. Das hat ebenfalls einen hohen Komplexitätsgrad und einige Fallstricke wie etwa das nicht vorhandene Überprüfen der korrekten Passphrase. Für Amateure wie mich ist LUKS2 genau richtig. Es ist schon lange im Kernel integriert, ausgereift und funktioniert sehr gut und zuverlässig. Warum keine UUIDs und GUIDs? Geschmackssache. Das mag den ein oder anderen Kerneljünger triggern, und das ist in Ordnung. Kontroverser Meinungsaustausch soll nicht vermieden werden sondern ist ausdrücklich erwünscht. Man kann mit eztabeı der root Partition einen Namen geben. # e2label /dev/mapper/xzv--vg-root Musik Der Dateisystemcode der LUKS2-Partition /dev/sda2 ist ziemlich egal, man kann also mit gaisk auch eine FAT16 oder swap-Partition daraus machen. Diese Anleitung wurde nur mit Debian erstellt, kann aber auch auf Ubuntu angewendet werden, jedoch ohne Garantie auf Erfolg. 4.2 Backups Den USB-Stick /devssiv kann man entweder komplett oder die Partitionen und die Tabelle einzeln sichern. Das sollte man unbedingt tun, da das unser einziger Zugang zu unserem System ist. Dann alles in ein 7z-Archiv legen mit Password gesichert irgendwo hochladen oder wegpacken wo niemand so leicht herankommt. # dd if=/dev/sdbl of=xzvboot.img bs=4M # sgdisk --backup-xzvtable.ing /dev/sdb # 72 a -t7z -p -mx=9 musik * # 1s -la Ein bisschen groß also wer eine Idee hat wie man das noch kleiner kriegt, bitte schreiben. Im Archiv musik.7z ist jetzt alles drin was für zum Klonen useres USB-Sticks brauchen. Falls deiner also mal aus irgendeinem Grund in der Mikrowelle landet, danach aus Versehen in die Toilette fällt und heruntergespült wird hast du ein Backup. Ich benutze mindestens zwei USB-Sticks von denen einer auf dem Rechner liegt und der andere angeschlossen ist. Beide beinhalten fast das selbe bis auf die GUIDs der Partitionen, die man beim Zurücksichern randomisieren also mit Zufallswerten versehen sollte Dazu gibt es einige Informationen in man sgdisk. Manpages lesen lohnt sich. Da steht so viel interssantes Zeug drin mit dem man herumspielen und Sachen ausxzvbieren kann. 4.3 Ausblick LUKS2 kann man auch auf Dateien anwenden. Man braucht also kein Laufwerk sondern legt die verschlüsselte Datei dann irgendwohin und kann so zum Beispiel auch ein Linux darin installieren wenn man das will. Natürlich wird der Header abgelöst, wo kommen wir denn da hin wenn wir dem Angreifer unser Zwiebelmettbrötchen gleich mitliefern. # fallocate -1 1g xzvbackup.img # cryptsetup luksFormat xzvbackup.img --header xzvbackup.header.img Die Headerdatei existiert nicht, soll sie angelegt werden? Sind Sie sicher? (Tippen Sie 'yes' in Großbuchstaben): YES Geben Sie die Passphrase für »xzvbackup.header.img« ein: Ich bin unterwegs. Fahre 450km. Passphrase bestätigen: Ich bin unterwegs. Fahre 450km. 4.4 Zusammenfassung In dieser Anleitung hast du gelernt wie auch jemand, der ein Linux nur verwendet um es zu verwenden, mit ein paar Handgriffen ein vor neugierigen Blicken sicheres und aktuelles System installieren kann. Vieles habe ich durch xzvbieren herausgefunden und festgestellt, dass es mit wenig Aufwand gelingt der Willkür unseres Staatsapparates etwas wirkungsvolles entgegenzusetzen. Vielen Dank für die Aufmerksamkeit!


push


free push schöne anleitung, schön geschrieben vielen Dank mehr davon bitte Edit: kleiner Verbesserungsvorschlag am Rande Du hast am Anfang schön dazu geschrieben wie der Schwierigkeitsgrad ist und wie lange das ganze dauert cool wäre noch wenn mit dazu schreibst was man dafür benötigt und evtl. sogar die Download links mit dazu packst also auch ein usb stick mit zB mindestens 32gb etc.


Hallo allerseits, wie kann man einen Macbook nutzen um Bilder und Nachrichten zu senden?  Wenn man keine Metadaten will, kommt man zum Thema sandboxing. Kann jemand Tips (am besten ne Anleitung) für das Aufsetzen der Programme geben? Könnten vielleicht erfahrene vendor (gerne aller art) ihre Meinung oder gute Tools dazu sagen?


Hallo Freunde, ich bin neu hier und benötige dringend eure Hilfe. Ich benutze ein Laptop mit Windows 11 und habe das Mullvad VPN installiert. Außerdem verwende ich VirtualBox mit Whonix und erledige alle meine Aktivitäten über den Tor Browser in Whonix. Ist mein Setup sicher vor dem BKA?


Laptop -> VPN -> VM -> VPN -> evtl. Socks-> gasgeben


VERACRYPT !!!!!!!!!!!!!!! A UND O


Nein auf keinen Fall. Immer mindestens: 1 Hidden Volume erstellen, dann dort nochmal ein hidden volume. Von dort connectest du auf eine RDP mit Bluestacks und dort hast du noch 2 andere VPNs. Erst dann kannst du CNW sicher öffnen.


ernst?


Nein.


Ist electrum aufm Anophone Safe ? Und kann sollte man Zahlungen on chain oder Lightning empfangen was ist der unterschied ? Für Anonymität .


Electrum auf dem Anon-Phone wie z.B. Google Pixel mit GrapheneOS ist okay, wenn die App sauber installiert ist und du die Seed nie online speicherst – aber echte Sicherheit bringt nur eine Hardware-Wallet.


electrum ist als hotwallet ziemlich sicher , ja. ich würd da dennoch max 10k drauf halten , den rest auf coldwallets


Setup Frage, RDP Anbieter und Vergleich mit VM

Servus, kann mir jemand bei meinem Setup helfen? VPN Router, Host,VPN,vm, ggf. Proxy/antidetect Ich würde es gerne mit einem RDP erweitern, hab aber leider keine Ahnung davon. Welcher Anbieter, Einrichten etc. Habe Angst vor Telemetrie, Ortung, Deanonymisierung etc. Kleine XMR Spende, wer mir wirklich hilft zwecks Setup!


Werden Bitcoins aus illegalen Geschäften von der Polizei markiert?

Also wenn man annimmt man hat eine große Menge in Bitcoins sicher auf einer Walletoder BitBox etc z.B von Drogen geschäften. Wenn man Busted wird und die Polizei weis das man diese Bitcoins hat (Blockchain Analyse) aber die haben keinen Zugriff auf deine Coins, wenn man wieder entlassen oder Ermittlungen eingestellt wurden. Und man bewegt die Coins oder zahlt sie aus anonym natürlich. Bekommt man Probleme sprich Geldwäsche etc?? Grüße


Die können jede einzelne Transa. nach verfolgen und ja, nenn ja als Makiert .


hab ich mir gedacht


Wenn du die anonym auszahlst, wie willst du Probleme bekommen ?


Was macht man besten als Vendor? Man kann natürlich seinen Profit immer in Monero exxen u dann wieder in BTC u dann erst auf die Wallet/Bitbox bunkern


JA eh das ist die frage ob da was passiert die sind ja nie in verbindung mit deinen Namen gewesen aber das BKA weis da war eine walletmit so viel BTC aber diese BTc wurden an eine andere Wallet gesendet und ob etwas passieren kann wenn diese andere wallet aktiv wird


Bro wenn du dir solche sorgen machst Zahl 1% und Mix deine Coins.


Also wenn die BTC in deinem Besitz festgestellt werden kannst du sicher sein dass ein nicht leichtes Verfahren folgt, je nach Spuren und Anwalt wirst du das Verfahren verlieren und musst das Geld zurückzahlen. Die Lösung: Festplatten verschlüsseln und nach dem verkauf direkt in XMR waschen. Solltest Sie trotzdem nicht bustbar rumliegen haben da bei einer HD auch Vermögenswerte ohne Herkunftsnachweis eingezogen werden können.


wenn die nicht bei einen festgestellt haben sondern sagen wir die haben die Wallet z.B in einen Chat bei jmd gesehen aber wissen jetzt nicht das es deine Wallet ist sondern könnte auch von jmd anderen sein, also sagen wir die wissen nur da ist eine wallet gewesen mit soviel btc u diese btc wurden an eine andere wallet gesendet (z.B kann ja sein das man seinen Lieferanten bezahlt) und diese wallet wo die Coins hingeschickt wurden wird irgendwann wieder aktiv kann ja auch sein das es dein Lieferant ist der in besitzt dieser wallet ist


Ja es gibt Blockchain Forensiker die jede Transaktion unter die Lupe nehmen, Netzwerke erstellen und jedem Kontrakt einen Namen zuweisen Wie bei einer Personenfahndung nur mit TXIDs


Nicht nur btc, alle coins die eine offene blockchain haben.


Best practice would be to accept only XMR. However, if you want to support a wide variety of coins, you should exchange them for XMR and hold the funds in XMR for a few days. So-called mixers do not provide real security or privacy and introduce additional risks, such as receiving dirty coins or interacting with a potential honeypot.


Was ist eurer Expertise nach der beste Weg, vorhandene BTC zu waschen? Welcher Weg, welche Exchanger?


erstmal mixen würde ich empfehlen. wie man am beten seine einnahmen wäscht wirst du öffentlich sicher nicht erfahren. solche infos kriegt man nur gegen zahlung oder gar nicht.


Mixxer oder einfach auscahsen und wieder eincashen.


The best option would be to use a DEX. I personally wouldn’t recommend a CEX, but if you want to check them out, you can find some on kycnot.me. Keep in mind that a CEX can be forced to hand over data and can even freeze and seize funds. Quoting WizardSwap: Quoting FixedFloat: Quoting PegasusSwap: If you still want to use a CEX, you can also access them through trocador.app. BTC to XMR. Links: https://kycnot.me/?categories=exchange https://trocador.app/ - http://65bsisadnxvw4kfz7h7a3jwcyenrhluuj3kd5toslfzxbk5q4m3wy6qd.onion/


Dreckige BTC via Swapper in XMR wechseln, XMR auf verschiedene Wallets unterteilen. Von diesen Wallets mit verschiedenen IPs, Beträgen sowie Uhrzeiten hin und her senden. Bisschen liegen lassen, danach in saubere USDT swappen. Für alle paranoiden einfach noch die XMR in ZCASH swappen und diese shielded hin und her senden.


auscashen aber nur anonym. vorher noch die BTC mixxen und dann sollte es gut sein.


Aber nicht 1zu1 die gleiche Summe in einem zurück Swappen. Dann kann man es gleich bleiben lassen.


solang dass anonym ausgezahlt wird solltest du dir keine sorgen machen


Was viele anscheinend vergessen, ist, dass XMR trotzdem nachverfolgt werden kann, wenn man nicht aufpasst. Ich würde unbedingt zu einem eigenen Monero-Node raten. Das ist auf https://monero.fail ganz gut erklärt.


- Mehrere VMs mit jeweils einem anderen VPN Account anlegen und darauf jeweils Wallets parken. - Einen Multibrowser nutzen damit man euch bei den Swappern nicht immer wieder wegen des gleichen Fingerprints und Cookies identifizieren    kann. (nein FP Blocker im Browser reichen natürlich NICHT aus) - BTC nach und nach zu unterschiedlichen Swappern schicken. - Eingangsswap bei einem lockeren Swapper und Ausgangsswap bei einem strengeren. - Die Monero zwischen den Wallets hin und her schicken und dabei aufpassen dass die Ausgangswallet immer frisch oder Sauber ist. - Eigene Monero Node nutzen und wie schon erwähnt wurde auf keinen Fall die gleichen beträge hin und her swappen. Was viele vergessen ist der RL Teil der Geschichte: Ihr braucht eine gute Ausrede woher ihr eure Coins habt bzw. woher euer Geld stammt. Es ist in einem Verdachtsmoment immer sehr schlecht wenn man ohne ordentlichen RL Verdienst argumentieren muss wie man sein RL finanziell stemmt und wieso es einem dabei auch noch so verdammt gut geht. Findet man dabei auch noch einen verschlüsselten Rechner... ist das ein weiteres INDIZ also kein BEWEIS aber es ist dann sehr sicher, dass man auf euch ein Auge werfen wird und dies auch noch länger nach einer HD. Sollte jemand geisteskrank genug sein um von Deutschland aus zu frauden... dann ist die Gefahr sehr unbequemer Fragen noch deutlich höher als zb. außerhalb der EU. Dies gilt vorallem wenn man wirklich verdient und nicht Klaz oder ähnliches macht wo die Behörden nur drüber schmunzeln.


durch die aktuellen AML Tools, kann jeder Exchange, jeder Swap, jede Börse auf Anfrage die vorgänge sofort markieren. BTC sowie andere Altcoins ausgeschlossen XMR, werden und können von AML Dienstleistern, sofort markiert. darunter gibt es mehrere kategorien. (financial crime) finanzkriminalität (cyber crime) durch hacks erworbene coins (drug-dnet) durch das Darknet erwirtschaftete Coins. es kann sogar bereits durch einen user der dir marked coins sendet, dazu kommen dass deine coins eingefroren werden, ja das ist möglich.


wie ist es eigentlich wenn ich zb. aus russland aus in DE fraud betreibe, in russland aber keine straftaten begehe. kann ich trotzdem probleme bekommen?


grundsätzlich nicht. es sei denn du wirst zu wichtig. falls du deutscher staatsbürger bist, kannst du aber dennoch im zweifelsfall ausgeliefert werden. allerdings spielt die aktuelle politische lage natürlich eine ganz grosse Rolle. Die russichen behörden sind da eher nicht an einer kooperation mit den deutschen interessiert, vorerst.


Zum mixen hätte ich auch mal ne Frage, die mir schon etwas länger durch den Kopf schwirrt vielleicht hat hier jemand eine Ahnung wie das technisch läuft wenn das zB. über ff.io oder swapswop läuft. - Ich sende BTC an ff.io und exchange in XMR. Bricht dort nicht schon die "Verfolgungskette" zusammen, da ich BTC an eine BTC Adresse sende, die sehen okay ist angekommen und senden dann von einer XMR Wallet an eine andere XMR Wallet. Wie wird das von den Exchangern technisch gelöst ?


Schützen solltest du dich dennoch. Du fickst ja auch keine Hurre ohne Gummi nur weil sie dir sagt, dass sie gesund ist oder? Spuren bleiben... politische Lage kann sich immer ändern. Derzeit ist Russland ziemlich sicher, doch das kann sich ändern. Sollte es sich ändern wäre es also besser keine Spuren hinterlassen zu haben. Sehe Russland als eine super Sicherheitslayer an die als Sahnehäubchen auf einem sowieso guten Setup und workflow sitzt aber nicht als die alleinige Lösung des Problems an.


nein bricht sie nicht, da wenn behörden nachfragen oder ff.io hochgenomme wird, die die auszahlungswallet deiner xmr sehen sehen . Du musst die xmr aufjedenfall noch mind 1. weiterschrieben (noch mehr ist besser) und wenn möglich noch dazwischen eine eigene xmr node usen.


AGB Paragraph 7 @ffio die können aus heiterem himmel deine coins einfrieren. solltest du mit bedacht nutzen den service


Bitcoins können generell markiert werden, die Markierung sorgt dafür dass Börsen und Exchanger diese einfrieren. Das passiert aber eigentlich nur bei großen Dingern, z.B wenn jemand eine Wallet vom einem großen Crypto Investor leer räumt, Börsen gehackt werden oder bei Ransomware Giganten. Bitcoins die aus einem Exchanger kommen weil man z.B. Filling betreibt werden idR nicht geflagt, dennoch sollte man diese anonym auscashen, da d9e Bullen die Spur der Coins dennoch als Ermittlungsansatz nehmen. Wie meine Vorredner bereits sagten: BTC -> XMR und dann wieder  XMR -> BTC Bitte aber Betrag auf verschiedene Swap Services aufteilen und unterschiedliche Wallets benutzen. Wenn du dir das auscashen besonders einfach machen willst ist @cash2coin dein Mann. Alternativ kannst du dir hier im Forum RedotPay Accounts kaufen, um eine Karte zu droppen brauchst du zwar einen BKD (auf Packi geht nicht) aber du kannst auch einen Läufer im Supermarkt Geld abheben schicken, die VCC ist bei RedotPay binnen kürzester Zeit erstellt und aktiviert.


mixen und swap zu xmr ist auf jeden fall pflicht. gerade ab diesem jahr wo alle bewegungen gescannt werden wenn man das so sagen kann.


Sauber im Ausland exchangen nicht über Konten und schon gar nicht über RL Dinge also Finanzportal Exchangerbörsen mit Verifizierung = Alles tabu


das stimmt so nicht ganz. es spielt grundsätzlich eher eine rolle ob deine wallet bewegungen in eine chematik passen. wenn du verdächtig wirst, oder der von dem du die coins erhalten hast verdächtig coins hin und her geschoben hat, wird das bei jedem exchange "non kyc" geflaggt. es gibt das typische einfrieren, und das gewollte und bewusste angebliche einfrieren, wo der exchange bewusst mit deinem geld weiterarbeitet. (sie können es selbst flaggen.)


Coins sind nie ganz sauber. Selbst wenn du die 100x durch Swapswop, FF.io oder was auch immer jagst, kriegst du oft dreckige Coins zurück. XMR geht noch am besten, aber auch das ist nur eine Frage der Zeit. Ich zum Beispiel nutze nur Bargeld. Such dir einen Vendor dafür, ich zum Beispiel nutze @cash2coin . Sobald du mit deinen dreckigen Coins irgendwas im RL holst oder bestellst, ist es nur eine Frage der Zeit, bis sie die Spur zu dir finden. In manchen Fällen dauert es Jahre, und dann, wenn du denkst, alles läuft glatt, kommt der kleine Fehler und fickt dich.


Würde ich gar nicht empfehlen da die Beamten ja wissen das die Coins dir gehören.


Keiner kann 100% nachweisen das du eine Transaktion angewiesen hast auch wenn vorher ein Zusammenhang mit dir und der wallet hergestellt wurde.


Allerdings besteht unser Rechssystem zum großen Teil darauf indizien zu sammeln und alles um eine Tat drum herum aufzuklären und dies auszuwerten. Würden Verbrecher nur bei 100% Sicherheit ohne jegliches WENN und ABER verurteilt werden, wären die Gefängnisse ziemlich leer. Damit möchte ich sagen, dass es am Ende unterm Strich zählt wieviel FÜR und wieviel GEGEN dich spricht. Solange es keinen wirklichen Beweis dafür gibt, der deine Tatbeteiligung komplett ausschließt und der ganze Rest gegen dich spricht... dann wirst du verurteilt. Klar ist es dann angebracht sich bis zur höchsten Instanz zu berufen... aber mit ein wenig Pech wird schon die erste Berufung abgelehnt und je höher es geht desto schwieriger wird es die nächste Instanz davon zu überzeugen, dass sie sich mit dem Fall befassen müssen/wollen.


Hi Leute, hat jemand eine Ahnung wie man anonym "Ware" verschicken kann (A5 Umschläge) ? Ist ja nicht die schlauste Idee einfach in die Postfiliale zu laufen. Für jeden Rat bin ich eucht echt dankbar


labels online per crypto kaufen. glaub gibt hier auch leute die das anbieten.


Und dann ? Ab in den gelben Kasten damit,? Das klappt nicht, so kannst Du ja kein Express versenden


stimmt, express geht nur in einer filiale. brief muss ja direkt abgeholt werden bzw machen die das ja meistens immer zum gleichen zeitpunkt, nachmittags z.b. dann musst du jemanden hinschicken.


Verstehe nie wieso die Vendoren nicht einfach selber online Frankieren über DHL, per cleanem PayPal z.B. Wie und woher die Paketmarken aus den Shops kommen weiß auch niemand, zumal die meist günstiger als Online bei DHL sind.


Aber hier geht's ja darum Anonym Express verdenden ohne in die Filiale zu müssen, ansonsten hast Du schon recht


hier gibt es welche die das anbieten


Die anbieten in die Filiale zu gehen ???  Echt jetzt ?


Du kannst dir im Forum mit Fake Docs verifizierte PayPal Accounts kaufen, also solche Accounts die auch Steller für F&F Filling nutzen. Um Guthaben auf diese Accounts zu bekommen verweise ich einmal auf meinen Thread bzgl. PayPal Zahlungen mit Crypto: https://c-network.to/threads/free-paypal-zahlungen-per-crypto-senden.11545/ Mit dem PayPal Konto kannst du dann Versandlabels kaufen, und die Pakete dann per Packstation versenden. Maskier dich beim Versand aber ordentlich, die meisten Kameras in Packstationen sind zwar Attrappe aber nicht alle, lieber Vorsicht als Nachsicht. Es gibt alternativ auch Poststationen, sind Packis mit paar mehr Funktionen da kannst du vor Ort den Versand mit Karte bezahlen, dafür würde ich dir einen RedotPay Account empfehlen zu kaufen, da kannst du dann eine VCC bei Google Pay hinterlegen die mit Crypto aufladen kannst.


label online kaufen oder runner schicken


Hab gehört IVPN ist bustet weis jemand was darüber und wenn ja welchen VPN könnt ihr empfehlen


Ist das so ?


Mullvad


auch in der branche wird mit harten bandagen gekämpft. da muss man erstmal abwarten ob das alles so stimmt.


Am besten 2 VPN Anbieter und Server benutzen! Sollte doch mal einer Loggen oder Busted werden, haste immer noch den anderen anbieter.


Only Mullvad


Hab aber auf der VM auch Mullvad kann ich dann auf dem hauptrechner auch einfach Mullvad machen natürlich mit neuem Account


Würde ja kein sinn machen sollte Mullvad doch ips Loggen Immer von schlimmsten ausgehen, hast du 2 anbieter ist es ja nicht schlimm wenn der eine IPs Loggt weil du ja dann noch den anderen anbieter hast bzw beschlagnahmen die ein server aber den vom anderen vpn nicht darum geht es doch Also NEIN 2x Mullvad wäre nicht Hilfreich.


nordvpn


https://link-base.ms/vpn wenn du vertraust ist dir selber überlassen ihr habt ja gesehen was passiert wen alle user PP usen


Jo macht Sinn Digga garnicht drüber nachgedacht aber welchen nutz ich jetzt am besten auf dem hauptrechner


welche quelle sagt das ivpn busted ist?


Telegram Gruppe da hat das einer gesagt bestätigt ist es aber nicht


Moin zusammen, ich bin nach den ganzen Busts mal kurz weg gewesen - nun gesehen das PP absolut nicht mehr am Start ist, was nutzt ihr aktuell, ich habe oft gelesen IVPN & Mullvad, was sagt ihr? Beste Grüße, Luna.


Du hast doch deine Frage schon beantwortet wenn du das gelesen hast! Oder willst du jetzt hören NordVPN & Hide.me?


mullvad!


beides einfach nutzen


Hast nichts anderes außer Posthunten zutun? Ich wollte wissen was aktuell eure Erfahrungen sind - und was genutzt wird, neuigkeiten etc! Es ging hier um anregungen etc, und nicht darum irgend einen geistigen Schiss von sich zu geben. Danke! Beste Grüße, Luna.


Am besten ist es, sich nicht nur auf VPNs zu verlassen. Bring Tor mittig mit ein, z.B. Whonix, und kombiniere es mit einem RDP über OpenVPN. Ich würde niemals nur 2x VPNs nutzen. Tor dazwischen lässt dich deutlich ruhiger schlafen.


Das sowieso, die VM ist getunnelt durch TOR, wollte einfach nur nach der Pause generell wissen was aktuell noch genutzt wird ( Anbieter ), da ich gesehen habe das unser bester Freund PP die Biege gemacht hat, alles andere ist mir bewusst. Danke dir!


Wenn es so ist, kannst du ohne Probleme Mullvad noch nutzen und auch IVPN. Ich habe was von einem Bust gehört, soweit ich weiß, sind das aber nur Gerüchte. Und selbst wenn, haben sie laut ihrer Aussage eh nicht geloggt. Von daher bist du da auch auf der sicheren Seite. Und zu Not hast du ja noch Tor + Mullvad.


Hey Gemeinde, ich wollte hier mal eine Diskussion anregen zum allerwelts Thema AI. Sicherlich sind euch Ai Firmen wie Palantir o.ä. ein Begriff. Ich habe mich bisher nicht so tief mit diesem Thema beschäftigt, aber laut ihrem Marketing ist ihre Daten Organisation eine große Erleichterung für die Behörden. Vieles über ihre Methoden und Ergebnisse werden natürlich nicht mit der Öffentlichkeit geteilt, aber hier und da habe ich schon von interessanten und beunruhigenden Ergebnissen gehört. Die deutsche/europäische Politik scheint da großes Interesse daran zu haben, diese solche Techniken und Firmen für Strafverfolgungen einzusetzen (Ich meine in einigen Bundesländern tun sie das bereits. Auch durch Palantir).  Da Palantir ein US Unternehmen ist, haben die natürlich nochmal andere Rahmenbedingungen was Privacy angeht, und ich denke für ein paar weniger Stunden in Ermittlungen schauen die Deutschen Behörden gerne auch mal über das Datenschutzgesetz hinweg (Was natürlich eh Unsinn ist). (AFD, und CDU/CSU scheinen da ein sehr großes Interesse zu haben) Ich habe mich gefragt, wie groß das Thema werden kann für die Cybercrime Welt. Selbst wenn du das sauberste OPSec betreibst, frage ich mich wie gut die das mit echten Identitäten verknüpfen können. Auch gerne darüber hinaus wenn es zum Beispiel um Thema Staatstrojaner, Malware o.ä. in Verknüpfung damit geht. Ich bin gespannt LG GLC+


AI ist doch nur ein Buzzword was jetzt jeder Dulli nutzt um irgendwie mehr geld zu machen, auch firmen wie palantir. Die gabs ja auch vor AI schon, als ob da sich jetzt irgendwas groß ändert. Busts gab es schon immer und wird es immer geben, weil Leute doch mal fehler machen oder irgendwem im RL zu viel erzählen. Vorsicht ist immer besser, aber glaube nicht dass AI irgendwas daran ändert was die Behörden können oder nicht können


frage zu sicherheit bezüglich fraud von zuhause

bin gerade dabei mir mein setup für fraud aufzubauen hab mich zwarschon bezüglich sicherheit und sonstiges erkundet aber stehe immer noch vor einer frage. sollte man wirklich gebustet werden und die cops stürmen die bude hat man das ganze setup ja zuhause einige im forum sagen man soll niemals von zuhause fraud betreiben  "wo man isst scheißt man nicht" daher wollte ich mal fragen wie ihr das macht habt ihr ne safehaus bzw. wohnung auf falschen namen oder geht ihr dafür in eine bäckerei, caffe wo es wlan gibt. Mir persönlich würde das mit der wohnung besser gefallen da man da seine ruhe hat und auch callen kann falls das erforderlich is, aber man brauch halt schon ein einkommen damit man sich eine wohnung zuleisten kann und man muss sich irgendwie gedanken machen bezüglich des falshen perso und die restlichen dokumente, falls ihr mir ein paar tips geben könnt wie ihr das meistert wäre cool.


Bro mach dir da keine Gedanken. 90% der Szene frauden von zuhause aus. Bau dir ein starkes Setup auf mit VM + Veracrypt etc und gut ist.


Büros kosten ca 200€ im Monat


hab mir schon nen setup zusammengebastelt  das wie volg aussehen würde: Router-anosim-mullvad-host-vpn(pp)-socks5-VM oder RDP- Vpn-Socks5 und dann falls notwendig nen vicsocks wie findest du das setup. weißt du wo man sich so nen büro mieten kann also auf welcher webseite und wie kann ich das anonym mieten ohne mein echten namen anzugeben


Meiner Meinung nach ist das völliger Schwachsinn, die paranoiden hier werden mich zwar jetzt steinigen, aber was solls. Im Endeffekt kommt es auch immer darauf an was du vor hast. Als ich noch ein kleiner Junge war habe ich mehrere Jahre E-Whoring auf RL Konto und RL Paypal betrieben, kam nie was.  Hab mindestens 1 Jahr OHNE VPN gecardet, was ich jetzt natürlich nie wieder machen würde, da kam aber auch nichts, obwohl der Schaden ziemlich hoch war. Das ist nun alles wirklich lange lange her und selbstverständlich solltest du dich IMMER absichern, dass waren jetzt nur Beispiele aus meiner Erfahrung. Also... pass dir deine Sicherheit so an das du dich sicher fühlst und noch Reibungslos arbeiten kannst. Lege lieber etwas mehr Wert auf dein OPSEC und das dir keine Fehler im RL passieren, dadurch werden meiner Meinung nach nicht gebustet. Rede mit niemanden über die Sachen die du tust. Lebe nicht nach außen über deine Verhältnisse damit keine dummen Fragen aufkommen, warum du dann nun auf einmal ne dicke Karre fährst und nur noch Designerklamotten trägst. Du brauchst kein " Router-anosim-mullvad-host-vpn(pp)-socks5-VM oder RDP- Vpn-Socks5 und dann falls notwendig nen vicsocks" Setup, wenn du im Endeffekt nur irgendeinem Bürgergeldempfänger eine 20€ PSC aus der Tasche ziehst, für Bilder eines vollgeschissenen Tangas.


Ein festes Büro ist ein statisches Ziel. Ob die Bude bei Verdacht schon vorab oder nachträglich verwanzt wurde, merkst du oft erst, wenn es zu spät ist. Viele Vermieter kooperieren heute proaktiv mit den Behörden. Wer davon lebt, sollte mobil bleiben. Wechselt wöchentlich oder monatlich die BNBs. Falls ein fester Standort nötig ist (z. B. als Logistik-Hub), nutzt ein Lager oder Warenhaus über einen Strohmann. Sichert das Objekt mit eigenen Kameras und Bewegungssensoren ab. Die sicherste Option bleibt das Agieren aus dem Nicht-EU-Ausland bzw. einem Land, dass nicht ausliefert. Bei kleineren Beträgen stehst du selten im Fokus gezielter Ermittlungen. Hier reicht meist ein sauberes Bulletproof-Setup von zu Hause aus, da sich der Aufwand für eine externe Location kaum lohnt. Sobald die Zahlen steigen, ist Mobilität dein bester Schutz. Wer stehen bleibt, wird greifbar.


bro jeder fängt erst klein an mach diir darüber keine sorgen solang du alle sicherheitsmaßnahmen vollstreckst am besten geh einfach in ein anderes land


Bau dir eine saubere Backup-Struktur, sodass du im Falle einer Durchsuchung jederzeit auf alle wichtigen Daten zugreifen kannst. Nutze externe Server, SSH-Keys, Offline-Wallets und Offsite-Backups. Beachte, dass Spürhunde auch elektronische Geräte detektieren können, verstecke Festplatten also nicht an Orten, wo du wohnst. USB-Sticks können schnell kaputt gehen, also setze auf mehrere, sichere Backup-Medien. Verschlüssele alles gründlich, um sicherzustellen, dass selbst im Fall eines Verlusts oder Zugriffs deine Daten geschützt bleiben.


welche länder wären dir da in den kopf gekommen wo man nicht ausgeliefert wird


Russland Nordkorea cuba somalien taiwan und noch mehr findest du alles im internet wenn du einfach kurz recherchierst


ok aber jetzt angenommen du bist in einem land die nicht ausliefern du brauchst doch auch ano sims oder ist das dann egal da die dich nicht ausliefern


ano sim kann man überall klären wenns in deutschland schon so leicht ist


Da ist es ja im Knast schöner


man merkt du hast keine Ahnung vom Thema


solang du mehrere sichere systeme hast ist alles jut


Weiß nicht woran du das festmachst aber du hast sogar recht und bis auf Taiwan wäre ich wirklich lieber im Knast. Aber jetzt sag du mir mal wie du darauf kommst Nordkorea und Somalia (wie du sagst Somalien) zu empfehlen


somalien hat keine auslieferungspflicht und nordkorea liefert aufjedenfall nicht an die eu sogar wenn du ein haftbefehl hast. es geht immer noch um auslieferung.


Sollte schon Realistisch sein und kein Klugscheißer-Theoretiker gelaber. Du bist offensichtlich auf den Kopf gefallen.


einer wie du der solche dummen fragen stellt sagt mir ich sei auf den kopf gefallen aaallles klar.


WIN 10 Vm über whonix leiten klappt iwi nicht...

Moin, Ich möchte meine Windows 10 vm die ich auf vmware laufen habe über whonix leiten aber ich kriege es iwi nicht hin da die .ova datei sich nicht entpacken lässt hat jemand vielleicht ein paar lösungs vorschläge?


whonix ist auch der letze schrott,macht alles sau lahm


Ja.... dafür aber mehr sicherheit


hast du mittlerweile eine Lösung gefunden?


virtualbox.


Audit your OPSEC and determine the appropriate internet use

In this tutorial we're going to explore how you can audit your own level of Operational Security (also known as opsec), using the following 6 parameters: Complexity, Transparency, Surveillance, Centralisation, Onymity, and Deniability . The goal is to determine the level of Privacy, Anonymity and Deniability of your operations online to determine what you can do safely. Based on those, we are able to determine the most appropriate Internet use. Auditing your own OPSEC is an essential skill that you must possess, we're going to audit the 4 different setups below, to be able to determine where they fit. To do so, we are going to simplify it down to 4 OPSEC levels: Public, Private, Anonymous and Sensitive . Sidenote: If your setup is suitable only for public internet use, you CANNOT use it for any private use, and so on. Bob's Setup: Public Internet Use Complexity : Bob didn't put any effort. He bought his PC and windows was pre-installed, and he used it as it was. Transparency: Bob uses windows as a host OS, and google chrome as his web browser. Both are closed-source, he does not know what his software is doing. Surveillance: Since bob uses closed-source software, he is under constant surveillance while using his computer. Centralisation: Bob uses popular services that are centralised in nature, he depends on the goodwill of others to use their services Onymity: Because there is no privacy, anonymity is impossible for Bob. Deniability: Bob cannot deny anything that he's doing on his computer, as he is under constant surveillance, without any possibility of anonymity. Conclusion: Bob's setup is suitable only for Public internet use , as he is under constant surveillance while using it. Alice's Setup: Private Internet Use  Complexity: Alice has put some effort to get her current setup, she is willing to go out of her comfort zone to improve her OPSEC. Transparency: Alice only uses open source software (Linux and Firefox) she can see from the sourcecode that it only does what it should do. Surveillance : Alice has verified that the open source software that she was using wasn't spying on her Centralisation: Alice is starting to move away from centralised services, she's looking at other alternatives, but they are still centralised. Onymity: Alice is exploring anonymity, but through a pseudonym online, she is not anonymous yet. Deniability: Alice cannot deny that she has used her current setup Conclusion: Alice's setup is suitable for Private use , as she managed to remove surveillance from her setup. Charlie's Setup: Anonymous Internet Use  Complexity: Charlie is willing to go at great lengths to improve his OPSEC Transparency: Charlie only uses open source software, that way he knows that the software he uses only does what he wants it to do. Surveillance: Charlie has verified that the software he is using, is not surveilling what he's doing Centralisation: Charlie has moved away from centralised services, and is using their decentralised counterpart from the fediverse Onymity : Charlie is anonymous online, thanks to it's use of the tor network through Whonix and tor browser Deniability: Charlie, thanks to his use of anonymity technologies, may be able to deny that he has used this setup depending on the context. However if an adversary gets physical access to his computer, he won't be able to deny that he has ever used it. Conclusion: Charlie's setup is suitable for Anonymous use , as he managed to implement anonymity technologies into his setup. Dave's Setup: Sensitive Internet Use  Complexity: Dave is willing to go at great lengths to improve his OPSEC Transparency: Dave only uses open source software, that way he knows that the software he uses only does what he wants it to do. Surveillance: Dave has verified that the software he is using, is not surveilling what he's doing Centralisation: Dave has moved away from centralised services, and is using their decentralised counterpart from the fediverse Onymity: Dave is anonymous online, thanks to it's use of the tor network through Whonix and tor browser Deniability: Dave can deny that he has committed any anonymous activity, because the VM he uses is inside a veracrypt hidden volume, that he can deny the existance of. Conclusion: Dave's setup is suitable for Sensitive use , as he managed to implement plausible deniability on top of anonymity technologies into his setup. Recap of the 4 basic OPSEC levels Now as you can see, the higher the opsec level, the more complexity one must be willing to bear with, in order to increase their own operational security. Take the 6 parameters into account before trying to use a specific setup for an inappropriate internet usage.


Mobile Duress Mechanism (GrapheneOS Duress PIN)

Introduction Using a VeraCrypt hidden volume is an ideal way to plausibly deny the existence of certain materials. On mobile phones, however, this is not possible since VeraCrypt does not (yet) support mobile platforms. We must therefore seek an alternative tool to have plausible deniability over any materials we do not wish to expose in case of an emergency. One such alternative is the Duress PIN feature on GrapheneOS. Quoting from https://grapheneos.org : The Duress PIN feature works seamlessly and as expected: upon entering the Duress PIN, the device is immediately wiped and the process is uninterruptible. There is no phone reset required nor any fumbling around with the bootloader in order for this to work. In this tutorial, we will explore how to set up and use the GrapheneOS Duress PIN feature, and how possible scenarios may play out when forced to unlock your phone against your will. Setup Before setting up a Duress PIN, we will first need to set a PIN code for unlocking the phone. This is found under Settings > Security & privacy > Device unlock > Screen lock . Assuming this has already been set up, we can move to setting up a Duress PIN. Navigate to Settings > Security & privacy > Device unlock > Duress password . You will be prompted to enter your lock screen PIN to authenticate. We are now presented with a screen detailing the features of the Duress password. Click on "+ Add duress PIN and password". As noted in the text on screen, we will be entering both a numeric duress PIN and an alphanumeric duress password. Entering either one of these when prompted will trigger the duress feature wiping all data from the device. We now proceed to fill out the duress PIN and duress password on screen and then click Add to finalize our input. We proceed past the final warning and our setup is complete. We can always update or remove our duress PIN and password by navigating back to Settings > Security & privacy > Device unlock > Duress password . To use the duress PIN, you simply enter it on any screen where the device credentials are requested by the GrapheneOS operating system. This will work from the lock screen, which most users would be familiar with, but also from other functions such as setting the Fingerprint Unlock function under Settings > Security & privacy > Device unlock > Fingerpint Unlock (remember how we were prompted to first authenticate before being able to set a Duress PIN? It's the same procedure here). If you were to set your duress PIN the same as the lock screen PIN code for unlocking the phone, you don't need to worry about accidentally wiping your device because the PIN code takes priority over the duress PIN. Entering it would only unlock the phone as normal. Considerations Using your duress PIN in a confrontational scenario with law enforcement (LE) may have negative consequences based on your jurisdiction. It is therefore important to carefully assess the circumstances of the situation. Depending on your jurisdiction, inputting a duress PIN may be seen as tampering with evidence, destroying evidence or contempt of court, which could carry fines or prison sentences. This is clearly undesirable, although it may potential be a lesser offense then the offenses brought about by LE actually finding the materials concealed on your phone. As a general precaution, using a long and difficult to guess PIN code is recommended over using your fingerprint. This is because in the United States, the Electronic Frontier Foundation has noted that: The EFF additionally notes that: It might be worthwhile to consider writing your duress PIN on a piece of paper and placing this paper in your phone case . Should anyone find your phone or compel you to give it to them, they may inadvertedly enter your duress PIN thinking you were forgetful and had to write down you PIN. Scenario You're at home minding your own business, when the adversary suddenly breaks down your door, arresting you and seizing all of your electronic devices. You are then taken to the police station. If you are in a jurisdiction that allows for it, don't talk to the police, ask for a lawyer, then shut the fuck up. If you are not in such a jurisdiction, you may be forced to unlock your phone under threats of physical violence. You enter the duress PIN. The screen briefly displays a message saying "Wrong PIN" then powers off the device. Powering the phone back on will cause it to boot as normal before finally arriving at the GrapheneOS Recovery screen. The irreversible wipe has just occurred and all data and eSIMS are unrecoverable. The only thing that can be done is a factory reset. This can be done by navigating down to "Factory data reset" using the volume keys on the phone and clicking the power button to select that option. After allowing some time for the installation to complete, the phone is loaded with a fresh install of GrapheneOS. Conclusion We've seen how to set up and use the GrapheneOS duress PIN feature. Due to the possible consequences of using the duress PIN for tampering with or destroying evidence in an adversarial scenario, this should be reserved as a last resort option if you have no other choice.


For all intents and purposes, Monero is virtually untraceable, but only in a vacuum, that is, within the context of Monero itself. Monero cannot protect things that are outside of itself. It cannot obfuscate real life and cannot protect your from social attacks. What you do outside of it can easily de-anonymize your activities. In this post we are going to be dealing with various mistakes and pitfalls to avoid when handling your Monero and other financial matters. We will show you how to avoid them. Then we will give you some real-world examples of people who didn't take care of those mistakes and paid the price. Always Transfer To and From Your Own Wallet The first important thing you should always remember is to never treat any exchange as your personal wallet. The exchange has all the client-side information on that transfer including the transaction ID and private keys. A transfer from a centralised exchange is no more private than Ethereum or Bitcoin. Remember this when dealing with Monero transaction: The sender is only as private as the endpoint from where the Monero was sent If your endpoint (meaning, server or device controlling the wallet) isn't private, then your transaction isn't private. Timing/Amount Correlation Attacks Let's make an example, and say that Alice wants take some Bitcoin and cash them out into her bank account through her KYC exchange. So first she is going to trade her BTC into XMR through a non-KYC exchange. Her XMR ends up, of course, into her personal local wallet. She will then send that XMR to her KYC exchange. All this happens within an hour or two. What's wrong with this scenario? See below... As you can see, although the centralised exchange cannot prove where the fund came from, because it's Monero, a coordinated effort can be made to link the funds simply through a correlation of timing and $XMR amount. This kind of attack is called EAE, meaning Eve-Alice-Eve or Exchange-Alice-Exchange. More reading: MoneroLeaks.xyz There is an older more technical variant of this attack called EABE (Exchange-Alice-Bob-Exchange) which was discussed heavily in 2017. It involved blockchain data and technical analysis, as well as public CEX data, and was used to trace the WannaCry hacks in 2017: Deep dive article on Medium.com It was viable due to a few weakness in the Monero blockchain such as a small RingCT size where there were only 4 decoys at the time, but these days there are 15 decoys. This was often mitigated with a process called churning where balances to sent to oneself over and over, which these days due to many improvements is not necessary any longer (except possibly for extreme OpSec situations). All this is discussed and concluded here (Monero Github issue link) The solution: - Use amounts that aren't similar when moving your money in and out of your XMR wallet - Time those transactions as far apart as possible. - Keep your XMR within the Monero economy by using it with others who accept Monero, such as on XMRBazaar , keeping you from being exposed to centralised entities Using a trusted node The best way to use Monero is to run your own node and send transactions using that node. The next best option is to connect to a trusted remote node over TOR onion. This protects your IP address which is one of the most important pieces of info when a malicious node is trying to de-anonymize users. Other pieces of info include fee structure and input/output information. This became especially known in 2024 when it was leaked that the company Chainalysis were running honeypot nodes on the clearnet as their primary attack vector against Monero transactions: In conclusion: - Never use someone else's node, else use an onion node if you have to use a remote node - Always use the default/automatic fees suggested by your wallet Misc Considerations Once in a while you may need to use an online Monero Explorer to look up a transaction ID for some purpose. Stop. Think about how you are going to access this tool, from which IP address and network, and at what time. You have no idea what the explorer admin is logging or where that info is going if he is. Make sure you are using TOR browser, that's best. Also makes sure never to use the same receiving address over and over. Use a different one for each identity you have. Otherwise you are creating a cross-correlation. There is a niche social attack described in getmonero.org blog post called the Janus Attack. Basically if you give someone a receiving address, they may suspect you also own a different address they found in a forum or something. They send money to you using the suspected address instead of the one you gave. They ask you if you got the money, and if you do own the suspect address, you'll say yes without checking exactly which address the money came to, and essentially confirm that you are the owner of both addresses. There are no known successful attacks of this. If you're wary of this attack, it's best to use totally different seeds for each of your identities, which you should really do anyway for better local security and avoiding mistakes. Real-world Example 1: Incognito Market Admin Quoted from the official criminal complaint against him: For context, "Crypto Account 1" is his personal KYC'd exchange account who has all his personal legal info. As you can see, this excerpt needs no further explanation. This was done several times, not just once. This is a classic textbook example of exactly what we discussed above. Do not move money between 2 Centralised Exchanges in quick succession and in similar amounts, especially such large amounts as he did. Real-world Example 2: Columbian Drug Dealer More info about this can be read here: MoneroLeaks The details are a bit convoluted but the primary takeaway is that the drug dealer was consistently using many random clearnet Monero nodes with little regard for their legitimacy. He did not know that many of these nodes were run by the Chainalysis corporation. Between IP logging, not using a VPN on one occasion and exposing his IP, poisoning outputs, scanning all the data of the transactions he was sending, the malicious nodes were able to compile enough data to incriminate him. The lesson of course being, Don't make transaction using random clearnet nodes . Conclusion Save this graphic to remind yourself and others about the primary rules of Monero OpSec:


Identity Segmentation Fails: Emails, Usernames, and Passwords

Emails: An Easy Pitfall One of the most common pieces of data used in surveillance is the email address. Email addresses are almost always used multiple times for multiple account sign-ups and communications with various people. They are easy to create, easy to establish correlation with between activities, and it's generally annoying to maintain more than a few email accounts at once which makes us want to use only a few at most at a single time. Not to mention that no legitimate email service is safe from government overreach and mass data harvesting, or even from email service providers themselves, as email is not inherently E2EE or metadata-resistant. Every single email provider hands data over to the government of the nation they reside in, even "private" ones like Proton, often without any resistance at all. So they will find every single service you signed up for and every person your contacted with that email account. And when governments come knocking on the doors of any corporation, that corporation happily will give them your account info, including your email address, which will then be used to correlate your other activities. Corporations also will sell your email address to other corporations, further creating an even larger web of online footprints. All this makes for the perfect piece of information for corporations and governments to target in surveillance. In short, email addresses are like a virus, infecting everything it touches, but useful when contained. You SHOULD: - Create it and use it inside the context (Laptop, Virtual Machine, IP Address) of the identity you use it for. - Only use it for accounts and communications where you speak about things pertaining to the identity for which you created it - For extra paranoia, use different email services for different identities. Using the same service could possibly help with pattern correlation, such as displaying a preference for Proton email. You SHOULD NOT: - Log into your email outside of your identity's context - Speak about or do things pertaining to your Public Identity while using an online account designated for Private Identity. - Contact a single person using multiple emails from multiple identities The ideal setup. Alice is not using her public email to contact any person or sign up for any account pertaining to her private ID, and vice versa: Names: Why So Important? It doesn't take a genius to figure out that you should not be using the same name to create accounts for multiple different identities. However this importance goes beyond just naming yourself differently. One must also take care to not provide indirect correlation through topic matter. Let's take a guy named Bob Smith. Bob Smith has a public identity with a LinkedIn, Twitter, and Youtube presence. His interests are clear: He likes cowboys and rock music. Everyone also knows his age and birthday. Now say Bob Smith wants to create a private identity to perform some grey-area activities. What should Bob call his new identity? Certainly not his real name. So Bob makes a name that feels close to himself and familiar, "RockinCowboy1991", alluding to his interests and birth year. Bob may think he is safe because he is not openly exposing his real name. But Bob does not realize he has just created correlation between his public and private identities. In this instance it would be trivial for surveillance agency to do a metadata search on anyone born in 1991 who likes cowboys. Naming correlation can also extend to conventions. For example, are you always using names of superheros? Are you always using a single word followed by 3 numbers? These kinds of conventions can create plausibility between your various identities especially if an adversary is already suspecting linkage. The best thing you can use is randomly generate your names, through random online generation tools searched for and accessed in the TOR Browser, or to use a password manager that has password and diceware generations. Some like BitWarden even have basic username generators too. Passwords Although there are little to no major OpSec failure examples of using correlation techniques against passwords or hashed passwords, it is important to take care of your password management Bad password management can lead to all accounts in a single identity getting hacked. This Whonix wiki article is also a wonderful resource about password strength, increasing threats of brute-force cracking, and how to plan ahead accordingly. So use very strong random passwords, and use master passwords for your managers and drives that are as strong as possible and you can remember. Real-World Failures Now we're going to show you some real-life examples of people who did not follow these considerations, and paid the price for it. Example 1: Yossi Sariel, Israeli Spy Chief of Unit 8200 (April 2024) Sariel made MANY mistakes here. In this example, he was supposed to have 2 identities. One for his public life and one for his secret like an intelligence chief of a special unit. In the news articles you can likely point out many errors, but let's focus on just a couple here. Firstly, is that he wrote a book about his activities as an intelligence officer and the leader of a particular unit. Then, in the book, he gave an email that was connected to his real name: Although allegedly this email was created specifically for the matters of the book, he did not even practice basic OpSec as to exclude his real name. This violates the most basic rule: do not use matching names between identities. Then, his sloppiness of linking his secret work to his public social accounts essentially erased any doubt of his position: Secondly, I want to point out one more key detail: The pseudonym he chose, "Brigadier General YS". You can see how wrong this is. He gave out 2 pieces of information in his "private" name. That he is an officer of this specific rank, and that his initials are YS. This of course is a huge violation of naming conventions. Example 2: Spanish Activist de-anonymized by linking emails across identities In this example, what happened is pretty simple: An activist created a ProtonMail account, then used an Apple email address as a recovery email for his Proton account. So let's designate 2 identities that the activist has: a Public identity and an Anonymous identity. But rather than keep them both separated, he cross-contaminated by giving a piece of information from his Public identity over to an account that is only supposed to be for his Anonymous identity. Then once he caught the attention of government by using his Proton email, the Spanish government went through the Swiss government and requested all available information on this account, which then gave them the recovery Apple email address, which they then went to Apple with and got his real-life name and information. The lesson here is that, whether or not they do, Proton COULD give this info, and that in itself is more than enough reason to never cross-contaminate. You should never trust a corporation to safeguard your identity segmentation, the only proper segmentation is the kind you create for yourself. Conclusion Through these examples you can see how important these concepts are and be sure to practice them in your daily OpSec.


So schützt du deine Wallet Seeds richtig

Hey Leute, bewahrt eure Wallet-Seeds besser nicht einfach nur auf Papier auf . Papier kann verloren gehen, verbrennen, nass werden oder von Unbefugten gefunden werden. Für etwas so Kritisches wie Private Keys oder Recovery-Seeds gibt es deutlich robustere Lösungen. Eine sinnvolle Alternative ist ein USB-Stick, der mit VeraCrypt verschlüsselt ist und ein sogenanntes Hidden Volume nutzt . VeraCrypt ist eine etablierte Open-Source-Verschlüsselungssoftware, die starke kryptografische Verfahren verwendet und seit Jahren im Security-Bereich eingesetzt wird. Das Prinzip dahinter: Passwort 1 öffnet ein äußeres Volume Dieses enthält unkritische, harmlos wirkende Dateien (z. B. Dokumente, Fotos, PDFs), die völlig legitim aussehen. Passwort 2 öffnet ein verstecktes (Hidden) Volume In diesem Bereich liegen die wirklich sensiblen Daten, also z. B. Wallet-Seeds, Private Keys oder andere vertrauliche Informationen. Der entscheidende Vorteil: Das Hidden Volume ist von außen nicht erkennbar. Ohne das zweite Passwort kann niemand nachweisen, dass in dem verschlüsselten Container überhaupt noch weitere Daten existieren. Das bietet neben Verschlüsselung auch plausible Abstreitbarkeit . Selbst wenn jemand Zugriff auf den USB-Stick erhält und das äußere Volume öffnet, wirkt alles unauffällig. Das eigentliche Geheimnis bleibt verborgen, solange das zweite Passwort nicht bekannt ist. : - )


https://veracrypt.io/en/Wear-Leveling.html für Plausibel Deniability sollte man keine USB-Sticks verwenden. Es gibt rechtlich keine Plficht Passwörter preiszugeben, daher ist Plausible Deniability auch nicht nötig. Sie können nicht beweisen was am USB-Stick ist. Selbst wenn sie vermuten, dass du dort die Passphrase zu Milliarden gestohlenen Bitcoin hast können sie dich nicht bestrafen. Es braucht Beweise.


Genau so! Davon mehrere USB Sticks erstellen und an verschiedensten Orten des Universums bunkern, das Master Passwort merken und eure Coins werden euch dankbar sein.


Domain / E-Mail Hosting / Bulletproof / keine Behördenauskunft

Guten Abend, welche Domainendung würdet ihr euch wo holen und wo am besten das Hosting für die E-Mail dazu? Mir gehts darum, dass: 1.) Die Domain nicht abgeschaltet wird 2.) Ein Beschlagnahme- und Herausgabebeschluss (durch Behörden) für das Postfach nicht anerkannt wird Jemand eine Idee?


Eine über tor gibt einige


z.B.?


guten tach, poste das hier extra in den Bereich Sicherheit & Anonymität. Durch eWhooring mache ich echt gutes Geld jedoch habe ich langsam die Nase voll vom Waschen und Exchangen und wollte fragen welche Risiken bestehen beim Geld abheben. Habe mehrere Sumups, funktioniert alles einwandfrei. Mit Google Pay wäre ja kontaktloses Geld abheben möglich, die Frage ist... Ist das eher dumm oder kann wäre das ganze irgendwie so machbar das man dafür nicht belangt werden kann. Ich würde jemanden vorschicken der das macht in einer anderen Stadt. Was sagt ihr dazu ?


Keine gute idee, wasch es lieber weiter hin das sollte dir deine Sicherheit wert sein


Du kannst das schon machen, aber ein Restrisiko bleibt immer.  Dir muss bewusst sein, dass wenn ermittelt wird, die Aufnahmen am ATM immer durch die Behörden abgerufen werden und zur Akte kommen. Sollte man dich z.B. später busten und eine HD erfolgen, wird explizit nach der Kleidung gesucht, die beim Abheben getragen wurde. Es reicht also nicht, nicht nur nicht zu erkennen zu sein, sondern auch die Kleidung sollte im Falle einer HD nicht bei dir zu finden sein (Jacke, Schuhe usw.). Des Weiteren entsteht durch das Abheben ein Bewegungsprofil - auch das wird zu den Akten gelegt und gibt Ermittlungsansätze. Im Falle eines Busts werden die sog. "Verkehrsdaten" geprüft (z.B. § 100g, § 100h). Du solltest also niemals deine mobilen real Geräte (Smartsmatch, Handy usw.) dabei haben. Ich persönliche würde es machen, also am ATM cashen, aber ständig wechselnde Standorte, niemals zu nah an deinem Wohnort und wie gesagt, kein Realhandy dabei und die Kleidung nicht Zuhause haben. Karte vorm Abheben immer gut sauber machen, nur an den Kanten anfassen (Fingerabdrücke vermeiden), falls die Karte eingezogen wird und gut vermummen, sollte klar sein.


Gibt genug gute exchange auch mit null und paar% krypto zu Fiat wechseln. Würde nichts mit Karte abholen und wenn du willst schick Läufer.


Crypto CC und n Obdachlosen/Läufer dort abheben lassen. Gucke dass keine Kameras dich catchen, sprich auf dem Weg zur Bank und danach.


Jo einfach CC+PIN an Kumpels oder Obdachlosen anvertrauen, wird schon schief gehen.


dumm. Bequemlichkeit ist dein größter Feind in der Szene


CLOSED