Whonix

Whonix 是雙虛擬機器隔離匿名作業系統 — 一個以安全為重點的作業系統，作為兩個虛擬機器並排執行：一個工作站虛擬機器，你在其中做實際工作，以及一個閘道器虛擬機器，處理所有 Tor 路由。工作站從未看到公共網際網路 — 它只能與閘道器通訊，閘道器再透過 Tor 路由。評為 Grade A，因為 Whonix 佔據了一個結構上獨特的信任姿態：即使你的應用程式、瀏覽器或作業系統本身被攻破，它們也無法洩露你的真實 IP，因為它們無法訪問知道你真實 IP 的網路。最佳搭配 Qubes OS 以獲得最嚴格的持久化匿名設定；Tails 是針對不同威脅模型的臨時遺忘替代方案。

Background. Whonix 由 Patrick Schleizer（化名：adrelanos）于 2012 年建立，並由 Whonix Project 和貢獻者團隊持續維護。以 VirtualBox 鏡像、KVM 鏡像形式分發，並作為 Qubes OS 內部的規範匿名層（Qubes Project 本身推薦 Whonix）。基于 GPLv3 開源；程式碼庫位於 github.com/Whonix。資金來源於捐贈和過去的 Open Tech Fund 撥款；團隊已經抵制了會損害隱私優先原則的商業產品化。Whonix 設計的威脅模型非常複雜：不僅僅是「ISP 級別監控」（Tor Browser 可以解決），而是「應用程式級別攻破」 — 如果你的瀏覽器有零日漏洞，如果你的 PDF 閱讀器透過嵌入式 JavaScript 小部件泄露了你的 IP，如果作業系統本身被惡意軟體感染怎麼辦？Whonix 的隔離意味著這些攻破無法洩露你的 IP，因為被攻破的軟體無法發現它。

What you trust. 網路隔離 — 工作站虛擬機器沒有直接的網路訪問；它有一個僅連線到閘道器虛擬機器的虛擬網路介面卡。即使工作站上的 root 訪問也無法繞過這一點，因為虛擬網路沒有通往公共網際網路的路由。在閘道器處處理 Tor — 工作站的流量全部在閘道器層強制透過 Tor 路由；任何應用程式都不能退出。流隔離 — 到不同目的地的連線自動使用不同的 Tor 迴路（因此瀏覽器標籤頁洩露不會去匿名化一個單獨的電子郵件會話）。加固的預設設定 — Whonix-Workstation 內建加固的 Tor Browser、AppArmor 配置、沙盒化應用程式、加固的核心引數。可復現構建 — Whonix 釋出可從原始碼復現；構建過程有文件記錄且可驗證。上游是 Debian + Tor + Kicksecure — 作業系統構建在 Debian（經過良好審計的基礎）、Tor（規範匿名網路）和 Kicksecure（Whonix Project 的加固 Debian 配套发行版）之上。你不信任的：主機作業系統 — Whonix 在主機（你的 VirtualBox/KVM 主機）之上作為虛擬機器執行。如果主機被攻破，Whonix 的隔離可能被繞過（主機級惡意軟體可以看到工作站的螢幕、按鍵、檔案）。為獲得最強姿態，在 Qubes OS 上執行 Whonix（每個虛擬機器由 hypervisor 隔離，消除主機信任假設）。

Operational specs. 平台：VirtualBox（跨主機：macOS、Windows、Linux）；KVM（Linux 原生）；Qubes OS 的規範匿名層（Qubes-Whonix）。虛擬機器模型：Whonix-Gateway（執行 Tor，暴露本地網路介面）+ Whonix-Workstation（你的實際桌面環境，僅與 Gateway 通信）。資源需求：最低 4GB RAM，推薦 8GB；兩個虛擬機器合計 100GB 磁碟空間；64 位 CPU 帶虛擬化擴充套件。工作站環境：XFCE 桌面（輕量級、可加固），預裝 Tor Browser、Thunderbird 配合 Enigmail、OnionShare、KeePassXC 以及其他隱私工具。更新：透過 Whonix 軟體包系統管理；更新透過 Tor 路由（閘道器的更新路徑在可用時使用 onion 服務）。持久化：與 Tails（預設遺忘）不同，Whonix 是持久化的 — 工作站上儲存的檔案在重啟後持久保留。這是多天工作流的特性，對需要預設遺忘的使用者來說是權衡（使用 Tails）。多工作站：你可以並排執行多個工作站虛擬機器，每個具有不同的身份上下文，全部透過同一個閘道器路由。時間模糊化：Whonix 略微隨機化系統時鐘以防止基於時間的指紋識別。MAC 地址隨機化：啟動時，工作站生成一個隨機的虛擬 MAC。

Philosophy. Whonix 的編輯差異化特點是結構化隔離方法來實現匿名性。Tor Browser 將反去匿名化邏輯放入單個應用程式中（應用程式是你的信任攻擊面）。Tails 將其擴充套件到整個作業系統，具有預設遺忘的儲存。Whonix 進一步擴充套件：作業系統隔離為兩個虛擬機器，應用層無法訪問知道你 IP 的網路，失敗模式從「此應用程式洩露了你的 IP」轉變為「hypervisor 或主機被攻破」 — 一個結構上更難的攻擊。代價是：操作複雜性。你管理兩個虛擬機器而非一個，在它們之間平衡記憶體，小心處理剪貼簿共享。對於應用層攻破是可信攻擊向量的威脅模型 — 複雜的新聞調查、高監控區域的行動主義、長期執行的匿名基礎設施 — 複雜性是合理的。對於日常瀏覽隱私，僅 Tor Browser 就足夠了。

Grade rationale. Grade A 基于：13+ 年的運營連續性（自 2012 年起）；開源 GPLv3 程式碼庫；記錄在案的可復現構建；構建在 Debian + Tor + Kicksecure 之上（經過良好審計的上游）；結構化網路隔離（工作站無法直接訪問網際網路）；Qubes OS Project 推薦的規範匿名層；跨應用程式的流隔離；加固的預設設定（AppArmor、核心引數）；適用於多天工作流的持久化儲存；用於身份上下文隔離的多個工作站虛擬機器；具名維護者（Patrick Schleizer / adrelanos）具有公開身份和信譽記錄；被 Privacy Guides 和 web3privacy 同行目錄收錄。Tor onion 鏡像位於 dds6qkxpwdeubwucdiaord2xgbbeyds25rbsgr73tbfpqpt4a6vjwsyd.onion。最後驗證於 2026-05-13。

Useful when. 你正在執行持久化匿名基礎設施 — 一個長期執行的 .onion 服務、一個匿名研究工作流、一個多天調查 — 在這些情況下，Tails 的預設遺忘會丟失你的工作。你處於應用層攻破是可信攻擊向量的威脅模型中（複雜的新聞調查、行動主義、反監控研究）。你已經在執行 Qubes OS 並想要規範的匿名層 Qubes-Whonix 集成。你想要跨應用程式的流隔離，使一個程式的洩露不會去匿名化另一個。你正在測試或開發匿名工具，想要一個受控環境來驗證它們。你想要透過並排執行多個工作站虛擬機器（一個用於個人匿名身份，一個用於新聞工作，一個用於行動主義等）共享一個閘道器來進行身份隔離。你不滿足於單一應用程式級匿名（Tor Browser），想要作業系統級網路隔離。

Caveats. 比 Tor Browser 或 Tails 更重的設定 — 需要 VirtualBox 或 KVM，需要理解雙虛擬機器架構，需要管理虛擬機器資源。如果是從「只需安裝 Tor Browser」過來，Whonix 在複雜性上是重大的升級。主機作業系統是薄弱環節 — Whonix 的隔離防範應用程式級攻破，但執行 VirtualBox 的主機作業系統（macOS、Windows、Linux）可以看到虛擬機器中的一切。為獲得最強姿態，在 Qubes OS 上執行 Whonix，其中 hypervisor 隔離使主機不再那麼令人擔憂。效能開銷 — 執行兩個虛擬機器比單作業系統更重；在低端筆記本上你能感受到。推薦 8GB+ RAM 和 SSD 以獲得舒適的體驗。持久化對某些用例是選擇加入，對其他則是關閉 — 與 Tails 不同，Whonix 預設持久化檔案；如果你需要特定會話的預設遺忘，可以使用 Whonix-Live（Whonix 的遺忘模式）或關閉並從乾淨快照恢復。VirtualBox 需要非平凡的主機信任 — Oracle 的 VirtualBox 歷史上存在過漏洞；對於最嚴格的威脅模型，請改用 KVM（Linux 原生）或 Qubes OS（基于 Xen）。無移動端 — Whonix 是桌面獨佔；移動使用者應使用 Tor Browser for Android，或 Orbot + 加固的 Android 发行版如 GrapheneOS。初始下載較大 — 虛擬機器鏡像各約 1-2GB；在慢速連線上首次安裝耗時較長。不防護物理訪問威脅 — Whonix 僅為軟體；如果你的膝上型電腦被查封且虛擬機器未鎖定，資料可讀。配合全盤加密（VeraCrypt 或系統 FDE）以獲得物理訪問保護。更新需要關注 — 像任何作業系統一樣，Whonix 需要定期安全更新；停留在舊版本意味著停留在舊的 Tor + 舊的 Debian + 舊的瀏覽器，所有這些都是真實的攻擊面。