Szyfrowanie, VPN i prywatność: kluczowe projekty open source dla bezpiecznego surfowania

Jak zdefiniować cel i dobrać narzędzia: krótki brief pytań użytkownika

Najpierw cel, potem środki – pytania, które realnie padają

Zanim włączysz pierwszy VPN i zainstalujesz tuzin rozszerzeń, odpowiedz na kilka praktycznych pytań. Od nich zależy, które projekty open source i konfiguracje naprawdę pomogą.

• Chcę ukryć ruch przed dostawcą internetu czy uzyskać anonimowość w sieci? (VPN ≠ anonimowość; do anonimowości służy Tor.)
• Potrzebuję tylko bezpiecznego Wi-Fi w podróży, czy stałej ochrony prywatności także w domu i pracy?
• Czego się obawiam: śledzenia do celów reklamowych, przecieków haseł, ataków w publicznych sieciach, cenzury, a może ukierunkowanej inwigilacji?
• Z których systemów korzystam: Windows, Linux, macOS, Android, iOS? Czy mogę wprowadzić zmiany na poziomie routera?
• Czy akceptuję niższe prędkości lub utrudnienia (np. captche, blokady niektórych serwisów) w zamian za lepszą prywatność?

Dopasowanie narzędzi do profilu ryzyka

Inny zestaw narzędzi wybierzesz dla „bezpiecznego Wi‑Fi i blokady trackerów”, a inny dla „anonimowości i ochrony źródeł”. Ogólna zasada: najpierw higiena i szyfrowanie u źródła (przeglądarka, hasła, aktualizacje), potem warstwa sieciowa (DNS, VPN, Tor), a na końcu zaawansowane izolacje (systemy, sandboxing, segmentacja sieci).

• Śledzenie i reklamy: przeglądarka Firefox/LibreWolf/Tor Browser + uBlock Origin, Privacy Badger, ClearURLs.
• Bezpieczne Wi‑Fi i ukrycie przed ISP: VPN oparty na WireGuard/OpenVPN; konfiguracja z kill‑switch i ochroną przed wyciekiem DNS/IPv6.
• Anonimowość i cenzura: Tor (Tor Browser, bridges, Tails/Whonix). VPN może być dodatkiem, ale nie zastąpi Tora.
• Bezpieczeństwo kont i danych: KeePassXC/Bitwarden, 2FA (Aegis/FreeOTP, klucze FIDO2), szyfrowane backupy (Borg/Restic, Syncthing, Cryptomator).

Mini‑checklista startowa

• Zaktualizowane systemy i aplikacje (automatyczne aktualizacje włączone).
• Silne, unikalne hasła + menedżer haseł + TOTP/FIDO2 na kluczowych kontach.
• Przeglądarka z włączoną ochroną przed śledzeniem i rozsądnym zestawem rozszerzeń open source.
• Wybrana strategia sieciowa: DNS z DoT/DoH/DNSCrypt + VPN lub Tor, zależnie od celu.
• Włączone szyfrowanie danych w spoczynku (LUKS/VeraCrypt) i szyfrowane kopie zapasowe.

Podstawy szyfrowania w praktyce: co naprawdę chroni w sieci i na dysku

HTTPS i TLS: ochrona „w drodze”

HTTPS z TLS szyfruje połączenie między przeglądarką a serwisem. Zapobiega podglądaniu treści i modyfikacji ruchu przez osoby pośredniczące (np. w publicznym Wi‑Fi). Mechanizmy HSTS oraz TLS 1.3 podnoszą bezpieczeństwo, a ECH (Encrypted Client Hello) dodatkowo ukrywa odwiedzane hosty przed podsłuchem pośrednim.

Projekty open source w tym obszarze to m.in. OpenSSL, LibreSSL czy BoringSSL, a dla administrujących – Certbot/Let’s Encrypt, Caddy i Traefik, które automatyzują certyfikaty. Po stronie użytkownika kluczowa jest przeglądarka (Firefox, LibreWolf, Tor Browser), która domyślnie wymusza bezpieczne połączenia (tryb HTTPS‑Only można włączyć globalnie).

Szyfrowanie danych „w spoczynku”: dysk, pliki, kopie zapasowe

Zacznij od decyzji: pełne szyfrowanie dysku (FDE) czy kontener/pliki. FDE jest bezobsługowe i chroni całość w przypadku kradzieży urządzenia. Kontenery i szyfrowanie plików przydają się, gdy chcesz udostępniać wybrane foldery (np. chmura) bez ujawniania treści.

• Pełny dysk: LUKS (Linux), FileVault (macOS), BitLocker bez TPM‑only (Windows; z hasłem startowym), Android/iOS — domyślnie włączone.
• Kontenery/foldery: VeraCrypt (kontenery/partycje), Cryptomator (foldery w chmurze), gocryptfs/Rclone crypt (Linux), age/GnuPG (pliki).
• Kopie: Borg/Restic (szyfrowane backupy), Syncthing (replikacja P2P) + Cryptomator/gocryptfs na dane wysyłane do chmury.

Mikro‑checklista szyfrowania:

• Hasło długie (min. 12–16 znaków, lepiej passphrase) + kopia kluczy/nagłówka (VeraCrypt: backup header).
• Wyłącz hibernację przy FDE na laptopach; szyfrowany swap/pagefile.
• TRIM: włącz z głową (LUKS2 obsługuje discard); na bardzo wrażliwych systemach rozważ wyłączenie.
• Backup offline: co najmniej jedna kopia odłączona fizycznie; test odtwarzania raz na kwartał.

VPN w praktyce: wybór, wdrożenie, testy

Krok 1: model zaufania i protokół

VPN ukrywa ruch przed lokalną siecią/ISP i zmienia Twój egress IP. Nie daje anonimowości z definicji. Zanim wybierzesz:

• Czy dostawcy możesz ufać bardziej niż swojemu ISP? Jeśli nie — rozważ własny serwer.
• Protokół: WireGuard (szybszy, prostszy) lub OpenVPN (bardziej elastyczny w specyficznych sieciach). Obydwa mają dojrzałe, open‑source’owe implementacje.

Krok 2: dostawca komercyjny czy własny serwer

• Komercyjny VPN: łatwiejszy start, wiele lokalizacji. Wybieraj z audytem bezpieczeństwa i klientem open source. Sprawdź politykę logów i jurysdykcję.
• Własny: pełna kontrola, brak współdzielenia IP. Minusy: mniejsza „mieszanka tłumu”, pojedyncza lokalizacja. Projekty:
  • WireGuard na VPS (wg‑quick, Ansible role), Algo VPN (Ansible, IPSec/IKEv2/WireGuard), Pritunl (OpenVPN/WireGuard), Outline (Shadowsocks pod cenzurę, nie typowy VPN).
  • Na routerze: OpenWrt + wireguard-tools; na NAS/RPi: docker‑compose + linuxserver/wireguard.

Krok 3: konfiguracja klienta z ochroną przed wyciekami

• Kill‑switch: włącz w aplikacji lub wymuś w zaporze, by ruch przechodził wyłącznie przez interfejs VPN.
  • Linux: nftables/iptables — reguły blokujące wszystko poza interfejsem wg0/tun0 oraz DNS przez VPN.
  • Windows: Windows Firewall — reguły blokujące ruch wychodzący poza interfejs VPN (profile Public/Private).
  • macOS: Packet Filter (pf) — anchor z allow dla utunX i deny dla reszty.
• DNS: ustaw serwery DNS operatora VPN lub własny przez tunel (DoT/DoH przez VPS). Wyłącz smart DNS w systemie, jeśli miesza ruch.
• IPv6: jeśli VPN nie obsługuje IPv6 — wyłącz IPv6 na interfejsach, inaczej grożą wycieki.
• Split‑tunneling: jeśli potrzebny — definiuj po aplikacjach, nie po domenach. Usługi bankowe i VoIP często działają lepiej poza VPN.

Krok 4: testy połączenia

• Adres IP i lokalizacja: ipleak.net, ipinfo.io — powinny pokazywać IP VPN.
• DNS leak: dnsleaktest.com (Extended) — wszystkie resolvery przez VPN.
• IPv6: test‑ipv6.com — oczekuj „IPv6 przez VPN” lub „brak IPv6”.
• WebRTC: browserleaks.com/webrtc — brak publicznego IP spoza tunelu.
• Kill‑switch: w trakcie aktywnej sesji odłącz kabel/Wi‑Fi, wyłącz VPN — ruch ma być całkowicie zablokowany.

Lista kontrolna VPN

• WireGuard/OpenVPN z aktualnym klientem open source.
• Kill‑switch + brak wycieków DNS/IPv6/WebRTC.
• Automatyczne ponowne łączenie i rotacja kluczy/serwerów.
• Logowanie ograniczone do minimum (po Twojej stronie i po stronie serwera).

Ostrzeżenia krytyczne (VPN)

• „No‑logs” to deklaracja — szukaj zewnętrznych audytów i opisów praktyk retencji.
• Darmowe VPN-y często monetyzują ruch lub wstrzykują reklamy. Unikaj.
• Logowanie do kont osobistych przez VPN nie zapewnia anonimowości; profilowanie nadal działa po ciasteczkach/odcisku przeglądarki.

Tor i omijanie cenzury: scenariusze i kroki

Cel: anonimowość i rozdzielenie tożsamości

• Przeglądanie: Tor Browser (z ustawieniami domyślnymi). Nie dodawaj rozszerzeń, nie zmieniaj rozmiaru okna, unikaj logowania do stałych kont.
• Systemy izolujące: Tails (live, brak śladów na dysku), Whonix (gateway+workstation, wymusza Tor na całym ruchu).
• Pliki i metadane: przed publikacją usuń metadane (mat2/ExifTool), używaj print to PDF lub zrzutów ekranowych, jeśli musisz.

Cel: ukrycie użycia Tor lub obejście blokad

• Bridges: obfs4, meek‑azure, Snowflake — skonfiguruj w Tor Browser (Connection settings). Działa w sieciach z DPI.
• Tor over VPN: przydaje się, gdy Tor jest jawnie blokowany; nie zwiększa anonimowości względem czystego Tor, ale ukrywa fakt korzystania z Tora przed ISP.
• Alternatywy pod cenzurę: Shadowsocks/Outline, sing-box/xray (VLESS/Trojan) — gdy Tor jest nieskuteczny i celem jest dostęp, nie anonimowość.

Checklista Tor

• Domyślne ustawienia Tor Browser + aktualizacje włączone.
• Bridges skonfigurowane, jeśli są blokady.
• Brak wtyczek i logowania do stałych kont; izolowany profil aktywności.

DNS i filtrowanie na poziomie sieci: prosta procedura

Opcja A: filtr na routerze/serwerze domowym

• Pi‑hole lub AdGuard Home: blokada trackerów/reklam na całej sieci. Skonfiguruj jako serwer DHCP lub ustaw jako DNS w routerze.

Opcja A (ciąg dalszy): filtr na routerze/serwerze domowym — ustawienia krytyczne

• Upstream DNS: lokalny Unbound (rekurencyjny, DNSSEC, qname‑minimization) lub forward wyłącznie do resolverów z DNSSEC i DoT/DoH (np. Quad9, NextDNS, własny VPS). Wyłącz ECS (EDNS Client Subnet) w Unbound/AdGuard Home.
• Wymuszanie użycia filtra: reguła na routerze przekierowująca cały ruch TCP/UDP:53 z LAN na lokalny resolver (NAT redir). Blokuj port 853/DoT na zewnątrz, jeśli nie używasz własnego DoT. Dzięki temu klienci nie ominą filtra.
• OpenWrt: dnsmasq + adblock lub AdGuard Home/Unbound. Dodatkowo banIP dla list IP. Sprawdź firewall: FORWARD i OUTPUT nie przepuszczają portu 53 z pominięciem resolvera.
• IPv6: skonfiguruj RA/DHCPv6, aby klienci dostawali ten sam DNS. Jeśli VPN na routerze nie wspiera IPv6 — wyłącz RA albo tuneluj IPv6 przez VPN; w przeciwnym razie grożą wycieki.
• Listy filtrów: zacznij od uBlock Origin filter lists (porty dla Pi‑hole/AGH), OISD, HaGeZi (wariant „normal”). Automatyczna aktualizacja + whitelist dla usług krytycznych (bank, poczta firmowa), gdy coś przestaje działać.
• Logowanie: minimalne. W Pi‑hole/AGH włącz rotację i krótki retention (np. 24–72 h) tylko do diagnostyki.

Opcja B: prywatny DNS na urządzeniu (gdy nie masz kontroli nad routerem)

• Android: Ustaw Prywatny DNS (DoT) w systemie: Ustawienia → Sieć i internet → Prywatny DNS → Nazwa hosta (np. dns.quad9.net, dns.adguard.com lub własny na VPS z Unbound/AdGuard Home).
• iOS/macOS: Zainstaluj profil Encrypted DNS (DoH/DoT) od zaufanego operatora lub własny (Apple Configuration Profile). Alternatywnie w Firefox ustaw własny DoH.
• Windows 11: Ustaw DoH dla wybranych resolverów: Ustawienia → Sieć i Internet → Zaawansowane ustawienia sieci → DNS → Wybierz szyfrowanie (DoH) i dostawcę niestandardowego. Dla domen firmowych użyj reguł NRPT.
• Linux: systemd‑resolved z DNSOverTLS=yes lub Stubby + Unbound jako stub/rekurencyjny. Przeglądarka: DoH per‑app (Firefox/LibreWolf) jako wymuszenie.
• Filtr lokalny: na desktopie AdGuard Home w Dockerze + przełączenie systemowego DNS na 127.0.0.1 (open source alternatywy: Technitium DNS Server; pamiętaj o autostarcie i DoT/DoH do upstreamów).

Test po zmianach: dnsleaktest.com (Extended) — oczekuj wyłącznie Twojego resolvera; 1.1.1.1/help — status DoH/DoT „Yes”.

Ostrzeżenia:

• Profile DoH z nieznanego źródła mogą przekierować cały DNS — instaluj tylko z udokumentowanych stron, trzymaj kopię konfiguracji offline.
• Filtr po stronie urządzenia łatwo ominąć przez aplikacje z własnym DoH. Wymuś blokadę na zaporze/Firewall (blokuj ruch do znanych endpointów DoH, jeśli to akceptowalne).

Przeglądarka: praktyczna konfiguracja prywatności

Cel: minimalizować śledzenie i wycieki przy zachowaniu użyteczności

• Wybór profilu:
  • Główny: Firefox/LibreWolf + uBlock Origin.
  • Izolacja: Tor Browser do anonimowego researchu; oddzielne profile do bankowości/pracy (bez rozszerzeń).
• Ustawienia bazowe (Firefox/LibreWolf):
  • HTTPS‑Only Mode: włącz globalnie.
  • Privacy: Strict (blokowanie cross‑site tracking, cookies 3rd party).
  • WebRTC: media.peerconnection.enabled = false, jeśli nie używasz wideokonferencji (lub zezwalaj tylko per‑serwis).
  • Ustaw domyślny DoH (Cloudflare/Quad9/własny) w Connection Settings, gdy nie masz filtrów na routerze.
• Rozszerzenia open source (tylko niezbędne):
  • uBlock Origin: tryb domyślny + listy: EasyPrivacy, OISD, uBlock filters – Annoyances (opcjonalnie). Wyłącz nadmiarowe listy, gdy strony się psują.
  • Firefox Multi‑Account Containers: izoluj kategorie (Praca, Bank, Social). Loginy do Social tylko w osobnym kontenerze.
  • ClearURLs lub Neat URL: usuwanie parametrów śledzących z linków.
  • Cookie AutoDelete: automatyczne czyszczenie po zamknięciu karty (dodaj whitelisty dla banku/poczty).
  • LocalCDN: zamiana zewnętrznych CDN na lokalne zasoby (mniej wycieków do stron trzecich).
• Izolacja i profilowanie:
  • Oddzielne profile użytkownika przeglądarki dla działań o innym ryzyku (np. profil „Zakupy”, „Admin”, „Dev”).
  • Nie instaluj rozszerzeń w Tor Browser. Nie zmieniaj rozmiaru okna.

Mikro‑checklista przeglądarki:

• HTTPS‑Only + blokada cookies 3rd party.
• uBlock Origin działa, listy aktualne; wyjątki tylko tam, gdzie konieczne.
• Kontenery dla Social/Praca; osobne profile dla banku i admina.
• Brak wycieków WebRTC/DoH poza założonym planem.

Ostrzeżenia:

• Zbyt agresywne listy w uBO = niedziałające płatności/loginy. Diagnozuj w „Logger” uBO, a nie wyłączaj wszystkiego.
• „Anti‑fingerprinting” może łamać funkcje niektórych serwisów. Stosuj per‑profil, nie globalnie.

Hasła i 2FA: szybka standaryzacja

Cel: unikatowe hasła + odporne 2FA z kopią zapasową

• Menedżer haseł (open source):
  • Lokalnie: KeePassXC (+ plik .kdbx na zaszyfrowanym dysku; synchronizacja przez Syncthing lub zaszyfrowany kontener).
  • Chmura/self‑host: Bitwarden (oficjalny lub Vaultwarden na własnym serwerze). Włącz KDF Argon2id z wysokimi parametrami.
• Polityka haseł:
  • Każde konto inne hasło; długość 16–24, bez wymyślania — generator w managerze.
  • Fraza główna menedżera: długa passphrase; brak recyklingu z innych haseł.
• 2FA:
  • TOTP: Aegis/andOTP (Android), Raivo/Authenticator (iOS — wybieraj te z otwartym kodem). Eksportuj zaszyfrowane kopie kluczy.
  • FIDO2/U2F: klucze sprzętowe (SoloKeys, Nitrokey, YubiKey). Skonfiguruj dwa klucze (główny + zapasowy) i zapisz kody awaryjne offline.
• Migracja w praktyce (1 godzina):
  • Importuj hasła do KeePassXC/Bitwarden, włącz audyt duplikatów/słabych haseł.
  • Zmień hasła krytyczne (mail, bank, główne sklepy) i dodaj 2FA z od razu zapisanymi kodami zapasowymi.
  • Włącz powiadomienia o wyciekach (Have I Been Pwned w menedżerze lub osobno).

Checklista haseł/2FA:

• Menedżer z silnym KDF + fraza główna.
• 2FA TOTP/FIDO2 na krytycznych kontach + kopie zapasowe kluczy i kodów.
• Audyt duplikatów i słabych haseł zakończony — 0 ostrzeżeń.

Ostrzeżenia:

• SMS jako 2FA traktuj jako awaryjne — podatny na SIM swap. Preferuj FIDO2 albo TOTP.
• Nie trzymaj kluczy TOTP w tym samym menedżerze co hasła. Oddziel aplikacje i kopie zapasowe.
• Kody zapasowe drukuj lub zapisuj w offline’owym sejfie (papier/kluczowy plik zaszyfrowany age/GPG). Nie wrzucaj do chmury bez szyfrowania end‑to‑end.
• Wyłącz „odzyskiwanie przez e‑mail/SMS”, jeśli serwis wspiera bezpieczniejszą ścieżkę (kody recovery/klucze FIDO2).
• Phishing 2FA: nie podawaj kodów TOTP na niespodziewanych ekranach. Sprawdzaj domenę, używaj menedżera haseł do autowypełniania (nie wypełni na fałszywej domenie).
• Utracony telefon = utracone TOTP. Zaplanuj migrację: drugi telefon w sejfie z importem kluczy lub zaszyfrowany eksport (Aegis: encrypted backup).
• Klucze FIDO2: ustaw PIN/biometrię i skonfiguruj co najmniej dwa klucze na każde konto wspierające WebAuthn. Przetestuj logowanie na zapasowym kluczu.

Szyfrowanie dysków i nośników: minimum operacyjne

Cel

Zabezpieczyć laptopy, telefony i nośniki przenośne przed odczytem offline. Kluczowe przy podróżach i serwisie sprzętu.

Procedura wdrożenia

• Windows:
  • Pro: BitLocker z TPM + PIN przy starcie. Home: VeraCrypt (system encryption) lub zaszyfrowane kontenery na dane.
  • Wyłącz automatyczny upload recovery key do Microsoft Account; zapisz klucz offline.
• Linux:
  • LUKS2 (cryptsetup) przy instalacji: PBKDF Argon2id, wysoka liczba iteracji. Dla istniejących systemów: zaszyfruj partycję danych lub przenieś na nowy dysk z LUKS.
  • Włącz discard/trim tylko jeśli potrzebny i wspierany (opcje: allow-discards, fstrim.timer).
• macOS:
  • FileVault: włącz, zapisz recovery key offline (nie iCloud).
• Telefony:
  • Android: domyślnie szyfrowany. Ustaw silny PIN/hasło (nie wzór) i włącz „Secure start”/„Wymagaj PIN przy starcie”, jeśli dostępne.
  • iOS: silny kod, wyłącz odblokowanie przez akcesoria USB gdy zablokowany (USB Restricted Mode).
• Nośniki/USB:
  • VeraCrypt kontener (XTS‑AES) z PIM i hasłem; alternatywnie LUKS na całym nośniku.
  • Do wymiany między systemami — VeraCrypt; do Linux‑only — LUKS.

Test po wdrożeniu

• Sprawdź status: Windows (manage-bde -status), macOS (fdesetup status), Linux (lsblk/cryptsetup status).
• Test recovery: odczytaj plik testowy po uruchomieniu z live‑USB — powinien wymagać hasła/klucza.
• Zachowanie uśpienia: ustaw hibernację zamiast sleep przy transporcie. Zamknij urządzenie przed kontrolą bezpieczeństwa.

Lista kontrolna szyfrowania

• Dysk systemowy szyfrowany + klucz/recovery offline.
• PIN/hasło przy starcie włączone (TPM bez PIN to półśrodek).
• Nośniki przenośne tylko w kontenerach szyfrowanych.
• Hibernacja zamiast sleep podczas podróży.

Ostrzeżenia

• Utrata recovery key = utrata danych. Zrób dwie kopie (papier + sejf, offline’owy plik zaszyfrowany age/GPG).
• Uśpienie z otwartą sesją naraża na ataki DMA/cold‑boot. Zamykaj lub hibernuj przed transportem.
• Nie wyłączaj TRIM na SSD bez potrzeby — pogorszysz żywotność; konfiguruj bezpiecznie (fstrim.timer, a nie ciągłe discard).

Szyfrowanie plików i chmury: szybkie schematy

Cel

Chronić pliki w chmurze i w transferze, bez zależności od zaufania do dostawcy.

Wybór narzędzia według scenariusza

• Pojedyncze pliki/krótkie udostępnienia: age (age-encryption.org) — prosty CLI, klucze plikowe lub passphrase.
• Folder w chmurze (Drive/Dropbox/OneDrive): Cryptomator (GUI, FUSE) — multiplatformowy sejf; alternatywa: rclone crypt.
• Kopie zapasowe: restic lub borgbackup — szyfrowanie po stronie klienta, deduplikacja; backend S3/SSH/rsync.
• Sync P2P bez chmury: Syncthing — szyfrowana replikacja między Twoimi urządzeniami.

Procedura wdrożenia (przykład minimalny)

• Backup:
  • restic init —repo s3:https://…; export RESTIC_PASSWORD w menedżerze sekretów.
  • restic backup ~/Dokumenty ~/Zdjęcia; ustaw cron/systemd timer (co 12 h), retencja: restic forget –keep-daily 7 –keep-weekly 4 –prune.
• Folder w chmurze:
  • Cryptomator: utwórz sejf w katalogu synchronizowanym; montuj tylko na czas pracy.
• Udostępnienie pliku:
  • age -p -o raport.pdf.age raport.pdf; prześlij plik .age, hasło przekaż innym kanałem.

Test po wdrożeniu

• Spróbuj otworzyć plik w chmurze w przeglądarce — powinien być nieczytelny bez klucza/sejfu.
• Wykonaj restic restore małego folderu do katalogu tymczasowego i porównaj checksumy (sha256sum).

Lista kontrolna chmury/plików

• Hasła/klucze do sejfów i repozytoriów — dwie kopie offline.
• Backup testowo odtworzony choć raz w miesiącu.
• Brak współdzielonych sejfów bez indywidualnych haseł użytkowników.

Ostrzeżenia

• PGP dla plików bywa kłopotliwe w użyciu i w odzysku; age jest prostsze i mniej podatne na błędy konfiguracji.
• Nie montuj zaszyfrowanych sejfów non‑stop — minimalizuj okno ekspozycji ransomware.

VPN w praktyce: klient, kill‑switch i własny serwer WireGuard

Cel

Bezpieczne łącze w publicznych sieciach oraz stały adres „domowy” do zaufanych usług. Nie do anonimowości — od tego jest Tor.

Kroki na kliencie

• Wybierz protokół: WireGuard (prostszy i szybszy) lub OpenVPN (gdy potrzebne TCP/443 pod silną cenzurą).