Hulios

Gehärtetes universelles Linux-Unsichtbarkeits- und Onion-System

Hulios ist ein eBPF-basiertes, transparentes Tor-VPN-Gateway für Linux. Es sichert ausgehenden Netzwerkverkehr, indem es TCP-Sockets und DNS-Anfragen über eine eingebettete Arti-Instanz (Tor-Client) und einen lokalen Hickory-basierten DNS-Resolver umleitet. Durch die Arbeit auf Kernel-Socket-Ebene mittels cgroup-Hooks und Policy-Routing setzt Hulios robuste leak-resistente Grenzen um, ohne die Laufzeit-resolv.conf-Konfiguration zu ändern oder auf externe Firewall-Daemons angewiesen zu sein.

🔒 Sicherheitsarchitektur

Hulios implementiert ein strenges, privilegiengetrenntes Laufzeitmodell:

• Privilegientrennung: Der Einstiegspunkt-Supervisor läuft mit Host-Root-Rechten, um eBPF-Programme einzuhängen und Policy-Routing-Tabellen aufzubauen, und startet dann sofort einen unprivilegierten Worker-Child-Prozess.
• Sandbox-Isolation: Der Worker-Prozess gibt Privilegien an nobody ab und wird mithilfe eines restriktiven seccomp-Systemaufruf-Filters isoliert.
• Fail-Secure-Kill-Switch: Das Routing des ausgehenden Datenverkehrs wird über Kernel-Policy-Tabellen (table 100) und Standard-Blackholes gesperrt. Bei einem Daemon-Absturz oder erzwungenem Herunterfahren (SIGKILL) bleiben die Blackholes aktiv und blockieren ausgehenden Datenverkehr, um IP-Leaks zu verhindern, bis eine manuelle Wiederherstellung eingeleitet wird.
• Raw-Socket-Blocker: Ein LSM-eBPF-Hook blockiert global die Erstellung von Raw-AF_PACKET-Sockets, um zu verhindern, dass Anwendungen die standardmäßigen IP-Routing-Regeln umgehen.

📋 Voraussetzungen

• Linux-Kernel: Version 5.10 oder höher.
• Kernel-Konfigurationen: CONFIG_BPF_SYSCALL, CONFIG_BPF_LSM und CONFIG_CGROUPS_V2 müssen aktiviert sein.
• Build-Abhängigkeiten: clang und libelf (erforderlich für die eBPF-Kompilierung zur Buildzeit).

Verifizierte Plattformen

Getestet und verifiziert auf Arch Linux und Debian 13 (Bookworm).

⚙️ Build und Installation

📦 Arch Linux (AUR)

Hulios ist im Arch User Repository als hulios-git verfügbar:

# Using paru
paru -S hulios-git

# Using yay
yay -S hulios-git

🛠️ Erstellen aus dem Quellcode

1. Build-Abhängigkeiten installieren

• Arch Linux:
  root@kitploit:~

  sudo pacman -S clang libelf zlib sqlite
  

• Debian/Ubuntu:
  root@kitploit:~

  sudo apt install -y clang libelf-dev zlib1g-dev libsqlite3-dev
  

2. Aus dem Quellcode kompilieren

Stelle sicher, dass der Rust-Compiler installiert ist (Toolchain-Auswahl und Target-Anforderungen werden automatisch über rust-toolchain.toml verwaltet):

git clone https://github.com/ghaziwali/Hulios.git
cd Hulios
cargo build --release

Die kompilierte Binärdatei befindet sich unter target/release/hulios.

🚀 Nutzungsanleitung

Alle Befehle, die mit Kernel-Schnittstellen oder Policy-Routing interagieren, erfordern erhöhte Rechte:

# Globale Hilfe und verfügbare Befehle anzeigen
./target/release/hulios --help

# Hilfe für einen bestimmten Befehl anzeigen (z. B. start)
./target/release/hulios start --help

# Hulios im Vordergrund-TUI-Modus starten
sudo ./target/release/hulios start

# Aktuellen Laufzeitstatus und Tor-Bootstrap-Fortschritt prüfen
./target/release/hulios status

# Netzwerk-Namespace-Integrität verifizieren und auf Leaks prüfen
sudo ./target/release/hulios diagnose

# Systemnetzwerkeinstellungen zurücksetzen und von unsauberen Beendigungen erholen
sudo ./target/release/hulios recover

# Hulios stoppen und Standard-Internet-Routing wiederherstellen
sudo ./target/release/hulios stop

⚙️ Konfiguration

Hulios erzeugt beim ersten Start automatisch eine standardmäßige, selbstdokumentierende Vorlagendatei unter /etc/hulios/config.toml, falls noch keine vorhanden ist. Öffne die erzeugte Datei, um Variablen anzupassen (z. B. bevorzugte Tor-Ausgangsknoten, DNS-Weiterleitungen, benutzerdefinierte SOCKS-Ports oder den strikten Lockdown-Modus).

💖 Spenden

Wenn du Hulios nützlich findest und die fortlaufende Sicherheitsentwicklung und -forschung unterstützen möchtest, sind Spenden sehr willkommen:

• Bitcoin (BTC): bc1q0gllvd7fe2y48emjd4shf42ul3cl4pgda5zpqz
• USDT (TRON / TRC20): TQWUmTATa8sDntobTNGkLmbgmHVS9iWCRx
• USDC (Ethereum / ERC20): 0x16aFd1De7889071194A026D79393eb3CE659181e

⚠️ Haftungsausschluss

Die Absicherung der Netzwerktransportschicht (Schicht 3) durch Hulios garantiert keine vollständige Anonymität.

• Keine Haftung / Missbrauch: DIESE SOFTWARE WIRD OHNE JEGLICHE GEWÄHRLEISTUNG, AUSDRÜCKLICH ODER IMPLIZIERT, BEREITGESTELLT. DER ENTWICKLER ÜBERNIMMT KEINE HAFTUNG ODER VERANTWORTUNG FÜR DATENLEAKS, KOMPROMITTIERTE PRIVATSPHÄRE, RECHTLICHE KONSEQUENZEN, SYSTEMINSTABILITÄTEN ODER SCHÄDEN, DIE AUS DER NUTZUNG, DEM MISSBRAUCH ODER DER ILLEGALEN ANWENDUNG VON HULIOS ENTSTEHEN.
• Anwendungs-Fingerprinting: Hulios entfernt keine Anwendungs-Tracker, Cookies oder Browser-Fingerprinting-Konfigurationen. Für das Surfen im Web wird dringend empfohlen, den offiziellen Tor Browser zu verwenden, der so konfiguriert ist, dass er über die SOCKS-Schnittstelle von Hulios leitet.
• Kompromittierter Host: Hulios kann Ihr System nicht schützen, wenn ein Angreifer Root-Zugriff erlangt, da dieser eBPF-Programme entladen und Routing-Tabellen verändern kann.
• Einschränkungen des Tor-Netzwerks: Ihr Datenverkehr unterliegt der Sicherheit des Tor-Netzwerks, einschließlich möglicher Korrelationsangriffe durch Akteure, die sowohl Eingangs- als auch Ausgangsknoten kontrollieren.