Короткий ответ
Если конфиденциальность — главный приоритет и вы готовы изменить привычки:
- Экстремальная модель угроз (журналист, защищающий источники, активист во враждебном государстве, исследователь безопасности): Qubes OS для ежедневного использования + Tails на отдельном USB для разовых высокорисковых сессий.
- Ориентированный на конфиденциальность, но практичный (вы хотите обычно выглядящий компьютер, который не звонит домой): Linux Mint — экосистема ПО, совместимая с Ubuntu, дополнения Canonical убраны, консервативные настройки по умолчанию.
- Лучшая коммерческая ОС для конфиденциальности: macOS Sequoia с включённой Advanced Data Protection. Применимо предупреждение о закрытом исходном коде, но настройки по умолчанию лучше Windows, а безопасность устройства превосходна.
- Вы должны использовать Windows для работы: Windows 11 Pro (не Home) с групповой политикой, BitLocker, Firefox и серьёзным усилением. Возможно запустить достаточно приватную Windows 11 — вы просто потратите выходные на конфигурацию, и она отдрейфует назад каждое крупное обновление.
Всё ниже — детали за этим рейтингом — что каждая ОС делает по умолчанию, что можно изменить, а что нельзя.
Windows 11 — антиприватный базис
Windows 11 — худший из основных вариантов не потому, что он злонамерен, а потому что бизнес-модель Microsoft рассматривает ОС как продукт данных. Конкретно:
Требование аккаунта. Windows 11 Home требует аккаунт Microsoft во время настройки. Обходные пути локального аккаунта (команда OOBE\BYPASSNRO, трюк no@thankyou.com) продолжают исправляться в накопительных обновлениях. Windows 11 Pro всё ещё позволяет локальные аккаунты во время настройки, если выбрать путь "присоединения к домену".
Телеметрия. Два уровня: "Обязательные диагностические данные" (всегда включены, нельзя отключить через UI настроек — групповая политика позволяет ограничить, но некоторые сигналы всё ещё проходят) и "Дополнительные диагностические данные" (полная телеметрия уровня браузера, которую можно отключить, но она ВКЛЮЧЕНА по умолчанию). Microsoft публикует словарь данных, что больше, чем делают большинство поставщиков ОС, но базис — "Microsoft знает, что вы делаете".
Copilot + Recall. Recall (на Copilot+ ПК с NPU) делает скриншоты экрана каждые несколько секунд, распознаёт текст и строит поисковый локальный индекс. После скандала с безопасностью в июне 2024 Microsoft сделал его включаемым по желанию, зашифровал базу данных и потребовал аутентификацию Windows Hello для запросов. Базовая возможность остаётся встроенной в ОС. Каждое крупное обновление снова поднимает вопрос "действительно ли Recall всё ещё включается по желанию?" Сам Copilot отправляет запросы в Azure OpenAI, если специально не отключить функцию.
Настройки OneDrive по умолчанию. Свежие установки тихо перенаправляют папки Documents, Pictures и Desktop в %OneDrive%\ и начинают синхронизацию. Миллионы пользователей имеют личные файлы в облаке Microsoft, не приняв сознательного решения загрузить их.
Edge + Bing. Браузер по умолчанию отправляет запросы в Bing. Edge имеет полезные функции конфиденциальности (блокировка трекеров, InPrivate), но его поведение по умолчанию включает отправку URL в Microsoft Defender SmartScreen.
Что можно сделать. Windows 11 — самая усиляемая ОС, потому что есть так много чего отключить:
- Установить с локальным аккаунтом (Pro или хак реестра на Home)
- Запустить O&O ShutUp10++ — кураторский список 100+ переключателей конфиденциальности с "рекомендованными" настройками по умолчанию. Применяет групповую политику + изменения реестра, переживающие обновления.
- Отключить настройку OneDrive во время установки, полностью удалить, если не используется
- Заменить Edge на Firefox или Brave; изменить поиск по умолчанию на DuckDuckGo, Kagi или Startpage
- Деинсталлировать Cortana, Teams Consumer и Xbox-приложения, если не используются
- BitLocker (только Pro) или VeraCrypt (Home) для FDE
- Групповая политика: Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Сбор данных
После этого прохода Windows 11 можно сделать примерно такой же приватной, как немодифицированная Ubuntu. Постоянный налог — пересмотр настроек после каждого Feature Update (20H2, 22H2, 23H2, 24H2 каждый переинтродуцировал некоторые поведения).
macOS Sequoia 15 — лучшая коммерческая ОС для конфиденциальности
macOS Sequoia значительно лучше Windows 11 по умолчанию, но "лучше Microsoft" — не то же самое, что "приватный".
Телеметрия Apple — Analytics, Device Analytics и iCloud Analytics — отключена по умолчанию на свежей установке в ЕС (GDPR), включена по умолчанию в США (можно отключить в Настройки → Конфиденциальность и безопасность → Аналитика и улучшения). Apple публикует политику конфиденциальности и делает конкретные заявления о обработке на устройстве, но вы не можете независимо проверить эти заявления, потому что ОС с закрытым исходным кодом.
Настройки iCloud по умолчанию. Фото, контакты, календарь и iCloud Drive синхронизируются по умолчанию, если вы входите с Apple ID. Messages в iCloud отключён, если не включён. Advanced Data Protection (сквозное шифрование iCloud для большинства категорий — фото, заметки, Drive, резервные копии) включается по желанию и требует iOS 16.2+ / macOS 13+ на всех устройствах. Apple активно преуменьшает его во время настройки, потому что включение означает, что Apple не может восстановить данные, если вы потеряете доступ.
Siri + Spotlight. Запросы отправляются Apple для разрешения. Apple говорит, что они анонимизированы и не привязаны к Apple ID. Можно отключить "Предложения поиска от Apple" в Safari, чтобы остановить отправку набора в адресной строке на серверы Apple.
Apple Intelligence (добавлен в 2024). Преимущественно на устройстве для меньших моделей, но некоторые запросы отправляются в инфраструктуру Apple "Private Cloud Compute". PCC использует аттестованное оборудование и опубликованные бинарники — подлинно новая архитектура конфиденциальности. Включается по желанию в ЕС, включается по желанию везде ещё тоже в macOS 15.
Gatekeeper + подпись кода. Каждое приложение, которое вы запускаете, получает проверку подписи против нотариального сервиса Apple. Приложения первого запуска звонят домой с хешом Developer ID — Apple может (в теории) логировать, что каждый Mac запускает и когда. Это функция безопасности (ловит известные вредоносные приложения) с затратами конфиденциальности. sudo spctl --master-disable отключает принуждение подписи, но не рекомендуется.
Сильные стороны.
- Apple Silicon + Secure Enclave = надёжная безопасность устройства, биометрическая разблокировка, привязанная к оборудованию
- Приложения App Store имеют метки конфиденциальности (самоаттестация разработчика, но всё же показывает информацию)
- Модель разрешений строгая — приложения должны спросить перед чтением контактов, календаря, камеры, микрофона, местоположения
- FileVault (FDE) тривиально включить и использует Secure Enclave
- Нет обязательного антивируса, звонящего домой
Слабые стороны.
- Закрытый исходный код — заявления о конфиденциальности на слове Apple
- Отказы iCloud разбросаны по панелям настроек
- Настройка Advanced Data Protection с высоким трением (Apple активно усложняет включение)
- Привязка к оборудованию — если вы достаточно заботитесь о конфиденциальности, чтобы проверять, вы, вероятно, хотите быть на Linux, который можете аудировать
Практическая настройка. Свежая установка → отклонить дополнительную аналитику → включить FileVault → включить Advanced Data Protection, если все устройства поддерживают → установить Firefox → не входить в iCloud, пока не решите, какие именно категории синхронизировать.
Ubuntu 24.04 LTS — популярный Linux
Ubuntu — самый развёрнутый Linux-дистрибутив на настольных компьютерах и разумный базис конфиденциальности. У Canonical смешанная история по этой теме.
Amazon lens 2013 года. На короткий период поиск Ubuntu Unity Dash отправлял запросы в Amazon для "линз" результатов покупок. Это вызвало многолетний кризис доверия в сообществе. Функция была удалена в 16.04, и Canonical этого не повторял. Стоит знать, потому что окрашивает чувства долгосрочных пользователей Linux к Ubuntu.
Текущая телеметрия.
- Ubuntu Report — разовая, анонимная сводка оборудования/ПО, отправляемая во время установки. Включается по желанию; вы видите запрос перед запуском.
- Apport — отчёты о сбоях. Отключён по умолчанию на релизах; включаете на каждый сбой.
- Livepatch — горячие патчи ядра. Включается по желанию; требует подписку Ubuntu Advantage.
- PopCon — конкурс популярности пакетов. Отключён по умолчанию.
- Телеметрия Snap — магазин snap Canonical собирает счётчики установки/обновления. Менее инвазивна, чем телеметрия браузера, но всё ещё вызов Canonical на каждую установку snap.
Экраны нагов ubuntu-advantage-tools. Недавние версии Ubuntu добавили запросы "motd" при SSH или открытии терминала, рекламирующие Ubuntu Pro. Раздражает, но не проблема конфиденциальности (никаких исходящих данных). Удалено или отключено в 24.04 установкой ENABLED=0 в /etc/default/ubuntu-advantage-tools.
Snap против apt. Ubuntu 22.04+ поставляет Firefox как snap-пакет. Магазин snap говорит с серверами Canonical; традиционные пакеты apt говорят с любым зеркалом, которое вы настроили. Если маршрутизация "всё через Canonical" беспокоит, либо переключитесь на пакет Firefox apt ppa:mozillateam/ppa, либо установите Firefox прямо из flatpak.
Сильные стороны. Открытый исходный код, аудируемый, массивный выбор пакетов, отличная поддержка оборудования, Wayland по умолчанию в 22.04+, GNOME 46 с разумными настройками конфиденциальности по умолчанию.
Слабые стороны. Коммерческие интересы Canonical иногда указывают на пользовательские данные; телеметрия Snap неизбежна, если используете snaps; наги брендинга "Ubuntu Advantage" видимы.
Практическая настройка. Свежая установка → отклонить Ubuntu Report → отключить Apport → отключить PopCon → заменить Snap Firefox на apt Firefox или Flatpak → включить LUKS FDE во время установки → Firefox с uBlock Origin.
Fedora 41 — первоисточник Linux
Fedora — сообщественный дистрибутив Red Hat (IBM), используемый как первоисточник для RHEL. По конфиденциальности похож на Ubuntu с несколькими различиями.
Нет эквивалента Canonical. Red Hat / IBM не рекламируют подписку "Advantage" настольным пользователям; корпоративное лицензирование живёт на RHEL, не Fedora. Никаких экранов нагов, никаких принудительных запросов обновления.
Телеметрия по умолчанию. Минимальная. Fedora Report (перепись оборудования) вводится в 42 — продолжающиеся дебаты сообщества, текущий статус — включается по желанию. ABRT (отчёты о сбоях) включается по желанию; увидите уведомление, когда сбой произойдёт, и можете решить, отправлять ли.
SELinux принуждающий по умолчанию. Это функция безопасности, не конфиденциальности как таковой — содержит эксплойты уровня процесса, так что скомпрометированное приложение не может читать всё в системе. Ubuntu использует AppArmor для той же цели, но в более разрешающей позиции по умолчанию. SELinux строже.
Flatpak + dnf. Менеджеры пакетов Fedora. Flatpak'и Flathub говорят с CDN Flathub (не сигнал телеметрии, просто загрузка); dnf говорит с зеркалами Fedora.
Wayland сначала. Каждый spin рабочего стола (GNOME, KDE, XFCE и т.д.) поставляется с Wayland как сессией по умолчанию, которая имеет лучшую изоляцию между GUI-приложениями, чем X11 (приложения не могут делать скриншоты / снифить нажатия клавиш друг друга).
Сильные стороны. Никаких коммерческих паттернов в стиле Canonical, SELinux принуждающий, быстрое отслеживание первоисточника (ядро/Mesa/GNOME все новее Ubuntu).
Слабые стороны. Передовой край может означать "что-то сломалось из-за регрессии драйвера"; 13-месячный цикл поддержки на релиз против 5 лет Ubuntu LTS.
Практическая настройка. Свежая установка → отклонить отчёты о сбоях (получите запрос при первом срабатывании) → включить LUKS во время установки → Firefox предустановлен и не flatpak на Fedora Workstation.
Linux Mint 22 — лучший Linux с конфиденциальностью по умолчанию
Linux Mint — давний деблоат Ubuntu. Они берут первоисточник Ubuntu LTS, убирают дополнения Canonical, заменяют рабочий стол на Cinnamon (или Xfce / MATE) и поставляют. Что получаете:
Никаких Snap по умолчанию. Mint явно удаляет snap и блокирует apt от установки демона snap. Firefox установлен как обычный apt-пакет из PPA Mozilla. Никаких экранов нагов.
Никаких Ubuntu Report, никаких ubuntu-advantage-tools. Mint отключает или деинсталлирует коммерческие биты Canonical.
Никакой телеметрии. Сам Mint не звонит домой. Отчёты о сбоях отключены. Менеджер обновлений говорит с зеркалом Mint для обновлений — стандартный трафик менеджера пакетов — но не сообщает использование.
Резерв LMDE. Если вы хотите версию Mint без Canonical, LMDE (Linux Mint Debian Edition) использует Debian Stable как базу. Идентичный опыт рабочего стола, другой первоисточник.
Cinnamon. Форк GNOME, приоритизирующий традиционный рабочий стол в стиле Windows. Менее "современный", чем GNOME, менее клавиатуро-ориентированный, чем KDE, но доступный для пользователей, переключающихся с Windows.
Сильные стороны. Самые консервативные настройки конфиденциальности по умолчанию из любого основного дистрибутива. Огромное сообщество. Стабильный. Хорошая поддержка оборудования через базу Ubuntu.
Слабые стороны. Медленнее принимает новые технологии (Wayland всё ещё включается по желанию в Mint 22, по умолчанию X11). У Cinnamon меньше контрибуторов, чем GNOME или KDE. База Ubuntu означает наследование багов Ubuntu, просто не его телеметрии.
Практическая настройка. Свежая установка → включить LUKS во время установки → обновить → установить Firefox (уже там) + uBlock Origin → готово. Mint — дистрибутив, где "установи и используй" даёт разумную позицию конфиденциальности без дальнейшей работы.
Qubes OS 4.2 — компартментализация как модель угроз
Qubes в своей категории. Вместо попытки сделать одну ОС более приватной, Qubes предполагает, что любая одиночная система будет скомпрометирована, и изолирует радиус взрыва виртуализацией.
Как это работает. Qubes работает на голом железе через гипервизор Xen. Каждая "VM" (называемая qube в их терминологии) запускает одноразовое пользовательское пространство Linux — обычно шаблоны Fedora или Debian. Когда вы кликаете вложение email, оно открывается в DisposableVM, которая уничтожается после закрытия. Ваш банкинг происходит в собственной AppVM с сетевым доступом только к вашему банку. Браузинг случайных ссылок происходит в Whonix-Workstation qube, маршрутизирующей через Tor.
Стоимость UX. Копирование-вставка между qube'ами требует явного сочетания клавиш (Ctrl+Shift+V), подтверждающего передачу. Файлы, перемещаемые между qube'ами, проходят через выделенный диалог FileCopy. Вы теряете предположение "всё просто работает на том же рабочем столе" нормальной ОС — но получаете реальные границы безопасности.
Свойства безопасности.
- Эксплойт браузера в рабочем qube не может достичь файлов в личном qube.
- Скомпрометированный PDF-ридер не может эксфильтровать ваш криптокошелёк.
- USB-флешка, подключённая, монтируется в выделенном sys-usb qube — если она загружена вредоносным ПО, оно попадает в одноразовую VM, не dom0 (доверенный домен управления).
- dom0 вообще не имеет доступа к интернету; вы буквально не можете запустить браузер на dom0.
Требования к оборудованию. Минимум 16 ГБ ОЗУ (Qubes рекомендует 16 ГБ), практично 32 ГБ. Быстрый SSD (предпочтителен NVMe). CPU Intel с VT-x + VT-d; конкретные ноутбуки в списке совместимости оборудования (новые Thinkpad'ы, Framework, System76 Oryx Pro).
Интеграция Tor через Whonix. Из коробки Qubes поставляется с шаблонами Whonix — настройкой из двух VM, где одна VM делает маршрутизацию Tor, а другая запускает браузер, без способа для браузера узнать реальный IP даже если полностью эксплойтнут. Лучшая архитектура Tor короче Tails.
Сильные стороны. Золотой стандарт модели безопасности для пользователей высоких угроз. Открытый исходный код. Сноуден и ценные журналисты используют публично.
Слабые стороны. Крутая кривая обучения (2-4 недели для комфорта). Тяжёлые требования к оборудованию. Ограниченная поддержка оборудования — списки конкретных ноутбуков, а не "большинство современного оборудования". Никакого коммерческого ПО; только Linux-приложения.
Практическая настройка. Собственное руководство установки Qubes превосходно. Заложите выходные на первую установку и изучение модели qube. Сочетайте с совместимым ноутбуком (проверьте их список HCL — не покупайте случайное оборудование).
Tails 6.x — амнезические сессии на USB
Tails (The Amnesic Incognito Live System) — основанная на Debian live ОС, которая загружается с USB и забывает всё при выключении. Каждое исходящее соединение принуждено через Tor — если баг в приложении пытается сделать прямое соединение, оно терпит неудачу, а не утекает.
Как использовать. Загрузите целевую машину с USB Tails. Используйте. Перезагрузитесь. Жёсткий диск машины никогда не трогается (если специально не включите). Никакого следа сессии не остаётся нигде, кроме человеческой памяти.
Постоянное хранилище. Включается по желанию, на том же USB, зашифрованное LUKS. Позволяет сохранять конкретную папку, настройки мостов Tor и короткий список приложений между перезагрузками. Всё остальное остаётся амнезическим.
Маршрутизация Tor. Весь трафик. Никакого "разделённого туннеля", никакого "исключения на основе домена". Приложения, которые не могут использовать Tor, просто не могут соединяться. Это строго и иногда раздражает (некоторые видеоконференции ломаются, большинство банковских сайтов блокируют выходы Tor), но это свойство безопасности.
Сильные стороны. Амнезичен по дизайну — потерянный USB не утекает вашу сессию. Tor по умолчанию — никакого способа случайно утечь реальный IP. Малая поверхность атаки — минимальный стек ПО. Хорошо поддерживается некоммерческой организацией.
Слабые стороны. Не для ежедневного использования. Загрузка с USB медленнее. Выбор ПО преднамеренно ограничен. Задержка Tor ломает многие коммерческие сервисы. Никакого постоянного системного состояния между перезагрузками, если не включите.
Лучше для:
- Пересечение границ (перезагрузка в нормальную ОС перед таможней)
- Встреча с журналистскими источниками
- Исследование деликатной темы, которая не должна смешиваться с вашей ежедневной личностью
- Любая сессия, где "что вы делаете сейчас, не должно быть связываемо с тем, кто вы есть остальное время"
Практическая настройка. Скачайте Tails с tails.net, проверьте подпись (критично), прошейте на USB ≥ 8 ГБ, загрузите целевую машину с него (может потребовать хитрости BIOS/UEFI). Установите пароль администратора, если нужно запускать sudo-команды во время сессии.
Таблица сравнения
| ОС | Телеметрия (по умолчанию) | Аккаунт обязателен | Открытый исходный код | FDE по умолчанию | Настройки облака по умолчанию | Счёт конфиденциальности |
|---|---|---|---|---|---|---|
| Windows 11 Home | Всегда включена + только отказ | Да (Microsoft) | Нет | Иногда (авто Device Encryption) | OneDrive включён | ★☆☆☆☆ |
| Windows 11 Pro | Reducible via Group Policy | Нет (опция присоединения к домену) | Нет | Да (BitLocker) | OneDrive включён | ★★☆☆☆ |
| macOS Sequoia | Отказ в ЕС, включена по умолчанию в США | Рекомендован (Apple ID) | Нет | Нет (пользователь должен включить FileVault) | iCloud включён для фото | ★★★☆☆ |
| Ubuntu 24.04 | Только включение по желанию при установке | Нет | Да | Опциональна при установке | Нет (телеметрия snap) | ★★★★☆ |
| Fedora 41 | Отчёты о сбоях по желанию | Нет | Да | Опциональна при установке | Нет | ★★★★☆ |
| Linux Mint 22 | Нет | Нет | Да | Опциональна при установке | Нет | ★★★★★ |
| Qubes OS 4.2 | Нет | Нет | Да | Да (обязательный LUKS) | Нет | ★★★★★ |
| Tails 6.x | Нет | Нет | Да | Постоянный том опционален | Нет (маршрутизация Tor) | ★★★★★ |
(Звёзды — грубая композиция "бремя телеметрии + штраф закрытого исходного кода + FDE по умолчанию + привязка к облаку". Не единственное, что имеет значение — усиленная Windows 11 Pro может быть более приватной, чем небрежная установка Ubuntu.)
Наша рекомендация по случаю использования
1. Потребитель, заботящийся о конфиденциальности, которому также нужно основное ПО (Adobe, игры, Office, Zoom и т.д.). Windows 11 Pro с BitLocker + O&O ShutUp10++ + Firefox + локальный аккаунт. Или двойная загрузка Windows для приложений, которые её требуют, и Linux Mint для всего остального.
2. Интеллектуальный работник, разработчик, студент, писатель. Linux Mint с LUKS + Firefox + uBlock Origin. Девяносто процентов рабочих потоков Windows/macOS чисто отображаются в Mint. LibreOffice для большинства документов, OnlyOffice, если нужна лучшая совместимость с Microsoft Office.
3. Создатель контента / дизайнер, использующий Adobe Creative Cloud. macOS Sequoia с FileVault + Advanced Data Protection + Firefox. Поддержка Adobe реальна на macOS; неловка на Linux (Wine/Bottles работают для некоторых приложений, не всех). Производительность Apple Silicon на видеоработе подлинно лучшая из трёх коммерческих вариантов.
4. Журналист / активист / исследователь, обращающийся с чувствительным материалом. Qubes OS на совместимом оборудовании для ежедневной работы + Tails на USB для разовых высокорисковых сессий. Используйте отдельные физические устройства для "публичной личности" против "чувствительной рабочей личности", если возможно.
5. Периодическая высокорисковая сессия (пересечение границы, встреча с источником, исследование темы). Tails на USB, загружённый на чистой машине, выключенный после. Не переиспользуйте USB между разными сценариями риска без вайпа постоянного тома.
6. Дедушка/бабушка учится использовать компьютер. ChromeOS на Chromebook для простоты, ИЛИ Linux Mint Cinnamon, если есть любой член семьи, способный сделать начальную настройку. Избегайте Windows 11 Home — одна настройка аккаунта Microsoft сбивает с толку, а работа по очистке не стоит для лёгкого пользователя.
Что мы реально запускаем
Полное раскрытие: команда ipdrop.io запускает смесь — macOS для контента/дизайна/ежедневной работы, Linux Mint на отдельной машине для разработки/чувствительной работы и USB Tails в ящике, который используется может 3-4 раза в год. Qubes мы уважаем, но не используем ежедневно — трение реально, и наша модель угроз этого не требует.
Что бы вы ни выбрали, самый важный ход конфиденциальности — не ОС — это включение полного шифрования диска, использование менеджера паролей и не смешивание чувствительных личностей в повседневный браузер. Выбор ОС — рамка; привычки — картина.
Связанное
- Чек-лист конфиденциальности — 20 шагов аудита аккаунтов
- Что такое VPN? — слой над ОС для сетевой конфиденциальности
- Зашифрованная почта — сравнение Proton Mail, Tutanota, Mailbox.org
- Зашифрованное файловое хранилище — сравнение Proton Drive, Tresorit, Sync.com
- Proton Pass против Bitwarden — глубокое погружение в менеджеры паролей