Nerdkrams
Perfect PRISM Privacy (2): Die Sache mit dem Tor-Netzwerk

Ich hatte mich im Juli zu den „Kryptopartys“ und zu anonymem Surfen mittels eines VPNs geäußert. Ich schrieb damals über das (immerhin unter einer BSD-Lizenz stehende) Anonymisierungsnetzwerk Tor, das unter anderem der digitalcourage e.V. empfiehlt:

Auch das Tor-Netzwerk, also die Umleitung „eures Internets” über drei unabhängige Router, wird gelegentlich empfohlen, ist aber prinzipiell kompromittierbar (ein Angreifer muss nur mindestens auf zwei der drei Router zugreifen können, was einem Geheimdienst vermutlich nicht schwer fällt) und obendrein aus verständlichen Gründen wirklich sehr, sehr langsam.

Inzwischen gibt es auch belastbare Zahlen zu der potenziellen Kompromittierbarkeit:

Rund 80% aller Tor-Nutzer ließen sich schon nach 6 Monaten Betrieb eines mittleren Tor-Relays deanonymsieren. Wenn ein Angreifer den kompletten Verkehr eines Teilbereichs des Internet (…) kontrolliert, müssen Tor-Nutzer mit einer 95-prozentigen Gefahr rechnen, dass ihre Identität innerhalb von drei Monaten aufgedeckt wird. Mehr Ressourcen unter Kontrolle des Überwachers beschleunigen den Vorgang.

Das klingt nach einer annehmbar hohen Fehlertoleranz, aber glaubt nur nicht, dass diejenigen, vor denen ein Bürger Geheimnisse haben sollte, nicht über diese mehr Ressourcen verfügen. Lasst es mich anders ausdrücken: Tor ist nicht sicher! Dass für die Enttarnung bestimmte Voraussetzungen erfüllt sein müssen, sollte euch nicht blauäugig auf einen Glücksfall hoffen lassen. Nur, weil eure Verbindung über mehrere Router in mehreren Ländern geleitet werden kann, heißt das nicht, dass keiner dieser Router Informationen über euch preisgibt. Je mehr dieser Router von einer einzelnen Institution (etwa der NSA – an dieser Stelle könnt ihr gern euren Aluminiumhut gegen die bösen Strahlen aufsetzen) kontrolliert werden, desto wahrscheinlicher wissen die, wer ihr seid und was ihr tut.

Was im Übrigen das gleichfalls freie I2P als Konkurrenzimplementierung eines anonymen, dezentralen Netzes betrifft: Trotz all des Komforts (und aufgrund der ekligen Java-Basis) muss euch klar sein, dass auch die Sicherheit von I2P mit der Autarkie der einzelnen Knoten steht und fällt. Dass „seit PRISM“ also immer wieder für solche Routingdienste Werbung gemacht wird, ist vordergründig verständlich, aus technischer Sicht jedoch Augenwischerei.

Auch weiterhin ist also davon auszugehen, dass ein anonymes (nicht pseudonymes) VPN das Mittel der Wahl sein sollte, wenn ihr die nächste Revolution planen wollt. Aber achtet auf die Mittagsruhe, in Deutschland ist die wichtig.

(Diesen Artikel hätte ich ja mit „Eigen-Tor“ überschrieben, wenn halt die c’t den Titel nicht schon reserviert hätte. Na, nächstes Mal dann.)


Nachtrag: Achtet hier auch auf die Kommentare, „dakira“ hat einen wichtigen Hinweis hinterlassen.

Senfecke:

  1. Hi,
    ich denke doch das die Situation bei I2P eine andere ist da hier keine Exit-Nodes betrieben werden.
    Sämtlicher Traffic befindet sich innerhalb des Netzes und ist soweit ich weiß auch recht gut verschlüsselt.

    Soweit ich das verstanden habe kann ich als selbst als Teilnehmer im I2P nicht herausfinden welche Seiten die Leute über mein Netz erreichen.

    Irre ich?

    • Das weiß ich nicht – das gebe ich zu. Allerdings geht es ja gerade um MITM-Attacken (und da nicht mal darum, dass Projekt Bullrun die meisten Verschlüsselungen einfach abschaltet).

  2. Hast du auch das Paper gelesen, oder nur die Heise-Meldung? Es geht um Hidden Services. Also Seiten die im tor-Netzwerk betrieben werden. Es ging gerade *nicht* um einfache Nutzer.

    Heise hat ein Talent dafür Sicherheitslücken in Tor falsch zu verstehen.

  3. Die heise-Meldung genügt mir, um das Problem aufzuzeigen. Auch bei technischen Ungenauigkeiten ist es vermutlich nicht verkehrt, wenn Benutzer darauf gefasst sind, dass es keine Sicherheit gibt. Ich schreibe oben aber mal einen Nachtrag rein, danke.

    • Es gibt „so was wie das Darknet“ auch im I2P-Netz, allerdings wohl eher nicht sehr gut besucht. Du sprichst da allerdings einen wichtigen Punkt an.

      „Facebook überwacht mich? Mir egal, ich nutze Linux dafür!“

Comments are closed.

:) 
:D 
:( 
:o 
8O 
:? 
8) 
:lol: 
:x 
:aufsmaul: 
:P 
:ups: 
:cry: 
:evil: 
:twisted: 
mehr...
 

Erlaubte Tags:
<strong> <em> <pre> <code> <a href="" title=""> <img src="" title="" alt=""> <blockquote> <q> <b> <i> <del> <span style=""> <strike>

Datenschutzhinweis: Ihre IP-Adresse wird nicht gespeichert. Details finden Sie hier.