Nerdkrams
Per­fect PRISM Pri­va­cy (2): Die Sache mit dem Tor-Netzwerk

Ich hat­te mich im Juli zu den „Kryp­to­par­tys” und zu anony­mem Sur­fen mit­tels eines VPNs geäu­ßert. Ich schrieb damals über das (immer­hin unter einer BSD-Lizenz ste­hen­de) Anony­mi­sie­rungs­netz­werk Tor, das unter ande­rem der digi­tal­cou­ra­ge e.V. empfiehlt:

Auch das Tor-Netz­werk, also die Umlei­tung „eures Inter­nets” über drei unab­hän­gi­ge Rou­ter, wird gele­gent­lich emp­foh­len, ist aber prin­zi­pi­ell kom­pro­mit­tier­bar (ein Angrei­fer muss nur min­de­stens auf zwei der drei Rou­ter zugrei­fen kön­nen, was einem Geheim­dienst ver­mut­lich nicht schwer fällt) und oben­drein aus ver­ständ­li­chen Grün­den wirk­lich sehr, sehr lang­sam.

Inzwi­schen gibt es auch belast­ba­re Zah­len zu der poten­zi­el­len Kompromittierbarkeit:

Rund 80% aller Tor-Nut­zer lie­ßen sich schon nach 6 Mona­ten Betrieb eines mitt­le­ren Tor-Relays dean­onym­sie­ren. Wenn ein Angrei­fer den kom­plet­ten Ver­kehr eines Teil­be­reichs des Inter­net (…) kon­trol­liert, müs­sen Tor-Nut­zer mit einer 95-pro­zen­ti­gen Gefahr rech­nen, dass ihre Iden­ti­tät inner­halb von drei Mona­ten auf­ge­deckt wird. Mehr Res­sour­cen unter Kon­trol­le des Über­wa­chers beschleu­ni­gen den Vorgang.

Das klingt nach einer annehm­bar hohen Feh­ler­to­le­ranz, aber glaubt nur nicht, dass die­je­ni­gen, vor denen ein Bür­ger Geheim­nis­se haben soll­te, nicht über die­se mehr Res­sour­cen ver­fü­gen. Lasst es mich anders aus­drücken: Tor ist nicht sicher! Dass für die Ent­tar­nung bestimm­te Vor­aus­set­zun­gen erfüllt sein müs­sen, soll­te euch nicht blau­äu­gig auf einen Glücks­fall hof­fen las­sen. Nur, weil eure Ver­bin­dung über meh­re­re Rou­ter in meh­re­ren Län­dern gelei­tet wer­den kann, heißt das nicht, dass kei­ner die­ser Rou­ter Infor­ma­tio­nen über euch preis­gibt. Je mehr die­ser Rou­ter von einer ein­zel­nen Insti­tu­ti­on (etwa der NSA – an die­ser Stel­le könnt ihr gern euren Alu­mi­ni­um­hut gegen die bösen Strah­len auf­set­zen) kon­trol­liert wer­den, desto wahr­schein­li­cher wis­sen die, wer ihr seid und was ihr tut.

Was im Übri­gen das gleich­falls freie I2P als Kon­kur­renz­im­ple­men­tie­rung eines anony­men, dezen­tra­len Net­zes betrifft: Trotz all des Kom­forts (und auf­grund der ekli­gen Java-Basis) muss euch klar sein, dass auch die Sicher­heit von I2P mit der Aut­ar­kie der ein­zel­nen Kno­ten steht und fällt. Dass „seit PRISM” also immer wie­der für sol­che Rou­ting­dien­ste Wer­bung gemacht wird, ist vor­der­grün­dig ver­ständ­lich, aus tech­ni­scher Sicht jedoch Augenwischerei.

Auch wei­ter­hin ist also davon aus­zu­ge­hen, dass ein anony­mes (nicht pseud­ony­mes) VPN das Mit­tel der Wahl sein soll­te, wenn ihr die näch­ste Revo­lu­ti­on pla­nen wollt. Aber ach­tet auf die Mit­tags­ru­he, in Deutsch­land ist die wichtig.

(Die­sen Arti­kel hät­te ich ja mit „Eigen-Tor” über­schrie­ben, wenn halt die c’t den Titel nicht schon reser­viert hät­te. Na, näch­stes Mal dann.)


Nach­trag: Ach­tet hier auch auf die Kom­men­ta­re, „daki­ra” hat einen wich­ti­gen Hin­weis hinterlassen.

Senfecke:

  1. Hi,
    ich den­ke doch das die Situa­ti­on bei I2P eine ande­re ist da hier kei­ne Exit-Nodes betrie­ben werden.
    Sämt­li­cher Traf­fic befin­det sich inner­halb des Net­zes und ist soweit ich weiß auch recht gut verschlüsselt.

    Soweit ich das ver­stan­den habe kann ich als selbst als Teil­neh­mer im I2P nicht her­aus­fin­den wel­che Sei­ten die Leu­te über mein Netz erreichen.

    Irre ich?

    • Das weiß ich nicht – das gebe ich zu. Aller­dings geht es ja gera­de um MITM-Attacken (und da nicht mal dar­um, dass Pro­jekt Bull­run die mei­sten Ver­schlüs­se­lun­gen ein­fach abschaltet).

  2. Hast du auch das Paper gele­sen, oder nur die Hei­se-Mel­dung? Es geht um Hid­den Ser­vices. Also Sei­ten die im tor-Netz­werk betrie­ben wer­den. Es ging gera­de *nicht* um ein­fa­che Nutzer.

    Hei­se hat ein Talent dafür Sicher­heits­lücken in Tor falsch zu verstehen.

  3. Die hei­se-Mel­dung genügt mir, um das Pro­blem auf­zu­zei­gen. Auch bei tech­ni­schen Unge­nau­ig­kei­ten ist es ver­mut­lich nicht ver­kehrt, wenn Benut­zer dar­auf gefasst sind, dass es kei­ne Sicher­heit gibt. Ich schrei­be oben aber mal einen Nach­trag rein, danke.

    • Es gibt „so was wie das Darknet” auch im I2P-Netz, aller­dings wohl eher nicht sehr gut besucht. Du sprichst da aller­dings einen wich­ti­gen Punkt an.

      „Face­book über­wacht mich? Mir egal, ich nut­ze Linux dafür!”

Comments are closed.

https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_smilenew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_biggrin2.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_sadnew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_eek.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_shocked.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_confusednew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_coolnew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_lol.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_madnew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_aufsmaul.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_seb_zunge.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_blushnew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_frown.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_twistedevil1.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_twistedevil2.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/icon_mad.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_rolleyesnew.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_wink2.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_idea2.gif  https://tuxproject.de/blog/wp-content/plugins/wp-monalisa/icons/smiley_emoticons_arrow2.gif 
mehr...
 

Erlaubte Tags:
<strong> <em> <pre> <code> <a href="" title=""> <img src="" title="" alt=""> <blockquote> <q> <b> <i> <del> <span style=""> <strike>

Datenschutzhinweis: Deine IP-Adresse wird nicht gespeichert. Details findest du hier.