Free Press

Ein Artikel, der Anfang dieser Woche auf der für alle zugänglichen Blogging-Seite Medium veröffentlicht wurde, hat für einige beängstigende Schlagzeilen gesorgt.

Der Artikel wurde von einem Autor, der sich nur nusenu nennt, als unabhängige Forschungsarbeit verfasst und trägt eine Überschrift:

Wie bösartige Tor-Relays Nutzer im Jahr 2020 ausnutzen (Teil I)

23% der Ausgangskapazität des Tor-Netzwerks wurde für Angriffe auf Tor-Nutzer verwendet

Wenn man eine Website mit Tor besucht, in der Hoffnung, anonym zu bleiben und sich vor unerwünschter Überwachung, Zensur oder einfach nur vor Web-Tracking zu Marketingzwecken zu schützen…

… dann wird einer von vier dieser Besuche (vielleicht mehr!

Das klingt mehr als nur besorgniserregend – es hört sich so an, als ob die Verwendung von Tor dich noch unsicherer machen könnte, als du es ohnehin schon bist, und dass es daher ein wichtiger Schritt sein könnte, für alles zu einem normalen Browser zurückzukehren.

Lassen Sie uns also kurz betrachten, wie Tor funktioniert, wie Gauner (und Länder mit strengen Regeln für Zensur und Überwachung) es missbrauchen könnten, und wie beängstigend die oben genannte Schlagzeile wirklich ist.

Das Tor-Netzwerk (Tor ist die Abkürzung für den Zwiebel-Router, aus Gründen, die gleich klar werden, wenn du dir eine Zwiebel vorstellst, die beim Schälen auseinanderfällt), das ursprünglich von der US-Marine entwickelt wurde, hat folgende Ziele:

1. Deinen wahren Standort im Netzwerk zu verschleiern, während du surfst, damit die Server nicht wissen, wo du bist.
2. Es zu erschweren, dass jemand „die Punkte verbindet“, indem er Ihre Web-Browsing-Anfragen zu Ihrem Computer zurückverfolgt.

An dieser Stelle denken Sie vielleicht: „Aber genau das tut ein VPN, und nicht nur für mein Browsing, sondern für alles, was ich online mache.“

Aber das stimmt nicht.

Ein VPN (virtuelles privates Netzwerk) verschlüsselt Ihren gesamten Netzwerkverkehr und leitet ihn in verschlüsselter Form an einen VPN-Server weiter, der von Ihrem VPN-Anbieter betrieben wird, wo er entschlüsselt und in das Internet „eingespeist“ wird, als ob er von diesem VPN-Server stammen würde.

Alle Netzwerkantworten werden daher von Ihrem VPN-Anbieter in Ihrem Namen empfangen und in verschlüsselter Form an Sie zurückgesendet.

Die verschlüsselte Verbindung zwischen Ihren Computern wird als VPN-Tunnel bezeichnet und ist theoretisch unsichtbar oder zumindest für andere Personen im Internet nicht ausspähbar.

Wie Sie sehen, kümmert sich ein VPN um das erste Problem, nämlich die Verschleierung Ihres wahren Standorts im Netz.

Aber ein VPN kümmert sich nicht um das zweite Problem, nämlich dass es für andere schwierig ist, „die Punkte zu verbinden“.

Sicher, ein VPN erschwert es den meisten Menschen, die Punkte zu verbinden, aber es hindert nicht jeden daran, es zu tun, aus dem einfachen Grund, dass der VPN-Anbieter immer weiß, woher Ihre Anfragen kommen, wohin sie gehen und welche Daten Sie letztendlich senden und empfangen.

Ihr VPN-Anbieter wird also im Grunde zu Ihrem neuen Internetanbieter, der den gleichen Einblick in Ihr Online-Leben hat wie ein regulärer Internetanbieter.

Warum nicht zwei VPNs benutzen?

An dieser Stelle denken Sie wahrscheinlich: „Warum nicht zwei VPNs hintereinander benutzen?

Sie verschlüsseln Ihren Netzwerkverkehr, damit VPN2 ihn entschlüsseln kann, verschlüsseln ihn dann erneut, damit VPN1 ihn entschlüsseln kann, und senden ihn an VPN1.

So weiß VPN1, woher Ihr Datenverkehr kommt, und VPN2 weiß, wohin er geht, aber wenn die beiden Anbieter sich nicht absprechen, weiß jeder nur die Hälfte der Geschichte.

Theoretisch hätten Sie beide oben genannten Ziele durch eine Art „Teile und Herrsche“-Ansatz erreicht, denn jeder, der Sie zurückverfolgen wollte, müsste zuerst entschlüsselte Datenverkehrsprotokolle von VPN2 und dann Details zum Benutzernamen von VPN1 erhalten, bevor er anfangen könnte, „die Punkte zu verbinden“.

Warum bei zwei aufhören?

Wie Sie sich vorstellen können, sind Sie selbst bei der Verwendung von zwei VPNs nicht völlig sicher.

Erstens gibt es durch die Verwendung der gleichen zwei VPNs jedes Mal ein offensichtliches Muster bei Ihren Verbindungen und daher eine konsistente Spur, der ein Ermittler (oder ein Gauner) folgen könnte, um zu versuchen, Sie zurückzuverfolgen.

Auch wenn Ihr Datenverkehr einen komplizierten Weg nimmt, so nimmt er doch jedes Mal denselben Weg, so dass es sich für einen Kriminellen (oder einen Polizisten) lohnen könnte, sich durch beide VPN-Schichten zurückzuarbeiten, selbst wenn dies doppelt so viel Hacking oder doppelt so viele Haftbefehle bedeutet.

Zweitens besteht immer die Möglichkeit, dass die beiden von Ihnen gewählten VPN-Anbieter letztendlich demselben Unternehmen gehören oder von ihm betrieben werden.

Mit anderen Worten, die technische, physische und rechtliche Trennung zwischen den beiden VPNs könnte nicht so groß sein, wie Sie vielleicht erwarten – bis zu dem Punkt, dass sie vielleicht gar nicht zusammenarbeiten müssen, um Sie zurückzuverfolgen.

Warum also nicht drei VPNs verwenden, mit einem in der Mitte, der weder weiß, wer Sie sind, noch wohin Sie letztendlich gehen?

Und warum sollte man diese VPNs nicht regelmäßig wechseln, um die Gleichung noch komplizierter zu machen?

Nun, stark vereinfacht, funktioniert Tor so:

Ein Pool von Computern, die von Freiwilligen auf der ganzen Welt zur Verfügung gestellt werden, fungiert als Anonymisierungsrelais, um den Leuten, die über das Tor-Netzwerk surfen, ein zufälliges VPN mit mehreren Tunneln zur Verfügung zu stellen – ein „Mix-and-Mystery“.

Für den größten Teil des letzten Jahres schwankte die Gesamtzahl der für das Tor-Netzwerk zur Verfügung stehenden Relais zwischen 6000 und 7000, wobei jeder Tor-Kreislauf, der eingerichtet wird, drei Relais benutzt, größtenteils nach dem Zufallsprinzip, um eine Art VPN mit drei Tunneln zu bilden.

Dein Computer wählt aus, welche Relais benutzt werden sollen, nicht das Netzwerk selbst, so dass es in der Tat eine Menge sich ständig ändernder „Mix-and-Mystery“ gibt, um deinen Verkehr durch das Tor-Netzwerk und zurück zu leiten.

Dein Computer holt sich die öffentlichen Verschlüsselungsschlüssel für jeden der Relays im Kreislauf, den er aufbaut, und verschlüsselt dann die Daten, die du sendest, mit drei zwiebelartigen Verschlüsselungsschichten, so dass bei jedem Sprung im Kreislauf der aktuelle Relay nur die äußerste Schicht der Verschlüsselung entfernen kann, bevor er die Daten an den nächsten weitergibt.

Relais 1 weiß, wer du bist, aber nicht, wohin du gehst oder was du sagen willst.

Relais 3 weiß, wohin du gehst, aber nicht, wer du bist.

Relais 2 hält die beiden anderen Relais auseinander, ohne zu wissen, wer du bist oder wohin du gehst, was es für Relais 1 und 3 viel schwieriger macht, sich abzusprechen, selbst wenn sie dazu bereit wären.

So willkürlich ist es nicht

In der obigen Grafik werden Sie feststellen, dass die grüne Linie in der Mitte spezielle Tor-Relais kennzeichnet, die als Wächter bekannt sind, oder vollständig als Eintrittswächter, die die Untergruppe der funktionierenden Relais sind, die für den ersten Sprung in einem 3-Relais-Kreislauf als geeignet angesehen werden.

(Aus technischen Gründen benutzt Tor denselben Entry Guard für alle deine Verbindungen für etwa zwei Monate am Stück, was die Zufälligkeit in deinen Tor-Schaltungen etwas reduziert, aber wir werden dieses Detail hier ignorieren.)

Die orangefarbene Linie am unteren Rand zeigt die Exits oder Exit Nodes an, die als zuverlässig genug erachtet werden, um für den letzten Hop in einer Verbindung ausgewählt zu werden.

Bitte beachte, dass hier nur etwa 1000 Exit Nodes zu jeder Zeit aktiv sind, von den 6000 bis 7000 Relais, die insgesamt verfügbar sind.

Du kannst wahrscheinlich sehen, wohin das führt.

Auch wenn die Ausgangsknoten von Tor nicht wissen, wo du dich aufhältst, dank der Anonymisierungseffekte des Eingangswächters und des mittleren Servers (der häufig wechselt), können sie deinen endgültigen, entschlüsselten Verkehr und sein endgültiges Ziel sehen, weil es der Ausgangsknoten ist, der die letzte Schicht der Verschlüsselung von Tor entfernt.

(Wenn du normale Webseiten über Tor besuchst, hat das Netzwerk keine andere Wahl, als deine unverschlüsselten Originaldaten für den letzten Sprung im Internet zu senden, sonst könnte die besuchte Seite keinen Sinn darin sehen.)

Mit anderen Worten, wenn du Tor benutzt, um eine nicht-HTTPS (unverschlüsselte) Webseite zu besuchen, dann kann der Tor-Exit-Knoten, der deinen Datenverkehr abwickelt, nicht nur deine ausgehenden Webanfragen ausspähen und modifizieren, sondern auch alle Antworten, die zurückkommen, manipulieren.

Und bei durchschnittlich nur 1000 verfügbaren Exit-Nodes muss ein Gauner, der die Kontrolle über einen beträchtlichen Prozentsatz der Exits erlangen will, nicht Tausende oder Zehntausende von Servern einrichten – ein paar Hundert reichen aus.

Und diese Art von Eingriffen ist es, was nusenu behauptet, im Tor-Netzwerk in einem Umfang entdeckt zu haben, der manchmal bis zu einem Viertel der verfügbaren Exit-Nodes betrifft.

Insbesondere behauptet Nusenu, dass während des Jahres 2020 hunderte von Tor-Servern in der „Exit Node“-Liste von kriminellen Freiwilligen mit Hintergedanken eingerichtet wurden:

Das volle Ausmaß ihrer Operationen ist unbekannt, aber eine Motivation scheint klar und einfach zu sein: Profit. Sie führen Person-in-the-Middle-Angriffe auf Tor-Nutzer durch, indem sie den Datenverkehr manipulieren, während er durch ihre Ausgangsrelais fließt. Es scheint, dass sie vor allem hinter Webseiten her sind, die mit Kryptowährungen zu tun haben – insbesondere mehrere Bitcoin-Mixer-Dienste. Sie haben Bitcoin-Adressen im HTTP-Verkehr ersetzt, um Transaktionen an ihre Geldbörsen statt an die vom Benutzer angegebene Bitcoin-Adresse umzuleiten. Angriffe zum Umschreiben von Bitcoin-Adressen sind nicht neu, wohl aber das Ausmaß ihrer Operationen. Es ist nicht möglich festzustellen, ob sie auch andere Arten von Angriffen durchführen.

Einfach ausgedrückt, behauptet Nusenu, dass diese Gauner darauf warten, Kryptowährungsnutzer auszunutzen, die denken, dass Tor allein ausreicht, um sowohl ihre Anonymität als auch ihre Daten zu schützen, und die deshalb über Tor surfen, aber nicht darauf achten, https:// an den Anfang neuer URLs zu setzen, die sie eingeben.
.

HTTP gilt als schädlich

Die meiste Zeit kannst du das https:// ignorieren, wenn du URLs in deinen Browser eingibst, und du wirst trotzdem auf einer HTTPS-Seite landen, verschlüsselt und mit einem Vorhängeschloss geschützt.

Oft reagiert der Server am anderen Ende der Leitung auf eine HTTP-Anfrage mit einer Antwort, die besagt: „Bitte verwenden Sie von nun an kein einfaches altes HTTP mehr“, und Ihr Browser merkt sich dies und aktualisiert automatisch alle zukünftigen Verbindungen zu dieser Website, so dass sie HTTPS verwenden.

Diese „Verwenden Sie nie wieder HTTP“-Antworten implementieren das so genannte HSTS, kurz für HTTP Strict Transport Security, und sollen Sie vor Schnüffelei und Verkehrsmanipulationen schützen, auch wenn Sie nie darüber nachdenken.

Aber es gibt ein Henne-Ei-Problem, nämlich dass, wenn die Gauner Ihre allererste Nicht-HTTPS-Verbindung zu einer Website abfangen, auf die Sie eigentlich nur über HTTPS zugreifen sollten, bevor die Nachricht „kein HTTPS mehr“ ankommt, sie in der Lage sein könnten:

• Sie über HTTP zu ihrem mit Fallen versehenen Ausgangsknoten sprechen zu lassen, während sie über HTTPS zum endgültigen Ziel weiterleiten. Dies lässt die Zielseite glauben, dass Sie sicher kommunizieren, verhindert aber, dass Sie erkennen, dass die Zielseite möchte, dass Sie HTTPS verwenden.
• Schreiben Sie alle Antworten von der Zielseite um, um HTTPS-Links durch HTTP zu ersetzen. Dadurch wird verhindert, dass Ihr Browser später bei der Transaktion auf HTTPS umschaltet, so dass Sie auf dem alten HTTP sitzen bleiben.

Was ist zu tun?

Hier einige Tipps:

• Vergessen Sie nicht, https:// am Anfang der URL einzugeben! Aus historischen Gründen verwenden Browser immer noch standardmäßig HTTP, bis sie es besser wissen. Je eher Sie also eine Website besuchen, indem Sie ausdrücklich https:// am Anfang der URL eingeben, desto eher schützen Sie sich selbst, indem Sie Ihre Absichten deutlich machen.
• Wenn Sie eine Website betreiben, verwenden Sie immer HSTS, um Ihren Besuchern mitzuteilen, dass sie beim nächsten Mal nicht HTTP verwenden sollen.
• Wenn Sie eine Website betreiben, bei der Datenschutz und Sicherheit nicht verhandelbar sind, sollten Sie in Erwägung ziehen, Ihre Website in die HSTS Preload-Liste aufzunehmen. Dabei handelt es sich um eine Liste von Websites, für die alle wichtigen Browser immer HTTPS verwenden, unabhängig von der URL.
• Wenn Ihr Browser dies unterstützt oder über ein Plugin verfügt, das dies erzwingt, können Sie die HTTP-Unterstützung vollständig abschalten. Firefox zum Beispiel hat jetzt eine nicht standardmäßige Konfigurationsfunktion namens dom.security.https_only_mode. Einige ältere Websites funktionieren mit dieser Einstellung möglicherweise nicht richtig, aber wenn Sie es mit der Sicherheit ernst meinen, sollten Sie es ausprobieren!

HINWEISE ZUR AKTIVIERUNG DES HTTPS-ONLY-MODUS IN FIREFOX 79

(Leider ist die „HTTPS-only“-Option von Firefox noch nicht im Tor-Browser verfügbar, der noch eine Extended Support Release-Version verwendet, in der diese Funktion noch nicht enthalten ist)