Das Tor-Netzwerk galt bisher als Garant für anonymes Surfen. Auf der IP-Ebene war es nahezu ausgeschlossen, eine Verbindung aufzudecken – doch das hat sich angeblich geändert.
Das Tor-Netzwerk ermöglicht jedermann, auch ohne viel Know-how das Internet anonym zu nutzen. Dazu genügen der Tor-Browser oder noch besser die gehärtete Distribution Tails. Tor setzt dazu eine Technik ein, die sich Onion Routing nennt und in der Regel drei Verbindungspartner nutzt. Der Eintrittsknoten – also der Rechner, mit dem sich der Tor-Client verbindet – kennt zwar die Absenderadresse, nicht aber das Ziel: Er leitet die Verbindung lediglich an einen Middle Node weiter. Der kennt weder die Absender- noch die Zieladresse. Seine Aufgabe besteht lediglich darin, die Verbindung zum Austrittsknoten (Exit Node) herzustellen. Der kennt wiederum nur die Zieladresse, nicht aber den Absender. Als zusätzliche Sicherheitsmaßnahme ändert Tor alle zehn Minuten die Route zum Middle Node und Exit Node.
Viele Jahre galt dieses Konstrukt als mehr oder weniger sicher vor Angriffen. Es gab zwar bisweilen Meldungen, die das Gegenteil behaupteten, aber bei genauerem Hinsehen entpuppten sich die vorgeschlagenen Attacken meist als in der Praxis schwer bis gar nicht umsetzbar. Genau das könnte sich jetzt geändert haben: Vor einigen Wochen teilte das BKA Wiesbaden mit, dass es ihren Ermittlern gelungen sei, die Tor-Anonymisierung auszuhebeln und so einen Kinderporno-Ring zu sprengen.
Den Ermittlungsakten zufolge spielte dabei die Analyse des Datenverkehrs eine maßgebliche Rolle. Dabei nutzten die Beamten zeitliche Zusammenhänge, um den Weg der Daten durch das Tor-Netz zum Empfänger zu verfolgen. Dabei stützten sie sich auf den Umstand, dass es sich bei Tor um ein Low Latency Network handelt, das Daten mit möglichst niedriger Latenz durchleitet. Vereinfacht dargestellt: Schickt der Client zum Beispiel ein Datenpaket einer bestimmten Größe ans Ziel, so steigt bei allen beteiligten Knoten mehr oder weniger zeitgleich das Transfervolumen um diesen Betrag.
Das ist aber erst die halbe Miete. Um mit dieser Methode erfolgreich zu sein, muss der Angreifer (in diesem Fall die Polizei) das Tor-Netzwerk infiltrieren und eine größere Anzahl an Tor-Knoten unter seine Kontrolle bringen. Im vorliegenden Fall klinkten sich die Ermittler in den Chat der Pädokriminellen ein und sendeten der Zielperson Nachrichten, von denen sie sowohl die genaue Größe als auch den zeitlichen Zusammenhang kannten. Dadurch konnten sie aufdecken, über welche weiteren Knoten der infiltrierte Middle Node die Daten sendete. Das machte es möglich, das Ziel zu deanonymisieren.
Angesichts dessen stellt sich die Frage, wie vertrauenswürdig Tor noch ist. Für Normalnutzer dürfte sich das Risiko in engen Grenzen halten, denn der mit dem Aushebeln des Onion-Prinzips verbundene Aufwand ist enorm. Wer das Risiko dennoch reduzieren möchte, verzichtet beim Gebrauch des Tor-Netzwerks auf Echtzeitanwendungen wie Chats oder Streaming-Dienste und wechselt in regelmäßigen Abständen den Eintrittsknoten.
Allerdings: Die Schwachstelle bleibt bestehen. Hierzulande müssen sich wohl lediglich Schwerkriminelle Sorgen machen, doch in Ländern wie Russland und der Volksrepublik China sieht das anders aus: Die dortigen Regimes können mit dieser Technik auch Jagd auf Oppositionelle, Journalisten und Regimekritiker machen.
Herzliche Grüße
Thomas Leichtenstern
Redakteur
