Unsicheres Filesharing: Bittorrent kompromittiert Tor-Nutzer
Das Forscherteam vom französischen nationalen Institut für Informatik und Automatisierung, INRIA(öffnet im neuen Fenster) , rät dringend davon ab, Bittorrent über das Anonymisierungsnetzwerk Tor(öffnet im neuen Fenster) zu nutzen. Mit verschiedenen Angriffsmethoden konnten nicht nur IP-Adressen von Nutzern eindeutig den Tor-Datenströmen zugewiesen werden, sondern auch beobachtet werden, welche Dinge über Bittorrent gesucht und welche Webseiten genutzt wurden. Insgesamt konnten 10.000 IP-Adressen zugewiesen werden, die meisten davon stammen aus den USA, Japan und Deutschland.
Das INRIA-Team hat für seine verschiedenen Angriffsmethoden auf dem Anonymisierungsdienst Tor sechs eigene Exit-Knoten betrieben und überwacht - davon je zwei in Asien, Europa und den USA. Es wurden zwei verschiedene Angriffsmethoden genutzt. Mit der einen wurden Tracker-Antworten abgefangen, mit der anderen statistische Eigenschaften verteilter Hashtabellen (Distributed Hash Table, DHT) ausgewertet, um die Bittorrent-Datenströme auf Tor zu verfolgen.
Angriffspunkte
So wurde beispielsweise ausgenutzt, dass Bittorrent-Client und dezentralisierte Tracker auf DHT-Basis ihre Daten über UDP statt über TCP austauschen - Tor unterstützt jedoch nur TCP, so dass einige Bittorrent-Clients dem DHT-Tracker die IP-Adresse und den offenen Port im Klartext mitteilen. Die IP- und Port-Kombination kann so vom Angreifer verwendet werden, um Nutzer zu identifizieren.
Eine weitere, einfache, aber effektive Methode ist es, über die Tor-Exit-Knoten des Angreifers veränderte Peer-Listen des zentralen Bittorrent-Trackers auszuspielen, damit sich Clients außerhalb des Tor-Netzwerks mit dem Knoten verbinden und die IP-Adressen damit bekanntwerden. Die Forscher haben dabei herausgefunden, dass viele Nutzer Bittorrent über Tor nur für die anonyme Verbindung mit dem zentralen Tracker nutzen, Dateien aber außerhalb von Tor austauschen, da Tor die Datentransfers verlangsamt.
Etwa 50 Prozent der belauschten Webseitenabrufe gingen auf Filesharing-Webseiten wie ThePirateBay, Megadownload oder Rapidshare. Die nachverfolgten Nutzer waren zudem häufig auf Hacking-Websites unterwegs, woraus die Forscher ein großes Interesse an Sicherheit ableiten. Dass sie weniger Suchmaschinen- und Pornowebseiten als durchschnittliche Tor-Nutzer besuchen, könne sich dadurch erklären, dass die Filesharing-Nutzer für ihre Downloads vor allem Bittorrent bemühen.
Gibt es ein Bittorrent-Schattennetz auf Tor?
Bei der Bittorrent-Nutzung fiel zudem auf, dass drei Prozent der über Tor erfolgten Bittorrent-Datentransfers weder einem offiziellen Bittorrent-Tracker noch teils anmeldepflichtigen privaten Trackern zuzuordnen waren. Die Forscher vermuten, dass auf Tor ein Untergrund-Ökosystem existieren könnte, das besser versteckt operiert. Um das klären zu können, sei jedoch eine eingehende manuelle Analyse der entsprechenden .Torrent-Dateien vonnöten.
Die Ergebnisse der Untersuchung bedeuten, dass ein Tor-Nutzer seine Anonymität mit einer unsicheren Anwendung wie Bittorrent gefährdet und dadurch auch seine Aktivitäten im Web nachverfolgbar werden. Ihr Paper " One Bad Apple Spoils the Bunch: Exploiting P2P Applications to Trace and Profile Tor Users(öffnet im neuen Fenster) " stellten Stevens Le Blond, Pere Manils, Abdelberi Chaabane, Mohamed Ali Kaafar, Claude Castelluccia, Arnaud Legout und Walid Dabbous vom INRIA Ende März 2011(öffnet im neuen Fenster) vor.
Bittorrent über Tor besser vermeiden
Auf eine frühere Version dieser ausführlichen Untersuchung gab es bereits vor einem Jahr ein Statement des Tor-Teams(öffnet im neuen Fenster) : "Die erste Antwort ist: 'Benutzt Bittorrent nicht über Tor'." Nicht nur weil es unsicher sei, solange die Bittorrent-Clients nicht verbessert würden, sondern auch, weil Tor durch das P2P-Datenaufkommen überlastet werde. "Die zweite Antwort ist: Wenn Ihr einen Bittorrent-Client wollt, der über einen Proxy auch wirklich Privatsphäre bietet, müsst Ihr die Anwendungs- und Protokoll-Entwickler dazu bringen, ihre Anwendungen und Protokolle zu reparieren" , heißt es abschließend.