Abo
  • Services:

Anonymisierung: Projekt bestätigt Angriff auf Tors Hidden Services

Ein Angriff auf das Tor-Netzwerk ist fast ein halbes Jahr unentdeckt geblieben und könnte Nutzer der Hidden Services enttarnt haben. Wer dahinter steckt, ist unklar.

Artikel veröffentlicht am ,
Das Tor-Netzwerk wurde über Monate hinweg kompromittiert.
Das Tor-Netzwerk wurde über Monate hinweg kompromittiert. (Bild: Electronic Frontier Foundation/CC by 3.0)

Am 4. Juli 2014 hat das Tor-Team mehrere Relay-Server abgeschaltet, denn mit ihnen soll versucht worden sein, die Nutzer der Hidden Services des Tor-Netzwerks zu enttarnen. Sie waren am 30. Januar 2014 dem Netzwerk zugeschaltet worden, liefen also mehrere Monate unbemerkt. Wer sie betrieb, ist unbekannt, es gibt aber einen Verdacht.

Stellenmarkt
  1. Pilz GmbH & Co. KG, Ostfildern
  2. ETAS GmbH, Stuttgart

Über die Server injizierten die Angreifer Code in Pakete, die durch das Tor-Netzwerk verschickt wurden. Sie nutzten dabei eine Schwachstelle in den Protokoll Headers, die jetzt in Version 0.2.4.23 und 0.2.5.6-alpha behoben wurde. Dabei nahmen die Angreifer vor allem Pakete ins Visier, die mit einem Hidden-Services-Descriptor markiert waren, es war also kein genereller Angriff auf das Tor-Netzwerk.

Präparierte Server im Rotationsprinzip

Die Unbekannten griffen die Hidden Services des Tor-Netzwerks doppelt an: Zunächst meldeten die Angreifer 115 speziell präparierte Server als interne Relays Cells an. Sie übernahmen damit einen Anteil von 6,4 Prozent des Datenverkehrs im Tor-Netzwerk. Durch das automatische Rotationsprinzip im Tor-Netzwerk wurden die präparierten Server im Laufe der Zeit zu sogenannten Exit Relays, die den eintreffenden und ausgehenden Datenverkehr des Netzwerks übernehmen.

Über die präparierten Server hätten die Angreifer anhand der infizierten Pakete beobachten können, wo Traffic in das Netzwerk fließt und wieder austritt. Dadurch hätten sie einzelne Nutzer, die sie an einem Ende über ihre IP-Adresse identifizieren, mit einem angesurften Ziel in Verbindung bringen können. Dadurch, dass die Unbekannten die Header veränderten, funktioniert das Tracking der Pakete in beide Richtungen, also sowohl vom Client bis zum Exit-Relay als auch zurück. Letzteres sei bislang noch nicht beobachtet worden, schreibt das Tor-Team. Mit dem Angriff könnten aber nicht die Inhalte einzelner Pakete eingesehen werden, betont das Team. Am meisten seien die Anbieter der Hidden Services gefährdet gewesen. Nutzer hätten darüber aber ebenfalls enttarnt werden können.

Die Server seien während der Rotation zum Exit-Relay als auffällig beobachtet worden, heißt es in dem Blog-Eintrag. Dafür sorgte der Doctor-Scanner namens DocTor. Das Team habe jedoch entschieden, dass die Zahl der infizierten Server für eine Deanonymisierung zu gering sei. Das sei ein Fehler gewesen, schreiben sie.

Gegenmaßnahmen

Um den Angriff zu unterbinden und weitere Attacken dieser Art zu verhindern, habe das Tor-Team bereits zahlreiche kurzfristige Maßnahmen ergriffen. Zunächst seien die präparierten Server ausgeschaltet worden. Außerdem seien die Server-Software so gepatcht worden, dass es nicht mehr möglich sei, die Relay Cells so auszunutzen. Ferner sei die Anzahl der Entry Guards, die ein Client nutzen kann, von drei auf einen herabgesetzt worden. Damit seien einzelne Clients weniger leicht ausfindig zu machen. Darüber hinaus melde das Tor-Netzwerk in Logfiles, wenn ein solcher Angriff versucht werde.

Langfristig sollen weitere Maßnahmen für mehr Sicherheit sorgen. Fast alle beruhen auf einer genaueren Analyse der statistischen Wahrscheinlichkeit, wie schnell und effektiv solche Angriffe zu einem Erfolg führen. Denn ganz auszuschließen werden sie wohl nicht sein.

Unbekannte Täter

Bleibt die Frage: Wer war es? Sollte es sich um ein Forschungsprojekt gehandelt haben, hätten die Forscher fahrlässig gehandelt, schreibt das Tor-Team. Denn auch wenn sie ihre Ergebnisse nicht selbst veröffentlichen, aus den Manipulationen hätten auch andere Angreifer Vorteile ziehen können. Vor wenigen Tagen hatte ein Forscherteam der Carnegie Mellon Universität überraschend kurzfristig einen Vortrag abgesagt. Dort sollte gezeigt werden, wie Nutzer des Tor-Netzwerks mit nur wenig Geld enttarnt werden können.

Gegenüber der Nachrichtenagentur Reuters sagte eine Pressesprecherin der Black Hat, dass die Absage auf Wunsch der Rechtsanwälte der Carnegie-Mellon-Universität geschehen sei. Die beiden Vortragenden Michael McCord und Alexander Volynkin arbeiten an dieser Universität.

Tor-Nutzer als Forschungsobjekt?

Das Tor-Projekt veröffentlichte daraufhin eine kurze Stellungnahme. Demnach hatten die Tor-Programmierer selbst wohl nichts mit dem Zurückziehen des Vortrages zu tun. Offenbar hatte das Tor-Projekt aber vorab einige Informationen über die Sicherheitsprobleme erhalten, die in dem Vortrag behandelt werden und die später bekanntgemacht werden sollten.

Über Twitter und bei Hacker News sind sie bereits als Schuldige ausgemacht worden. Der Kryptoexperte Matthew Green schreibt beispielsweise, heute sei kein guter Tag für Forscher an der Carnegie Mellon Universität. Christopher Soghoian von der Bürgerrechtsorganisation ACLU hatte zuvor bereits darüber spekuliert: Die ethischen Richtlinien von US-Universitäten verlangen, dass Forschungsexperimente, die Menschen einschließen, nur mit deren Zustimmung geschehen dürfen, sagte er kurz nach der Absage des Vortrags und nahm damit gleichzeitig Bezug auf das Facebook-Experiment, dass wenige Tage zuvor bekannt wurde.

Allerdings kommen auch andere für den Angriff in Betracht: Das FBI ermittelt regelmäßig gegen Nutzer des Tor-Netzwerks, dass auch für illegale Geschäfte wie den Drogenhandel genutzt wird. Außerdem hat die russische Regierung demjenigen eine Belohnung versprochen, der das Anonymisierungsnetzwerk knackt. Es war bekanntgeworden, dass auch US-Geheimdienste offenbar gezielt zentrale Tor-Server auskundschaften.



Anzeige
Hardware-Angebote
  1. und 25€ Steam-Gutschein erhalten
  2. 1.099€

Sharkuu 31. Jul 2014

problem ist, das jemand der das kann, sich bei dieser summe zusammenscheißt vor lachen...

narea 31. Jul 2014

Siehe Überschrift - angenommen, man patcht die Serversoftware einfach wieder zurück, bzw...

Anonymer Nutzer 31. Jul 2014

Ok,dann macht deine Aussage für mich noch viel weniger Sinn. Im Prinzip sprichst du von...

gboos 30. Jul 2014

... immer gerne. VG Mike


Folgen Sie uns
       


Volocopter auf der Cebit 2018 angesehen

Im autonomen Volocopter haben zwei Personen mit zusammen höchstens 160 Kilogramm Platz - wir haben uns auf der Cebit 2018 trotzdem reingesetzt.

Volocopter auf der Cebit 2018 angesehen Video aufrufen
Sun to Liquid: Wie mit Sonnenlicht sauberes Kerosin erzeugt wird
Sun to Liquid
Wie mit Sonnenlicht sauberes Kerosin erzeugt wird

Wasser, Kohlendioxid und Sonnenlicht ergeben: Treibstoff. In Spanien wird eine Anlage in Betrieb genommen, in der mit Hilfe von Sonnenlicht eine Vorstufe für synthetisches Kerosin erzeugt oder Wasserstoff gewonnen wird. Ein Projektverantwortlicher vom DLR hat uns erklärt, warum die Forschung an Brennstoffen trotz Energiewende sinnvoll ist.
Ein Bericht von Werner Pluta

  1. Deep Sea Mining Deep Green holte Manganknollen vom Meeresgrund
  2. Klimaschutz Unter der Erde ist das Kohlendioxid gut aufgehoben
  3. Physik Maserlicht aus Diamant

K-Byte: Byton fährt ein irres Tempo
K-Byte
Byton fährt ein irres Tempo

Das Startup Byton zeigt zur Eröffnung der Elektronikmesse CES Asia in Shanghai das Modell K-Byte. Die elektrische Limousine basiert auf der Plattform des SUV, der vor fünf Monaten auf der CES in Las Vegas vorgestellt wurde. Unter deutscher Führung nimmt der Elektroautohersteller in China mächtig Fahrt auf.
Ein Bericht von Dirk Kunde

  1. KYMCO Elektroroller mit Tauschakku-Infrastruktur
  2. Elektromobilität Niu stellt zwei neue Elektromotorroller vor
  3. 22Motor Flow Elektroroller soll vor Schlaglöchern warnen

Hacker: Was ist eigentlich ein Exploit?
Hacker
Was ist eigentlich ein Exploit?

In Hollywoodfilmen haben Hacker mit Sturmmasken ein ganzes Arsenal von Zero-Day-Exploits, und auch sonst scheinen die kleinen Programme mehr und mehr als zentraler Begriff der IT-Sicherheit verstanden zu werden. Der Hacker Thomas Dullien hingegen versucht sich an einem theoretischen Modell eines Exploits.
Von Hauke Gierow

  1. IoT Foscam beseitigt Exploit-Kette in Kameras
  2. Project Capillary Google verschlüsselt Pushbenachrichtigungen Ende-zu-Ende
  3. My Heritage DNA-Dienst bestätigt Datenleck von 92 Millionen Accounts

    •  /