Abo
  • Services:
Anzeige
Tor-Nutzer müssen viele Captchas lösen.
Tor-Nutzer müssen viele Captchas lösen. (Bild: Screenshot Golem.de)

Cloudflare-Mitarbeiter surfen mit Captchas

Cloudflare bestreitet den von Tor verwendeten Blockade-Begriff. Man arbeite intensiv daran, weniger und besser lösbare Captchas zu verwenden, heißt es in dem Blogpost. Um dieses Ziel zu erreichen, habe man alle internen Cloudflare-IPs auf die Blacklist gesetzt, so dass Mitarbeiter regelmäßig selbst Captchas lösen müssen - und so einen Anreiz haben, das System zu verbessern. Teil der Lösung ist nach Angaben von Cloudflare, dass man Google überzeugt habe, die neuen Versionen der Captchas zur Verfügung zu stellen. Dabei müssen Nutzer nicht mehr nur Kombinationen aus Buchstaben und Zahlen richtig wiedergeben, sondern in Bildern Gegenstände auf bestimmten Quadranten richtig zuordnen.

Anzeige

Außerdem differenziert das Unternehmen nach eigenen Angaben verschiedene Arten von Traffic, um Captchas zu vermeiden. GET-Anfragen nach statischen Inhalten würden als weit weniger kritisch betrachtet als POST-Anfragen. Doch auch mit GET-Anfragen könnte Missbrauch betrieben werden - Cloudflare nennt hier Content-Scraping, Werbebanner-Betrug und das Abscannen von Sicherheitslücken.

Cloudflare-Kunden könnte die Möglichkeit eingeräumt werden, Tor-Exit-Nodes in eine Whitelist einzutragen. Doch die meisten Kunden würden Tor lieber komplett aussperren, schreibt Prince in dem Blogpost. Seit einigen Wochen können Cloudflare-Kunden Tor-Traffic einen höheren Vertrauenslevel zuweisen, ähnlich wie das bereits mit Ländern möglich ist. Cloudflare bietet Kunden die Möglichkeit, Traffic aus Ländern mit hohem Spam-Aufkommen oder andern bösartigen Aktivitäten entweder auf eine Whitelist zu setzen oder eine Captcha-Abfrage einzurichten. Komplett blockieren lässt sich der Traffic durch die Kunden nicht.

Automatische .onion-Seiten?

Langfristig schlägt Cloudflare vor, automatische .onion-Webseiten zu erstellen, um das Problem zu lösen. Doch auch hier gebe es Probleme, weil Tor zur Erstellung der Seiten auf den veralteten SHA-1-Algorithmus setze und nur 80 Bits der verfügbaren 160 Bits zur Erstellung der Adresse genutzt würden. Für Angreifer sei es leicht möglich, ein gültiges Zertifikat für eine solche Adresse zu erlangen und so verschlüsselten Traffic mitzulesen, wenn nur eine einfache Domainvalidierung durchgeführt wird, wie das bei Let's Encrypt der Fall ist. Das CA/Browser-Forum sieht in seinen Richtlinien daher vor, dass für.onion-Adressen Zertifikate mit erweiterter Prüfung (EV-Validierung) zum Einsatz kommen müssen. Diese seien jedoch zu teuer, um sie für automatisch erstellte Tor-Mirror-Seiten einzusetzen. Wenn Tor in Zukunft auf den Hashing-Algorithmus SHA-256 zurückgreife, könne dieses Problem aber behoben werden. Dazu existiert bereits ein Vorschlag auf der Tor-Entwicklerliste. Doch bis dieser umgesetzt ist, dürfte noch einige Zeit vergehen.

Eine andere Möglichkeit sei es, über den Tor-Browser zu verifizieren, ob es sich um einen menschlichen Nutzer handelt oder nicht. Dazu hat Cloudflare einen Entwurf für ein Plugin erarbeitet, das eine einmalige anonyme kryptographische Nachricht an den Webseitenbetreiber übermitteln soll, der dann im Gegenzug auf ein Captcha verzichtet. Der Code dazu liegt auf Github.

Die Situation ist verfahren. In der Auseinandersetzung zwischen Tor-Aktivisten und Cloudflare geht es schon länger häufig recht unfreundlich zu. Unter dem Twitter-Hashtag #dontblocktor sammeln die Aktivisten nicht lösbare Captchas und diskutieren mit zahlreichen Cloudflare-Angestellten. Und tatsächlich ist Cloudflare hier der Gatekeeper - doch letztlich bestimmen eben die Webseitenbetreiber selbst, ob sie Captchas verwenden wollen oder nicht. Oder richten gleich einen eigenen .onion-Dienst ein, wie zum Beispiel Facebook.

 Captchas: Cloudflare bezeichnet 94 Prozent des Tor-Traffics als böse

eye home zur Startseite
berritorre 08. Apr 2016

Da du hier im Golem-Forum liest und postest bist du sicher kein "Otto-Normal...

chefin 05. Apr 2016

@Helites Was ein Blödsinn. Man in the Middle würde heisen das ein Dritter lauscht dem ich...

Rulf 05. Apr 2016

mich mit einem captcha belästigen zu müssen, hat der sich geschnitten...die seiten werden...

Niantic 05. Apr 2016

[ ] du hast den sinn von tor verstanden Du bist teil des problems für unsere freiheit

Vertex 05. Apr 2016

Auch nett: Manche Seiten lagern Bilder auf CDNs aus. Die Seite an sich nutzt nicht...



Anzeige

Stellenmarkt
  1. Lean42 GmbH, München, Frankfurt am Main
  2. Siltronic AG, Burghausen
  3. Ratbacher GmbH, Raum Köln
  4. T-Systems International GmbH, Leinfelden-Echterdingen


Anzeige
Blu-ray-Angebote
  1. (u. a. Warcraft Blu-ray 9,29€, Jack Reacher Blu-ray 6,29€, Forrest Gump 6,29€, Der Soldat...
  2. (u. a. The Revenant 7,97€, James Bond Spectre 7,97€, Der Marsianer 7,97€)
  3. 16,99€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)

Folgen Sie uns
       


  1. Betrugsverdacht

    Amazon Deutschland sperrt willkürlich Marketplace-Händler

  2. Take 2

    GTA 5 bringt weiter Geld in die Kassen

  3. 50 MBit/s

    Bundesland erreicht kompletten Internetausbau ohne Zuschüsse

  4. Microsoft

    Lautloses Surface Pro hält länger durch und bekommt LTE

  5. Matebook X

    Huawei stellt erstes Notebook vor

  6. Smart Home

    Nest bringt Thermostat Ende 2017 nach Deutschland

  7. Biometrie

    Iris-Scanner des Galaxy S8 kann einfach manipuliert werden

  8. Bundesnetzagentur

    Drillisch bekommt eigene Vorwahl zugeteilt

  9. Neuland erforschen

    Deutsches Internet-Institut entsteht in Berlin

  10. Squad

    Valve heuert Entwickler des Kerbal Space Program an



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Asus B9440 im Test: Leichtes Geschäftsnotebook liefert zu wenig Business
Asus B9440 im Test
Leichtes Geschäftsnotebook liefert zu wenig Business
  1. ROG-Event in Berlin Asus zeigt gekrümmtes 165-Hz-Quantum-Dot-Display und mehr

Quantencomputer: Was sind diese Qubits?
Quantencomputer
Was sind diese Qubits?
  1. IBM Q Mehr Qubits von IBM
  2. Verschlüsselung Kryptographie im Quantenzeitalter
  3. Quantencomputer Bosonen statt Qubits

HTC U11 im Hands on: HTCs neues Smartphone will gedrückt werden
HTC U11 im Hands on
HTCs neues Smartphone will gedrückt werden
  1. HTC Vive Virtual Reality im Monatsabo
  2. Sense Companion HTCs digitaler Assistent ist verfügbar
  3. HTC U Ultra im Test Neues Gehäuse, kleines Display, bekannte Kamera

  1. Re: Von EWE Tel enttäuscht.

    Aralender | 03:33

  2. Re: Wieso könnten Händler-Shops überhaupt...

    amagol | 03:04

  3. Re: "falsche" Gegend, "falsche" Adresse

    plutoniumsulfat | 02:01

  4. Re: LTE nachrüsten

    southy | 01:39

  5. Re: Geisteswissenschaften vs. Realität/Intelligenz

    Biteemee | 01:26


  1. 16:58

  2. 16:10

  3. 15:22

  4. 14:59

  5. 14:30

  6. 14:20

  7. 13:36

  8. 13:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel