Abo
  • Services:

Security: Tor-Nutzer über Mausrad identifizieren

Tor verspricht Privatsphäre. Doch auch Nutzer des Anonymisierungsdienstes haben einen eindeutigen Fingerprint. Ein neues Konzept nutzt dazu Mausrad, CPU und DOM-Elemente.

Artikel veröffentlicht am ,
Ein Mausrad kann zur Identifizierung von Tor-Nutzern beitragen.
Ein Mausrad kann zur Identifizierung von Tor-Nutzern beitragen. (Bild: Darkone/CC-BY-SA 2.5)

Der Softwareentwickler Jose Carlos Norte hat in einem Blogpost einige Gedanken für ein erweitertes Fingerprinting von Tor-Nutzern vorgestellt. Er nutzt dazu ungewöhnliche Metriken wie die CPU-Geschwindigkeit, das Mausrad und das Element getClientRects().

Stellenmarkt
  1. eSpring GmbH, Heilbronn
  2. über Dr. Richter Heidelberger GmbH & Co. KG, Großraum Zwickau/Vogtland

Der Tor-Browser deaktiviert viele bekannte Methoden zum Fingerprinting, wie zum Beispiel das Canvas-Fingerprinting. Außerdem wird davor gewarnt, den Browser maximiert auszuführen, weil so die maximale Auflösung des Bildschirmes erfasst werden kann.

In einem Proof-of-Concept hat Norte jetzt unter dem Namen UberCookie neue Vorgehensweisen in "kontrollierten Umgebungen" erfolgreich ausprobiert, wie er schreibt. Dazu musste er zunächst Beschränkungen des Tor-Browsers umgehen. Die Funktion javascript Date.getTime() (unix time) wird dort nur alle 100 ms auf den aktuellen Stand gebracht. Mit Hilfe eines Webworker-Elements und der Einstellung setInterval gelang es ihm, eine größere Genauigkeit im Bereich von einigen Millisekunden zu erreichen.

Das verräterische Mausrad

Als einen Indikator des Fingerprintings nutzt Norte in seinem PoC das Mausrad. Bei einem normalen PC mit Standardmaus sei das gescrollte Delta immer drei, schreibt er. Doch bei Trackpads gebe es größere Unterschiede und damit auch Differenzierungsmöglichkeiten. Auch die Geschwindigkeit des Mauszeigers selbst könnte zur Identifikation genutzt werden, weil auch hier das Tempo mit der verwendeten Hardware und Software korrelieren würde.

Durch die Veränderung des setInterval-Parameters sei es auch möglich, Rückschlüsse auf die verwendete CPU zuziehen. Dazu müsse auf der Webseite ein rechenintensives Skript laden, das dann eine Einordnung der Rechenleistung des verwendeten PCs ermöglicht. Mit der gleichen Version des Tor-Browsers auf unterschiedlichen Rechnern habe er sehr unterschiedliche Ergebnisse bekommen, schreibt Norte.

Verwundert zeigt er sich darüber, dass der Tor-Browser zwar eine direkte Abfrage von Canvas-Elementen verhindern würde, aber über die Javascript-API die Position bestimmter DOM-Elemente abrufbar ist. Dazu wird die Funktion getClientRects genutzt. Damit kann die exakte Position verschiedener Elemente auf einer Webseite ermittelt werden. Je nach verwendeter Auflösung, Schriftartenkonfiguration und anderen Faktoren ergeben sich daraus sehr unterschiedliche Ergebnisse, die eine Identifikation einzelner Nutzer ermöglichen.

Einige der Angriffsvektoren dürften sich durch ein Softwareupdate beheben lassen. Nach wie vor ist bei der Nutzung von Tor aber der Nutzer gefragt, um weiterhin wirklich anonym zu bleiben.



Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de
  2. auf ausgewählte Corsair-Netzteile

janxb 17. Mär 2016

Ziemlich gute Idee! :D Das entsprechende CSS könnte man ja auch automatisch generieren...

rocket_to_russia 11. Mär 2016

Fingerprinting (was nicht direkt etwas mit Deanonymisierung zu tun hat) ist erst mal nur...

Proctrap 11. Mär 2016

Oder Seiten die das durch ihren Aufbau verhindern, da darf man dann probieren, wo der...

DebugErr 10. Mär 2016

Bestimmt kann man auch typische Scrolltechniken von der Benutzung des Scrollrades...

denta 10. Mär 2016

Darum geht es nicht. Im Artikel heißt es "Ein neues Konzept nutzt dazu Mausrad, CPU und...


Folgen Sie uns
       


Xbox E3 2018 Pressekonferenz - Golem.de Live

Große Gefühle beim E3-2018-Livestream von Microsoft: Erlebt mit uns die Ankündigungen von Halo Infinite, Gears 5, Sekiro, Cyberpunk 2077 und vielem mehr.

Xbox E3 2018 Pressekonferenz - Golem.de Live Video aufrufen
Windenergie: Wie umweltfreundlich sind Offshore-Windparks?
Windenergie
Wie umweltfreundlich sind Offshore-Windparks?

Windturbinen auf hoher See liefern verlässlich grünen Strom. Frei von Umwelteinflüssen sind sie aber nicht. Während die eine Tierart profitiert, leidet die andere. Doch Abhilfe ist in Sicht.
Ein Bericht von Daniel Hautmann

  1. Hywind Scotland Windkraft Ahoi

Nasa-Teleskop: Überambitioniert, überteuert und in dieser Form überflüssig
Nasa-Teleskop
Überambitioniert, überteuert und in dieser Form überflüssig

Seit 1996 entwickelt die Nasa einen Nachfolger für das Hubble-Weltraumteleskop. Die Kosten dafür stiegen seit dem von 500 Millionen auf über 10 Milliarden US-Dollar. Bei Tests fiel das Prestigeprojekt zuletzt durch lockere Schrauben auf. Wie konnte es dazu kommen?
Von Frank Wunderlich-Pfeiffer

  1. Raumfahrt US-Regierung gibt der Nasa nicht mehr Geld für Mondflug

Raumfahrt: Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa
Raumfahrt
Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa

Die neuen Raumschiffe von Boeing und SpaceX verspäten sich und werden wohl erst 2020 mit Crew fliegen. Die Aufsichtsbehörde der US-Regierung sieht einen Teil der Schuld beim Chaos im Nasa-Management.
Von Frank Wunderlich-Pfeiffer

  1. Nasa Forscher entdecken Asteroiden, bevor er die Erde erreicht
  2. Nasa 2020 soll ein Helikopter zum Mars fliegen
  3. Raumfahrt Nasa startet neue Beobachtungssonde Tess

    •  /