Silk Road 2.0: Forschungsinstitut half FBI offenbar bei Tor-Ermittlungen
Die Verhaftung des Silkroad-2.0-Betreibers Brian Richard Farell im Januar dieses Jahres ist wohl nicht allein dem FBI zuzurechnen - denn die US-Bundespolizei hat bei den Ermittlungen offenbar Hilfe aus dem akademischen Bereich. Dabei soll ein Universitätsinstitut es geschafft haben, einzelne Tor-Nutzer zu identifizieren - das geht aus Gerichtsdokumenten hervor, die Motherboard jetzt auszugsweise veröffentlicht hat(öffnet im neuen Fenster) .
Bereits im vergangenen Jahr hatten Tor-Mitarbeiter einen ungewöhnlichen Angriff auf das Netzwerk entdeckt . Sie hätten eine Gruppe von Tor-Relays gefunden, die genutzt würden, um Nutzer von Hidden-Services zu deanonymisieren, hieß es damals in einem Blogpost. Die verdächtigen Relays sollen vom 30. Januar 2014 bis zum 4. Juli aktiv gewesen sein.
Angreifer sollen sechs Prozent des Tor-Traffics kontrolliert haben
Wenn ein Angreifer genügend Tor-Nodes betreibt, kann er Nutzer unter Umständen identifizieren. Im von Tor dokumentierten Angriff erstellten die Angreifer eine große Anzahl von Relays, die im Rotationsverfahren sowohl für den Eintritt in das Netzwerk als auch für den Austritt genutzt wurden. Zwischenzeitlich sollen die Angreifer rund 6 Prozent des gesamten Traffics von Tor geroutet haben. Daher sei es möglich gewesen, Nutzer sowohl beim Eintritt ins Netzwerk als auch beim Austritt zu beobachten - und so die echte IP-Adresse mit den vom Nutzer besuchten Seiten zu verknüpfen. Im vergangenen Jahr wurde daher spekuliert, dass hinter dem Angriff entweder ein Nationalstaat oder ein großangelegtes Forschungsprojekt steckt.
Die zweite Vermutung scheint sich jetzt zu bestätigen: Denn in den jetzt auszugsweise veröffentlichten Dokumenten heißt es, dass das FBI bei der Verhaftung von Farell auf eine externe Informationsquelle zugreifen konnte. Diese Quelle ist mit großer Wahrscheinlichkeit das Cert der Carnegie-Mellon-Universität in den USA.
Abgesagter Vortrag bringt Universität in Erklärungsnot
Denn im Juli vergangenen Jahres sagten die Sicherheitsforscher Alexander Volkynkin und Michael McCord einen geplanten Vortrag auf der Blackhat-Konferenz kurzfristig ab. Eigentlich wollten sie zeigen, wie sie mit 3.000 US-Dollar teurem Equipment die IP-Adresse von Tor-Nutzern herausfinden können. Beide Forscher arbeiten für das Computer-Emergency-Response-Team (Cert) von Carnegie Mellon, das zwar zur Universität gehört, aber offenbar zu einem großen Teil durch Regierungsgelder finanziert wird. Das Cert unterstützte nach Aussage eines angeblichen früheren Mitarbeiters im Blog von Matthew Green zu seiner Zeit dort häufiger Auskunftsersuchen von Polizei- und Justizbehörden. Viele Mitarbeiter würden zudem über eine Klassifizierung verfügen, um Dokumente mit der Geheimhaltungsstufe "Top Secret" lesen zu können.
Bislang ist aber unklar, ob das Projekt als reine Forschungstätigkeit durchgeführt wurde oder ob die Forscher direkt im Auftrag der Regierung nach Wegen suchten, Tor-Nutzer zu identifizieren. Beides wäre problematisch: Einen entsprechenden Gerichtsbeschluss zu bekommen, dürfte schwierig sein - weil der Betrieb von Tor-Nodes zur Identifizierung einzelner Nutzer notwendigerweise zahlreiche unbescholtene Nutzer treffen würde. Außerdem wäre es zumindest diskussionswürdig, wenn ein Universitätsinstitut Aufgaben der Polizeibehörden direkt ausführt.
Forschungsprojekte brauchen ethische Rahmenbedingungen
Die zweite Option ist gleichermaßen kritisch zu sehen: Denn ein großflächiges Forschungsprojekt, von dem notwendigerweise eine große Anzahl von Tor-Nutzern betroffen ist, ist ethisch nur schwer zu rechtfertigen, wenn Nutzer davon keine Kenntnis bekommen. Auch das soziale Netzwerk Facebook musste sich viel Kritik anhören, als bekanntwurde, dass ohne Wissen der Nutzer verschiedene wissenschaftliche Experimente auf der Plattform durchgeführt wurden . Ein Sprecher der Universität wollte auf eine entsprechende Anfrage von Motherboard keine Auskunft zu Details der Operation geben.
Tor-Direktor Roger Dingledine behauptet in einem Blogpost(öffnet im neuen Fenster) , weitere Informationen über den Angriff erhalten zu haben. Dingledine zufolge habe die Carnegie-Mellon-Universität eine Million US-Dollar erhalten, um das Projekt durchzuführen. Belege für diese Behauptung führt er jedoch nicht an. Er fordert eine Beschränkung der wissenschaftlichen Forschung, um entsprechende Vorfälle in Zukunft zu verhindern. Doch diese Forderung dürfte in der Praxis nur schwer durchzusetzen sein - denn dann müsste wiederum bestimmt werden, was "legitime Sicherheitsforschung" ist und was nicht. Gerade in der IT-Security-Community dürften entsprechende Vorstöße zu Auseinandersetzungen führen.