• IT-Karriere:
  • Services:

Tor: Hidden Services leichter zu deanonymisieren

Das Tor-Protokoll erlaubt es Angreifern relativ einfach, die Kontrolle über die Verzeichnisserver sogenannter Hidden Services zu erlangen. Dadurch ist die Deanonymisierung von Traffic deutlich einfacher als beim Zugriff auf normale Webseiten.

Artikel veröffentlicht am , Hanno Böck
Hidden Services im Tor-Netzwerk lassen sich relativ leicht deanonymisieren.
Hidden Services im Tor-Netzwerk lassen sich relativ leicht deanonymisieren. (Bild: Tor)

Hidden Services im Tor-Netzwerk bieten weniger Anonymität, als man erwarten würde. Ein relativ simpler Angriff ermöglicht es, die Zugriffe darauf zu beobachten. Filippo Valsorda und George Tankersley zeigten auf der Hack-in-the-Box-Konferenz in Amsterdam, wie es ihnen gelang, die Kontrolle über alle Verzeichnisserver für die Tor-Seite von Facebook zu erlangen.

Hidden Service für Facebook

Stellenmarkt
  1. Technische Hochschule Rosenheim, Rosenheim
  2. SIZ GmbH, Bonn

Hidden Services sind Server, die nur über das Tor-Netzwerk erreichbar sind. Sie sind an URLs mit der Endung .onion erkennbar. Zu den bekanntesten Nutzern dieser Services gehörte der inzwischen abgeschaltete Drogenhandelsplatz Silk Road. Im vergangenen Jahr startete Facebook eine .onion-Variante seiner Webseite. Doch genau das ist laut Valsorda und Tankersley keine gute Idee: Der Zugriff auf öffentlich zugängliche Webseiten als Hidden Service bietet weniger Sicherheit als der Zugriff auf die normale HTTPS-Variante über Tor.

Um einen Hidden Service im Tor-Netz zu finden, muss ein Nutzer einen Verzeichnisserver anfragen, ein sogenanntes Hidden Service Directory (HSDir). Welcher Verzeichnisserver für eine bestimmte Hidden-URL zuständig ist, lässt sich mittels einer relativ einfachen Hash-Berechnung herausfinden. Die Hash-Berechnung enthält dabei das aktuelle Datum. Für die Verzeichnisserver wird ebenfalls ein Hash berechnet; die drei Server, deren Hashes auf den Hash des Hidden Service folgen, sind für ihn zuständig. Es gibt zwei Wege zur Berechnung des Hashes, damit sind für jeden Hidden Service pro Tag jeweils sechs Server zuständig, der Client wählt davon einen zufälligen aus.

Gezielt Verzeichnisserver für Hidden Service bereitstellen

Um einen Verzeichnisserver bereitzustellen, muss lediglich gewährleistet sein, dass der Server für vier Tage im Tor-Netzwerk erreichbar ist. Anschließend erhält der Server ein Flag, das es ihm erlaubt, diesen Dienst bereitzustellen. Da alle Werte für die Hash-Berechnung vorab bekannt sind, ist es möglich, mittels eines Brute-Force-Angriffs gezielt für einen bestimmten Hidden Service mit hoher Wahrscheinlichkeit den Verzeichnisserver bereitzustellen.

Am Tag ihrer Präsentation kontrollierten Valsorda und Tankersley vier von sechs Verzeichnisservern von Facebook. Bei einem der anderen Server handelte es sich um eine russische IP, die Teil eines Botnetzes ist. Ob es sich dabei um einen Zufall handelt oder ob hier jemand parallel denselben Angriff durchzuführen versuchte, ist unklar.

Grundsätzlich ist es immer denkbar, dass ein Angreifer einen Nutzer im Tor-Netzwerk deanonymisiert. Denn es ist immer möglich, den Datenverkehr am Eingangspunkt zum Tor-Netzwerk und am entsprechenden Endpunkt zu beobachten und zu vergleichen. Doch für einen derartigen Angriff müsste ein Angreifer die Kontrolle über eine große Zahl von Exit-Nodes haben oder zumindest deren Traffic überwachen können. Ein Angriff auf Hidden Services über die Verzeichnisservices ist deutlich einfacher durchzuführen.

Next Generation Hidden Services würden Problem lösen

Als Nutzer kann man gegen derartige Angriffe wenig unternehmen. Lösen ließe sich das Problem durch eine Änderung des Tor-Protokolls. Es existiert bereits ein Entwurf für eine verbesserte Variante der Hidden Services, der dieses und weitere Probleme beheben würde, doch von einer Implementierung ist dieser noch weit entfernt. Generell sollten Nutzer bei Webseiten wie Facebook, die auch im öffentlichen Internet verfügbar sind, den Hidden Service nicht nutzen, sondern stattdessen die normale URL über Tor ansurfen.

Betreiber eines Hidden Services könnten diesen Angriff verhindern oder zumindest erschweren, indem sie selbst versuchen, ihre eigenen Verzeichnisserver zu kontrollieren. Das würde zudem dazu führen, dass der Betreiber erkennen könnte, wenn jemand anderes einen derartigen Angriff durchzuführen versucht. Wenn mehrere Personen versuchen, einen derartigen Angriff durchzuführen, "gewinnt" derjenige, der mehr Rechenpower für den Brute-Force-Angriff auf den passenden Hash aufwendet. Je näher der Hash am Hash des jeweiligen Hidden Service liegt, desto höher ist die Chance, dass kein anderer Server einen näheren Hash erhält.

Auch durch reine Beobachtung der Verzeichnisserver könnte man so einen Angriff möglicherweise bemerken. Befindet sich der Hash eines Servers auffällig nahe am Hash eines Hidden Service, so ist dies möglicherweise ein Zufall. Verdächtig wäre es jedoch, wenn dieser Server erst wenige Tage online ist und auch kurz danach wieder abgestellt wird.

Valsorda und Tankersley haben den Code, den sie für ihren Angriff nutzten, auf Github veröffentlicht. Auch ein Skript, das auffällige Verzeichnisserver aufspüren soll, ist dort einsehbar.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 47€
  2. (u. a. NieR Automata für 13,99€ und PSN Card 25 Euro [DE] für 21,99€ - Bestpreise!)
  3. (u. a. 3 Spiele für 49€ und SanDisk Ultra 400 GB microSDXC + Adapter für 47€)
  4. 77,90€ (Bestpreis!)

Wary 07. Jun 2015

Das ist darauf optimiert hidden services sicher anzubieten. Außerdem im Unterschied zu...

androidfanboy1882 31. Mai 2015

+1

Mingfu 29. Mai 2015

1. Trivialerweise betrifft es nur den Hidden-Services-Part. Der ist aber ohnehin für die...


Folgen Sie uns
       


Motorola Razr (2019) - Hands on

Das neue Motorola Razr lässt sich wie das alte Razr V3 zusammenklappen - das Display ist allerdings faltbar und geht über die gesamte Innenfläche des Smartphones.

Motorola Razr (2019) - Hands on Video aufrufen
Programmieren lernen: Informatik-Apps für Kinder sind oft zu komplex
Programmieren lernen
Informatik-Apps für Kinder sind oft zu komplex

Der Informatikunterricht an deutschen Schulen ist in vielen Bereichen mangelhaft. Apps versprechen, Kinder beim Spielen einfach an das Thema heranzuführen. Das können sie aber bislang kaum einhalten.
Von Tarek Barkouni

  1. Kano-PC Kano und Microsoft bringen Lern-Tablet mit Windows 10

Kaufberatung (2020): Die richtige CPU und Grafikkarte
Kaufberatung (2020)
Die richtige CPU und Grafikkarte

Grafikkarten und Prozessoren wurden 2019 deutlich besser, denn AMD ist komplett auf 7-nm-Technik umgestiegen. Intel hat zwar 10-nm-Chips marktreif, die Leistung stagniert aber und auch Nvidia verkauft nur 12-nm-Designs. Wir beraten bei Komponenten und geben einen Ausblick.
Von Marc Sauter

  1. SSDs Intel arbeitet an 144-Schicht-Speicher und 5-Bit-Zellen
  2. Schnittstelle PCIe Gen6 verdoppelt erneut Datenrate

Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

    •  /