Linus Neumann 0:55:06
Ja, das ist eine auch sehr krasse Meldung oder so krass ist sie vielleicht auchgar nicht. Also ich finde sie eigentlich nicht überraschend.Und Tor, viele von euch werden es kennen,ein Anonymisierungsnetzwerk, ich werde es jetzt mal ganz schnell,ganz high level nochmal kurz zusammenfassen, das primär darüber funktioniert,dass Traffic mehrfach umgeleitet wird.Also nehmen wir mal als Beispiel, ihr ruft logbuchnetzpolitik.de auf in euremBrowser, dann fragt euer...Dann fragt euer Browser als allererstes den DNS-Server, wo die IP-Adresse istund dann wird eine Verbindung zu der IP-Adresse von logbuchnetzpolitik.de gemacht.Dann kommen die ganzen HTTP-Status-Codes, die wir hier besprechen und dann kommtdie Datei, die ihr haben wollt.So, wenn man jetzt euren Internetanschluss oder den von unserem Webserver überwachenwürde, könnte man dort jeweils sehen, dass ihr dort zugegriffen habt.Und Tor ist quasi ein Protokoll, das sagt, wir schalten mehrere Stationen dazwischen, und zwar drei.Und diese drei Stationen, die dazwischen sind, die haben jeweils einen eigenenKey, an den wir verschlüsseln und die können jeweils nur die Nachricht,die an sie geht, entschlüsseln.Das heißt, in diesem Fall, ich schicke als allererstes mein Request an die Gartnode,an meinen Eingang in das Tornetz.Und das, was der auspacken und entschlüsseln kann, da steht einfach nur drin,nimm dieses Datenpaket bitte und schick es weiter an diesen folgenden Knoten,der sich irgendwo anders auf diesem Planeten befindet.Und der Rest ist wiederum verschlüsselt. Jetzt kommt der andere Knoten und sagt,was ist das denn jetzt hier? Und da steht drin, nimm das bitte und schick dasan diesen Knoten weiter.Dann schickt er das an den Knoten weiter und der wiederum packt es aus und dasteht dann drin, übrigens, ich hätte gerne einen Request gesendet an logbuchnetzpolitik.de,mach den mal bitte und dann schick mir das bitte zurück und zwar wieder dreimal verschlüsselt zurück.Und dadurch wird die Kommunikation etwas langsamer, aber du hast jetzt die Situation,dass wer deinen Internetanschluss überwacht, nicht sieht, dass du zu Logbuch-Netzpolitikgehst und wer Logbuch-Netzpolitik überwacht, nicht sieht,dass es du warst, der diesen Request geschickt hat.Und logbuchnetzpolitik.de wüsste dann eben auch nur, naja, das kommt über einenTor-Exit und das funktioniert enorm gut,aber hat eine quasi eine Falle, wenn nun es ein Global Adversary gäbe,der alle drei Knotenpunkte, die du gewählt hast,und da gibt es ja unendlich viele Kombinationen, die du wählen kannst,weil es ganz viele Guard Notes, Middle Notes und Exits gibt,Der das alles sieht, dann könnte er ja korrelieren und sehen,aha, guck mal hier, dein Anschluss hat genau so etwas geschickt und dann istdas bei Tim angekommen, dann kam wieder so viel zurück.Das wäre also quasi eine Korrelation von Traffic.Und weil man Tor nur selten nutzt, nur so ein bisschen, ist das im Prinzip jaquasi ausgeschlossen, dass das gelingt, weil man auch wissen müsste,welche Circuits du aufbaust, also über welchen Guard gehst du rein,welchen Mittel und dann wechselst du die auch andauernd.Das heißt jetzt so Traffic-Korrelationsanalysen passiver Natur sind eigentlichsehr, sehr, sehr schwierig.Wenn man aber jetzt beispielsweise in der Lage wäre, über einen längeren ZeitraumUnterbrechungen in diesem Netz zu setzen, die zu Verzögerungen führen,Dann könnte man quasi dadurch nach und nach ausschließen, was deine Verbindungist, die du gerade nutzt.Das ist aber jetzt relativ egal, weil du die deshalb auch immer die ganze Zeit änderst.Jetzt ist das Tornetz aber, hatnoch ein weiteres Feature und das sind die sogenannten Hidden Services.Du kannst also auch sagen, ich möchte in diesem Netzwerk etwas anbieten undich möchte als Anbieter anonym sein.Das heißt, es gibt gar nicht mehr den Exit, es passiert nicht mehr,dass Dinge überhaupt nochmal aus diesem Netz rauskommen, sondern die Nachrichtwird in diesem Netz zugestellt und sie geht über dieses Netz auch zurück.Und das machen zum Beispiel, also das würdest du machen, wenn du eine Webseitehast, wo du nicht möchtest, dass Leute wissen, wo der Server steht.Nutzen sicherlich auch sehr viele legitime Anbieter, aber Hidden Services sindschon auch das Mittel der Wahl für so Ransomware-Gangs,für Foren, die in irgendeiner Weise sich mit illegalen Dingen auseinandersetzen.Aber du kannst natürlich genauso gut deinen Dissidenten-Blog und so weiter drauf hosten.Im Prinzip also eine Methode, dass man deinen Server nicht findet.Und jetzt hast du aber beim Server natürlich das Problem, der ist dauerhafterreichbar und jetzt kannst du natürlich hingehen und sagen,du machst genau solche Korrelationsanalysen, solche Timing-Korrelationen,schaltest einfach irgendwo bestimmte Verbindungen, störst du und guckst,ob das einen Effekt hat auf deine Kommunikation mit diesem Server.Und Hidden Services kannst du aber relativ schnell hochziehen,brauchst nur so ein Key-Pair für, dann funktioniert dein Hidden Service.Und das wurde von einer Applikation mit dem Namen Ricochet, also Querschlägergenutzt, die im Prinzip darüber einen Messenger-Dienst gemacht hat.Und jetzt ist halt, also der das,die zusätzliche Angriffsfläche ist, also jetzt, du bist auch,du bist nicht nur, sendest du in dieses Tornetz, wie du es für richtig hältst,Requests sondern, du antwortest auch auf welche.Und du bist erreichbar und zum Beispiel, man kann da kurz was hinpingen unddann kriegt man eine Antwort, ne, man schickt eine Nachricht,dann kommt die an oder man kann diese Nachricht deliveren, ja Ja,und wenn du jetzt so eine Situation hast,dann kannst du natürlich sagen, alles klar, angenommen, du kannst jetzt globalam Netz Unterbrechungen vornehmen,dann gelingt es dir natürlich, wenn du ein Global Adversary wärst,zu sagen, alles klar, ich kappe mal für eine Sekunde,ich mach's jetzt plump, ne, ich kappe jetzt mal für eine Sekunde hier so diesesUnterseekabel und guck mal, ob ich eine Sekunde Verzögerung habe.Auf dem Weg zu dir habe, ah, das ist es nicht, gucken wir mal hier.Wenn du dann außerdem noch einen Teil dieses Tornetzes selber betreibst,also ein paar Entry Notes, ein paar Middle Notes, ein paar Exit Notes,dann kannst du irgendwann mit ausreichender Zeit über so ein Ausschlussverfahrensagen, da ist er nicht, da ist er nicht, da ist er nicht, da ist er nicht,da ist er nicht und irgendwann,schaltest du an einer bestimmten Stelle und merkst, jo, ich habe eine Routegefunden, die da hinführt.Und wenn die jetzt über längere Zeit stabil ist und du weißt,der ändert die ganze Zeit seine eine Verbindung, dann weißt du irgendwann,da sitzt dieser Server oder da sitzt diese Person.Und das hat in dem Boys Town Ermittlungsverfahren, haben das offenbar deutschePolizeibehörden in internationaler Zusammenarbeit an einigen Stellen geschafftund haben da geht es um ein,Strafermittlungsverfahren wegen Verbreitung dokumentierten Kindesmissbrauchsund da sind eben diese Angriffe, diese Timing-Analysen erfolgreich eingesetzt worden.Bis zu dem Punkt, dass du dann irgendwann sagst, jetzt gucken wir mal,jetzt müssen wir nur noch beim Internetprovider fragen, wer zu einem gegebenenZeitpunkt mit einem bestimmten Tor-Entry verbunden ist.Dann hast du irgendwie so und so viele, die das sind und dann sagst du,alles klar und jetzt wollen wir gerne wissen, wer ungefähr einen Gigabyte Empfanghat an dem Tag und dann weißt du, alles klar, da müssen wir klingeln.Riesige Operation und es wurde bei Tor immer davon ausgegangen,dass es irgendwie, das wird schon keinem gelingen.Es wurden aber auch keine wirklichen brauchbaren Gegenmaßnahmen ergriffen.Gegenmaßnahmen wären natürlich, random Delays einzuführen.Also quasi deine Requests sind sowieso schon mal einfach zufällig zwischen einerund acht Sekunden verzögert.Und wenn du jetzt versuchst, Timing zu korrelieren, weißt du immer nicht,ob die Verzögerung jetzt gerade daherkommt, weil du da eingesetzt hast Oderweil einfach zufällig eine Verzögerung eingebaut wurde.Eine andere Möglichkeit wäre, um halt Datenmengen-Korrelationen zu verhindern,dass du halt Cover-Traffic hast.Das heißt, du kommunizierst nicht nur das über das Tor-Netzwerk,was dich wirklich interessiert und was du brauchst, sondern du sendest die gesamteZeit überall irgendwelchen Mist hin.Damit nämlich am Ende du nicht mehr über die Datenmenge identifizierbar bist,sondern du gehst im Prinzip hin und sagst, ich schalte jetzt Tor ein und Tormacht, sagen wir mal, Basistraffic 10 Mbit.Und wenn ich jetzt was haben will, was ein Mbit oder was eine Pro-Zeit-Einheitist, dann füllt es den Rest auf oder nimmt halt die maximale Bandbreite.Aber man kann quasi nicht mehr an meinem Anschluss erkennen,ob ich online bin oder ob ich gerade etwas tue oder nicht.Das wären so die beiden naheliegendsten Methoden, die aber natürlich eine Maßdazu führen würden, dass Thor massiv Datenmüll hin und her schiebt und langsamer wird.Das sind die beiden Gründe, warum Thor das nie gemacht hat. Die Vorschläge gibtes so lange, wie es Thor gibt.Ja, und das ist halt quasi auch in deren Threadmodel, ja, da steht ja auch,da steht ja drin, dass das gehen kann und dass man davon ausgeht,dass es keiner hinkriegt.Ist halt jetzt ein bisschen doof, wenn es jemand hinkriegt.