[RLP-Info] Tor-Exit-Node

[rammdoesig AT mailueberfall.de]

Servus,

ausgehend von der gestrigen Diskussion in der LaVo Sitzung, habe ich einige Punkte zusammen getragen, die Sicherheitsaspekte sowie die Vor- und Nachteile versucht aufzuzeigen.

Das Gute vorweg:
Das Tor-Netzwerk ist wirklich relativ sicher. Dies ist einer der Gründe warum sich selbst die NSA daran die Zähne ausbeißt.
Die russische Regierung hat erst kürzlich eine Belohnung, für das Knacken von Tor, augelobt. http://heise.de/-2268010

Geschichtliches:

Tor war einst ein Projekt des US-Militärs und wird noch heute von der US-Regierung mitfinanziert.
Ziel war es, amerikanischen Soldaten im Auslandseinsatz, die sichere Internetkommunikation „nach Hause“ zu ermöglichen.
Das Tor-Projekt hat 2013 insgesamt rund 1,8 Millionen US-Dollar an Zuwendungen von der US-Regierung erhalten. http://heise.de/-2277807

Bad-Exit-Nodes:

Es gibt eine Vielzahl böswilliger Betreiber von Exit Nodes. Diese versuchen Tor-Nutzer zu überwachen. Es passiert also daß an manipulierten Ausleitungsservern sensible Daten, wie Kreditkarteninformationen oder e-Mail Passwörter, abgeschnorchelt werden.
Wer neben Tor keine weiteren Sicherheitsmaßnahmen trifft, macht es denen sehr leicht.
Die Studie zur Tor-Schwachstelle findet ihr hier: http://www.cs.kau.se/philwint/spoiled_onions/techreport.pdf
 

Schwachstellen (Bsp. DNS):

Eine Schwachstelle bei Tor ist die Namensauflösung in Internet, kurz DNS. Wer seinen Broser, bzw. seinen Rechner nicht ordentlich konfiguriert, gibt dem Internetprovider bereits im Vorfeld bekannt, welche Seiten angesurft werden und riskiert damit bereits in den Fokus der Sicherheitsbehöreden zu geraten.
Aus diesem Grund gibt es bereits fertige Pakete (z.B. das Tor Browser Bundle) mit Komponenten wie Vidalia (eine GUI zur Steuerung) sowie eine modifizierte Firefox Version.

Nachteile:

Die Nutzung von Tor ist teilweise recht langsam. Das rührt daher daß;
a) zu wenige Tor-Knoten (also Entry- & Exitnodes) existieren
b) Benutzer welche ihren eigenen Tor-Client als Durchleitungs-Knoten zulassen i.d.R. auch die Bandbreite begrenzen um selber noch ausreichend Geschwindigkeit zum Surfen zu haben.

Rechtliches:

Der Betreiber einer Exit-Node als solcher ist nicht anonym. Es kann also vorkommen, dass, wenn jemand Unsinn über Tor macht, die Polizei dann bei einem nachfragt bzw. man beschuldigt wird, dass man eine Straftat begangen hat (In Österreich gab es kürzlich einen Fall, wo ein Tor-Berteiber tatsächlich wegen vorsätzlicher Beihilfe verknackt wurde. Schönes Justizsystem haben die da mittlerweile http://heise.de/-2249228).
Aus juristischer Sicht sind Betreiber von Tor-Knoten auf der sicheren Seite, da man als Betreiber eines Tor-Servers nach §8 TMG nicht für das haftbar ist, was ein anderer über die Tor-Node macht.

Ich kann Jürgens Argumentation voll verstehen, die Gesetzeslage ist derzeit leider so traurig daß die Bürgerrechte in Bezug auf Vorratsdatenspeicherung, Datensparsamkeit etc. spärlich sind. Daran wird sich, dank etablierten Parteien und deren Politik, mittelfristig wenig ändern.

Auf der anderen Seite denke ich auch; wer sich nicht wehrt der lebt verkehrt. Deshalb begrüße ich Euren Beschluß, aber ich glaube auch daß noch einige Aufklärungsarbeit nötig ist um die Menschen sensibel dafür zu machen.

Ich habe Tikky als Umsetzungverantwortlicher gestern im Chat angeboten bei der Umsetzung zu unterstützen. Ich könnte mir z.B. vorstellen portable Versionen auf USB-Stick anzubieten (Infostände) die fertig konfektioniert sind und direkt unseren Entry/Exit verwenden.
Denkt mal drauf rum, bei Fragen stehe ich auch gern zur Verfügung.

Liebe Grüße, gute Woche

Thorsten

PGP Fingerprint: CA56 DEF7 1742 B6AF C698  16B3 57B5 5135 3E70 E405