Qbi's Weblog

Die Users-Seite im Tor Metrics Portal gibt derzeit große Rätsel auf.Seit Mitte August 2013 gibt es etwa dreimal soviele Tor-Nutzer wie sonst. Der Anstieg ist ungebrochen und mittlerweile merkt man als Nutzer einen deutlichen Performance-Einbruch. Das heißt, gerade das Surfen im Web fühlt sich deutlich langsamer an. Doch woher kommen die neuen Nutzer?

Roger Dingledine warf diese Frage auf der tor-talk-Mailingliste auf. Das wurde später von Ars Technica und auch Heise Online aufgegriffen. Aber niemand lieferte bisher eine Antwort.

Der erste Verdächtige hieß PirateBrowser. Diese Anonymisierungslösung aus dem Dunstkreis von The Pirate Bay nutzt Tor. Nun könnte man annehmen, dass der PirateBrowser unglaublich viele Nutzer anzieht und dadurch der Anstieg zustande kommt. Das würde aber bedeuten, dass alle diese Leute vorher kein Tor nutzten. Das halte ich bei dem »Kundenkreis« für recht unplausibel. Ich denke, die meisten nutzen schon jetzt Tor oder andere Lösungen. Weiterhin untersuchten einige die wahrscheinlichen Nutzerzahlen vom PirateBrowser. Die liegen meilenweit von dem Anstieg der Tor-Nutzer weg.

Collin Anderson analysierte die Nutzerzahlen in verschiedenen Ländern (Google-Docs-Dokument). Der Anstieg geht quer durch alle Länder (Diagramm). Ausnahme ist Israel. Dort gingen die Tor-Nutzer im betrachteten Zeitraum sogar etwas zurück.

Das stützt die These, dass hier ein Botnet zugange ist. Es könnte sein, dass Schadsoftware verteilt wird und diese nutzt Tor zur internen Kommunikation. Wenn die Software auf vielen Rechnern »installiert« ist und genutzt wird, dann steigen natürlich die Nutzerzahlen an. Diese Nutzer scheinen Tor mittlerweile wirklich zu nutzen. Denn ich stellte in den letzten Tagen eine deutliche Verlangsamung der (gefühlten) Geschwindigkeit bei Tor fest. Falls das also wirklich ein Botnetz ist, sollten die Tor-Clients als Relay umfunktioniert werden. Das hilft dann wieder dem gesamten Netz.

Eine andere Theorie lässt sich zunächst dem Bereich der Verschwörungstheorien zuordnen. Aber da in letzten Zeit so viele Wahrheit wurden, brauchen wir mal neue.
Durch die Enthüllungen von Snowden ist es durchaus möglich, dass mehr Leute Verschlüsselung und Anonymisierungswerkzeuge wie Tor nutzen. Eventuell ist es nun für die NSA wirklich schwerer uns zu überwachen. Also wird Tor durch eine unglaubliche Zahl an Clients wieder »verlangsamt«. Viele Nutzer stellen fest, dass das zu unbequem ist und gehen zur alten überwachten Leitung zurück. Voila.

Was ist eure Theorie?

Seit Juni 2013 kommen in regelmäßigen Abständen Veröffentlichungen über Lauschprogramme der NSA und anderer Geheimdienste. In den letzten Tagen gab es dann noch einen Angriff gegen Nutzer von Tor. Der Angriff wird auch der NSA zugeschrieben und heizte mal wieder die Diskussion an, ob die NSA Tor-Knoten betreibt und damit die Anonymität der Nutzer schwächt. Doch was ist da dran? Betreibt die NSA wirklich Tor-Relays?

Die kurze Antwort ist: »Nobody knows«.
Die lange Antwort erfordert ein wenig Abwägung. Stellt euch vor, die NSA betreibt in größerem Umfang Relays. Dann gibt es prinzipiell die Chance, dass die Verbindungen eines Nutzers über drei NSA-Knoten geht und die Daten damit deanonymisiert werden. Bei Exitknoten gibt es zusätzlich die Möglichkeit, persönliche Daten abzugreifen. Dan Egerstad zeigte 2007, wie einfach es ist, an Passworte von Botschaften zu kommen.

Ein Blick auf die Liste der Tor-Relays, sortiert nach Bandbreite zeigt, dass sehr viele der Knoten von TorServers.net, DFRI und anderen Organisationen betrieben werden. Diese stehen für mich nicht im Verdacht, NSA-nah zu sein. Weiterhin versucht das Tor-Projekt »bösartige« Exits bzw. solche, die merkwürdiges Verhalten zeigen, zu finden. Hier konnten in der Vergangenheit wenige gefunden werden. Derzeit gibt es keinen Hinweis, der den Verdacht erhärten könnte.

Wenn man weiter annimmt, dass die NSA Tor-Knoten betreibt und sie sicher auch weiß, dass verschiedene Leute versuchen dies aufzudecken, ist klar, dass sie ein großes Risiko fährt. Denn wenn nur ein NSA-Relay aufgedeckt würde, erzeugt das wegen des Skandalisierungspotentials einen großen medialen Aufschrei. Aus den Überlegungen ist das also nicht empfehlenswert.

Des Weiteren hat die NSA Zugänge zu den großen Netzknoten und kann Kommunikation übergreifend mitlesen. In der Anonbib findet sich die PDF-Datei »AS-awareness in Tor path selection«. Die Autoren beschreiben, wie vergleichsweise einfach es ist, für einen Angreifer mit einer weiten Netzwerksicht, die Anonymität zu minimieren oder zu brechen. Das heißt, die Daten, die die NSA durch den Betrieb von Tor-Relays erhalten würde, hat sie jetzt schon als »Abfallprodukt« der Überwachung. Fefe schrieb recht melodramatisch, dass Tor tot ist. Seine Argumente finden sich bereits im Design-Paper von Tor aus dem Jahr 2003: »[…] Tor does not protect against such a strong adversary. Instead, we assume an adversary who can observe some fraction of network traffic …«. Das bedeutet, dass Tor gegen einen starken Angreifer nicht sicher ist.

Letztlich ist es natürlich auch möglich, dass in bestehende Relays eingebrochen wird und die Daten ausgeleitet werden. Spiegel Online hatte letztens einen Artikel zu einem Einbruch in ein »Wasserwerk«. Das Werk war hier nur eine Falle und der Betreiber beobachtete die Aktionen der Angreifer. Die NSA würde durch einen Einbruch in existierende Tor-Server ebenfalls interessante Erkenntnisse über die Tor-Nutzer gewinnen.

Alles in allem glaube ich, dass der massenhafte Betrieb von Tor-Relays für die NSA derzeit von Nachteil ist. Die Informationen können sie wahrscheinlich auf anderem Wege gewinnen. Warum sollte die Agency also das Risiko eingehen?

Die Frage wurde auch in Blogs diskutiert. Folgende englischen Beiträge fand ich recht interessant:

• Anonymity Smackdown: NSA vs. Tor von Robert Graham. Er traf einige falsche Annahmen und hat diese zum Teil durch Updates korrigiert.
• Antwort zu obigem Beitrag von Roger Dingledine auf der libtech-Mailingliste
• Should I warn against Tor? auf der Tor-talk-Mailingliste

Update: Link zum DK25: National Security Agency eingebaut. Ein wenig Eigenwerbung muss sein.

In München treffen sich in dieser Woche Vertreter des Tor-Projektes zum Summer-Dev-Meeting. Neben den internen Besprechungen gibt es zwei interessante Veranstaltungen für die Öffentlichkeit.

1. Vortrag »Tor and the Censorship Arms Race: Lessons Learned«
   Roger Dingledine und Jacob Appelbaum berichten über ihre Erfahrungen in der Umgehung von Zensur. Tor ist in dieser Beziehung ein sehr wichtiges und sicheres Werkzeug. Der Vortrag findet am 24. Juli 2013 ab 18 Uhr im Hörsaal 1 des LRZ statt (siehe Bild unten).
2. Tor Hack Day
   Am Freitag findet dann ein öffentlicher Hackday statt. Ihr könnt dort verschiedene Entwickler treffen und mit denen über Tor sprechen bzw. programmieren.

 

Die aktuelle Ausgabe von DeimHart beschäftigt sich mit Applikationen unter Debian. Die beiden Moderatoren baten darum, mal die eigene Software aufzuzählen. Mir ist das für einen Kommentar zu lang. Daher mache ich das mal in ein eigenes Blogposting.

Web

1. Mozilla Firefox ist mein Hauptbrowser. Den verwende ich entweder im Rahmen des Tor-Browser-Bundles oder aus der Distribution heraus mit verschiedenen Plugins.
2. Google Chrome oder Chromium ist der zweite in der Reihe. Der Browser bietet nach meiner Ansicht sehr gute Möglichkeiten in die Interna zu schauen. Beispiel gefällig? Gebt mal chrome://net-internals in die Browserzeile ein.
3. Midori war jetzt längere Zeit in der Testphase. Aber mir kann die Software zu wenig bzw. einige Features sind zu umständlich zu bedienen.
4. links2 ist ein Browser, der so ein Zwischending zwischen grafischem und Kommandozeilenbrowser ist. Der ist recht schnell und lässt sich angenehm bedienen.
5. Schließlich nutze ich den w3m als Kommandozeilenbrowser, entweder direkt auf der Shell oder innerhalb von GNU Emacs.

Mail

• Das meistgenutzte Programm für Mails auf meinem Rechner ist mutt. Damit lese und schreibe ich E-Mails. Das Programm hat eine gute Integration für OpenPGP und Mixmaster. Wie ich kürzlich schrieb, ist das Programm recht flexibel. Einer meiner nächsten Beiträge wird das vermutlich weiter unterstreichen.
• Zu mutt gehören noch Procmail und Fetchmail. Die Programme holen die E-Mails von verschiedenen Providern ab und sortieren die nach verschiedenen Regeln.
• Ein Programm, was mit läuft, und mir völlig in Vergessenheit geraten war, ist CRM114. Das Programm sortiert sehr zuverlässig den Spam aus.
• Schließlich läuft auf verschiedenen Rechner ein Postfix.

Virtualisierung

Für die Virtualisierung nutze ich nahezu ausschließlich qemu. Früher hatte ich auch Virtualbox im Einsatz. Jedoch habe ich aktuell keine Verwendung für das Programm.

Multimedia

• Ich höre sehr viele Podcasts und da verwende ich Miro. Mit dem Programm lade ich die herunter und schaue oder höre mir die an.
• Für reine Audiodateien nutze ich cmus. Das ist ein Programm für die Kommandozeile.
• Zum Anschauen von Videos kommt vlc zum Einsatz. Die Software kann mit dem Befehl cvlc über die Kommandozeile bedient werden.

Grafik

Bei der Grafik geht es mir wie den DeimHart-Machern. Ich nutze Gimp, um Bilder auszuschneiden oder grundlegende Operationen zu machen. Mehr kann ich mit der Software nicht.

Zum Betrachten von Fotos nutze ich hauptsächlich feh oder ImageMagick.

Office-Anwendungen

Hier habe ich mit DeimHart ebenfalls eine große Schnittmenge. Ich schreibe sämtliche Texte mit LaTeX. Als Editor verwende ich entweder GNU Emacs oder jed. Letzteres wegen der gute Matheunterstützung in JörgsLaTeXMode. Bei Emacs ist natürlich immer AUCTeX an.

Für das Anzeigen von PDF-Dateien verwendete ich lange Zeit Evince. Davor war es xpdf. Ich bin kürzlich auf MuPDF gestossen. Die Software gefällt mir von Tag zu Tag besser und wird mein Standard-PDF-Viewer werden.

Wenn ich Operationen in PDF-Dateien mache, verwende ich PDFtk.

Chat

Bei Chatsoftware bin ich auch in einer Übergangsphase. Bisher habe ich Bitlbee mit weechat. Ich versuche gerade, mich mit MCabber anzufreunden. Hier läuft im Hintergrund ein Prosody. Das ist ein XMPP-Server.

Bei sämtlichen Chatprogrammen wie auch anderswo, ist mir Verschlüsselung wichtig. Daher können alle Programme Off-the-Record Messaging.

Wenn man Twitter und Co. dazu zählt, gibt es noch ein paar Programme zu erwähnen. Für identi.ca nutze ich GNU Emacs mit dem identica-Modus. Der Maintainer Gabriel Saldaña hat gerade Version 1.3 veröffentlicht. Twitter hat im Emacs einen Twittering-Modus, den ich auch verwende. Früher hatte ich noch Hotot auf dem Rechner. Allerdings wurde die Software von Release zu Release benutzerunfreundlicher. Daher nutze ich Microblogging entweder mit den Modi oder über die Webseite.

Sonstiges

Ich arbeite recht viel auf der Kommandozeile. Um das Terminal zu multiplexen, springe ich zwischen GNU screen und tmux hin und her. Als Shell wird immer eine zsh gestartet.

Viel anderes fällt mir gerade nicht ein. Vermutlich sind das wirklich die Hauptprogramme. Natürlich kommen noch Programme, wie git, awk usw. dazu.

Update: Noch ein paar Sätze zu Microbloggingsoftware geschrieben.

Patrick Beuth hat für die ZEIT ein Experiment gemacht. Er stellte sich die Frage, wie schwierig es für Laien ist, sich anonym und sicher zu bewegen. Diese Erfahrungen schrieb Beutch in der Serie »Mein digitaler Schutzschild« nieder. Für das Experiment kaufte er sich einen neuen Rechner und installierte Ubuntu. Später machte er sich Gedanken zu sicheren Verbindungen über VPN und Tor, nutzte E-Mail-Verschlüsselung mit OpenPGP und verschlüsselte die Festplatte. Die Artikel sind aus der Sicht eines neuen Benutzers geschrieben und sehr interessant zu lesen.

• Mein digitaler Schutzschild
• Ubuntu – die Basis für einen sicheren Computer
• Tor – die Tarnkappe fürs Netz
• VPN – durch einen Tunnel ins Internet
• Hushmail – auch E-Mails können anonym sein
• OpenPGP – E-Mails verschlüsseln, damit sie keine Postkarten mehr sind
• TrueCrypt – der Tresor auf der Festplatte

ZEIT Online macht sogar den Sprung vom Artikel in die Praxis und organisiert am 26. Februar eine CryptoParty. Dort zeigen Patrick Beuth und die Organisatoren der CryptoPartys in Berlin, wie die verschiedenen Werkzeuge zu benutzen sind. So wird die anfängliche Hürde, derartige Werkzeuge zu benutzen sicher kleiner.

Die Sendung Trackback auf Fritz hatte an diesem Wochenende unter anderem Internetkontrolle und Anonymes Surfen zum Thema. Stefan Schultz arbeitet bei Spiegel Online und war in China. Er erzählte etwas zur Zensur und Überwachung in China. Ich wurde kurz zu technischen Möglichkeiten des anonymen Surfens und der Zensurumgehung befragt. Im Interview erklärte ich kurz die Tor Bridges und wies auf JonDonym als weiteres Projekt zum anonymen Surfen hin. Die gesamte Sendung könnt ihr anhören oder als MP3 runterladen.

Im letzten Blogposting stellte ich die Matrix verschiedener Zensurumgehungssoftware vor. Ich will hier und in den folgenden auf einzelne Software oder Protokolle eingehen. Vielleicht hilft euch das, Vor- und Nachteile der Lösungen zu erkennen.

Die erste Variante in der Reihe sind offene Proxys. Eigentlich wurden die nicht zur Zensurumgehung erfunden, das ist vielmehr ein Nebenaspekt. Proxys dienten zuerst als eine Art Zwischenspeicher in großen Netzen (Firmen). Denn das Internet war langsam und teuer. Also suchten die Betreiber nach Möglichkeiten, es schneller zu machen. Ein Proxy war eine solche Möglichkeit und spielt eine Vermittlerrolle. Die Benutzer eines Proxys fragen Webseiten nicht mehr direkt an, sondern nutzen den indirekten Weg über den Vermittler. Dieser ruft seinerseits die Webseite ab und liefert das Ergebnis weiter. Gleichzeitig speichert der Proxy die Webseite lokal. Kommt nun ein weiterer Benutzer, liefert der Proxy die Webseite aus seinem Speicher aus. Das ist zum einen schneller und zum anderen preiswerter, da kein externer Datenverbrauch entsteht.

Offene Proxys sind Proxys, die von allen benutzt werden können. Doch woher kommen diese offenen Proxys? Ein Teil stammt schlicht von Fehlkonfigurationen. Das heißt, jemand installiert eine Proxysoftware und gibt die dann versehentlich für die Welt frei. Andererseits kann das jemand in bösartiger Absicht tun. In der Hoffnung, dass Fremde die Software nutzen, sich bei Seiten einloggen und dort sensible Daten hinterlassen, wird der Proxy aktiviert. Der Angreifer lauscht mit und bekommt so Zugriff auf die Geheimnisse seiner Nutzer. Dafür würde die konsequente Nutzung verschlüsselter Seiten (HTTPS) schützen. Eine weitere Gruppe von Administratoren sorgt sich um die Sicherheit seiner Nutzer und versucht mit speziellen offenen Webproxys zu helfen. Zu letzterem gehören Seiten wie Morphium.info oder Anonymouse.org. Weiterhin gibt es Listen, wie beispielsweise Xroxy, die beliebige offene Proxys sammeln. Das Firefox-Plugin Stealthy lädt die Listen automatisch herunter und macht die im Browser nutzbar.

Ein Nutzer in einem Land mit Internetzensur kann versuchen, einen offenen Proxy zu verwenden. Als einfache Varianten bieten sich Morphium.info, Anonymouse oder Stealthy an. Oder aber er stellt im Browser einen offenen Proxy ein. Im letztgenannten Fall geht der Aufruf nicht direkt zur gesperrten Webseite, sondern zu dem Proxy. Dieser ruft die Seite auf und liefert das Ergebnis zurück.

Derartige Proxys sind ein sehr einfaches Mittel, Zensur zu umgehen. Leider haben das auch die Zensoren erkannt. Diese rufen häufig einfach die Listen der Proxys ab und sperren die Adressen. Andererseits wies ich oben schon auf den möglichen Missbrauch seitens des Betreibers des Proxys hin. Gegebenenfalls liest der Betreiber mit und nutzt diese Daten später zu seinem Vorteil. Im schlimmsten Fall könnte der Zensor den Betreiber des Proxys »überzeugen«, die Daten spezieller Nutzer mitzuschneiden und ihm diese auszuhändigen. Das heißt, auf der einen Seite sind Proxy zwar einfach. Aber die damit verbundenen Risiken sind nicht von der Hand zu weisen.

Die Lage verbessert sich für den zensierten Nutzer etwas, wenn er gute Freunde hat, die für ihn einen Proxy betreiben. Denn diese sind hoffentlich vertrauenswürdig.

Insgesamt sind die offenen Proxys also ein erster Weg zur Zensurumgehung. Mit etwas Glück funktionieren die im Land. Jedoch sollten die Nutzer sich immer über eventuellen Missbrauch im Klaren sein und entsprechende Gegenmaßnahmen treffen.

Weitere Informationen hat die englischsprachige Wikipediaseite zu Open Proxys oder die deutschsprachige zu Proxys.