Qbi's Weblog

Beim Artikel zu Picidae hatte ich in den Kommentaren versprochen, etwas zur Umgehung der Zensur mittels Tor zu schreiben. Heute ist es nun soweit.

Tor ist ja per se schon gut geeignet, um unbeobachtet zu kommunizieren. Jedoch könnten Angreifer auf die Idee kommen, einfach die Kommunikation über Tor zu blockieren und schon funktioniert dieser Kanal nicht mehr. Die Schwachstellen, die hierfür gern benutzt werden, sind die öffentlich verfügbaren Verzeichnisserver. Denn jeder Client muss sich von dort aktuelle Informationen über die verfügbaren Tor-Server herunterladen. Wenn die Verbindung zu allen der fünf Verzeichnisserver geblockt wird, dann hat der Client keine Informationen und kann auch keine Verbindung aufbauen. Der Angreifer könnte auch die Verzeichnisinformationen runterladen und die IP-Adressen der einzelnen Tor-Server extrahieren (awk ‘/^router/ { print $3 }’ /var/lib/tor/cached-routers). Jetzt kann die Verbindung zu den Rechnern gezielt über den Paketfilter gesperrt werden. Ein dritter Weg liegt in der Prüfung des HTTP-Verkehrs. Tor lädt die Verzeichnisinformationen über HTTP herunter. Somit kann man gezielt Verbindungsanfragen sperren. In der Praxis filtern viele auf den String “tor”. Diese Maßnahme lässt sich am einfachsten umgehen. In den neueren Tor-Versionen gibt es eine Option TunnelDirConns. Sobald diese auf 1 gesetzt wird, lädt der Tor-Client die Verzeichnisinformationen über HTTPS herunter und der Filter läuft ins Leere.

Die beiden zuerst beschriebenen Fälle sind etwas komplizierter. Seit diesem Jahr arbeiten die Entwickler daran, Mechanismen zur Lösung des Problems in Tor einzuarbeiten. Die Theorie basiert auf folgendem Design. Die ursprüngliche Idee stammt vom JAP und wurde für Tor weiterentwickelt. Der Grundgedanke besagt, dass man sich nicht direkt mit dem Netzwerk verbindet, sondern Hilfen, so genannte Brückenserver, benutzt. Diese nehmen eine Anfrage entgegen und leiten sie dann an das Tor-Netzwerk weiter. Für einen effektiven Schutz gegen Zensur ist es wichtig, dass die Brückenserver nicht als solche erkannt werden. Das Tor-Projekt geht verschiedene Wege. Zum einen muss ein Brückenserver nicht in einem zentralen Verzeichnis registriert sein. Das heißt, ihr könnt zu Hause selbst einen aufsetzen, von dem nur ihr wisst und gebt die Adresse des Servers an Freunde weiter. Ein dritter sieht nur eine SSL-Verbindung zu dem Server und kann nicht sagen, welche Inhalte transportiert werden. Wenn du dich entscheidest, den Brückenserver bei einem Verzeichnisserver anzumelden, wird von seiten des Projektes viel getan, um dessen Identität zu verschleiern. Details findet ihr in dem oben erwähnten Designdokument.

Wenn ihr einen Brückenserver ausprobieren wollt, reicht es, die Option UseBridges in der torrc auf 1 zu setzen. Solltet ihr einen speziellen Server nutzen wollen, dann kommt noch die Zeile Bridge 12.34.56.78:9009 hinzu. Sie legt fest, dass der Brückenserver auf der IP-Adresse 12.34.56.78 auf Port 9009 erreichbar ist. Wenn ihr den Fingerprint des Servers könnt, schreibt diesen hinter die IP-Adresse. Nun kommuniziert Tor immer über den Brückenserver. Damit sollte es einem Angreifer nicht mehr so ohne Weiteres möglich sein, eure Kommunikation mit Tor zu stören.

Momentan sind Brückenserver nur im experimentellen Code von Tor enthalten. Soweit ich das mitbekommen habe, wird diese in den nächsten Wochen freigegeben und der Code fließt in die stabile Version mit ein.

Letzte Woche wurde ich von jetzt, dem Magazin der Sueddeutschen Zeitung interviewt. Das Ergebnis steht jetzt online.

Obiges war der Titel einer Podiumsdiskussion, an der ich gestern teilnahm. Die Grüne Jugend Chemnitz hatte Johannes Lichdi, Mitglied des sächsisches Landtages und Rechtsanwalt, und mich eingeladen, um über innere Sicherheit und diverse Überwachungsmaßnahmen zu sprechen. Johannes Lichdi erklärte die politsch-rechtliche Ebene, während der Schwerpunkt meines Redebeitrages auf der technischen Umsetzung und dem eventuellen Schutz vor den Maßnahmen lag. Ich ging im wesentlichen auf die beschlossene Vorratsdatenspeicherung und die geplante Online-Überwachung der Computer ein. Daneben erwähnte ich noch weitere Techniken, wie RFID-Chips, Videoüberwachung, Abfrage der Kontostammdaten etc. Lichdi ging dann auf die Einschränkung der persönlichen Freiheit durch Überwachungsmaßnahmen, informationelle Selbstbestimmung etc. Beide Vorträge dauerten etwa eine Viertel Stunde. Danach begann die Diskussion.

Soweit ich sehen konnte, führten schon unsere Vorträge bei vielen zu großem Erstaunen. Einige Münder standen offen und wollten auch im Laufe der Diskussion nicht so recht zu gehen. Offensichtlich war vielen das Ausmaß nicht bekannt und so waren sie sichtlich schockiert.

Im Rahmen der Diskussion wurde u.a. gefragt, wie man denn seine Privatsphäre schützen kann, wenn man Kredit- und Rabattkarten einsetzt, bei Social-networking-Seiten angemeldet ist etc. Aus meiner Sicht ist die Privatsphäre damit schon zum großen Teil weg. Ich brachte dann unter anderem das Beispiel von Arbeitgebern, die sich StudiVZ-Profile anschauen. Dieser Gedanken schien doch einigen den Schweiß auf die Stirn zu treiben. Weitere Fragen gingen in die Richtung, wie man sich schützen kann und inwiefern die gespeicherten Daten sicher sind.

Alles in allem fand ich das eine sehr gelungene Veranstaltung und auch den Teilnehmern gefielen unsere Beiträge. Denn ungewöhnlich viele Leute kamen hinterher zu mir, um mir zu sagen, wie toll sie den Beitrag fanden. Eventuell schließt sich auch noch eine Veranstaltung an. Dabei wird es dann einen Workshop zu diversen Verschlüsselungs- und Anonymisierungsprogrammen geben.

Chaosradio Express hat in der Ausgabe 51 eine Sendung zur Vorratsdatenspeicherung, Anonymität und digitalen Freiräumen gemacht. Aus der Ankündigung:

Die drohende Vorratsdatenspeicherung wirft einen Schatten auf die persönliche Freiheit Anonymizer sind Systeme, die versuchen, die bei der Kommunikation im Internet automatische preisgegebenen Daten des Anwenders weitgehend im verborgenen zu halten. Tim Pritlove spricht mit Andreas Lehner, der für den CCC verschiedene Anonymizer-Projekte initiierte über politsche Hintergründe, technische Grundlagen und Motivationen zum Aufbau und Betrieb von solchen Anonymizer-Systemen.

Der Link zum MP3.

Das gibt mir ja gleich nochmal die Gelegenheit, auf mein mittlerweile erschienenes Buch zu verweisen. Dort findet ihr eine gute Anleitung zu diversen Anonymisierungsdiensten und es hilft, diese Dienste effektiv zu nutzen.

via Netzpolitik

Gestern habe ich das letzte Mal einen wesentlichen Inhalt zu meinem Buch hinzugefügt. Entgegen meines ursprünglichen Wunsches überzeugte mich mein Lektor, etwas zur Umgehung der Zensur mit Tor zu schreiben. Der Abschnitt ist ein schöner Ausblick auf die kommenden Features.

Jetzt steht noch ein wenig Feinarbeit an, d.h. Umbrüche prüfen, letzte kleine Fehler beseitigen. Ende der Woche kommt dann die Druckversion (mit hoffentlich keinen Änderungen) und am Sonntag werden dann die Druckmaschinen angeworfen. Alle Vorbesteller dürften das Buch demnächst also in den Händen halten. Wer es noch nicht bestellt hat, sollte es dringend tun.

Alexander Janssen schrieb kürzlich auf der Tor-Mailingliste, dass es zwei Ermittlungen gegen ihn gibt und hielt sich sonst eher bedeckt. Gestern verwies er auf die genaue Beschreibung des Vorfalls in seinem Blog. Demnach trat die Polizei um Mitternacht seine Tür ein (bildlich gesprochen), legte ihm Handschellen an und durchsuchte seine Wohnung. Später wurde er dann mit auf die Wache genommen. Sein Verbrechen? Er betreibt einen Tor-Server und darüber wurde wahrscheinlich eine Bombendrohung in ein Webforum gepostet. Damit wurde die Liste der Übergriffe gegen Tor-Austrittsserver um einen (sehr schwer wiegenden) Eintrag länger. Wenn man die Berichte, die auf der Tor-ML aufschlagen so liest, fällt auf, dass nahezu alle Angriffe gegen das Tor-Netzwerk bzw. die Router von deutschen Behörden stattfinden. Wie schon Kai in seinem Beitrag Polizeihorror gegen Tor Exit Router Betreiber schreibt, sollte man in Deutschland nur einen Mittelknoten betreiben. Für einen Tor-Austrittsserver sollte derjenige genau wissen, was er tut und mit dem Risiko von Beschlagnahmungen, Hausdurchsuchungen etc. leben können.

Glücklicherweise wird der Vorfall momentan von einigen Medien aufgegriffen. Ich las Einträge bei Slashdot, The Register, BoingBoing, Heise und einigen anderen. Ich hoffe, Alexander erhält dadurch genügend Unterstützung, um das Wirrwarr zu überstehen und auch den Schreck zu überwinden.

Wenn ihr euch fragt, was ihr denn noch tun könnt, habe ich guten Rat. Am kommenden Samstag ist in Berlin die Demonstration Freiheit statt Angst. Diese setzt sich gegen die geplante Vorratsdatenspeicherung und gegen weitere Überwachungsmaßnahmen ein. Dort könnt ihr zusammen mit mehreren Tausend anderen Bürgern Protest gegen die zunehmende Überwachung ausdrücken. Die Liste der Unterstützer ist mittlerweile auf über 50 Organisationen angewachsen. Soweit ich das sehe, ruft außer der CDU jede im Bundestag sitzende Partei (oder Jugendorganisation derselben) zur Demo auf. Weiterhin findet ihr in der Liste Verbände von Journalisten, Ärzten, Telefonseelsorgern etc. Also geht auch zur Demo und drückt euren Protest aus.

Maddi erzählte mir vor kurzem von einem neuen und tollen Projekt. Die Macher von Picidae haben ein Kunstprojekt auf die Beine gestellt, welches Zensur umgehen soll. Hierzu gibt es ein Eingabeformular für die Adresse der Webseite, die man anschauen will. Die Software von Picidae ruft die Webseite auf und generiert daraus ein Bild. Dieses Bild wird dann auf einer Webseite dargestellt. Die Logik ist, dass Bilder sich schwer zensieren lassen. Daher kann Picidae die Zensur umgehen.

Leider ist das nicht ganz so. Einerseits lassen sich die Picidae-Server einfach zentral sperren. Damit ist es ganz vorbei und die Zensur ist wieder da. Andererseits kann man auch subtiler vorgehen. Denn die Software nutzt JavaScript, um die angefragte URL zu verschlüsseln. Im Kopfteil der HTML-Datei ist eine Funktion scramble. Diese könnte der Angreifer einfach mittels eines vorgeschaltenen Proxys entfernen. Dann wird die URL in der GET-Anfrage im Klartext verschickt. Eine Anfrage für meine Webseite sähe dann beispielsweise so aus: GET /browse.php?f=sessionid&&c=0&u=http%3A%2F%2Fkubieziel.de HTTP/1.1\r\n. Der Angreifer muss also nur noch den Wert von u auswerten und kennt die Seiten, die abgerufen werden. Der Benutzer merkt hiervon in der Regel nichts und glaubt, er hat die Zensur umgangen.

Weitere Spielereien lassen sich auch mit der eingebauten Verschlüsselung machen. Aber wahrscheinlich funktioniert der obige Angriff schon so gut, dass man keine großen Umstände machen muss. Insofern ist Picidae eine nette Spielerei (und Kunstprojekt). Aber für ernsthafte Versuche, die Zensur zu umgehen, sollte ein Benutzer lieber auf Tor oder andere Werkzeuge zurückgreifen.