Entzaubert – TOR-Browser und Dark Net

Jochens SOZIALPOLITISCHE NACHRICHTEN

Der jüngste Fahndungserfolg gegen einen großen Kinderporno-und Vergewaltiger-Ring mit mehrerern zehntausend Mitgliedern in Deutschkand, Österreich und der ganzen Welt zeigt, dass man sich auf die Behörden diesbezüglich verlassen kann.
Aber wer das ausspähen kann, der kennt auch sionst keine Grenzen.
Bin Laden und die Mafia verließen sich nur auf menschliche Botschaftsüberbringer oder Zettel in unleserlicher Handschrift.
Dazu ein aktueller Artikel auf heise online:
https://www.heise.de/ix/heft/Entzaubert-3754494.html
Dort auch sehr lehrreiche Kommentare.
Und hier Auszüge daraus:
Tarnkappen gibt es nur bei Harry Potter, so Bundesinnenminister Thomas de Maizière auf dem Podium der Bloggerkonferenz re:publica 2017.
Seit Jahren betont der Hardliner der CDU, wie wenig er von digitalen Grundrechten hält und dass er stattdessen lieber auf Überwachung durch Bundestrojaner und Vorratsdatenspeicherung setzt. Wenige Tage später wird seine Regierung beschließen, den Datenpool der Vorratsdaten auch schon für Straftaten wie Einbrüche aufzusperren und so den Ermittlern weitreichende Maßnahmen zu gestatten.

Was Datenschützer entsetzt, bringt Verschlüsselungs- und Anonymisierungstechniken großen Zulauf, sowohl von Bürgern, die ihre Grundrechte wahren möchten, als auch von Kriminellen, die ihre Geschäfte nicht im Lichte der Öffentlichkeit wahrnehmen wollen. Die, so die allgemeine Wahrnehmung und das Presse-Echo, seien im Darknet ja ohnehin in der Mehrheit und die Polizei weitgehend machtlos. Dass das so nicht stimmt, zeigt dieser Artikel.
„Alle Links“ am Ende des Artikels verweist auf sehr eine umfangreiche Sammlung von Quellen und weiterführenden Informationen zum Thema.

Fake-Anonymität dank Schwachstelle Mensch

Hochkonjunktur haben Tor und Konsorten spätestens seit den Snowden-Enthüllungen, nicht nur in Diktaturen. Als Reaktion auf die zunehmende Überwachung interessieren sich immer mehr Anwender für Verschlüsselung, Anonymisierung und vermeintlich sichereres Surfen.
Auch Sicherheitsexperten warnen davor, dass allzu viele Überwachungsmaßnahmen eher kontraproduktiv wirken: Strafverfolger fluchen laut darüber, dass die Politik doch Anwender mehr und mehr zu PGP, verschlüsselten Chats wie Opmsg, Threema, Signal oder WhatsApp und in anonyme Netze wie Tor, das in iX 4/2017 vorgestellte Invisible Internet Project I2P [1], Freenet oder andere Overlay-Netzwerke treibt – ins Darknet.

Egal, wie man die IT-Kompetenz der Regierung einschätzt, in einem Punkt hat de Maizière recht: Vollständige Anonymität zu erreichen, ist genauso unwahrscheinlich wie hundertprozentige Sicherheit. Weder die Entwickler von Tor noch die NSA oder bundesdeutsche Strafverfolger können sagen, ob und wie sicher oder verwundbar Tor auf der technischen Seite ist.
Aber das brauchen sie auch gar nicht. So muss die Auslieferung der bestellten illegalen Ware irgendwo in der Realität stattfinden. Und da kann sich der vermeintlich interessante Onlineshop schon mal als von FBI oder CIA betriebene Falle herausstellen.

Nur wenige tatsächliche Akteure

Laut dem Schweizer Darknet-Experten Marc Ruef haben gut 50 Prozent der Seiten im Darknet einen eindeutig kommerziellen Hintergrund. Auf seiner Webseite www.scip.ch verlinkt er umfangreiche Details zu den oft dubiosen Angeboten, inklusive Preisvergleich.
Dennoch sind wohl nur wenige Akteure als Anbieter im dunklen Teil des Internets unterwegs. Die teilen sich den Großteil der Angebote, ziehen aber dadurch erst recht das Interesse von Geheimdiensten, Strafverfolgern und anderen Behörden auf sich. Deren Aktivität ist im Darknet mittlerweile überproportional groß, was die Chance, dort wirklich unerkannt zu bleiben, vergleichsweise gering erscheinen lässt – zumindest beim Einkauf auf Webseiten: Den Forensikern stehen automatisierte Tools sowie ein großer Informations- und Erfahrungsschatz zur Verfügung.

Dabei brauchen die Geheimdienste derlei Automatismen eigentlich gar nicht, erklärt der Ex-Hacker Tobias Klein, der heute unter anderem Schulungen für Strafverfolger durchführt: „Die NSA hat 2014 ganz offen zugegeben: Okay, wir können Tor zwar nicht entschlüsseln, aber das ist gar nicht nötig, wir kommen mit Zero Days*) , Profiling und Social Hacking überall hin.“
Dazu verweist er auf die Dokumentation zu Egoistical Giraffe bei der Electronic Frontier Foundation (EFF). Und dass die Dienste Zero Days horten, wurde durch die Enthüllung der CIA-Tools durch WikiLeaks bekannt.

Zum Repertoire von Geheimdiensten gehört auch, unliebsamen Verdächtigen mit Staatstrojanern Daten unterzuschieben und anschließend im Zuge der Aufklärung an die eigentlich interessanten Inhalte zu gelangen. Genau das ist laut der ARD-Reportage „Darknet“ in der Türkei mit Journalisten passiert.

Erfolge durch menschliche Fehler

So eine via Trojaner auf dem Client-Rechner installierte Backdoor funktioniert natürlich ganz unabhängig von Tor oder Verschlüsselung – und ermöglicht Ermittlern und Hackern Vollzugriff auf den Rechner des „Kunden“.
In der Sprache der Bundesregierung nennt man diese Instrumente, die auch deutsche Geheimdienste und Polizisten gerne einsetzen würden, Quellen-Telekommunikationsüberwachung, kurz Quellen-TKÜ.

In der Regel basieren die größten Erfolge der Strafverfolger aber nicht auf Bugs in Tor und seiner Implementierung, sondern auf Fehlern in anderer Software, Social Hacking und persönlichen Fehlleistungen, mit denen sich Anwender deanonymisieren lassen. So wie im Fall des Darkweb-Drogennetzwerks Silk Road, bei dem die Ermittler Roger Thomas Clark beispielsweise als Urheber des Drogenversands von Silk Road identifizieren konnten, weil sie an den Scan eines Reisepasses, Firmeninformationen aus dem UK und an einen Zeugen gelangt waren, der die Identität Clarks bestätigte.
Der Erfolg war eher klassischer Geheimdienst- oder Ermittlerarbeit zuzuschreiben denn spezieller Technik oder Fehlern im Tor-Netzwerk – und das sei die Regel, nicht die Ausnahme, bestätigen Forensiker.

Ähnliches gilt für den Fall des Kinderporno-Forums „Playpen“, wo die US-Bundespolizei über 8000 Verdächtige aus 120 Ländern ermitteln konnte, indem man ihnen Malware unterschob, die die Rechner der Betroffenen zum FBI „nach Hause telefonieren“ ließ.
In den Gerüchten zu diesem Fall zeigt sich allerdings ein Dilemma der Strafverfolger: Sollte das FBI – wie kolportiert – Tor gehackt haben, also Zugriff auf Exploits in der Tor-Software haben, dürfte es diese sicher nicht veröffentlichen, zumal die Entwickler diese Lücken dann schließen und Kriminelle sensibler reagieren dürften.

Im Vergleich zu europäischen Kollegen sind die US-Dienste ohnehin wenig zimperlich. Deutschen Behörden stehen derlei Mittel nur bedingt zur Verfügung.
Aber selbst vor US-Gerichten muss die Anklage einen zweiten Weg „konstruieren“, wie man „legal“ zu den Daten des oder der Angeklagten gekommen wäre (siehe Kasten „Ansichten eines Tor-Kenners“). In den USA reicht bisweilen die Beweisführung des „So hätten wir auch an die Indizien kommen können“, die sogenannte „Parallel Construction“, in der eine plausible Parallelkonstruktion dazu dient, unverwertbare Informationen in gerichtsfeste Beweise umzuwandeln.
Ernsthaft einschätzen lässt sich das Instrumentarium der Geheimdienste und Strafverfolger so nicht. Und auch die Spekulationen zu mehren, hilft den Ordnungskräften – weil verunsicherte Kriminelle häufig leichter Fehler machen, so heißt es.

Durchaus umstrittene Tor-Sicherheit

Selbst wenn Geheimdienste und Polizei Tor nicht hacken können und es auch gar nicht müssen, bleibt das Thema Sicherheit in Tor umstritten. Noch Ende 2014 schrieb Paul Bradley Carr auf Pando, wer sich auf Tor verlasse, sei wohl nicht mehr ganz bei Sinnen („If you still trust Tor to keep you safe, you’re out of your damn mind“), und: „Es scheint zunehmend wahrscheinlich, dass sogar die Tor-Entwickler keinen blassen Schimmer davon haben, wie sicher ihr Netzwerk denn ist.“ …

Ansichten eines Tor-Kenners

iX sprach mit Andreas Stieger über Anonymität und Sicherheit bei Tor. Er ist Projektmanager Security bei SUSE und Maintainer der Tor-Pakete.

iX: Andreas, ist Tor sicher?

Andreas Stieger: Die Ermittlungs- und Geheimdiensterfolge zeigen: Wer auf gängige Sicherheitsmaßnahmen verzichtet, wird auf dem Weg zur angestrebten Anonymität meist Schwierigkeiten haben. Wie überall ermöglichen Fehlkonfigurationen oder Sicherheitslücken im Server selbst das erfolgreiche Deanonymisieren und Identifizieren der jeweiligen Anwender. Allerdings lässt sich hier eine „Parallel Construction“ nicht immer ausschließen: Falls ein Dienst die Benutzer der Technik zuverlässig deanonymisieren kann, wird er seine wahren Fähigkeiten hinter Zufallsfunden oder Fehlern des Angeschuldigten zu verbergen wissen.

Das bedeutet aber auch, dass Tor allein Anonymität nicht garantieren kann …

Das Tor-Projekt beschreibt seine Implementierung selbst als Kompromiss zwischen Anonymität und vertretbarer Antwortzeit. Seine Sicherheitsziele sind auf bestimmte Anwendungszwecke und Gegnerszenarien ausgelegt.
So erfolgen der Zugriff auf das Netzwerk sowie der Zugriff des Netzwerks auf die Quelle zeitnah. Das heißt, man versteckt sich nicht in der Masse aller Tor-Nutzer, sondern unter den zu diesem Zeitpunkt aktiven. Tor erschwert die Traffic-Analyse unter der Annahme, dass niemand das komplette Internet überwachen kann. Einige Anwender scheinen das regelmäßig zu ignorieren, während die Gegenseite sich technisch weiterentwickelt und gerade an der Überwachung des Internets arbeitet.

Welche Rolle spielt dabei, dass derzeit so viele neue Benutzer dazustoßen?

Die Struktur und Größe des Tor-Netzes scheint mir momentan nicht dazu geeignet, dass sich einzelne interessante Ziele auf Dauer vor entschlossenen und mit entsprechenden Mitteln ausgestatteten Diensten verstecken könnten. Ob dies allein durch weiteres Wachstum des Netzes zu beheben ist, bleibt fraglich.

Ist es gefährlich, Tor zu nutzen?

Tor als Implementierung des Onion-Router-Konzepts kann das Umgehen von Massenzensur und Netzwerksperren mit begrenzter Anonymität ermöglichen. Ob das für den jeweiligen Zweck ausreicht, kann nur der Anwender entscheiden.
Wer vermeiden will, sich zu einem interessanten Ziel zu machen, sollte aber auf jeden Fall zusätzliche oder andere Mittel wählen. Dazu gehören die Nutzung getrennter Browser-Profile, auf Aktualität der verwendeten Programme und Plug-ins achten oder der Einsatz einer Live- Distribution ohne Zugriff auf die im System verbaute Festplatte. Darüber hinaus sollte man sich vergegenwärtigen, dass sich auch mit Tor die Nutzung sozialer Netze und Anonymität nur schwer miteinander in Einklang bringen lassen.

*) zero Days sind ganz neue und dem Programmhersteller noch nicht zurück gemeldete Programmfehler, Lücken im System, die noch nicht über Updates geschlossen wurden. Einige massive Erpressungsüberfälle der letzten Monate wurden mit solchen Zero Day Exploits vorgenommen, über die sich vermutlich einige NSA-Insider ein nettes Zubrot verdienen wollten.

Jochen