🥇Experiment: Wie man die Verwendung von Tor zur Umgehung von Sperren verschleiert

Zensur im Internet wird weltweit zu einem immer wichtigeren Thema. Dies führt zu einem verstärkten „Wettrüsten“ – staatliche Stellen und private Unternehmen in verschiedenen Ländern versuchen, Inhalte zu blockieren und entwickeln Gegenmaßnahmen gegen Umgehungsmethoden, während Entwickler und Forscher effektive Werkzeuge zur Bekämpfung von Zensur schaffen.

Wissenschaftler der Carnegie Mellon University, der Stanford University und von SRI International haben Experiment, im Rahmen dessen ein spezielles Service zur Maskierung der Nutzung von Tor – einem der beliebtesten Tools zum Umgehen von Blockaden – entwickelt. Hier präsentieren wir Ihnen einen Bericht über die geleistete Arbeit der Forscher.

Tor gegen Blockaden

Tor sorgt für die Anonymität der Benutzer durch den Einsatz spezieller Relays – also Zwischenserver zwischen dem Benutzer und der gewünschten Website. In der Regel befinden sich mehrere Relays zwischen dem Benutzer und der Website, wobei jedes Relais lediglich einen kleinen Teil der in einem Paket gesendeten Daten entschlüsseln kann – genug, um den nächsten Punkt in der Kette zu erkennen und das Paket dorthin weiterzuleiten. Selbst wenn Relays, die von Angreifern oder Zensoren kontrolliert werden, zur Kette hinzugefügt werden, ist es ihnen nicht möglich, sowohl den Absender als auch das Ziel des Verkehrs zu identifizieren.

Als Werkzeug im Kampf gegen Zensur funktioniert Tor effektiv, jedoch haben Zensoren die Möglichkeit, es vollständig zu blockieren. Iran und China haben erfolgreiche Kampagnen zur Blockierung durchgeführt. Ihnen gelang es, Tor-Verkehr durch das Scannen von TLS-Handshake und anderen charakteristischen Merkmalen von Tor zu identifizieren.

Schließlich gelang es den Entwicklern, das System so anzupassen, dass Zensuren umgangen werden können. Die Zensoren reagierten mit Blockierungen von HTTPS-Verbindungen zu zahlreichen Websites, einschließlich Tor. Die Entwickler des Projekts erstellten das Programm obfsproxy, das den Datenverkehr zusätzlich verschlüsselt. Dieser Wettbewerb dauert ununterbrochen an.

Ausgangsdaten des Experiments

Die Forscher beschlossen, ein Werkzeug zu entwickeln, das die Nutzung von Tor maskiert, um dessen Anwendung auch in Regionen zu ermöglichen, in denen das System vollständig blockiert ist.

Als Ausgangshypothesen hatten die Wissenschaftler Folgendes formuliert:
Der Zensor kontrolliert ein isoliertes internes Netzwerksegment, das mit dem externen unzensierten Internet verbunden ist.
Die Instanzen, die für die Blockierungen verantwortlich sind, kontrollieren die gesamte Netzwerk-Infrastruktur innerhalb des zensierten Segments, jedoch nicht die Software auf den Computern der Endnutzer.
Der Zensor versucht, den Benutzern den Zugang zu Materialien zu verwehren, die aus seiner Sicht unerwünscht sind, wobei angenommen wird, dass sich alle solchen Materialien auf Servern außerhalb des kontrollierten Netzwerks befinden.
Die Router am Rand dieses Segments analysieren unverschlüsselte Daten aller Pakete, um unerwünschte Inhalte zu blockieren und das Eindringen entsprechender Pakete innerhalb des Perimeters zu verhindern.
Alle Tor-Relais befinden sich außerhalb des Perimeters.

Wie es funktioniert

Um die Verwendung von Tor zu verschleiern, haben Forscher das Werkzeug StegoTorus entwickelt. Seine Hauptaufgabe besteht darin, die Fähigkeiten von Tor zur Widerstandsfähigkeit gegen automatisierte Protokollanalysen zu verbessern. Das Werkzeug befindet sich zwischen dem Client und dem ersten Relais in der Kette, nutzt ein eigenes Verschlüsselungsprotokoll und steganographische Module, um die Identifizierung von Tor-Verkehr zu erschweren.

Im ersten Schritt kommt ein Modul namens Chopper zum Einsatz – es wandelt den Verkehr in eine Sequenz von Blöcken unterschiedlicher Länge um, die dann in unregelmäßiger Reihenfolge weitergesendet werden.

Die Daten werden mit AES im GCM-Modus verschlüsselt. Der Blockheader enthält eine 32-Bit-Sequenznummer, zwei Längenfelder (d und p), die die Datenmenge angeben, ein spezielles Feld F sowie ein 56-Bit-Prüffeld, dessen Wert null sein muss. Die Mindestblocklänge beträgt 32 Byte, während die maximale Länge 217 + 32 Byte beträgt. Die Länge wird durch Steganographie-Module kontrolliert.

Beim Aufbau der Verbindung sind die ersten paar Bytes der gesendeten Informationen eine Handshake-Nachricht, die es dem Server ermöglicht zu erkennen, ob es sich um eine bereits bestehende oder um eine neue Verbindung handelt. Wenn die Verbindung zu einem neuen Link gehört, antwortet der Server mit einem Handshake, und jeder Teilnehmer des Austausches extrahiert daraus die Sitzungsschlüssel. Darüber hinaus gibt es im System einen Rekeying-Mechanismus – dieser ist ähnlich der Bereitstellung von Sitzungsschlüsseln, allerdings werden anstelle von Handshake-Nachrichten Blöcke verwendet. Dieser Mechanismus ändert die Sequenznummer, lässt jedoch die Link-ID unverändert.

Nachdem beide Teilnehmer des Datenaustauschs den Fin-Block gesendet und empfangen haben, wird die Verbindung geschlossen. Um vor Replay-Angriffen oder Verzögerungen bei der Zustellung von Blöcken zu schützen, müssen beide Teilnehmer die ID für eine bestimmte Zeit nach der Schließung im Gedächtnis behalten.

Das integrierte Steganografie-Modul verbirgt den Tor-Verkehr innerhalb des p2p-Protokolls – ähnlich wie bei Skype während geschützter VoIP-Kommunikationen. Das HTTP-Steganografie-Modul simuliert unverschlüsselten HTTP-Verkehr. Das System ahmt einen echten Benutzer mit einem normalen Browser nach.

Angriffswiderstand

Um zu überprüfen, wie effektiv die vorgeschlagene Methode die Arbeitsweise von Tor verbessert, haben die Forscher zwei Arten von Angriffen entwickelt.

Der erste Angriff besteht darin, Tor-Ströme aus TCP-Strömen basierend auf den grundlegenden Eigenschaften des Tor-Protokolls zu isolieren – diese Methode wurde verwendet, um die Kontrolle durch das chinesische Regime zu blockieren. Der zweite Angriff beinhaltet das Studium bereits bekannter Tor-Ströme, um Informationen darüber zu gewinnen, welche Webseiten der Benutzer besucht hat.

Forscher haben die Wirksamkeit des ersten Angriffs gegen „vanilla Tor“ bestätigt – dazu sammelten sie Besuchsspuren von den Top-10-Seiten von Alexa.com zwanzig Mal über das normale Tor, obfsproxy und StegoTorus mit dem HTTP-Steganographie-Modul. Als Vergleichsreferenz wurde der Datensatz CAIDA mit Daten zu Port 80 verwendet – fast alle diese Verbindungen sind mit Sicherheit HTTP-Verbindungen.

Das Experiment hat gezeigt, dass es relativ einfach ist, gewöhnliches Tor zu berechnen. Das Tor-Protokoll ist zu spezifisch und weist eine Reihe von Eigenschaften auf, die leicht zu erkennen sind – zum Beispiel dauern die TCP-Verbindungen bei dessen Nutzung 20–30 Sekunden. Auch das Tool Obfsproxy verbirgt diese offensichtlichen Aspekte kaum. StegoTorus hingegen erzeugt einen Verkehr, der viel näher an der CAIDA-Referenz liegt.

Im Falle eines Angriffs zur Berechnung der besuchten Websites verglichen die Forscher die Wahrscheinlichkeit einer solchen Datenoffenlegung bei „vanilla Tor“ und ihrer Lösung StegoTorus. Zur Bewertung wurde die Skala verwendet AUC (Area Under Curve). Den Ergebnissen zufolge war die Wahrscheinlichkeit einer Datenoffenlegung über besuchte Websites bei gewöhnlichem Tor ohne zusätzlichen Schutz deutlich höher.

Fazit

Die Geschichte des Widerstands zwischen Regierungen, die Zensur im Internet einführen, und Entwicklern von Systemen zur Umgehung von Sperren zeigt, dass nur umfassende Schutzmaßnahmen wirksam sein können. Der Einsatz nur eines einzigen Werkzeugs kann nicht garantieren, dass auf die benötigten Daten zugegriffen werden kann und dass Informationen über die Umgehung von Sperren nicht den Zensors bekannt werden.

Deshalb ist es bei der Verwendung jeglicher Werkzeuge zur Gewährleistung der Privatsphäre und des Zugangs zu Inhalten wichtig, sich daran zu erinnern, dass es keine idealen Lösungen gibt. Es ist ratsam, verschiedene Methoden zu kombinieren, um die größtmögliche Effektivität zu erreichen.