🥇Experiment: Wie man die Nutzung von Tor zur Umgehung von Blockaden tarnen kann

Zensur im Internet wird weltweit zunehmend zu einem bedeutenden Problem. Dies führt zu einem verstärkten "Wettrüsten" – staatliche Stellen und private Unternehmen in verschiedenen Ländern versuchen, unterschiedliche Inhalte zu blockieren und kämpfen gegen Mittel, um solche Beschränkungen zu umgehen, während Entwickler und Forscher versuchen, effektive Werkzeuge im Kampf gegen die Zensur zu schaffen.

Wissenschaftler der Carnegie Mellon University, der Stanford University und von SRI International führten ein Experiment, währenddessen sie einen speziellen Dienst zur Maskierung der Nutzung von Tor entwickelten – einem der beliebtesten Werkzeuge zum Umgehen von Blockaden. Wir präsentieren Ihnen einen Bericht über die Arbeit der Forscher.

Tor gegen Blockaden

Tor gewährleistet die Anonymität der Benutzer durch den Einsatz spezieller Relays – also Zwischenserver zwischen dem Benutzer und der gewünschten Website. Normalerweise befinden sich mehrere Relays zwischen Benutzer und Website, von denen jedes nur einen kleinen Datenumfang im übertragenden Paket entschlüsseln kann – genug, um den nächsten Punkt in der Kette zu erkennen und ihn dorthin zu senden. Somit ist es selbst dann, wenn ein von Kriminellen oder Zensoren kontrolliertes Relay in die Kette hinzugefügt wird, nicht möglich, sowohl den Empfänger als auch den Zielort des Verkehrs zu erkennen.

Als ein Instrument im Kampf gegen die Zensur funktioniert Tor effizient, jedoch bleibt den Zensoren die Möglichkeit, es vollständig zu blockieren. Iran und China führten erfolgreiche Kampagnen zur Blockierung durch. Es gelang ihnen, Tor-Verkehr durch das Scannen von TLS-Handshakes und andere charakteristische Merkmale von Tor zu identifizieren.

Anschließend gelang es den Entwicklern, das System für das Umgehen von Blockaden anzupassen. Die Zensoren reagierten mit Blockierungen von HTTPS-Verbindungen zu zahlreichen Websites, einschließlich Tor. Die Entwickler des Projekts schufen ein Programm namens obfsproxy, um den Verkehr zusätzlich zu verschlüsseln. Dieser Wettlauf dauert ständig an.

Eckdaten des Experiments

Die Forscher entschieden sich, ein Werkzeug zu entwickeln, das es ermöglicht, die Nutzung von Tor zu maskieren, um dessen Anwendung selbst in Regionen zu ermöglichen, in denen das System vollständig blockiert ist.

Als Ausgangshypothesen formulierten die Wissenschaftler folgende:
Der Zensor kontrolliert ein isoliertes internes Netzwerksegment, das mit dem externen nicht zensierten Internet verbunden ist.
Die für Blockierungen zuständigen Stellen kontrollieren die gesamte Netzwerkinfrastruktur innerhalb des zensierten Netzwerksegments, jedoch nicht die Software auf den Computern der Endnutzer.
Der Zensor versucht, den Zugang der Nutzer zu unerwünschten Materialien zu verhindern, die seiner Ansicht nach alle auf Servern außerhalb des kontrollierten Netzwerksegments liegen.
Die Router am Rand dieses Segments analysieren die unverschlüsselten Daten aller Pakete, um unerwünschte Inhalte zu blockieren und zu verhindern, dass entsprechende Pakete in den Perimeter gelangen.
Alle Tor-Relais befinden sich außerhalb des Perimeters.

Die DANE-Spezifikation ist in

Um die Nutzung von Tor zu verschleiern, haben Forscher das Werkzeug StegoTorus entwickelt. Dessen Hauptaufgabe ist es, die Widerstandsfähigkeit von Tor gegen automatisierte Protokollanalysen zu verbessern. Das Werkzeug befindet sich zwischen dem Client und dem ersten Relais in der Kette, verwendet ein eigenes Verschlüsselungsprotokoll und Steganographie-Module, um die Identifizierung von Tor-Traffic zu erschweren.

Im ersten Schritt kommt ein Modul namens Chopper zum Einsatz – es wandelt den Traffic in eine Sequence von Blöcken unterschiedlicher Länge um, die dann nicht der Reihenfolge nach weitergeleitet werden.

Die Daten werden mit AES im GCM-Modus verschlüsselt. Der Blockkopf enthält eine 32-Bit-Sequenznummer, zwei Längenfelder (d und p) – diese kennzeichnen das Datenvolumen, ein spezielles Feld F und ein 56-Bit-Prüffeld, dessen Wert null sein muss. Die minimale Blocklänge beträgt 32 Byte, die maximale 217+32 Byte. Die Länge wird von den Steganographie-Modulen kontrolliert.

Bei der Verbindungsherstellung sind die ersten paar Bytes der Information eine Handshake-Nachricht, mit der der Server erkennt, ob es sich um eine vorhandene oder neue Verbindung handelt. Wenn die Verbindung zu einem neuen Link gehört, antwortet der Server mit einem Handshake, und jeder der Teilnehmer des Austauschs extrahiert daraus die Sitzungsschlüssel. Darüber hinaus gibt es im System einen Mechanismus für das Rekeying – dieser ähnelt der Schlüsselverteilung von Sitzungen, jedoch werden anstelle von Handshake-Nachrichten Blöcke verwendet. Dieser Mechanismus ändert die Sequenznummer, berührt jedoch die Link-ID nicht.

Nachdem beide Teilnehmer des Datenaustauschs den Fin-Block gesendet und empfangen haben, wird die Verbindung geschlossen. Um Replay-Angriffe oder Verzögerungen bei der Zustellung der Blöcke zu verhindern, müssen sich beide Teilnehmer an die ID erinnern, für welchen Zeitraum nach der Schließung.

Das integrierte Steganografiemodul verbirgt den Tor-Verkehr innerhalb des p2p-Protokolls – ähnlich wie bei Skype bei geschützten VoIP-Kommunikationen. Das HTTP-Steganografiemodul simuliert unverschlüsselten HTTP-Verkehr. Das System ahmt einen realen Benutzer mit einem gewöhnlichen Browser nach.

Angriffswiderstand

Um zu überprüfen, wie sehr die vorgeschlagene Methode die Effizienz von Tor verbessert, entwickelten die Forscher zwei Arten von Angriffen.

Der erste besteht darin, Tor-Ströme aus TCP-Strömen basierend auf grundlegenden Eigenschaften des Tor-Protokolls zu extrahieren – genau diese Methode wurde verwendet, um das System der chinesischen Regierung zu blockieren. Der zweite Angriff besteht darin, bereits bekannte Tor-Ströme zu untersuchen, um Informationen darüber zu gewinnen, welche Websites der Benutzer besucht hat.

Die Forscher bestätigten die Effektivität des ersten Angriffstyps gegen „Vanilla Tor“ – hierzu sammelten sie Spuren von besuchten Webseiten aus den Top-10 von Alexa.com zwanzigmal über den normalen Tor, obfsproxy und StegoTorus mit dem HTTP-Steganografiemodul. Als Referenz für den Vergleich diente der CAIDA-Datensatz mit Daten für Port 80 – so gut wie alle hiervon sind HTTP-Verbindungen.

Das Experiment zeigte, dass es ziemlich einfach ist, normales Tor zu identifizieren. Das Tor-Protokoll ist zu spezifisch und weist eine Reihe von Eigenschaften auf, die sich leicht erkennen lassen – beispielsweise dauern TCP-Verbindungen bei seiner Nutzung 20-30 Sekunden. Das Obfsproxy-Tool verbirgt diese offensichtlichen Punkte ebenfalls kaum. StegoTorus hingegen generiert Verkehr, der viel näher am CAIDA-Referenzwert liegt.

Im Falle eines Angriffs zur Berechnung der besuchten Websites verglichen die Forscher die Wahrscheinlichkeit einer solchen Datenoffenlegung im Fall von „Vanilla Tor“ und ihrer Lösung StegoTorus. Zur Bewertung wurde die Skala verwendet AUC (Area Under Curve). Den Analyseergebnissen zufolge ist die Wahrscheinlichkeit, dass Daten über besuchte Websites beim normalen Tor ohne zusätzlichen Schutz offengelegt werden, deutlich höher.

Fazit

Die Geschichte des Widerstands zwischen den Regierungen, die Internetzensur einführen, und den Entwicklern von Systemen zur Umgehung von Blockaden zeigt, dass nur umfassende Schutzmaßnahmen effektiv sein können. Die Verwendung nur eines Werkzeugs kann nicht garantieren, dass man Zugang zu den benötigten Daten erhält und dass Informationen zur Umgehung von Blockaden den Zensoren nicht bekannt werden.

Daher ist es wichtig, beim Einsatz jeglicher Werkzeuge zur Gewährleistung von Privatsphäre und Zugang zu Inhalten nicht zu vergessen, dass es keine idealen Lösungen gibt und dass man, wenn möglich, verschiedene Methoden kombinieren sollte, um die größtmögliche Effizienz zu erreichen.