[Netzwelt] Tor-Netzwerk nachweislich kompromittiert

Am 4. August 2013 gingen erste Meldungen über eine potentielle Schwachstelle im Tor-Service ein. Offenbar gelang es dem Federal Bureau of Investigation (FBI) Teile der Hidden-Server mit Schadcode zu infiltrieren. Dieses Programm besitzt die Fähigkeit, mit Hilfen einer "Execution of unmapped memory through onreadystatechange event" in JavaScript, weitere Programmteile zu landen und damit ungeschützte Nutzer am Tor-Netzwerk vorbei zu identifizieren. Die als "Magneto" bezeichnete Malware protokollierte das gesamte Surfverhalten des Users und übermittelte die gewonnennen Daten an einen Server des Unternehmens "Science Applications International Corporation". Betroffen sind alle Versionen des Firefox bis Release 17.0.6. ESR. oder 21. Eine vorläufig bereinigte Version 17.0.7 steht bereits seit dem 5. August 2013 bereit. Wie die Tor-Entwickler erklären, eigne sich die Lücke prinzipiell auch dazu, den gesamten Computer des Users komplett zu übernehmen. Vorerst scheinen nur Windows davon direkt betroffen zu sein.

http://www.zeit.de/digital/internet/2013-08/tor-hidden-services-malware-fbi

 

[Tron]

SL is alive and kicking!

 

[saddy]

Woher weiß man jetzt, dass das jetzige SL kein honeypot ist? Soweit ich informiert war haben die doch auch bei FH gehostet?
Die ganze Geschichte verdeutlicht für mich aber nur noch mal, dass nur Tor alleine keine Garantie auf Anonymität ist. Schön das nochmal vor Augen zu haben

 

[Novgorod]

na super, tough shit also .. bleibt die frage, wozu sie sich den riesen aufwand machen nur um irgendwelche besucher zu loggen - als reine abschreckungsmaßnahme, so wie weiter oben vermutet ("huhu, wir finden dich auch im tor-netz"), erscheint mir das selbst für die NSA wie mit kanonen auf spatzen... zudem tor doch in erster linie für anonymen zugriff ins "clear-net" genutzt wird (und da muss sich jeder client selber absichern, aber das war schon immer bekannt)..

 

[gelöschter Benutzer]

jetzt interessiert mich nur noch eines an Tor. Wenn ich mich bei meinem Provider einwähle gehen meine Anfragen über deren Leitung ins Netz zum nächstliegenden "Knotenpunkt". Mal angenommen dieser Knotenpunkt (Beispiel der in Frankfurt) ist kompromittiert und wird überwacht, was geschieht wenn ich mich bei der Einwahl (Verbindung zum Tornetzwerk hergestellt) an diesen Knotenpunkten anonym auf den Weg ins Netz begebe? Wenn ich mich recht entsinne ist die Überwachung an einem Knotenpunkt nicht zu umgehen da ich von dort aus starte und was jetzt? Gut und schön das der Tor Exit Node auch einen Ausgangspunkt besitzt, aber könnte ich nicht auf dem Weg dorthin mit einem Ping oder ähnlich verfolgt werden, durch den Tor Browser beispielsweise ( im W-Lan fragt die Verbindung doch auch mit einer Pingabrfrage ob ich noch mit dem PC/Router verbunden bin)? Ich verstehe da den Zusammenhang nicht und möchte gern das es mir jemand mal erklärt in ganz einfacher Art und Weise. Es ist dämlich von mir ich weiß, aber kann ich jetzt noch Tor nutzen ohne üble Überraschung zu erleben? Danke schön mal im voraus...

 

[Kugelfisch]

Dein Internet-Zugangsprovider könnte lediglich feststellen, dass du Tor verwendest - bzw. genauer: Dass du über das OR-Protokoll Daten an eine Tor-(Entry-)Node überträgst - und welche Datenmenge du darüber austauschst. Die Daten selbst sind mit starker Kryptografie verschlüsselt - nicht nur die Nutzdaten, sondern auch die Informationen über die weiteren Ziele des Pakets innerhalb des Tor-Netzwerks. Jeder Tor-Knoten in der von dir bzw. deinem Tor-Client gewählten kette verfügt über den passenden Schlüssel, um genau eine Ebene der Verschlüsselung zu entschlüsseln und damit den nächsten Knoten zu erfahren, an welchen das Paket weitergeleitet werden soll. Das Prinzip ist unter https://de.wikipedia.org/wiki/Onion-Routing kurz erklärt. Ohne alle Schlüssel zu kennen, ist es für deinen ISP nicht möglich, das Ziel eines Tor-Pakets zu ermitteln.

 

[gelöschter Benutzer]

Danke dir Kugelfisch. Aber was ist mit dem Knotenpunkten "Düsseldorf, Berlin, Hamburg, Frankfurt am Main", jene Datenumschlagplätze die ins Visier schlugen bei der NSA? Was wenn hier bereits die Einwahl (Verbindung zum Tornetzwerk hergestellt) abgehört wird, denn dort verbinde ich mich doch erst mit den Tor Kaskaden? Der Zugangsprovider spielt für Tor Kaskaden keine große Rolle, er vermittelt meine Verbindungen nur ins www. Ich spreche hier gezielt "nur" die Knotenpunkte an welche ja wahrscheinlich durch Geheimdienste abgehört werden! Könnte man theoretisch am Knotenpunkt die Einwahl zu Tor und deren weiteren verlauf verfolgen??? Wenn ich bedenke das es bekannt ist das einige Tor Server von Geheimdiensten betrieben werden, und nun noch die Zentralen Knotenpunkte Überwacht werden könnten, wie hoch ist es da wahrscheinlich das solche Verbindungen über das Netzwerk identifiziert werden könnten?

 

[1Bratwurstbitte]

...Aber was ist mit dem Knotenpunkten "Düsseldorf, Berlin, Hamburg, Frankfurt am Main...

Soweit ich das verstanden habe, hat er das ja schon erklärt.
Sobald du eine aktive Verbindung herstellst ist diese stark verschlüsselt, so dass selbst dein Provider lediglich den Traffic und eventuell eine Verbindung zum TOR-Netzwerk nachhalten kann / könnte. Die tatsächlichen Wege der Route die deine verschlüsselten angeforderten Daten gehen, kann er auch nicht nachhalten, weil die Verschlüsselung an sich nicht geknackt wurde.

Soweit ich das verstehe, ist es nun durch einen Exploit, der von einem zentralen Server in Verbindung mit JS verteilt wurde möglich geworden einzelne kompromittierte Systeme aus zu spähen und deren angeforderte Daten ab zu gleichen, bzw. von den kompromittierten Systemen Einsicht zu erlangen, welche Daten abgefragt wurden... Das System an sich wurde nicht geknackt, sondern man hat es hinten herum ähnlich einem Tracer-Cookie umgangen / ist darauf geritten.

 

[gelöschter Benutzer]

***JS in Tor, ist das deaktiv oder muss man diese Einstellung selber machen. Und die Verschlüsselung, Der angeblich schwierigste Code der Welt, die Verschlüsselung: 512-Bit-Code wurde doch auch dechiffriert.

***Wenn nicht, wie und womit schaue ich die Bilder Videos und wieso komme ich damit zu Hotmail. Und was kann noch ohne JS ausgeführt werden. Bin ich damit immer in der Gefahr das etwas mit auf Reisen geht? Sorry, aber nur durch hinterfragen erfahre ich die Wahrheit. Man sagte mir mal das man nur sicher mit Tor wäre indem man bestimmte Dinge in einen Datencontainer verstecken würde. Dies würde aber eine Identifizierung der Ausgangs IP nicht verhindern. Könnte jemand an einem Knotenpunkt einen Datencontainer oder etwas anderes mit auf die Reise durch die Kaskaden senden und so im Nachhinein den Tor Eingangs und Ausgangs Knoten bestimmen. Ich weiß, viele Fragen. Aber damit wäre ich hier auch schon durch damit!

Re.:
Würden die Knotenpunkte in Deutschland überwacht und aufgezeichnet bräuchten wir dann eine BDA und/oder VDS?

 

[TRON2]

***JS in Tor, ist das deaktiv oder muss man diese Einstellung selber machen. Und die Verschlüsselung, Der angeblich schwierigste Code der Welt, die Verschlüsselung: 512-Bit-Code wurde doch auch dechiffriert.

Diese Angriff hatte mit Tor nicht viel zu tun. Die Lücke bestand im Firefox, der zu Bund -standart genutzt wird. Das heißt, dass eine 0-Day Lücke ausgenutzt wurde, um IP, MAC und Infos zu aufgerufenen Seite am Tornetzwerk vorbei zu leiten.

Tor selbst gilt noch als sicher. Wie die Server den Schadcode ausliefern konnte ist mir noch nicht bekannt. Im Klartext, wenn du bei FF Javasscript deaktivierst, die neueste Version oder ein anderen Brower/OS benutzt kann es sein, dass du von dem vorliegenden Fall nicht betroffen sein wirst.

 

[gabberaner]

ist schon beängstigend wie die USA Geheimdienste und Behörden es immer wieder schaffen sich in Netzwerke einzuschleusen die als sicher gelten.
einerseits ist es ja verständlich das Strafverfolgungs Behörden ein Auge auf Dienste wie Tor haben wollen da damit ja nun auch viel mist angestellt wird ( wobei natürlich mehr als fraglich ist ob das FBI zwecks Strafverfolgung gehackt hat)aber auf der anderen seite ist Tor für mich in erster Linie ein dienst den menschen nutzen die es wirklich nötig haben , speziell Reporter in Diktaturen uä oder Gruppierungen wie Anonymous ect , das auch diese leute durch solche aktionen betroffen sind ist sehr traurig weil tor eine der wenigen letzten möglichkeiten der sicheren internet kommunikation darstellen...

 

[Kenobi van Gin]

speziell Reporter in Diktaturen uä oder Gruppierungen wie Anonymous ect

Das dürfte doch gerade der Punkt sein. Regierungen wollen nunmal an der Macht bleiben, das ist nicht nur in Diktaturen so. Um das zu erreichen haben sie das Bestreben, möglichst viel über die Bürger und deren Neigungen und Pläne zu wissen.
Darum sammeln Geheimdienste erstmal so viele Informationen wie möglich. Die Auswertung, was davon wichtig und was Schrott ist, kommt eben erst anschließend.
Ändert natürlich nichts dran, dass man versuchen sollte, den Staat mit seinem Wissensdrang in gewisse Schranken zu weisen oder es zumindest zu versuchen.

(Jo, ich weiß, dass sich das möglicherweise teilweise mit meinen Aussagen in diesem Thread beißt )

 

[xa.fr]

***JS in Tor, ist das deaktiv oder muss man diese Einstellung selber machen. Und die Verschlüsselung, Der angeblich schwierigste Code der Welt, die Verschlüsselung: 512-Bit-Code wurde doch auch dechiffriert.

Im neuen Browserbundle (Linux 64-bit) ist JS jetzt wieder dauerhaft deaktiviert mit NoScript und kann auch nur temporär erlaubt werden - so wie es auch sein sollte.

***Wenn nicht, wie und womit schaue ich die Bilder Videos und wieso komme ich damit zu Hotmail. Und was kann noch ohne JS ausgeführt werden. Bin ich damit immer in der Gefahr das etwas mit auf Reisen geht?

Bilder laden auch ohne JS. Ich bin gerade mit Tor hier im Forum. Warum willst du mit Tor Videos schauen? Für YT etc. ist die Torverbindung zu langsam und auch nicht notwendig. Emails kannst du mit Thunderbird (Torbirdy) und Tor anonym erreichen.

Re.:
Würden die Knotenpunkte in Deutschland überwacht und aufgezeichnet bräuchten wir dann eine BDA und/oder VDS?

Bad-Exit-Nodes werden offenbar relativ schneller entlarvt und dann nur noch als interne Knoten verwendet.