Vor einigen Tagen ging die Meldung durchs Internet, dass das Tor-Projekt ein Bug-Bounty-Programm starten will, das Sicherheitsforscher für das Aufspüren von Sicherheitslücken mit Geldprämien belohnt. Das wirft einmal mehr die Frage auf, wie sicher der prominente Anonymisierungsdienst heute noch ist.
Denn tatsächlich kamen in den vergangenen Jahren berechtigte Zweifel auf, ob Tor noch in der Lage ist, die Verbindungsdaten der Nutzer und deren Datentransfers vor Zugriffen von Dritten zu schützen. Das Konzept von Tor beruht auf der Überlegung, dass es nicht möglich ist, sämtliche Tor-Knoten oder größere Teile des Internet kontinuierlich zu überwachen. Seit den Enthüllungen von Edward Snowden jedoch wissen wir, dass die Geheimdienste verschiedener Länder genau daran arbeiten und dabei offenbar auch recht erfolgreich sind. Dass sich NSA und Co. insbesondere auch für das Tor-Netzwerk interessieren, belegt der 2014 bekanntgewordene Fall des Studenten Sebastian Hahn. Er betreibt einen Tor-Server, dessen IP-Adresse im Quellcode der von Geheimdiensten verwendeten Software XKeyscore als zu überwachendes Objekt auftaucht. Das ist besonders brisant, da es sich bei Hahns Server um eine Directory Authority handelt, welche wie ein Adressbuch die aktuell verfügbaren Tor-Server verwaltet.
Auch weitere Meldungen schürten in den letzten Jahren die Unsicherheit über die effektive Schutzwirkung von Tor. Über eine Sicherheitslücke im Webbrowser Firefox, der als Bestandteil des Tor-Browser-Bundles als eine Standardlösung für den Zugriff auf das Netzwerk verwendet wird, protokollierte eine Malware das Surfverhalten der Anwender und schickte sie an ein Unternehmen, das mit verschiedenen Geheimdiensten kooperiert. Und im November 2014 meldete das FBI, dass es ihm in Zusammenarbeit mit Europol und dem Department of Homeland Security gelungen sei, über die De-Anonymisierung mehrerer Personen verschiedene illegale Aktivitäten innerhalb des Tor-Netzwerks zu beenden. Auf der anderen Seite berichtete jedoch die britische Zeitung The Guardian, in den Snowden-Dokumenten Hinweise gefunden zu haben, dass die Sicherheit von Tor nach wie vor weitgehend gegeben ist. „We will never be able to de-anonymize all Tor users all the time,“ heißt es dort. Und: „With manual analysis we can de-anonymize a very small fraction of Tor users.“
Was sagen nun die Sicherheitsexperten zu Tor? Vertreter von Trend Micro erklärten kürzlich bei während einer Veranstaltung, dass Tor gemäß ihrer Einschätzung nach wie vor sicher sei. Einen eindeutigen Beweis dafür, dass das Netzwerk geknackt sei, konnten sie nicht erkennen. Allerdings sollte man bei der Verwendung von Tor einige Sicherheitsmaßnahmen ergreifen:
– Das Tor-Browser-Bundle sollte aufgrund der bekannten Browser-Attacke nicht verwendet werden.
– Die über Tor abgewickelte Internet-Kommunikation sollte mit einer End-to-End-Verschlüsselung gesichert werden. Für Chats empfehlen sich entweder der Tor Messenger oder Signal für den Desktop. Beide Chat-Tools sind noch in der Beta-Phase und eignen sich daher noch nicht für sensible Kommunikation.
– Es empfiehlt sich der Einsatz eines Live-Systems wie Tails, das von DVD gestartet werden kann. Tails bringt einen sicheren Tor-Client mit und baut sämtliche Internetverbindungen über Tor auf.
Der ganze Artikel: Wie sicher ist Tor?