Schlagwort-Titel

Autem vel eum iriure dolor in hendrerit in vulputate velit esse molestie consequat, vel illum dolore eu feugiat nulla facilisis at vero eros et dolore feugait.

Schlagwort-Archiv

Tor-Browser Sicherheit – Einführung und OpSec

Zuerst eine einfache Einführung in das Tor-Netzwerk. Es ist ein Onion-Routing-Netzwerk, das früher von seinem älteren Gründer, der US Navy (Gov), für geheime und verschlüsselte militärische Kommunikation betrieben wurde. Heutzutage wird es von Freiwilligen betrieben und dient als globales Netzwerk für Anonymität.

Diese Anonymität wird oft von Aktivisten, Journalisten, Dissidenten und vielen anderen genutzt. Zu dieser Anonymität gehört natürlich auch das, was wir alle als Darknet kennen, das Konzept der versteckten Dienste, die nur innerhalb von Tor zugänglich sind (.onion-Domains). Sie haben vielleicht schon von einigen Seiten aus dem Darknet gehört, wie zum Beispiel der Seidenstraße, einem berüchtigten Drogenmarktplatz.

Ein häufiges Missverständnis, das die Leute darüber haben, ist, es “Deepweb” zu nennen. Sicherlich ist das Netzwerk der versteckten Dienste ein Teil des Deepwebs. Aber Tor ausschließlich als Deepweb zu bezeichnen, ist falsch. Deepweb bezieht sich eigentlich auf alle nicht-indizierten Seiten/Daten im Internet, das würde auch private Unternehmensdatenbanken einschließen, die offensichtlich nicht Teil des Tor-Clusters der versteckten Dienste sind. In diesem Fall müsste der Begriff Darknet lauten, wenn ich mich nicht irre. Obwohl es nicht unbedingt nur ein Darknet gibt, ist tor nur eines unter anderen. Ein anderes dieser Netze ist zum Beispiel I2P (Invisible Internet Project).

Nun… genug über den Hintergrund und die Terminologie. Solche Dinge sind nur triviale Details.

Funktionsweise und Risiken von Tor

Ich werde nur die Grundlagen von Tor behandeln, Details darüber, wie Tor funktioniert, sind nicht der Punkt dieses Threads.

Es gibt drei verschiedene Arten von Knotenpunkten in Tor:

  • Guard Relay
    Das ist Hop Nummer eins im Kreislauf, es ist der erste Knoten, den du siehst, wenn du das Tor-Netzwerk betrittst. Und so ist der Wächterknoten der einzige Knoten im Torkreis, der deine echte IP sehen wird.
  • Internes Relais
    Man könnte dies den mittleren Hop nennen, er kommt nach deinem Durchgang durch den Wächter-Relay. Wenn Sie sich nur im Darknet umsehen, werden Sie nicht den Exit-Node betreten, sondern nur die internen Relais benutzen. Diese Relays können nichts von dem sehen, was Sie tun, da jeder Knoten eine mehrschichtige Verschlüsselung verwendet. Jedes Mal, wenn Sie ein neues Relais betreten, wird eine neue Verschlüsselungsschicht gebildet.
  • Austrittsrelais
    Dies ist der letzte Schritt in Ihrem Schaltkreis, falls Sie vorhaben, das Clearnetz zu betreten. Mit anderen Worten, wenn Sie sich entschieden haben, Verbindungen zu Geräten und Sites außerhalb des Darknets herzustellen. Sie werden dann zu diesem Knoten geschickt, wo der gesamte Inhalt entschlüsselt wird, um die Kompatibilität mit dem Rest des Internets zu ermöglichen. Allerdings sind Sie gegen Schnüffelei geschützt, wenn Sie eine durch SSL (Https) geschützte Seite betreten.

Topologie: Sie > Guard Node (1) > Internal Relay (3) > … (?) > Exit-Relais (4)

Beachten Sie die Punkte zwischen Punkt (3) und (4), tor verwendet nicht ausschließlich nur 3 Knoten. Es hängt stark von Ihrer Konfiguration und Umgebung ab, aber typischerweise werden 3 Knoten empfohlen, um die Wahrscheinlichkeit einer Kompromittierung zu minimieren.

Hier ist der Grund: Wenn Sie zu wenige Knoten verwenden, kann Ihre Anonymität preisgegeben werden. Wenn Sie jedoch zu viele Knoten verwenden, z. B. 100 Knoten, steigt die Wahrscheinlichkeit, dass ein schlechter Knoten verwendet wird. Ein böser Knoten ist einer, der Ihren Datenverkehr ausspähen oder in irgendeiner Weise Ihre Anfragen manipulieren könnte. Dies ist besonders schlecht, wenn sie sich an der Wach- oder Ausgangsposition befinden.

Um die Sache noch weiter zu verkomplizieren, wenn der Gegner mehrere Knoten in Ihrem Schaltkreis besitzt, wird er in der Lage sein, Ihre Aktivitäten zwischen den Knoten zu korrelieren. Wenn zum Beispiel der Wächterknoten eine Art eindeutigen Cookie oder eine andere Art von Fingerabdruck in Ihre Anfrage einfügt, können andere Knoten entlang des Weges dies aufgreifen und korrelieren, woher es kam. Dies ist gefährlich, wenn Sie etwas Illegales tun, wie z. B. den Kauf von Drogen auf einer Marktplatzseite. Wenn das interne Relais, das den Darknet-Drogenmarktplatz für Sie hostet, dem Feind gehört, kann der Knoten die echte IP-Adresse abgreifen, die er vom Wächterknoten erhalten hat.

Aber bitte lass dich von diesen Risiken nicht abschrecken. Wie du weißt, sorgt Tor dafür, dass du nicht zu viele und auch nicht zu wenige Knoten benutzt, um das Risiko auf ein Minimum zu reduzieren. Und wenn du die richtige Betriebssicherheit für deinen Tor-Betrieb anwendest, ist das alles kein Problem. Wie immer solltest du darauf achten, wenn möglich https zu benutzen.

Operative Sicherheit: Praxis und Vorgehensweise (3 Methoden)
Es gibt viele Möglichkeiten, mit den Sicherheitsrisiken, die mit Tor und deinem Betrieb verbunden sind, umzugehen. Ich werde hier drei weithin bekannte Opsec-Methoden abdecken, keine davon ist ideal für jede Situation, der Sie begegnen werden. Alle Opsec-Methoden sind situationsabhängig und haben je nach Bedrohung und Gegner einen unterschiedlichen Grad an Effizienz. TL;DR Es gibt kein perfektes OPSEC-Setup, es hängt von Ihrem Bedrohungsmodell ab.

  • OPSEC-Modelle
    Standard-Browser-Ansatz (Tor-Browser)
    Ich nenne dies Default, weil es der offiziell unterstützte Client ist, um auf Tor zuzugreifen, einfach durch einen Browser. Es ist ein Fork des Firefox-Browsers mit einigen Anpassungen und Modifikationen.

Für diesen Ansatz müssen Sie nur Ihren gesunden Menschenverstand benutzen:

  • Deaktivieren Sie alle Skripte (NoScript).
  • Wenn Sie keine Cookies benötigen, aktivieren Sie sie nicht.
  • Verwenden Sie HTTPS, wenn möglich.
  • Halten Sie Ihren Browser auf dem neuesten Stand.
  • Fügen Sie nicht zu viele Addons hinzu, denn dadurch wird Ihr Browser-Fingerabdruck auffällig.

Zu dieser Anmerkung über Fingerabdrücke: Ich werde in diesem Thread nicht sehr tief darauf eingehen, da es so viel zu behandeln gibt. Aber Ihr Browser kann anhand Ihrer Plugins, Einstellungen und dergleichen einen Fingerabdruck erhalten. Je eindeutiger Ihr Browser ist, desto einfacher ist es, die Suche nach Ihrer Identität einzugrenzen. Dazu gehören auch Elemente des Betriebssystems, die in Ihrem Useragent und der Bildschirmauflösung enthalten sind.

Wenn wir also Javascript und dergleichen mit noscript aus Sicherheitsgründen deaktivieren, wird unser Browser dadurch auch eindeutiger. Das ist der Kompromiss, nehme ich an. Wenn Sie technisch versiert sind, können Sie immer versuchen, die Javascript-Engine zu modifizieren, um die Bildschirmauflösung zu deaktivieren. Und/oder verwenden Sie eine Sandbox-Isolationssoftware, um Ihren Browser von mehr zu isolieren, als er braucht.

Sie können natürlich auch VPNs und dergleichen zu diesem oder jedem Tor-Setup hinzufügen. Ich werde weiter unten in diesem Thread mehr darüber erzählen.

Link zum Tor-Browser: https://www.torproject.org/download/down…sy.html.en

(Denken Sie daran, die Prüfsummen-Signaturen zu überprüfen und alle Downloads zu verifizieren, um Verfälschungen oder Manipulationen zu vermeiden. Das gilt für alle Downloads: https://blog.yourultimatesecurity.guide/…checksums/ )

Live/Disposable Anti-Forensik-Ansatz (Tails OS)
Dies ist eine LiveCD-Linux-Distribution, die offiziell von Tor unterstützt wird. Ich nenne es “Disposable”, weil es gut für “get in, get out”-Operationen ist. Sie kann auf einem bootfähigen Medium mit jedem Computer benutzt werden und sobald du deine Sitzung beendest, löscht sie automatisch alle Spuren, die du jemals mit Tor benutzt hast. Es ist ziemlich raffiniert für feindliche Umgebungen wie Diktaturen.

Ich würde vorschlagen, es auf einer DVD zu benutzen, einfach weil es ein Nur-Lese-Medium ist und es schwieriger ist, es zu modifizieren, wenn Sie es unbeaufsichtigt lassen (Seien Sie sich jedoch anderer Angriffsvektoren bewusst, wie z.B. dem Angriff der bösen Maid. Der Feind ersetzt den Computer/die Festplatte durch eine Replik, um Phishing zu betreiben oder Ihre Aktivitäten zu überwachen). Und wenn die Strafverfolgungsbehörden auf die Idee kommen, was Sie tun, ziehen Sie einfach die DVD aus dem Fach und zerbrechen Sie sie mit Ihren Händen in zwei Teile.

Eine weitere coole Funktion von Tails ist die öffentliche Tarnung, die es so aussehen lässt, als würden Sie Windows xp benutzen. Dies ist nützlich, wenn Sie in einer Bibliothek oder einem Coffeeshop sitzen (was Sie wahrscheinlich tun sollten, scheißen Sie nicht, wo Sie essen. Nehmen Sie Ihre Operationen außerhalb Ihres Hauses vor).

Wenn Sie nach Ihrer Tails-Sitzung Zeit haben (normalerweise nicht notwendig, wenn Sie Tails normal im vm beenden), booten Sie in die Setup-Optionen/Bios und führen Sie einen Speichertest durch. Dadurch wird der gesamte Inhalt des Speichers durch den im Ram ersetzt, was die Wahrscheinlichkeit von Cold-Boot-Attacken verringert (Wiederherstellen von Speicherfragmenten aus dem Ram nach dem Herunterfahren, normalerweise für 10 min möglich, wenn Sie den Ram mit flüssigem Stickstoff einfrieren).

Es gibt viele Seitenansätze für Opsec für Ihren Rechner, wenn Sie ram verwenden, wie den oben genannten. Ein weiterer guter Ansatz, den Sie bei Ihrem Laptop in Betracht ziehen könnten, ist, niemals eine Batterie zu verwenden, sondern stattdessen ein Stromkabel direkt an die Wand anzuschließen. Wenn es jemals zu einem Auftauchen kommt, brauchen Sie nur das Kabel herauszuziehen, um die Schmuggelware sofort abzuschalten.

Link zu Tails: https://tails.boum.org/
Alternative – Liberté (Warnung *Entwicklung eingestellt*): https://dee.su/liberte

  • Netzwerkisolierung (virtuell oder physikalisch – z.B. Whonix)
    Mein bevorzugter Ansatz, in Bezug auf die Ausfallsicherheit ist dieser meiner Erfahrung nach sehr gut. Das Konzept der Isolation bedeutet in diesem Szenario die Trennung und Abschottung zwischen deiner Verbindung zu Tor und deiner Arbeitsumgebung.

Um es einfacher auszudrücken, die Idee, Tor in einem Container zu halten und alle Ihre Operationen in einem anderen. Wenn du also kompromittiert oder gehackt wirst, haben sie trotzdem keinen Zugriff auf deine Tor-Instanz. Mit anderen Worten, selbst wenn du es schaffst, von einer Malware mit Root-Zugriff infiziert zu werden, wird diese nicht in der Lage sein, deine echte IP-Adresse zu bekommen.

Es gibt zwei Arten von Isolationsmethoden, die virtuelle und die physikalische Isolation. Die Natur dieser beiden Methoden ist ziemlich selbsterklärend. Während bei der virtuellen Methode virtuelle Maschinen auf demselben Computer verwendet werden, um Ihre Operationen in zwei Container aufzuteilen, handelt es sich bei der physischen Methode um zwei tatsächliche physische Maschinen, die miteinander arbeiten.

Beide Methoden sind für die meisten Situationen sicher genug, aber wenn Sie sehr spezifisch und detailliert sein wollen, ist die physikalische Isolationsmethode sicherer. Denn die physikalische Methode eliminiert das Risiko von VM-Hopping-Exploits. Und dann ist da noch der fundamentale Fehler hinter dem Betrieb virtueller Maschinen: Ihre Sicherheit ist komplett abhängig von Ihrer Host-Maschine. Das heißt, selbst wenn Ihre virtuellen Maschinen die sicherste Härtung der Welt haben, hängt alles von Ihrer Host-Maschine ab, auf der die VMs gehostet werden. Wenn die Host-Maschine in irgendeiner Weise kompromittiert wird, dann sind auch alle Ihre virtuellen Container gefährdet. Wenn also der Feind einen Weg findet, Ihre Host-Maschine zu hacken, dann sind Sie aufgeschmissen.

Beispiel für virtuelle Isolation:
Whonix (Zwei verschiedene Container für virtuelle Maschinen)
Topologie: Computer -> VM (1) [Whonix-Gateway] <–> VM (2) [Whonix-Workstation]
Die Whonix-Workstation wird das Whonix-Gateway als virtuellen Router nutzen. Laut der gesamten Software in Ihrem Arbeitsbereich ist das whonix-Gateway Ihr echter Router. Und Ihre Tor-IP ist in Wirklichkeit Ihre reale IP-Adresse. Das ist der Grund, warum, egal was in der Workstation passiert, sie deine reale IP nicht herausfinden wird.

Das bedeutet auch, dass du unsichere Anwendungen und Frameworks innerhalb der Workstation laufen lassen kannst, die du normalerweise nicht benutzen würdest. Dies beinhaltet, ist aber nicht beschränkt auf Javascript oder direkte Downloads.

Link zu Whonix: https://www.whonix.org/

Beispiel zur physikalischen Isolation:
PORTAL – Personal Onion Router To Assure Liberty (Raspberry pi oder OpenWRT-Router)
Topologie: Router <–> Raspberry PI <–> Workstation
Hier wird genau der gleiche Aufbau verwendet, nur dass jede Komponente im System zu einer physikalischen Komponente gemacht wird. Der RPI wird als Gateway fungieren und ein torifiziertes Lan oder Wifi (abhängig von Ihren Konfigurationen) erstellen. Was Ihren Computer betrifft, so fungiert das RPI als Ihr echter Router. Sofern nicht jemand das RPI kompromittiert, ist alles in Ordnung.

Ein guter Vorteil neben der zusätzlichen Sicherheit ist, dass Sie einen kleinen Tor-Router mit sich führen können, um ihn an andere Orte mitzunehmen. Das gilt natürlich auch für die virtuelle Maschine, aber diese zusätzliche Sicherheit bringt keine größeren Kompromisse im Vergleich zum virtuellen Ansatz.

Link zu PORTAL: https://github.com/grugq/PORTALofPi
PORTAL – Openwrt: https://github.com/grugq/portal

Überlegungen
Es gibt einige Themen, die ich in diesem Thread nicht behandelt habe, ich bin mir sicher, dass ich einige Dinge übersehen habe. Wie z.B. Verzeichnisautoritäten in Tor und anderen Komponenten, habe ich nicht als sehr wichtig angesehen. Wenn ich jemals einen erneuten Besuch dieses Tutorials mache, werde ich das auch hinzufügen.

Ich sollte auch hinzufügen, was ich vorher über VPNs gesagt habe. Ja, wenn du deine Anonymität oder Privatsphäre verbessern willst, gibt es zwei Wege, wie du das machen kannst.

VPN > Tor
Dieser Ansatz ist darauf ausgelegt, Ihnen mehr Privatsphäre zu geben. Bitte seien Sie sich des Unterschieds zwischen Privatsphäre und Anonymität bewusst. Privatsphäre schützt Ihre Daten, in diesem Fall halten die verschlüsselten VPN-Daten Schnüffler von schlechten Exit-Nodes fern. Aber gleichzeitig weiß Ihr VPN-Anbieter, was Sie mit tor machen und welchen Wächterknoten Sie benutzen und so weiter.

Tor > VPN
Angenommen, Sie haben sich bei Ihrem VPN völlig anonym mit gemischten Bitcoins angemeldet und Transaktionen von einem öffentlichen Ort aus durchgeführt. Dann ja, dies wird Ihre Anonymität stark erhöhen, es ist immer noch ein extra Sprung für den Feind. Aber Daten von vpn-Anbietern zu bekommen, kann mit all den Rechtsprechungen der verschiedenen Regionen knifflig sein. Anonymität schützt Sie, Ihre Identität.