Viele gute Gründe sprechen dafür, seine Identität im Internet zu verschleiern. Dabei hilft das Tor-Netzwerk im Verbund mit dem passenden Content-Filter.

Wer ohne Schutz im Internet surft, hinterlässt zwangsläufig mehr Spuren, als ihm lieb sein dürfte. Die wichtigste davon: Die einmalige IP-Adresse, die eine relativ leichte Zuordnung zu einer Person erlaubt. Diese Spuren dienen nicht nur Ermittlungsbehörden bei der Verfolgung von Straf- und anderen Übeltätern (Stichwort Vorratsdatenspeicherung), sondern auch diversen Webprojekten und Trackern, die das Surfverhalten der Nutzer protokollieren, um die erhobenen Daten zu verkaufen. Davon leben inzwischen ganze Industriezweige.

Um der Datensammelei Einhalt zu gebieten, gilt es die persönlichen Daten soweit als möglich zu verschleiern. Dabei leistet das Tor-Netzwerk eine wertvolle Hilfe: Es besteht aus einem Sammelsurium verschiedener Rechner auf der ganzen Welt, über die der Datenverkehr verschlüsselt läuft.

Wie funktioniert Tor

Tor [1] steht als Abkürzung für “The Onion Routing” – ein Projekt, das von der US-Marine [2] initiiert und umgesetzt wurde, um die Kommunikation innerhalb der Regierung zu schützen.

Im Kern funktioniert Tor folgendermaßen: Der Client bezieht beim Start vom einem Verzeichnisserver eine Liste sogenannter Tor-Nodes, als Knotenpunkte, an denen er sich anmeldet. Ruft der Client eine Seite auf, verbindet er sich via SOCKS mit Tor, der die Anfrage SSL-verschlüsselt an einen sogenannten Entry Guard weiterreicht. Dieser reicht sie an einen zweiten Knoten weiter, der sie wiederum an einen dritten weiterleitet, den so genannten Exit-Node. Aus Effizienzgründen entschieden die Tor-Entwickler, jeweils nur drei Knoten zur Verbindung zu verwenden (Abbildung 1).

Abbildung 1: Grundsätzlich funktioniert die Kommunikation über das Tor-Netzwerk folgendermaßen: Der Client versendet an den Entry Guard eine Anfrage, die dieser – ohne das Ziel zu kennen – verschlüsselt an einen Relay-Node weiterreicht. Dieser kennt weder die Quelle noch das Ziel der Anfrage und leitet sie lediglich an den Exit-Node weiter. Der Exit-Node wiederum kennt nur das Ziel der Anfrage, nicht jedoch deren Urheber. Da im Tor-Netzwerk keiner der Nodes über alle Daten verfügt, ist es für einen Angreifer oder eine Behörde schwierig, eine Datenverbindung komplett aufzudecken.

Was die Kommunikation via Tor so sicher macht, ist die Tatsache, dass jeder Server nur einen Teil der Verbindungsdaten kennt. So weiß der erste Server, mit dem sich der Client verbindet – der Entry-Guard – nicht, welchen Host der Client erreichen möchte. Das weiß jeweils nur der Exit-Node, ohne jedoch die Identität des Clients zu kennen. Um die Verbindung aufzudecken, muss der Angreifer also sowohl den Exit-Node als auch den Entry-Guard unter seine Kontrolle bringen. Da Tor aber nach zehn Minuten die Routen automatisch und zufällig wechselt, würde der Angreifer potenziell auch nur einen Teil der Kommunikation offenlegen können.

Hier grenzt sich Tor von anderen Anonymisierungsproxies ab: Diese verwenden in der Regel keine Serverkaskaden und gehören meist einem Unternehmen, das – je nach Serverstandort – dazu verpflichtet ist, die Verbindungen zu protokollieren. Entsprechend leicht fällt es Behörden, die Kommunikation zu ihrem Ursprung zurückzuverfolgen. Ein recht prominenter Fall ereignete sich kürzlich, als der Anonymisierungsdienst HideMyAss [3] die Verbindungsdaten eines Lulzec-Aktivisten an die britische Polizei weitergab [4].

Die Kommunikation zwischen den Tor-Nodes und dem Client läuft vollständig verschlüsselt ab. Lediglich die Verbindung vom Exit-Node zum Ziel bleibt dabei unverschlüsselt, sofern der kontaktierte Server seinen Content nicht selbst (etwa via SSL) verschlüsselt ausliefert. Tor unterstützt neben dem Webbrowsing auch andere Dienste, wie IRC, Instant Messaging, E-Mail und SSH. Um diese zu nutzen, muss der jeweilige Client die Verbindung via SOCKS unterstützen.

Tor nutzen

Ubuntu stellt Tor in seinen Repositories zur Installation bereit. Das Tor-Projekt empfiehlt jedoch die Installation aus den projekteigenen Quellen, da nur damit gewährleistet ist, dass die jeweils aktuellste Version zum Einsatz kommt. Das spielt auch deswegen eine nicht unerhebliche Rolle, weil einige Tor-Knoten den Kontaktversuch älterer Versionen blockieren.

Um das Tor-Repository auf dem Rechner einzurichten, gehen Sie unter Ubuntu 11.04 wie folgt vor: Sie öffnen zunächst in einem Texteditor die Datei /etc/apt/sources.list und fügen dort folgende Zeile hinzu:

deb http://deb.torproject.org/torproject.org natty main

Anwender anderer Ubuntu- oder Debian-Versionen tauschen natty gegen den Namen ihrer Distribution aus. Danach wechseln Sie in ein Terminal und importieren den GPG-Key des Projekts (Listing 1, Zeile 1 und 2). Dann aktualisieren Sie die Paketverwaltung und richten Tor auf dem Rechner ein (Listing 1, Zeile 3 und 4). Nach der Installation startet der Dienst automatisch. Er bezieht seine Direktiven aus der Datei /etc/tor/torrc, eine Konfiguration ist im Normalfall überflüssig.

$ gpg --keyserver keys.gnupg.net --recv 886DDD89
$ gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add -
$ sudo apt-get update
$ sudo apt-get install tor tor-geoipdb

Um das Tor-Netzwerk zu nutzen, müssen Sie den verwendeten Webbrowser entsprechend konfigurieren. In Firefox beispielsweise tragen Sie in den Netzwerk-Einstellungen unter SOCKS-Host die Adresse 127.0.0.1 sowie den Port 9050 ein und aktivieren die Checkbox neben SOCKS v5. Da es vergleichsweise umständlich ist, bei jedem Gebrauch von Tor die Konfiguration des Browsers manuell umzustellen, bietet das Projekt die Erweiterung Tor-Button [5] zur Integration in Firefox an (siehe Kasten “Der Tor-Button”).

Erweiterte Einstellungen

Zwar bedarf der normale Betrieb von Tor keiner Änderung an der Konfiguration, das ändert sich jedoch, wenn Sie die Möglichkeiten des Proxies ausreizen möchten.

Bei Tor handelt es sich um ein Mitmachprojekt, das letztendlich davon lebt, dass möglichst viele Anwender den Service auch anderen Tor-Nutzern anbieten. Das ist für den Betreiber unkritisch, so lange sein Rechner nicht als Exit-Node arbeitet. Dieser leitet wie erwähnt ja die Anfragen als letzte Instanz an den jeweiligen Zielserver weiter, der entsprechend die IP-Adresse des letzten Knoten im Log speichert. Wird der Zielserver also überwacht, fällt der Verdacht zunächst auf den Betreiber des Exit-Nodes. Zwar sind bislang keine Fälle bekannt, in denen der Betrieb eines Exit-Nodes zu einer juristischen Sanktion geführt hätte, doch kann man sich zumindest erhebliche Scherereien einhandeln.

Das schließt jedoch nicht aus, sich trotzdem am Projekt zu beteiligen: Tor bietet auch die Möglichkeit, den Server so zu konfigurieren, dass er nicht oder nur zum Teil als letzter Knoten arbeitet. Einige Zeilen in der Tor-Konfigurationsdatei /etc/tor/torrc machen ihren Daemon zum Teil des Tor-Netzwerks, ohne dass er als letzter Knoten arbeitet. Mit den Einstellungen aus Listing 2 lauscht der Service auf Port 9001, bietet eine maximale Durchschnittsbandbreite von 100 KByte/s und weist sämtliche Anfragen, die nicht von anderen Tor-Servern kommen, zurück. Betreiben Sie den Server hinter einem Router, müssen Sie dort den Port (im Beispiel 9001), auf dem Tor auf eingehende Verbindungen lauscht, auf den Host weiterleiten.

Beachten Sie, dass die oben angeführte Exit-Policy-Restriktion lediglich beim Zugriff aufs öffentliche Internet greift. Zugriffe auf sogenannte Hidden Services ermöglichen dagegen auch normale Relay-Hosts.

ORPort 9001
Nickname MeinTorproxy
RelayBandwidthRate 100 KB
RelayBandwidthBurst 200 KB
ExitPolicy reject *:*

Hidden Services

Da das Tor-Netzwerk die Namensauflösung übernimmt, kann es auch Domain-Namen auflösen, die es im “normalen” Internet nicht gibt. Tor nutzt dazu die interne TLD *.onion, um sogenannte Hidden Services anzusteuern, die Sie ausschließlich über das Tor-Netzwerk erreichen. Diese bestehen in der Regel aus ganz normalen Webseiten. Von diesen unterscheiden Sie sich aber grundlegend durch die Tatsache, dass analog zum Surfen über Tor sowohl der Webseitenbetreiber als auch der Webserver für den Zugreifenden unbekannt bleibt.

Um selbst einen Hidden Service anzubieten, brauchen Sie einen Webserver, der die zu veröffentlichenden Daten via HTTP bereitstellt. Handelt es sich um statischen Content, genügt normalerweise ein schlanker Server wie Thttpd [6]. Sie starten ihn auf der Kommandozeile mit dem Befehl:

# thttpd -r /WWW-Verzeichnis/ -p 4711 -h 127.0.0.1

Die darauf aufbauende Grundkonfiguration von Tor beschränkt sich auf folgende zusätzliche Einträge in /etc/tor/torrc:

HiddenServiceDir WWW-Verzeichnis
HiddenServicePort 80 127.0.0.1:4711

Während die erste Direktive den Pfad zum Verzeichnis angibt, in dem sich die Webseite befindet, beschreibt die zweite die Netzwerkadresse. Ausgehend von diesem Beispiel lauscht Tor danach auch auf Port 80, der Webserver nimmt Anfragen über den Localhost auf Port 4711 entgegen. Das Port-Mapping von 80 auf 4711 übernimmt Tor selbst. Ein Port-Forwarding auf dem Router entfällt, da sämtliche Anfragen über den Tor-Tunnel laufen.

Nach dem Speichern der Konfiguration aktiviert ein Neustart von Tor die Änderungen. Er legt dabei im WWW-Verzeichnis zwei Dateien an: Die eine nennt sich hostname und enthält den Hostnamen, mit dem andere Nutzer den Hidden Service erreichen. Er besteht aus einem zufällig generierten Hash, gefolgt von der TLD .onion, etwa zejzzf7bnbf5h7zc.onion. Die zweite Datei heißt private_key und enthält den Schlüssel, mit dem sich der Service gegenüber Tor authentifiziert.

Gut informiert

Wer dem Tor-Proxy etwas genauer auf die Finger sehen will, nutzt dafür das Tool Arm [7]. Es gibt unter anderem Auskunft über die Bandbreite, die das Tor-Netzwerk aktuell bereitstellt. Da Arm konsolenbasiert arbeitet, eignet es sich auch zum Einsatz auf Servern ohne grafische Oberfläche. Vor seinem Einsatz gilt es jedoch, einige Parameter in der Tor-Konfiguration /etc/tor/torrc anzupassen.

Zunächst entfernen Sie das Kommentarzeichen (#) vor dem Eintrag ControlPort 9051. Um Unbefugten den Zugriff auf den Kontrollport zu verwehren, empfiehlt es sich, ihn per Passwort abzusichern. Den dafür notwendigen Passwort-Hash erzeugen Sie mit dem Befehl:

# tor --hash-password "Passwort"

Dessen Ausgabe kopieren Sie hinter HashedControlPassword in die Konfigurationsdatei. Nach einem Neustart von Tor via /etc/init.de/tor restart (als root) fragt der Dienst das Passwort beim Zugriff auf den Kontrollport ab.

Die Kontrollkonsole (Abbildung 2) starten Sie dem Befehl arm, gefolgt vom zuvor festgelegten Passwort. Der obere Bereich der Ausgabe zeigt den aktuellen CPU- und Speicherverbrauch des Dienstes an, darunter sehen Sie in einem Balkendiagramm die aktuell verfügbare Datenrate. Mit [S] schalten Sie die Anzeige auf die grafische Darstellung der aktuellen Verbindungen um. Warn- und Hinweismeldungen erscheinen im letzten Drittel des Terminals. Diesen Ausgabebereich vergrößern Sie mit [N] und verkleinern ihn mit [M]. Eine Anzeige aller verfügbaren Tastenkommandos erhalten Sie über [H].

Abbildung 2: Das Konsolentool Arm gibt detailliert Auskunft über die Netzwerk-Performance und den Ressourcenverbrauch von Tor.

Vidalia

Eine grafische Oberfläche zur Konfiguration von Tor bietet Vidalia (Abbildung 3), das Sie über den Paketmanager von Ubuntu einrichten. Bereits während der Installation fragt die Software ab, ob sie temporär oder dauerhaft für den Zustand von Tor zuständig zeichnen soll. Beachten Sie, dass Vidalia [8] eine eigene Tor-Konfigurationsdatei ~/.vidalia/torrc erzeugt und nutzt. Eventuelle Anpassungen an der ursprünglichen Steuerdatei /etc/tor/torrc ignoriert das Tool also vollständig.

Abbildung 3: Die grafische Konfigurationsoberfläche Vidalia erleichtert das Einrichten sowie An- und Abschalten von Tor.

Zum Start von Tor genügt es, in Vidalias Kontrollpanel den Schalter Tor starten anzuklicken. Der Button Bandbreitengraph öffnet ein kleines Fenster, das den jeweils anliegenden Datendurchsatz anzeigt. Aussagekräftiger gibt sich der Dialog Netzwerk betrachten (Abbildung 4): Er zeigt in einer Grafik, über welche Tor-Hops die aktuelle Verbindung läuft. Die linke Spalte listet sämtliche bekannten Server auf, die Tabelle Verbindungen alle, mit denen der Tor-Client in Verbindung steht. Ein Klick auf einen der Einträge zeigt Details zum jeweiligen Host rechts daneben. Ein Rechtsklick auf den jeweiligen Eintrag öffnet das Dialogfeld Kanal schließen, mit dem Sie die zugehörige Verbindung trennen.

Netzwerk betrachten erfahren Sie zum einen, mit welchen Servern der Rechner verbunden ist, und zum anderen, welche Wege die Datenverbindung geht.” width=”300″ height=”235″ /> Abbildung 4: Über Vidalias Modul Netzwerk betrachten erfahren Sie zum einen, mit welchen Servern der Rechner verbunden ist, und zum anderen, welche Wege die Datenverbindung geht.

Die Konfiguration von Tor erreichen Sie in der Rubrik Einstellungen. Unter dem Punkt Hilfe finden Sie eine gute Beschreibung zu den meisten Einstellmöglichkeiten. Eine Rundum-Sorglos-Lösung für den gelegentlichen Einsatz bietet das Tor-Browser-Bundle (siehe gleichnamiger Kasten).

Du kommst hier nicht rein

Tor zeichnet lediglich für die Übertragung der Daten verantwortlich, nicht jedoch für die Sicherheit der Inhalte. Nach wie vor ist es durchaus möglich, die wahre Identität das Clients offenzulegen – beispielsweise über Flash, Cookies oder Javascript. Zwar fängt der Einsatz von Tor-Button bereits einige der Bedrohungen ab, aber nicht alle. Hier gilt es, jenseits von Tor entsprechende Sicherheitsvorkehrungen zu treffen. Sofern Sie Tor nicht nur mit einem Browser nutzen möchten oder es gar als zentrale Instanz im Netzwerk nutzen, empfiehlt sich ein gesonderter Filter-Proxy, der die Inhalte vor dem Ausliefern säubert.

Ein funktionsreicher und dabei leicht zu bedienender Kandidat ist Bfilter [9], den das gleichnamige Projekt als distributionsunabhängiges Autopackage zum Download bereitstellt. Nach dem Herunterladen starten Sie die Installation mittels des Kommandos bash bfiltuer-gui.package im Terminal. Der Installer lädt alle benötigten Pakete aus dem Netz nach und richtet den Proxy ein. Diesen starten Sie im Anschluss aus dem Gnome-Menü heraus über Internet | BFilter Web Proxy, woraufhin im System-Tray das Symbol des Programms erscheint.

Zum Konfigurieren des Proxys rechtsklicken Sie auf das Icon und wechseln im Kontextmenü zu Configuration. Um Tor in die Verarbeitungskette einzubeziehen, wählen Sie daraus Forwarding, worauf sich ein neues Fenster öffnet. Klicken Sie mit der rechten Maustaste links in die Tabelle, um einen neuen Eintrag zu erstellen, und vergeben Sie für diesen einen eingängigen Namen. Über diesen identifizieren Sie die entsprechende Konfiguration später im Bfilter-Menü und wechseln dort nach Belieben zwischen verschiedenen Forwarding-Einstellungen.

Danach klicken Sie auf den grünen Verbindungspfeil in der Symbolgrafik darüber. Es öffnet sich eine Abfrage, in der Sie aus dem Dropdown-Menü den Punkt SOCKS 5 Proxy wählen. In den Feldern darunter tragen Sie die Verbindungsdaten zu Tor ein, in der Grundeinstellung 127.0.0.1:9050. Nach der Übernahme der Änderungen mittels OK erscheint in der Grafik jetzt ein zusätzlicher Rechner mit den Daten des Tor-Proxies (Abbildung 5).

Abbildung 5: Der Filter-Proxy Bfilter erlaubt das Anlegen beliebiger Weiterleitungen, die Sie im Anschluss komfortabel im System-Tray umstellen.

Das Aktivieren des Eintrags Filters (Abbildung 6) aus dem Bfilter-Kontextmenü öffnet ein Fenster, das die Filterregeln enthält. Dort deaktivieren Sie beispielsweise verschlüsseltes sowie dynamisch generiertes Javascript und entfernen potenziell gefährliche HTML-Inhalte.

Abbildung 6: Bfilters übersichtlich strukturierte Filterregeln erlauben es, potenziell gefährliche Elemente aus dem Stream zu entfernen, bevor er den Browser erreicht.

Quasi nebenbei arbeitet der Proxy aber auch noch als wirkungsvoller Ad-Blocker, dessen Einstellungen Sie via Configuration | Advanced erreichen. Diese Ansicht hält auch die Grundeinstellungen des Proxies vor – etwa den Port und die Adresse, an denen er lauscht. Die Vorgabe lautet 127.0.0.0:8080; dies müssen Sie auch im Browser eintragen, um den Filter zu nutzen. Ob der Proxy seine Arbeit verrichtet, sehen Sie am Icon im System-Tray: Sobald er Daten verarbeitet, beginnen sich die Einsen und Nullen unter der Lupe zu bewegen.

Fazit

Tor bietet sicherlich kein Patentrezept für sicheres Surfen, legt jedoch die Messlatte für Schnüffler und Angreifer sehr hoch. Da das System dezentral arbeitet, ist es wesentlich widerstandsfähiger gegen An- und Übergriffe als andere Anonymisierungsdienste. Darüber hinaus bietet das Design des Onion-Routing im Moment das sicherste Mittel, das Netz anonym zu nutzen: Das Arbeitsprinzip zu kompromittieren, setzt einen erheblichen Aufwand voraus, der auch dann nicht zwangsläufig von Erfolg gekrönt ist.

Galt Tor noch vor wenigen Jahren aufgrund seiner niedrigen Transferraten als weitgehend unbenutzbar, hat sich das Bild zwischenzeitlich deutlich gewandelt. Im Test lag der durchschnittliche Datendurchsatz bei etwa 60 KByte/s, was zum Surfen vollkommen ausreicht, bei größeren Downloads aber die Geduld des Nutzers strapaziert. Allerdings ist das Tor-Netzwerk für solche Anwendungsfälle auch gar nicht vorgesehen.