Sicherheit und Anonymisierung spielen im Internet wegen des zunehmenden Datenhungers diverser Anbieter eine immer größere Rolle. Portmaster und das Safing Privacy Network leisten da einen wirkungsvollen Beitrag.

Immer mehr Datensammler machen den Anwendern heute im Internet das Leben schwer. Dabei sammeln nicht nur die üblichen Verdächtigen wie Google oder Facebook möglichst viele Nutzerdaten: Auch herkömmliche Softwarepakete telefonieren immer öfter nach Hause und versenden “Telemetriedaten” an ihre Hersteller oder Dritte.

Der Anwender merkt davon normalerweise nichts und kann so auch nicht nachvollziehen, welche Daten an wen übermittelt werden. Um diese Unsitte zu unterbinden, hat das bereits zwei Mal von der österreichischen Innovationsschmiede Netidee [1] geförderte Startup Safing eine Applikations-Firewall namens Portmaster entwickelt, die es auch Anwendern ohne tiefergehende Kenntnisse von Netzwerktechnologien ermöglicht, den Datenfluss an verschiedene Empfänger nachzuvollziehen und zu steuern [2].

Konzept

Das Open-Source-Projekt Portmaster etabliert einen sogenannten Portmaster Core Service, der sich zwischen den Kernel und das Nutzer-Interface auf der einen und den Kernel und das Internet auf der anderen Seite ansiedelt. Dieser Core Service besteht aus mehreren Komponenten, von denen das Safing Privacy Network (SPN), die Privacy-Filter und der Secure-DNS-Dienst die zur Gewährleistung des Datenschutzes wichtigsten darstellen.

Der Secure-DNS-Dienst nutzt dabei das Protokoll DNS-over-TLS (DoT), das DNS-Abfragen über eine mit dem TLS-Protokoll geschützte Verbindung überträgt. Somit können unbefugte Dritte die DNS-Abfragen nicht einsehen. Die Privacy-Filter agieren ähnlich wie eine Firewall und nutzen dazu auch Filterlisten, mit deren Hilfe das System unerwünschte Verbindungen blockiert.

Dazu entwickelt der Hersteller die Filterlisten kontinuierlich weiter. Zudem erlaubt Portmaster dem Anwender, eigene Einträge einzupflegen. Die Privacy-Filter prüfen dabei jede ein- und ausgehende Verbindung. Das Safing Privacy Network lässt sich mit einem herkömmlichen Virtual Private Network (VPN) vergleichen, das eine getunnelte Verbindung bereitstellt. Im Gegensatz zu den meisten VPN-Verbindungen leitet das SPN Datenpakete über mehrere Server im Internet, ähnlich der Vorgehensweise des Tor-Diensts. Dritte können also die verschlüsselten Daten nicht einsehen, und auch die IP-Adressen werden verschleiert [3].

Damit Endanwender diese Technologien ohne langwieriges Einarbeiten nutzen können, haben die Entwickler ein modernes grafisches Interface entworfen, in dem auch weniger versierte Nutzer alle Einstellungen vornehmen können. Zusätzlich zeigt das grafische Frontend auf eingängige Weise in Listenform, welche unerwünschten Verbindungen aufgebaut werden, und ermöglicht ein gezieltes Blockieren von Verbindungsanfragen.

Installation

Die Entwickler stellen Portmaster in Form von Binärpaketen für die traditionellen Paketverwaltungen von Debian und Ubuntu, Fedora sowie für Arch Linux bereit. Zusätzlich findet sich in der Dokumentation eine Kompatibilitätsliste, aus der hervorgeht, mit welchen Kernel-Versionen und mit welchen Arbeitsumgebungen das grafische Frontend harmoniert.

Linux-Kernel sind dabei vollständig kompatibel zu Portmaster, bis auf die Version 5.6, bei der ein Zugriffsproblem auf die Netfilter-Queue besteht. Die weitverbreiteten Desktop-Umgebungen KDE Plasma, Gnome, XFCE und Cinnamon harmonieren ebenfalls mit Portmaster, während es mit Budgie ein Problem mit der Anzeige des Portmaster-Icons in der Taskbar gibt.

Auf der Website des Projekts finden Sie für die gängigen Distributionen entsprechende Installationsanleitungen inklusive für die Pakete benötigter Abhängigkeiten, was eine zügige Installation ermöglicht. Bei der Einrichtung entsteht in der Menüstruktur des Desktops auch ein entsprechender Starter [4].

Hochmodern

Nach dem Öffnen des grafischen Frontends finden Sie eine hochmodern gestaltete Oberfläche vor, die sich in vier Bereiche unterteilt: Ganz links organisiert das Programm am Fensterrand eine vertikale Schalterleiste, die der Konfiguration der Applikationsmodule dient.

Rechts daneben gibt es eine Spalte mit dem sogenannten Network Rating. Hier legen Sie fest, wie restriktiv Portmaster arbeitet, wobei in der Voreinstellung die Option Trusted greift. Bei Auswahl der Optionen Untrusted und Danger wendet das Werkzeug restriktivere Filter an. Zusätzlich blendet die Applikation in dieser Spalte unterhalb der Netzwerkkonnektivitätsanzeige Status- und Ereignismeldungen ein.

Die rechts daneben angeordnete Spalte Network Monitor listet die einzelnen Verbindungen vom Computer aus ins Internet auf. In der größten Spalte ganz rechts im Programmfenster erscheinen Details zu den einzelnen Verbindungen. Indem Sie auf die gewünschte Anwendung klicken, blenden Sie ausführliche Angaben ein. Das Fenster öffnet dann eine Listenansicht mit näheren Informationen zu den einzelnen Verbindungen (Abbildung 1).

Abbildung 1: Das grafische Interface von Portmaster gibt Auskunft über alle Verbindungsdetails.

Über die reine Status- und Verbindungsanzeige hinaus bietet die Portmaster-Oberfläche die Möglichkeit, Einfluss auf die einzelnen Verbindungen zu nehmen. Dazu klicken Sie in der Übersicht auf die gewünschte Anwendung und anschließend in der Connection History auf den entsprechenden Eintrag. Anschließend zeigt Portmaster alle Verbindungen in Form einer Tabelle an.

Im Fenster lassen sich nun über den Schalter Add Rule weitere Einstellungen vornehmen, indem Sie neue Regeln definieren. Im entsprechenden Dialog schalten Sie zusätzlich auch vorhandene Filterlisten ein oder aus. Die Syntax für Regeln orientiert sich dabei an jener von Iptables und erlaubt wie diese das Passierenlassen oder Blockieren bestimmter Datenpakete (Abbildung 2).

Abbildung 2: Regeln für den Datentransfer definieren Sie wie bei einer Iptables-Firewall.

Sie können außerdem für alle auf Ihrem Computer installierten Applikationen mit Internet-Zugang individuelle Regeln festlegen, unabhängig davon, ob die jeweilige Applikation gerade läuft. Portmaster ermittelt alle Anwendungen mit Netzzugang automatisch und stellt sie in einer Liste dar. Die rufen Sie auf, indem Sie ganz links in der vertikalen Schalterleiste auf den zweiten Knopf von oben klicken. Rechts erscheinen dann alle Apps, wobei Portmaster zwischen aktiven und inaktiven unterscheidet (Abbildung 3).

Abbildung 3: Auch auf der Ebene einzelner Programme regulieren Sie, an wen die Apps Daten versenden dürfen.

Einstellungen

Um globale Einstellungen für Portmaster zu modifizieren, klicken Sie in der vertikalen Schalterleiste auf das Zahnrad-Icon. Rechts im Fenster öffnet sich dann der Dialog Global Settings, in dem Sie zahlreiche Einstellungen bequem per Schieberegler vornehmen, und zwar jeweils nach den drei Verbindungskategorien geordnet.

So können Sie beispielsweise im eigenen Intranet arbeitende DNS-Server in größeren Umgebungen ignorieren, wobei Portmaster diese voreingestellt erst ab der Stufe Untrusted bei der Namensauflösung nicht berücksichtigt. Per Schieberegler lassen sich diese Einstellung auch auf die Stufe Trusted ausdehnen, also auf den Netzzugang über ein sicheres Intranet.

Safing Privacy Network

Portmaster ermöglicht den getunnelten Zugang ins Internet mithilfe des Safing Privacy Networks (SPN). Dieses Netz stellt eine Alternative zu herkömmlichen VPN-Diensten dar, wobei es eine technische Besonderheit aufweist: Das SPN leitet Datenpakete nicht nur über einen Tunnel zwischen Client und Server, sondern nutzt dazu ähnlich wie das Tor-Netzwerk eine Onion-Struktur, wobei die Pakete über mehrere Server laufen.

Das SPN befindet sich derzeit noch in einer Alpha-Phase, weshalb Portmaster den Dienst voreingestellt deaktiviert. Wie öffentliche VPN-Dienste erfordert auch das SPN einen eigenen Zugang. Dazu bieten die Entwickler ein einfaches, kostenpflichtiges Subskriptionsmodell, das lediglich einen im Transferkontingent unbegrenzten, für bis zu fünf Endgeräte geeigneten Account bietet. Das Projekt offeriert Zugangsabos auf Monats- oder Jahresbasis zum Preis von 9,90 Euro monatlich oder 99 Euro im Jahr.

Um das SPN-Netz zu aktivieren, klicken Sie links in der vertikalen Schalterleiste auf den zweiten Knopf von unten. Rechts erscheint nun ein Informations- und Anmeldedialog, mit dessen Hilfe Sie Portmaster in den SPN-Modus schalten. Zusätzlich müssen Sie in den Dialogen unter Global Settings noch in der Gruppe SPN den Schieberegler von Off auf On bewegen. Danach erfolgen alle Verbindungen über das Safing Privacy Network (Abbildung 4).

Abbildung 4: Portmaster integriert auch ein wirksames VPN, das die Daten ähnlich wie Tor durch ein vielschichtiges Netz leitet.

Fazit und Ausblick

Mit Portmaster machen Sie undurchsichtigen Datentransfers vom heimischen Computer zu Softwareherstellern oder Werbenetzwerken ein Ende. Die ausgeklügelten Blockierfunktionen unterbinden mithilfe von Filtersystemen nicht nur unerwünschte Daten-Uploads, sondern blockieren bei Bedarf auch auf Anwendungsebene Übertragungen an Dritte. Dadurch behalten Sie den Überblick über den Datenverkehr und erschweren es Trackern und Werbenetzen, Ihre Surfgewohnheiten auszuspionieren.

Das noch recht junge und zudem technisch anspruchsvolle Portmaster/SPN-Projekt hat längst noch nicht alle geplanten Features implementiert. Die Entwickler liefern auf ihrer Website in einem Backlog ausführliche Infos zur Roadmap, der sich bei Bedarf entnehmen lässt, wann eine von Ihnen eventuell benötigte Funktion integriert wird [5], wie die Anonymisierung im Internet mithilfe des SPN. Portmaster präsentiert sich damit als wirkungsvolles Instrument, wenn Ihre privaten Angelegenheiten auch im Internet privat bleiben sollen. (cla)