Anonymes High-Speed-Netzwerk

Mit der Tor-Technik lässt sich sicher surfen, doch performant ist das Verfahren nicht. Schweizer Forscher arbeiten an einem schnelleren Ansatz.

Wer unverfolgt im Internet unterwegs sein will, benötigt bekanntlich einen Anonymisierungsdienst. Der wohl beliebteste ist das quelloffene Tor-System des Tor-Projekts. Es leitet vereinfacht dargestellt die Datenpakete über viele Zwischenstationen, um die Netzwerkadresse des Nutzers zu verschleiern.

Das kostet aber Zeit, daher ist anonymisiertes Surfen langsam – zudem steht nicht immer ausreichende Bandbreite zwischen den einzelnen Stationen zur Verfügung. Und auch der sogenannte Exit-Node, an dem der Datenverkehr ins offene Internet übergeht, kann überlastet sein.

Forscher an der ETH Zürich haben deshalb zusammen mit Kollegen am University College London ein vielfach schnelleres Anonymisierungs-Verfahren entwickelt. Es heißt Hornet, was für "High-Speed Onion Routing at the Network Layer" steht. In Tests sollen damit Datenraten von rund 93 Gigabit pro Sekunde erreicht werden können – trotz Anonymisierung. Die Zahl der Quellen soll dabei "nahezu unendlich" sein können.

Wie Tor verschlüsselt Hornet in sogenannten Zwiebelschichten. Jeder Knoten im Anonymisierungsnetz kann jeweils nur eine Schicht auspacken. Das Neue bei Hornet: Der Datenkopf jedes Pakets, der etwa Schlüssel und Routing-Informationen enthält, wird nahtlos über die einzelnen Stationen ans Ziel weitergegeben. Ein Hornet-Knoten muss keinen Per-Flow-State vorhalten und auch keine leistungshungrigen Operationen durchführen, während er die Daten weiterreicht. Effizientere Verschlüsselungsverfahren erledigen den Rest. Dabei werden zwei verschiedene Onion-Protokolle eingesetzt. Laut der ETH-Forscher lässt sich die Methode einfach für viele Nutzer skalieren. Nach ihren Vorstellungen soll Hornet zum Standardverfahren werden.

Hornet soll eine ähnlich geringe Latenz haben wie existierende Anonymisierungsprotokolle – beispielsweise Dovetail. Dabei wollen sie Maßnahmen implementiert haben, die dafür sorgen, dass auch staatliche Abhörstellen, die Kontrolle über große Teile des Netzwerks haben, den Datenverkehr schwerer zu seinem Urheber zurückverfolgen können als bisher. Das gilt besonders für passive Angriffe. Ein Gegner müsse eine "signifikante Anzahl" von Internet-Providern über verschiedene geopolitische Grenzen kontrollieren.

Allerdings sind sogenannte Confirmation-Attacks, bei dem ein Angreifer über Zugriff auf mindestens zwei Knoten des Hornet-Netzwerks verfügt, weiterhin möglich – diese werden von Überwachern gerne zielgerichtet eingesetzt. Innerhalb eines reinen Hornet-Netzwerks ("hidden service") gibt es zusätzliche Sicherheitsmechanismen.

Die Hornet-Technik soll sich auch direkt in Router integrieren lassen, über die der Internet-Verkehr geleitet wird. Demonstriert wurde das bereits anhand von Intel-Software-Routern mit Hilfe des Data Plane Development Kit (DPDK). Bestenfalls wäre Anonymisierung also eines Tages direkt in die Infrastruktur des Netzes eingebaut, ohne dass man sich um sie kümmern muss. (bsc)