30C3: Keine Hintertüren in Tor

Roger Dingledine, der Gründer des Anonymisierungsnetzwerks Tor, hat auf dem 30. Chaos Communication Congress (30C3) in Hamburg am Freitag von Forderungen der US-Regierung berichtet, den Dienst mit einer allgemeinen Überwachungsschnittstelle auszurüsten. Eine Vertreterin des Justizministeriums sei auf die Kernentwickler zugekommen und habe davon gesprochen, dass der US-Kongress Washington das Recht gegeben habe, "alles mit Hintertüren zu versehen". Diese vom Gesetzgeber ausgehändigten Überwachungsprivilegien müsse die Exekutive ausüben können. Wer nicht mitspiele, beraube das Land seiner Möglichkeiten.

Die Tor-Programmierer hätten sich diesem dringenden Wunsch nicht beugen wollen, betonte Dingledine. Die Diskussion sei beendet gewesen nach dem Hinweis der Macher, dass es sich bei dem Projekt nicht um eine US-Firma handle, sondern dass dieses "für das Allgemeinwohl" arbeite. Zugleich versicherte der US-Bürger der versammelten Hackergemeinde: "Wir werden nie eine Hintertür einbauen." Die klare Vorgabe laute: "No backdoors, never ever."

Dingledine räumte ein, dass die derzeit 60-prozentige Finanzierung der Fortentwicklung und Aufrechterhaltung von Tor durch die US-Regierung einen gewissen Einflussfaktor auf Entscheidungen des Teams darstellen könnte. Es sei daher wichtig, den Anteil von privaten Geldgebern zu erhöhen, "die unsere Botschaft unterstützen". Die zuhörenden Datenreisenden ermunterte er mit dem Hinweis: "Wir akzeptieren jetzt Bitcoin" dazu, ihr Scherflein zum Jahresbudget von "zwei oder drei Millionen US-Dollar" beizutragen. Tor-Mitstreiter Jacob Appelbaum ergänzte: "Es wäre schön, wenn private Geldgeber einen Beitrag in Höhe der Regierungsdollars beisteuerten."

Der nach Berlin ausgewanderte US-Netzaktivist freute sich besonders, dass Tor insgesamt den "Snowden-Sommer" überlebt habe. Er spielte damit auf Enthüllungen des NSA-Whistleblowers an, wonach sich der technische US-Geheimdienst an dem Anonymisierungsnetz bislang mehr oder weniger die Zähne ausgebissen habe. Die NSA habe zwar einige Tor-Nutzer erwischt, aber keinesfalls alle. So hätten die Schlapphüte trotz all ihrer Programme zur Internetüberwachung acht Monate gebraucht, um eine einzelne Person ausfindig zu machen, die auf Tor gesetzt habe. Zugleich wies Appelbaum Berichte zurück, dass die NSA zehntausende Knoten im Tor-Netzwerk betreibe: "Wir haben ja nur rund 4000 bis 5000."

Der US-Geheimdienst habe zu einem gewissen Zeitpunkt rund 12 eigene Tor-Server in Betrieb gehabt, führte Dingledine aus. Entscheidender sei, dass die Agenten den Upstream zu anderen Knoten beobachten und das gesamte Internet überwachen könnten. Es sei ihnen aber offenbar in der Regel nicht gelungen, Anwender auf konkrete Anfragen hin zu deanonymisieren.

Mit größerer Sorge sieht Dingledine, dass immer mehr Online-Dienste wie Google, Skype, Yelp oder Wikipedia Tor-Verbindungen kategorisch zurückwiesen. Microsoft etwa bezahle eine Firma für das Liefern einer schwarzen Liste für Skype und schere sich überhaupt nicht darum, wer letztlich aus welchen Gründen darauf stehe. Dabei brauche man nicht immer nur die IP-Adresse, um Nutzer zu identifizieren.

Missbrauch könne zudem etwa auch über Captcha-Abfragen oder Pseudonyme verhindert werden, unterstrich Appelbaum. Die Tor-Entwickler hätten sich in diesem Sinne vorgenommen, zumindest mit Wikipedia im kommenden Jahr besser zusammenarbeiten und nach einer Lösung zu suchen. Wichtig sei es auch, Möglichkeiten zum Einrichten "versteckter Dienste" transparenter und leichter anwendbar zu machen.

Als "ernsthafte Bedrohung" für das Tor-Netzwerk machten die beiden Programmierer Botnetze aus. Just Ende August und Anfang September, als der vehemente Anstieg des Verkehrs auch einem steigenden menschlichen Interesse an der Nutzung von Anonymisierungsdiensten wegen der NSA-Affäre hätte zugeschrieben werden können, bemächtigten sich Appelbaum zufolge ferngesteuerte Maschinenagenten Teilen des Netzwerks. Dagegen habe man mit einem verbesserten Handshake-Verfahren zwar inzwischen erste Vorkehrungen getroffen. Dem Problem einfacher Herr werden könne man aber, wenn mehr Nutzer aus Fleisch und Blut Tor-Relays laufen ließen.

Nicht amüsiert waren die Tor-Entwickler zudem über gezielte Angriffe auf Systeme der Tor-Nutzer über Schwachstellen in älteren Firefox-Browsern. US-Sicherheitsbehörden hätten dazu offenbar einige Leute aus der Hackergemeinde angeworben, um die dafür eingesetzten Exploits zum Ausnutzen der Lücken zu schreiben, monierte Appelbaum. Er versuchte die Hacker zugleich auf Solidarität einzuschwören, da es um freie und anonyme Meinungsäußerung im Netz gehe und unliebsame Äußerungen für viele Bürger in Krisengebieten wie Syrien den sicheren Tod bedeuten könnten.

"Wenn wir einem syrischem Mädchen Tor wegnehmen, wird sie beim Kommunizieren sterben", malte Dingledine ein entsprechendes Szenario aus. Böswillige Teenager in den USA, Liebhaber von Kinderpornographie oder Terroristen fänden dagegen immer Wege, um andere Nutzer zu belästigen oder ihre Unterredungen geheim zu halten. "Wir müssen Werkzeuge bauen, um den Rest der Welt sicher zu halten", betonte der Tor-Entwickler. Das Anonymisierungsnetz sei auch für Ermittler oder die Bekämpfer von Kindesmissbrauch nicht "der Feind". Vielmehr helfe es ihnen, selbst bei ihrer Arbeit zunächst unentdeckt zu bleiben. Cyberkriminelle nutzten zudem zusätzlich meist weitere Dienste wie Hushmail oder Paypal, über die sie vergleichsweise einfach ausfindig zu machen seien. (ea)