Eine Bresche in der Chinesischen Mauer

Schwedische Forscher haben den Mechanismus aufgedeckt, mit dem China auch geheime Eingangsserver des Anonymisierungsdienstes Tor blockiert. Danach ließe sich die "Great Firewall of China" auf zwei Wegen für Tor öffnen.

Eine der segensreichsten Erfindungen im Internet ist das Tor-Netzwerk: Betrieben von zahlreichen ehrenamtlichen Entwicklern, ermöglicht es Nutzern, anonym im Netz zu kommunizieren. Wer mittels Tor E-Mails schreibt, Webseiten aufruft oder Online-Kommentare veröffentlicht, kann von staatlichen und industriellen Datenschnüfflern nicht identifiziert werden. Repressiven Staaten, allen voran China, ist Tor deshalb schon lange ein Dorn im Auge.

Die „Great Firewall of China“, mit der im Reich der Mitte das Internet zensiert wird, blockiert denn auch konsequent alle Zugangspunkte zum Tor-Netzwerk. Die Informatiker Philipp Winter und Stefan Lindskog von der Universität Karlstad in Schweden haben nun den Blockade-Mechanismus der digitalen Chinesischen Mauer genauer analysiert und schlagen Wege vor, wie er überwunden werden könnte.

Wer Tor nutzen will, lädt zunächst eine Client-Software herunter, die auf dem eigenen Rechner installiert wird. Sie verschlüsselt alle Daten, die eine Nutzerin – nennen wir sie Alice – ins Netz schickt. Genauer gesagt: an einen Tor-Server, der als Eingangsvermittler („entry relay“) dient. Von dort werden Alice’ Datenpakete – etwa E-Mails oder Webseitenaufrufe – auf einem Zufallspfad über eine Kette weiterer Tor-Server geleitet, bis sie schließlich einem Empfänger – Bob – zugestellt werden. Dessen Rechner kann nur den letzten Tor-Server erkennen. Wo Alice ihre Daten abgeschickt hat oder wer sich hinter ihrem Namen verbirgt, kann Bob nicht feststellen. Weil innerhalb des Tor-Netzwerks die Rechneradressen von Alice und Bob verschlüsselt sind, bleiben ihre Identitäten auch vor einem etwaigen Lauscher geschützt.

Weil die meisten Eingangsserver des Tor-Netzwerks unter öffentlich aufgelisteten IP-Adressen operieren, kann die Great Firewall diese blockieren. Einige Server werden jedoch mit wechselnden nicht-öffentlichen Adressen betrieben, um eine Internet-Zensur zu unterlaufen. Dummerweise hat China einen Weg gefunden, auch sie zu identifizieren und zu blockieren.

Um diesen Mechanismus aufzuklären, installierten Winter und Lindskog einen eigenen geheimen Tor-Server. Dann versuchten sie über einen Virtual Private Server aus dem chinesischen Netz heraus, auf diesen zuzugreifen. Hierfür griffen sie auf Vorarbeiten von Tim Wilde, Internetsicherheits-Experte der Non-Profit-Organisation Team Cymru, zurück.

Wann immer zwei Rechner im Tor-System miteinander kommunizieren, verwenden sie ein eigenes Datenprotokoll. Es enthält Code-Sequenzen aus dem Verschlüsselungsverfahren, die in anderen Datenprotokollen nicht vorkommen. Die Great Firewall, fanden Winter und Lindskog nun heraus, analysiert sämtliche, aus dem chinesischen Netz ausgehenden Datenpakete auf diese Code-Sequenzen hin. Das hierbei eingesetzte Verfahren wird als „Deep Packet Inspection“ bezeichnet. Wird die Firewall-Software fündig, geht sie davon aus, dass es sich um eine Tor-Verbindung handeln könnte. Die chinesische Firewall stellt dann eine eigene Verbindung zu dem mutmaßlichen Tor-Server her. Kommt sie zustande, wird dessen IP-Adresse in die Blockade-Liste aufgenommen, der Zugang aus China heraus gekappt.

Mit Hilfe des „Reverse DNS Lookup“-Dienstes von Google sowie mittels sogenannter Whois-Lookups untersuchten die beiden Forscher nun, von wo die Testabfragen an ihren eigenen Tor-Server kamen. Laut Winter und Lindskog deutet alles daraufhin, dass die Tor-Blockade von den beiden größten chinesischen Telekommunikationsunternehmen, China Telecom und China Unicom, betrieben wird. Beide sind staatliche Firmen.

Mit diesem Wissen haben sich Winter und Lindskog Gedanken gemacht, wie man die Great Firewall austricksen könnte. Eine Möglichkeit wäre, die Tor-Datenpakete in kleinere Fragmente aufzubrechen, um die Datenanalyse der Firewall-Software zu verwirren. Diese Fragmentierung müssten aber ausnahmslos alle Tor-User einsetzen. Würde nur ein Nutzer einen Tor-Server auf herkömmlichem Wege anfunken, würde er dessen Adresse verraten.

Eine bessere Lösung könnte ein Werkzeug namens Obfsproxy sein. Es soll den Datenverkehr des Tor-Netzwerks als Datenverkehr anderer Dienste – etwa des Internet-Telefoniesystems Skype – tarnen. Obfsproxy befindet sich derzeit noch in der Entwicklung.

Natürlich hat sich diese Strategie auch in China herumgesprochen, weshalb die Great Firewall alle Vermittlungsserver blockiert, die für den Einsatz von Obfsproxy konfiguriert sind. Winter und Lindskog gelang es allerdings, einen privaten Obfsproxy-Vermittler in Schweden aufzusetzen und sich erfolgreich aus dem chinesischen Netz mit ihm zu verbinden. „Wir konnten über mehrere Stunden Verbindungen aufbauen und jedesmal eine Tor-Route öffnen“, erklären die beiden Forscher.

Das deutet daraufhin, dass private Obfsproxy-Vermittler – derzeit – mittels Deep Packet Inspection nicht zu erfassen sind. Man müsse daraufhin arbeiten, dass der Tor-Datenverkehr sich immer weniger von anderem Datenverkehr im Netz unterscheide, betonen Winter und Lindskog.

Dies ist allerdings leichter gesagt als getan. Weil Tor ein offenes System ist, finden alle Diskussionen in der Tor-Gemeinde über solche Software-Fragen öffentlich statt. Auch die chinesischen Behörden können mitlesen, wie sie ausgetrickst werden sollen. Das auf dem arXiv-Server veröffentlichte Paper von Winter und Lindskog werden sie gewiss gründlich studieren.

Das Tor-Projekt steht damit vor dem Dilemma, ob Weiterentwicklungen des Systems im Dienste von Meinungsfreiheit und Transparenz besser im Geheimen diskutiert werden sollten. Die Tor-Gemeinde sollte dieser Versuchung widerstehen, auch wenn es bedeutet, gegen einen übermächtigen Gegner zu kämpfen, während einem eine Hand auf den Rücken gebunden ist. Doch das ist der Preis der Freiheit, die mit Tor verteidigt werden soll.


Das Paper:
Philipp Winter & Stefan Lindskog, „How China Is Blocking Tor “, arXiv.org, 2.4.2012 (nbo)