20211125 Ist Tor sicher?

25.11.2021 Ist Tor sicher?

Was man über das Tor Netzwerk wissen sollte

Diese Frage ist nicht einfach mit Ja oder Nein zu beantworten, denn das hängt von vielen Kleinigkeiten, u.a. dem Verhalten des Benutzers ab. Einiges ist jedoch sicher

die Software für das Tor Netzwerk ist quelloffen und wird von vielen Tausend Menschen sehr genau unter die Lupe genommen,
für den verwendete Browser von Mozilla Firefox gilt das ebenso,
die eigene IP Adresse wird sicher verschleiert,
eine Rückverfolgung über die (sich ständig ändernden) Knoten ist netzwerktechnisch nicht möglich,
bietet die angeforderte Webseite selbst einen Onion-Dienst an, so kommt man beim Surfen bis zum Ziel nicht wieder an die Oberfläche des "normalen" Internets und ist garantiert unerkannt unterwegs. Wie inzwischen viele andere bieten wir unsere Webseiten auch "unter der Oberfläche" im Onion-Netzwerk an unter http://a6pdp5vmmw4zm5tifrc3qo2pyz7mvnk4zzimpesnckvzinubzmioddad.onion/

Wo sind die Fallstricke bei der Nutzung von Tor?

der DAU - der dümmste anzunehmende User
Der Fehler sitzt meist vor dem Bildschirm. Wenn sich ein Mensch mittels Tor Browser mit (s)einem sozialen Netzwerk oder Maildienst verbindet und sich dort mit seinem üblichen Account einloggt, den er auch beim Surfen ohne Tor nutzt, dann ist er bekannt und verfolgbar.
der Exit Node
Der Verkehr im Tor Netzwerk geht über mehrere (sich ständig ändernden) Knoten und kommt über einen Exit Node wieder ins "normale" Internet. Wer diesen Exit Node anbietet und kontrolliert weiß zwar nicht wer dort surft, aber er sieht wohin dieser Mensch Verbindungen aufbaut. Aus diesem Grund hatten kriminelle Hacker vor einigen Jahren angeblich 20% der Exit Nodes unter ihrer Kontrolle. Wenn dann unverschlüsselt Daten für wichtige Accounts übermittelt werden, hatten diese ihre Freude - andere Hacker im "normalen" Internet aber auch.
der Browser Fingerprint
Beim Surfen greifen die aufgerufenen Webseiten gern Informationen über den benutzten Browser ab - natürlich nur, um dem Nutzer ein "möglichst komfortables Surferlebnis" zu bieten. Das sind Informationen wie Browsertyp, Betriebssystem, Eigenschaften der Hardware, ... und da kommt schon einiges zusammen, was auf einen bestimmten User hinweise könnte.
Der Tor Browser hält bereits vieles zurück, wie die Browser Historie, besuchte Seiten und gibt sich stets als Firefox auf Windows (das sind mehr als 80% aller Nutzer weltweit) aus, auch wenn man in Wirklichkeit Linux nutzt.
Browser Erweiterungen
Zurück zum DAU - dieser kann alle Bemühungen der Konstrukteure von Tor zunichte machen, in dem er unbedacht Erweiterungen in den Firefox Browser packt, die die Anonymität wieder zerstören oder freizügig Java in seinem Browser nutzt. Java ist nicht mehr automatisch abgeschaltet, da viele Webseiten dann überhaupt nichts mehr anzeigen. Man kann die Nutzung jedoch in Stufen ein- bzw. ausschalten.
Updates
Wie bei jeder anderen Software auch, kann der Code Fehler enthalten. Deshalb sind regelmäßige Updates wichtig. Der Tor Browser weist darauf hin und installiert sie auch selbst.

Der 5 Seiten lange Bericht auf Heise gibt dazu weitere Tipps.

Ein Geschmäckle bleibt am Tor Netzwerk hängen - das Geld zu seiner Entwicklung kam vom US Militär, weil auch Geheimdienste und Militärs gern unerkannt bleiben. Seit vielen Jahren ist das Tor Project jedoch Open Source. Trotzdem ist es sicher, dass auch Geheimdienste Exit Nodes betreiben und mit Interesse den (hoffentlich verschlüsselten) Verkehr beobachten ...

Mehr dazu bei https://www.heise.de/hintergrund/Missing-Link-Wie-sicher-ist-der-Anonymisierungsdienst-Tor-6272025.html
und Studien zur Tor-Sicherheit und möglichen Angriffsszenarien https://kkohls.org/publications.html