Analyse verschlüsselten Datenverkehrs

Die Verschlüsselung des Netzwerkverkehrs schützt den Nachrichteninhalt, doch der Zeitpunkt der Pakete bleibt vollständig beobachtbar. Ein Angreifer, der eine verschlüsselte Verbindung überwacht, kann die Verzögerungen zwischen Paketen, die Verbindungsdauer und das zeitliche Muster von Datenbursts messen. Diese zeitlichen Merkmale können zeigen, welche Art von Anwendung verwendet wird, ob der Benutzer gerade Eingaben macht oder Daten empfängt, und in manchen Fällen allein anhand der Zeitabläufe sensible Informationen rekonstruieren.

Auch ohne den Inhalt zu lesen, vermitteln Paketgrößen Informationen. Ein Dateidownload erzeugt große Pakete nahe der maximalen Übertragungseinheit; eine Chatnachricht erzeugt kleine Pakete. Das Gesamtvolumen der in einer verschlüsselten Sitzung übertragenen Daten kann erkennen lassen, ob eine große Datei geteilt wurde. Qualitätseinstellungen bei Videotelefonaten erzeugen charakteristische Verteilungen von Paketgrößen, die ein geschulter Beobachter erkennen kann.

Eine Traffic-Analyse untersucht, wer mit wem kommuniziert, wann und wie häufig dies geschieht und wie lange die Kommunikation dauert, ohne den Inhalt zu prüfen. Selbst vollständig verschlüsselte Kommunikation gibt einen Social Graph preis. Zu wissen, dass ein Journalist in unregelmäßigen Abständen die IP-Adresse eines bestimmten Regierungsbeamten kontaktiert, ist unabhängig vom Gesprächsinhalt wertvolle Information. Traffic-Analysen werden seit der Ära der Telegraphenkommunikation zur Überwachung eingesetzt.

Wenn ein Browser eine TLS-Verbindung aufbaut, sendet er in der anfänglichen ClientHello-Nachricht eine Server-Name-Indication-Erweiterung, bevor die Verschlüsselung beginnt. SNI enthält den Domainnamen, zu dem der Client eine Verbindung herstellen möchte. Jeder Beobachter auf dem Netzwerkpfad kann SNI lesen und genau erkennen, welche Website Sie besuchen, obwohl die anschließenden HTTP-Anfragen verschlüsselt sind. SNI wird im Klartext übertragen, weil der Server es benötigt, um das richtige Zertifikat auszuwählen.

QUIC ist ein modernes, von Google entwickeltes Transportprotokoll, das über UDP läuft. Es verschlüsselt den TLS-Handshake einschließlich SNI von Anfang an mithilfe des Mechanismus Encrypted Client Hello (ECH). ECH verschlüsselt den inneren ClientHello, der den tatsächlichen Hostnamen enthält, innerhalb eines äußeren ClientHello, das an einen CDN-Einstiegspunkt adressiert ist. Dadurch wird das Bekanntwerden des Hostnamens verhindert, das bei klassischem TLS 1.3 über TCP unvermeidbar ist.

Angriffe mittels Website-Fingerprinting nutzen die Tatsache aus, dass jede Website ein charakteristisches Muster von Ressourcenanfragen erzeugt: eine bestimmte Anzahl von Objekten mit bestimmten Größen, die in einer bestimmten Reihenfolge geladen werden. Indem ein Klassifikator anhand dieser Muster trainiert wird, kann ein Angreifer allein anhand der Traffic-Muster erkennen, welche Website ein Nutzer besucht hat, selbst über ein verschlüsseltes VPN. Untersuchungen zeigen bei verbreiteten Websites Trefferquoten von über 90 Prozent.

Tor leitet den Datenverkehr über drei von Freiwilligen betriebene Relays und verschlüsselt ihn an jedem Hop, wodurch die Verbindung zwischen Ursprung und Ziel verborgen wird. Ein Angreifer, der sowohl den Tor-Einstiegsknoten als auch den Tor-Ausstiegsknoten beobachten kann, kann jedoch eine Traffic-Korrelation durchführen: Die Muster von Zeitpunkten und Datenvolumen an Ein- und Ausgang stimmen überein, obwohl der Inhalt verschlüsselt ist. Staatliche Angreifer mit Überwachungsmöglichkeiten in großen Teilen des Internets können diesen Korrelationsangriff durchführen.

Netflix und YouTube passen die Videoqualität an die verfügbare Bandbreite an, und unterschiedliche Auflösungen erzeugen unterschiedliche Verteilungen von Paketraten und Paketgrößen. Forschende haben gezeigt, dass ein Beobachter den Titel des gestreamten Videos ableiten kann, indem er das beobachtete Traffic-Muster mit einer Fingerabdruckdatenbank bekannter Videos in unterschiedlichen Qualitätsstufen abgleicht. Dies funktioniert auch über HTTPS, weil Muster von Content-Length und Zeitpunkten sichtbar sind.

Ein VPN verschlüsselt den Datenverkehr zwischen dem Nutzer und dem VPN-Server und verbirgt dadurch die Ziele vor dem lokalen ISP. Der VPN-Anbieter sieht jedoch alle Ziele, das Gesamtvolumen pro Ziel ist für ihn sichtbar, und DNS-Abfragen vor dem Aufbau des VPN-Tunnels können weiterhin an den ISP durchsickern. Außerdem kann WebRTC in Browsern die tatsächliche IP-Adresse des Nutzers offenlegen, selbst wenn ein VPN aktiv ist, sofern WebRTC nicht ausdrücklich blockiert wird.

Bevor eine TLS-Verbindung aufgebaut wird, führt der Browser eine DNS-Abfrage durch, um den Domainnamen in eine IP-Adresse aufzulösen. Wenn DNS nicht verschlüsselt ist, also kein DoH oder DoT verwendet wird, wird die DNS-Abfrage im Klartext übertragen und verrät das Ziel dem lokalen Resolver, dem ISP und jedem Beobachter im Netzwerk. Selbst wenn die anschließende TLS-Verbindung verschlüsselt ist und ECH SNI verbirgt, hat die DNS-Abfrage das Ziel bereits offengelegt.

Der Schutz vor Traffic-Analyse erfordert Cover-Traffic, um reale Muster zu verschleiern, Anonymisierungsnetzwerke mit Traffic-Shaping sowie die Verschlüsselung von DNS durch DoH oder DoT. Padding in HTTPS kann Objektgrößen verschleiern. Tor mit einem Pluggable Transport verschleiert Traffic-Muster, um einer Erkennung zur Zensurbekämpfung zu widerstehen. Keine einzelne Gegenmaßnahme verhindert alle Angriffe zur Traffic-Analyse; ein wirksamer Schutz erfordert die Kombination mehrerer Techniken.

Welche Metadaten sind für einen Netzwerkbeobachter sichtbar, selbst wenn TLS 1.3 die HTTP-Anfrage verschlüsselt?

Verschlüsselung schützt den Inhalt, aber nicht die Metadaten. Zeitpunkte, Paketgrößen und Kommunikationsmuster geben erhebliche Informationen preis. TLS SNI verrät den Hostnamen im Klartext; das Encrypted Client Hello von QUIC verhindert dies. Website-Fingerprinting kann besuchte Websites anhand von Traffic-Mustern erkennen. Tor ist anfällig für Traffic-Korrelation durch globale Angreifer. DNS-Abfragen verraten Ziele vor TLS, sofern kein DoH oder DoT verwendet wird.