Tor und Proxies

Ihre IP-Adresse gibt an, woher Ihr Datenverkehr stammt. Bei autorisierten Red-Team-Einsätzen, zu Forschungszwecken oder aus Gründen des Datenschutzes kann es erforderlich sein, die Quelle Ihrer Verbindungen zu verschleiern.

In dieser Lektion geht es um Proxys und Tor, zwei grundlegende Werkzeuge zum Verbergen des Ursprungs von Netzwerkverkehr. Der Schwerpunkt liegt darauf, wie sie funktionieren und wo ihre Grenzen liegen.

Ein Proxyserver steht zwischen Ihnen und dem Ziel. Sie senden Anfragen an den Proxy, der sie in Ihrem Namen weiterleitet. Dadurch sieht das Ziel die IP-Adresse des Proxys statt Ihrer eigenen.

• HTTP-Proxy: verarbeitet Webdatenverkehr.
• SOCKS-Proxy: ist protokollunabhängig und verarbeitet beliebigen TCP-Datenverkehr.

Ein einzelner Proxy bietet nur schwache Anonymität:

• Der Proxybetreiber sieht Ihre echte IP-Adresse und Ihr Ziel – eine einzelne Stelle weiß somit alles.
• Viele kostenlose öffentliche Proxys protokollieren Datenverkehr oder schleusen Inhalte ein.
• Der Datenverkehr zwischen Ihnen und einem HTTP-Proxy kann unverschlüsselt sein.

Proxys eignen sich zum Umleiten von Datenverkehr und zum Umgehen einfacher Filter, nicht jedoch für starke Anonymität.

Tor (The Onion Router) ist ein für Anonymität entwickeltes Netzwerk. Statt nur über einen Hop läuft Ihr Datenverkehr über drei freiwillig betriebene Relays, bevor er das Ziel erreicht.

Kein einzelnes Relay weiß zugleich, wer Sie sind und wohin Sie gehen. Diese Trennung bildet den Kern des Schutzes durch Tor.

Tor verschachtelt Ihre Daten in Verschlüsselungsschichten, ähnlich einer Zwiebel. Jedes Relay entfernt eine Schicht und erfährt dadurch nur den nächsten Hop:

• Guard-Knoten (Einstiegsknoten): kennt Ihre IP-Adresse, aber nicht Ihr Ziel.
• Mittleres Relay: kennt keine der beiden Seiten, sondern nur den vorherigen und den nächsten Hop.
• Exit-Knoten: kennt das Ziel, aber nicht Ihre IP-Adresse.

Am einfachsten geht das mit dem Tor Browser, einem für Anonymität gehärteten und vorkonfigurierten Firefox. Für Befehlszeilenwerkzeuge starten Sie den Tor-Dienst und leiten den Datenverkehr über dessen lokalen SOCKS-Proxy.

Der Exit-Knoten sieht Ihren Datenverkehr, wenn dieser Tor in Richtung Ziel verlässt. Wenn Sie unverschlüsseltes HTTP verwenden, kann ein bösartiger Exit-Knoten den Datenverkehr lesen und verändern.

Verwenden Sie über Tor stets durchgehend HTTPS. Tor anonymisiert die Quelle, verschlüsselt jedoch nicht den letzten Hop zu einer einfachen HTTP-Website.

Tor hostet außerdem Onion-Dienste (Adressen mit der Endung .onion). Diese Dienste und ihre Besucher bleiben beide anonym, und die Verbindung verlässt das Tor-Netzwerk nie. Daher besteht kein Risiko durch einen Exit-Knoten.

Onion-Dienste sind nur über Tor erreichbar und werden von gewöhnlichen Suchmaschinen nicht indexiert.

Tor schützt die Anonymität auf Netzwerkebene, aber nicht vor Ihren eigenen Fehlern:

• Wenn Sie sich bei einem persönlichen Konto anmelden, geben Sie Ihre Identität sofort preis.
• Browser-Plugins, JavaScript oder Downloads können Ihre echte IP-Adresse preisgeben.
• Leistungsfähige Angreifer können Datenverkehr durch Timing- und Korrelationsangriffe manchmal einander zuordnen.

Anonymität ist ein System, kein einzelnes Werkzeug.

proxychains zwingt jedes Befehlszeilenwerkzeug, einen oder mehrere Proxys zu verwenden, einschließlich des SOCKS-Ports von Tor. Bei autorisierten Pentests wird es häufig eingesetzt, um Scans über einen Pivot zu leiten.

Einige Netzwerke blockieren bekannte Tor-Relays direkt. Tor-Bridges sind nicht gelistete Einstiegspunkte, die schwerer zu blockieren sind.

Pluggable Transports wie obfs4 tarnen Tor-Datenverkehr, sodass er überhaupt nicht wie Tor aussieht. Dadurch können sich Nutzer in stark zensierten Regionen verbinden. Diese Funktionen sind wichtig, wenn ein Angreifer aktiv versucht, Sie vom Netzwerk fernzuhalten.

Überlegen Sie, wer welche Informationen im Tor-Schaltkreis sehen kann.

Sie haben gelernt, wie sich der Ursprung von Datenverkehr verbergen lässt:

• Proxys leiten Ihren Datenverkehr weiter, aber ein einzelner Proxy sieht alles und bietet daher nur schwache Anonymität.
• Tor verwendet drei Relays und eine mehrschichtige Onion-Verschlüsselung, sodass kein einzelner Knoten Sie mit Ihrem Ziel in Verbindung bringen kann.
• Der Exit-Knoten kann unverschlüsselten Datenverkehr lesen. Verwenden Sie daher stets HTTPS.
• Tor schützt nicht vor Fehlern der Nutzer. Anonymität erfordert Disziplin.

Als Nächstes: VPNs stapeln und Verbindungen für mehrschichtige Anonymität verketten.