Anonym Surfen mit Tor

Das TorBrowserBundle enthält einen modifizierten Firefox als Browser sowie den Tor Daemon und ein Control Panel. Die Webseite stellt das TorBrowserBundle für verschiedene Betriebssysteme und in unterschiedlichen Sprachen zur Verfügung.

HINWEIS: wir empfehlen, die englische Version des TorBrowsers (en-US) herunter zu laden. In den letzten Jahren gab es immer wieder aufgrund von Bugs im TBB die Möglichkeit, Hinweise auf die Lokalisierung des Browser zu fimden, z.B via Javascript date.tolocale() Funktion (#5926) oder via Informationen aus dem HTTP Accept-Language Header (#628) oder via ressource:// URI (#8725), wie der Test Browserleaks demonstrierte:

Wenn man die deutsch lokalisierte Version des TorBrowsers nutzt, gibt man einen Hinweis auf eine deutsche Herkunft, und das möchte man beim anonymen Surfen natürlich vermeiden.

Installation

Die Installation ist einfach. Man lädt das passende Archiv von der Downloadseite herunter, entpackt es und ruft das Startscript des TorBrowser auf. Eine Installation ist nicht nötig. Man kann das TorBrowserBundle auf einen USB-Stick kopieren und unterwegs nutzen, die Software ist portabel. Eine auführlichere Anleitung gibt es im Unterpunkt Installation.

TorBrowser verwenden

Beim ersten Start öffnet sich zuerst das Kontrol Panel. Hier kann man bei Problemen Einstellungen zur Umgehung von Firewalls konfigurieren (z.B. wenn eine Firewall nur Verbindungen zu bestimmten Ports passieren lässt) oder man kann den Tor Daemon
mit Klick auf den Button "Verbinde" ohne weitere Konfiguration starten.

Wenn eine Verbindung zum Tor Netzwerk hergestellt wurde, öffnet sich der TorBrowser.

Größe des Browserfensters

Der TorBrowser startet mit einer festgelegten Größe des Browserfensters. Die Fensterbreite sollte ein Vielfaches von 200px sein (max. 1000px) und die Höhe ein Vielfaches von 100px. Die Fenstergröße wird gleichzeitig als Bildschirmgröße via Javascript bereitgestellt.

Da die Größe des Browserfensters und die Größe des Bildschirms als Tracking-Feature genutzt wird, sollte man die voreingestellte Größe des Browserfensters nicht(!) ändern.

Sicherheitseinstellungen

Rule 41 of the US Federal Rules of Criminal Procedure erlaubt seit Dez. 2016 dem FBI das massenweise Hacken von Tor- und VPN-Nutzern unabhägig davon, in welchem Land die Tor-Nutzer sich befinden. Kann das FBI den TorBrowser hacken und unbemerkt einen Tojaner installieren? Ja.

2015 verwendete das FBI im Rahmen der Operation Playpen einen Zero-Day-Exploit im TorBrowser, um Besuchern von bestimmten Webseiten einen Trojaner unterzuschieben, der die reale IP-Adresse der Surfer ermittelte, an das FBI sendete und die Tor-Nutzer damit deanonymisierte. 8700 Tor-Nutzer in 120 Ländern waren betroffen. Welcher Lücke im Firefox dabei ausgenutzt wurde, ist nicht bekannt. Mozilla und TorProject.org haben sich bemüht, aber die Informationen zur ausgenutzten Lücke wurden unter Hinweis auf die "Nationale Sicherheit" als geheim eingestuft.
Im Sommer 2013 wurden tausende Tor-Nutzer mit dem FBI-Trojaner "Magneto" infiziert. Der Exploit zur Installation des Trojaners nutzte einen Javascript Bug im TorBrowser. Der installierte Trojaner sendete die IP-Adresse, die MAC-Adresse und den Namen des Rechners an einen FBI Server, um den Tor-Nutzer zu deanonymisieren.
Aus den Snwoden Dokumenten geht hervor, dass die NSA das TorBrowserBundle auf Basis von Firefox 10 esr über einen Bug in E4X (einer XML Extension für Javascript) automatisiert angreifen und Nutzer deanonymisieren konnten.
Außerdem geht aus den Snwoden Dokumenten hervor, dass die NSA eine QUANTUMCOOKIE insert attack aktiv nutzt, um Tor Nutzer zu deanonymisieren.

Die Tor-Entwickler haben den Tradeoff zwischen einfacher Benutzbarkeit und Sicherheit in den Default-Einstellungen zugunsten der einfachen Benutzbarkeit entschieden. Es wird aber auch anerkannt, dass diese Einstellungen ein Sicherheitsrisiko sind. In den FAQ steht:

There's a tradeoff here. On the one hand, we should leave JavaScript enabled by default so websites work the way users expect. On the other hand, we should disable JavaScript by default to better protect against browser vulnerabilities (not just a theoretical concern!).

Beim Start wird man darauf hingewiesen, dass man die Sicherheitseinstellungen anpassen kann. TorBrowser startet standardmäßig mit dem niedrigsten Sicherheitslevel "gering", um das Surferlebnis möglichst wenig einzuschränken. Bei Bedarf soll man den Sicherheitslevel erhöhen. Wir empfehlen den umgekehrten Weg.

Man sollte den Sicherheitslevel auf "hoch" setzen und nur auf "Mittel" verringern, wenn es unbedingt für die Nutzung einer (vertrauenswürdigen) Webseite nötig ist und wenn diese Webseite via HTTPS oder als Tor Hidden Service geladen wurde.

Fast alle Websites, die einen Login erfordern (E-Mail Provider u.ä.), kann man mit dem Level "Mittel" problemlos nutzen. Wenn man die Sicherheit weiter verringert, könnten bösartige Exit Nodes unschöne Dinge in den HTML Code von Webseiten einfügen, die über unverschlüsselte HTTP-Verbindung geladen werden.

Cookies und EverCookies

Um das Surferlebnis möglichst möglichst wenig einzuschränken und trotzdem langfristiges Tracking zur Erstellung von Persönlichkeitsprofilen zu verhindern, haben die Entwickler des TorBrowser folgendes Sicherheitskonzept umgesetzt:

Die aufgerufenen Webseite kann alle HTML5 Features zum Setzen von Cookies und Evercookies nutzen und den Surfer damit auch markieren. Drittseiten dürfen keine Cookies setzen.
Beim Neustart oder wenn man den Menüpunkt "Neue Identität" der Zwiebel in der Toolbar wählt, werden alle Markierungen gelöscht und es wird einen neue Route durch das Tor Netzwerk mit neuem Exit Node genutzt.

Man sollte dem Anonymitätskonzept des TorBrowser folgen und gelegentlich alle Identifikationsmerkmale löschen. Insbesondere vor und nach dem Login bei einem Webdienst sollte man alle Markierungen entfernen, um eine Verknüpfung des Surfverhaltens mit Accountdaten zu verhindern. Außerdem sollte man sich nicht gleichzeitig bei unterschiedlichen Diensten anmelden.

PDFs und andere Dokumente

Auf der Downloadseite des TorBrowserBundles findet man unten einige Sicherheitshinweise, unter anderem zu PDFs und anderen Dokumenten:

Don't open documents downloaded through Tor while online

You should be very careful when downloading documents via Tor (especially DOC and PDF files) as these documents can contain Internet resources that will be downloaded outside of Tor by the application that opens them. This will reveal your non-Tor IP address.

If you must work with DOC and/or PDF files, we strongly recommend either using a disconnected computer, downloading the free VirtualBox and using it with a virtual machine image with networking disabled, or using Tails.

PDFs und andere Office Dokumente können Tracking Wanzen enthalten, die beim Öffnen des Dokumentes von einem Server geladen werden. Wenn man sie in einem PDF-Reader öffnet, während man online ist, dann kann man deanonymisiert werden.

Standardmäßig öffnet TorBrowser PDFs im eigenen Viewer PDF.js. Damit sollte man zwar nicht deanonymisiert werden können, aber der Server kann zumindest das Öffnen des Dokumentes registrieren, auch nicht schön. Außerdem gibt es immer wieder Bug in Mozillas PDF.js, die für einen Exploit genutzt werden können (z.B. mfsa2015-69 vom Juli 2015).

Um nicht immer daran denken zu müssen, mit der rechten Maustaste auf einen PDF-Link zu klicken und "Speichern unter..." zu wählen, kann man die Einstellung im TorBrowser für PDF-Dokumente ändern und auf "Speichern" setzen.

Die via Tor herunter geladenen Dokumente kann man in einem besonderen Ordner speichern. Dann behält man den Überblick und weiss, dass man diese Dokumente nur öffnen darf, wenn man den Netzwerkstecker gezogen hat oder die WLAN-Verbindung ausgeschaltet wurde.

Eigenes Verhalten

Nach einer Faustregel hängt die Anonymität nur zu 10% von der Technik ab, zu 30% vom Wissen des Anwenders, wie man die Technik einsetzt, und zu 60% von der Disziplin, die notwendigen Regeln auch einzuhalten.

Die meisten Leser werden neben dem TorBrowserBundle auch einen normalen Browser nutzen, der für spurenarmes Surfen konfiguriert wurde. Mam muss sich darüber klar werden, wann man wirklich anonym bleiben will, welche Identäten, welche Accounts anonym sind und zu welchen Themen man anonym surfen will. Diese Regeln müssen dann strikt eingehalten werden. Ein einzelner Fehler kann ausreichen, um ein Pseudonym zu deanonymisieren.

Referenzen zwischen anonymen Surfen mit TorBrowser und spurenarmen Surfen mit dem normalen Browser sind unbedingt zu vermeiden, das kann zur Deanonymisierung führen. Insbesondere ist es ein Epic Fail, Links zwischen den beiden Browsern zu kopieren. Links können individuelle IDs enthalten (wie z.B. bei der Googlesuche) oder andere Merkmale.

Kompatibilität verschiedener Webseiten mit Tor

Es gibt viele Hinweise auf Webseiten, die Tor nicht mögen, sich mit Tor nicht nutzen lassen oder Tor Nodes explizit sperren. Wikipedia erlaubt keine anonymen Edits mit Tor, einige E-Mail Provider sperren Tor oder weisen E-Mails als Spam ab, die via Tor verschickt wurden, Suchmaschinen sperren temporär immer mal wieder die Top Exit Nodes, Wordpress mag es nicht, wenn man via Tor Kommentare schreibt....

Einige Hinweise von Lesern kann man verifizieren, andere sind scheinbar nur temporär oder betreffen nur einige High Performance Exits. Man kann nicht ständig einzelne Webseiten zu prüfen. Das Problem wird es immer geben und die Liste veraltet schneller, als man tippen kann.

Wenn ein Webdienst Tor nicht mag, dann sucht man am besten eine Alternative. Das Web ist groß und es gibt für alles einen Ersatz, den man via Tor nutzen kann.

Auf den USB-Stick

Das TorBrowserBundle kann auch auf dem USB-Stick mitgenommen werden. Wird der TorBrowser vom USB-Stick gestartet, hinterläßt er keine Spuren auf dem Rechner.

Unter Linux mounten einige Distributionen USB-Sticks, die mit dem Windows Filesystem vFAT formatiert wurden, mit dem Attribut "noexec". Damit funktioniert natürlich auch das Startscript nicht mehr. Entweder man formatiert den USB-Stick mit einem Linux-Filesystem (ext2|3|4) oder man ändert die mount-Optionen für vFAT formatierte Datenträger.

Außerdem kann man USB-Sticks auch verschlüsseln. Für Windows empfehle ich Veracrypt, unter Linux kann man ebenfalls Veracrypt verwenden oder das vorhandene dm-crypt.

Lizenz: Public Domain