Onderzoekers ontwikkelen Tor-client die bestand zou zijn tegen timing attacks

Amerikaanse en Israëlische onderzoekers hebben een nieuwe Tor-client ontwikkeld die gebruikers moet beschermen tegen zogeheten timing attacks. Deze aanvalsmethode maakt het mogelijk om de identiteit van een gebruiker te achterhalen.

Bij timing attacks, die in diverse varianten bestaan, kan een aanvaller de identiteit van een Tor-gebruiker soms al binnen enkele minuten achterhalen door controle te verkrijgen over zowel de entry nodes als de exit relays. Volgens onderzoekers is circa 58 procent van de huidige Tor-infrastructuur kwetsbaar voor dit type aanval, terwijl in China dit percentage zelfs zou oplopen tot 86 procent. De vrees bestaat dat inlichtingendiensten als de NSA en GCHQ deze aanvalstechnieken inzetten om Tor-gebruikers te de-anonimiseren.

In een poging gebruikers te beschermen tegen timing attacks hebben Amerikaanse en Israëlische onderzoekers een nieuwe Tor-client ontwikkeld. De client, Astoria geheten, zou het aantal kwetsbare Tor-verbindingen in de praktijk weten te reduceren van 58 procent naar 5,8 procent.

Astoria bevat volgens de makers een algoritme dat selectiever is met het leggen van Tor-verbindingen via relays doordat het bepaalde aanvallen, zoals timing attacks, beter zou kunnen 'voorspellen'. Als er geen veilige relays worden gevonden, kiest het algoritme voor een willekeurige relay over het Tor-netwerk. Daarnaast zou Astoria een betere load balancing bieden om zo het Tor-netwerk efficiënter te gebruiken.

Hoewel door de opzet van het Tor-netwerk timing attacks nooit geheel zijn te voorkomen, proberen de ontwikkelaars van Tor-software dergelijke aanvallen tegen te gaan door deze zo kostbaar mogelijk te maken. Software als Astoria zou daarbij moeten helpen, al zeggen de makers dat hun Tor-client in de praktijk alleen nuttig is als een beveiligingsniveau nodig is dat hoger ligt dan dat van de reguliere Tor-client.

Reacties (28)

[spokje]

In dit soort netwerken zit de toekomst denk ik. Privacy via internet wordt stukje bij beetje afgepakt en als je over een tijd (eigenlijk nu al) nog enigzins privacy wilt waarborgen op internet zal je via dit soort netwerken het net op moeten gaan.

[Coebergh]

Ik heb eerlijk gezegd liever dat overheden een deel van het internet scannen tegen potentiële gevaren (lees hier voornamelijk terrorisme en kindermisbruik) dan dat we allemaal kunnen gaan en staan op het internet.

Het is in onze maatschappij op allerlei vlakken zo dat individueel ingeleverd wordt om het samenleven met zoveel mensen werkbaar te maken (je mag niet in je blote kont over straat, snelheidslimieten, etc. Gewoon regelgeving)

Ik snap dat er een scherpe lijn moet zijn tussen wat overheden wel en niet mogen en dat daar controle op is maar een volledig vrij en anoniem internet is in mijn mening niet werkbaar omdat het illegale praktijken ondersteund.

[The Zep Man]

Ik snap dat er een scherpe lijn moet zijn tussen wat overheden wel en niet mogen en dat daar controle op is maar een volledig vrij en anoniem internet is in mijn mening niet werkbaar omdat het illegale praktijken ondersteund.

"Volledig vrije en mogelijk anonieme grensovergangen binnen de EU zijn niet werkbaar omdat het illegale praktijken ondersteunt."

Criminaliteit is er niet aantoonbaar meer of minder op geworden door het openstellen van de grenzen. Bovendien wisten criminelen al internationaal te opereren zonder open grenzen, waar de gewone burger veel nadeel van ondervond. Hetzelfde met het Internet: criminelen hebben geen Internet nodig om crimineel te zijn. De terrorismekaart kan ook niet gespeeld worden: terroristen hebben geen Internet nodig.

Het enige dat je doet zijn de kruimeldieven oppakken. Dat andere mensen hun rechten hier graag vrijwillig voor opofferen houdt niet in dat mijn rechten zomaar opgeofferd mogen worden.

Om even op het artikel in te gaan:

Software als Astoria zou daar bij moeten helpen, al zeggen de makers dat hun Tor-client in de praktijk alleen nuttig is als een beveiligingsniveau nodig is dat hoger ligt dan die van de reguliere Tor-client.

Als het hogere beveiligingsniveau niets of verwaarloosbaar 'kost' (snelheid, belasting op het Internet), dan kan je beter standaard dit niveau aanhouden.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 11:59]

[Omemanti]

Vraagje, het klopt natuurlijk dat teroristen geen internet nodig hebben, net als pedofielen. Ze gebruiken het echter wel.
Omdat ze het gebruiken kan je enkele hierdoor opsporen. Een bende pedo's oprollen is niet de moeite waard?

[The Zep Man]

Omdat ze het gebruiken kan je enkele hierdoor opsporen. Een bende pedo's oprollen is niet de moeite waard?

Je zegt het bijna goed: 'enkele(n)'. Zoals ik al eerder omschreef: je pakt er kruimeldieven mee op. De echte dealers (en nog belangrijker: makers) in het netwerk graven zich nog verder in en krijg je hiermee niet te pakken. Daarvoor heb je ouderwets recherchewerk en internationale samenwerking nodig. Het laatste wat je moet doen is iedereen aanmerken als verdachte, want daarmee benadeel je de gehele eigen bevolking.

Er zijn vele schendingen van de mensenrechten wereldwijd die je kan aanpakken met veel minder drastische (en kostbare) middelen, pedoseksualiteit gerelateerd en anders. Waarom zou voor pedoseksuele illegale handelingen de vrijheid van iedereen opgeofferd moeten worden, zonder dat je er iets voor terug krijgt? Al wil je kindermisbruik voorkomen, dan moet je dat aanpakken. Dat doe je niet met een vangnet waar de gaten groot genoeg zijn om erdoorheen te kruipen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 11:59]

[Omemanti]

Laat ook maar, gelijk gaan we hier ook niet uithalen.

Ik hoop alleen voor je dat die kruimeldieven je leven niet verpesten door ze gewoon hun gang te laten gaan.

[Reactie gewijzigd door Omemanti op 23 juli 2024 11:59]

[binair]

Hij zegt toch ook niet dat ze hen 'gewoon hun gang moeten laten gaan'? Hij zegt dat er andere (en misschien betere) methodes zijn...

[BenGenaaid]

Laat ook maar, gelijk gaan we hier ook niet uithalen.

Zolang er mensen zijn, zullen er mensen zijn die dingen doen die andere mensen niet willen. Als je dit wilt voorkomen, zal je iedere centimeter van deze aarde moeten voorzien van een camera en elk persoon van een tracking chip. Ik denk dat we dat niet moeten willen.

Onze voorouders hebben onze verworven rechten zwaar bevochten en het doet me pijn om te zien dat omwille van wat schijnveiligheid al deze rechten langzamerhand weer worden ingeperkt, continu wordt de goedkeuring van het volk afgedwongen door in te spelen op het angst gevoel van de mensen en steeds maar weer dezelfde troefkaarten te gebruiken: pedo's, terroristen, en tegenwoordig steeds meer hackers (en degene die worden opgepakt zijn meestal ook nog eens de white hat hackers, die dan voor 105 jaar de cel in gaan )

Angst regeert! en dat is een slechte zaak.

De wetten zijn er in de eerste plaats om de onschuldige te beschermen, daarna pas om de schuldigen te pakken / straffen

Schending van privacy (waar het hier dus om gaat) is een grote bron van psychische problemen, zullen we dan maar iedereen aan de prozac doen? het is niet voor niets een mensen recht.

edit typo

[Reactie gewijzigd door BenGenaaid op 23 juli 2024 11:59]

[mddd]

Omdat ze het gebruiken kan je enkele hierdoor opsporen. Een bende pedo's oprollen is niet de moeite waard?

Kort gezegd: Het zou inderdaad heel goed kunnen zijn dat het oprollen van 1 bende het niet waard is dat alle burgers in hun vrijheid worden aangetast.

[Verwijderd]

Nee, dat is niet de moeite waard. Het werkt namelijk maar heel kort. Als terroristen en pedo's eenmaal zien dat het Internet niet veilig voor ze is, zullen ze andere middelen gebruiken.

Na een korte periode met enkele succesjes worden er dus geen boeven meer gevangen maar zitten we nog wel tot in de eeuwigheid opgescheept met allerlei vrijheidsbeperkende maatregelen.

[TheBlackbird]

Anonimiteit ondersteunt inderdaad illegale praktijken, maar het ding is dat je nog steeds de echte fysieke wereld nodig hebt voor de meeste criminaliteit: terrorisme vereist de aankoop van wapens of explosief materiaal en die goederen moeten fysiek geleverd worden, kinderporno moet nog altijd (en helaas) gefilmd worden in een ruimte met mensen, digitale bankovervallen eindigen altijd ergens met mensen die geld uit terminals halen, via Tor bestelde huurmoorden leiden tot een lijk, met getuigen, verdachten en motieven, etc...

Traditioneel speurwerk met undercoveroperaties waren vroeger al nodig, en vandaag dus ook nog steeds. En dat werkt, zij het iets moeilijker, maar zie: The Silk Road en opvolgers hebben het al bij al niet lang getrokken dankzij deze traditionele methodes.

Men wil anonimiteit en encryptie er zoveel mogelijk uit om de dragnet verzameling van internetdata te kunnen handhaven. En dat gaat gewoon te ver, wat ook het doel ervan is.

[Reactie gewijzigd door TheBlackbird op 23 juli 2024 11:59]

[Floor]

De beste veiligheid is nog altijd volledige openheid. Een gezonde samenleving of zelfs binnen een relatie zijn geheimen niet nodig. Ik heb het verhaal al vaker gepost hoe dissidenten in de DDR de toemalige Stasi wisten te ontlopen. Juist door volledig open te zijn. Wanneer de Stasi iemand binnen deze groep aansprak was het eerste wat deze persoon zei: alles wat je verteld komt in de openbaarheid of vertel ik rechtstreeks aan die en die persoon. Hierdoor waren er geen informanten binnen deze groep en konden ze decennia lang in relatieve vrijheid leven.
Ik ken een van deze dissidenten persoonlijk en hij wijst me heel vaak op het feit dat geslotenheid nooit een oplossing kan zijn.
En wat zijn illegale praktijken? Wie bepaald wat illegaal is? Homo zijn is hier volstrekt legaal (gelukkig) maar 2000 kilometer verderop ben je je leven niet meer zeker.
Fascisten, dictators en andere autoritaire regimes willen juist onzekerheid en geheimzinnigheid. Want dat betekend controle. Meer weten? Duik dan de geschiedenis in of kijk naar voorbeelden van nu: N-Korea en IS komt helemaal ook weten zijn extreem gesloten en zeer ongezond.

[fevenhuis]

Volledige openheid

A.) kan niet omdat bepaalde informatie te gevaarlijk is om met iedereen of bepaalde personen mee te delen, niet iedereen hoeft te weten hoe een kernbom te bouwen en n

B.) zal alleen goed werken als informatie niet misbruik in worden, niet alle pedofielen hoeven alle informatie van kinderen te kunnen achterhalen

Alleen maar omdat u geen uitzondering kunt bedenken betekend niet dat er uitzonderingen zijn. En fascisme is niet iets wat alleen in het een ver buitenland bestaat, ook hier zal de regering zeer geïnterresseerd zijn in mensen die politiek actief zijn of willen tegen protesteren tegen het één of ander (of het nu gaat om politieke activisten of milieu activisten), men probeert die mensen continue op te sporen en "onschadelijk" te maken.

Ook voor journalisten is TOR de afgelopen jaren onmisbaar gebleken om vervolging door regeringen en/of corporaties tegen te gaan, zonder TOR zouden we nooit van meneer Snowden gehoort hebben.

We blijven nu eenmaal verschillende soorten informatie houden en het is niet verstandig dat iedereen zomaar overal in kan kijken.

[Reactie gewijzigd door fevenhuis op 23 juli 2024 11:59]

[Floor]

Ik ben voor Tor omdat volledige openheid en utopie is. Door Tor komt er info in de wereld die ons anders nooit had bereikt. Fascisme is niet zover weg helaas. Nog steeds zijn er groepen die zichzelf verheven voelen en dit met geweld afdwingen. Parijs is hiervan een voorbeeld. Cartoon maken van een verzonnen sprookje staat gelijk met levensmoe.
Ook in Nederland waren er meer dan genoeg 'begripvolle' reacties voor de aanslagen. Dit soort steun is voldoende om fascisme voedingsbodem te geven.

[Verwijderd]

Dergelijke extreme openheid houd niet alleen de Stasi op afstand, maar ook het door haar oom misbruikte meisje dat zich daarvoor schaamt maar wel hulp nodig heeft.

Overigens kan openheid corruptie in de hand werken. Iemand die jou omkoopt of bedreigt kan opeens goed zien of jij zijn bevelen wel echt hebt opgevolgd. (Daarom is het het stemgeheim zo belangrijk.)

Je lijkt er vanuit te gaan dat criminelen zich spontaan beteren als alles wat ze doen in de openbaarheid komt, maar daar is geen enkel bewijs voor.

[bwerg]

Een gezonde samenleving of zelfs binnen een relatie zijn geheimen niet nodig.

Oke, dus wachtwoorden zijn niet nodig? Gegevens voor betalingen (internetbankieren) ook niet? Authorisatie is in de praktijk afhankelijk van geheimen, dus daaruit volgt dat je authorizatie niet nodig vindt. Dat is niet bepaald "de beste veiligheid"...

Sómmige zaken hoeven misschien niet geheim te zijn. Anderen absoluut weer wel. Het is niet heel onbegrijpelijk dat mensen dat liever voor zichzelf bepalen dan anderen er op te vertrouwen.

[AeoN909]

Ben.van mening een algehele controle van de populatie geen terrorisme of kindermisbruik gaat voor komen. Internet is een communicatie kanaal en als deze inherent onveilig word worden er andere methodieken gezocht.

De terrorisme en kindermisbruik kaart worden gebruikt door de heren politici om.dit soort controle maatregelen te rechtvaardigen. Ik heb nog nooit een correlatie gezien tussen het aantal gegeven opvragingen bij de isp/sociale netwerken/ telecom en het daadwerkelijk voorkomen kindermisbruik gevallen of opgepakte terroristen.
Tot die tijd blijf ik.het een stel bejaarden in den Haag vinden die bang zijn voor een.communicatie middel die ze niet begrijpen en niet kunnen controleren.

[Verwijderd]

Algehele controle kan ook gewoon niet. Je kunt de hele bevolking in een kamp gooien zonder beschutting en omgeven door camera's en dan nog zullen dit soort dingen gebeuren. Het enige dat een terrorist, pedo of andere crimineel nodig heeft is een aantal handlangers die hem tijdelijk uit het zicht van camera's/publiek houden.

[Verwijderd]

Ik snap dat er een scherpe lijn moet zijn tussen wat overheden wel en niet mogen en dat daar controle op is maar een volledig vrij en anoniem internet is in mijn mening niet werkbaar omdat het illegale praktijken ondersteund.

Het probleem is echter dat mettertijd we als massa steeds meer en meer accepteren dat die scherpe lijn in de richting van de controle gaat. Het is een soort vicieuze cirkel waarlangs we langzaam afglijden richting Big Brother. Meer en meer zie je dit terug in zaken die we allemaal wel en niet mogen, al dan niet met toestemming.

Gek voorbeeld -- female ejaculation is "verboden" in het Verenigd Koninkrijk. Althans, het produceren van content die female ejaculation laat zien. Waar ligt de grens? Nee, ik ben geen liefhebben van female ejaculation ofzo maar het is een voorbeeld van die grens die alsmaar meer en meer richting Big Brother gaat. Ik maak mij ernstige zorgen over de generaties na ons, die werkelijk waar veel minder vrijheden zullen kennen dan wij ze nu kennen.

[TheBlackbird]

We zijn niet langzaam aan het afglijden naar. We zijn al terecht gekomen in een Big Brother-samenleving. Alle data wordt immers al op massale schaal opgevangen.

Het enige wat er nog nodig is zijn politici die het ok vinden om die data dan ook aan te wenden voor alles wat niet strookt met hun visie. Voor de volgende generaties zal er inderdaad een tijd komen dat het niet meer aangenaam zal zijn.

[CornNatron]

Ik begrijp je punt maar dan vind ik ook dat er een vele malen hogere straf op die dingen moet komen te staan en niet dat ze met paar jaar weer op straat staan want dan vind ik het gewoon onzin om het hele land daar voor afteluisteren.

[Concentr8]

Ik snap de commotie rondom je privacy niet echt. Je staat als persoon toch ook in een grote database. Al je gegevens zijn bekend bij de overheid. Ik zie de NSA meer als een digitale overheid. Als je niks te verbergen hebt, waarom dan zo'n commotie tonen om de NSA.

NSA focust zich dus ook totaal niet op gebruikers zoals ons. Voor bedrijven en andere giganten zijn dit soort zaken veel kwalijker te noemen.

Ik keur hun praktijken zeker niet goed maar ik vind het nou ook weer niet spectaculair. Wat mij betreft mogen ze mijn bezochte marktplaats advertenties best terugkijken hoor.

[bytemaster460]

Dus jij vindt het ook prima als veiligheidsdiensten je hele huis volhangen met camera's, want je doet niet illegaals? Zonee, waarom niet?
Privacy en de vrijheid dat de overheid niet alles hoeft te weten wat jij als vrij mens doet, is de basis van een vrije samenleving.
De rechtstaat waarvoor veel bloed gevloeid heeft vindt zijn essentie in het feit dat er na een misdrijf gespeurd dient te worden naar een dader toe. Massasurveillance leidt ertoe dat dit wordt omgekeerd: men gaat uit van een groep mensen die men via surveillance heeft geselecteerd en men gaat vervolgens kijken welke het beste met het misdrijf in verband te brengen is. Dat is in de praktijk al diverse malen gebeurd. De NSA focust op de inhoud van de verzamelde data. Als jij door toeval gelinkt wordt aan bijv. een terroristische daad (verkeerde moment op verkeerde plek, overeenkomende naam, gehackt, etc.) valt de focus WEL op mensen zoals ons.
Privacy van de burgers is echte HEEL belangrijk voor een vrije samenleving.

[A4-tje]

"Tegen te gaan door deze zo kostbaar mogelijk te maken".
Ik heb nog nooit een overheidsdienst/agentschap zien besparen, met name op zulk soort zaken.
Ik denkenden dat eerder een reden voor ze is om nog meer geld te vragen omdat "we anders geen kinderporno/terrorisme/aanslagen/moordpartijen/enz. kunnen voorkomen". Uiteindelijk zullen wij met z'n allen gaan betalen hiervoor.

[eaxebx]

En hoe zit het nou als je binnen de hidden tor services blijft? Wanneer je dus geen gebruik maakt van exit nodes, valt je anonimiteit dan nog steeds ten onder?

[Ro-Maniak2]

"De anonimiteit van iemand achterhalen" klopt niet echt… de identiteit wordt denk ik bedoeld.

[Dimitri R]

Klopt & aangepast. Dank.

[vdr01]

En deze onderzoekers werken niet voor NSA of Mossad?