Ontwikkelaars: 'Tor ondanks kritisch rapport veilig'

Onlangs meldden verschillende websites dat er een zwakheid was gevonden in het anonieme Tor-netwerk, waardoor kon worden nagegaan wat de afkomst en bestemming van verkeer was. Volgens de Tor-ontwikkelaars valt de impact echter mee.

Tor is een netwerk dat gebruikt kan worden om anoniem het internet te gebruiken. Al het tcp-verkeer van gebruikers wordt langs verschillende Tor-routers geleid, waarna het voor de ontvanger niet meer mogelijk is om na te gaan wie de oorspronkelijke verzender was. Binnen het Tor-netwerk is die informatie nog wel aanwezig, zodat antwoorden – uiteraard ook weer via het stelsel van routers – uiteindelijk weer op de juiste plek aankomen. Kort geleden verscheen een onderzoeksrapport waarin een methode wordt beschreven waardoor de anonimiteit van het Tor-verkeer wordt opgeheven. Door onvoldoende controle van de belangrijkste Tor-servers, die de routepaden voor het tcp-verkeer berekenen, is het mogelijk om de kans dat verkeer zowel in- als uitgaand via dezelfde router loopt aanzienlijk te vergroten. In zo'n situatie is het vrij eenvoudig om na te gaan welk verkeer bij elkaar hoort en zo de verzender en de bestemming te traceren, waardoor het verkeer niet langer anoniem is.

Dit nieuws heeft de afgelopen week binnen de blogosphere en bijvoorbeeld Slashdot grote onrust veroorzaakt, iets waar volgens de onderzoekers en de Tor-developers geen enkele aanleiding voor is. Hun voornaamste argument is dat de paper een laboratoriumsituatie beschrijft en de aanval op deze wijze nog niet in het netwerk zelf is waargenomen. Vanzelfsprekend kan dat nu wel gebeuren, aangezien de onderzoekers hun bevindingen gedetailleerd beschreven hebben. Om dat te voorkomen, hebben de Tor-ontwikkelaars aangegeven dat de in de paper benoemde fouten binnenkort opgelost zullen worden. Naast deze geruststellingen heeft een van de Tor-developers hard uitgehaald naar de blogosphere die zonder feiten te checken bovenop de paper is gesprongen: foutieve informatie over Tor zou sommige internetters ertoe brengen hun Tor-gebruik op te geven, waarna hun anonimiteit niet langer zeker is en ze bijvoorbeeld kunnen worden opgepakt vanwege dissidentie.

Reacties (31)

[Rembert]

@UptownWings:
Jij woont in een veilig land waar het recht op vrije meningsuiting behoorlijk goed geregeld is. Er zijn nog genoeg landen waar je, door je mening te geven, direkt achter de tralies kan belanden. Communicatie tussen iemand in zo'n land en jou is voor zo'n persoon soms letterlijk levensgevaarlijk.
Dat betreft trouwens niet alleen landen als China, Bangladesh en Noord-Korea maar ook Westerse landen.

Als jij een serieus gesprek wil voeren over bv. de DVD beveiliging en hoe je die kunt omzeilen, en je gesprekspartner zit bv. in de VS, dan is het al tricky. Maar ook in Nederland zijn er genoeg onderwerpen waar je niet 'en plain public' over kunt praten zonder al snel de interesse van de veiligheidsdiensten te wekken. Alleen al discussieren over Echelon en het online plaatsen van wat documenten is voor Nederlandse veiligheidsdiensten al voldoende reden geweest om mij meerdere keren te bellen en zelfs twee keer op te zoeken. Dus ja, er is absoluut reden voor het Tor netwerk, net als er reden is voor encryptie etc.

[Sorcerer8472]

Gezellig joh. Sorry van mijn dubbelpost hierboven trouwens.

Wist niet dat ze zomaar mensen bezoeken? Heb je in een topic @ GoT al over die ervaring verteld?

[Rembert]

Nee, dit is al een paar jaar geleden. Ik krijg nu nog ongeveer eens per jaar een telefoontje van een zgn. journalist, vorig jaar sprak deze duits. Ik heb niets te verbergen mbt Echelon en heb altijd geweigerd om niet-publieke documenten aan te nemen: het onderwerp is stomweg te gevaarlijk. De hele situatie heeft wel de aandacht van de politiek getrokken, ik heb kontakt gehad met enkele haagse politici en er zijn kamervragen gesteld. Na 911 is 'vanzelfsprekend' alle kritiek verstomd.

[SCW]

[off-topic]Wat is echelon? Je doet er nu wel heel erg onduidelijk over.[/off-topic]

[Evilslayer]

Ook offtopic : Echelon

Een soort van geheime dienst in de VS.

[Roland684]

Ondanks dat we in een veilig land wonen, kan wat annonimiteit best handig zijn. Aan de ene kant zijn we zo liberaal dat prostitutie gelegaliseerd wordt, maar aan de andere kant zijn we zo bekrompen dat het je als ambtenaar wel je baan kost als je 'betrapt' wordt.
En ook als je ooit de politiek in wil, mag er niets op jouw persoon aan te merken zijn.
Of misschien wil je je wel eens kritisch uit kunnen laten over de islam, zonder meteen te hoeven vrezen voor je leven.

Overheid is 1 gevaar, maar ook tegen de maatschappij en individuen wil je je kunnen beschermen. Vrije meningsuitting is leuk, maar lang niet iedereen stelt andermans mening op prijs.

[TheBlackbird]

@UptownWings:
Waarom mensen anoniem willen blijven?
- Landen die het niet al te nauw nemen met vrije meningsuiting (China, Rusland, Iran, Turkije, …)
- Tipgevers die anoniem willen blijven.
- Schrijvers van blogs die willen voorkomen dat ze belaagd worden door kapitaalkrachtige rechtszakengeile bedrijven. (*kuch* Apple *hoest*)
- etc…

Algemeen genomen gebruik ik anonimiteitstools en encryptie omdat ik zelf bepaal wat ik doe en wat niet, en niet één of andere vingerwijzende moraalridder die vanuit zijn hoge positie in de politiek of bedrijvenwereld even gaat bepalen wat mag en wat niet.

Daarbij zullen we in de toekomst steeds meer evolueren naar de beperking van vrijheid. Dat is nu al vollop bezig: de DMCA-wet in Amerika en een gelijkaardige wet die Europa aan het overwegen is, databewaring voor ISP's, de eerste implementaties van RFID, gezichtsherkenning door camera's, toenemende druk van grote bedrijven op de politieke wereld, mensen die aangeklaagd (lees: afgeperst) worden met exhuberante en totaal losgeslagen schadeclaims *hoest* RIAA *kuch*, etc... .

We staan aan het begin van een trend waarin de politiek en bedrijvenwereld een grip probeert te krijgen op het internet, en gezien de geschiedenis zich maar al te vaak herhaalt kan ik mij niet van het gedacht ontdoen dat de Inquisitie wel eens in digitale vorm terug zou kunnen komen. Daar wil ik mij tegen wapenen.

Tot slot: als jij seks hebt met iemand, wil je toch ook niet dat je buiten je kennis en toestemming om gefilmd zou worden? Je doet niks mis, maar je wil niet dat iedereen het ziet of weet. Dat noemen we privacy.

[]Byte[]

Hier de vorige discussie hierover
Tja.... Ik blijf mijn bedenkingen houden over de uitvoerbaarheid / toepasbaarheid in een real-situatie.
Algoritmes loslaten is 1, maar kunnen toepassen in de praktijk is een heel andere situatie.
Ik blijf erbij dat je ook de verdachte PC in beeld moet hebben met zijn ECHTE ip-adres voordat je tot de conclusie kan komen dat het hier om 1 en dezelfde PC gaat.

[Bram S]

of je de echte PC in beeld moet hebben weet ik niet, maar je hebt wel een punt wat uitvoerbaarheid betreft.

Het gaat uiteindelijk namelijk nog steeds om de kosten. De (bv) Chinese overheid wil best dissidenten oppakken, maar als dit een miljoen per keer kosten denken ze nog wel een keertje na.

Zelfde geldt voor bijvoorbeeld de RIAA. Zouden zij nog steeds mensen aanklagen voor $ 3.000 als het achterhalen van hun gegevens $ 50.000 kost? (blijft natuurlijk ook de mogelijkheid dat ze die kosten weer verhalen, maar hun investering is duidelijk vele malen hoger).

Het echte probleem (dus in het geval van de dissidenten) speelt denk ik ook minder dan dat hier wordt gesuggereerd. Zij hebben over het algemeen contacten met de buitenwereld, en laten hun informatie via deze contacten naar buiten komen. Wil je de dissident achterhalen dan moet je dus via de contactpersoon daar achter komen. Dat maakt het een hele hoop informatie om te filteren.

[Verwijderd]

Dat lijkt me ook. Zoals gemeld hebben ze het in een liveomgeving nog niet waargenomen dat er een soortgelijke aanval gedaan werd en geven ze aan dat het opgelost gaat worden.

[fevenhuis]

Ontwikkelaars: Tor ondanks kritisch rapport "veilig".

[Verwijderd]

Eerlijk gezegd heb ik zo mijn bedenkingen bij het Tor netwerk. Ik bedoel, waarom zou je anoniem(er) over het internet willen communiceren ? Persoonlijk heb ik daar totaal geen reden toe, en mij bekruipt een beetje het gevoel dat mensen die dit willen toch een beetje stiekemerds zijn die wat te verbergen hebben, danwel zaken willen uitvreten die niet in de haak zijn.
Tenzij ik de hele implementatie en redenatie van het Tor netwerk niet begrijp.
Waarom willen mensen dit eigenlijk ?

[Janus Bier]

waarom wil jij gevolgd worden, wat jij thuis prive doet?

[DLGandalf]

je woont toch ook niet in een glazen huis?

[Neus]

Omdat ik graag online series wil kijken bij ABC.com maar dat alleen kan als ik via een Amerikaanse internetverbinding vandaan kom. Hetzelfde voor programma's van de BBC. Ik refresh de pagina gewoon totdat ik een verbinding hebt gemaakt via een Amerikaanse Tor.

Heeft niets met privacy te maken.

[Verwijderd]

Met de Tor GUI Vidalia kan je eenvoudig kiezen voor "nieuwe identiteit". Hoef je niet steeds de pagina te verversen.

[Verwijderd]

Ik kan zo dertig dingen bedenken wat je kan doen zonder bekend te willen zijn. De meeste zijn gewoon normaal hoor, zoals bijvoorbeeld naar een kennis buiten China een mailtje sturen over wat je deze week zoal voor ellende gehad hebt met de veiligheidsdienst die van mening is dat jouw blog, waarin je schreef dat je deze week een kloteweek had omdat je chef, die toevallig partij lid is, zijn lidmaatschap van de partij misbruikt om onder werk uit te komen, en dat hij dat kan doen omdat het lokale politiehoofd een goeie vriend van hem is.

Maar je kan ook in Nederland er wel dingen mee doen. Zo gaat het in mijn optiek niemand een zak aan wat ik in m'n privé leven uitspook, zelfs als dat niets geks is.

[Malarky]

Zonder gebruik te maken van het Tor netwerk kan ik een heleboel sites niet bezoeken dat ik nu ook anoniem ben boeit me niet zo.

[Sorcerer8472]

Jij woont niet in China, logisch dat je het niet begrijpt...

-edit: dubbelpost, excuses-

[LuCarD]

Verander dan het systeem ( in jouw voorbeeld China ), in plaats van door illegaal ( lees als discutabele) methodes om het systeem heen proberen te gaan.

Tor systemen worden "helaas" ook gebruikt voor illegale doeleinden, waardoor het systeem alleen maar meer gelijk krijgt. En harder gaat optreden tegen de vrijheid van mening

[PhoenixT]

Ja, laten we het systeem gaan veranderen!
Ga jij met wat vrienden protesteren in Peking, dan?
Let wel op de tanks en de soldaten als je dat doet

http://nl.wikipedia.org/wiki/Tiannanmen-protest

[Verwijderd]

Porn?

[Frogmen]

Wat ik hier vooral hoor aan redenen om Tor te gebruiken is wel omdat men het niet eens is met het democratisch gekozen bestuur en wetgeving en hoe democratisch is dat Anarchisme is totaal ondemocratisch.
Alleen mensen die in een ondemocratisch land wonen hebben recht op gebruik in mijn ogen.
De BBC heeft toch het volste recht om er alleen voor de engelsen te zijn. Dat mogen zij toch bepalen. En Apple mag toch ook tegen een ieder een rechtszaak beginnen het is aan de rechter om te bepalen of dat terecht is.
Ik denk dat Tor voor 90 % gebruikt wordt voor illegale ondemocratische acties.

[TheBlackbird]

Democratie is de perfecte staatsvorm en de rechtspraak is altijd eerlijk en voor iedereen gelijk. Juist... en de paus is onfeilbaar.

De realiteit verschilt een klein beetje van de theorie vrees ik.

[Verwijderd]

Rusland noemt zichzelf ook een democratie...
Nieuws over St Petersburg nog gevolgd afgelopen weekeinde? Of een paar maanden eerder dat over Litvinenko? En ga zo maar door. Ook in NL zijn er wel voorbeelden te noemen, zie echalon hierboven.

[Roland684]

Ik maak uit jouw woorden op dat jij het politiek systeem van Nederland helemaal geweldig vindt? Moet ik me voor de volle 100% conformeren met wat Balkenende vindt of anders verhuizen naar een ander land?

Je bent nog geen anarchist als je een keertje 55 km/u rijdt waar je 50 mag hoor, ondanks dat je je niet houdt aan het beleid van het democratisch gekozen kabinet. Maar als je vervolgens via een sateliet-systeem gemonitord word en voor elk overtreding meteen beboet wordt, is een ander uiterste.
Zelfs als je helemaal niets fout doet en DE modelburger van nederland zou zijn, zul je het nog niet fijn vinden om een politieagent te hebben die met alles wat jij doet meekijkt.

Ik doe 's avonds mijn gordijnen dicht, niet omdat ik anarchistische praktijken te verbergen heb, maar gewoon omdat niet iedereen hoeft mee te kijken. Een beetje burgerlijke ongehoorzaamheid mag trouwens best, maar de politiemacht wil graag 100% controle uitoefenen op iedereens doen en laten, nog voordat er verdenkingen zijn, sorry, maar dat hoeft van mij toch echt niet. Ik ben nu (nog) niet bang om mijn mening te uitten, maar dat wil ik graag zo houden en daar hoort een stukje annonimiteit bij.

* Roland Witvoet vraagt zich af waarom Frogmen een schuilnaam gebruikt. Heeft hij iets te verbergen?
En dat is precies waar we het over hebben, want als het aan het kabinet ligt, moet jij bij alles wat je op internet doet, even een kopietje van je paspoort voegen.

[DaaNMageDDoN]

...is het mogelijk om de kans dat verkeer zowel in- als uitgaand via dezelfde router loopt aanzienlijk te vergroten.

En daarmee is dus niets bewezen, het is alleen aannemelijk. M.a.w.: mensen die illegale praktijken op het Tor netwerk erop nahouden zouden niet snel een bezoek van de politie hoeven te verwachten.

Iets anders: zou deze 'fout' niet een mogelijkheid geven het netwerk onbruikbaar traag te maken?; je zou immers ervoor kunnen zorgen dat de paar belangrijkste routers het heel zwaar zouden krijgen door het grootste deel van het verkeer lang die routers te laten lopen (/sjokken).

[Verwijderd]

Ik neem aan dat juist ook veel kinderporno verspreid wordt via tor en ook diverse internetcriminelen zullen er graag gebruik van maken bijvoorbeeld bij het opzetten van phising websites of het beheren van botnetwerken.

Verder verwacht ik dat terroristen er nog niet te veel gebruik van zullen maken.

[fatshark]

Voor non TOR'ers onze wel bekende vriend Steve Gibson heeft hiet een mooie podcast over gemaakt met kameraad Leo Laporte wel bekend van Security Now.

http://media.grc.com/sn/SN-070.mp3
http://www.grc.com/securitynow.htm (nr 70)

[SuperDre]

naar de blogosphere die zonder feiten te checken bovenop de paper is gesprongen

Uhmm... ofwel 90% van alle tweakers bij een gemiddeld bericht over welk onderwerp dan ook.......