Gefälschte .onion-Websites spähen Tor-Nutzer aus

Nutzer der Anonymisierungsdienstes Tor sind möglicherweise nicht so unerkannt im Internet unterwegs, wie sie glauben. Juha Nurmi, Mitgründer des Open-Source-Projekts ahmia.fi, einer freien Suchmaschine für das Tor-Netzwerk, weist darauf hin, dass offenbar hunderte nur über Tor erreichbare .onion-Websites gefälscht wurden, um deren Besucher auszuspähen. Darauf aufmerksam wurde er, als er eine gefälschte Version seiner eigenen Website entdeckte. Eine via Pastebin veröffentlichte Liste der von ihm aufgespürten Fake-Sites enthält mittlerweile 255 Einträge.

Laut Nurmi gibt es in der Regel mehrere Kopien jeder angegriffenen Site mit sehr ähnlichen Adressen. Chester Wisniewski, Sicherheitsexperte bei Sophos, nennt als Beispiel die anonyme Suchmaschine DuckDuckGo. Sie hat im Tor-Netzwerk die URL http://3g2upl4pq6kufc4m.onion/, der Nachbau ist hingegen unter http://3g2up5afx6n5miu4.onion/ zu erreichen. Seiner Ansicht nach macht die Tatsache, dass Tor-Sites überwiegend über Verzeichnisdienste statt Suchmaschinen angesteuert werden und recht schwer zu merkende Adressen haben, es Angreifern möglicherweise sogar einfacher, gefälschte Seiten zu platzieren als im „regulären“ World Wide Web.

Nurmi zufolge sind die gefälschten Sites zudem nicht nur schlichte Duplikate, sondern fungieren sogar als Proxy für die echte Site. Sollte er damit Recht haben, dann würden sie es Angreifern erlauben, mittels einer sogenannten Man-in-the-Middle-Attacke Daten abzugreifen oder zu modifizieren, die über ihre Site laufen. Zu diesen so abgegriffenen Informationen können auch Nutzernamen und Passwörter gehören.

Schon seit längerem versuchen Angreifer, Daten von Tor-Nutzern auszuspähen, indem sie falsche sogenannte Exit Nodes aufsetzen. Dies ist eine andere als die nun von Nurmi entdeckte Methode, hat aber dasselbe Ziel. Diese Exit Nodes werden benötigt, wenn der Traffic nach seiner Reise durch das Tor-Netzwerk zu einer außerhalb liegenden Site geführt werden soll, die der Nutzer anonym besuchen möchte. Wichtig ist das in vielen Ländern etwa für politische Aktivisten oder für Mitarbeiter von Nicht-Regierungsorganisationen (NGOs).

Da jeder einen Exit Node aufsetzen kann und der mit unverschlüsseltem Traffic arbeitet, ist er ein beliebtes Angriffsziel. Wisniewski zitiert Berichte von Nutzern, die offenbar über einen derartigen Manipulierten Exit Node auf eine gefälschte Site im Tor-Netzwerk verwiesen wurden. Der vom Nutzer „garpamp“ beschriebene „Bad Exit Node“ wurde laut Roger Dingledine, einem der ursprünglichen Tor-Entwickler, inzwischen entsprechend gekennzeichnet und sollte daher keine Verwendung mehr finden.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de