Seit dem 20. August verzeichnet das Tor-Netzwerk eine außergewöhnliche Zunahme an neuen Clients. Deren Zahl hat sich von 500 000 auf 3 Millionen versechsfacht. Woher kommt der Ansturm und wie geht das Projekt damit um ?

Es wäre sicher wünschenswert und auch nachvollziehbar, wenn aufgrund der jüngsten Enthüllungen über die Spionagetätigkeit der internationalen Geheimdienste die neuen Tor-User wie Pilze aus dem Boden schössen. Dem scheint aber nicht so zu sein, wie Roger Dingledine in einem Blogbeitrag darlegt. Auch er kann nur spekulieren, da das Tor-Projekt keine Logs anlegt, schließt aber Aktivisten oder den Pirate Browser als Quelle für die Invasion neuer Tor-User aus. Vielmehr geht er von einem Botnetz aus, das seinen Command & Control Point als Hidden Service betreibt.

Es sei auffällig, dass der von den neuen Usern generierte Traffic keine externen Webseiten betreffe. Während Relays einen starken Anstieg von “ESTABLISH_RENDEZVOUS”-Request verzeichnen, würden die Exit-Nodes keine signifikanten Zusatz-Traffic bemerken. Dingledine zeigt sich zufrieden, dass das Tor-Netzwerk auch unter diesen Bedinungen noch funktioniert, Probleme machen jedoch die vielen neu aufgebauten Routen (Circuits) durch das Tor-Netzwerk. Um sie zu etablieren, hantieren die Relay-Server mit umfangreichen Public-Key-Operationen, was die CPU-Load auf die Spitze treibt.

Das vermeintliche Botnet nutzt Tor-Clients in der Version 0.2.3.x, der aktuell als stabil geltenden Version. Dingledine empfiehlt neuen Nutzern, auf Version 0.2.4 umzusteigen, die eine stärkere Sicherheit bietet und weniger Overhead erzeugt, weil sie beim Aufbau der Circuits den intelligenteren N-Tor-Handshake verwendet anstelle des älteren TAP. Indem sie N-Tor zugleich priorisieren, dürfen sich Nutzer der Version 0.2.4.17-rc quasi in der Warteschlange vordrängeln, müssen diese Version allerdings aus dem Quellcode übersetzen. Zugleich erhalten die Relay-Betreiber Log-Messages, die ihnen dabei helfen, die Handshakes zu unterscheiden.

Selbst wenn das Botnet in der Folge seine Clients aktualisieren würde, wäre das Tor-Netzwerk besser dran, weil es so besser skaliert. Zu den weiteren Maßnahmen gehört, dass man sich aktuell nicht den Luxus leistet, langsame Circuits wegzuwerfen, denn alle werden gebraucht. Auch andere Performance-Features der Clients wurden temporär deaktiviert, etwa das Aufbauen von Circuits für Performance-Messungen. Langfristig will man auch die Relay-Handshakes verschlanken, ohne aber die Sicherheit aufzugeben. Klar ist, schreibt Dingledine, dass man für die Zukunft nach weiteren Lösungen suchen muss, um solche Überflutungen abzuwehren, indem man etwa intelligente Limitierungen einführt.

Womöglich wird man auch sämtliche 0.2.3-Clients aus dem Netzwerk verbannen. Dingledine ruft zugleich Security-Forscher dazu auf, die Eigenschaften des Botnetzes zu eruieren, um dieses nach Möglichkeit abzuschalten. Den Botnet-Entwicklern rät er, für ihre Millionen von Clients nicht die 4000 Tor-Knoten zu verwenden, sondern lieber ein eigenes P2P-Anonymisierungssystem aufzubauen.