Schwachstelle in Tors Introduction Protocol
Tor-Onion-Services nutzen langlebige Introduction Circuits für anonyme Verbindungen zwischen Clients und Services. Obwohl Tor umfangreiche Defenses gegen Traffic-Analysis bietet, weist das Introduction Protocol eine deterministische Routing-Struktur auf, die Angreifer ausnutzen können.
Forscher der arXiv haben einen praktischen Intersection Attack entwickelt, der diese Lücke offenbart. Der Ansatz basiert auf einer eleganten Technik: Durch wiederholte Abfragen des Ziel-Services und der Beobachtung von Ziel-IP-Adressen innerhalb enger INTRODUCE1-RENDEZVOUS2-Zeitfenster lässt sich Hop für Hop zum Onion Service rekonstruieren.
Wie der Angriff funktioniert
Das Verfahren erfordert nur Beobachtung an einem Relay pro Stage und keine globale Netzwerk-Sichtbarkeit:
- Probing: Das Target-Service wird wiederholt abgefragt
- Intersection: Beobachtete IP-Adressen werden in engen Zeitfenstern intersektiert
- Sequentielle Identifikation: Jede Relay-Stage wird mit Sicherheit identifiziert
Der Angriff benötigt keinen Zugriff auf Packet-Payloads und exploitet die Timing-Korrelationen im Introduction Protocol.
Praktische Validierung
Die Forscher evaluierten den Angriff in Live-Network-Experimenten mit selbstbetriebenen Onion Services und Relays. Dabei implementierten sie auch ein Tor-kompatibles Plugin für Datenschutz, das Intersections online über pseudonymisierte Daten nur im flüchtigen Speicher berechnet.
Die Experimente zeigen zuverlässige Konvergenz, beeinflusst durch Relay Consensus Weight und zeitvariablen Background Traffic.
Implikationen für Tors Sicherheitsmodell
Dieser Angriff offenbart eine Lücke in Tors Privacy-Modell, das explizit gegen Traffic-Analysis-Attacken schützen soll. Angreifer können damit gezielt identifizieren, welche Netzwerk-Punkte beobachtet oder angegriffen werden.
Besonders kritisch: Die geografische Konzentration der Relay-Selection-Gewichte über koopérierende Jurisdiktionen macht den Partial-Global-Adversary-Fall praktisch relevant.
Relevanz für die Praxis
Für Onion-Service-Betreiber wird klar, dass die bloße Existenz von Defenses nicht ausreichend ist. Die deterministische Struktur des Introduction Protocols benötigt grundlegende Überarbeitungen. Tor-Entwickler sollten diese Erkenntnisse bei zukünftigen Protokoll-Updates berücksichtigen.
Die Forschung demonstriert wieder einmal, dass theoretische Sicherheitsmodelle durch praktische Verkehrsanalyse-Techniken unterlaufen werden können — und dass Anonymität im Internet ein kontinuierliches Rüstungsrennen ist.
