Anonym im Internet - Tor sinnvoll?

Dirck

chronische Wohlfühlitis
Um anonym im Internet zu sein, wäre dafür Tor (also auch der von der Tor-Website 'runterladbare Browser) brauchbar: https://tor.eff.org? Oder gäbe es bessere portable, kostenlose Programme / Angebote?

Der auf der Tor-Website ladbare Browser ist portabel, stimmt das?

Und wie sicher / hoch ist die "Anonymität"? Ich nehme an, alle Daten, die man als "persönlich" bezeichnen könnte, wären 'rausfindbar so (nur wäre es vermutlich etwas komplizierte / umständlicher), als befände man sich "normal" im Internet, also ohne Tor / einen sogenannten Schutz, oder?
 
Abends.

Du, speziell du, solltest das Thema TOR ganz schnell vergessen und nie wieder aufklappen. Nur ein gut gemeinter Rat.

Inzwischen sollte auch klar sein, dass die NSA an TOR hängt und trotzdem weiss, wer du bist. Ebenso gibt es immer wieder Angriffe auf das TOR-System und es gibt auch böse TOR-Proxies, die einem Malware unterjubeln.

MfG
 
Abends und Regen.

Schluck! OK, schon vergessen. Haben den Beitrag sozusagen gar nicht geschrieben.

Vielen Dank ditto,
 
Nicht zu vergessen sind die gelben, die auch alles wissen wollen. Wenn du auch mehr wissen willst,
um dein Vorhaben dann endgültig zu vergessen, dann lese mal hier unter Kritik und Schwachstellen.
 
Vielen Dank für den Link. Tja, na ja, resümierend läßt sich dann wohl feststellen (von dem, was ich da verstanden habe), daß Tor - und andere gleiche, ähnliche Dienste, Programme etc. - nicht nur unsicher, zweifelhaft, fraglich und doch eigentlich eher völlig untauglich sind, sondern wohl auch weitere Risiken haben.

Wenn ich nur noch wüßte, wer die gelben sind...die Deutsche Post wird's ja wohl nicht sein...komme ich einfach nicht drauf.
 
verborgener Text:
Made in China


Man nennt sie auch die gelbe Gefahr und sie haben Schlitzaugen (Schlitzohren sind sie ohnehin...)
 
Ach so, diese gelben aus dem Land der untergehenden Sonne und Reissäcke, da hätte ich natürlich auch drauf kommen können, aber die habe ich (als völlig unwissender) damit gar nicht in Verbindung gebracht.

OK, gut, dann kann ich mich ja jetzt ruhig dem Vergessen dieses Themas widmen.

Vielen Dank nochmals.
 
Ach so, diese gelben aus dem Land der untergehenden Sonne und Reissäcke, da hätte ich natürlich auch drauf kommen können, [...]


Im Osten geht die Sonne auf,
im Süden nimmt sie ihren Mittagslauf,
im Westen wird sie untergehen.
-Im Norden ist sie nie zu sehen..

:zaunpfahl


:)
 
Tor anonymisiert dich gegenüber den Seiten, wo du dich rumtreibst.
Das bezahlst du aber mit der Information darüber an alle möglichen Geheimdienste.

Ich dachte immer, die Japaner wären die mit der aufgehenden Sonne. Und von denen aus gesehen, geht die Sonne in China direkt unter :)
 
OK, dankesehr Tim,

ja, als Vers läßt sich der Stand / die Wanderung der Sonne natürlich viel einfacher merken. Guter Gedanke.

Tor anonymisiert dich gegenüber den Seiten, wo du dich rumtreibst.
Das bezahlst du aber mit der Information darüber an alle möglichen Geheimdienste.
Das ließe also vielleicht die Frage aufkommen, für wen man lieber anonym, bzw. unauffälliger bleiben wollte; na ja, Geheimdienste wirken wohl irgendwie bedrohlicher als vielleicht eine Kochrezepte-Seite, bei der man sich anmelden wollte.

Ich dachte immer, die Japaner wären die mit der aufgehenden Sonne. Und von denen aus gesehen, geht die Sonne in China direkt unter
Ja, ja, genauso hatte ich es wohl auch gemeint, aber daß in Japan nach der letzten, bekannten Kernschmelze die Sonne noch so richtig aufgeht, mag ja manch einer bezweifeln. Kommt aber wohl auch noch drauf an, von welchem Standort man Land und Sonne betrachtet sehen will.
 
LAUT AUA und alle die glauben, dass die Geheimdienste alles im TOR Netzwerk mitlesen können mal zur Info

FBI nutzte Metasploit
Dessen Decloacking Engine half dabei, Tor-Nutzer zu enttarnen. Wired berichtet, dass das FBI die Exploit-Plattform Metasploit genutzt hat, um die Identität von Tor-Nutzern aufzudecken. Demnach hat das FBI die im Rahmen des Metasploit-Projektes entwickelte aber mittlerweile eingestellte Decloacking Engine eingesetzt, um die IP-Adresse der Nutzer von Servern mit Kinder-Porno zu ermitteln. Die Engine erstellte spezielle Java-Applets und Flash-Applikationen. Diese versuchten, am Tor-Netz vorbei direkten Kontakt mit dem Server aufzunehmen, von dem sie stammten. Darüber hinaus erzeugten sie verräterische DNS-Anfragen. Autor HD Moore hat die Decloacking Engine übrigens eingestellt, weil das mittlerweile von den meisten Tor-Nutzern eingesetzte Tor Browser Bundle gegen diese Tricks nicht mehr anfällig ist. Das FBI ging wohl auch deshalb dann dazu über, die Rechner der Verdächtigen direkt anzugreifen und mit Spionage-Software zu infizieren.

und

Damit ist nicht gesagt, dass die NSA ein Leck im Tor-Netzwerk selbst gefunden hat. Noch vor zwei Jahren hieß es in einer später vom Guardian veröffentlichten NSA-Präsentation: "Tor stinkt". Der Geheimdienst gab darin zu, durch manuelle Analyse des Netzwerk-Verkehrs allenfalls einen Bruchteil der Tor-Nutzer deanonymisieren zu können, und auch nicht jeden gewünschten Nutzer zu jedem gewünschten Zeitpunkt.

Genau diese hier zu lesende Unsicherheit war das, was sich die Geheimdienste gewünscht, durch ihre Gerüchte bezweckt haben, denn warum soll man etwas nutzen was nicht funktioniert?
 
Vielen Dank Capulcu,

was bedeutet "AUA"?

Leider habe ich von oben genannter beschriebener Technik noch überhaupt irgendwo von, Ahnung. Was ließe sich denn aus den beiden Zitaten, bzw. aus den jeweiligen Artikeln, denen sie entnommen sind, schließen, insbesondere hinsichtlich der Nutzung von Tor, bzw. gleicher, ähnlicher Verfahren, Programme?

Vielen Dank nochmals.
 
Zuletzt bearbeitet:
@Dirck

Das AUA war der Ausdruck dafür, dass einiges was ich gelesen habe ganz schön weh tat = war also nicht an Dich adressiert sondern an die selbst ernannten Experten, die jemand wie dich leicht total verunsichern. Bevor Du dich über die einzusetzende Technik informierst solltest Du dir mal Gedanken darüber machen wovor / vor wem Du dich schützen willst. Ich kopiere dir hier mal ein ganz guten Beitrag aus dem DeepWeb rein, der dir bei der Fragestellung sicher hilft

Hallo liebes Forum,

in den diversen Unterforen kommt in der letzten Zeit wiederholt die gleiche Fragestellung auf. Jedes Mal gebe ich mehr oder weniger den gleichen Senf dazu. Deshalb habe ich gedacht, dass ich allen die eine oder mehrere der folgenden Fragen stellen ein Gedankenmodell mitgebe, an dem sie sich bedienen können.

Die Fragen die ich meine lauten meist so oder so ähnlich:

• Ich habe XY installiert, bin ich jetzt sicher?
• Ich benutze XY auf ABC und nutze meine Anosym nur im Garten, anonym genug?
• Ist es sicher genug wenn ich immer nur 1g bestelle und nur Tor benutze? Die Antworten auf alle diese Fragen sind immer so oder so ähnlich:
• Person A: Klar bist du sicher, ich würde nur aufpassen dass dein VPN Provider dich nicht verrät.
• Person B: Du übertreibst es ja schon, so schlau sind die Cops nicht
• Person C: Seid ihr alle verrückt!? Der benutzt WINDOWS das ist inhärent unsicher.
• Person D: Leute, die kein Linux benutzen sollten von der Erdoberfläche gefegt werden.

Ab hier geht's dann meist in irgendeinen Flamewar oder Glaubenskrieg über.

Traurigerweise sind ALLE Antworten potentiell falsch! Die eigentliche Frage die gestellt werden muss lautet:

"Wovon, von wem, wodurch wirst du bedroht? Was macht dir Angst?
Ab wann ist dir der Aufwand zu hoch für die potentielle Kacksituation die du dann akzeptieren musst?"

Beispiel 1
Nehmen wir mal einen unerfahrenen User der sich hier seine 5g Weed bestellen will. Er hat ggf. Frau und Kind zu Hause und sorgt sich hauptsächlich davor, dass seine Frau davon erfährt, dass er Weed raucht oder die (lokalen) Cops mal einen Brief schicken und sein Weed verschwindet. Da reicht dann ein Tails-USB-Stick und eine reguläre Bitcoin-Wallet.

Beispiel 2
Ein User verkauft hier (oder woanders) Dinge für die man strafrechtlich belangt wird. Dann hat man es mit einem ganz anderen Feindbild zu tun. Da hat der Gegner andere Resourcen und dafür kriegt man nicht nur einen Brief sondern je nach Produkt auch ein paar Jahre im Bau plus Beschlagnahmung allen Inventars und und und... Noch dazu sieht man Frau und Kind vielleicht nie wieder, weil sich die Alte verpisst und nen neuen Typ sucht.

Beispiel 3
Man ist Hacker, Aktivist, Freiheitskämpfer, Großdealer, Commercial Grower etc. und plant bspw den Sourcecode des Bundestrojaners zu leaken, gewisse Aktionen durchzuführen, mehrere tausend Pillen zu verschieben usw.

Das Ergebnis davon ist abhängig davon in welchem Bereich man sich bewegt entweder sehr lange Gefängnis, Tod (Dissident in totalitärem Regime etc) oder echt üble persönliche Repressalien wenn das System mit voll durchgeladenem Arsenal auf einen herabdrückt.

Was tun?
Jeder hat wahrscheinlich schonmal das Gelaber gehört von "Der sicherste Computer ist abgeschaltet, in einem abgeschlossenen Raum, der mit Beton gefüllt wird.". Das mag sein, ist aber halt keine Lösung, weil man den Computer ja benötigt. Das wäre ähnlich sinnvoll, wie wenn die Bodyguards von der Angela Merkel sie in einen mit Beton gefüllten Raum stecken weil sie dann sicher ist vor Angriffen aller Art.
Ich weiß im Übrigen dass viele hier unsere Angie gerne in so einem Raum sehen würden, aber das tut hier nichts zur Sache
Wichtig ist, dass die eigene Strategie zu dem passt was man beschützen will. Wer hier also fragt, ob XYZ sicher ist, sollte uns vielleicht dazu auch noch wissen lassen, was eigentlich sein Problem ist.

Und dann kann man sich um seine Gedanken zu ordnen für eine Strategie entscheiden:

1. Auf Gegner abgestimmte Sicherheits-Strategie
2. Auf Werte/Resourcen ausgerichtete Strategie
3. Vorhabenszentrierte Sicherheits-Strategie

Die auf den Gegner abgestimmte Sicherheits-Strategie
Nummer 1 ist die einfachste zum Durchdenken, da die meisten ja eh schon so denken. Da macht man sich eine Liste der eigenen Gegner (zB Polizei, Frau, Kollegen, Wettbewerber) und schaut wie man sich vor denen abschottet. Da reicht dann Tor zum anonymen Surfen, ein passwortgeschützter Rechner (damit Frau und Kind nicht aus Versehen was entdecken), ein USB-Stick mit nem TrueCrypt Volume und wenn man's richtig ernst meint ggf noch ein Drop (aber nicht zwingend nötig). Und vor allem das wichtigste Feature: kein loses Mundwerk (einfach mal die Fresse halten).

Werte/Ressourcen Strategie
Hier wird es etwas anspruchsvoller und ist für jemanden wie Benutzer aus Beispiel 1 eigentlich schon übertrieben. Da geht es um die Absicherung von Dingen die einem wichtig sind. Zum Beispiel: "frei kommunizieren können", "Bitcoins sicher halten", "Weedplantage behalten", "nicht im Gefängnis landen" etc.
Das ist vor allem bei Gruppenarbeit (zB mehrere Leute growen zusammen) sinnvoll, da hinter den oben genannten Werten/Ressourcen ja meist fest bezifferbare Werte stecken und sich so Investitionen in dem Bereich auch einfacher und auch vor der Gruppe rechtfertigen und gemeinsam umsetzen lassen.
Weiterer Vorteil: Man hat hier nicht die Perspektive von jemandem der permanent angstgesteuert handelt wie bei Strategie 1 ("Oh Gott, die Polizei kommt vielleicht."). Sondern man hat hier eine aktive Strategie bei der man sich einfach darum kümmert dass alles schön sicher ist. Da geht man dann Stück für Stück durch und definiert Regeln. Zum Beispiel:

1. alle Kommunikation verschlüsseln mit NUR für die Gruppe verwendeten PGP-Keys, regelmäßig Schlüssel, Nicks usw wechseln.
2. saubere Rechner (am besten Live-System)

3. Datensparsamkeit: alles wegwerfen was man nicht aufheben muss (Bestellungen, Adressen, Nachrichten, Emails). Wo nichts abhandenkommen kann, gibts nichts zu holen. Und nichts zum Verklagen.
4. präzise, kurze Kommunikation

Software: Linux, ggf. in VM oder nur per Live System, verschlüsselte Festplatte, getrennte Volumes für versch. Identitäten/Wallets/Keys, Netzverkehr komplett über Tor, bei Bedarf gechaint mit Proxy, TrueCrypt, PGP, Metadata Anonymiser.
WICHTIG - Vor allem in Gruppenkommunikation gilt:
Keiner geht für euch ins Gefängnis. Also traut niemandem. Sobald die Cops bei nur einem Typ eurer Growgruppe die Tür eintreten und der die Wahl hat zwischen 5 Jahre Bau und Familie allein zu Haus oder euch auch noch mitreißen und dafür nur 1 Jahr im Bau dann wird er das tun. Es gibt schlicht keinen anderen Grund warum er so handeln sollte.

Vorhabenszentrierte Sicherheits-Strategie
Das sicherste wenn es um längerfristige Aktionen oder einen richtig guten Plan geht. Geht allerdings mit recht viel Aufwand einher da man sämtliche Identitäten in seperate "Container" oder "Behältnisse" stecken sollte. Das bedeutet dedizierte Laptops für JEDES Handlungsfeld (DeepWeb, privat, Grow Administration o. ä.), ggf. zuzüglich jeweils einen Cold Storage für die Bitcoins und Private PGP-Keys der entsprechenden Identität.

Hier hat man dafür Sorge zu tragen, dass KEINERLEI Verbindungen zwischen den einzelnen Identitäten bestehen. Separate Netzzugänge von separaten Orten, Handies die niemals nebeneinander aktiv sind, komplett unterschiedliche Background Stories, Schreibstil usw.

So kann man wenn es irgendwie Probleme gibt einfach die Identität löschen und weitermachen. Gerade im DeepWeb hat man leider meist schön gesehen wie das nicht gemacht wurde (weil man zB den Fame behalten wollte vom alten Nickname etc). Wenn's gut gelöst ist und man zB mitkriegt dass die eigene Operation (Growhouse, Waffenhandel, Carding Service) kompromittiert ist, dann schmeisst man den Laptop in den Shredder, zieht die BTCs um, wiped die Keys (PGP, TrueCrypt, Bitcoin) permanent(!) und fasst alles nie wieder an. NIE wieder. Nicht "nur noch einmal" einloggen. Oder in ner PM von der neuen Identität schreiben "hey ich bins, der ABC der früher XYZ war". Bringt nix. Ego begraben, weitermachen.
Und dann baut man sich's neu zusammen. Komplett. Clean. So hätten Ross, Sabu, der Rest von Lulzsec, etc. alle noch ihr freies Leben, bzw hätten es länger behalten.

Vorteil an Strategie 3 ist dass man sehr genaue Grenzen zieht und genau sehen kann, bis wohin die eigene Strategie einen schützt und ab wann die Maßnahmen keine Wirkung mehr zeigen.



Das ist jetzt natürlich kein Schritt-für-Schritt-Tutorial und muss von jedem auf seine persönliche Situation angepasst werden aber man kann sich wenigstens mal grundsätzlich einordnen wenn man einen Thread eröffnet um nachzufragen.
Und es ist für Anfänger (und vielleicht auch Fortgeschrittene) ein schönes Gedankenmodell mit dem man sich dann beschäftigen kann. Das macht es leicht, für die eigene Lage entsprechende Maßnahmen auszuwählen, zu treffen und auch in der Gruppe durchzusetzen.

So, das war's erstmal. Wenn euch die Info gefällt und für die Zukunft weiterverwendet werden soll, freue ich mich über einen Sticky.

Haut rein zusammen, Spider

So und nun ein paar grundsätzliche Aussagen zu den diversen Techniken:
* TOR ist sicher (soweit eine von Menschen gemachte Technik überhaupt sicher sein kann)
* ein VPN ist ebenfalls (von einem guten Anbieter) grundsätzlich sicher.

Beim VPN gibt es einiges zu beachten - der VPN Anbieter sollte keinen (Geschäfts)Sitz in der EU haben denn hat er das kann er mit einem Gerichtsbeschluss gezwungen werden ab dem Tag das Verhalten eines Users zu loggen, selbst wenn er sonst nicht loggt. Ist der Client nicht gut kann es zu DNS Leaks kommen.

Vorteil des VPN gegenüber TOR ist, dass man je nach Anbieter auch mit X MBit surfen/rauf- bzw. runterladen kann.

Du solltest dich mal mit den Seiten privacytools.io und prism-break.org auseinander setzen wenn es um die reine Technik geht. Ein guter Tipp, wenn es bei dir so was in der Nähe gibt ist, eine Cryptoparty zu besuchen, denn dort sind unter den Angels meist Leute die richtig gut sind was diese Thematik betrifft. Ob so was in deiner Nähe angeboten wird kannst Du hier nachsehen.

Soweit erst mal oberflächlich zu den technischen Aspekten, doch da ist noch viel mehr. Sicherheit / Anonymität hat nicht nur eine technische Seite sondern auch eine Menschliche und es kommt eben ganz darauf an, wer den Gegner ist. Wirst Du von einem LKA verdächtigt die IS zu unterstützen hast Du möglicherweise einen Trojaner zur Quellen TKÜ auf dem Rechner, der alles abfängt bevor es verschlüsselt ist. Bist Du ein bekannter politischer Aktivist der von irgend wem beobachtet wird und es ist bekannt, dass dieser Aktivist die Mailadresse XYZ@google.com benutzt und du loggst dich über den VPN dort ein und verschickst ne Mail um kurze Zeit später mit der selben IP irgendwo was zu posten, was ebenfalls beobachtet / geloggt wird kanns das mit der Anonymität gewesen sein wenn Du bei Google damals deine Realdaten verwendet hast. Ja alles sehr konstruiert - soll ja auch nur die theoretischen Gefahren verdeutlichen.

Was sich auf jeden Fall ebenfalls zu lesen lohnt ist das Privacy Handbuch

Die größte Schwachstelle ist in jedem Fall der Mensch, doch der kann auch gemein sein, sich der Schwächen bewusst sein, vielleicht sogar absichtlich Fehler machen (sich verraten) um die Gegenseite in die Irre zu führen / von seinen wahren Zielen abzulenken. Ein Gegner der glaubt überlegen zu sein unterschätzt seinen Feind leicht = wenn man als Beobachter glaubt alles über seinen Gegner zu wissen bemerkt man möglicherweise gar nicht, dass er (Beispiel) mit einem zweiten Rechner auf dem er alles richtig macht aus einer öffentlichen Bibliothek über das dortige W-Lan nach Bombenbauanleitungen sucht. Hier käme dann das ins Spiel was man unter Taktik versteht und wenn es darum geht kannst Du z.B. mal das

Za5YzGm.jpg

lesen.

OK - einige Gedanken waren / sind sehr abstrakt / theoretisch, sollten dir nur klar machen, dass die Technik der kleinste Teil ist.
 
Und wie sicher / hoch ist die "Anonymität"? Ich nehme an, alle Daten, die man als "persönlich" bezeichnen könnte, wären 'rausfindbar so (nur wäre es vermutlich etwas komplizierte / umständlicher), als befände man sich "normal" im Internet, also ohne Tor / einen sogenannten Schutz, oder?

Ohne jetzt auch nur annähernd so viel Ahnung zu haben wie ditto zum Beispiel, denke ich nicht, dass es so etwas wie einen absoluten Schutz im Internet gibt. Man kann es zwar für den ein oder anderen etwas komplizierter machen aber das Eingeben von sensiblen Daten in Computer, die mit dem Netz verbunden sind, ist in meinen Augen immer Risikobehaftet.
 
Auch wenn die Meldung Gefälschte .onion-Websites spähen Tor-Nutzer aus nichts mit der Sicherheit von TOR an sich zu tun hat will ich sie hier mal rein setzen, weil sie sehr schön zeigt, dass selbst sichere Technik nie 100% Schutz bieten kann. Die Meldung bezieht sich übrigens ausschließlich auf Seiten im DeepWeb = nutze ich den TOR Browser in normalen Netz bin ich davon nicht betroffen.
 

Anhänge

  • RnYhh8v.jpg
    RnYhh8v.jpg
    238 KB · Aufrufe: 809
t9ZCcHn.gif
Fragen scheint einfacher zu sein als lesen
79564d1436933892-anonym-im-internet-tor-sinnvoll-d0l65vd.gif

Nein, so isses nicht. Mich hat einfach speziell die Antwort hier im Forum meines Vertrauens interessiert. Lesen ist mir durchaus beigebracht worden, aber ich weiß eben auch, das sich viele Projekte und Produkte über die Maßen selbst beweihräuchern.
 
Vielen Dank Capulcu,

ah ja, verstehe, so war das gemeint.

Das alles ergibt ja mal eine extrem gute, umfangreiche Übersicht über das Thema. Ja, das klingt natürlich äußerst plausibel, sich zunächst überhaupt erst einmal Gedanken darüber zu machen, wovor man sich eigentlich schützen will.

Selbst wenn man nicht gerade einen prosperierenden Online-Organ-Versand-Handel oder Plutonium-Discounter betreiben wollte, einfach mal so anonym sein und vor allem bleiben, wenn man sich einfach nur wie bisher im Netz herumtreiben wollte, nur eben ohne die üblichen Spuren zu hinterlassen, ist das ja offenbar auch schon nicht so einfach und wohl auf jeden Fall mit gewissem, wohl gar nicht einmal so geringem Aufwand verbunden.

Der Aufwand für die Anonymität für Beispiel 2 und 3 ist ja offenbar enorm, auch nicht verwunderlich, daß der "menschliche Faktor" da der schwächste alle Faktoren wäre, einmal einen Fehler gemacht und...

Ich wußte nicht einmal, daß es überhaupt ein Deep Web und offenbar noch weitere Unterarten gibt, die ja offenbar zum Teil mit Tor und bestimmten Suchmaschinen findbar sind.

Du solltest dich mal mit den Seiten privacytools.io und prism-break.org auseinander setzen wenn es um die reine Technik geht.
Ja, habe ich mir mal angesehen, sehr interessant / umfangreich, gibt ja auch dort viele weiterführende Links.

Was sich auf jeden Fall ebenfalls zu lesen lohnt ist das Privacy Handbuch
Ja, in der Tat.

Habe ich mir mal geladen.

Vielen Dank nochmals.
 
@Dirck

Nichts zu danken


eine Anmerkung @all zum darüber nachdenken
Man kann z.B. beim normalen Firefox mittels dieser Anleitung die Anonymisierung ziemlich weit treiben. Gegenargument von Kai (bei einer Diskussion) zu dieser Extremform war, dass die Zahl der Profile mit dem selben Fingerprint dramatisch sinkt und man dadurch die Chance zur Identifikation letztlich steigert.
 
Oben