Skip to content

Neue Wege, um den Tor Browser herunterzuladen

GetTor-LogoVor kurzem war ich zu Vorträgen bei der Stoyschule in Jena eingeladen. Dabei ging es zumeist um Datenschutz und Überwachung. Unter anderem kam ich dabei auch auf den Tor Browser zu sprechen. Als ich auf die Webseite des Tor-Projekts gehen wollte, scheiterte ich an einem Filter. Seitens jena.de wird ein Webfilter betrieben, der unter anderem die Webseite blockiert und auch TLS-Verbindungen aufbricht (Man-in-the-middle-Angriff). Leider hatte ich keine eigene Kopie des Tor Browser einstecken und wollte auch keine Zeit mit weiteren (eventuell erfolglosen) Versuchen verbringen. Aber seit ein paar Tagen gibt es mehr Möglichkeiten, an eine Kopie der Software zu kommen.

Das Tor-Projekt erklärte heute in einem Blogbeitrag, welche neuen Wege existieren. Die Grundlage hierfür ist das Projekt GetTor. Dort sollen alternative Methoden entwickelt werden und die Ergebnisse sind:

  • Twitter: Schickt eine Direktnachricht (DM) an den Account @get_tor. Anfangs reicht es help zu schicken und der Bot schickt euch Anleitungen zurück. Derzeit könnt ihr den Namen des Betriebssystems (windows,linux,osx oder android) oder das Wort mirrors zu schicken. Ihr bekommt dann Downloadlinks zu verschiedenen Seiten oder eine Liste von alternativen Downloadseiten (Mirrors) zurück.
  • XMPP/Jabber: Das XMPP-Konto get_tor@riseup.net nimmt ebenfalls die obigen Anweisungen entgegen.

Falls ihr also Probleme habt, an die Software zu kommen, so nutzt die obigen Wege oder sucht einen funktionierenden Mirror. Viel Spaß beim sicheren und anonymen Surfen! ;-)

Noch jemand ohne TLS1.2?

In meinem Beitrag zur sicheren Einstellung von SSL/TLS im Browser fragte ich, ob ihr Seiten bemerkt, die nicht mit TLS 1.1 oder 1.2 funktionieren. In den Kommentaren und bei Twitter meldeten sich einige. Irgendwann entschied ich, eine eigene Webseite hierfür anzulegen. Die Seite SSL/TLS im Browser dokumentiert Seiten, die nur TLS in der Version 1.0 oder schlechter anbieten. Beim Testen fielen mir sogar einige Seiten auf, die auf das komplett unsichere SSL 2 setzen.

Weitere Seiten könnt ihr mir gern melden. Ich habe ein Pad angelegt. Wenn dort ein neuer Domainname auftaucht, teste ich den und nehme den mit in die Seite auf. Git-Nutzer können die Datei SSL-TLS.org bei Github editieren und mir einen Pull-Request schicken.

Die Daten sollen natürlich nicht ungenutzt liegen. Ich möchte in einem zweiten Schritt die Betreiber der Webseiten anschreiben und diese bitten, auf neuere Protokollversionen zu aktualisieren. Hier würde ich mich über eure Hilfe freuen. Bitte schreibt eure Textvorschläge ins Pad. So können wir gemeinsam ein Schreiben entwickeln und das dann in die Welt schicken. Hoffentlich erreichen wir dadurch eine kleine Verbesserung beim Schutz unserer Daten.

Tester für die Zensurumgehung Lantern gesucht

Wer Zensurmaßnahmen erfolgreich umschiffen will, benötigt zahlreiche, verschiedene Werkzeuge. In jedem Land mit ausgeprägter Internetzensur gibt es auch ein Wettrennen zwischen den Zensoren und Zensierten. Ein vergleichsweise neues Werkzeug ist Lantern.

Lantern ist eine Software, die auf Java basiert und sich noch in der Testphase befindet. Die Software unterscheidet anfangs, ob Zensierten der Zugang erlaubt werden soll oder ob man selbst Informationen abrufen will. Im ersten Fall leitet die Software den Netzverkehr Fremder über die eigene Internetverbindung. Damit können diese das Internet frei (also genauso frei wie ihr) nutzen. Im zweiten Fall nutzt ihr die Verbindung anderer.

Zur Verbdinung der Benutzer nutzt Lantern Google. Die Software baut ein Vertrauensnetz der Nutzer auf. Dazu muss sich jeder bei Google einloggen und den anderen als Freund markieren. Den Rest macht Lantern im Hintergrund.

Das Projekt hat vor kurzem die fünfte Betavariante herausgegeben und möchte nun ihren Dienst mit mehr Nutzern testen. Falls ihr also freie Kapazitäten habt, registriert euch für die Betaversion auf der Webseite und testet dann die Software. Eventuell helft ihr Leuten da draußen, wieder ein neues Werkzeug zu benutzen und Informationen frei abzurufen.

Tor -- Vortrag und Hackday

In München treffen sich in dieser Woche Vertreter des Tor-Projektes zum Summer-Dev-Meeting. Neben den internen Besprechungen gibt es zwei interessante Veranstaltungen für die Öffentlichkeit.

  1. Vortrag »Tor and the Censorship Arms Race: Lessons Learned«
    Roger Dingledine und Jacob Appelbaum berichten über ihre Erfahrungen in der Umgehung von Zensur. Tor ist in dieser Beziehung ein sehr wichtiges und sicheres Werkzeug. Der Vortrag findet am 24. Juli 2013 ab 18 Uhr im Hörsaal 1 des LRZ statt (siehe Bild unten).
  2. Tor Hack Day
    Am Freitag findet dann ein öffentlicher Hackday statt. Ihr könnt dort verschiedene Entwickler treffen und mit denen über Tor sprechen bzw. programmieren.

 

Spamschutz bei S9Y

Im Hintergrund tut Serendipity oder kurz S9Y seinen Dienst. Vor mehr als sieben Jahren stieg ich von Wordpress auf die Software um. Die Software tut im wesentlichen ihren Dienst. Außer, wenn wie heute, ein Plugin merkwürdige Sachen macht.

Ich hatte bis heute abend das Autosave-Plugin installiert. Das speichert die Einträge zwischen und soll eigentlich vor Datenverlust schützen. Bei mir sorgte es dafür, dass die Rezension mehrfach verschwand. Der Grund war, dass ich auf Speichern im Artikelfenster drückte und das Fenster offen liess. Das Plugin wollte einfach alte Werte speichern und löschte so den Beitrag.

Seit dem Jahreswechsel bereitet mir nicht die Blogsoftware Kopfschmerzen, sondern der Spam der eintrudelt. Anfangs hatte ich den Spamschutz aktiviert, den S9Y von Haus aus mitbringt. Dazu setzte ich ein paar Worte auf die Blacklist. Das reichte aus. Nebenan im Datenkanal habe ich noch das Bayes-Plugin im Einsatz. Das wurde von Beginn an angelernt und verrichtet gute Dienste.

Das S9Y Infocamp hat sich nun dem Thema Spamschutz bei S9Y angenommen. In dem Podcast besprechen sie verschiedene Mechanismen. Dabei kommt die Rede auf die SpamBee. Die arbeitet unter anderem mit versteckten CAPTCHAs. Die vier Podcaster sind voll das Lobes. Ich habe den Podcast glücklicherweise zur rechten Zeit gehört. Denn direkt nachdem ich die Biene hier installierte, traf das Blog eine Spamwelle. Von den Lesern hat das vermutlich niemand bemerkt. Die Spambiene hat den Spam wirklich sehr gut abgefangen. Wer also da draußen mit Spam bei S9Y zu kämpfen hat, sollte unbedingt SpamBee probieren. Vermutlich bringt das Plugin Linderung.

Offene Proxys zur Zensurumgehung

Im letzten Blogposting stellte ich die Matrix verschiedener Zensurumgehungssoftware vor. Ich will hier und in den folgenden auf einzelne Software oder Protokolle eingehen. Vielleicht hilft euch das, Vor- und Nachteile der Lösungen zu erkennen.

Die erste Variante in der Reihe sind offene Proxys. Eigentlich wurden die nicht zur Zensurumgehung erfunden, das ist vielmehr ein Nebenaspekt. Proxys dienten zuerst als eine Art Zwischenspeicher in großen Netzen (Firmen). Denn das Internet war langsam und teuer. Also suchten die Betreiber nach Möglichkeiten, es schneller zu machen. Ein Proxy war eine solche Möglichkeit und spielt eine Vermittlerrolle. Die Benutzer eines Proxys fragen Webseiten nicht mehr direkt an, sondern nutzen den indirekten Weg über den Vermittler. Dieser ruft seinerseits die Webseite ab und liefert das Ergebnis weiter. Gleichzeitig speichert der Proxy die Webseite lokal. Kommt nun ein weiterer Benutzer, liefert der Proxy die Webseite aus seinem Speicher aus. Das ist zum einen schneller und zum anderen preiswerter, da kein externer Datenverbrauch entsteht.

Schematische Darstellung eines offenen Proxys (Quelle: Wikipedia)

Offene Proxys sind Proxys, die von allen benutzt werden können. Doch woher kommen diese offenen Proxys? Ein Teil stammt schlicht von Fehlkonfigurationen. Das heißt, jemand installiert eine Proxysoftware und gibt die dann versehentlich für die Welt frei. Andererseits kann das jemand in bösartiger Absicht tun. In der Hoffnung, dass Fremde die Software nutzen, sich bei Seiten einloggen und dort sensible Daten hinterlassen, wird der Proxy aktiviert. Der Angreifer lauscht mit und bekommt so Zugriff auf die Geheimnisse seiner Nutzer. Dafür würde die konsequente Nutzung verschlüsselter Seiten (HTTPS) schützen. Eine weitere Gruppe von Administratoren sorgt sich um die Sicherheit seiner Nutzer und versucht mit speziellen offenen Webproxys zu helfen. Zu letzterem gehören Seiten wie Morphium.info oder Anonymouse.org. Weiterhin gibt es Listen, wie beispielsweise Xroxy, die beliebige offene Proxys sammeln. Das Firefox-Plugin Stealthy lädt die Listen automatisch herunter und macht die im Browser nutzbar.

Ein Nutzer in einem Land mit Internetzensur kann versuchen, einen offenen Proxy zu verwenden. Als einfache Varianten bieten sich Morphium.info, Anonymouse oder Stealthy an. Oder aber er stellt im Browser einen offenen Proxy ein. Im letztgenannten Fall geht der Aufruf nicht direkt zur gesperrten Webseite, sondern zu dem Proxy. Dieser ruft die Seite auf und liefert das Ergebnis zurück.

Derartige Proxys sind ein sehr einfaches Mittel, Zensur zu umgehen. Leider haben das auch die Zensoren erkannt. Diese rufen häufig einfach die Listen der Proxys ab und sperren die Adressen. Andererseits wies ich oben schon auf den möglichen Missbrauch seitens des Betreibers des Proxys hin. Gegebenenfalls liest der Betreiber mit und nutzt diese Daten später zu seinem Vorteil. Im schlimmsten Fall könnte der Zensor den Betreiber des Proxys »überzeugen«, die Daten spezieller Nutzer mitzuschneiden und ihm diese auszuhändigen. Das heißt, auf der einen Seite sind Proxy zwar einfach. Aber die damit verbundenen Risiken sind nicht von der Hand zu weisen.

Die Lage verbessert sich für den zensierten Nutzer etwas, wenn er gute Freunde hat, die für ihn einen Proxy betreiben. Denn diese sind hoffentlich vertrauenswürdig.

Insgesamt sind die offenen Proxys also ein erster Weg zur Zensurumgehung. Mit etwas Glück funktionieren die im Land. Jedoch sollten die Nutzer sich immer über eventuellen Missbrauch im Klaren sein und entsprechende Gegenmaßnahmen treffen.

Weitere Informationen hat die englischsprachige Wikipediaseite zu Open Proxys oder die deutschsprachige zu Proxys.

tweetbackcheck