Vertrauen

[Jolla]

Mag mir jemand erklären weshalb ich einer unbekannten Exit Node vertrauen sollte? Oder habe ich da grundsätzlich etwas bei Tor nicht verstanden.

[unknown75]

Du brauchst dem Exit Node nicht mal vertrauen. Tor nutzt mindestens 3 Nodes, solange der "Angreifer" nicht alle drei bzw. mehrere Node kontrolliert wird es sehr schwierig das Verhalten eines Clients zu analysieren.

https://www.youtube.com/watch?v=wKArmXr8o04

[Oktavian]

> Mag mir jemand erklären weshalb ich einer unbekannten Exit Node vertrauen
> sollte? Oder habe ich da grundsätzlich etwas bei Tor nicht verstanden.

Du kannst einem Exit Node nicht vertrauen, denn es ist bekannt, dass diese auch gerne mal von dubiosen Institutionen betrieben werden. Das musst Du aber auch gar nicht, dafür sorgt gerade das Onion-Routing.

Der Entry-Node weiß nicht, wohin die Reise geht und der Exit-Node nicht, wer da reist. Deine Daten werden in mehreren Schichten eingepackt, wie eben eine Zwiebel. Somit kann ein Entry-Node dich zwar eindeutig identifizieren, denn er kennt Deine IP, er weiß aber nicht, was Du tust. Ein Exit-Node kann deinen Verkehr mitlesen (solange er nicht noch zusätzlich verschlüsselt ist), er weiß aber nicht, wer Du bist.

Erst ein Angreifer, der eine größere Anzahl von Nodes unter seiner Kontrolle hat, kann die Sicherheit kompromittieren. Oder ein Nutzer, der sich über Tor bei Facebook und Google anmeldet (mit seinem echten Namen), dann mitsamt Cookies weitere Seiten aufruft, usw. Gerade deshalb ist es kein Gewinn an Sicherheit, seinen gesamten Traffic durch Tor laufen zu lassen.

[Brösel]

Wenn man sich einmal die Historie von TOR anschaut dann ist das mit dem Vertrauen sowieso hinfällig.
http://de.wikipedia.org/wiki/Tor_%28Netzwerk%29#Geschichte

[DjNDB]

Du solltest keinem Exit Node vertrauen.
Der Kern von Tor ist, dass von außen nicht ohne weiteres gesehen werden kann, mit welchen Servern du kommunizierst.
Der Entry Node kennt deine IP, aber nicht was du kommunizierst.
Der Exit Node weiß was du kommunizierst, aber nicht deine IP
Der Tor Browser setzt auf das Tor Netzwerk auf, und minimiert die Angriffsfläche auf Anwendungsebene, indem Sicherheitsseitit problematische Features deaktiviert werden können.

Alles was im Klartext durch's Internet geht, kann von anderen mitgelesen oder manipuliert werden, egal ob mit oder ohne Tor.
Daher solltest du möglichst immer HTTPS verwenden. Das hat zwar auch so seine Probleme, aber sofern du dem Server Zertifikat vertrauen kannst (was nicht selbstverständlich ist) und der Server eine angemessene Ciphersuite aushandelt, spielt die Vertrauenswürdigkeit des Netzwerks keine große Rolle mehr.

Das ist bewusst etwas verschwurbelt geschrieben, denn wenn man genau hinschaut, gibt es verschiedene Angriffsszenarien, aufgrund derer man HTTPS nicht bedingungslos vertrauen kann.
Besser als Klartext ist es aber allemal.

Es gibt da eine praktische Seite vom EFF, auf der du nachvollziehen kannst, wer im Netzwerk was sehen/ändern kann mit oder ohne Tor und HTTPS.
https://www.eff.org/pages/tor-and-https

[Proctrap]

Den Nodes ist auch nicht zu vertrauen, sie vertuschen lediglich die Herkunft.
Daher solltest du hier nur HTTPS-Verbindungen in entsprechender Stärke verwenden. (Um mal SSlv3 etc vorzubeugen )

[vinLeiger]

Proctrap schrieb:
--------------------------------------------------------------------------------
> Daher solltest du hier nur HTTPS-Verbindungen in entsprechender Stärke
> verwenden. (Um mal SSlv3 etc vorzubeugen )

Gut, dass du das ansprichst, bisher hat der Tor-Browser im Auslieferungszustand nämlich immer noch RC4 aktiviert, was ja mittlerweile fast als geknackt gelten kann. Mit ein bisschen Pech kann es also durchaus sein, dass HTTPS aktiv ist und man trotzdem nicht geschützt ist. Hoffe, sie kommen bald mal auf die Idee, das abzustellen, dann muss ich das nicht mehr machen.

Wenn ihr mich fragt...WIR FRAGEN DICH NICHT!!! (Marc-Uwe Kling)