Veröffentlicht am

Anonym Surfen – Alle zwei Jahre wieder…

Meine Meinung zu Anonymizern und Anonymizing Proxies habe ich ja hier im Blog schon vor zwei Jahren und vor vier Jahren geäußert.

Und diese Meinung hat sich seitdem nicht geändert. Daran kann auch das Thema „Überwachung durch den Staat“ nicht viel ändern. So wenig ich auch überwacht werden möchte – den Staat interessiere ich in der Regel nicht (es sei denn, es geht darum, dass ich meine Steuern zahle). Es gibt aber andere Leute, die mit meinen Daten viel mehr anfangen können. Deshalb behalte ich meine Daten lieber bei mir und leite sie nicht über irgendwelche Proxies irgendwo in der Welt.

Passenderweise bin ich gerade über einen zum Thema gehörenden Link gestolpert: Almost All Implementations Of SSL Are Configured To Give Up Everything

Hier beschreibt ein „black hat“ Hacker in einem Interview wie er sich durch das Betreiben eines eigenen TOR exit nodes in 24 Stunden rund 250 Login-Credentials zu diversen Webseiten gesammelt hat – ohne sich dabei durch SSL (HTTPS) Verschlüsselung behindern zu lassen. Denkt daran, wenn ihr eure Daten über Systeme leitet, die ihr nicht kennt!

Veröffentlicht am

Über Sinn und Unsinn von „anonymizing Proxies“

Gerade bin ich im Forum von PageRestrictor / Bot-Trap über die Frage gestolpert, wie man einen „seriösen Proxy“ erkennt. Er habe von allen „Profis“ geraten bekommen, einen Proxy zu verwenden, habe sich jetzt einen von proxy4free.com rausgesucht und schon wäre er auf einer Webseite ausgesperrt worden.

Da ich mich dabei mal wieder zu einer umfangreicheren Antwort habe hinreißen lassen, hier auch eine Kopie meines Beitrags:

Als „seriöse Proxies“ würde ich Proxies definieren, die man nicht „ohne Anmeldung“ verwenden kann. Beispielsweise wäre es okay, wenn man als Nutzer eines Internet-Providers (Arcor, T-Online, AOL, …) den Proxy dieses Anbieters nutzen kann, um damit ggf. die Zugriffsgeschwindigkeit auf Webseiten zu beschleunigen. Gleiches gilt für Firmen, die einen Proxy im Haus stehen haben.

Andersrum gesagt: Alle Proxies aus öffentlichen Proxy-Listen (z.B. proxy4free.com) sind unseriös. Oft sind die auch gar nicht als Proxy gedacht, sondern durch Unachtsamkeit des Administrators des entsprechenden Servers entstanden, der beispielsweise den Webserver falsch konfiguriert hat – und vermutlich gar nicht weiss, dass er einen entsprechenden Proxy „anbietet“. Mit anderen Worten: Man nutzt eine Lücke in dessen System aus, um seine eigenen Daten umzuleiten und damit seine IP zu verschleiern. Man schadet also dem Betreiber des Webservers, weil der gegebenenfalls Geld für den zusätzlichen Traffic bezahlen muss.

Ansonsten: Proxies haben nicht viel mit Sicherheit beim Surfen zu tun. Insbesondere diese „offenen Proxies“, die nur Daten durchreichen. Es mag ausnahmen geben, die eine Art „Virenscanner“ zwischenschalten, um schadhafte JavaScript-/sonstige Schadcodes ausfiltern. Das sind aber sicher nicht die falsch konfigurierten Server auf diesen Proxy-Listen.

Ich würde sogar so weit gehen, und behaupten: Unbekannte Proxy-Server sind ein Sicherheitsrisiko!

Die Idee hinter einem Proxy-Server ist ja grundsätzlich eigentlich, deine Anfragen „umzuleiten“. Du schickst „Hol mir http://www.google.com/“ an den Proxy, der fragt dann Google nach der Seite, und schickt die Antwort von Google an dich. Das kann beispielsweise dann von Vorteil sein, wenn dieser Proxy die Seite von Google schon geladen hat, und dir nur noch seine Kopie schicken muss. Google ist hier vermutlich ein schlechtes Beispiel, weil die Seite immer schnell verfügbar ist. Aber stell dir das mal mit einem Download vor. Es kann einen spürbaren Unterschied machen, ob du einen 100MB Download von einem langsamen Webserver in Australien laden musst, oder ob du die zwischengespeicherte Kopie direkt bei deinem Provider bekommst.

Der sicherheitsrelevante Haken ist aber, dass der Proxy die Daten, die zwischen dir und – bleiben wir mal dabei – Google hin und her gehen, verarbeiten und verändern könnte. Er könnte zum Beispiel ein böses Stückchen JavaScript in die vorher saubere Seite von Google einbauen.

Und abgesehen davon, dass er vorstehendes TUN KÖNNTE — Folgendes wird er MIT SICHERHEIT TUN: Er bekommt alles mit, was du so im Netz treibst. Selbst der falsch konfigurierte Webserver loggt damit alle deine Anfragen mit. Der Betreiber des Proxies kann also sehen, wo du dich rumtreibst – und das allerbeste: Was du in Formulare eingibst. Seien es Suchanfragen, Login-Daten oder Kreditkartennummern. All diese Daten schickst du an den dir unbekannten Server im Netz – der vielleicht irgendwo in Russland oder China steht – und vertraust darauf, dass er dann schon kein Schindluder mit den Daten treibt.

Finde ich mutig 😀

[…]

Lange Rede, kurzer Sinn: Anonymisierende Proxies machen für die Leute Sinn, die etwas zu verbergen haben. Und solche Leute will ich auf meiner Webseite nicht haben – denn das sind die, die Unruhe stiften und mir schaden wollen. Für „normale Nutzer“ macht es überhaupt keinen Sinn, die Spur im Netz verwischen zu wollen.

Veröffentlicht am

Anonym surfen

In der aktuellen Ausgabe der PC Professionell (10/2005) gibt es einige Artikel (Seiten 148 ff.), die sich mit dem Thema „Anonym surfen“ beschäftigen. Meiner Meinung nach stellenweise absolute Fehlinformation, also musste ein Leserbrief her:

Hallo PC Professionell-Team,
Hallo Herr Böhme,

Ich habe mit Interesse den Artikel über das „Anonym surfen“ in der aktuellen PC Professionell Ausgabe 10/2005 gelesen – und muss sagen, dass ich aus dem Kopf-Schütteln nicht mehr herausgekommen bin. Gerade der letzte Absatz fasst so ziemlich all das zusammen, was ich als absolute Fehlinformation einstufe:

„In der Praxis reicht es aus, […] JAP […] nur bei Bedarf einzuschalten. Das ist immer dann der Fall, wenn persönliche Daten wie Kreditkarten- oder Adressinformationen übermittelt werden. Ansonsten genügt es, die Statistiken zu verfälschen, indem mit Proxomitron die übertragenen Informationen gezielt manipuliert werden.“

Um es vorneweg zu nehmen: Ich stehe bei der ganzen Geschichte meistens auf der anderen Seite – also nicht als User, sondern als Anbieter von Webprojekten. Es geht mir aber im folgenden nicht darum, mich über zerstörte Statistiken zu beschweren. Damit kann ich leben. Viel mehr versuche ich den Sinn ihrer Empfehlung aus User-Sicht zu verstehen bzw. zu widerlegen:

Sie empfehlen Ihren Lesern, in dem Moment, in dem sie Kreditkartendaten und Adressinformationen angeben – also in dem Moment, in dem sie ihre Anonymität endgültig aufgeben und als Kunde einem Webseitenbetreiber „als Person“ und nicht mehr „als IP-Adresse“ gegenübertreten – den Anonymizer einzuschalten. Wo ist da der tiefere Sinn? In dem Moment, in dem „brisante“ Daten übertragen werden, empfehlen Sie sogar, diese Daten über (mindestens) ein weiteres System zu routen, wo die Pakete abgefangen, gespeichert und ausgewertet werden könnten?

Ohne Frage – JAP ist hierbei eine der sichereren Varianten. Ein öffentlich zugänglicher Proxy unbekannter Natur ist hier riskanter. Aber der Sinn bleibt mir dennoch verborgen. Ganz nach dem Motto „Hallo, ich bin Dominik Deobald – ich bin Anonym!“

Einen Schritt weiter, gleicher Punkt: Sie empfehlen Ihren Lesern Kreditkarten-Zahlungen über den Anonymizer laufen zu lassen. Sie müssen aber bedenken, dass auf der anderen Seite ein Unternehmen steht, das Waren anbietet und verkauft und dabei einen Gewinn erzielen muss, um Arbeitsplätze zu sichern. Insbesondere virtuelle Güter (Downloads, eVoucher, …) sind beliebtes Ziel für Kreditkartenbetrüger, da hier keine physische Adresse für die Lieferung von Waren vorhanden sein muss. Also muss man alle zur Verfügung stehenden Mittel einsetzen, um gute von bösen Kunden zu unterscheiden. Drei mal dürfen Sie raten, was ein sehr zuverlässiges Zeichen dafür ist, dass es sich bei einem User auf der Webseite um einen Betrüger handelt: Einen Anonymizer setzen vor allem die Leute ein, die etwas zu verbergen haben. Die paar IP-Adressen, über die der Anonymizer-Dienst der TU Dresden läuft, waren schnell nach dem ersten von dort erfolgten Betrugsfall bei meinem Arbeitgeber identifiziert. Seitdem sind sie gesperrt. Einkaufen unmöglich.

Nutzer von Anonymizing Proxies sollten sich also nicht wundern, wenn bei der Kreditkartenzahlung für die eigentlich einwandfreie Kreditkarte die Meldung „Kreditkarte ungültig“ erscheint. Wenn man damit effektiv einen Großteil der Betrüger abwehrt nimmt man als Unternehmen auch die Hand voll ehrlichern Kunden, die nicht einkaufen können, in Kauf.

Weiter zum nächsten Punkt, Proxomitron: Der Sinn hiervon bleibt mir gänzlich verborgen. Einzige Erklärung, die ich zumindest nachvollziehen könnte, wäre, dem Server einen anderen Client vorzutäuschen, um diesem nicht zu verraten, dass man Webbrowser XY mit der Sicherheitslücke AB einsetzt, die der Server dann gezielt ausnutzen könnte. Um derartigen Angriffen ausgesetzt zu sein muss man sich aber schon auf sehr zwielichtigen Seiten herumtreiben.

Der Nachteil, seinen Browser zu verschleiern, ist, dass viele Webseiten-Betreiber die Browserkennung sinnvoll verwenden. Es ist leider immer noch – und sicher auch für die Zukunft – so, dass verschiedene Browser den gleichen HTML-Code unterschiedlich interpretieren und unterschiedlich darstellen. Was auf dem Internet Explorer gut aussieht kann auf dem Firefox das reinste Chaos sein – und umgekehrt. Deshalb stellen viele Webseiten verschieden optimierte Seiten zur Verfügung, abhängig davon, wie sich der Browser zu erkennen gibt. Noch schlimmer ist – aus User-Sicht – die Möglichkeit, sich als „Googlebot“ auszugeben. Hier kommen vermutlich nur all zu häufig Webseiten zum Vorschein, die speziell für Suchmaschinen optimiert wurden und mit Schlüsselwörtern voll gepackt sind, aber den eigentlichen Inhalt nicht mehr erkennbar wiedergeben. Auch wenn das eine Unart ist und nicht der Standard sein sollte – aber wer sich als Google ausgibt, muss halt auch damit rechnen, das zu sehen zu bekommen, was die Webmaster für Google bestimmt haben.

Mit freundlichen Grüßen,
Dominik Deobald