Internet-Zensur
Ein modernes Katz-und-Maus-Spiel

1. Auflage (Version 1.05)

Herausgegeben von Mike Kuketz
www.kuketz-blog.de
Mai 2013

Letzte Aktualisierung: Oktober 2015

Inhaltsverzeichnis

Über den Autor

Vorwort

Aufbau des eBooks

Kapitel 1 Webseite kann nicht angezeigt werden

1. Internet-Zensur

2. Warum wird zensiert?

3. Wer zensiert und vor allem was?

4. Zensur in Deutschland?

4.1 Staatliche Zensur

4.2 Verletzung der Netzneutralität

4.3 Zensur durch die GEMA?

5. Initiativen gegen Internet-Zensur

6. Fazit

Kapitel 2 Die Kontrollmaßnahmen der Zensoren

1. Überwachungsstaat

2. Das Internet

2.1 Internet Infrastruktur

2.2 TCP/IP

3. Auf welchen Ebenen findet Zensur statt?

3.1 National

3.2 International

3.3 Ausnahme

4. Technische Kontrollmaßnahmen

4.1 IP-Blockade

4.2 DNS-Spoofing

4.3 URL-Filter

5. Deep Packet Inspection

5.1 Die Technik

5.2 Zukunft der Deep Packet Inspection

6. Weitere Machenschaften der Zensoren

7. Fazit

Kapitel 3 Internet-Zensur umgehen

1. Internet-Zensur vs. Anti-Zensur

2. Anonymität

3. Simple Tricks - kurz zusammengefasst

4. Offener Proxy

4.1 Funktion

4.2 Proxy als Instrument

4.3 Offene Proxys

4.4 Prüfung auf Anonymität

4.5 Bedingt geeignet

5. VPN

5.1 VPN als Mittel gegen Internet-Zensur

5.2 Besser - Aber nicht gut genug

6. Tor

6.1 Das Konzept

6.2 Wie funktioniert das?

6.3 Schwachpunkt Exit-Node

6.4 Vor und Nachteile

7. JonDonym

7.1 Das Konzept

7.2 Wie funktioniert das?

7.3 Schwachpunkt Mixkaskaden?

7.4 Vor und Nachteile

8. Weitere Lösungen

9. Warnung und Einschränkung

10. Fazit

Abschlussworte

Hinweise, Rechtliches und Impressum

Versionshistorie

Über den Autor

Mike Kuketz ist Gründer von Kuketz IT-Security und beschäftigt sich seit vielen Jahren intensiv mit den neuesten Entwicklungen im Bereich IT-Sicherheit. Er unterstützt seine Kunden durch sog. Penetrationstests bei der Auffindung von Schwachstellen in ihren IT-Systemen und Webanwendungen. Durch die Erkenntnisse, die aus diesen Tests gewonnen wurden, ist es seinen Kunden möglich, das Risiko des Verlusts, der Veränderung und des nicht autorisierten Zugriffs auf sensible Daten zu reduzieren.

Ein weiterer Schwerpunkt seiner Arbeit sind Beratungsleistungen im Bereich mobiler Endgeräte. Gerade in diesem immer brisanter werdenden Bereich, wird den Unternehmen enorme Anstrengungen abverlangt, um ihre sensiblen Daten vor unbefugtem Zugriff zu schützen.

Auf seinem Blog stellt Herr Kuketz seinem Leserkreis regelmäßig Beiträge aus den Themengebieten IT-Sicherheit und Datenschutz zur Verfügung. Hierbei steht neben der Aufklärungsarbeit und Wissensvermittlung vor allem die praktische Umsetzbarkeit der dargestellten Informationen im Vordergrund. In seiner Funktion als freier Referent für das Landesmedienzentrum Baden-Württemberg profitieren Schüler, Lehrer und Eltern unmittelbar von den Kenntnissen in den Bereichen »Smartphones«, »Apps« und »Datenschutz«.

Kontakt

Mike Kuketz
Kuketz IT-Security

E-Mail: webmaster@kuketz-blog.de
Internet: www.kuketz-blog.de
Impressum: www.kuketz-blog.de/impressum/

Vorwort

Liebe Leserin, lieber Leser,

in diesem eBook erkläre ich Ihnen mit welchen technischen Mitteln Inhalte im Internet zensiert werden. Hauptsächlich davon betroffen sind Nachrichten und Meinungsäußerungen, die vom Staat oder nichtstaatlichen Gruppen nicht toleriert werden. Aufgrund der technischen Möglichkeiten ist die Totalüberwachung in einigen Staaten bereits heute bittere Realität. Im Vordergrund steht dabei vor allem die Machterhaltung des politischen Regimes.

Mittels der Technik »Deep Packet Inspection« (DPI) hat die Kontrollmöglichkeit derweil ein ungeahntes Maß an Perfektion erreicht. Die Leistungsfähigkeit heutiger Hardware erlaubt es autoritären Staaten, den kompletten Internetverkehr eines Landes zu kontrollieren und gegebenenfalls auch zu manipulieren. Willkommen in der Welt der »Internet-Nacktscanner«.

Letztendlich ist es ein endloses Katz-und-Maus-Spiel zwischen Zensoren und dessen Gegnern. Denn um die ausgefeilten Überwachungstechniken zu umgehen, benötigen Aktivisten spezielle Tools und müssen sich an strikte Verhaltensregeln halten. Vor allem für politische Gegner stellt dies ein gefährlicher Drahtseilakt dar - wer deanonymisiert wird hat mit harten Strafen zu rechnen. Von der Illusion eines weltweit freien Internets müssen wir und verabschieden. Es existiert nicht.

Ich wünsche Ihnen viel Spaß beim Lesen und Ausprobieren. Über Feedback, Anregungen und Ergänzungen würde ich mich freuen!

Aufbau des eBooks

Das eBook ist in drei Kapitel unterteilt:

In Kapitel 1 findet zunächst eine Einführung in die Thematik statt. Es wird beschrieben aus welchen Gründen Internet-Zensur betrieben wird und welche Ländern davon betroffen sind.

Kapitel 2 beschäftigt sich anschließend mit den technischen Kontrollmaßnahmen der Zensoren. Neue Technologien ermöglichen ein Höchstmaß an Kontrolle.

Im letzten Kapitel 3 werden Wege und Tools beschrieben, wie die Internet-Zensur umgangen werden kann.

Innerhalb des eBooks befinden sich Links mit weiterführenden Informationen zum Thema Internet-Zensur.

Kapitel 1
Webseite kann nicht angezeigt werden

1. Internet-Zensur

Mittels IT-Kontrollinfrastrukturen wird in vielen Ländern der Welt eine Zensur von Inhalten durchgeführt - auch in Deutschland. Gezielt werden Nachrichten und Meinungsäußerungen gefiltert und unterdrückt. Im Fokus der Kontrolleure stehen vor allem politische, erotische und religiöse Inhalte. Neue Techniken ermöglichen dabei ein Höchstmaß an Kontrolle.

In diesem eBook wird Folgendes dargestellt:

Warum wird eine Zensur durchgeführt?

Was wird im Detail zensiert?

Welche Techniken zur Zensur werden eingesetzt?

Welche Möglichkeiten existieren, um der Zensur zu entgehen?

Den staatlichen Kontrollmaßnahmen dauerhaft zu entkommen ist nahezu unmöglich. Es bedarf ausgeklügelter Techniken, um die heutige Generation der Überwachungstechnik zu überlisten. Daraus hat sich längst ein endloses »Katz-und-Maus-Spiel« zwischen Zensoren und Aktivsten entwickelt.

Kapitel 1 führt zunächst in die Thematik ein. Es wird dargestellt, aus welchen Gründen Internet-Zensur betrieben wird und in welchen Ländern diese stattfindet. Die weiteren Kapitel beschäftigen sich mit der technischen Realisierbarkeit der Internet-Zensur und welcheMöglichkeiten zur Umgehung existieren.

2. Warum wird zensiert?

Die ursprüngliche Grundidee des Internets basiert auf freier Meinungsäußerung und ungehinderter Informationsbeschaffung. Mit Beginn der Kommerzialisierung Anfang der 90er Jahre gewinnen staatliche und kommerzielle Interessen jedoch an Bedeutung und sorgen für eine schleichende Einschränkung von Bürgerrechten. Begründet wird eine Zensur meist mit dem Schutz der Bürger und der Aufrechterhaltung der öffentlichen Ordnung. In Wirklichkeit verfolgt ein Staat mit der Internet-Zensur meist eines der folgenden drei Ziele:

Aufrechterhaltung der politischen Stabilität

Aufrechterhaltung der nationalen Sicherheit

Aufrechterhaltung von sozialen Werten

Je nach Staat ist eine Ausprägung zu einem oder zwei Zielen erkennbar. Staaten wie China, Iran oder Pakistan verfolgen alle drei Ziele gleichzeitig. Abbildung 1 fasst unterschiedliche Staaten und ihre Zensurziele zusammen.

Abbildung 1: Zensur-Ziele

Durch die Zensur verliert der Grundgedanke des Internets immer mehr an Bedeutung. Für viele Menschen ist es schwierig an Informationen zu gelangen, da diese gezielt vor der Öffentlichkeit versteckt werden. Dazu zählen vor allem politische Inhalte oder Webseiten zu sozialen Missständen und Menschenrechtsverletzungen.

3. Wer zensiert und vor allem was?

In einem aktuellen Bericht (Freedom on the Net 2013) dokumentiert die unabhängige Organisation Freedom House die Zensur- und Überwachungsmaßnahmen von über 60 Ländern. Insgesamt ist eine zunehmende Zensur erkennbar - von 60 untersuchten Ländern haben sich 34 im Vergleich zum Vorjahr verschlechtert. Besorgniserregend ist die Statistik über körperliche Gewalt. In 26 Ländern wurden Blogger aufgrund ihrer kritischen Beiträge körperlich misshandelt. In fünf Ländern wurden Aktivisten sogar ermordet.

Basierend auf dem Bericht Feinde des Internets aus dem Jahr 2012 und dem Wikipedia-Artikel Zensur im Internet sind im Folgenden Zensur-Beispiele zusammengefasst:

Afghanistan: Seit Juni 2010 werden unter anderem Facebook, Youtube, Twitter, GMail und Webseiten mit den Themen Alkohol, Dating, Glücksspiel und Pornographie gesperrt.

China: Nutzer in China werden überwacht und sogar verfolgt. Dort findet eine Zensur statt, die bisher noch seinesgleichen sucht. Unter anderem werden pornographische und religiöse Inhalte gesperrt. Im Fokus steht vor allem die Zensur politischer Gruppierungen, welche die chinesische Regierung nicht toleriert und als schädlich einstuft. Weiterhin sind auch renommierte Nachrichtendienste gesperrt. Am 28.12.2012 wurden die Internet-Kontrollen dann nochmals verschärft. Laut einem Bericht von Spiegel-Online müssen Kunden ihrem Provider in Zukunft den Ausweis vorlegen.

Iran: Blockiert werden Sexseiten, Nachrichtenseiten, Blogs und Seiten mit unerwünschten, politischen Inhalten. Mitarbeiter von der »Zentralstelle für Filtering« suchen aktiv nach verbotenen Inhalten. Für die Zukunft ist sogar eine komplette Abkopplung vom Internet geplant.

Vietnam: Der vietnamesische Staat hat eine Internetpolizei installiert, die Inhalte aus dem Netz filtert. Kontrollen von Internetcafés zählen zum Alltag.

Russland: Seit dem 1. November 2012 wird das russische Internet einer Totalüberwachung unterzogen. Vordergründig soll damit vor allem Kindesmissbrauch und Gewalt zensiert werden. In Wirklichkeit sind die Eingriffe viel tiefgehender. Aufgrund der eingesetzten Technik können Behörden den kompletten Internetverkehr mitschneiden - vor allem von politisch Andersdenkenden bzw. Regimegegnern.

Die Liste ist lang. Zu den kritischen Staaten (Feinde des Internets) zählt Reporter ohne Grenzen folgende zwölf Staaten: Bahrein, Belarus, Birma, China, Kuba, Iran, Nordkorea, Saudi Arabien, Syrien, Turkmenistan, Usbekistan und Vietnam. In diesen Ländern werden Inhalte stark gefiltert. Neben der Filterung wird massiv Druck auf Blogger und Journalisten ausgeübt, die unbequeme Wahrheiten berichten und das System kritisieren. Besonders politisch Andersdenkende und Regierungsgegner werden eingeschüchtert und verfolgt. Festnahmen sind dabei nicht unüblich. Eine Übersichtskarte zeigt die aktuelle Lage. Auf einer interaktiven Map der OpenNet Initative wird die Zensur mit weiteren Informationen zu den jeweiligen Ländern verknüpft.

Auf heise.de existiert ein eigener Themenbereich für Internetsperren. Interessierte Leser finden dort ein ganzes Sammelsurium an Beispielen aus der ganzen Welt.

4. Zensur in Deutschland?

4.1 Staatliche Zensur

Auch in Deutschland sind wir vor einer Zensur nicht verschont. Bereits in der Vergangenheit wurden Inhalte (Wie die Deutschen Zensur-Vizeweltmeister wurden) gesperrt. Und nicht immer war der Staat dafür verantwortlich, sondern auch Internet Provider oder Organisationen / Vereine. Drei Beispiele zu Sperrungen ab dem Jahr 2000:

Provider in Nordrhein-Westfalen erhalten Sperrungsverfügungen - 2001/2002

Arcor sperrt Zugriff auf Porno-Seiten - 2007

Zugangserschwerungsgesetz - 2009 (Gesetz nie angewendet. Aufgehoben 2011)

Des Weiteren wurden in der Politik weitere Sperrungen diskutiert, aber nie umgesetzt. Im Fokus standen vor allem rechtsextreme Webseiten, Gewaltseiten, urheberrechtlich bedenkliche Seiten und Glücksspiele. Vor allem das Zugangserschwerungsgesetz stieß auf eine breite Ablehnung und Kritik gegenüber den populistischen Forderungen der damaligen Regierung.

4.2 Verletzung der Netzneutralität

Sperrungen oder zumindest eine Drosselung von Datenverkehr hat Mitte 2012 für Aufregung in der Netzgemeinde gesorgt. Laut den Informationen von Felix von Leitner wird die Download-Geschwindigkeit künstlich begrenzt. Kabel Deutschland manipuliert demnach Speed-Tests und reguliert mittels Traffic-Shaping, die zur Verfügung stehende Bandbreite ihrer Kunden. Ein ähnliches Verhalten konnte bei KabelBW nachgestellt werden. Laut einem Artikel von netzpolitik.org drosseln und blockieren Internet-Provider weltweit File-Sharing Protokolle wie BitTorrent. Auch hier soll Kabel Deutschland negativ aufgefallen sein. Wenn Sie testen möchten, ob auch der eigene Provider File-Sharing Protokolle drosselt, können Sie dies mit dem Tool Glasnost überprüfen.

4.3 Zensur durch die GEMA?

Ein Streit über die Rechtevergütung von Musikvideos auf YouTube zwischen Google und der GEMA sorgt weiterhin für Verdruss bei Anwendern. Seit 2009 können sich die beiden Parteien auf keine Lösung einigen - erneute Verhandlungen sind Anfang 2013 gescheitert.

gemaAbbildung 2: Youtube-Streit

Ist das jetzt Zensur oder lediglich eine Forderung nach Einhaltung der Nutzungsrechte von urheberrechtlich geschütztem Material? Wie man es letztendlich auch auffasst, durch den anhaltenden Streit haben die Nutzer das Nachsehen.

5. Initiativen gegen Internet-Zensur

Zahlreiche Organisationen und Projekte haben der Internet-Zensur den Kampf angesagt. Durch Aufklärungsarbeit, bereitgestellte Tools und Werkzeuge oder auch durch gezielte Cyber-Angriffe wird gegen die Kontrolleure vorgegangen. Im Folgenden eine kleine Auswahl:

Anonymous - Die Anhänger des Web-Kollektivs Anonymous kämpfen für ein freies Internet.

Open Net Initiative (ONI) - Der Zusammenschluss von Forschern der Universität von Toronto, Oxford, Cambridge und der Harvard Law School beobachtet und berichtet weltweit über Internet-Zensur.

Arbeitskreis gegen Internetsperren und Zensur (AK) - Ausgehend vom letzten Vorstoß der Politik (Zugangserschwerungsgesetz) hat sich 2009 der Arbeitskreis formiert und spricht sich aktiv gegen Internetsperren aus.

Reporter ohne Grenzen (ROG) - Weltweit setzt sich ROG für die Pressefreiheit und gegen Zensur ein.

Chaos Computer Club (CCC) - Der in Deutschland ansässige CCC spricht sich auf seiner Webseite gegen eine Internet-Zensur aus. Auf dem 29C3-Kongress (Not My Department) Ende 2012 in Hamburg war die Internet-Zensur ein zentrales Thema.

6. Fazit

Durch ausgefeilte Kontrollsysteme wird das Potential des Internets in autoritären Staaten geradezu sabotiert. Freie Meinungsäußerung und freie Informationsbeschaffung sind unerwünscht - nur so kann der Machtapparat weiter funktionieren. Und die Technik dazu stammt oftmals aus Europa und den USA (Netzüberwachung beginnt mit Technik des Westens). Ethisch korrekt sieht anders aus! Im kommenden Kapitel wird die Technik der Kontrolleure vorgestellt und welcher Aufwand betrieben wird, um Inhalte zu zensieren. Alles unter dem perfiden Vorwand, den Bürger schützen zu wollen.

Kapitel 2
Die Kontrollmaßnahmen der Zensoren

1. Überwachungsstaat

Viele Staaten betreiben einen großen technischen Aufwand, um Inhalte zu zensieren und das Internet zu kontrollieren. Unter dem Vorwand ihre Bürger schützen zu wollen, wird viel Geld in neue Kontrollmaßnahmen investiert. Gezielt wird freie Meinungsäußerung und freie Informationsbeschaffung kontrolliert - der autoritäre Machtapparat kämpft mit allen Mitteln. Neben den technischen Mitteln werden im zweiten Kapitel ebenfalls die Machenschaften der Zensoren beschreiben. Im Fokus steht dabei stets die Deanonymisierung von Nutzern, sowie die Erkennung von verschlüsselten Verbindungen - ein (noch) wirksamer Trick, um die Zensur zu umgehen. Besondere Aufmerksamkeit des Kapitels gilt der Deep Packet Inspection (DPI). Vereinfacht ausgedrückt wird bei dieser Technik das gesamte Datenpaket durchleuchtet. Die Leistungsfähigkeit heutiger Hardware erlaubt es autoritären Staaten, den kompletten Internetverkehr eines Landes zu kontrollieren und gegebenenfalls auch zu manipulieren. Willkommen in der Welt der Internet-Nacktscanner.

2. Das Internet

Wer das Internet zensieren möchte, der muss dessen Infrastruktur kennen und die dahinterliegende Technik verstanden haben. Für die Gegner der Inhaltszensur gilt dies gleichermaßen. Es ist daher notwendig, etwas technisches Vorwissen zu vermitteln.

2.1 Internet Infrastruktur

Das Internet besteht aus Netzwerken unterschiedlicher administrativer Verwaltung. Dazu zählen hauptsächlich:

Providernetzwerke: Ein Internetprovider bietet seinen Kunden einen Netzzugangspunkt.

Firmennetzwerke

Universitäts- und Forschungsnetzwerke

Der Gesamtverbund dieser Netzwerke und dahinterliegenden Systeme bildet das Internet. Endlose Kilometer an Glasfaserkabeln stellen die kontinentale, sowie interkontinentale Konnektivität sicher und sorgen für einen rasanten Datentransport. Spezielle Unterseekabel überbrücken weite Distanzen und verbinden Kontinente untereinander. Unter Submarine Cable Map können Sie sich davon ein Bild machen. Dieser Verbund aus Glasfaserkabeln, der sozusagen den Kernbereich darstellt, nennt sich Backbone [1]Abbildung 3. Dort bündelt sich die gesamte Kommunikation der Endbenutzer. Der Backbone stellt gewissermaßen das »Rückgrat« des Internets dar. Über Internet-Knoten [2] Abbildung 3 ist das globale Backbone wiederum miteinander verbunden. Diese Knoten fungieren als Netzbetreiber bzw. Bindeglied für den Internetverkehr, um Internet Service Provider (ISP) [3] Abbildung 3 und deren Kunden miteinander zu verbinden. Teilweise sind oft mehrere hundert Internet-Provider über solch einen Internet-Knoten zusammengeschlossen. Regionale ISPs bieten ihren Kunden [4] Abbildung 3 wiederum einen Zugangspunkt zum Internet. Im Gegensatz zu den schnellen Glasfaserkabeln im Backbone, sind hier Kupferleitungen von Telefon- oder Fernsehanschlüssen die Regel (vor allem in privaten Haushalten).

internet-infrastruktur Abbildung 3: Internet-Infrastruktur

Zusammenfassung: Das Grundgerüst des Internets ist der bereits erwähnte Backbone [1]. Durch Internet-Knoten [2] wird es global zu einem großen Verbund zusammengefasst. Nationale und kleine ISP [3] sind über diese Internet-Knoten zusammengeschlossen und bieten ihren Kunden [4] darüber einen Zugangspunkt an das Internet.

2.2 TCP/IP

Alleine das Verbinden von Rechnern genügt nicht, um das Internet zum Leben zu erwecken. Dazu sind diverse (Netzwerk-) Protokolle notwendig, welche gewissermaßen die Spielregeln festlegen, damit sich zwei Kommunikationspartner miteinander unterhalten können. Als Grundlage dient dazu das in Abbildung 4 dargestellte Internet Protokoll (IP). Es basiert auf dem TCP/IP-Modell.

tcpip Abbildung 4: TCP/IP-Modell

Die Kommunikation zwischen zwei Endpunkten (Rechner A und Rechner B) sind in vier aufeinander aufbauende Schichten unterteilt. Jede Schicht hat dabei eine andere Funktion und kann auf verschiedene Kommunikationsprotokolle zurückgreifen. Werden die Schichten miteinander kombiniert, entsteht daraus ein für das Internet typischer HTTP-Request - also eine Anfrage an einen Webserver nach Inhalt / Informationen. In Abbildung 5 ist eine Browseranfrage (HTTP-Request) an den Webserver von heise.de vereinfacht dargestellt:

Abbildung 5: HTTP-Request

Welche Informationen sind dem Aufruf zu entnehmen?

IP: Ein Rechner A mit einer privaten IP-Adresse (192.168.1.10) kommuniziert mit einem Rechner B (193.99.144.80).

TCP: Rechner B stellt einen Dienst zur Verfügung, welcher von Rechner A über Port 80 (HTTP) kontaktiert wird.

HTTP: Der HTTP-Request von Rechner A wird von Rechner B (Webserver) entgegengenommen und bearbeitet. Im Anschluss wird Rechner B ein HTTP-Antwortpaket generieren und an Rechner A zurückschicken.

Die einzelnen Informationen lassen sich jeweils aus dem Header der Protokolle (hier: Ethernet, IP, TCP, HTTP) extrahieren. Und genau hier setzen die Überwachungstechniken der Zensoren an. Sie extrahieren Informationen aus dem Header, um festzustellen welche Inhalte eine Person aufruft.

Im Video Wie funktioniert das Internet? können Sie bei Bedarf zusätzliche Informationen zum Aufbau und Funktion des Internets abrufen.

3. Auf welchen Ebenen findet Zensur statt?

Ausgehend von Abbildung 3 Internet-Infrastruktur wird aufgezeigt, an welchen Verkehrsknoten generell Zensur betrieben wird.

Annahme: Alle relevanten Knotenpunkte bis zum Backbone [1] befinden sich dabei unter staatlicher Kontrolle - eine gruselige Vorstellung, aber leider oftmals Realität.

3.1 National

Befindet sich ein Webserver [5] physisch im Staatsgebiet eines Landes ist die Zensur mit einfachen Mitteln durchführbar. Ausgestattet mit den erforderlichen Formalitäten lässt sich eine Sperrung von Inhalten beim Provider bzw. Anbieter erwirken.

3.2 International

Befindet sich der zu zensierende Inhalt außerhalb des Zugriffs der Behörden (Ausland) wird es schwieriger. In diesem Fall kann der Staat ISPs [3] zur Zensur verpflichten oder direkt an den Internet-Knoten [2] des Backbones [1] ansetzen.

3.3 Ausnahme

Einzig eine Zensur direkt auf dem privaten Client [6] ist nahezu unmöglich bzw. nur sehr schwer flächendeckend realisierbar. Davon ausgenommen sind natürlich öffentlich zur Verfügung gestellte Rechner vom Staat oder Internetcafés, in denen Betreiber an die Auflagen des Staates gebunden sind.

4. Technische Kontrollmaßnahmen

Damit der Staat eine Zensur ausüben kann, muss er die entsprechende Technik an den dafür geeigneten Internet-Knotenpunkten installieren. Die technischen Kontrollmaßnahmen lassen sich im Grunde genommen anhand von zwei Parametern definieren, die in Abhängigkeit zueinander stehen. Diese lauten Betriebskosten und Effektivität. Umso kostengünstiger eine Maßnahme, desto geringer ist der zu erwartende Zensurerfolg. Umgekehrt bedeutet dies: Umso kostenintensiver eine technische Kontrollmaßnahme, desto effektiver gestaltet sich die Zensur von Inhalten. Staaten investieren also hohe Summen in technisch ausgefeilte Kontrollmaßnahmen, um das Internet mit seinen Inhalten so zu gestalten / zensieren, dass es dem autoritären Regime nicht gefährlich werden kann. Machterhaltung durch Technik, finanziert aus den Steuergeldern der Unterdrückten.

4.1 IP-Blockade

Gegenüber unerwünschten Webseiten stellt eine IP-Blockade eine einfache, aber wenig wirksame Methode dar. Eine gezielte Sperrung von IP-Adressen - und schon kann ein Nutzer die Seite nicht aufrufen oder wird zu einem anderen Ziel umgeleitet. IP-Adressen von Servern mit unerwünschtem Inhalt werden von Zensoren in Blacklists zusammengefasst. An zentralen Backbone [1] Abbildung 3 Routern werden diese Listen dann gepflegt.

ip-blockade Abbildung 6: IP-Blockade

4.2 DNS-Spoofing

Beim DNS-Spoofing wird die Zuordnung zwischen einem Hostnamen/Domainnamen (zb. heise.de) und der zugehörigen IP-Adresse (heise.de 193.99.144.80) gefälscht. Bei Anfrage nach einer Webadresse liefert der DNS-Server die IP-Adresse eines manipulierten Servers zurück. Wiederum ein simpler Trick - allerdings etwas effektiver als eine IP-Blockade.

Nachteil gegenüber der IP-Blockade: Bei der Zensur von Inhalten wird beim DNS-Spoofing eine betreiberseitige Manipulation der ISPs am DNS-Server vorgenommen. Da die Anzahl der DNS-Server um ein vielfaches größer ist, als die Menge zentraler Backbone-Router, gestaltet sich der Aufwand insgesamt höher.

Vorteil gegenüber der IP-Blockade: Intelligente Webserver erlauben das Hosting mehrerer Webseiten unter der identischen IP-Adresse. Bei der IP-Blockade kann durch die Sperrung einer kompletten IP-Adresse eine Art Überzensur entstehen. Beim DNS-Spoofing hingehen können gezielt Hostnamen blockiert werden. Des Weiteren verhindert das DNS-Spoofing eine Verlegung der Domain auf eine andere IP-Adresse.

ip-blockade Abbildung 7: DNS-Spoofing

4.3 URL-Filter

URL-Filter sind ein weiterer Filtermechanismus der Zensoren. Sie durchsuchen HTTP-Requests im Header nach definierten Schlüsselwörtern, um zensurrelevante Inhalte zu blockieren. Im Gegensatz zur IP-Blockade und DNS-Spoofing erfordert diese Kontrollmaßnahme, aufgrund der semantischen Prüfung der Anfragen, mehr Rechenleistung - immerhin soll diese in nahezu Echtzeit stattfinden und den User dann umleiten bzw. die Seite komplett blockieren.

Nachteil gegenüber DNS-Spoofing: URL-Filter sind kostenintensiver und benötigen mehr Feinjustierung als DNS-Spoofing oder einfache IP-Blockaden.

Vorteil gegenüber DNS-Spoofing: Providerseitiges DNS-Spoofing kann mit einem Wechsel zu einem nicht manipulierten DNS-Server umgangen werden. URL-Filter hingegen kontrollieren den HTTP-Request der Browseranfrage. Selbst wenn die richtige IP-Adresse kontaktiert wird, kann der URL-Filter den Aufruf noch blockieren bzw. eine Umleitung vornehmen.

5. Deep Packet Inspection

Leistungsfähige Hardware und nahezu unbegrenzte finanzielle und organisatorische Mittel beschert den Zensoren eine Technik, die aktuell als Superwaffe aller Überwachungswerkzeuge bezeichnet werden kann - die Deep Packet Inspection. Doch warum ist diese Technologie in den falschen Händen ein so gefährliches Werkzeug? Dazu ein kleines Beispiel: Ihr Postbote stellt Ihnen anhand der Informationen auf dem Briefumschlag (Header) einen Brief zu. Seine Arbeit erfordert also das Lesen einer sichtbaren Informationen und die Auslieferung an die korrekte Anschrift. Vom Staat erhält der Postbote nun den Auftrag vor der Zustellung eine »Deep Brief Inspection« vorzunehmen. Dazu öffnet er den Brief und analysiert dessen Inhalt (Datenteil). Aufgrund der gelesenen Informationen entscheidet er sich im Anschluss für eine der folgenden Varianten:

Der Brief landet im Müll. Der Brief wird also niemals zugestellt.

Eine Zustellung erfolgt, allerdings ist der Inhalt verfälscht.

Es erfolgt eine normale Zustellung. Der Inhalt wurde nicht verändert. Dennoch kennt der Postbote den Inhalt.

Dieses Szenario ist im Briefverkehr unvorstellbar, aber genau diese Aufgabe übernimmt im Internet die Deep Packet Inspection. Im Gegensatz zum normalen Briefversand kann der Empfänger das Öffnen, Verschließen oder Verändern an den Datenpaketen nicht feststellen - einen geöffneten Brief erkennt hingegen jeder.

5.1 Die Technik

Bei der Deep Packet Inspection wird neben dem Header auch der Datenteil von Anfragen vollständig auf bestimmte Schlüsselwörter durchsucht. Jedes Datenpaket wird geöffnet und dessen Inhalt überprüft. Dazu ist eine enorme Rechenleistung notwendig, da TCP-Pakete oftmals zu einer zusammenhängenden Antwort aneinandergereiht werden. Diese Schnipsel müssen zunächst zu einem Antwortblock zusammengefasst werden und werden im Anschluss analysiert. Von dieser Manipulation bzw. Kontrolle bekommt der Anwender nichts mit.

ip-blockadeAbbildung 8: Deep Packet Inspection

5.2 Zukunft der Deep Packet Inspection

Am 6. Dezember 2012 ist die Deep Packet Inspection Technologie als offizieller, weltweiter Standard von der Internationalen Fernmeldeunion (ITU) standardisiert worden. Es wurde also etwas standardisiert, was sich längst im Einsatz befindet - auch in Deutschland. Letztendlich Bedarf es keiner Standardisierung, um den Einsatz von DPI zu rechtfertigen. Für die Zukunft müssen sich Anwender weltweit auf eine Ausweitung der DPI-Technik einstellen, was wiederum die Netzneutralität des Internets weiter einschränken wird.

Der Kongress der ITU hat in Bahrein stattgefunden. Das Land ist bekannt für seine massive Online-Überwachungen.

6. Weitere Machenschaften der Zensoren

Längst hat der Kampf um die Inhaltszensur extreme Ausmaße angenommen und konzentriert sich nicht mehr allein auf eine Kontrolle der Knotenpunkte durch technische Maßnahmen. Gezielt versucht der Staat und seine Mitarbeiter den Zugriff auf Informationen zu unterbinden - teils mit perfiden Maßnahmen:

Zensoren betreiben selbst Antizensur-Server und versuchen den Nutzer darüber zu deanonymisieren.

Software zum Umgehen der Zensur wird gezielt manipuliert und dem Anwender in abgewandelter Form auf falschen Servern zum Download angeboten.

Verschlüsselte Verbindungen (zb. VPN) werden gekappt und der Kommunikationsaustausch unterbrochen.

Gezielt werden Social Media Plattformen, wie YouTube, Twitter und Facebook, geblockt. Viele Staaten gehen allerdings dazu über, Social Media zu erlauben, aber bestimmte Inhalte zu blockieren oder löschen zu lassen.

Neben der gezielten Zensur werden ebenfalls die Maßnahmen zur Überwachung der Bevölkerung ausgeweitet. Diese Art der Einschüchterung sorgt zunehmend für Selbstzensur und unterdrückt somit die freie Meinungsäußerung.

Immer häufiger werden Seiten und Blogs von Aktivisten gezielt mittels Distributed Denial-of-Service(DDoS) Angriffen lahmgelegt. Informationen zu Menschenrechtsverletzungen oder Kritik am Regime sind anschließend nicht mehr abrufbar.

Meinungsfreiheit und freie Meinungsäußerung kann sich unter solchen Umständen nicht entwickeln.

7. Fazit

Es lässt sich nicht verleugnen - in einigen Staaten ist die Totalüberwachung des Netzes bereits Realität. DPI stellt dabei eine neue Qualität der Kontrollmöglichkeit dar. Als einziger Ausweg, sich davor zu schützen, wird die Kryptographie (Verschlüsselung der Kommunikation) genannt. Im letzten Kapitel werden Möglichkeiten aufgezeigt, um der Zensur zu entgehen. Dazu eignen sich diverse Tools und Techniken.

Kapitel 3
Internet-Zensur umgehen

1. Internet-Zensur vs. Anti-Zensur

Zensurgegner in autoritären Staaten kämpfen mit ungleichen Mitteln gegen ausgefeilte Überwachungstechniken. Um sich einen Vorteil gegenüber dem Machtapparat zu verschaffen, müssen Aktivisten clever agieren und auf Software zurückgreifen, die speziell zum Umgehen von Internet-Zensur entwickelt wurde. Die technische Werkzeugpalette reicht von einfachen Proxy-Servern, über VPNs bis hin zu Lösungen mit eigener Infrastruktur (Tor, JonDonym). Im letzten Kapitel werden neben den konventionellen Varianten auch jene vorgestellt, die es Zensurgegnern in streng überwachten Staaten gestattet, eine Deanonymisierung zu vermeiden. Vor allem Gegner von totalitären Regimen müssen bei einer Offenlegung ihrer Identität mit harten Strafen rechnen.

2. Anonymität

Wer die Internet-Zensur umgehen möchte muss nicht zwangsläufig anonym surfen. Oftmals genügt ein offener Proxy oder VPN, um eine Zensur zu unterwandern. Beide Varianten bieten meist geringe Anonymität bzw. ist diese eng verbunden mit dem Betreiber des Proxy- oder VPN-Providers. Letztendlich ist die Nutzung eines solchen Dienstes immer eine Vertrauensfrage, da niemand garantieren kann, ob die Verbindungsdaten ausgewertet und an Dritte weitergegeben werden. Wer aufgrund seines Umfelds auf ein hohes Maß an Anonymität angewiesen ist, der muss andere Lösungen in Betracht ziehen. Mit Tor und JonDonym existieren zwei Varianten, die in der Lage sind Internet-Zensur zu umgehen und gleichzeitig für ein hohes Maß an Anonymität sorgen - vorausgesetzt sie werden korrekt benutzt. Stellt Anonymität also eine Anforderung dar, sind vor allem Lösungen zu bevorzugen, die das Vertrauen bereits im Konzept berücksichtigen.

3. Simple Tricks - kurz zusammengefasst

Teilweise kann die Internet-Zensur mit simplen Tricks überlistet werden. Dazu eigenen sich diverse Ansätze, die im Folgenden kurz aufgelistet sind.

E-Mail Dienst: Spezielle Dienste ermöglichen die Ansicht einer Webseite als E-Mail. Dazu setzt der Anwender in den Betreff der E-Mail die gewünschte Adresse der Webseite, sendet seinen Wunsch ab und bekommt die Seite anschließend als E-Mail zugestellt. Leider hat PageGetter und WebToMail den Dienst eingestellt. Als Alternative sei hier Web2Mail genannt.

RSS-Aggregatoren: Ein Web-Dienst sammelt Nachrichten, Fotos usw. und stellt diese aufbereitet als RSS-Feed zur Verfügung. Diese aufbereiteten Informationen lassen sich anschließend abonnieren. Beispielsweise über das Firefox Plugin Sage.

DNS-Server: ISPs (Internet Service Provider) manipulieren DNS-Einträge auf ihren DNS-Servern, um den Zugriff auf bestimmte Adressen zu verhindern bzw. Anfragen umzuleiten. In Routern oder direkt auf dem System lassen sich eigene DNS-Server definieren, die eine Webadresse in die tatsächliche IP-Adresse auflösen. Eine Liste mit frei zugänglichen und unzensierten DNS-Servern wird von der OpenNIC gepflegt.

Übersetzungsdienste: Mit Hilfe des Bing Translators oder Google Translate lassen sich komplette Webseiten in eine andere Sprache übersetzen. Dazu muss lediglich die Webadresse eingegeben werden.

Lassen Sie einfach mal das www vor einer gesperrten Webseite weg…

Wer noch weitere Kniffe und Methoden kennt, der kann mich gerne kontaktieren. Im weiteren Verlauf werden technische Möglichkeiten vorgestellt, um die Internet-Zensur zu umgehen.

4. Offener Proxy

4.1 Funktion

Ein Proxy fungiert als eine Art Vermittler, der Anfragen von einer Seite entgegennimmt, um diese dann über seine eigene Adresse an das Ziel weiterzureichen. Ein Client kontaktiert einen Webserver also nicht direkt, sondern schickt seine Anfrage an den Proxy. Dieser ruft die gewünschte Webseite stellvertretend für den Client auf und übermittelt die Antwortpakete. Oftmals verfügt ein Proxy über einen Zwischenspeicher. Dort werden Webseiten gespeichert und für Clients zum schnellen Abruf bereitgestellt. Proxys bieten noch weitere Vorteile und Funktionen. Wer mehr dazu erfahren möchte, sei der Wikipedia-Artikel empfohlen. Wichtig im Zusammenhang mit dem Kapitel ist die Stellvertreter-Funktion eines Proxys verstanden zu haben.

proxyAbbildung 9: Proxy

4.2 Proxy als Instrument

Aufgrund ihrer Stellvertreter-Funktion eignen sich Proxys nicht nur für den Einsatz in Firmennetzwerken als Caching-Device, sondern ebenfalls für die Umgehung von Zensur. Sogenannte offene Proxys stellen ihre Dienste frei im Internet zur Verfügung und ermöglichen Clients ohne Authentisierung dessen Nutzung. Die Identität bzw. die IP-Adresse des Clients ist für den Webserver nicht sichtbar. Er kommuniziert ausschließlich mit dem offenen Proxy, der alle Antwortpakete an den Client weiterleitet. Auf diese Weise steht der Client niemals in direkter Verbindung mit dem Webserver. Grundsätzlich lassen sich offene Proxys in drei Kategorien einteilen:

Fehlkonfigurierte Proxys: Durch eine falsche Konfiguration steht der Proxy weltweit zur Verfügung - was vermutlich nicht beabsichtigt ist.

Bedrohliche Proxys: Diese werden mit dem Ziel installiert sensible Informationen von Nutzern abzugreifen. Verwendet jemand diesen Proxy und loggt sich unverschlüsselt in einen Online-Account ein, kann der Administrator diese Login-Daten im Anschluss auslesen und für seine Zwecke missbrauchen. Generell sollten Anmeldedaten immer verschlüsselt (zb. SSL/TLS) übertragen werden.

Offene Proxys: Diese werden frei zur Verfügung gestellt und können beispielsweise zur Umgehung von Internet-Zensur benutzt werden.

4.3 Offene Proxys

Im Internet existieren einige Webseiten auf denen offene Proxys offeriert werden. So zum Beispiel auf Public Proxy Servers oder Xroxy. Oftmals lassen sich die Listen nach Zugangsland, Verfügbarkeit, Latenz und weiteren Parametern sortieren. Letztendlich soll dies die Auswahl eines Proxys erleichtern. Mittels dem Firefox Plugin FoxyProxy lässt sich der gewünschte Proxy anschließend konfigurieren. Daneben existieren Webseiten wie Anonymouse.org oder Morphium.info. Darüber lassen sich die gewünschten Webseiten direkt ansteuern. Über die Web-Dienste wird dann eine Verbindung zur Seite initiiert und dem Benutzer dargestellt.

4.4 Prüfung auf Anonymität

Mit einem Online-Tool lässt sich anschließend prima prüfen, ob der Anbieter bzw. Proxy ebenfalls in der Lage ist die Anonymität zu wahren. Wie bereits anfangs erwähnt eignen sich Proxys nur bedingt dazu. So fällt im Test Anonymouse.org auf Anhieb durch. Auf der Seite ip-check.info werden die durchgeführten Kontrollen detailliert beschrieben, die zu einer Deanonymisierung führen können.

4.5 Bedingt geeignet

Insgesamt stellen offene Proxys ein sehr einfaches Mittel dar, um Zensur zu umgehen. Diesen Vorteil haben Zensoren ebenfalls erkannt und blockieren Web-Dienste bzw. IP-Adressen von offenen Proxys. Denkbar ist auch eine Zusammenarbeit mit Betreibern von offenen Proxys, um an die Identitäten von Nutzern zu gelangen. Letztendlich ist die Nutzung eines Proxys immer eine Vertrauensfrage, die mit einem hohen Risiko verbunden sein kann. In totalitären Staaten eigenen sich offene Proxys also kaum für die Umgehung von Zensur. Entweder kann der Proxy nicht erreicht werden oder der Anwender setzt sich einem unnötig hohen Risiko bei dessen Verwendung aus.

5. VPN

VPN steht für Virtual Private Network bzw. »Virtuelles Privates Netz«. Vereinfacht ausgedrückt dient ein VPN zum Transport privater Daten über ein öffentliches Netzwerk (Internet). Dazu wird eine verschlüsselte Verbindung zwischen zwei Endpunkten hergestellt, die eine sichere Übertragung gewährleisten soll. In der Praxis werden VPNs vor allem für folgende Szenarien eingesetzt:

Über ein VPN werden physikalisch getrennte Netzwerke über das Internet sicher miteinander verbunden. Beispielsweise werden mehrere Geschäftsstellen von Unternehmen auf diese Weise zusammengeschaltet. (Site-to-Site VPN)

Mit Hilfe eines VPN-Clients können Mitarbeiter von zu Hause einen gesicherten Zugriff auf das Unternehmensnetzwerk aufbauen. Nach einer Authentisierung am VPN-Gateway der Firma wird der Rechner Teil des privaten Netzwerks - gewissermaßen als ob er sich physikalisch vor Ort befinden würde. (End-to-Site VPN).

Weitere Einsatzmöglichkeiten: Absicherung von WLAN-Funknetzen oder auch im privaten Bereich. Viele Router bieten die Möglichkeit der VPN-Einwahl. In einem unsicheren WLAN kann anschließend eine sichere VPN-Verbindung zum privaten Router initiiert werden.

proxyAbbildung 10: VPN

5.1 VPN als Mittel gegen Internet-Zensur

Neben den genannten Szenarien können VPNs ebenfalls für die Umgehung von Internet-Zensur verwendet werden. Dazu wird mit einem VPN-Client eine verschlüsselte Verbindung zu einem VPN-Dienstleister aufgebaut. Dieser wiederum sollte sich idealerweise in einem Land befinden, das selbst keiner Internet-Zensur unterliegt und gesetzlich nicht dazu verpflichtet wird eine Vorratsdatenspeicherung oder Ähnliches durchzuführen. Bei einem Verbindungsaufbau zum VPN-Provider kann der ISP im eigenen Land einen Datenfluss beobachten, allerdings aufgrund der Verschlüsselung nicht feststellen, welche Daten übermittelt werden. Für diesen Zweck stehen hauptsächlich kommerzielle VPN-Provider zur Verfügung. Bei der Auswahl sollte man sich zunächst erkundigen, ob und wie lange Verbindungsdaten gespeichert werden. Ebenfalls von Vorteil kann eine anonyme Bezahlungsmöglichkeit in Form von Bitcoins sein. Auf dem NoNameMTs Blog wird eine aktuelle Liste mit verfügbaren VPN-Providern geführt. Allerdings gilt ebenso wie bei den offenen Proxys das Vertrauensprinzip. Selbst wenn ein VPN-Provider werbewirksam mit komplett anonym und kein Logging von Verbindungsdaten wirbt, ist es nahezu unmöglich das auch zu kontrollieren.

5.2 Besser - Aber nicht gut genug

Neben der Vertrauensfrage kämpfen VPN-Provider mehr und mehr mit verschärften Bedingungen. In China werden spätestens seit Ende 2012 VPN-Verbindungen gezielt unterbrochen bzw. blockiert. So berichtete der VPN-Anbieter StrongVPN im Dezember 2012 auf seinem Blog von diversen Client-Problemen. Und damit war der Provider nicht alleine. Auch Astrill und WiTopia verkündeten ähnliche Probleme. Im direkten Vergleich mit offenen Proxys ist die Erfolgsquote von VPNs bei der Umgehung von Internet-Zensur dennoch höher einzustufen. Wer Anonymität benötigt muss allerdings dem Anbieter vertrauen.

6. Tor

Ursprünglich startete die Universität Cambridge im Jahre 2002 die Entwicklung von Tor. Derzeit finanziert sich das Projekt vor allem aus Spenden. Laut Angaben der Entwickler stehen derzeit über 3000 Tor-Knoten zur Verfügung, die ein durchschnittliches Datenvolumen von 1 GByte pro Sekunde verarbeiten. Weltweit wird Tor am häufigsten genutzt, um Internet-Zensur zu umgehen und nahezu anonym zu surfen. Warum nicht komplett anonym? Weil immer ein gewisses Restrisiko bleibt, dass nicht kalkulierbar ist. Weniger in einer Schwachstelle von Tor selbst, als durch die Unachtsamkeit des Anwenders.

Vermutlich im Zusammenhang mit dem NSA-Überwachungsskandal steig die verfügbare Anzahl von Tor-Knoten in den letzten Monaten rasant an. Laut Statistiken stehen derzeit knapp 4200 Tor-Knoten zur Verfügung, die ein durchschnittliches Datenvolumen von 1,2 GByte pro Sekunde verarbeiten.

6.1 Das Konzept

Tor basiert auf einem verteilten Anonymisierungsnetzwerk mit dynamischer Routenwahl über mehrere Stationen. Diese Technik wird Onion Routing genannt. Webinhalte werden ständig über wechselnde Routen geleitet und zwischen den Knotenpunkten verschlüsselt. Dieses Konzept sorgt für einen hohen Schutz der Identität ihrer Nutzer. Der Begriff Onion bzw. Zwiebel leitet sich vom verwendeten Verschlüsselungsschema ab:

In Abhängigkeit der Anzahl von Tor-Knotenpunkten werden die Informationen vor der Datenübertragung mehrfach vom Client verschlüsselt. Generell besteht eine Verbindungsstrecke im Tor-Netzwerk aus drei solcher Knotenpunkte und wird als Tor-Route bezeichnet. Innerhalb dieser Knoten findet anschließend eine Entschlüsselung der Informationen statt. Diese stufenweise Ver- und Entschlüsselung hat die Form einer Zwiebel und wird daher als Onion Routing bezeichnet. Somit ist gewährleistet, dass lediglich der letzte Knoten in der Kette die zu sendenden Daten im Klartext lesen kann. Das Verfahren macht ein Mitlesen und Tracking der Daten von seinem Ursprung zum Ziel beinahe unmöglich. Selbst der US-Geheimdienst NSA arbeitet mit aufwendigen Methoden daran, die Identität von Nutzern im Tor-Netzwerk zu ermitteln. Wie aus einer geheimen Präsentation der NSA hervorgeht, konnten dabei zwar Erfolge erzielt werden, allerdings konnte die Sicherheitsarchitektur von Tor selbst nicht ausgehebelt werden.

6.2 Wie funktioniert das?

Zunächst sollte sich jeder Interessierte das Bundle, bestehend aus Browser und Plugins, direkt von der Tor-Webseite herunterladen. Neben dem Bundle existieren ebenfalls Plugins für Firefox und weitere Browser, die eine Tor-Funktionalität bereitstellen. Da die Plugins beim Bundle bereits auf die Zusammenarbeit mit Tor abgestimmt sind, ist diese Variante in jedem Fall vorzuziehen. Unterstützt wird Windows, Mac OS X und Linux. Nach einer Installation und Start von Tor geschieht Folgendes:

Zunächst lädt Tor eine Liste mit verfügbaren Tor-Servern herunter. Diese Liste ist mit einer digitalen Signatur versehen, die nach Empfang verifiziert wird, um mögliche Manipulationen auszuschließen.

Nach Empfang der Liste wird eine zufällige Route bestimmt, die aus drei Knoten (Tor-Server) besteht.

Anschließend baut der Browser zum ersten Tor-Server eine verschlüsselte Verbindung auf. Der Vorgang wird dann noch zweimal wiederholt bis eine Route aus drei Tor-Servern besteht, über die der Datenverkehr dann geroutet wird.

Nach Verbindungsaufbau findet der Datenaustausch über die zufällig gewählte Route statt. Der letzte Server in der Kommunikationskette wird Exit-Node bezeichnet. Dieser kennt das eigentliche Ziel und auch die übertragenen Daten, kennt allerdings nicht den Ursprung der Anfrage sondern lediglich seinen Tor-Vorgänger.

Wiederholung: Etwa alle 10 Minuten wird der Vorgang des Verbindungsaufbaus wiederholt und zufällig eine neue Route bestimmt.

proxyAbbildung 11: Tor

6.3 Schwachpunkt Exit-Node

Innerhalb des Tor-Netzwerkes werden Daten immer verschlüsselt übertragen. Lediglich der Exit-Node (Ende der Kette) kann nach dem kompletten Entschlüsselungsprozess in die Pakete hineinschauen. Andernfalls wäre eine Kommunikation mit dem gewünschten Ziel nicht möglich. Ein »Bad Exit Node« wäre damit theoretisch in der Lage, Anmeldedaten oder andere Informationen aus der Kommunikation mitzuschneiden. Daher ist es prinzipiell wichtig über eine SSL-Verbindung bzw. eine Verschlüsselung mit dem gewünschten Ziel zu kommunizieren.

Um sich vor solch einem Szenario zu schützen bietet Tor eine feste Konfiguration der Exit-Nodes an. Bei Bestimmung einer Route wird der Exit-Node dann nicht mehr zufällig aus einem großen Pool bestimmt, sondern auf vertrauenswürdige Endpunkte reduziert. Wieder das Wort »Vertrauen« - wie lassen sich vertrauenswürdige Exit-Nodes ausfindig machen? Im Prinzip muss jeder selbst entscheiden wem er gerne vertrauen möchte. Hier ein Vorschlag:

Swiss Privacy Foundation

digitalcourage e.V. (ehemals FoeBuD e.V.)

Chaos Computer Club

Über die Konfigurationsdatei torcc kann ein gewünschter Node dann hinzugefügt werden.

StrictNodes 1
ExitNodes $CA1CF70F4E6AF9172E6E743AC5F1E918FFE2B476
ExitNodes $944224E9413705EEAFCBAC98BF57C475EB1960C5
ExitNodes $1041213B53CCF586093BB65D9CC4BC0B9656EF17…

StrictNodes mit dem Wert 1 signalisiert Tor, ausschließlich Exit-Nodes zu verwenden, die unter ExitNodes aufgelistet sind. Eine Kombination aus Dollarzeichen und Zahl repräsentieren den Fingerprint eines Exit-Nodes. Erhältlich sind die Fingerprints direkt auf der Webseite des Betreibers.

6.4 Vor und Nachteile

Auch Tor hat es nicht leicht im Kampf gegen die Zensoren. Einstiegspunkte ins Tor-Netzwerk werden von China mittlerweile erkannt und gezielt blockiert (China verstärkt Tor-Blockade). Neben den Tor-Knoten existiert allerdings noch eine weitere Knotenvariante, die nicht offiziell in Listen geführt wird und daher schwieriger von Zensoren blockiert werden können. Sogenannte Tor-Bridges werden nur sehr zurückhaltend publiziert. Über eine Webseite oder per E-Mail kann man solche Knoten auf Anfrage erhalten. Diese Technik macht es für Zensoren nahezu unmöglich Tor dauerhaft zu blockieren - wechselnde oder nicht offizielle IP-Adressen sind nunmal schlecht zu sperren. Aufgrund seiner technischen Konzeption bietet Tor ein hohes Maß an Anonymität, die allerdings durch Benutzerfehler schnell eingeschränkt werden kann. Tor verschlüsselt lediglich das Routing, nicht aber die Anfrage des Exit-Nodes an das gewünschte Ziel. Daher ist eine konsequente Nutzung von verschlüsselter Kommunikation notwendig. Des Weiteren kann ein Anwender nicht nur Fehler bei der Nutzung machen, sondern auch bei der Konfiguration seines Browsers. Es ist daher empfehlenswert, ausschließlich die zur Verfügung gestellten Bundles zu verwenden. Dadurch werden Skripte auf Webseiten unterbunden oder Cookies generell deaktiviert - ansonsten könnte der Nutzer wiederum leicht deanonymisiert werden. Steigern lässt sich dies noch durch die Verwendung eines Tor Betriebssystems (zb. Tails), welches anschließend über CD oder einen USB-Stick gebootet wird.

7. JonDonym

JonDonym oder auch JonDo gennant wird von der JonDos GmbH weiterentwickelt und vertrieben. Das Projekt entstand in einem Forschungsprojekt der TU Dresden, sowie Universität Regensburg und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein. Das Ziel war die Entwicklung eines Web-Anonymisierers - früher noch bekannt unter dem Namen JAP (Java Anon Proxy). Im Jahr 2006 lieft die staatliche Förderung für das Projekt aus, weshalb im Anschluss die JonDos GmbH gegründet wurde. Das komplette Projekt steht unter OpenSource zur Verfügung und wird unter der BSD-Lizenz verbreitet. Einzig die Serverumgebung der Bezahldienste basiert auf ClosedSource.

7.1 Das Konzept

Ähnlich wie Tor basiert das Konzept von JonDonym auf einer Verkettung mehrerer Server, sogenannten Mixkaskaden. Über diese Mixe werden die Anfragen von Nutzern gesammelt, vermischt und anschließend weitergeleitet. Eine Mixkaskade besteht aus zwei oder drei Mixen. Im Gegensatz zu Tor bestimmt der Nutzer die Route selbst über den seine Pakete weitergeleitet werden. Eine Mehrfachverschlüsselung des Datenverkehrs innerhalb der Mixkaskade verhindert die Abhörung. Im gesamten Netzwerk existieren nur wenige Mixkaskaden, die sich viele JonDonym Nutzer teilen. Selbst wenn der Angreifer den Datenverkehr abhört, ist es Aufgrund der Verschlüsselung und der Vermischung aller Anfragen nahezu unmöglich einzelne Nutzer eindeutig zu identifizieren. Des Weiteren ist der Zielserver nicht in der Lage festzustellen, von wem die Anfrage ursprünglich stammt. JonDonym erreicht damit ein hohes Maß an Anonymität.

JonDonym ist hauptsächlich als Anonymisierer bekannt, bietet allerdings auch eine Zensurumgehungsfunktion. Falls die Verbindung zu den Mixkaskaden durch Zugangssperren verhindert wird, dient diese Funktion als eine Art Vermittler. Dazu ist allerdings die Unterstützung von JonDonym Nutzern notwendig, welche die JonDonym-Infrastruktur einwandfrei erreichen können. Falls jemand die Funktion in seinem JonDo Client aktiviert, bietet er anderen Nutzern die Möglichkeit die JonDo-Infrastruktur zu nutzen, auch wenn diese für ihn direkt nicht erreichbar ist. Dazu leitet der JonDo-Client eingehende Verbindungen als Forwarding Server an die Mixkaskaden weiter.

7.2 Wie funktioniert das?

Auf der Webseite von JonDonym werden im Download Bereich verschiedene Varianten angeboten. Für den Einsteig genügt die Kombination aus JonDo-Client und JonDoFox. Hinter JonDoFox verbirgt sich ein für Firefox optimiertes Browser-Profil, was dessen Installation voraussetzt. Nach einer Installation und Start des JonDo-Clients und Firefox (JonDoFox Profil) geschieht Folgendes:

Durch die Verwendung des JonDoFox-Profils werden alle Webanfragen lokal an den JonDo-Client übergeben, welcher sich um die Kommunikation mit den Mixen kümmert. Auf die Route kann der Nutzer über den JonDo-Client Einfluss nehmen.

Bevor die Kommunikation über die gewünschte Route stattfindet, tauscht der Client mit jedem Mix einen geheimen Schlüssel aus. Diese geheimen Schlüssel werden im Anschluss genutzt, um die zu sendenden Daten mehrfach zu verschlüsseln.

Nach dem Schlüsselaustausch beginnt der Client mit der Mehrfachverschlüsselung der Daten und schickt diese an den ersten Mix der Kaskade. Dort werden die Daten mit dem geheim ausgehandelten Schlüssel wiederum entschlüsselt und an den nächsten Mix weitergereicht. Jeder Mix entschlüsselt also die Daten mit dem jeweils ihm bekannten geheimen Schlüssel.

Dieser Entschlüsselungsprozess endet am letzten Mix und die Daten sind dann wieder in ihrer ursprünglichen Form sichtbar - sozusagen wie vom Browser abgesendet. Der letzte Mix in der Reihe schickt die Anfrage dann an das eigentliche Ziel.

Die Antwort vom Webserver unterliegt dem selben Mechanismus, der nur umgekerht angewandt wird. Jeder Mix verschlüsselt die ankommenden Daten wiederum mit dem geheim ausgehandelten Schlüssel und leitet diese weiter bis sie den JonDo-Client erreichen.

Nach Erhalt der Antwort entschlüsselt der JonDo-Client die Daten und löst somit die Mehrfachverschlüsselung wieder auf. Das Ergebnis leitet er an den Browser weiter, wo die Antwort anschließend dargestellt wird.

Um zu prüfen ob alles korrekt funktioniert, stellt JonDo einen Service bereit.

proxyAbbildung 12: JonDonym

7.3 Schwachpunkt Mixkaskaden?

Aufgrund seiner technischen Konzeption bietet auch JonDonym ein hohes Maß an Anonymität. Diese ist allerdings abhängig von folgenden Faktoren:

Der Datenverkehr über den JonDo-Client wird über die Mixkaskaden geleitet. Die Anzahl der Benutzer pro Mixkaskade hat dabei Einfluss auf die Anonymität. Umso mehr Nutzer sich eine Mixkaskade teilen, desto schwieriger gestaltet sich die Zuordnung einer Anfragen zur jeweiligen Quell-IP Adresse.

Bei der Nutzung einer Mixkaskade muss mindestens einem Betreiber vertraut werden. Falls diese untereinander zusammenarbeiten ist es theoretisch möglich, die Quell IP-Adresse des Nutzers und die Ziel IP-Adresse zuzuordnen. Damit wären jegliche Nutzeraktionen deanonymisiert.

Wie auch bei Tor ist der letzte Mix prinzipiell in der Lage unverschlüsselte Login-Daten mitzuschneiden.

Um Missbrauch der Mixkaskaden zu verhindern, unterzieht JonDonym jeden Betreiber einer Identitäts- und Seriösitätsprüfung. Dazu zählen laut eigenen Angaben meist auch persönliche Treffen und diverse Verifikationsprozesse.

7.4 Vor und Nachteile

Durch seine Infrastruktur und das durchdachte Konzept bietet JonDonym die Möglichkeit Internet-Zensur zu umgehen. Gleichzeitig wird der Nutzer wie bei Tor in doppelter Hinsicht geschützt. Zum einen verhindert die konsequente Verschlüsselung das Ausspähen von Daten und zum anderen erfährt der Zielserver nicht die Quell IP-Adresse des Nutzers. Wie auch bei Tor ist die Anonymität allerdings nicht grundsätzlich gewährleistet, sondern immer abhängig von einer sachgemäßen Anwendung der Software und seiner Komponenten. Wenn Sie eine Fehlkonfiguration vermeiden möchte, sei Ihnen nochmals die JonDo Live-CD / DVD empfohlen. Im Gegensatz zu Tor bietet JonDonym allerdings einen klaren Vorteil, nämlich die Geschwindigkeit. Es kann entweder kostenfrei oder gegen Bezahlung benutzt werden. Der Premiumdienst unterscheidet sich vor allem hinsichtlich der Geschwindigkeit und bietet durch die Verwendung von drei Mixen eine erhöhte Anonymität.

8. Weitere Lösungen

Neben den hier vorgestellten Varianten (Tor, JonDonym) existieren noch weitere Projekte die sich gegen eine Internet-Zensur richten. Einige der Lösungen sind bereits einsatzfähig und werden aktiv weiterentwickelt - andere wiederum veraltet und wurden sogar als Hokuspokus entlarvt. Jens Kubieziel hat in seinem Vortrag auf dem 29. Chaos Computer Club Congress Ende 2012 diverse Ansätze vorgestellt. In einem Blog Beitrag hat er eine Matrix veröffentlicht, die 30 Lösungen für eine Zensurumgehung darstellt. Wer neben Tor und JonDonym noch nach weiteren Lösungen sucht, dem sei ein Blick auf folgende Projekte empfohlen:

Telex

Psiphon

Flash Proxies

Vor allem Psiphon in der Version 3 scheint sich äußert positiv zu entwickeln.

9. Warnung und Einschränkung

Tor und auch JonDonym eignen sich hervorragend für die Umgehung von Internet-Zensur. Auch gerade im Hinblick auf das hohe Maß an Anonymität. Über eines sollten Sie sich dennoch im Klaren sein: Die bloße Verwendung von Tor oder JonDonym garantiert nicht zwangsläufig die Anonymität von Nutzern. Um einer Deanonymisierung möglichst erfolgreich zu entgehen, sind mindestens folgende Grundregeln zu beachten:

Persönliche Daten auf dem Rechner sind entsprechend zu verschlüsseln. Weitaus vernünftiger ist die Verwendung eines getrennten Systems, das ausschließlich zum Zweck des anonymen Surfens eingesetzt wird und keine privaten Daten enthält. Als Betriebssystem eignet sich Tails (Tor) oder die JonDo Live-CD.

Alle Komponenten zur Internetnutzung sollten möglichst so konfiguriert und bedient werden, dass unbefugte Zugriffe oder Angriffe verhindert bzw. stark erschwert werden. Zu den Komponenten zählt unter anderem das Betriebssystem, wie auch der Router oder eingesetzte Software.

Generell ist bei der Kommunikation darauf zu achten eine verschlüsselte Verbindungen zum Webserver / Gegenstelle aufzubauen. Gerade dann, wenn ein Anmeldevorgang mit Benutzername und Passwort stattfindet.

Realnamen oder Angaben die Rückschlüsse auf die eigene Identität zulassen sind in jedem Fall zu vermeiden.

Auch eine Einhaltung dieser Grundregeln garantiert keine Anonymität - allerdings wird es schwierig die Identität letztendlich aufzudecken. Die vollständige Anonymität im Internet ist letztendlich nur durch ideale Bedingungen erreichbar.

10. Fazit

Die Totalüberwachung des Netzes ist in einigen Staaten leider bittere Realität. Projekte wie Tor und JonDonym helfen den Nutzern diese Internet-Zensur zu umgehen und erleichtern den Zugriff auf Informationen, die der Staat vor den Bürgern verstecken möchte. Im Vordergrund steht dabei vor allem die Machterhaltung des politischen Regimes. Letztendlich ist es ein Katz-und-Maus-Spiel und vor allem für politische Gegner ein gefährlicher Drahtseilakt. Wer deanonymisiert wird hat mit harten Strafen zu rechnen - sogar mit dem Tod. Absolute Anonymität bzw. Sicherheit kann vermutlich niemals garantiert werden. Die korrekte Anwendung von Zensurumgehungssoftware in Kombination mit verschiedenen Maßnahmen und Disziplin kann es den Zensoren allerdings extrem erschweren, einzelne Identitäten aufzudecken.

Abschlussworte

Ich hoffe das eBook »Internet-Zensur: Ein modernes Katz-und-Maus-Spiel« hat Ihnen einen Einblick in das Thema Internet-Zensur verschafft. Zum Abschluss möchte ich noch die Definition von Artikel 19 der UN-Menschenrechtscharta anfügen:

»Jeder hat das Recht auf Meinungsfreiheit und freie Meinungsäußerung; dieses Recht schließt die Freiheit ein, Meinungen ungehindert anzuhängen sowie über Medien jeder Art und ohne Rücksicht auf Grenzen Informationen und Gedankengut zu suchen, zu empfangen und zu verbreiten.«

Über Feedback, Anregungen und Ergänzungen würde ich mich freuen. Bei Fragen dürfen Sie mich gerne kontaktieren.

infoAuf dem Kuketz IT-Security Blog finden Sie weitere Informationen zu den Themen IT-Sicherheit, Datenschutz und neue Technologien.

Kontakt

Mike Kuketz
Kuketz IT-Security

E-Mail: webmaster@kuketz-blog.de
Internet: www.kuketz-blog.de
Impressum: www.kuketz-blog.de/impressum/

Hinweise, Rechtliches und Impressum

Herausgegeben von

Mike Kuketz
Kuketz IT-Security

E-Mail: webmaster@kuketz-blog.de
Internet: www.kuketz-blog.de
Impressum: www.kuketz-blog.de/impressum/

Rechtliche Informationen

Wir sind um die Richtigkeit und Aktualität der in diesem eBook bereitgestellten Informationen bemüht. Dennoch können Fehler und Unklarheiten nicht vollständig ausgeschlossen werden. Wir übernehmen deshalb kein Gewähr für die Aktualität, Richtigkeit, Vollständigkeit oder Qualität der bereitgestellten Informationen. Für Schäden materieller oder immaterieller Art, die durch die Nutzung oder Nichtnutzung der dargebotenen Informationen bzw. durch die Nutzung fehlerhafter und unvollständiger Informationen unmittelbar oder mittelbar verursacht werden, haften wir nicht, sofern uns nicht nachweislich vorsätzliches oder grob fahrlässiges Verschulden zur Last fällt. Für Hinweise auf Fehler oder Unklarheiten sind wir dankbar, um sie in künftigen Ausgaben zu beseitigen. Schreiben Sie uns an webmaster@kuketz-blog.de mit dem Betreff: »Internet-Zensur: Ein modernes Katz-und-Maus-Spiel«.

Texte und Grafiken dieses eBooks sind urheberrechtlich geschützt. Grundsätzlich ist eine Nutzung ohne Genehmigung des jeweiligen Urhebers oder Rechteinhabers nicht gestattet.

Amazon, Kindle und andere Markennamen, Warenzeichen und eingetragenen Warenzeichen, die in diesem eBook verwendet werden, sind Eigentum ihrer rechtmäßigen Eigentümer. Sie dienen hier nur der Beschreibung bzw. der Identifikation der jeweiligen Firmen, Produkte und Dienstleistungen. Dieses eBook ist eine Veröffentlichung von Kuketz IT-Security.

© 2013 - 2015 Kuketz IT-Security, Mike Kuketz

Quellenangaben für die verwendeten Bilder und Grafiken

Cover: #38067586 - Mind Chip © agsandrew (www.fotolia.com)

Versionshistorie

Version 1.0: Initiale Fassung
Version 1.01: Hinzufügen der Freedom House Informationen
Version 1.02: Anpassung der Link-Farbe (Amazon Paperwhite)
Version 1.03: StrictNodes Anpassung in Kaptitel 3 - Ziffer 6.3
Version 1.04: EPUB-Format Optimierung, Anpassung Autoren Informationen, Wechsel zu Calibre Editor
Version 1.05: CSS-Optimierungen (Link-Farbe, Schriftarten, etc.), Einbindung der »Open Sans« Schriftart, Änderung der Struktur