De identiteit van gebruikers van het populaire anonimiseringsnetwerk Tor is eenvoudiger te achterhalen dan tot nu toe werd aangenomen, aldus onderzoekers Aaron Johnson, Rob Jansen en Paul Syverson van het onderzoekslaboratorium van de Amerikaanse marine en Chris Wacek en Micah Sherr van de Universiteit van Georgetown.

Tor is een netwerk waarmee internetgebruikers hun IP-adres kunnen verbergen en gecensureerde websites kunnen bezoeken. Het verkeer van Torgebruikers verloopt via verschillende Tor-nodes, een keten van computers die overal in de wereld kunnen staan. Door het gebruik van deze keten weet het eindpunt, de Tor-exitnode, niet wat het IP-adres van de gebruiker is, omdat de Tor-exitnode alleen het IP-adres van de vorige node ziet.

Onderzoek

De onderzoekers gaven op 29 juli van dit jaar een presentatie op het Max Planck Instituut genaamd "Traffic Correlation on Tor by Realistic Adversaries". De presentatie zal tijdens de ACM Conferentie over Computer en Communicatie Security (CCS) in november van dit jaar worden herhaald. Johnson publiceerde het onderzoeksdocument op zijn eigen website, waar het een maand lang onopgemerkt bleef, totdat iemand het op klokkenluidersite Cryptome plaatste en het door techwebsite The Register werd opgepikt.

Uit het onderzoek komt naar voren dat in bepaalde gevallen de identiteit van Torgebruikers met 95% zekerheid is vast te stellen. Hiervoor moet een aanvaller wel controle over bepaalde internetknooppunten of Autonome Systemen hebben. Daardoor is het mogelijk het verkeer tussen verschillende Tor-nodes te correleren en de identiteit van de gebruiker te achterhalen.

Toch is het ook mogelijk om met minder middelen Torgebruikers te identificeren. "Een tegenstander die dezelfde bandbreedte geeft als sommige vrijwilligers tegenwoordig doen, kan elke willekeurige gebruiker bij normaal Torgebruik binnen drie maanden met een kans van 50% en binnen zes maanden met een kans 80% de-anonimiseren", aldus de onderzoekers.

Met name het gebruik van BitTorrent op het Tornetwerk is volgens de onderzoekers zeer onveilig. Waar voor normaal internetgebruik drie maanden van monitoring nodig zijn, is het één maand uitwisselen van bestanden via Torrentnetwerken over Tor voldoende om de identiteit van de gebruiker te achterhalen.

Internetknooppunten

Als de aanvaller een internetknooppunt of Autonoom Systeem in handen heeft, bedraagt het percentage om sommige gebruikers te identificeren 95%. Hoe meer Autonome Systemen of internetknooppunten de aanvaller bezit, hoe sneller de identiteit van de gebruiker is te achterhalen. Volgens de onderzoekers is dit geen onwaarschijnlijk scenario, omdat veel grote organisaties meerdere Autonome Systemen of internetknooppunten bezitten.

De onderzoekers doen verschillende aanbevelingen waarmee Tor het netwerk en de gebruikers kan beschermen. Maar zolang die niet zijn geïmplementeerd moeten Torgebruikers "zorgvuldig afwegen" of het anonimiseringsnetwerk wel aan hun veiligheidsbehoeften voldoet.

Met name gebruikers die met hardnekkige tegenstanders te maken hebben die hun eigen relays beheren of netwerkverkeer monitoren, moeten rekening houden met het risico van verkeerscorrelatie, zo concluderen de onderzoekers.