Tor vs. Vpn -> Tor

[njeri123]

Moin zusammen

Ich finde im Netz unzählige Aussagen über die Anonymität bei TOR.
Bis dato dachte ich, dass bei Kompromittierungen von Relais das beste Mittel dagegen eine SSL Verschlüsselung via VPN ist.

Als ich mich jedoch mit Security-OS's befasst habe wie Tails und Whonix, fand ich sehr unterschiedliche Aussagen.

Tails z.B. spricht sich eher dagegen aus:

What we don't want

Some users have requested support for VPNs in Tails to "improve" Tor's anonymity. You know, more hops must be better, right?. That's just incorrect -- if anything VPNs make the situation worse since they basically introduce either a permanent entry guard (if the VPN is set up before Tor) or a permanent exit node (if the VPN is accessed through Tor).

Similarly, we don't want to support VPNs as a replacement for Tor since that provides terrible anonymity and hence isn't compatible with Tails' goal.
Quelle:https://tails.boum.org/blueprint/vpn_support/

Auf der TOR Seite selbst finden sich Aussagen die eher dafür sprechen:

You -> VPN/SSH -> Tor

You can route Tor through VPN/SSH services. That might prevent your ISP etc from seeing that you're using Tor (VPN/SSH Fingerprinting below). On one hand, VPNs are more popular than Tor, so you won't stand out as much, on the other hand, in some countries replacing an encrypted Tor connection with an encrypted VPN or SSH connection, will be suspicious as well. SSH tunnels are not so popular.

Once the VPN client has connected, the VPN tunnel will be the machine's default Internet connection, and TBB (Tor Browser Bundle) (or Tor client) will route through it.

This can be a fine idea, assuming your VPN/SSH provider's network is in fact sufficiently safer than your own network.

Another advantage here is that it prevents Tor from seeing who you are behind the VPN/SSH. So if somebody does manage to break Tor and learn the IP address your traffic is coming from, but your VPN/SSH was actually following through on their promises (they won't watch, they won't remember, and they will somehow magically make it so nobody else is watching either), then you'll be better off.
Quelle:https://trac.torproject.org/projects/tor/wiki/doc/TorPlusVPN

Whonix hält sich in ihrer Aussage diesbezüglich zurück:

Combining Tunnels with Tor

It is possible to combine Tor with tunnels like VPNs, proxies and SSH. Your traffic can be sent through both Tor and the second tunnel, in either order. However, this is an advanced topic and appropriate only for special cases. Adding a second connection does not automatically add security, but will add significant complexity. Eventual positive or negative effects on anonymity are being controversy discussed. The Whonix project stays technologically neutral in that discussion. Improper combination of Tor and another service may decrease your security and anonymity. Such a setup is difficult, and for advanced users only, for almost all users of Whonix, using Tor alone – without a VPN or proxy – is the right choice.
Quelle:https://www.whonix.org/wiki/Tunnels/Introduction

Im Netz finden sich sehr unsachliche, schon fast religiöse Ansichten zu diesem Thema. Deswegen verzichte ich gerne auf Verschwörungstheorien, Gefühlsmässigkeiten und nicht weiterbringende Fragen wie "Wozu brauchst du das?" usw. usf. in den Antworten. Dass es keine 100%ige Anonymität oder Sicherheit gibt ist mir übrigens auch bewusst. Es geht lediglich um eine Maximierung der Anonymität.

Gerne aber würde ich Argumente die dafür oder dagegen sprechen hören die sich einer technischen Grundlage bedienen.

LG
njeri123

 

[gabbercopter]

tor ist meines erachtens nach nach wie vor vollkommen sicher... das die usa behauptet sie hätten es geschafft voll zugriff zu erhalten halte ich für eine lüge damit weniger leute den clienten nutzen. das onion prinzip ist schon rein technisch kaum zu knacken da alle pakete auf gespalten und über unzähle weitere pcs versendet werden..dh selbst wenn die spione den ein oder anderen pc mit tor am laufen haben werden sie nie ganze pakete abgreifen können

 

[chripa]

VPN ist nicht anonym, nur sicher.
TOR (vielleicht) anonym aber hat nix mit Sicherheit am Hut.

 

[eigs]

Gefühlsmässigkeiten und nicht weiterbringende Fragen wie "Wozu brauchst du das?"

Soll ich einen Porsche 911 oder eine VW Pritsche kaufen? Auf nicht weiterbringende Fragen wie "Wozu brauchst du das?" kann ich gerne verzichten.

 

[engine]

Tails ist ein freies Projekt und soll nicht über womöglich kontrollierende Server eines unbekannten VPN-Anbieters laufen.

 

[njeri123]

tor ist meines erachtens nach nach wie vor vollkommen sicher... das die usa behauptet sie hätten es geschafft voll zugriff zu erhalten halte ich für eine lüge damit weniger leute den clienten nutzen. das onion prinzip ist schon rein technisch kaum zu knacken da alle pakete auf gespalten und über unzähle weitere pcs versendet werden..dh selbst wenn die spione den ein oder anderen pc mit tor am laufen haben werden sie nie ganze pakete abgreifen können

Warum ist es rein technisch nicht knackbar? So wie ich TOR verstanden habe, geht eine sog. Sitzung über mehrere Tor Exit-Nodes die die Verbindung weiterleiten. Wenn also einer dieser Notes kompromittiert wurde, könnte man bei einer unverschlüsselten Verbindung den Datenverkehr abhören, welcher evtl. Angaben über die Quelle geben könnte. Ausserdem wurden ja schon Leute gefasst die illegale Sachen gemacht haben. Siehe Link: https://www.nzz.ch/digital/the-onion-router-carnegie-mellon-university-half-fbi-tor-nutzer-auszuspionieren-ld.5692

VPN ist nicht anonym, nur sicher.
TOR (vielleicht) anonym aber hat nix mit Sicherheit am Hut.

Die Frage ist ja, ist eine Kombinierung bzw. ein VPN vor einem TOR zu setzen sinnvoll oder vielleicht sogar kontraproduktiv?
Mit "sicher" ist natürlich im diesem Kontext Anonymität gemeint und weniger Virenbefall etc.

Tails ist ein freies Projekt und soll nicht über womöglich kontrollierende Server eines unbekannten VPN-Anbieters laufen.

Warum soll es das nicht?

Dass sich auch Leute melden die nichts dazu beitragen habe ich schon erwartet, werden aber nicht weiter von mir beachtet oder kommentiert.

 

[chripa]

"Die Frage ist ja, ist eine Kombinierung bzw. ein VPN vor einem TOR zu setzen sinnvoll oder vielleicht sogar kontraproduktiv?
Mit "sicher" ist natürlich im diesem Kontext Anonymität gemeint und weniger Virenbefall etc."...

Bei VPN Verbindungen können die "Endpunkte" relativ leicht ausgeforscht werden, nur die Nutzdaten können nicht (einfach) mitgelesen werden.
Bei TOR wird der Weg des Client zum Server verschleiert. Die Daten selbst sind aber easy mitlesbar.
Eine Kombination sinnlos. Die VPN Endpunkte sind dann klar und der Weg zwischen Client und Server irrelevant. Also nix mit Anonym.

 

[engine]

Warum soll es das nicht?

Mit einem freien DNS-Server kannst du deinen ISP umgehen, deinem VPN-Betreiber musst du vertrauen, denn der hat alle deine Daten, dem freien DNS-Server-Betreiber aber genau so.

Im Nachfolgenden Bild wäre der VPN-Betreiber direkt nach dem ISP oben und nach dem Verbindungsaufbau wäre der VPN-Server an der Stelle des ISP.
Was würde sich im folgenden ändern? Nur die LOCATION oder? (im Bild ohne https). Mit https könnte man auch die Daten nicht lesen.
Also ist ein VPN im schlechten Fall ein Unsicherheitsfaktor mehr, oder sehe ich das anders?
Wenn der VPN-Betreiber aber vertrauenswürdig ist und im sicheren Ausland sitzt, dann spricht eigentlich nichts gegen ein VPN vor TOR.

https://www.eff.org/de/pages/tor-and-https
TOR ohne HTTPS:

 

[DEFCON2]

Eine gute Frage. Meinem Verständnis nach macht ein VPN vor allem Sinn, wenn du dem VPN Anbieter mehr vertraust, als dem Tor entry node (denn dieser sieht dann den Zugriff nur vom VPN und nicht direkt von deinem ISP) oder vor deinem ISP die Benutzung von Tor verbergen möchtest.

Im Zweifelsfall würde ich dem zitierten Beitrag des Tor Projekts vertrauen. Für die normale Anonymisierung gegenüber Tracking von Werbeanbietern etc. reichen VPN und Tor einzeln. Für die NSA ist imho beides nicht genug, denn die greifen direkt den Endpoint an, wie man unlängst gelesen hat z.B. durch den Einsatz von eigener Firmware auf deinem Router.

 

[njeri123]

Bei VPN Verbindungen können die "Endpunkte" relativ leicht ausgeforscht werden, nur die Nutzdaten können nicht (einfach) mitgelesen werden.
Bei TOR wird der Weg des Client zum Server verschleiert. Die Daten selbst sind aber easy mitlesbar.
Eine Kombination sinnlos. Die VPN Endpunkte sind dann klar und der Weg zwischen Client und Server irrelevant. Also nix mit Anonym.

Wenn ich dich richtig verstehe willst du sagen, dass ein VPN aus dem Grund sinnlos wäre, da der Datenverkehr nur von meinem Client bis zum VPN Verschlüsselt wäre und dann vom VPN bis zum Ziel nicht?

Mit einem freien DNS-Server kannst du deinen ISP umgehen, deinem VPN-Betreiber musst du vertrauen, denn der hat alle deine Daten, dem freien DNS-Server-Betreiber aber genau so.

Im Nachfolgenden Bild wäre der VPN-Betreiber direkt nach dem ISP oben und nach dem Verbindungsaufbau wäre der VPN-Server an der Stelle des ISP.
Was würde sich im folgenden ändern? Nur die LOCATION oder? (im Bild ohne https). Mit https könnte man auch die Daten nicht lesen.
Also ist ein VPN im schlechten Fall ein Unsicherheitsfaktor mehr, oder sehe ich das anders?
Wenn der VPN-Betreiber aber vertrauenswürdig ist und im sicheren Ausland sitzt, dann spricht eigentlich nichts gegen ein VPN vor TOR.

https://www.eff.org/de/pages/tor-and-https
TOR ohne HTTPS:
Anhang anzeigen 645091

Nehmen wir mal an das VPN ist sicher. Bei einer Kompromittierung würde der Angreifer ja nur die IP des VPN's sehen und somit ein VPN die Rückverfolgung noch schwieriger machen?

 

[engine]

Ja, wenn der VPN-Betreiber in jeder Beziehung vertrauenswürdig ist.
Das heißt
- kein Loggen deiner Aktivität vom VPN-Betreibers
- anonyme Zahlung
- und du musst natürlich auch alles beachten, zum eigenen Verhalten gibts genug im Internet: https://www.psw-group.de/blog/snowden-empfehlungen-so-agieren-sie-sicherer/3714 als erste Infos.

Tails möchte nichts weiteres anonymisierendes zwischen Client und einem TOR-Relay haben, daher wahrscheinlich die etwas ablehnende Haltung gegenüber VPN, denn Tor verschleiert ja schon den physischen Aufenthaltsort.

Ich selber nutze ab und zu Tails immer ohne VPN.
Und nutze einen freien DNS-Server, also nicht den meines ISP; ob mein ISP hier erkennt, ob ich TOR nutze weiß ich leider immer noch nicht so genau, ich hoffe nicht. Wenn einer genaueres hat, bitte schreiben!
Mit VPN würde er evtl. nur den VPN-Aufbau mit bekommen, den zu einem TOR-Relay dann nicht mehr, wenn es keinen DNS-Leak gibt.
Mit https://ipleak.net/ würde ich mich auch beschäftigen.

Nachtrag:
oben schrieb ich, ich könne meinen ISP mit einem freien DNS-Server umgehen, ja, das hoffe ich vielmehr.

 

[_killy_]

Ich werf mal ein -> der BND behauptet selbst, schon seit 2008 das TOR Netzwerk geknackt zu haben.
Es reicht ja aus, einfach alle Knoten zu überwachen und schon ist TOR eben nutzlos. Wenn der BND mit anderen Nachrichtendiensten a la NSA im Austausch steht, kann ich mir gut vorstellen dass es nicht nur "Fake News" sind.

 

[engine]

Wenn ich dich richtig verstehe willst du sagen, dass ein VPN aus dem Grund sinnlos wäre, da der Datenverkehr nur von meinem Client bis zum VPN Verschlüsselt wäre und dann vom VPN bis zum Ziel nicht?
...

Das sieht so aus:


https://www.heise.de/ct/ausgabe/2013-20-Gefahren-der-Tor-Nutzung-im-Alltag-2293262.html

Du kannst den ISP mittels VPN ausschalten und der weiß dann nicht mal, dass du TOR benutzt, wenn es keinen IP-Leak gibt, er könnte aber wissen, dass du VPN benutzt.
Der VPN-Betreiber wäre hier vor dem TOR Netzwerk, vor dem Onion-Symbol, also wäre der Browser-Verkehr hier doppelt verschlüsselt.

 

[DEFCON2]

Darum ist das Netzwerk darauf angewiesen, dass unbefangene Nutzer entry und exit Nodes bereitstellen. Dazu sind diese leider gut beraten, dies nicht in Deutschland zu tun.

 

[engine]

Und darauf angewiesen, dass sehr viele neugierige und harmlose Benutzer den TOR-Browser benutzen.
Je mehr Datenverkehr (eigentlich dann unbedeutender "Müll"), desto mehr sind diejenigen geschützt, die das TOR-Netzwerk wirklich brauchen.

Zu meiner Frage oben, was der ISP alles erkennen kann, habe ich doch etwas gefunden, bitte selber übersetzen:
weiter unten:
Westley Julio, CTO at Invinovo Inc.
https://www.quora.com/Does-my-ISP-know-if-I-use-a-VPN

... The VPN will hide the data, but doesn’t hide the statistics ...

Mein ISP sieht, dass ich einen anderen DNS-Server verwende,
und sieht die angefragten IPs, aus dem Datenvolumen und sonstigen mir unbekannten Maßnahmen kann er wohl die richtigen Schlüsse ziehen, wenn es um eine Straftat gehen sollte.

Anonym sein zu wollen von Zuhause aus über die eigen Leitung ist sowieso die schlechteste Idee.

Ein paar Seiten überlisten, um einen Stream zu schauen oder sich irgendwo mit seiner eigentlich gesperrten IP anzumelden und so Scherze geht das, aber nicht mehr.

 

[DatAres]

Ich sag mal: Vom Aufwand ist es einfacher, einen VPN Server zu knacken, als 3 unabhängige Nodes.

 

[njeri123]

Ich selber nutze ab und zu Tails immer ohne VPN.
Und nutze einen freien DNS-Server, also nicht den meines ISP; ob mein ISP hier erkennt, ob ich TOR nutze weiß ich leider immer noch nicht so genau, ich hoffe nicht. Wenn einer genaueres hat, bitte schreiben!
Mit VPN würde er evtl. nur den VPN-Aufbau mit bekommen, den zu einem TOR-Relay dann nicht mehr, wenn es keinen DNS-Leak gibt.
Mit https://ipleak.net/ würde ich mich auch beschäftigen.

Nachtrag:
oben schrieb ich, ich könne meinen ISP mit einem freien DNS-Server umgehen, ja, das hoffe ich vielmehr.

Also ich denke ich habe das was für dich. Dein ISP weiss sehr wohl, dass du TOR benutzt, da viele ISP's sogenanntes "passive DPI" (passive deep packet inspection) verwenden. Anhand der Paketgrösse und Verhalten können Sie erkennen, ob du eine Verbindung zu einem Entry Node hergestellt hast.

Falls du kein VPN benutzen willst/kannst, solltest du sog. "obfuscated bridge's" verwenden. Diese wurden ursprünglich für Länder entworfen, in denen eine Verbindung zu TOR unterbunden wird. Im Moment befindet sich das obfs Protokoll, welches die Verbindung verschleiert, auf Version 4. Obfs3 wurde z.B. geknackt. Obfs4 ist im Moment unknackbar. Ich würde sagen, "best practise" ist eine obfuscated bridge in Kombination mit einem VPN, da obfuscated bridge's einer aktiven deep packet inspection nicht mehr standhalten.

Ab diesem Zeitpunkt hat dich aber eine "höhere Gewalt" auf dem Radar.

In dieser Kombination weiss dann auch ein kompromittiertes TOR Netzwerk nicht, dass du VPN benutzt (somit ist eine Forderung der Datenausgabe des VPN Dienstes nicht möglich aufgrund der Unwissenheit), geschweige denn deinen Standort, da das TOR Netzwerk nur die obuscated bridge sieht. Auf der anderen Seite sieht das VPN nur, dass du eine Verbindung zu einer ganz gewöhnlichen IP hergestellt hast und dein ISP sieht nur die Verbindung zum VPN. Also wie der Name schon sagt, eine Brücke bei der keiner auf die andere Seite sieht. Selbst wenn das VPN unsicher wäre, hätte es nicht die Möglichkeit zu sehen wohin du dich verbindest und/oder Daten zu "lesen".

TOR Client -> VPN -> obfuscated bridge -> TOR -> Seite

Am besten wäre natürlich wenn du einen online VPS verwenden und darauf eine private obfuscated bridge einrichten würdest. Somit eliminierst du die Möglichkeit einer kompromittierten bridge.

Vom TOR Client bis hin zum Exit Node ist jedoch jede Verbindung verschlüsselt aus der Sicht des ISP's. Eine nicht durch SSL/TLS verschlüsselte Verbindung kann somit auch nur beim Verlassen des letzten Node's bis hin zur Seite selbst (oder auch vom ISP des Hoster's) mitgelesen werden.

 

[Bolko]

Die Telemetrie von Windows macht Tor unbrauchbar, weil Windows die eindeutige Rechner-ID mitsamt der IP verschickt und man dadurch identifizierbar wird. Da Microsoft mit der NSA zusammenarbeiten muss weiß die NSA, ob du im Darknet Waffen kaufst oder Killer anheuerst.
Wenn man Tor benutzten will, dann muss man den auf Linux laufen lassen, am besten Tails.

 

[chrigu]

mein wort zum montag: jede verschlüsselung kann innert nützlicher frist entschlüsselt werden, wenn man genug "ressourcen" hat.
"ressourcen" sind z.b. geheimdienste, bösewichte mit viel kohle oder kleine häcker die sich beweisen müssen...
deutschlich: jedes gerät, jede hardware, jede software, jede verbindungsart, jedes TOR, jeder encryptor hat lücken, man muss diese nur finden. manche werden an die grosse glocke gehängt "bugs mit updates stopfen", manche werden für viel geld an gewisse ressourcen verkauft und manche lücken werden erst noch entdeckt...

so gesehen ist jede bemühung dein tun zu verstecken, früher oder später sinnlos...

 

[Bolko]

Tor ist laut BND seit dem Jahr 2008 unwirksam:

https://netzpolitik.org/2017/geheim...tor-angegriffen-und-warnt-vor-dessen-nutzung/

https://netzpolitik.org/2017/secret...nymity-network-tor-and-advises-not-to-use-it/

https://www.heise.de/newsticker/mel...fuer-Anonymisierungsnetzwerk-Tor-3832156.html

Die Geheimdienste betreiben selber die Tor-Exit-Points.
Jeden anderen Tor-Exit-Point nehmen sie sehr genau unter die Lupe und überwachen ihn.
Wer als Privatperson einen Tor-Exit betreibt, der wird automatisch von Geheimdiensten überwacht.