PRISM? Nein, danke! Wer nicht will, der muss nicht: PRISM-BREAK.org

[klabaki]

Bei mir klappt Tor eigentlich ganz gut, wenn man sich mal dran gewöhnt hat, dass Webseiten ein bisschen langsamer laden.  Auch für XMPP Chats läuft es gut, für Voice/Video ist die Bandbreite natürlich zu klein.  (Und man muss damit leben, dass man von einigen Seiten geblockt wird.)

Geht mir auch so.
Bei mir zuhause ist der ISP sowieso der Flaschenhals, da macht die Verzögerung von Tor auch nicht mehr viel aus.

Aber dabei möchte ich euch auf das Invisible Internet Project hinweisen:

http://i2p2.de

Das könnte im Prinzip so etwas werden wie Tor, nur schneller.

Der Unterschied kommt daher, dass Tor verbindungsorientiert arbeitet - Tor setzt auf TCP auf.
Bei I2P hingegen findet das Zwiebel-Routing schon auf Paketebene statt, ist also hardware-näher und dadurch effizienter.

[mezzomix]

I2P hat einen anderen Schwerpunkt als TOR. TOR ist hauptsächlich ein Verbindungs-Mixer, während I2P im Kern ein Darknet ist, d.h. die Peers sind alles I2P Knoten. Leider hängt I2P sehr stark an Oracle-Java und darf deshalb nicht auf meine Server.

[klabaki]

I2P hat einen anderen Schwerpunkt als TOR. TOR ist hauptsächlich ein Verbindungs-Mixer, während I2P im Kern ein Darknet ist, d.h. die Peers sind alles I2P Knoten.

Stimmt.
Im Grunde finde ich diese Schwerpunktsetzung sogar besser, dadurch ergänzen sich Tor und I2P ganz gut.

Leider hängt I2P sehr stark an Oracle-Java und darf deshalb nicht auf meine Server.

Ich verwende I2P mit OpenJDK 6, und es funktioniert problemlos...
Sun/Oracle/Whatever© Java käme für mich auch nicht in Frage.

[mezzomix]

Leider hängt I2P sehr stark an Oracle-Java und darf deshalb nicht auf meine Server.

Ich verwende I2P mit OpenJDK 6, und es funktioniert problemlos...
Sun/Oracle/Whatever© Java käme für mich auch nicht in Frage.

OpenJDK gibt es für die meisten meiner Server nicht - zumindest nicht ohne grösseren Aufwand. gcj wäre eine Option, aber das Makefile war, als ich es letztes mal benutzt habe, nur mässig gepflegt und ich musste einiges patchen.

Aber die Idee ist gut. Mein (utopischer) Wunsch ist, dass die meisten privaten Dinge (Foren, Webseiten, Börsen, ...) im Darknet wie z.B. I2P laufen. Dann müssten sich die Betreiber auch keine Gedanken mehr um Abmahnungen und ein Impressum machen. Daneben würde das Netzwerk durch die grössere Anzahl an Peers gestärkt. Aber versuch mal den Normal DAU ins Boot zu bekommen: Da benutzt ja einer meine teueres Internet mit, da sind ja andere Leute auf meinem Rechner, ich habe nichts zu verbergen, ist mir zu kompliziert, bringt ja sowieso alles nichts, das benutzen nur Kinderficker und Terroristen, das ist sicher illegal ...

[bitcats]

Da benutzt ja einer mein teueres Internet mit, da sind ja andere Leute auf meinem Rechner, ich habe nichts zu verbergen, ist mir zu kompliziert, bringt ja sowieso alles nichts, das benutzen nur Kinderficker und Terroristen, das ist sicher illegal ...

LOL, genau so!

[klabaki]

Aber die Idee ist gut. Mein (utopischer) Wunsch ist, dass die meisten privaten Dinge (Foren, Webseiten, Börsen, ...) im Darknet wie z.B. I2P laufen. Dann müssten sich die Betreiber auch keine Gedanken mehr um Abmahnungen und ein Impressum machen. Daneben würde das Netzwerk durch die grössere Anzahl an Peers gestärkt.

Da haben wir den gleichen Wunsch.

Aber versuch mal den Normal DAU ins Boot zu bekommen: Da benutzt ja einer meine teueres Internet mit, da sind ja andere Leute auf meinem Rechner, ich habe nichts zu verbergen, ist mir zu kompliziert, bringt ja sowieso alles nichts, das benutzen nur Kinderficker und Terroristen, das ist sicher illegal ...

Danke. Du beschreibst sehr gut, welche Argumente der angepasste Otto-Normal-Bürger hervorbringt, nur damit er seine Gewohnheiten nicht ändern muss.
Einfach so weiter machen wie bisher ist eben einfacher, und wenn mal wieder in den Nachrichten was von PRISM kommt, dann ist das eben nur die nächste Sau, die durchs Dorf getrieben wird.

Vielleicht ist es aber auch noch zu früh, um den DAU ins Boot zu bekommen. Mir würde es völlig reichen, wenn sich I2P etc. erstmal unter kreativen Menschen und Techies weiter verbreitet.
Im normalen IPv4-Internet ist es meistens so, dass das gemeine Volk nur eine IP-Adresse pro Haushalt bekommt, oder sogar noch weniger. Die Verteilung der IP-Adressen erfolgt zentral von der ICANN ausgehend, und folgt dabei der Verteilung des Kapitals. Die Verteilung des Kapitals ist aber selten gleich der Verteilung von Kreativität und Know-How.
Meiner Meinung nach sollte aber jeder, der einen kreativen/kleveren Inhalt bereitstellen kann, die Möglichkeit haben, einen eigenen Webserver zu betreiben. Das geht aber schlecht, wenn man hinter einem NAT sitzt, d.h. sich die IP-Adresse mit vielen Leuten teilen muss.

Dabei könnte I2P eine Lösung sein. Zusätzlich zur Anonymität bietet I2P nämlich auch einen anderen Vorteil:
Jeder kann seinen eigenen Server betreiben, auch hinter NAT/Firewalls. Die I2P-Adressverteilung erfolgt völlig dezentral: Sobald man sich ein kryptografisches Schlüsselpaar erstellt hat, hat man eine I2P-Adresse.
Anders ausgedrückt: Ich halte die I2P-Netzwerktopologie für gerechter als die des normalen Internets.

Und ich erlebe mit Freude, dass I2P jetzt schon so genutzt wird: Wenn ich über I2P-Websites surfe, sehe ich jede Menge kleine witzige, pfiffige und schöne Dinge, die im kommerziellen Internet schon fast ausgestorben sind.
I2P ist nicht nur eine Technologie, sondern auch eine lebendige Gemeinschaft!! Das erkennt man aber erst, wenn man dem weißen Kaninchen in seinen Bau gefolgt ist...

Ohje, ich schweife ab...


...zurück zum Thema:

Ein Problem, das ich nicht ausreichend adressiert sehe:
https://panopticlick.eff.org/

Sehe ich auch so, darauf müsste stärker hingewiesen werden.
Die Verschleierung der IP-Adresse ist nutzlos, wenn man durch den Browser-Fingerabdruck identifiziert werden kann.

Den Link auf die EFF-Seite möchte ich nochmal hervorheben:

https://panopticlick.eff.org/

Das gibt einen ungefähren Eindruck, wieviele Bits an Informationen man durch die Weltgeschichte schickt und dabei jeder Webseite auf die Nase bindet, auch wenn man sonst keine Daten eingibt.

Wir können ja hier mal einen kleinen Contest machen:
Wer schickt am wenigsten Bits in seinem Browser-Fingerabdruck?

[fronti]

Vielleicht ist es aber auch noch zu früh, um den DAU ins Boot zu bekommen. Mir würde es völlig reichen, wenn sich I2P etc. erstmal unter kreativen Menschen und Techies weiter verbreitet.
Im normalen IPv4-Internet ist es meistens so, dass das gemeine Volk nur eine IP-Adresse pro Haushalt bekommt, oder sogar noch weniger. Die Verteilung der IP-Adressen erfolgt zentral von der ICANN ausgehend, und folgt dabei der Verteilung des Kapitals. Die Verteilung des Kapitals ist aber selten gleich der Verteilung von Kreativität und Know-How.
Meiner Meinung nach sollte aber jeder, der einen kreativen/kleveren Inhalt bereitstellen kann, die Möglichkeit haben, einen eigenen Webserver zu betreiben. Das geht aber schlecht, wenn man hinter einem NAT sitzt, d.h. sich die IP-Adresse mit vielen Leuten teilen muss.

Dabei könnte I2P eine Lösung sein. Zusätzlich zur Anonymität bietet I2P nämlich auch einen anderen Vorteil:
Jeder kann seinen eigenen Server betreiben, auch hinter NAT/Firewalls. Die I2P-Adressverteilung erfolgt völlig dezentral: Sobald man sich ein kryptografisches Schlüsselpaar erstellt hat, hat man eine I2P-Adresse.
Anders ausgedrückt: Ich halte die I2P-Netzwerktopologie für gerechter als die des normalen Internets.

das hab ich bei hidden services in TOR ja auch.
(ich sollte mir i2p mal wieder ansehen, das letzte mal ist schon Jahre her)

[klabaki]

das hab ich bei hidden services in TOR ja auch.

Du hast völlig recht: Wenn man nur die Funktionalität betrachtet, die dem Endanwender zur Verfügung gestellt wird, dann hat I2P nichts zu bieten, was Tor nicht auch hat.

Aber es gibt auch einige Eigenschaften, die für I2P sprechen:

• I2P ist vollständig dezentral und selbstorganisierend. Bei Tor gibt's die zentrale Netzwerkdatenbank.
• I2P ist vollständig "trustless", also kein Node vertraut einem anderen. Bei Tor vertrauen einzelne Nodes darauf, dass andere ihre maximale Bandbreite etc. korrekt angeben.
• Bei I2P werden einzelne Datenpakete weitergeleitet, bei Tor ganze Streams. Der Unterschied ist, dass bei Tor Anfrage und Antwort, Hin- und Rückweg immer auf dem selben Weg stattfinden, was einige Angriffe auf die Anonymität erleichtert.
• Wegen der Ausrichtung auf einzelne Datenpakete sind I2P-Verbindungen auch robuster gegen Ausfall einzelner Nodes: Wenn man eine große Datei lädt, und dabei einige der benutzten Nodes ausfallen, werden die Datenpakete einfach über einen anderen Weg zum Ziel geschickt. Bei Tor wäre die Verbindung komplett abgebrochen.
• Durch die Paketorientierung entsteht auch ein Geschwindigkeitsvorteil für I2P.
• I2P benutzt "Knoblauch"-Routing statt "Zwiebel"-Routing d.h. bei Tor wird eine Nachricht in mehrere Hüllen von Verschlüsselung gepackt, bei I2P werden mehrere Nachrichten (die an unterschiedlichen Stellen nochmals unterschiedliche Routen wählen können) in mehrere Hüllen gepackt. Das erschwert einige Angriffsszenarien.
• I2P wurde von Anfang an als Darknet konzipiert, die Ausgänge in die restliche Welt sind nur Nebensache. Bei Tor ist es umgekehrt. Wer also ein Darknet nutzen möchte, hat bei I2P den Vorteil, dass das der Schwerpunkt der Entwicklung ist.
• Tor hat öffentlich bezahlte Entwickler, die eine Schwachstelle bei einem Angriff von staatlicher Seite sein könnten. I2P-Entwickler verstecken sich im I2P.

[klabaki]

Den Link auf die EFF-Seite möchte ich nochmal hervorheben:

https://panopticlick.eff.org/

Das gibt einen ungefähren Eindruck, wieviele Bits an Informationen man durch die Weltgeschichte schickt und dabei jeder Webseite auf die Nase bindet, auch wenn man sonst keine Daten eingibt.

Wir können ja hier mal einen kleinen Contest machen:
Wer schickt am wenigsten Bits in seinem Browser-Fingerabdruck?

Also dieser Aufruf zum Contest war schon ernst gemeint.
Ich suche nämlich noch nach Möglichkeiten, meinen Browser-Fingerabdruck zu verkleinern.

Mein bisher bestes Ergebnis...

Within our dataset of several million visitors, only one in 525,767 browsers have the same fingerprint as yours.

Currently, we estimate that your browser has a fingerprint that conveys 19 bits of identifying information.

...erreiche ich mit diesen Einstellungen:

Browser Characteristic	bits of identifying information	one in x browsers have this value	value
User Agent	7.6	194.51	Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2) Gecko/20100115 Firefox/3.6
HTTP_ACCEPT Headers	5.14	35.37	text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 gzip, deflate en-us,en;q=0.5
Browser Plugin Details	1.75	3.36	no javascript
Time Zone	1.74	3.35	no javascript
Screen Size and Color Depth	1.74	3.35	no javascript
System Fonts	1.75	3.35	no javascript
Are Cookies Enabled?	0.44	1.35	Yes
Limited supercookie test	1.74	3.35	no javascript

Also das sind 19 Bit an identifizierenden Informationen.

Bietet jemand weniger?

[Schabooza]

Wir können ja hier mal einen kleinen Contest machen:
Wer schickt am wenigsten Bits in seinem Browser-Fingerabdruck?

Biete 14.3 Bits
http://www.imagebam.com/image/1e0b0a266514283

Edit:
Ohne UserAgent sind es nur noch 12,44
http://www.imagebam.com/image/664ed3266520818

das Problem ohne User Agent werden einige Webseiten falsch dargestellt von daher hab ich ihn an

PS:
Sollte vielleicht auch verraten welche Addons dafür verantwortlich sind  :
Cookie Whitelist with Button
YesScript ist eine Blacklist für Javascript (falls jemand ein Addon kennt das alles erstmal Black listet bitte melden  )
UserAgent Switcher
Web Developer damit kann man bspw leicht Javascript komplett abstellen und Referrer deaktiveren
Flashblock damit kann man Flash leicht aktivieren und deaktiveren.

[mixmaster]

Within our dataset of several million visitors, only one in 10,768 browsers have the same fingerprint as yours.

Ich benutze NoScript...

[Schleicher]

21.59 bits: Chrome 29 beta mit NotScripts
21.59 bits: Chrome 29 beta incognito Window
20.59 bits: Chrome 29 beta, Javascript und Java aktiviert
Lol

[mixmaster]

Wenn ich das richtig verstanden habe, interessiert die Anzahl der information bits nicht.
Der Wert "one in xxx browsers have the same fingerprint as yours" ist relevant. Je niedriger das xxx, desto anonymer.

[bernard75]

Solange man nicht an den System Fonts rumspielt, gehört man doch zu den 99% oser sehe ich das jetzt falsch?

[klabaki]

Wenn ich das richtig verstanden habe, interessiert die Anzahl der information bits nicht.
Der Wert "one in xxx browsers have the same fingerprint as yours" ist relevant. Je niedriger das xxx, desto anonymer.

Zwischen diesem "xxx" und der Anzahl an Bits besteht ein direkter Zusammenhang:

Anzahl Bits = Logarithmus zur Basis 2 von xxx

Also es sind letztlich nur unterschiedliche Darstellungen derselben Größe.
Welche Darstellung man anschaulicher findet, ist Geschmackssache; deshalb wird auf der Webseite einfach beides angezeigt.

Also wenn du schreibst...

Within our dataset of several million visitors, only one in 10,768 browsers have the same fingerprint as yours.

...dann kann man einfach mit dem Logarithmus zur Basis 2 ausrechnen, dass du (ungefähr) 13.39 Bits an Informationen rausschickst.

Solange man nicht an den System Fonts rumspielt, gehört man doch zu den 99% oser sehe ich das jetzt falsch?

So einfach ist das leider nicht. Die Fonts sind auf verschiedenen Systemen seeeehr unterschiedlich.
Und die Fonts sind nicht das einzige Merkmal, mit dem man Systeme unterscheiden kann. Das wird in diesem Artikel der EFF sehr gut beschrieben:

https://panopticlick.eff.org/browser-uniqueness.pdf

Absolut lesenswert! Dort wird unter anderem auch gesagt, was mit dem Test so alles nicht gemessen werden kann. Es gibt nämlich noch einige Merkmale, die zum Fingerabdruck gehören, die leider in diesem Test nicht berücksichtigt werden konnten.
Unser Browser-Fingerabdruck ist also größer als uns in diesem Test angezeigt wird.

Ich fänd's toll, wenn's in Zukunft noch mehr solche Tests gäbe, die noch mehr Attribute erfassen.

[klabaki]

Ohne UserAgent sind es nur noch 12,44
http://www.imagebam.com/image/664ed3266520818

das Problem ohne User Agent werden einige Webseiten falsch dargestellt von daher hab ich ihn an

Welche Webseiten sind das?
Bei mir klappt's ohne User-Agent ganz gut, wobei ich auch noch nicht alle Webseiten getestet habe.

Mit nur 12.44 Bits warst du ja schon ganz gut, aber...

Within our dataset of several million visitors, only one in 538 browsers have the same fingerprint as yours.

Currently, we estimate that your browser has a fingerprint that conveys 9.07 bits of identifying information.

Browser Characteristic	bits of identifying information	one in x browsers have this value	value
User Agent	5.87	58.48
HTTP_ACCEPT Headers	7.21	147.82
Browser Plugin Details	1.75	3.37	no javascript
Time Zone	1.74	3.35	no javascript
Screen Size and Color Depth	1.74	3.35	no javascript
System Fonts	1.75	3.35	no javascript
Are Cookies Enabled?	1.95	3.85	No
Limited supercookie test	1.74	3.35	no javascript

Bietet jemand weniger?

[mezzomix]

Meiner Meinung nach sollte aber jeder, der einen kreativen/kleveren Inhalt bereitstellen kann, die Möglichkeit haben, einen eigenen Webserver zu betreiben. Das geht aber schlecht, wenn man hinter einem NAT sitzt, d.h. sich die IP-Adresse mit vielen Leuten teilen muss.

Dabei könnte I2P eine Lösung sein.

Das Problem dabei: Wenn jeder nur noch NAT bekommt wird es schwer P2P Netze zuz betreiben. Das NAT Tunneluing funktioniert eher schlecht und ist auch noch vom Provider abhängig. Bei manchen geht UDP nicht richtig, bei anderen können IP/Port Zuordnungen nicht über längere Zeit stabil gehalten werden. Damit hängt alles an den paar zentralen Serveren, die über echte Adressen verfügen.

IPv6 wäre eine Lösung, aber die Verbreitung läuft extrem schleppend. Ich hatte 5 Jahre lang gekämpft, bis ich vor vier Jahren alle meine Knoten ordentlich im Dual-Stack laufen hatte. Dabei musste ich X Provider durchmachen, da bei jedem irgend etwas nicht verfügbar war oder einfach nicht funktioniert hat und der Provider auch kein Interesse daran hatte, das Problem zu lösen. Bis heute muss ich an diversen Stellen noch Tunnel nutzen, weil die Provider es nicht auf die Reihe bekommen. Gleichzeit werden meine IPv4 Adressen immer teurer - vorzugsweise bei den Providern, die IPv6 gar nicht erst auf die Reihe bekommen.

[Schabooza]

Welche Webseiten sind das?
Bei mir klappt's ohne User-Agent ganz gut, wobei ich auch noch nicht alle Webseiten getestet habe.

Ist schon etwas länger her das ich es probiert habe, daher fällt mir nur google ein. Ehrlich gesagt hab ich es auch nicht wirklich freiwillig ausprobiert ich hatte damals den UserAgent für was anderes entfernt und vergessen ihn wieder "einzuschalten" 

Mit nur 12.44 Bits warst du ja schon ganz gut, aber...

Bietet jemand weniger?

Wie hast du den Header entfernt? Ich hatte danach schon gesucht aber nicht gefunden.

[klabaki]

Das Problem dabei: Wenn jeder nur noch NAT bekommt wird es schwer P2P Netze zuz betreiben. Das NAT Tunneluing funktioniert eher schlecht und ist auch noch vom Provider abhängig. Bei manchen geht UDP nicht richtig, bei anderen können IP/Port Zuordnungen nicht über längere Zeit stabil gehalten werden. Damit hängt alles an den paar zentralen Serveren, die über echte Adressen verfügen.

IPv6 wäre eine Lösung, aber die Verbreitung läuft extrem schleppend. Ich hatte 5 Jahre lang gekämpft, bis ich vor vier Jahren alle meine Knoten ordentlich im Dual-Stack laufen hatte. Dabei musste ich X Provider durchmachen, da bei jedem irgend etwas nicht verfügbar war oder einfach nicht funktioniert hat und der Provider auch kein Interesse daran hatte, das Problem zu lösen. Bis heute muss ich an diversen Stellen noch Tunnel nutzen, weil die Provider es nicht auf die Reihe bekommen. Gleichzeit werden meine IPv4 Adressen immer teurer - vorzugsweise bei den Providern, die IPv6 gar nicht erst auf die Reihe bekommen.

Ich sehe das Problem auch...

Zurzeit nutze ich IPv6-Tunnel, als Übergangslösung.

Wie hast du den Header entfernt? Ich hatte danach schon gesucht aber nicht gefunden.

Bei Firefox musst du unter about:config den Inhalt dieser Variablen leeren:

• image.http.accept
• intl.accept_languages
• network.http.accept-encoding
• network.http.accept.default

Ich habe jetzt mal mit netcat beobachtet, welche Header mein Browser versendet:

Code:

GET /pfad/zur/datei.html HTTP/1.1
Host: name-des-webservers
Connection: keep-alive
Referer: http://name-des-webservers/pfad/zur/verlinkenden/datei.html
Cache-Control: max-age=0

Der Cache-Control-Header wird erst ab dem zweiten Abruf einer Datei gesendet.
Der Referer-Header wird gesendet, wenn die Datei von einer anderen Datei aus verlinkt wurde.

Diese Headers sind so ziemlich der (minimale) Standard, den jeder Bot verschickt, der sich durchs Netz hangelt. Deshalb fällt man damit nicht auf.

Leider kann diese Tarnung leicht zerstört werden, sobald man versehentlich noch einen anderen Header mitschickt.
Z.B. der Do-Not-Track-Header: Ich kann nur dringend empfehlen, die Option "Tell websites that I don't want to be tracked" zu deaktivieren, weil man sonst sehr leicht getrackt werden kann.
Auch wichtig, aber eigentlich sowieso klar: keine Cookies, und kein JavaScript, außer bei Seiten denen man sehr vertrauen kann. (z.B. bitcointalk.org )

Ich kann nur jedem empfehlen, mit Tools wie netcat oder wireshark zu beobachten, was der eigene Browser so alles an Informationen durchs Internet pustet.
Es sollte höchstens soviel wie oben sein, besser weniger (z.B. den Referer-Header braucht man auch nicht unbedingt), weil man dadurch so aussieht wie ein Bot, und die Bots machen ja einen großen Teil der Netzwerkauslastung aus.

[BeeCoin]

Freut mich, dass das Fingerprinting etwas Beachtung findet.
Wenn ihr übrigens einen zu verhunzten Fingerprint habt, seid ihr unter Umständen wesentlich auffälliger.
Am besten wäre, sich z.B. über Firegloves den populärsten Fingerprint einzustellen, s. auch
http://techblog.willshouse.com/2012/01/03/most-common-user-agents/

Wenn man aber alle Möglichkeiten des Fingerprinting abschöpft, wird man sich wohl wenig schützen können.


Nochmal zu PGP/GPG - asymmetrische Verschlüsselung:
Wieso darf der public key nicht über einen bekannten Punkt ausgetauscht werden? Wird dann 4096Bit unsicher, wenn beide Publickeys bekannt sind?
Da steckt doch Diffie-Hellmann Exchange als Prinzip dahinter, oder?
Hatte ich bislang für sicher gehalten....