Zero-Day-Exploits: Ein millionenschwerer Wettlauf um das Knacken von Tor-Verbindungen hat gerade begonnen
Die Firma Zerodium bietet Hackern bis zu eine Millionen Dollar, wenn sie das beliebte Anonymisierungstool knacken. Man wolle “die Welt zu einem besseren Ort machen”.
Mit dem Tor-Browser hat sogar die NSA schwer zu kämpfen. Erst vor wenigen Jahren musste der Geheimdienst zugeben, dass man sich an dem Anonymisierungstool mehr oder weniger die Zähne ausbeißt. In Einzelfällen gelingt es US-Geheimdiensten zwar, Tor-Nutzer zu enttarnen, doch die meisten Versuche scheitern größtenteils – richtig eingesetzt, bietet Tor dem Großteil seiner User nach wie vor einen sehr hohen Schutz ihrer Identität.
Der Anonymität im Tor-Netzwerk könnte jedoch bald ein schwerer Schlag versetzt werden: Eine amerikanische IT-Firma hat gerade ein Preisgeld von bis zu einer Million Dollar ausgesetzt für diejenigen, die es schaffen, den Tor-Browser zu knacken. Gesucht ist ein Exploit, also ein Programmcode, der eine Schwachstelle im Tor-Browser ausnutzt. Der Schadcode soll auf Rechner maßgeschneidert sein, die entweder auf Windows oder auf dem Linux-Betriebssystem Tails laufen.
Weitere Voraussetzung: Die Schwachstelle darf niemandem sonst bekannt sein. Diese im Hackerslang "Zero-Days" genannten Sicherheitslücken sind auf dem Markt besonders begehrt, da der Softwarehersteller "null Tage" Zeit hat, mit einem Patch auf die Lücke zu reagieren. Entsprechend hoch sind die Erlöse, die Hacker und Sicherheitsforscher einstreichen, wenn sie einen Zero-Day finden. Für einen "Remote Jailbreak" für das Iphone etwa – also für das Einbrechen in das gut geschützte Iphone-Innenleben per Fernsteuerung – zahlt Zerodium sogar bis zu 1,5 Millionen Dollar. Im Falle des Tor-Exploits besteht Zerodium darauf, dass der Exploit eine "Remote Code Execution" erlaube, also einem Angreifer aus der Ferne ermögliche, die Tor-Verbindung zu hacken. Zudem verlangt die Firma, dass der Angriffsvektor – also die Methode, die ein Angreifer wählt, um ein Gerät zu infiltrieren – eine Webseite ist, die ein Tor-Nutzer gerade besucht. Der Exploit soll also ohne eine Interaktion des Angreifers mit dem Nutzer oder seinem Gerät funktionieren: Allein der Besuch einer Webseite soll ausreichen, damit der Schadcode beginnt zu arbeiten.
"Die Welt zu einem besseren und sicheren Ort machen"
Der Tor-Browser gilt bislang als relativ sichere Variante für das anonyme Surfen im Netz. Die Daten laufen in Tor über ein verschlungenes Netz von Knotenpunkten und lassen sich dabei kaum zurückverfolgen. In den Snowden-Leaks konnte man lesen, dass auch der mächtigste Auslandsgeheimdienst NSA große Probleme hat, Tor-Verbindungen zu hacken. Auch der Bundesnachrichtendienst (BND) versucht seit Jahren fieberhaft die Anonymisierung zu knacken, wie eine aktuelle Enthüllung von Netzpolitik zeigt.
Der Aufruf Zerodiums – und insbesondere das beträchtliche Preisgeld – könnten zu einem Wettlauf unter Hackern und Sicherheitsforschern führen, der Tor-Browser als Anonymisierungstool dauerhaft unbrauchbar zu macht. Auch wenn Zerodium angibt, das Preisfgeld auszusetzen, sobald sie einen funktionierenden Exploit haben, ist nicht ausgeschlossen, dass die Jagd nach Tor-Exploits danach weitergeht. Vorstellbar ist ebenfalls, dass Hacker Schwachstellen finden, aber nicht an Zerodium verkaufen, sondern an andere Kunden: Regierungen, Geheimdienste, Kriminelle.
Dass sich Sicherheitsforscher und Hacker von Zerodiums Ausschreibung angesprochen fühlen, darf man annehmen. Die Firma ist den meisten Akteuren der IT-Community bekannt und gilt vielen als Branchenprimus – wenn man in diesem Fall überhaupt von Branche sprechen möchte: Denn bisher ist wenig über den Markt bekannt, in dem Cyberwaffen wie E-Books gehandelt werden und in dem Hacker, Geheimdienste, Kriminelle und Zwischenhändler wie Zerodium unterwegs sind. Es gibt Stimmen, die sagen, Firmen wie Zerodium hätten den Schwarzmarkt trocken gelegt. Andere werfen dem Unternehmen vor, die Jagd nach Schwachstellen zu befeuern und zu kommerzialisieren und damit der Sicherheit von IT-Systemen letztlich zu schaden.
Zerodium selbst gibt sich transparent. In ihren eigenen FAQs verteidigt die Firma ihren Aufruf, nach Tor-Exploits zu suchen. Während das "fantastische" Tor-Netzwerk es einerseits Nutzern ermögliche, anonym und sicher zu surfen, werde es "in vielen Fällen von hässlichen Leuten für Drogenhandel und Kindesmissbrauch genutzt", so die Webseite. Die Prämie für den Tor-Hack sei dafür gedacht, "unserer Regierung dabei zu helfen, die Kriminalität zu bekämpfen und die Welt zu einem besseren und sicheren Ort zu machen."
Bis zum 30. November können Forscher ihre Zero-Days für den Tor-Browser einsenden.
Quelle: Motherboard.vice.com
