Feldstudie zur Untersuchung der praktischen Relevanz von Schnittmengenangriffen auf das AN.ON/JonDonym-System

Zielstellung

Mit Hilfe der Feldstudie soll untersucht werden, wie effektiv die aus der Literatur bekannten und dort nur theoretisch untersuchten Schnittmengenangriffe in der Praxis tatsächlich sind. Nach unserer Einschätzung handelt es sich zwar um eine Angriffsart, die aktuell nur mit unverhältnismäßigem Aufwand realisierbar wäre. Insbesondere müsste der Angreifer einen Großteil der Internetaktivität kontrollieren können. Inwieweit jedoch die ggf. ab 2009 notwendige Umsetzung der sogenannten „Vorratsdatenspeicherung“ hieran etwas ändert, ist ein Teil der Zielsetzung der Studie.

Hintergrund

AN.ON bietet schon heute seinen Nutzern ein sehr hohes Niveau an Anonymität. Dies gilt auch im Vergleich zu den meisten anderen Konzepten für Anonymisierungsdienste.

Die Hauptidee bei Schnittmengenangriffen ist ziemlich einfach: Ein gedachter Angreifer beobachtet den kompletten Anonymisierungsdienst, d.h. er versucht herauszufinden, welche Nutzer beim Anonymisierungsdienst angemeldet sind und welche Web-Seiten abgerufen werden. Natürlich weiß er wegen der Anonymisierungsfunktion zunächst nicht, wer welche Web-Seiten abgerufen hat. Er kann jedoch bei einigen Web-Seiten schlussfolgern, dass bei mehrmaligem Abrufen zu unterschiedlichen Zeiten derselbe Nutzer dafür verantwortlich ist. Dies trifft beispielsweise auf Web-Seiten zu, die Login-Daten (Nutzername, Passwort) erfordern. Wenn jetzt der Angreifer ermittelt, welche Nutzer zu allen relevanten Zeitpunkten online waren, kann er die Schnittmenge der Mengen der Nutzer bilden, die jeweils online waren (daher auch der Name: Schnittmengenangriffe). Schnittmengenangriffe könnten in der Praxis eine größere Relevanz bekommen, wenn die ab Januar 2009 drohende Verpflichtung zur Aufzeichnung von Verkehrsdaten (die sogenannte Vorratsdatenspeicherung) tatsächlich umzusetzen ist, da dann Datenbestände über Online-Zeiten entstehen.

Umsetzung der Studie

Um zu ermitteln, wie relevant derartige Schnittmengenangriffe in Praxis sind, wollen wir, d.h. die Mitarbeiter des AN.ON Projektes des Lehrstuhls Datenschutz und Datensicherheit der Technischen Universität Dresden, selber solche Angriffe simulieren, jedoch ohne Verknüpfungen mit abgerufenen Inhalten herzustellen. Dazu benötigen wir die Information, wann jeweils dieselben Nutzer beim Anonymisierungsdienst angemeldet sind. Diese Information steht uns im normalen Betrieb von AN.ON/JonDonym nicht zur Verfügung, da Nutzer zwischen mehreren Anmeldungen beim Anonymisierungsdienst nicht wiedererkennbar sind. Um diese Wiedererkennbarkeit dennoch zu erreichen, haben wir die JAP/JonDo Software so verändert, dass der JAP/JonDo— und zwar nur nach Ihrer ausdrücklichen Zustimmung zur Teilnahme an der Studie—einmalig eine Zufallszahl erzeugt und dann an den ersten Mix der von Ihnen gewählten, an der Studie teilnehmenden, Kaskade überträgt. Die kostenpflichtigen Premiumdienste nehmen nicht an der Untersuchung teil. Melden Sie sich erneut beim Anonymisierungsdienst an, so wird wieder dieselbe Zufallszahl übertragen, und wir können erkennen, dass sich derselbe Nutzer angemeldet hat.

Die Zufallszahl wird dabei immer nur zum ersten Mix übertragen. Es wird im Rahmen der Studie insbesondere nicht ermittelt oder gar aufgezeichnet, welche Inhalte Sie abrufen. Ihre Anonymität gegenüber dem Web-Seitenanbieter bleibt somit gewahrt.

Sollten Sie Ihre Zustimmung zur Teilnahme an der Studie zurückziehen wollen, so können Sie das jederzeit tun, indem Sie den JAP/JonDo-Konfigurationsdialog aufrufen, dort die Option für „Studie“ aufrufen und auf den Button zum Zurückziehen der Zustimmung klicken. Daraufhin wird die zuvor generierte Zufallszahl gelöscht und folglich nicht mehr übertragen. Sie werden außerdem nicht wiederholt um eine Teilnahme an der Studie gebeten, und es wird keine neue Zufallszahl erzeugt.

Die Zufallszahl wird in der Konfigurationsdatei namens jap.conf gespeichert. Dabei handelt es sich um eine XML-Datei, die mit einem normalen Text-Editor betrachtet werden kann. Sie können nach