Security: Rätselhafter Anstieg von Tor-Adressen

In den vergangenen Tagen ist die Anzahl eindeutiger .onion-Adressen im Tor-Netzwerk schlagartig angestiegen, wie der Wissenschaftler Alan Woodward in seinem Blog schreibt. Webseiten mit dieser Domain-Endung sind nur über das Tor-Netzwerk erreichbar - sie werden auch als Hidden Services bezeichnet. Die Gründe für den Anstieg sind bislang nicht geklärt.

In der vergangenen Woche hat sich die Anzahl von Domains von knapp 40.000 auf über 60.000 erhöht. Gleichzeitig ist der Traffic über die Hidden-Services weitgehend unverändert geblieben. Einen statistischen Fehler in der Berechnung der Anzahl von .onion-Seiten hält Woodward für unwahrscheinlich - die verwendete Methodik sei in der Regel recht genau.

Gründe sind unklar

Doch welche Gründe gibt es für den sprunghaften Anstieg? Hier kann derzeit nur spekuliert werden. Woodward schreibt, dass das Aufkommen des neuen Messengers Ricochet dafür verantwortlich sein könnte. Die App verbindet sich über das Tor-Netzwerk und startet dabei einen eigenen Client. Die App ist zwar schon länger verfügbar, hat aber nach einem positiven Audit an Popularität gewonnen. Die Besonderheit bei Ricochet: Anders als bei anderen verschlüsselten Kommunikationsverfahren sollen keine Metadaten anfallen.

Die Futurezone schreibt, dass es Hinweise darauf gebe, dass der Anstieg mit der rasanten Verbreitung der Locky-Ransomware in Verbindung steht, ohne diese Verbindung jedoch zu nennen. Zwar fordert Locky infizierte Nutzer dazu auf, über Tor ein Entschlüsselungsprogramm zu kaufen. Dass dabei jedoch mehrere tausend einzelne versteckte Webseiten zum Einsatz kommen, ist unwahrscheinlich.

• 

Die Anzahl der .onion-Domains im Darknet ist stark angestiegen, ... (Bild: Torprojekt)

Der aktuelle Vorfall ist nicht zu vergleichen mit den Deanonymisierungsangriffen auf das Tor-Netzwerk durch die Carnegie-Mellon-Universität im Jahr 2014. Zwar ging es dort auch um Hidden-Services, die Universität half dem FBI offenbar bei Ermittlungen. Die Angriffe wurden jedoch mit Hilfe zahlreicher neu erstellter Tor-Relays durchgeführt und nicht über Hidden-Services selbst.