MobileEdge - Ein Framework für sichere und anonyme mobile Kommunikation

Die Endprodukte, also Backend-Proxy, derzeit ein Prototyp in Node.js, sowie jeweils ein Framework für iOS und Android, sollen als Open-Source (unter einer geeigneten Open-Source-Lizenz, voraussichtlich LGPL/AGPL) der Öffentlichkeit zur Verfügung gestellt werden.

Ziel ist es, App- und Service-Entwicklern ein Werkzeug an die Hand zu geben, das den Aufwand, ein sicheres System zu produzieren, maßgeblich reduziert. Der geringe Aufwand zur Einbindung sowie der Open-Source-Charakter sollen Entwickler dazu animieren, MobileEdge in ihr Produkt zu integrieren.

Was bedeutet Anonymität?

Anonymität ist die Abwesenheit eines Namens. Nach einer Definition von Christian Grothoff [1] ist die Aktion eines Nutzers genau dann anonym, wenn die Aktion nicht mit der Identität des Nutzers verknüpft werden kann. Anonymität ist also erreicht, wenn eine Aktion auch von beliebigen anderen Identitäten ausgeführt worden sein könnte. Wichtig ist dabei das Konzept von "anderen". Anonym ist man immer im Bezug auf eine Anonymitätsmenge, also eine Menge von Personen, die es auch gewesen sein könnten.

Bespielsweise ist es der Polizei möglich, auf einer Demonstration – mittels einer Funkzellenabfrage – sämtliche anwesenden Mobiltelefone zu ermitteln. Ein einzelner Demonstrant ist dann innerhalb der Menge derer anonym, die ebenfalls mit Mobiltelefon an der Demonstration teilnehmen. Logischerweise ist ein Individuum stärker anonym, je größer die Anonymitätsmenge ist. Je größer die Menge, desto mehr Bits an zusätzlicher Information werden benötigt, um den einzelnen zu identifizieren.

Pseudonymität?

Pseudonymität ist in gewisser Weise das, was viele im Internet als Anonymität wahrnehmen. Wenn man bspw. in einem Forum, auf einem Blog oder über Twitter etwas veröffentlicht, geschieht dies häufig unter einem Pseudonym (“süßerhase56“). Dadurch, dass oft mehrere Veröffentlichungen unter demselben Pseudonym erfolgen, entsteht eine Art parallele Identität. Tatsächliche Pseudonymität ist die Unverknüpfbarkeit dieser Parallelidentität mit der realen.

Interessanterweise ist Pseudonymität, die zunächst einfacher und so vertraut scheint (durch die Foren, Blogs und Twitter), das härtere Problem. Zwar ist es einfach, ein Pseudonym zu verwenden, doch die Unverknüpfbarkeit einer so entstehenden Parallelidentität mit der echten zu garantieren ist schier unmöglich. Wäre das Problem von Pseudonymität gelöst, ließe sich das Problem der Anonymität trivial lösen (neues Pseudonym für jede Interaktion).

Warum will man anonym sein?

Der Wunsch nach Anonymität kann aus verschiedenen Gründen entstehen. In manchen Gesellschaften ist es die einzige Art, auf die Menschen kommunizieren können, ohne negative Konsequenzen für sich und andere in Kauf zu nehmen. Es muss aber nicht gar so ernst aussehen, damit Anonymität Sinn macht.

Spätestens seit im Juni 2013 die Massenüberwachung durch Geheimdienste als Realität an die Öffentlichkeit gelangte, ist bekannt, dass sämtliche Kommunikation im Internet mitgeschnitten wird. Die Unmengen an Daten, die dabei erfasst werden, enthalten unter anderem sogenannte Metadaten. Bei den Metadaten handelt es sich um die Eckdaten der Kommunikation: Wer schreibt wem? Wo ist er zu dem Zeitpunkt? Häufig wurde und wird auch behauptet, nur diese Daten würden (dauerhaft) gespeichert. Hinterfragt man nun den Wahrheitsgehalt dieser Aussage nicht, so bleibt dennoch ein bitterer Beigeschmack. Hier wird signalisiert, das Mitschneiden von Metadaten sei ja nicht so schlimm. Dabei haben einige Studien und Selbstversuche [2] bereits belegt, dass die Metadaten oft mindestens so aussagekräftig sind, wie Kommunikationsinhalte selbst. Anschaulich wird einem das vor Augen geführt, wenn man folgende Beispiele liest, und sich fragt, welche Mutmaßungen man nach ihrem Lesen anstellen könnte:

• Die junge Frau Alice ruft bei der Schwangerschaftsberatung an.
• Bob tweetet aus dem öffentlichen WLAN einer onkologischen Praxis.
• Der Mitarbeiter der Firma X surft auf der Jobseite der Konkurrenzfirma Y.
• Der Mitarbeiter der Firma Z ruft Informationen zu einem bestimmten Forschungsgebiet ab.

Die Informationen lassen auf den ersten Blick eine relativ eindeutige Schlussfolgerung zu und häufig mag diese Vermutung auch zutreffen. Wenn die Anzahl der Fälle, in denen die Schlussfolgerung nicht stimmt, klein genug ist, wird der ein oder andere sicher die Auffassung vertreten, es sei in Ordnung, zunächst einmal davon auszugehen, die Schlussfolgerung treffe zu. Und damit begibt man sich auf dünnes Eis.

Mit gegebener Anonymität kann niemand die Beobachtungen, wie sie oben formuliert sind, machen. Da hieße es dann möglicherweise: Irgendjemand ruft bei irgendjemandem an. Oder zumindest: Irgendjemand ruft bei der Schwangerschaftsberatung an. Die Aktion ist mit der Identität nicht verknüpfbar. Dadurch lässt sich kein Profil über eine Person anlegen, aus dem sich weitere Rückschlüsse ziehen lassen ("Bob ist drei Mal wöchentlich in einem McDonald's-WLAN.").

Wie wird man im Internet anonym?

Der Goldstandard zur Anonymisierung im Internet nennt sich onion routing. Nach ihm ist auch das bekannte Tor-Netzwerk ursprünglich benannt (The Onion Router). Beim onion routing werden Pakete erst über mehrere Knoten, sogenannte hops, durch ein Netzwerk geleitet, bevor sie an den eigentlichen Empfänger gesendet werden. Der erhält so als “Absenderadresse“ nur die Adresse des letzten hops. Der eigentliche Sender bleibt vor ihm anonym. Tor ist eine Implementierung dieses Prinzips. Auch hier gilt selbstverständlich: je mehr Leute das Tor-Netzwerk verwenden, desto besser wird der einzelne anonymisiert.

Es gibt unterschiedliche Projekte mit ähnlichen Zielen und Ansätzen wie Tor. Momentan scheint allerdings Tor am weitesten verbreitet und dadurch, wie oben bemerkt wurde, am stärksten anonymisierend. Obwohl einige Angriffe auf Tor in den letzten Jahren bekannt wurden (übrigens auch auf Konkurrenznetzwerke), ist die grundlegende Sicherheit des Netzwerks bisher nicht gebrochen worden. Dies beklagt auch die NSA in ihrem "Tor stinks"-Dokument vom Juni 2012, das aus dem Snowden-Fundus veröffentlicht wurde.

Dennoch ist denkbar, dass in Zukunft weitere Angriffe publik werden oder ein anderes System sich als sicherer hervortut. Aus diesem Grund sollte sich eine Lösung nicht zu stark an Tor klammern und auch mit alternativen Netzwerken kompatibel sein.

Was ist die Schwierigkeit bei mobilen Geräten?

Mobilgeräte sind häufig stärker personengebunden als normale Computer – Familien- oder Arbeitsrechner werden manchmal von mehreren Personen verwendet – und können oft sensible Positionsdaten preisgeben. So kann bspw. ein Onlinedienst verfolgen, wo sich ein Nutzer bewegt, je nachdem von welcher Host- bzw. IP-Adresse er sich verbindet. Diese Adressen lassen sich häufig physischen Orten zuordnen. Nutzern ist dies oftmals vermutlich nicht bewusst, und wenn doch, wissen viele nicht, wie sie damit umgehen sollen. Einigen ist es möglicherweise auch egal, das Potenzial für Missbrauch solcher Metadaten wird oft unterschätzt.

Das Leiten von Datenverkehr durch das Tor-Netzwerk ist ein Schritt zur Anonymisierung der Nutzer. Um aber wirklich wirksamen Schutz zu gewährleisten, müssen auch die kommunizierten Daten selbst anonymisiert werden. Dies bedeutet, dass in Anwendungsdaten keinerlei identifizierende Informationen enthalten sein dürfen. Häufig benötigen Anwendungen aber eine gewisse Identität, sei es für Chats, das Bezahlen oder andere kostenpflichtige Dienste, zu deren Nutzung nur ein bestimmter Kunde berechtigt ist. Diese Notwendigkeit irgendeiner Identität scheint sich mit Anonymität tatsächlich schwieriger vereinbaren zu lassen als mit Pseudonymität. In diesem Fall muss versucht werden, sinnvolle Pseudonymität mithilfe von kurzlebigen kryptographischen Identitäten zu schaffen.

Was kann getan werden?

Mit MobileEdge ist beabsichtigt, eine Plattform zu entwickeln, die Netzwerkanonymität (via Tor), Datenanonymität, bzw. -pseudonymität (via kurzlebiger Identitäten) und Sicherheit (via Axolotl-Ratchet-Protokoll) bietet und sich zudem möglichst transparent in mobilen Apps sowie zugehörigen Backends integrieren lässt.

Als Open-Source-Software soll es einer großen Zielgruppe zugute kommen und Entwickler und Nutzer dazu anstoßen, häufiger auf sichere Lösungen zu setzen.

Denkbar ist die Integration in eine Vielzahl von Apps und Services, beispielsweise in Bereichen des mobilen Bezahlens, der Kommunikation, des Online-Einkaufs, bei datenschutzfreundlichen Bonussystemen oder Whistleblowing-Plattformen.