Tor-Exit-Nodes erklärt: Nicht immer eine Bedrohung
Ein Tor-Exit-Node ist das letzte Relay in einem Tor-Circuit, der Server, dessen öffentliche IP-Adresse Websites sehen, wenn sich ein Tor-Nutzer mit ihnen verbindet. Traffic von einem Exit-Node ist konstruktionsbedingt anonymisiert, wodurch er ungewöhnlich aussieht, ist aber nicht automatisch bösartig, und ihn so zu behandeln sperrt viele legitime Menschen aus.
Wie ein Tor-Circuit funktioniert
Tor baut einen Circuit aus drei Relays auf. Der Entry Guard kennt die echte IP-Adresse des Nutzers, aber nicht das Ziel. Das mittlere Relay kennt nur seine Nachbarn. Das Exit-Relay entschlüsselt die letzte Schicht und sendet die Anfrage an den Zielserver, kennt also das Ziel, aber nicht, wer fragt. Jeder Hop fügt eine Verschlüsselungsschicht hinzu, daher stammt der Begriff Onion Routing. Kein einzelnes Relay sieht beide Enden der Kommunikation.
Für den Websitebetreiber folgt daraus, dass die sichtbare Client-Adresse die des Exit-Relays ist, nicht die des Nutzers. Ein Exit kann gleichzeitig den Traffic von Tausenden Menschen tragen, weshalb eine einzelne Adresse innerhalb von Minuten scheinbar Seiten in vielen Ländern aufruft und eine Länder- oder Stadtabfrage dazu den Hosting-Standort des Relays beschreibt, nicht einen Besucher. Mehr dazu, warum der Standort ein Netz beschreibt und keine Person, steht unter Warum der IP-Standort bei Personen falsch liegt.
Wer Tor tatsächlich nutzt
Journalisten schützen damit Quellen, Menschen in restriktiven Ländern erreichen damit gesperrte Websites, und datenschutzbewusste Personen vermeiden damit Tracking. Diese Nutzer machen einen bedeutenden Teil des Tor-Traffics aus, und eine Regel, die das ganze Netz abweist, behandelt sie wegen des gewählten Werkzeugs als Verdächtige. Auch Missbrauch gibt es: Credential Stuffing, Scraping und Spam können Tor nutzen, weil es kostenlos und einfach ist. Die ehrliche Zusammenfassung lautet, dass das Netz gemischt ist und das Flag etwas über die Route sagt, nicht über die Absicht.
Tor-Traffic erkennen
Exit-Relays werden als Teil des Verzeichnisses des Tor-Netzes veröffentlicht, die Erkennung ist daher ein Abgleich mit einer Liste aktueller Exit-Adressen. Der Haken ist die Aktualität, denn Relays kommen und gehen ständig, wie unter Warum statische Tor-Exit-Listen veralten beschrieben. Die IP-Abfrage von ipto liefert ein Flag is_tor, wobei die Threat Feeds alle 6 Stunden aktualisiert werden, und Sie können eine Adresse im VPN-, Tor- und Proxy-Checker testen. Ein negatives Ergebnis bedeutet „nicht als Tor bekannt“, keine Garantie.
Dieselbe Antwort enthält auch is_abuser, is_vpn und is_datacenter sowie asn und die besitzende Organisation. Der Sinn liegt darin, sie zusammen zu lesen: is_tor: true mit is_abuser: false beschreibt eine Datenschutzroute ohne bekannte schlechte Vorgeschichte, was eine andere Behandlung verlangt als eine Tor-Adresse, die zusätzlich in Abuse-Feeds auftaucht. Der IP-Abuse-Checker zeigt, wie diese Reputation über mehrere Quellen korroboriert wird, statt sich auf eine zu stützen.
Einen Exit-Relay betreiben
Exit-Betreiber tragen eine besondere Last, denn die Missbrauchsbeschwerden für alles, was ihre Nutzer tun, landen bei der Adresse des Betreibers. Viele veröffentlichen auf der IP-Adresse des Relays einen Hinweis, dass es ein Tor-Exit ist und der Betreiber den Traffic nicht kontrolliert, und leiten Beschwerden über die Kontaktdaten der Registry. Wenn Sie Missbrauch von einer Exit-Adresse untersuchen, zeigt die IP-WHOIS-Abfrage den Registereintrag und den Abuse-Kontakt für den Block, meist ein Hosting-Anbieter oder eine Organisation, die wissentlich Relays betreibt. Den Vorfall dort zu melden ist nützlicher als jede andere Eskalation, da der Betreiber nicht sehen kann, wer der einzelne Nutzer war.
Sinnvoller Umgang mit Tor-Traffic
Die richtige Richtlinie hängt davon ab, was Sie schützen. Eine öffentliche Nachrichtenseite hat wenig Grund, Tor-Besucher anders zu behandeln als alle anderen, während ein Zahlungsformular oder ein Ablauf zur Kontowiederherstellung gute Gründe hat, Reibung hinzuzufügen. Optionen zwischen Erlauben und Verweigern:
- Strengere Rate Limits für Tor-Adressen bei Login-, Registrierungs- und Such-Endpunkten anwenden.
- Bei sensiblen Aktionen eine Challenge zeigen oder einen zweiten Faktor verlangen, statt die Anfrage abzulehnen.
- Reines Lesen durchlassen, aber Kontoerstellung oder Checkout einschränken.
- Das Tor-Flag in eine zusammengesetzte Entscheidung einspeisen, etwa den Wert von 0 bis 100 aus dem Fraud-Score-Checker, statt allein darauf zu handeln.
- Das Signal, das zu jeder Entscheidung führte, protokollieren, damit Fehlalarme geprüft werden können.
Regulatorische oder vertragliche Anforderungen verlangen manchmal tatsächlich, anonymisierende Netze zu sperren, etwa zur Einhaltung von Lizenzen oder Sanktionen, und das ist eine legitime Geschäftsentscheidung. Treffen Sie sie nur bewusst, in dem Wissen, dass sie auch Menschen ausschließt, die nichts falsch gemacht haben, und dass eine Sperre auf Basis einer veralteten Liste in beide Richtungen falsch liegt.