Warum eine statische Tor-Exit-Node-IP-Liste schnell veraltet
Eine Tor-Exit-Node-IP-Liste ist eine Liste der öffentlichen Adressen, über die Tor-Datenverkehr das Netzwerk verlässt und gewöhnliche Websites erreicht, und eine einmal gespeicherte Kopie beginnt sofort zu veralten. Exit-Relays werden von Freiwilligen betrieben, sie kommen, gehen und wechseln ständig Adressen. Jede Liste, die in einer Datei eingefroren oder in eine Firewall-Regel fest eincodiert ist, driftet daher binnen Stunden von der Realität weg.
Warum sich die Liste so schnell ändert
Das Tor-Netzwerk veröffentlicht etwa stündlich einen Consensus, der die aktuell laufenden Relays und ihre Flags auflistet, darunter das Exit-Flag. Relays werden von Privatpersonen, Universitäten, gemeinnützigen Organisationen und Hosting-Kunden betrieben, und viele laufen auf gemieteten virtuellen Servern, die gekündigt, neu bereitgestellt oder zwischen Anbietern verschoben werden. Wenn ein Relay stoppt, geht seine Adresse zurück in einen Hosting-Pool und kann einem völlig unbeteiligten Kunden zugewiesen werden. Taucht ein neuer Exit auf, ist er Ihrer Kopie unbekannt, bis Sie erneut abrufen.
Exit-Richtlinien bringen eine weitere Komplikation. Ein Relay kann für manche Ports ein Exit sein und für andere nicht, und ein Betreiber kann die Richtlinie ändern, ohne die Adresse zu ändern. Eine Liste, die nur Adressen erfasst, kann diese Nuance nicht abbilden, sie überschätzt also, was jede IP tut, und verpasst gleichzeitig Neuzugänge.
Was bei einer veralteten Liste schiefgeht
Es gibt zwei Fehlerarten, und beide kosten Sie etwas. Die erste sind Falsch-Negative: Ein kürzlich gestarteter Exit steht nicht auf Ihrer Liste, sodass Datenverkehr, den Sie anders behandeln wollten, unmarkiert durchläuft. Die zweite sind Falsch-Positive, die meist mehr Schaden anrichten. Eine Adresse, die früher ein Exit war, gehört jetzt einem normalen Hosting-Kunden, einem kleinen Unternehmen oder einem Privatanschluss, aber Ihre eingefrorene Liste kennzeichnet sie weiterhin als Tor. Echte Nutzer werden für etwas, das sie nicht tun, herausgefordert oder gesperrt, und niemand bemerkt es, weil die Regel in der Konfiguration korrekt aussieht.
Veraltete Listen verleiten außerdem dazu, ganze Bereiche zu sperren, um Lücken auszugleichen. Das vervielfacht die Falsch-Positiven, denn die Nachbarn eines Relays in einem Hosting-Bereich sind oft unbeteiligte Dienste. Mehr Kontext dazu, warum ein Tor-Flag allein ein schwacher Grund für eine Zugriffsverweigerung ist, finden Sie unter Tor-Exit-Nodes erklärt.
Wie ein aktuellerer Ansatz aussieht
Die Lösung ist nicht cleveres Matching, sondern ein kurzes Aktualisierungsintervall und eine Möglichkeit, Einträge altern zu lassen. Rufen Sie die Liste nach Zeitplan ab, ersetzen Sie sie atomar, statt endlos anzuhängen, und betrachten Sie das Alter der Daten als Teil der Antwort. Ist Ihre letzte erfolgreiche Aktualisierung älter als Ihre Toleranz, tendieren Sie zu einer weicheren Reaktion wie einer Challenge statt einer harten Sperre.
ipto übernimmt das als Dienst: Die Threat-Feeds für VPN, Tor und Missbrauch werden alle 6 Stunden aktualisiert, die IP- und ASN-Datensätze täglich. Eine IP-Abfrage liefert is_tor neben is_vpn, is_abuser und is_datacenter, sodass Sie den aktuellen Stand pro Anfrage lesen und keine Datei pflegen müssen. Sie können eine Adresse im VPN-, Tor- und Proxy-Checker ausprobieren oder auf der Threat-Feeds-Seite die veröffentlichten Listen durchsehen, um zu sehen, wie die aktuellen Daten aussehen.
Auch sechs Stunden sind keine Echtzeit, und das sollte man ehrlich sagen. Ein Relay, das vor einer Stunde gestartet ist, steht womöglich noch nicht in den Daten, und eines, das gestoppt hat, kann bis zur nächsten Aktualisierung noch markiert sein. Ein negatives Ergebnis bedeutet „nicht als Tor bekannt“, nicht „mit Sicherheit sauber“.
Tor-Daten nutzen, ohne sich zu sehr darauf zu verlassen
Weil die Liste immer etwas falsch liegt, sollten Sie Entscheidungen so bauen, dass sie Fehler tolerieren. Kombinieren Sie das Tor-Flag mit anderen Hinweisen, statt allein darauf zu reagieren. Der IP-Abuse-Checker gleicht mehrere Feeds ab, was hilft, einen datenschutzbewussten Besucher von einer Adresse zu trennen, die sich tatsächlich schlecht verhält, und der Fraud-Score-Checker fasst mehrere Signale zu einem einzigen Wert von 0 bis 100 zusammen, auf den Sie einen Schwellenwert anwenden können.
- Cachen Sie Abfragen kürzer als das Aktualisierungsintervall des Feeds, nicht tagelang.
- Bevorzugen Sie eine Challenge, ein Rate Limit oder einen zusätzlichen Verifizierungsschritt gegenüber einer dauerhaften Sperre.
- Protokollieren Sie, welches Signal eine Aktion ausgelöst hat, damit Sie Falsch-Positive später prüfen können.
- Prüfen Sie früher gesperrte Adressen erneut; eine alte Entscheidung über eine IP gilt womöglich nicht mehr.
Der Kern ist einfach: Das Tor-Netzwerk ist ein bewegliches Ziel, und der nützliche Wert einer Tor-Liste liegt in ihrer Aktualität, nicht in ihrer Größe. Behandeln Sie jeden statischen Schnappschuss als historische Aufzeichnung und bevorzugen Sie Daten mit einer angegebenen Aktualisierungsfrequenz, über die Sie nachvollziehbar entscheiden können.