IP Security Forum

Author Topic: Testbericht Steganos Internet Anonym Pro V.7.1.1  (Read 33378 times)

Offline admin

  • Administrator
  • Hero Member
  • *****
  • Posts: 250
  • Karma: 0
    • http://meineipadresse.de/
Testbericht Steganos Internet Anonym Pro V.7.1.1
« on: Saturday, 05.02.2005 19:37 »
Der Frankfurter Hersteller Steganos gibt sehr freigiebig eine 7-Tage Demoversion zum Download heraus. Das ist fair, schafft Vertrauen, und zeigt, dass er von seinem Produkt überzeugt ist.  

Die Installation ist sehr einfach und problemlos, unter XP wird nicht einmal ein Neustart verlangt. Auf der Festplatte nimmt das Programm 15 MB Platz ein, das ist nicht gerade schlank, aber noch akzeptabel. Die mehrsprachige Hilfe ist nicht sehr ausführlich, aber sorgfältig erstellt und auch für Laien lesbar geschrieben. Das Probramm selbst ist jedoch so einfach und selbst erklärend, dass zur Inbetriebnahme kein Hilfedokument erforderlich ist.

Nach dem Starten von Steganos Internet Anonym wird das Programmfenster sichtbar, in dem bei eingeschalteter Anonymisierung geografisch der Standort des jeweils verwendeten Proxies animiert dargestellt, und alle paar Sekunden den Kontinent wechselt. Nett gemacht, und geeignet, um damit bei einer Party seine Freunde zu beeindrucken:



Das An- und Abschalten der Anonymität wurde mit Firefox 1.0 und Internet-Explorer 6.0 unter Windows XP SP2 (mit aktivierter Windows-Firewall) getestet, und funktionierte problemlos. An den Browsern muss nichts verändert werden, das Umschalten hat sofortige Wirkung auf alle Browser-Sessions.

Im Internet Explorer 6 wird eine praktische Symbolleiste eingeblendet, in Firefox 1.0 nicht, was aber nicht weiter schlimm ist, weil über in Tray-Icon die Anonymisierung global ein- und ausgeschaltet werden kann. Unverständlich ist aber, warum das Tray-Icon nicht den Anonymisierungszustand unmittelbar anzeigt, erst aus dem angezeigten Menüpunkt "Anonymes Surfen abschalten" kann man schließen, dass die Anonymität wohl gerade eingeschaltet ist.

Das Programm benötigt wenig CPU-Ressourcen, aber 15 bis 25 MB belegter Arbeitsspeicher ist für ein einfaches Anonymisierungstool eindeutig zu viel.

Die Surf-Geschwindigkeit bei eingeschalteter Anonymisierung schwankte zwischen schlecht und unbrauchbar. spiegel.de war nach einer Minute lesbar, die letzten Objekte waren nach 5 min noch immer nicht geladen. Selbst nach Aktualisierung der Serverlisten besserte sich dieser Zustand nicht, obwohl fast alle der getesteten Proxies als funktionsfähig eingestuft wurden.

Die Bedienung ist selbsterklärend und einfach. Für die Anonymität wichtige Punkte, wie die Übertragung der Browserkennung, Cookies, ActiveX-Elemente, Skripte (mit mehreren Unterfunktionen) lassen sich einzeln und mit sofortiger Wirkung ab- und einschalten.

Wie zu erwarten, funktioniert das Ausblenden der Browserkennung tatsächlich, allerdings so, dass der Webserver überhaupt keine Kennung mehr erhält. Da dies in jedem Logfile sofort ins Auge springt, wäre eine verschleiernde Zufalls-Kennung besser gewesen. Völlig überraschend bleiben diese zusätzlichen Filter weiterhin aktiv, auch wenn die Anonymisierung ausgeschaltet wird. Das ist nicht nur von der Bedienung her unlogisch, sondern oft auch nicht sinnvoll, wenn z.B. aus einem Firmennetzwerk heraus zwischen normalen Intranet-Betrieb (mit akzeptierten Cookies) auf anonymisiertes Browsen im Internet (ohne Cookies) umgeschaltet werden soll.

Das Anonymisieren des Browsers ist dennoch mangelhaft, denn es reicht nicht aus, nur die eigentliche Browser-Kennung zu verbergen, wenn sämtliche Kennngen bezüglich MINE-Type, Sprache, Codierung und Zeichensatz munter weiter übertragen werden. Weil diese Werte für jede Browser-Version und -Einstellung anders sind, kann in einem kleinen Firmennetz wahrscheinlich schon allein darüber der jeweilige PCs identifiziert werden. Folgende Informationen sendet beispielsweise Firefox 1.0 bei voll aktivierter Anonymität von Steganos zum Webserver:

Quote
HTTP_ACCEPT:
text/xml,application/xml,applicatio
n/xhtml+xml,text/html;q=0.9,text/pl
ain;q=0.8,image/png,*/*;q=0.5

HTTP_ACCEPT_LANGUAGE
de-de,de;q=0.8,en-us;q=0.5,en;q=0.3

HTTP_ACCEPT_ENCODING
gzip,deflate

HTTP_ACCEPT_CHARSET
SO-8859-1,utf-8;q=0.7,*;q=0.7

Viele Anonymisierungsdienste haben Schwierigkeiten mit Webseiten, die eine Authentifizierung verlangen. Mit Steganos Internet Anonym 7 funktionierte die einfache (unverschlüsselte) Anmeldung an einem Microsoft Echange 2003 Web Access Server, sowie die Anmeldung an einem GroupWise 6.0 Web Account einwandfrei. Die Anmeldung beim Norisbank Web-Banking klappte dagegen nicht: erst gab es Timeouts, dann Zope-Fehlermeldung vom Proxy, und danach wurde trotz richtigeer URL statt der Norisbank die Homepage einer britischen "set rental company" angezeigt. Java scheint ebenfalls nicht zu funktionieren.

Im Laufe der Evaluierung wurde deutlich, dass Steganos Internet Anonym auch Proxies verwendet, die überhaupt nicht anonymisieren!  Es handelte sich um den Server "proxyche02.or4.marketscore.com", der gleich an zwei Stellen die IP-Adresse des Benutzers mitteilt:

Quote
HTTP_CLIENT_IP : 217.81.114.8
HTTP_X_FORWARDED_FOR : 217.81.114.8, 10.103.4.121

Als abschliessend getestet werden sollte, was bei einer gesicherten https-Verbindung passiert, stellte sich heraus, dass solche gesicherten Webseiten an Steganos vorbei völlig ohne jede Anonymisierung direkt vom PC des Benutzers zum Ziel-Server geschickt werden! Das war sowohl bei Firefox als auch beim Internet-Explorer so, und es gab auch keine Warnmeldung. Im Gegenteil zeigte das IE-Toolbar unverändert den Status als "anonymisiert" an. Weil wir das zunächst nicht glauben wollten, wurde mit einem Netzwerkanalysator nachgemessen, und es stimmte: SSL-Pakete werden unmittelbar zum Zielserver geschickt. Dieses Verhalten ist für ein Anonymisierungstool nicht akzeptabel.

Gesamtbewertung: Ein leicht zu bedienendes, gefälliges Tool zur anonymen Surfen im Internet. Die Geschwindigkeit des anonymen Surfens ist für den Dauereinsatz nicht geeignet. Steganos Internet Anonym hat so gravierende Mängel in der Anonymisierung, dass man es nicht anders als unbrauchbar bezeichnen kann.

Offline lawine

  • Newbie
  • *
  • Posts: 7
  • Karma: 0
Re: Testbericht Steganos Internet Anonym Pro V.7.1.1
« Reply #1 on: Monday, 20.06.2005 08:55 »
Insofern - weil u.a. auch bei SSL-Verbindungen gewarnt wird - finde ich das Produkt "Archycrypt Stealth" sicherer (www.archicrypt.com). Ein weiteres Problem scheint auch die Auswahl der "freien" Proxies durch diese Programme zu sein. Die "testen" zwar auf "Anonymität", aber eliminieren nicht proxies, die sich bald als unbrauchbar herausstellen.

Als unbrauchbar stellen sich oft proxies heraus, die kein POST beherrschen oder von den Einstellungen her schon sehr viele web-sites gesperrt haben oder die Nutzung zeitlich oder anders stark einschränken, sodass man häufig den Fehler 404 zu sehen bekommt.

Kritisch oder bedenkenswert finde ich da auch, dass die gewählten, gratis-proxies u.a. auch login-Daten "durchschleusen" und wenn man die Betreiber dieser freien proxies nicht kennt, weiß man eigentlich nicht, ob und wer eventuell diese login-Daten sammelt, um sie für andere, ungewollte Zwecke zu nutzen.

Statt dieser Programme bevorzuge ich schon länger die Varianten a) JAP oder b) TOR+privoxy oder - seit neuestem - c) JAP+TOR, nachdem JAP nunmehr auf die TOR-server zurückgreifen kann.
lg