De knooppunten in het anonieme Tor-netwerk (bron: Onionview)
Webbeveiliging is tegenwoordig een belangrijk punt gezien het vele misbruik dat er van het wereldwijde web wordt gemaakt, maar zijn twee sloten ook beter dan een (enz)? Is een virtueel particulier netwerk in combinatie met de anonimiteitssurfer Tor ook veiliger? Niet per se stellen onderzoekers rond Matthias Fassl van het Helmholtzinstuut voor informatiebeveiliging CISPA. Zulke opvattingen die ook op sociale media en andere platforms rondwaren noemen ze beveiligingssprookjes (of eigenlijk -folklore).
Tor en vpn zijn twee toepassingen die je minder zichtbaar maken op het web. Met de Tor-webrauzer kun je anoniem op het web actief zijn. Via vpn is je webverbinding beveiligd en kun je ook van ip-adres veranderen (net of je ergens anders woont in de webwereld). Zo’n vpn is ook een manier om censuur te omzeilen door voor te doen of je elders woont en niet in het censurerende land.
De onderzoekers zochten uit wat gebruikers verwachten van Tot bovenop vpn, dus twee sloten. Fassl: “We wilden vooral kijken wat mensen van de combinatie verwachten.(…) We hebben hoeveel mensen die combinatie gebruiken geteld via knooppunten op het Tor-netwerk.” 6,23% bleek ook vpn te gebruiken naast de Tor-webrauzer.
Daarna hebben ze Tor-bovenop-vpn-gebruikers gevraagd wat ze van de combinatie verwachten. Daarbij bleek die groep in twee groepen uiteen te vallen: een groep die altijd vpn gebruikt en een die alleen vpn gebruikt als hij/zij het Tor-netwerk op gaat. Vooral die laatste groep was sterk vertegenwoordigd.
In de derde onderzoekstrap bekeken de onderzoekers wat er zoal op het web hierover verteld wordt. Veel dubbeleslotgebruikers denken dat een vpn ze beschermt tegen de gevaren op het duistere (Tor)web. Daar is een vpn helemaal niet voor nodig, stellen de onderzoekers. Fassl: “Duidelijk is dat een vpn niet nodig is om een Tor-webrauzer veilig te kunnen gebruiken om anoniem te surfen. De voordelen van Tor bovenop vpn zijn tot nu toe niet gevonden.”
Folklore
Zo’n verhaal behoort, vinden de onderzoekers, tot de beveiligingsfolklore op het wereldwijde web die in allerlei groepen en platforms wordt doorverteld. Dat hoeft niet eens uitdrukkelijk zo gesteld te worden. Het kan ook zijn dat mensen zoiets op tv of in films zien. Mensen zijn ook eerder geneigd bepaalde technieken te gebruiken als ze die ook bij anderen hebben gezien, stellen Fassl c.s.
Het is duidelijk dat, ook op dit terrein, niet de deskundigen te toon zetten, maar de ‘praatjesmakers’ (beïnvloedersters?). Fassl: “We hadden liever gezien dat mensen beveiligingssystemen gebruiken die bij ze passen en waarvan ze ook weten wat die doen. Dat is in werkelijkheid duidelijk niet zo.”
Daar tegenin gaan is een heel karwei, misschien wel ondoenlijk. Veel mensen zijn al blij als ze zonder al te veel brokken op het web kunnen ronddarren, laat staan dat ze weten hoe dat allemaal werkt.
Fassl stelt gefascineerd te zijn door dynamica van die processen. “Ik zou graag systematischer willen kijken naar wat Hollywoodfilms, tv-series en Netflix met dit thema doen.”
Bron: idw-online.de