Eine sichere, dezentralisierte Suchmaschine für Journalisten
Das International Consortium of Investigative Journalists (ICIJ), das mehr als 200 Mitglieder in 70 Ländern zählt, hat eine Reihe wichtiger Geschichten veröffentlicht, insbesondere solche, die medizinische Betrügereien und Steuerhinterziehung ans Licht brachten. Eine seiner bekanntesten Untersuchungen waren die Panama Papers, eine Fundgrube von Millionen von Dokumenten, die die Existenz von mehreren hunderttausend Briefkastenfirmen aufdeckten, deren Eigentümer Persönlichkeiten aus Kultur, Politik, Wirtschaft und Sport waren. Eine Untersuchung dieser Grössenordnung ist nur durch internationale Zusammenarbeit zwischen Journalistinnen und Journalisten möglich. Bei der Weitergabe solch sensibler Dateien kann ein Leck jedoch nicht nur die Veröffentlichung der Geschichte, sondern auch die Sicherheit der beteiligten Journalistinnen und Quellen gefährden. Im Auftrag der ICIJ entwickelte das Security and Privacy Engineering (SPRING) Lab der EPFL kürzlich das DataShare-Netzwerk, ein vollständig anonymes, dezentralisiertes System für die Suche und den Austausch von Informationen. Ein Vortrag darüber wird während des Usenix Security Symposium, einer weltweiten Referenz für Spezialisten, gehalten, das vom 12. bis 14. August online stattfindet.
Anonymität in jeder Phase
Anonymität ist das Rückgrat des Systems. Die Benutzer können Informationen suchen und austauschen, ohne ihre Identität oder den Inhalt ihrer Anfragen preiszugeben, weder gegenüber Kolleginnen noch gegenüber dem ICIJ. Das Konsortium stellt sicher, dass das System ordnungsgemäss funktioniert, kennt aber die ausgetauschten Informationen nicht. Es gibt virtuell sichere Token aus, die Journalistinnen und Journalisten an ihre Nachrichten und Dokumente anhängen können, um anderen zu beweisen, dass sie Mitglieder des Konsortiums sind. Ein zentralisiertes Dateiverwaltungssystem wäre ein zu auffälliges Ziel für Hacker. Da das ICIJ nicht über Server in verschiedenen Gerichtsbarkeiten verfügt, werden die Dokumente in der Regel auf den Servern oder Computern seiner Mitglieder gespeichert. Die Benutzerinnen und Benutzer stellen nur die Elemente zur Verfügung, die es anderen ermöglichen, einen Link zu ihrer Untersuchung herzustellen.
Benutzer, die nach Informationen suchen, geben Schlüsselwörter in die Suchmaschine ein. Ergibt die Suche Treffer, können sie sich an Kolleginnen – deren Identität geschützt bleibt – wenden, die im Besitz von potenziell relevanten Dokumenten sind. Die Suchanfragen werden verschlüsselt an alle Benutzerinnen und Benutzer verschickt, bei einer Übereinstimmung erhält der Anfragende eine Benachrichtigung und kann entscheiden, ob er in Kontakt treten und Informationen austauschen möchte. «Angesichts der Tatsache, dass die Benutzer in verschiedenen Zeitzonen arbeiten, von denen einige nur wenige Stunden pro Tag Zugang zum Internet haben, war es entscheidend, dass Suchanfragen und Antworten asynchron erfolgen können», bemerkt Carmela Troncoso, die das SPRING Lab leitet. Ein anderes Nachrichtensystem, ebenfalls sicher und anonym, wird anschliessend für den Austausch in beide Richtungen verwendet.
Zwei völlig neue sichere Anwendungen
«Dieses System, das auf die Bedürfnisse der realen Welt eingeht, hat es SPRING ermöglicht, einige interessante Herausforderungen zu bewältigen», so Troncoso. Das Forschungsteam stützte sich auf bestehende Authentifizierungs- und anonyme Kommunikationsmechanismen, die es dann optimierte. Sie entwickelten auch zwei völlig neue sichere Bausteine, die in dem heute im Zusammenhang mit dem Usenix-Sicherheitssymposium veröffentlichten Paper beschrieben werden – eine asynchrone Suchmaschine und ein Messaging-System. Ein neues Protokoll, das als «multi-set private set intersection» (MS-PSI) bekannt ist, gewährleistet die Sicherheit der Suchmaschine und ermöglicht es den Benutzerinnen und Benutzern, problemlos eine grosse Anzahl von Datenbanken zu durchsuchen, ohne das Risiko von Lecks zu erhöhen. Das Nachrichtenübermittlungssystem stützt sich auf eine grosse Anzahl virtueller Einweg-Mailboxen und basiert auf dem bekannten «Schubladen»-System, bei dem eine Option nach dem Zufallsprinzip ausgewählt wird, in diesem Fall eine der Mailboxen. Gegenwärtig erlaubt das System den Benutzerinnen nicht, Dokumente auszutauschen. «In diesem Stadium des Prozesses verwenden die Journalisten andere sichere Nachrichtensysteme», sagt Troncoso.
Die Zusammenarbeit mit dem Konsortium hat es SPRING ermöglicht, neue Anforderungen zu formulieren, die in der wissenschaftlichen Literatur selten untersucht werden. DataShare kann auf Tausende von Benutzern und Millionen von Dokumenten skaliert werden, während die gesamte Kommunikation verschlüsselt wird. «Die Hürden, auf die wir während des Entwicklungsprozesses gestossen sind, haben jedoch den Weg zu einem neuen Forschungsgebiet mit erheblichem Potenzial für andere Bereiche geebnet», so Troncoso abschliessend.
