Erfahrungsbericht: Einen toten Torrent-Tracker wiederbelebt und 3 Millionen Peers gefunden

• Der Autor erwarb die Domain eines toten Torrent-Trackers und betrieb selbst opentracker
• Nach der Wiederbelebung des Trackers versuchten 1,7 Millionen Torrents und 3,1 Millionen Peers automatisch, sich zu verbinden
• Im BitTorrent-Protokoll übernimmt der Tracker eine zentrale Rolle; ohne Tracker wird Dateifreigabe schwierig
• Es gibt auch dezentrale Alternativen wie Mainline DHT, diese haben jedoch Grenzen und Schwachstellen
• Aufgrund rechtlicher Risiken löschte der Autor schließlich die Domain und den VPS

---

Überblick

• Beim Herunterladen von Torrents wie Linux-ISOs stellte der Autor fest, dass die meisten Tracker tot waren
• Er bemerkte, dass die „tote“ Tracker-Domain (udp://open.demonii.si:1337/announce) nicht registriert war
• Er kaufte die Domain, installierte opentracker auf einem VPS und betrieb damit tatsächlich einen Tracker

Was ist ein BitTorrent-Tracker?

• Ein Tracker fungiert im BitTorrent-Protokoll als zentraler Dienst, der Verbindungen zwischen Peers (Nutzern) unterstützt
• Wenn ein Tracker nicht betrieben wird, können Nutzer einander nicht finden und Dateifreigabe wird unmöglich
• Wenn Tracker nicht gepflegt werden oder unter rechtlichen Druck geraten, führt das zu Unannehmlichkeiten für Nutzer

Dezentrale Alternativen (DHT) und ihre Grenzen

• Mainline DHT unterstützt die Peer-Suche ohne Tracker über ein verteiltes Netzwerk
• DHT hat Grenzen wie die Abhängigkeit von Bootstrap-Nodes und die Anfälligkeit für Sybil-Angriffe
• Bei den vom Autor getesteten Torrents konnten auch über DHT keine Peers gefunden werden

Aufbau des Trackers

• Nach dem Kauf der Domain verband der Autor sie mit einem anonymen VPS
• Mit opentracker (der am häufigsten verwendeten Torrent-Tracker-Software) wurde der Tracker-Server schnell eingerichtet
• Nach dem Start des Systems wurde festgestellt, dass großer Traffic über UDP-Port 1337 eintraf
• Schon nach einer Stunde zeigten die Statistiken Verbindungsversuche von 1,73 Millionen Torrents und 3,15 Millionen Peers

Tracker-Statistiken

• Bestätigt wurden 1.735.538 Torrents, 3.155.701 Peers, 1.342.504 Seeder (vollständige Kopien) und 244.224 abgeschlossene Downloads
• Es wurden Daten zu verschiedenen Anfragetypen wie TCP/UDP-Verbindungen, Announce und Scrape erfasst
• Auch Zugriffs- und Fehlerstatistiken wurden analysiert; es gab einige Parameterfehler (400 Invalid Parameter) und eine kleine Zahl von 404 Not Found-Fehlern

Rechtliche Fragen

• Öffentlich zugängliche Websites, die Bewerbung von .torrent-Dateien und Werbeeinnahmen können rechtlich als Förderung von Urheberrechtsverletzungen problematisch sein
• Das bloße Betreiben der Tracker-Infrastruktur macht die rechtliche Verantwortung weniger eindeutig. Ein zentraler Punkt kann jedoch der Nachweis der Absicht sein
• Dem Autor war bewusst, dass sowohl freie als auch urheberrechtlich geschützte Torrents diesen Tracker nutzten

Schlussfolgerung

• Wegen rechtlicher Bedenken und der Zahlung unter echtem Namen (z. B. per Kreditkarte) gab der Autor VPS und Domain schnell wieder auf
• Er weist darauf hin, dass es weiterhin viele ungenutzte Tracker-Domains gibt, die interessierte Nutzer leicht registrieren können
• Genannt werden öffentlich registrierbare Tracker-Domains wie open.demonii.si

Abschluss

• Der Text vermittelt aus praktischer Erfahrung die Rolle und Verwundbarkeit zentralisierter Tracker-Infrastruktur im BitTorrent-Ökosystem sowie die Grenzen dezentraler Technologien
• Eindrucksvoll ist, dass selbst nach der Wiederbelebung einer lange toten Tracker-Domain sofort Millionen von Peers Verbindungsversuche starteten
• Außerdem werden Hinweise auf die rechtlichen Risiken beim Betrieb solcher Infrastruktur gegeben

[GN⁺]

Hacker-News-Kommentare

• In diesem Fall wird der Tracker nicht direkt gehostet, sondern es werden nur eingehende Verbindungen beobachtet, daher gibt es meiner Meinung nach kaum einen Grund, warum das illegal sein sollte. Selbst wenn man einen Tracker betreibt, ist es nicht leicht nachzuweisen, dass das tatsächlich illegal ist. So etwas wie opentrackr zu hosten, ist ähnlich wie eine Suchmaschine zu betreiben. Der entscheidende Punkt ist, wie man auf rechtliche Löschungsaufforderungen reagiert. Der Tracker selbst ist ziemlich einfache Server-Software. Dass so etwas illegal sein soll, erscheint mir etwas seltsam

  • Statt zu fragen: „Ist das legal?“, ist die viel praktischere Frage: „Wie hoch ist die Wahrscheinlichkeit, verklagt zu werden?“ Zivilklagen kann man unabhängig davon abbekommen, ob etwas legal ist oder nicht. Wenn Anwälte einen ins Visier nehmen, wird es sehr lästig
  • Wer absichtlich bei einer Straftat hilft, wird so behandelt, als hätte er sie selbst begangen. Nach US-Bundesrecht (18 USC 2a, Referenzlink) ist man nicht allein deshalb freigestellt, weil es „nur Software“ ist. Es gibt einige sichere gesetzliche Ausnahmen, insbesondere im Urheberrecht, aber grundsätzlich sollte man davon ausgehen, dass die Unterstützung fremder Straftaten selbst ebenfalls eine Straftat ist. Ich bin kein Anwalt, aber es ist wohl am sichersten, Beihilfe zu vermeiden
  • Man sollte zwischen einem Tracker (einem Server zur Koordination zwischen BitTorrent-Peers) und einem „Tracker“ (einer Website, die .torrent-Dateien und Magnet-URIs hostet) unterscheiden. Tatsächlich richteten sich rechtliche Takedown-Maßnahmen auf Letztere, also auf Websites, die .torrent-Dateien oder Links hosteten
  • (Ich bin kein Experte, aber) je nach Umständen kann es legal oder illegal sein. Wenn man auf Löschungsaufforderungen nicht reagiert, tendiert es eher in Richtung illegal. Wenn man dagegen auf Löschungsaufforderungen reagiert und Hashes auf eine Blacklist setzt, ist man wahrscheinlich meist auf der sicheren Seite. Das hängt natürlich von der Gerichtsbarkeit und davon ab, ob die Zuordnung von Hash zu IP:Port selbst schon als Verbreitung oder Beihilfe gilt (siehe den TPB-Fall). Jemand, den ich kenne, betreibt seit Jahren einen großen Tracker, verarbeitet Löschungsaufforderungen per Blacklist und lebt damit noch immer problemlos
  • Die Musik- und Filmindustrie hasst P2P allgemein und hat meiner Meinung nach in den 2000ern das P2P-Ökosystem faktisch getötet. Irgendwann sollte das erneut diskutiert werden. Heute ist Lizenzerwerb einfacher geworden, und wenn man nur DRM gut durchsetzt, müsste man sich eigentlich keine Sorgen machen

• Es gibt viele verschiedene BitTorrent-Clients, und ein erheblicher Teil davon ist in nicht speichersicheren Sprachen geschrieben. Daher stellt sich die Frage, ob ein bösartiger Tracker nicht manche Clients angreifen könnte. Wenn ein Client vom Tracker ungewöhnliche Daten erhält, könnten einige Clients damit vielleicht nicht korrekt umgehen und dadurch verwundbares Verhalten zeigen

  • Bei Transmission gab es mit CVE-2018-5702 eine DNS-Rebinding-Schwachstelle, die Remote Code Execution ermöglichte. Angriffe über Tracker sind meiner Meinung nach also ein reales Risiko
  • Die meisten Torrent-Clients, die Nutzer verwenden, sind Wrapper um die Bibliothek libtorrent. libtorrent ist gut getestet und wurde sicherheitsgeprüft, daher ist sie recht vertrauenswürdig
  • Ich habe auch aus Hobbygründen einmal einen Client gebaut, und unterm Strich lautet die Antwort: ja. Man verarbeitet Eingabedaten vom Server und interagiert dabei komplex mit dem Dateisystem. Schon in einer speichersicheren Sprache ist es schwer, das gerade so zum Laufen zu bringen, und in C oder C++ wirklich vollständig sicher zu bauen, ist meiner Meinung nach ziemlich knifflig
  • Es gibt auch viele andere Programme, die nicht in Rust geschrieben sind, also muss man sich vielleicht nicht zu viele Sorgen machen (oder man könnte auch sagen, dass jede Software riskant sein kann)
  • Ich hätte mir gewünscht, dass dieser technische Bedrohungsaspekt im Artikel stärker untersucht worden wäre

• Im Ergebnis bedeutet das, dass man allein durch das Registrieren einer Domain und das Veröffentlichen bestimmter DNS-Records jede gewünschte IP per DDoS angreifen könnte

  • Das Announce-Intervall gängiger Clients ist ziemlich lang (ungefähr 30 Minuten). Aber bei 3 Millionen Peers kann das allein schon Netzlast erzeugen
  • Ich bezweifle, dass das wirklich ein so ernstes Risiko ist. Die BitTorrent-Clients, die ich genutzt habe, warten bei fehlgeschlagenen Verbindungen mindestens etwa 60 Sekunden. Selbst wenn man eine tote Tracker-Domain kauft und Verbindungen auf die IP eines Dritten lenkt: Wenn auf diesem Port gar kein Dienst läuft und das Tracker-Protokoll nicht gesprochen wird, ist fraglich, ob selbst Hunderttausende oder Millionen Clients dann tatsächlich ein großes Problem verursachen

• Eine täglich aktualisierte Tracker-Masterliste gibt es hier. Damit könnte man weitere tote Tracker finden

• Meine erste Frage wäre, wie viele BitTorrent-Clients überhaupt verwundbaren Parsing-Code haben. Es liegt die Vermutung nahe, dass jemand durch eine bösartige Domain-Registrierung Clients infizieren könnte

  • Das erinnert mich an Jon Evans’ Roman „Invisible Armies“ und an die Szene darin, in der der Autor mithilfe von Bugs/Backdoors in P2P-Software Systeme übernimmt
  • utorrent v2.1 wird noch immer von vielen Menschen verwendet, und Schwachstellen gibt es dort definitiv

• Die Situation ist ähnlich wie damals, als Cloudflare die IP-Adresse 1.1.1.1 übernommen hat. Sobald die Domain verfügbar war, schickten unzählige automatisierte Skripte und Bots Traffic dorthin

  • Ich frage mich, wie Cloudflare diese Adresse überhaupt bekommen hat

• Ich habe früher einmal experimentell kurz einen privaten Tracker betrieben. Der eigentliche Betrieb war sehr kurz, und ich habe die Funktionsweise von Trackern nicht tiefgehend analysiert (ich habe den in Rust geschriebenen Aquatic-Tracker ausprobiert, nachdem ich dort WebTorrent-Support angefragt hatte, Aquatic-Link). Ich frage mich, was ein Tracker hauptsächlich nachverfolgt und ob er aus dem Informationsaustausch zwischen Peers direkt irgendetwas erkennen kann. Ich vermute, dass er lediglich Treffen zwischen Peers anhand von Hashes oder Magnet-Werten vermittelt. Auch ein Magnet muss nicht zwingend identifizierende Informationen enthalten, denke ich (viele Magnet-Links enthalten zusätzlich menschenlesbare Beschreibungen). Ein Tracker könnte zwar den Hash nehmen und die betreffende Datei selbst herunterladen, um sie zu prüfen, aber ohne direkten Download dürfte es schwer sein, zuverlässig zu wissen, um welchen Inhalt es sich tatsächlich handelt. Ich frage mich, welche Elemente eines Magnet-Links für das Peer-Matching wirklich notwendig sind und ob ein Tracker menschenlesbare Felder ignorieren oder blockieren kann, um neutral zu bleiben

  • Ein Tracker arbeitet nur mit dem Info-Hash eines Torrents. Dateiname, Beschreibung, Inhaltsliste oder sonst irgendetwas verarbeitet er nicht. Zum Beispiel unterstützt opentracker sowohl Whitelist- als auch Blacklist-Modus. Die meisten offenen Tracker (z. B. torrent.eu, opentrackr.org usw.) arbeiten im Blacklist-Modus und erlauben fast allen Nutzern, (fast) alle Inhalte zu finden
  • Ein Tracker kann tatsächlich wissen, welche Inhalte er nachverfolgt. Der Tracker für TV-Programme, den ich früher betrieben habe, verfolgte und verwaltete sogar das Upload-/Download-Verhältnis jedes Nutzers

• Man kann die Domain in Russland, China, Iran usw. registrieren und die Website bei Alibaba hosten. Selbst wenn aus den USA rechtlicher Druck kommt, wird das in solchen Ländern in dem Moment praktisch wirkungslos, in dem es dort ankommt. In der Praxis ist rechtliches Vorgehen dort fast unmöglich

• Ich bin kein Anwalt, aber soweit ich weiß, ist es in den USA legal, einen inhaltsneutralen Tracker zu betreiben. In anderen Ländern kann das allerdings durchaus illegal sein, und es hängt auch vom Standort des VPS und vom TLD-Land (.si usw.) ab

  • Wenn man sucht, findet man Tracker, die von US-Behörden zwangsweise abgeschaltet wurden (EliteTorrents, 2005, zugehöriger Artikel). Vermutlich gibt es noch weitere Fälle. Viele Tracker wurden auch durch Zivilklagen geschlossen, etwa durch Schadensersatzklagen von Organisationen wie der MPAA. Wenn der Großteil der Liste aus urheberrechtlich geschützten Inhalten besteht, kann ein Tracker auch in den USA durchaus geschlossen werden
  • Früher gab es einen großen öffentlichen Tracker unter .si. Wer in Slowenien seit fast 20 Jahren online unterwegs ist, hat ihn wahrscheinlich mindestens einmal benutzt. Dieser Tracker verschwand nicht allein durch rechtliche Mitteilungen
  • Der VPS befindet sich laut cockbox.org (siehe Artikel) bei diesem Anbieter, dessen Hauptsitz angeblich in Moldau liegt

• Wenn jemand die suprnova-Domain (die 2004 geschlossen wurde) erneut kaufen würde: Könnte man dann alte Downloads fortsetzen, falls es noch aktive Seeder gibt? Ich frage mich auch, ob Torrents aus der Zeit vor DHT davon betroffen wären. Und ich würde gern wissen, ob DHT in dem Sinn „historisch“ ist, dass es auch alte Torrents abdeckt

  • DHT ist tatsächlich „historisch“. Das heißt: Solange der Infohash übereinstimmt, funktioniert es unabhängig davon, wann der Torrent erstellt wurde. Allerdings haben Torrents, die typischerweise von privaten Trackern erzeugt wurden, oft das private-Flag gesetzt, wodurch sie von DHT, PEX und einigen anderen Funktionen ausgeschlossen werden. Dieses Flag kann man zwar selbst entfernen, aber damit DHT funktioniert, müsste auch der Seeder dieses Flag entfernt haben
  • DHT funktioniert jederzeit, sofern der Client die Funktion aktiviert hat. Wenn alte Seeder ihre Clients auf neuere Versionen aktualisiert haben, könnten Metadaten automatisch ins DHT geteilt werden
  • Theoretisch ist so ein Szenario also durchaus möglich