☰

Cloudflare-Endlosschleife (Überprüfen, ob die Site-Verbindung sicher ist)

tag-icon • tag-icon security tor cloudflare tails
Cloudflare-Endlosschleife (Überprüfen, ob die Site-Verbindung sicher ist)

Was kann ich tun, um die Endlosschleife „Überprüfen, ob die Site-Verbindung sicher ist“ von CloudFlare zu beheben?

Ich versuche, eine Website zu laden. Das allererste GET wird an eine von Cloudflare betriebene Zwischenseite gesendet, auf der steht

Überprüfen, ob die Site-Verbindung sicher ist

[site] muss die Sicherheit Ihrer Verbindung überprüfen, bevor es fortfährt.

Wenn die Seite zum ersten Mal geladen wird:

  1. zuerst erscheint ein sich drehender Kreis
  2. dann verschwindet der Kreis
  3. dann erscheint eine reCAPTCHA-ähnliche graue Tabelle mit einem „Challenge Spinner“, aber alles, was dort steht, ist Verifying...mit einem grünen Spinner. Das bleibt so für einelangZeit, und ich drehe frustriert Däumchen.
  4. dann verschwindet schließlich der "Challenge Spinner" und ein weiterer grauer Kreis erscheint
  5. Anschließend wird die Seite vollständig neu geladen, diesmal mit einem „Challenge Spinner“ mit einem Kontrollkästchen mit der Aufschrift Verify you are human.
  6. Ich klicke auf das Kontrollkästchen und es ändert sich wieder in den grünen Spinner.
  7. Dann verschwindet der Challenge-Spinner
  8. Dann erscheint ein grauer Spinner
  9. Dann wird die Seite neu geladen und mir wird erneut ein anderer „Challenge Spinner“ mit der Meldung angezeigt Verify you are human.
  10. GEHE ZU 6

Ich versuche, in TAILS auf eine Website zuzugreifen (aus Sicherheitsgründen mit dem Tor-Browser). Dieses Problem tritt bei einem Neustart auf. Es versteht sich von selbst, dass ich nichts Böses tue, aber ich sage es trotzdem:Ich habe lediglich die Domain in die Adressleiste eingegeben und gedrückt<enter>.

Ist das ein Fehler? Ich stecke seit einer halben Stunde in dieser Endlosschleife. Wie kann ich CloudFlare beweisen, dass ich ein Mensch bin, und dieser Endlosschleife entkommen?

Antwort1

Im Internet weiß niemand, wie du aussiehst

Das Internet basiert aufeine ganze Reihe von Protokollen, die zusammenarbeiten. Um nur zwei zu nennen: TCP/IP schreibt vor, dass Sie eine IP benötigen, um überhaupt eine Antwort zu erhalten, und HTTPS gibt den Port an und wie die Daten zwischen Ihnen und dem Server verschlüsselt werden.

Der Captcha-Dienst weiß nun genau eine sichere Sache über Sie: Ihre IP. Und jetzt schauen wir uns TOR-Browser im Vergleich an:

Auf der grundlegendsten Ebene leiten TOR-Browser ihren Datenverkehr von Ihrem Computer an einen speziellen Server weiter, wo die Anfrage für einen Moment gespeichert wird, während dieser Server dieselbe Anfrage an den eigentlichen Server sendet, mit dem Sie kommunizieren möchten, wobei er jedoch die IP dieses speziellen Servers als „Absender“ verwendet. Und hier beginnen die Dinge sich aufzulösen:

  • Viele Captcha-Dienste vergleichen die IP des Absenders mit einer Liste bekannter, schädlicher IPs, die häufig von böswilligen Personen verwendet werden. Diese Liste enthält den bekannten Teil des TOR-Netzwerks.
  • TOR-Knoten teilen IP-Adressen untereinandervieleBenutzer. Wenn Bob und Alice beide denselben Knoten verwenden, werden Bobs und Alices Antworten auf das Captcha auf der Captcha-Seite gleich behandelt, was dazu führt, dass der Dienst es als fehlgeschlagen oder als nicht menschliche Aktivität erkennt. Tatsächlich kann dies zum obigen Punkt zurückführen: So werden IPs auf die schwarze Liste gesetzt.
  • TOR-Knoten brauchen Zeit, um Dinge zu erledigen. Dies kann zu Timeouts auf der Captcha-Dienstseite und damit zur Ablehnung der Antworten führen.
  • TOR-Setuperfordertden TOR-Knoten als „Man-in-the-Middle“ für Ihre Kommunikation mit jedem Server zu verwenden. Dies kann zu Verschlüsselungsfehlern bei HTTPS führen, was zur Ablehnung von Nachrichten auf der Serverseite führt.

Dies ist keine vollständige Liste der Gründe, warum die Captcha-Antwort abgelehnt wird, sondern nur ein Blick hinter die Kulissen destechnischSeite. Um die Schleife abgelehnter Antworten oder Verbindungen zu umgehen, müssen Sie möglicherweise auf TOR verzichten, damit Sie die technischen Einschränkungen einhalten können. Es ist möglicherweise möglich, über einen anderen TOR-Knoten oder VPN zu laufen und auf diese Weise eine Verbindung herzustellen, aber Sie haben möglicherweise trotzdem Probleme mit Verbindungstimeouts.

Zur rechtlichen Seite...

Auf der rechtlichen Seite wurde dies auf Law.SE gefragt- und um es anders auszudrücken: Es ist eine Sache von "ohne Hemd, ohne Schuhe, kein Service". Oder umformuliert für das Internet: "Wir bedienen keine TOR-Benutzer". Es liegt an der Website, ihre Nutzungsbedingungen so zu gestalten, dass sie nicht diskriminiert aufgrund vongeschützte Merkmale- und die Verwendung von TOR ist keine geschützte Eigenschaft, was uns wieder zur technischen Seite zurückführt: Sie dürfen bekannte TOR-IPs blockieren und tun dies daher auch.

Antwort2

Es ist möglicherweise nicht möglich.

Im Gegensatz zu Offline-BereichenEs ist derzeit legal, dass ein Unternehmen Sie diskriminiertrein auf der Grundlage vonwie du aussiehstindem sie Ihnen den Zugriff auf ihre Online-Räumlichkeiten verweigern.

Leider verwendet CloudFlare (ein privates, gewinnorientiertes Unternehmen) Methoden, um Kunden den Zugriff auf die Website eines Unternehmens zu verweigern. Diese basieren auf Closed-Source-Algorithmen, die aus Gründen der Transparenz (noch) nicht gesetzlich verpflichtet sind, der Öffentlichkeit zugänglich zu machen (um sicherzustellen, dass sie nicht aufgrund unrechtmäßiger Diskriminierung gegen das Gesetz verstoßen).

Es ist sehr wahrscheinlich, dass diese Fingerprinting-Algorithmen (die dafür berüchtigt sind, dass sie Fehlalarme liefern, die zu weitverbreiteter Diskriminierung im Internet führen) maschinelle Lernalgorithmen verwenden. Glücklicherweise hat die EU im Jahr 2023 mit der Ausarbeitung von Gesetzen begonnen, die Offenlegung, öffentliche Überprüfung und Beschränkungen von KI-gestützten Algorithmen vorschreiben. US-Gesetzgeber haben sich auch mit führenden Experten für KI-Algorithmen getroffen, um über Vorschriften zu diskutieren.

Lobbyarbeit bei der Regierung

Hoffentlich werden wir eines Tages Datenschutzgesetze haben, die Verbraucher vor Unternehmen schützen, die sie aufgrund ihres Aussehens diskriminieren (und stattdessen nur Schutzmaßnahmen auf der Grundlage vonwie du dich verhältst), aber derzeit ist die beste Lösung für dieses Problem:Schreiben Sie an Ihre Gesetzgeber und spenden Sie an Lobbyisten von NGOs für digitale Rechte wie EFF, Open Rights Group, Privacy International usw..

Lobbyarbeit bei Unternehmen

Sie können sich auch an das Unternehmen wenden und es darüber informieren, dass sein Cloudflare-Setup falsch konfiguriert ist und zu Fehlalarmen führt (CC an das Sicherheitsteam).

Zum Zeitpunkt des Schreibens waren die Standardeinstellungen von Cloudflarenichtzu einer Endlosschleife führen. Tatsächlich werden Sie wahrscheinlich nicht in einer Endlosschleife stecken bleiben, wenn Sie auf die Cloudflare-Website gehen und versuchen, sich als Kunde anzumelden. Cloudflare weiß, wie man seine eigenen Systeme konfiguriert und testet, damit sie nicht auf diese Weise kaputtgehen; viele ihrer Kunden wissen das nicht.

Cloudflare-Kunden können problemlos den „Anti-Bot-Schutz“ in Cloudflare aktivieren und ihn so falsch konfigurieren, dass ihre Benutzer Probleme mit falsch-positiven Ergebnissen haben, wie sie in dieser Frage beschrieben werden. Dies ist tatsächlich eine Fehlkonfiguration. Sie wurde vom Unternehmen wahrscheinlich aufgrund mangelhafter Tests nicht erkannt.

Schicken Sie ihnen eine E-Mail. Lassen Sie sie wissen, dass Sie nicht auf ihre Website zugreifen können. Sagen Sie ihrem Sicherheitsteam, dass ihr Cloudflare-Setup falsch konfiguriert ist, undBitten Sie sie, ihre Website im Tor-Browser zu testen.

verwandte Informationen