Mit JonDo (Weiterentwicklung von JAP) ist es möglich, Webseiten unbeobachtbar aufzurufen. Das bedeutet, daß weder der angefragte Server noch ein Lauscher auf den Verbindungen mitbekommt, welcher Benutzer welche Webseite aufgerufen hat - kurz Anonymität.
JonDo muss auf dem Rechner des Internetnutzers installiert werden, damit dieser unbeobachtbar und anonym im Internet surfen kann. Dies ist deshalb erforderlich, da zur Anonymisierung alle Anfragen nicht direkt an den Webserver, sondern über eine sogenannte Mix-Kaskade geschickt werden. Dies sind zwischengeschaltete Stationen, über die alle Nachrichten geleitet werden.
Da viele Benutzer gleichzeitig den Anonymisierungsdienst nutzen, werden die Internetverbindungen jedes Benutzers unter denen aller anderen Benutzer versteckt: Jeder Benutzer könnte der Urheber einer Verbindung gewesen sein. Niemand, kein Außenstehender, kein anderer Benutzer, nicht einmal der Betreiber des Anonymitätsdienstes kann herausbekommen, welche Verbindungen ein bestimmter Benutzer aufgebaut hat.
JonDo verschleiert Ihre IP-Adresse gegenüber Webseiten, und ersetzt diese durch eine andere, feste IP des JonDonym-Systems. Allerdings genügt das alleine nicht, um die Anonymität des Websurfers sicherzustellen. Auf vielen Webseiten finden sich sogenannte aktive Inhalte, die zum Aufdecken der IP-Adresse führen können, und die Webbrowser senden Daten, die zur Profilierung dienen können. Momentan werden solche Inhalte von JonDo noch nicht blockiert, dies kann aber durch Zusatzanwendungen geschehen.
Der Zugang zum Internet ist normalerweise nur über die Einwahl (z.B. über ein Modem, DSL oder UMTS) zu einem sogenannten Internet Service Provider (ISP) möglich. Manche dieser ISPs gehen extrem sorglos mit den Daten ihrer Nutzer um, wie das Beispiel AOL zeigt: Der amerikanische Provider veröffentlichte kostenlos und für jedermann einsehbar insgesamt 20 Millionen Suchanfragen von 650 000 AOL-Nutzern zu Forschungszwecken. Diese eigentlich gut gemeinte Aktion zeigt zum Einen, wie gering das Wissen über Datenschutzprobleme bei Verantwortungsträgern dieser Art ausgeprägt ist, zum Anderen, wie leicht solche sensiblen Informationen in falsche Hände geraten können. Durch Verfolgung der Suchmaschineneinträge und deren Rückführung auf Einzelpersonen kann leicht ein Persönlichkeitsprofil erstellt werden. Sogar die Namen der Suchenden oder Namen ihrer Bekannten waren teilweise im Klartext aus den genannten Suchanfragen auslesbar. Natürlich speichern nicht nur Provider solche Suchanfragen, sondern auch die Suchmaschinenbetreiber selbst. Leider lässt sich deren Weitergabe (etwa Verkauf an Dritte) und deren Schutz (etwa vor dem Diebstahl durch Hacker) nicht durch die Internetnutzer selbst kontrollieren oder überprüfen. Dies gilt prinzipiell für alle Daten die beim Surfen anfallen, also für Verkehrsdaten und die Kommunikationsinhalte.
Da die Verwendung von einmal gesammelten Daten kaum kontrolliert werden kann und das eigene Surfprofil deshalb unter Umständen an Kriminelle oder Konkurrenten gerät, muss bereits dessen Erhebung verhindert oder zumindest soweit wie möglich erschwert werden. Unternehmen sollten deshalb grundsätzlich auf den Schutz ihrer Verbindungsdaten und -inhalte bedacht sein, da diese der Konkurrenz wertvolle Anhaltspunkte zu eigenen Vorhaben geben könnten (geplante Patentierungen, Fusionen, Suche nach speziellen Mitarbeitern, Austausch von Geschäftsgeheimnissen usw.). Privatpersonen, die im Internet sehr persönliche Informationen abrufen, etwa zu gesundheitlichen, psychischen, sozialen oder finanziellen Themen, sind ebenfalls gut beraten, wenn sie ihr Surfverhalten nicht für jedermann offen legen. Unter Umständen fließen die beobachteten Daten in Scoringmodelle von Unternehmen ein, die für die Kreditvergabe und für eine individuelle Preisgestaltung der Angebote benutzt werden: wer einen schlechten „Score-Wert“ hat, muss unter Umständen teuer (in €) dafür bezahlen. In Zukunft werden sich vielleicht auch Arbeitgeber vor der Einstellung neuer Mitarbeiter von Internetagenturen ein aus den Spuren im Netz erstelltes Persönlichkeitsprofil der Bewerber aushändigen lassen. Grundsätzlich sollten aber alle Bürger ein Interesse daran haben, sich den Blicken neugieriger Internetbeobachter zu entziehen: Wer sich beobachtet fühlt, redet und handelt meist anders als in völliger Anonymität. Gerade kritische Stimmen würden ohne Anonymität aus (bewusster oder unbewusster) Angst vor Repressalien möglicherweise zum Schweigen gebracht. Dazu trägt auch die immer stärkere Überwachung des Internets durch den Staat bei, begründet durch die "Argumente" der Terrorismusbekämpfung und der Eindämmung von Kinderpornographie.
Starke Anonymität gibt es nicht umsonst - der Basisdienst wird zwar ohne Bezahlung angeboten, als Nutzer muss man aber immer bereit sein, Abstriche bei der Geschwindigkeit hinzunehmen. Eine DSL 10000 - Anonymisierung kann es nicht geben. Dazu müssten Server mit hunderten GBit/s Bandbreite angeboten werden, um auch wirklich mehrere tausend Nutzer aufnehmen zu können. Dies wäre für die Betreiber aber nicht finanzierbar und unrealistisch, denn hunderte von Nutzern müsste jeweils mehrere hundert Euro im Monat für diese Dienstleistung zahlen, nur damit die Kosten für die Server gedeckt würden.
Wir haben uns für einen Kompromiss zwischen Geschwindigkeit und Kosten für die Nutzer entschieden: von unseren kommerziell geführten Servern werden Bandbreiten von 64 bis 128 kbit/s (ISDN-Geschwindigkeit) angeboten, die zu einem ungestörten Weberlebnis ausreichen. Für die Bereitstellung dieser Servicequalität wird eine kleine Gebühr erhoben, die für die meisten Menschen erschwinglich ist. Es gibt außerdem einen (deutlich langsameren) Basisdienst, der ohne Bezahlung genutzt werden kann.
Für diejenigen, die JonDonym unterstützen wollen, sei es mit der kostenlosen oder kostenpflichtigen Bereitstellung von Servern als neuer Betreiber, Übersetzungen, Programmierleistungen oder Spenden, gibt es natürlich nach wie vor die Möglichkeit zur Partizipation.
Der JonDonym-Dienst, mit dem sich JonDo verbindet um einen anonymen Webzugriff herzustellen, besteht aus mehreren einzeln wählbaren Mixkaskaden, wobei deren einzelne Mixe im Regelfall von jeweils voneinander unabhängigen Organisationen betrieben werden. Diese Institutionen haben in einer Selbstverpflichtung erklärt, dass sie weder Log-Files über die transportierten Verbindungen speichern, noch mit den anderen Mix-Betreibern Daten austauschen, die dazu führen könnten, dass ein Benutzer von JonDo enttarnt wird. Die Mixbetreiber sind außerdem zertifiziert, so dass deren Identität immer überprüfbar ist.
Da jedoch keiner der zwischengeschalteten Stationen vollständig vertraut werden soll, werden alle gesendeten Daten mehrfach verschlüsselt (1 mal pro Station). Die Verschlüsselung der Anfragen und die Entschlüsselung der Antworten erfolgt im JonDo. Der Nutzer muss nur noch seinen Browser so konfigurieren, dass alle WWW-Anfragen über den JonDo gesendet werden.
Die Anonymisierung der Nutzer erfolgt dadurch, dass jede Anfrage mehrfach verschlüsselt über eine Folge von Zwischenstationen, die auf dem Mix-Konzept von David Chaum basieren, gesendet werden. Da sich in der endgültigen Version alle Nutzer gleich verhalten (gleich viele Daten pro Zeiteinheit über die gleiche Folge von Mixen senden), sind unter der Annahme, dass mindestens ein Mix nicht mit einem globalen Angreifer zusammenarbeitet, die Aktionen des einzelnen Teilnehmers nicht mehr erkennbar.
Unser Ziel ist es, einen Dienst zur Verfügung zu stellen, welcher diesen Anforderungen wirklich genügt.
Achtung! Die momentan vorliegende Version erreicht diese Sicherheit noch nicht vollständig, da sich die Software noch in der Entwicklung befindet! Diese Version garantiert jedoch bereits eine wesentlich höhere Sicherheit als beispielsweise Systeme, die einfache Proxies verwenden. Uns ist außerdem kein kommerzielles System bekannt, das auch nur annähernd die Sicherheit von JonDonym erreichen würde. Einzig das nicht-kommerzielle System Tor bietet eine vergleichbare Sicherheit, und ist ähnlich gut dokumentiert und untersucht.
Die vorliegende Version schützt die Anonymität des Nutzers zumindest gegen einen lokalen Angreifer (z.B. den Provider, den Webserver, den Chef). Zusätzlich schützt sie auch gegen die Betreiber eines Mixes. Je nachdem, welchen Mix ein Betreiber zur Verfügung stellt, kann er nur erfahren, welcher Teilnehmer (IP-Nummer) den Dienst nutzt oder welche Anfragen in das Netz gesendet werden, nicht jedoch von welcher IP-Nummer eine Anfrage stammt.
Gegen einen Angreifer, der alle Leitungen des Internets überwacht bzw. den ersten und den letzten Mix kontrolliert, schützt die gegenwärtige Version noch nicht.
Folgende weitere Gründe haben wir, das System bereits jetzt anzubieten:
Um diese Ziele zu erreichen, benötigen wir Ihre Hilfe. Wir wären Ihnen dankbar, wenn Sie den Anonymisierungsdienst dauerhaft nutzen würden und uns Ihre Probleme, Meinungen und Verbesserungsvorschläge mitteilen würden.
Weitere Informationen finden Sie auf unserer Projektwebseite
http://www.anon-online.de.