Dropbox ist unsicher: wir werden alle sterben!
von caschy | 54 Kommentare
Moin zusammen! Ich habe jetzt eine Handvoll E-Mails bekommen, die auf die aktuelle Diskussion rund um Dropbox hinweisen. Worum es geht? Ein Sicherheitsexperte hat herausgefunden, dass Dropbox unsicher ist. Holla die Waldfee – wer hätte das gedacht? Wir sprechen von einer Software in Symbiose mit einem Dienst, die Daten online speichert. Onlinezugriff und Co via Username und Passwort. Wie bei so vielen anderen Dingen also auch. Genannter Experte hat nun erklärt, dass Dropbox unsicher sei, da (vereinfacht gesprochen)Konfiguration & Co in einer Datei gespeichert sein, die via Trojaner gekapert werden und an den Bösewicht geschickt werden könnte, der dadurch Zugriff auf die Dropbox hat (etwas genauer bei Heise). Meckerpunkt war, dass die config.db alles enthält: man müsste nur diese Datei haben, und man würde ohne Passwortabfrage, Device-Koppelung & Co Zugriff auf die Dropbox haben.
Kommentar: Eine nicht systemabhängige „Master-Datei“ ist unschön, aber: wenn irgendetwas Zugriff auf die config.db von Dropbox erhält – via Trojaner oder whatever, dann hat mein System ganz andere Probleme. Denn dann könnte ich auch auf alles andere zugreifen, nicht nur auf die Dropbox. Des Weiteren: man sollte sensible Daten nur verschlüsselt in der Cloud speichern. Geht auch mit Dropbox in Kombination mit TrueCrypt. Riecht alles ein wenig nach Sommerloch, findet ihr nicht?
Wird geladen ...
Dieser kleine Artikel ist so herrlich menschlich – jemand, der begeisterter Nutzer einer bestimmten Software ist, kommt in eine regelrechte Verteidigungshaltung, wenn diese angegriffen und eines Fehlers bezichtigt wird. Typisch dafür ist auch eine fragwürdige Argumentation (hier: wenn eine Schadsoftware xy kann, dann ist eh alles gelaufen). Aber ich kenne das selbst gut genug, davor bin ich auch nie ganz gefeit. Für manche Dinge steht man einfach aus einer Überzeugung heraus ein. 🙂
Ich halte die Lücke eher für einen Fehler im Design, der hoffentlich mit dem nächsten Update beseitigt wird, aber nicht für den Mega-Aufreger. Was aber nicht gerade zur Steigerung meines Urvertrauens in das Gute im Menschen beiträgt ist die scheinbar geänderte API-Policy für 3rd Party Applications, die nun standardmäßig nicht mehr Sandbox-, sondern weitreichenderen Zugriff auf die Dropbox bekommen (so erfuhr ich jedenfalls von einem Programmierer auf die Frage, wieso seine App ausgerechnet Vollzugriff auf meine Daten haben will – sehen kann man das übrigens unter https://www.dropbox.com/account#applications). Panik ist da sicherlich nicht angebracht, mir fällt jetzt spontan aber auch kein Grund ein, der einen Zugriff außerhalb eines definierten Verzeichnisses erforderlich machen sollte.
Für ein Mindestmaß an Sicherheit gehören sensible Daten zumindest nicht unverschlüsselt in die Cloud (besser gar nicht).
@Jott: Danke für den Verweis auf Boxcryptor, das hatte ich schon wieder erfolgreich verdrängt (Robert setzt ja jetzt im Gegensatz zur Alpha auf AES-256).
Es zeugt wirklich von kompletter Ignoranz, wenn zum Login nur eine feste, einmalig erzeugte ID verwendet wird. Sorry, Dropbox-Jungs. Das geht gar nicht.
Ich bin und bleibe glücklicher Besitzer eines 50Gb-Dropbox-Accounts. Wenn jemand soweit ist, dass er Zugriff auf meine config.db-Datei hat, dann habe ich eh ein großes Problem. Ich hoffe bloss, das die Jungs von Dropbox das andere Scheunentor mit dieser ID-Geschichte schließen.
@Sven: Neben der Verschlüsselung mit AES-256 ist die Beta vor allem wesentlich stabiler und auch kompatibel mit EncFS geworden (und unterstützt dadurch auch Linux und Mac OS X). Es lohnt sich also BoxCryptor nochmal in Erinnerung zu rufen 😉
@furore: truecrypt für Android? Wo? Das wäre interessant!
Das Hauptproblem ist in meinen Augen, dass – zumindest unter Ubuntu/Linux und Mac OS X – das Verzeichnis mit der Dropbox-Konfig nebst den Dateien für _alle_ Benutzer lesbar ist, d.h. auch für den ggf. aktivierten Gastbenutzer. (Wie es unter Windows aussieht, weiß ich nicht.)
Damit kann auf Mehrbenutzersystemen jeder andere Nutzer auf diese kritischen Dateien zugreifen.
Ich frage mich, warum bislang Wuala nicht genannt worden ist? Einen Vergleich zwischen Wuala und Dropbox habe ich mal auf meinem Blog erstellt.
Auch Firefox und Chrome weisen diese Sicherheitslücken auf. Wenn mir jemand seinen PC zur Reparatur gibt, hab ich in sekundenschnelle Zugriff auf alle gespeicherten Passwörter. Ich denke das ist ein allgemeines Problem wenn man Passwörter speichert.
@RedSign: Das war auch mein 1. Gedanke =D
– begeisterer Fan ist generft, weil er die Aufregung für übertrieben hält
– die ID Geschichte ist zum schmunzeln weil er nur Anfängern passieren sollte
– der ID Fehler ist ärgerlich weil auch ein PW Reset nichts hilft (nur alle PCs neu einbinden hilft)
@furore: Nicht wirklich. Mit welcher App kann ich denn einen Truecrypt-Container auf Android öffnen?
wieso werden hier unsichere tools so gefeatured? hier liest man permanent dropbox über alles!
Abgesehen davon: Wieso bietet Dropbox nicht endlich integrierte lokale Verschlüsselung an, so wie beispielsweise Jungle Disk oder CrashPlan bei Datensicherung? Und wann werden endlich alle Daten per SSL übertragen, auch bei den mobilen Versionen von Dropbox?
TrueCrypt funktioniert, anders als z.B. Mac OS X-Sparsebundles, ist aber nur eine Notlösung: Sie funktionieren nicht auf allen Geräten und sie sind wesentlich aufwendiger zu handhaben als gewöhnliche Ordner und Dateien.
puuh. Zum Glück hab ich mein G-Data so eingestellt, dass jede ausgehende Verbindung erst einmal bestätigt werden muss… natürlich mit White- und Blacklist…
Mir is irgendwie so, als wenn hier mehrfach sogar empfohlen wurde, man solle doch Passwörter bei Dropbox speichern. Nun der Hinweis, die Unsicherheit bei Dropbox sei doch irgendwie Normal … Bekommst du Geld dafür? ^^
Es ist schlichtweg ein Design-Fehler. Man kann dasd sehr viel besser lösen.
@KingCrunch:
Fanboys benötigen kein Geld … und was die Passwörter betrifft: Speichern ja, aber lokal verschlüsselt, wie zum Beispiel mit 1Password. Was ohne vorherige lokale Verschlüsselung bei Dropbox liegt, ist nicht nur allerlei amerikanischen Behörden frei zugänglich, sondern auch nicht so sicher wie komfortabel möglich.
Kingcrunch: Sorry, doofer Kommentar von dir.
Aus rein technischem Blickwinkel ist es momentan sicherlich unglücklich gelöst und man könnte es besser machen.
Aus Sicht des Anbieters oder prinzipiell aus „Unternehmer-Blickwinkel“ völlig in Ordnung. Sie bieten einen Dienst an um Daten online zu speichern und von überall abzurufen – und das auf allerhand verschiedenen Clients (Windows, Mac, Linux, Mobile). Ständig alle Sicherheitslücke auf allen Systemen zu schliessen würde Tausende von Euros und Heerscharen von Arbeitsstunden benötigen. Dropbox wäre wahrscheinlich noch im Alpha-Status bzw. nie realisiert worden.
Es ist einfach rein ökonomische nicht realisierbar für ein derartiges Projekt – und meiner Meinung nach auch nicht nötig!
Wer Firmeninterna oder private,brenzlige Sache online speichern will soll sich entweder schlau machen oder kundige Leute dafür bezahlen. Alles andere ist fahrlässig!
Den Anbieter des Dienstes dafür verantwortlich zu machen ist genauso wie den Hersteller der Waffe für den eigenhändig begangenen Mord zu belangen. 😉
Grüße,
CC
Sorry Cashy, aber ich finde Sicherheitsprobleme immer mindestens erwähnenswert und nicht geeignet für einen so lapidaren Tonfall, wie du ihn hier anschlägst. Schwarzmalerei wäre allerdings ebenso unpassend. Gerade als Verfechter des Dienstes hätte ich von dir eine emotionsfreie, fundierte Erklärung erwartet, damit jeder Nutzer weiß woran er ist und welche Maßnahmen er ergreifen kann, um das Risiko möglichst klein zu halten.
Unter „mein Kommentar“ findest du mich emotionslos – und einen Tipp für bessere / sichere Nutzung gebe ich den Leuten auch noch mit auf den Weg. Also – was genau fehlt dir?