Dropbox ist unsicher: wir werden alle sterben!
von caschy | 54 Kommentare
Moin zusammen! Ich habe jetzt eine Handvoll E-Mails bekommen, die auf die aktuelle Diskussion rund um Dropbox hinweisen. Worum es geht? Ein Sicherheitsexperte hat herausgefunden, dass Dropbox unsicher ist. Holla die Waldfee – wer hätte das gedacht? Wir sprechen von einer Software in Symbiose mit einem Dienst, die Daten online speichert. Onlinezugriff und Co via Username und Passwort. Wie bei so vielen anderen Dingen also auch. Genannter Experte hat nun erklärt, dass Dropbox unsicher sei, da (vereinfacht gesprochen)Konfiguration & Co in einer Datei gespeichert sein, die via Trojaner gekapert werden und an den Bösewicht geschickt werden könnte, der dadurch Zugriff auf die Dropbox hat (etwas genauer bei Heise). Meckerpunkt war, dass die config.db alles enthält: man müsste nur diese Datei haben, und man würde ohne Passwortabfrage, Device-Koppelung & Co Zugriff auf die Dropbox haben.
Kommentar: Eine nicht systemabhängige „Master-Datei“ ist unschön, aber: wenn irgendetwas Zugriff auf die config.db von Dropbox erhält – via Trojaner oder whatever, dann hat mein System ganz andere Probleme. Denn dann könnte ich auch auf alles andere zugreifen, nicht nur auf die Dropbox. Des Weiteren: man sollte sensible Daten nur verschlüsselt in der Cloud speichern. Geht auch mit Dropbox in Kombination mit TrueCrypt. Riecht alles ein wenig nach Sommerloch, findet ihr nicht?
Wird geladen ...
Auf diesem Gebiet erfahrene Leute, die die Sicherheitslücke verstehen, schlagen die Hände über dem Kopf zusammen. Zu Recht.
Alle anderen können diese Sicherheitslücke nicht von anderen unterscheiden und verstehen die Aufregung nicht. Auch zu Recht.
Muss caschy, nur weil er einen Blog betreibt, der sich auch mal mit Diensten wie Dropbox beschäftigt, unbedingt zur ersten Gruppe gehören, um daseinsberechtigte Artikel zu schreiben…? Nö.
Ich kann das Unsicherheitsgefühl, insbesondere bei denen die eine Bezahl-Dropbox haben, verstehen.
Kann wohl niemand zu 100 Prozent sagen, ob vielleicht mal die Kaperung stattgefunden hat.
Wann, wie und wo ist doch vollkommen gleichgültig dabei.
Der „Dritte“ kann dann offenbar für immer synchronisieren und es fällt nicht auf. Es sei denn, der ist so dumm und lädt selbst was rein. was aber wohl nicht der Fall sein wird.
Also ziemlich unangenehm, denn wer lebt schon gern damit, nicht zu wissen, ob sein gesamter Traffic „Dritten“ dauerhaft zur Verfügung steht, ohne selbst in der Lage zu sein, durch eine Kennwortänderung daran etwas ändern zu können.
Das Thema Verschlüsselung, Container etc. ist doch eine ganz andere Sache dabei.
Halte das für ziemlich übel für Dropbox, oder übersehe ich etwas dabei?
Zu denen, die über die Art des Beitrags lamentieren: ich schreibe auch Beiträge über TrueCrypt oder BoxCryptor in Verbindung mit Dropbox nicht zum Spaß.
@Oldie: Nun, du kannst alle deine Geräte neu autorisieren.
Die Art des Fehlers ist vergleichbar mit dem Update-Zertifikat-Bug der Personalausweis-App. Das Problem ist weniger die Idee an sich (hier: Autorisierung über IDs), sondern die mangelhafte Umsetzung hinter den Kulissen.
Das Denkmuster, was hier angewendet wurde, lässt nicht unbedingt auf fundiertes Wissen über Sicherheitstechniken in der Informatik schließen. Der Unterschied zwischen Authentifizierung und Autorisierung ist hier nämlich ganz offensichtlich nicht beachtet worden, da keine Authentifizierung, sondern ausschließlich eine Autorisierung stattfindet.
Das zu Grunde liegende Authentifikationsprinzip ist daher das unglaublich unsichere AP 1.0 (falls du dich genauer informieren möchtest).
„Ich kann das Unsicherheitsgefühl, insbesondere bei denen die eine Bezahl-Dropbox haben, verstehen.“
Auch das kann ich nicht nachvollziehen – wer sensible Daten ins Netz stellt hat verdammt nochmal dafür zu sorgen das nur er sie lesen kann.
Wie könnt ihr denn so naiv sein und meinen „Ich zahle dafür – dann müssen die auch dafür sorgen das es sicher ist.“
Die AGBs habt ihr alle gelesen oder mindestens akzeptiert. Und selbst wenn es die Sicherheitslücke nicht gäbe – wer sagt euch denn das der Admin nicht mitliest und regelmäßig Backups der „interessanten“ Accounts macht.
Die Dummen bzw. Naiven sterben anscheinend nicht aus!
Wenn ein Admin von Dropbox mitlesen würde, wäre das ja wohl etwas anderes, als wenn Kriminelle den Zugang gekapert hätten.
Es soll ja auch Leute geben –ich gehöre nicht dazu-, die über Dropbox gemeinsam online an einem Dokument arbeiten. Oder wirbt Dropbox nicht dafür.
Aber nun werden wir sicher wieder darüber aufgeklärt, dass die Dummen anscheinend nicht aussterben.
Irgendwie funktioniert auch fast CMS so…
Nunja, wir leben alle unsicher und können gehackt werden.
Hallo caschy,
der Beitrag kommt gerade richtig. Nachdem ich von der „Sicherheitslücke“ gelesen habe, habe ich hier wie immer die richtigen Anleitungen gefunden, wie man seine Dropbox mit TrueCrypt verbindet. Und so einfach und schnell habe ich dann auch meine Box verschlüsselt. 🙂
Bei TC 7.0a ist im portablen Modus auch schon automatisch die Option mit dem Datumsstempel gesetzt. Bitte berichte unebdingt mehr davon! 🙂
Gruß von der anderen Küste!
@martin
Ich denke die inetgrierte Verschlüsselung wird sehr lange auf sich warten lassen bzw. nie kommen. Wieso?
Ein großer Teil des Dropboxsystems ist der, dass eine Datei nur einmal in der Dropboxlandschaft vertreten ist:
Nimm dir einmal einen beliebten Videotrailer oder ein mehrere hundert MB großes Image einer Softwaredemo o.ä. von dem du ausgehen musst, dass irgendeiner der Millionen Dropboxnutzer sie bereits einmal hochgeladen hat.
Obwohl Du sie noch nie selbst während Deiner Nutzungszeit auf deinen Dropboxspace geladen hast, wird sie binnen sekunden fertig „geuploadet“ sein.
Dropbox geht hin, erstellt einen hash deiner zu uploadenden Datei und schaut, ob es genau diese eine Datei irgendwo unter der Milliarden bereits vorhandenen Dateien gibt. Ist dies der Fall, wird Deine nicht mehr hochgeladen sondern nur in Form eines (ich nenn es jetzt mal so, vermutlich ist es eher eine Datenbank-Sache) „Hardlinks“ erstellt.
Das spart dem Nutzer der sich darauf einlässt viel Uploadzeit und Dropbox sehr viel Speicherplatz.
Würde Dropbox nun jedem Nutzer seine eigene, Clientseitige Verschlüsselung anbieten, dann könnte es genau dieses für sie elementare Verfahren nicht mehr anwenden, weil 2 unverschlüsselt identische Dateien nach der Verschlüsselung mit 2 differenten Geheimnissen zwei gänzlich verschiedene Dateien ergeben würden.
@Alex: Einverstanden. Aber: Bei Online-Backupdiensten ist lokale Verschlüsselung weit verbreitet — üblicherweise selbstverständlich gegen Bezahlung, aber man sollte sich sowieso nur auf Anbieter verlassen, deren Geschäftsmodell auf Bezahlung beruht. Dropbox könnte folglich auch ein entsprechendes Angebot ins Leben rufen.
(Mir ist klar, dass für Dropbox viele Gründe dagegen sprechen — auch entsprechende Anreize: «Datenverluste» an staatliche Behörden werden nur per Zufall den Betroffenen oder gar der Öffentlichkeit bekannt und bei «Datenverlusten» auf anderen Kanälen sorgen die Geschäftsbedingungen sowie die Notwendigkeit zum rechtlichen Vorgehen im Ausland davor, dass keinerlei Benutzeransprüche bestehen.)
Vielleicht will mal jemand einen Blick auf diese Lösung werfen – http://enomis.qnea.de/
Als Anwender von Dropbox sind mir Programme wie BoxCryptor, encfs4win und TrueCrypt portable bekannt.
Ich wollte eine Lösung, die sicher und portabel, jedoch unkomplizierter als TrueCrypt portable ist und ohne Treiber wie in BoxCryptor und encfs4win auskommt.
In der Standardkonfiguration erstellt das kostenlose Programm Enomis auf sehr einfache und schnelle Weise mit einem Passwort geschützte und komprimierte Archive im RAR-Format. Hierzu sind Dateien oder Verzeichnisse lediglich aus dem Dateimanager auf das Enomis Symbol auf dem Desktop zu ziehen. Die Dateien werden mit einem individuellen oder Standardpassword verschlüsselt und lassen sich gleichzeitig durch die Verwendung eines Packers, der vorhanden aber nicht installiert sein muß, mit benutzerdefinierten Einstellungen in der Größe reduzieren.
Enomis ist nicht auf Dropbox oder RAR beschränkt, es ist auch gänzlich ohne irgendwelche Clound-Speicherdienste oder auch mit 7-Zip nutzbar.