Dropbox: neue Version behebt Sicherheitslücke
von caschy | 17 Kommentare
Kurze Info für die Dropbox-Nutzer: es liegt eine neue, experimentelle Version 1.2.0 zum Download bereit, welche die vor kurzem angesprochene Sicherheitslücke schließt. Des Weiteren kommt ein neues Datenbankformat zum Einsatz.
Windows: http://dl-web.dropbox.com/u/17/Dropbox%201.2.0.exe
Mac OS X: http://dl-web.dropbox.com/u/17/Dropbox%201.2.0.dmg
Linux x86_64: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86_64-1.2.0.tar.gz
Linux x86: http://dl-web.dropbox.com/u/17/dropbox-lnx.x86-1.2.0.tar.gz
Wird geladen ...
Ich bin experimentier“freudich genuch“ – installier ich gleich mal. Nun hab ich aber auch nur solch unwichtiges da drin, das selbst das FBI verzweifeln würde – meine Risikoabschätzung: „tendiert gegen 0″…
Was ich als viel größeres Risiko sehe, ist das fehlende automatische Update der Desktop-Software.
@Arsono: die Software wird automatisch aktualisiert. Nur kann das „einige“ Zeit (hab grad 4 Wochen im Kopf) dauern nachdem eine neue Version veröffentlicht wurde.
Wohl war – nicht alle passen immer auf. Am besten finde ich aber nicht „automatisch updaten“, sondern „automatisch benachrichtigen“.
So hab ich das bei Win7 selber auch eingestellt – da hab ich beides: bei nur mäßiger Aufmerksamkeit kann man nix verpassen, und das geht nicht „zu“ automatisch hintenrum…
@patrick, das darf doch eigentlich ned war sein. Mir ist immer vorher die geduld ausgegangen. Dachte schon das geht nur manuell. MS und adobe würde man in der Luft zerreißen bei 4 Wochen.
Der Hintergedanke dabei: wird eine neue Version per Autoupdate eingespielt und sich dann herausstellt das sie fehlerhaft ist… Also wartet man erst eine gewisse Zeit, auf Feedback (von Leuten die neu installieren oder manuell updaten) udg., und gibt eine neue Version erst dann frei, wenn keine offensichtlichen Probleme mehr zu erwarten sind.
Kann man jetzt so oder so sehen.
MS hat schon öfter Updates nach ein oder zwei Tagen wieder zurückgezogen, genau aus dem Grund, weil Probleme aufgetreten sind.
Die Frage ist wieder mal: Diese neue (Beta)-Version einfach drüberinstallieren? Wegen d. erwähnten neuen Datenbankformat .. Das hier scheint mir auch durchaus erwähnenswert: ‚Sadly as a result of the new database some 3rd party apps that incorrectly relied on our old database format to sync with Dropbox will stop working (Examples include 1Password and KFilebox)‘ (aus dem v. Caschy oben verlinkten Dropbox-Forum)
Dieses Update bindet dann also die config.db ans System, verhindert also dass die Datei von Dritten missbraucht werden kann?
@fly: laut den Changelog wird jetzt die Client Datenbank verschlüsselt. Und diese wird auch nach dem Update gemacht.
Ich hoffe nur das dies nicht wieder geknackt wird
Wer sein Dropbox etwas sicherer machen möchte, sollte sich vielleicht auch mal encfs4win anschauen. Man kann einen Ordner (z.B. den Dropbox-Ordner) angeben und der wird dann mit einem virtuellen Laufwerk verbunden. Alles was in dem virtuellen Laufwerk landet, wird in Echtzeit verschlüsselt/entschlüsselt. Auch gut geeignet für USB-Sticks. Es basiert auf encfs, einem verschlüsselten Dateisystem aus dem Linuxsector und Dokan, einem user-space-filesystem für Windows. Dokan kommt z.B. auch bei Wuala und Boxcryptor zum Einsatz.
@leosmutter: Das klingt doch mal echt gut…Heisst aber doch dann, dass wenn ich meinen DB Ordner da reinhau, ich auf meine Daten nur noch zugreifen kann wenn ich auf ALLEN PCs das encfs Tool nutze, oder? Weil sie ansonsten verschlüsselt sind…Dementsprechend würde zB Webinterface auch nicht mehr klappen.
@fly
Richtig. Du kannst ja aber auch für wichtige Dateien z. B. einen Unterordner „secure“ im Dropbox-Ordner anlegen und den dann benutzen. Man muss ja nicht alles verschlüsseln.
Was nimmt man denn nun, Boxcryptor oder encfs4win?
@Patrick
Einfach das was dir gefällt würde ich mal so pauschal sagen. Boxcryptor & encfs4win haben beide Dokan & encfs als Basis. Boxcryptor ist „Clickibunti“ und encfs4win wird über eine Batchdatei gestartet. Soweit ich bislang getestet und gelesen habe, unterstützt Boxcryptor momentan nur ganz bestimmte Eigenschaften von encfs, während encfs4win näher am Linux-Original ist. Bei encfs4win habe ich mir auch auf meinen USB-Stick eine Batch erstellt und die mountet dann ein verschlüsseltes Verzeichnis „crypted“ auf X:
@echo off
encfs\encfs „%CD%\crypted“ „x:“
pause
Nächste Woche kommt eine neue Version von Boxcryptor, die auch die Dateinamen verschlüsselt ablegt.
siehe http://blog.boxcryptor.com/sneak-peek-at-filename-encryption
@Patrick
Jo, das sieht mir wohlbekannt aus. Screenshot von meinem USB-Stick mit encfs4win -> http://ScrnSht.com/alzajz
Wie schaut es denn mit portablen Versionen für Windows aus? Gibt es auch eine aktuelle portable Version?