Online dataopslag Dropbox stond wagenwijd open voor datadieven, aldus Oostenrijkse onderzoekers van SBA Research. Die onthulden tijdens het USENIX Security Symposium drie aanvallen waardoor aanvallers toegang tot bestanden van anderen konden krijgen. Daarnaast was het mogelijk om documenten clandestien op te slaan en vanaf een ander Dropbox-account te benaderen. De problemen zijn inmiddels verholpen.

De exploits van het Oostenrijkse beveiligingsbedrijf waren vorig jaar al gereed, maar de beveiliger gaf Dropbox de tijd om de problemen te verhelpen, voordat het de exploits publiek maakte. Het lukte de onderzoekers om de hash-waarden te spoofen, van al bij Dropbox opgeslagen bestanden. Dropbox controleert deze waarden en als ze bestaan, koppelt ze aan het account van de gebruiker die de hash verstuurt. Door de hashes te spoofen konden de onderzoekers toegang tot willekeurige bestanden van andere gebruikers krijgen, zonder dat de oorspronkelijke eigenaar dit doorheeft.

Sleutel
Bij de tweede aanval werd het Dropbox host ID van het slachtoffer gestolen, een 128-bit sleutel die Dropbox aan de hand van gebruikersnaam, tijd en datum genereert. Zodra een aanvaller het host ID heeft bemachtigd, kan hij die door het ID van hemzelf vervangen. Als hij dan zijn account opnieuw synchroniseert, kan hij alle bestanden van het slachtoffer downloaden.

Bij de derde aanval maakten de onderzoekers gebruik van een feature waarmee Dropbox-gebruikers bestanden via SSL via een bepaalde URL konden opvragen. Het enige dat nodig is, zijn de hashwaarde van het bestand en een willekeurige geldige host ID. Het was niet nodig om de Host ID van de gebruiker te weten aan wiens account de opgevraagde gegevens zijn gekoppeld. Deze aanval kon Dropbox volgens de onderzoekers detecteren, omdat de opgevraagde bestanden en accounts niet overeenkwamen.

Forensisch onderzoek
De aanvallen waren ook te gebruiken om gegevens in de Dropbox cloud te verbergen. Het was mogelijk om bestanden te uploaden, zonder dat die aan het account van de aanvaller waren gekoppeld. Om de gegevens weer te downloaden, volstond het sturen van een hash door de aanvallers alsof ze het bestand wilden uploaden. Aangezien de hashwaarde al in de cloud aanwezig is, koppelde Dropbox de gegevens aan het account dat de hash verstuurde.

Een aanvaller zou zodoende via een Linux live CD gegevens kunnen uploaden vanaf een computer zonder harde schijf, waardoor er voor forensische onderzoekers geen sporen zouden achterblijven. Meer informatie in het rapport 'Dark Clouds on the Horizon: Using Cloud Storage as Attack Vector and Online Slack Space'.