Onderzoekers noemen Dropbox behoorlijk veilig
Het opslaan van gegevens bij online opslagdienst Dropbox is volgens twee beveiligingsonderzoekers 'behoorlijk veilig'. Florian Ledoux en Nicolas Ruff van EADS onderzochten Dropbox, dat in het verleden met verschillende beveiligingslekken te maken kreeg. De onderzoekers keken naar de gebruikte encryptie, hoe gegevens worden uitgewisseld en hoe de client z'n configuratie beschermt. En dat stemde de onderzoekers tot tevredenheid.
Ook werden er geen grote beveiligingsproblemen gevonden. "Dropbox is nu behoorlijk veilig", aldus Ruff tegenover het Duitse Heise. De onderzoekers ontdekten wel een klein probleem. Een bepaald certificaat wordt tijdens communicatie met andere Dropbox-clients op een lokaal netwerk niet door de client gecontroleerd. Hierdoor zou een aanvaller de client van andere netwerkgebruikers kunnen blokkeren.
Daarnaast maakt dit lek het mogelijk voor bedrijven om te controleren of er vertrouwelijke documenten naar Dropbox worden gestuurd. Aangezien Dropbox al voor de presentatie van de twee onderzoekers werd gewaarschuwd, is het mogelijk dat het probleem al is verholpen.
Die ziet er stevig uit.
Maar wat als er nog een achterdeur blijkt te zijn naar de storage servers van dropbox?
Daar hebben ze helemaal niet naar gekeken...
Misschien kan een operator wel alle files bekijken en naar buiten brengen als daar wat mee te verdienen is?
Het enige wat je kan doen is je bestand eerst lokaal versleutelen met bijvoorbeeld Truecrypt op PGP. Maar je handshake zal ergens onder al het https/ssl/tls geweld toch een keer plain text worden.
Bij vorige onderzoeken kwam aan het licht dat bestanden die zogenaamd uniek versleuteld opgeslagen zouden worden toch ontdubbeld werden om ruimte te besparen. Dat zou met een unieke versleuteling per bestand niet mogelijk mogen zijn. Het zou betekenen dat bestanden volgens een vaste versleuteling opgeslagen worden, en dus relatief eenvoudig te ontcijferen zouden zijn door iemand die de methode van Dropbox kent.
Kortom leuk onderzoek, maar het grootste gevaar: "De aanval van binnenuit" wordt volledig genegeerd.
En dan maar helemaal gezwegen over wat er gebeurd als de NSA aanklopt bij Dropbox.
Geplaatst: 12:14 en laatst gewijzigd: 12:11?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
