Sicherheitsexperte Derek Newton macht in seinem Blog auf eine Sicherheitsproblem im Online-Speicherdienst Dropbox aufmerksam, durch das Angreifer unbemerkt einen uneingeschränkten dauerhaften Zugang zu den Online-Daten des Opfers erlangen können. Möglich macht dies die Speicherung eines Zugangsschlüssels in der Konfigurationsdatei der Dropbox-Software (~/.dropbox/config.db), ohne dabei eine direkte Verknüpfung zum aktuellen System herzustellen. Durch Kopieren der Konfiguration, beispielsweise durch einen Trojaner, lässt sich damit auch der Zugang zur Dropbox auf beliebig viele Computer kopieren. Diese Computer sind auch nicht zu erkennen, denn sie erscheinen für Dropbox als das ursprüngliche Gerät. Ein Änderung des Kennwortes hat ebenfalls keine Auswirkungen, denn durch den Schlüssel in der Konfigurationsdatei ist keine erneute Kennwort-Eingabe erforderlich. Ein Angreifer könnte damit über die Dropbox beispielsweise weitere Dropbox-Geräte des Opfers, der Freunde oder der Kollegen unter seine Kontrolle bringen.

Erst wenn das Opfer seinen Computer bei Dropbox deaktiviert, hat auch der Angreifer keinen Zugang mehr zur Dropbox. Zwar wurde dieses Sicherheitsproblem bisher nur unter Windows näher beleuchtet, doch wird es aufgrund des grundlegenden Architekturproblems in ähnlicher Weise auch auf allen anderen Systemen zu finden sein. Dropbox selbst sieht in seinem Ansatz kein Problem, da diese "Cookie"-Technik bei vielen Web-Diensten üblich ist und schließlich ein Zugriff auf die Datei notwendig ist. Derek Newton rät dennoch von einem Einsatz der Dropbox in Unternehmen ab. In jedem Fall sollten sich Anwender bewusst sein, dass die config.db den Zugang zu ihrer Dropbox enthält und nicht weitergegeben werden darf.

Weiterführende Links:

• Blog von Derek Newton