Sicherheitsleck in ‘Dropbox’
Der Sicherheitsspezialist Derek Newton warnt in einem Blog-Beitrag vor einer Sicherheitslücke im Online-Backup- und Dateisynchronisationsdienst Dropbox. Durch das einfache Kopieren einer kleinen Datenbankdatei des Opfers könne ein Angreifer dessen online gespeicherten Daten auf den eigenen Rechner umleiten. Dafür müsse er nicht einmal das Dropbox-Passwort des Opfers kennen.
Laut Newton ist das Problem eine SQLite-Datei mit dem Namen ‘config.db’, welche einen Teil der Login-Daten des Dropbox-Clients enthalte. Sie sei nicht verschlüsselt und könne mit jedem SQLite-Datenbank-Tool geöffnet werden. In der Datenbank gebe es ein Feld “host_id”, das zur Authentifizierung des Clients benutzt werde.
Newton schreibt: “Nach einigen Testrunden … wurde es klar, dass der Dropbox-Client ausschließlich host_id für die Authentifizierung benutzt. Und hier ist das Problem … wenn Sie Zugang zu der config.db-Datei einer Person haben (oder einfach host_id kennen), haben Sie kompletten Zugriff auf die Dropbox der Person. Das geht so lange, bis die Person den Host (den jeweiligen Rechner) mit Hilfe der Dropbox-Website aus der Liste der verbundenen Geräte entfernt.” Das sei aber nicht selbstverständlich. Der betrogene Anwender erhalte keine Benachrichtigung über das Herunterladen seiner Daten und der Rechner des Angreifers tauche auch nicht in der Liste der verbundenen Geräte auf.
Wenn das Opfer schnell sein Dropbox-Passwort ändere, nutze das gar nichts: “… host_id ist auch dann noch gültig, wenn der Anwender sein Dropbox-Passwort ändert. Das bedeutet, dass das Standardverfahren, die Zugangsdaten zu ändern, das Problem nicht löst”, erklärt Newton. Speziell programmierte Schadsoftware könne ‘config.db’ leicht auslesen oder kopieren. Der Diebstahl der Host-ID sei nur schwer zu bemerken. Der Anwender müsse sich zusätzlich im Notfall daran erinnern, dass nur ein Löschen des infizierten Hosts auf der Dropbox-Site das Problem löse.
Den Dropbox-Anwendern rät der Spezialist, bis zur Schließung der Sicherheitslücke auf den Dienst zu verzichten. Wer das nicht könne oder wolle, sollte seine online gespeicherten Daten mit einer starken Verschlüsselung für Außenstehende unlesbar machen. Passwörter sollten keinesfalls auf Dropbox abgelegt werden.
Schließlich sollte man genau darauf achten, alte Systeme (Host-ID) aus der Liste der zugelassenen Rechner zu entfernen. Die Liste ‘Last Activity’ unter der ‘My-Computers’-Aufstellung sollte regelmäßig überprüft werden. Falls ein System sich zu einer unwahrscheinlichen Zeit eingeloggt hat, sollte man es umgehend aus der Liste der zugelassenen Computer entfernen. Das Problem wird bereits an zwei Stellen (hier und hier) im offiziellen Dropbox-Forum diskutiert.
