Quellcode des Dropbox-Clients gehackt

Die beiden Sicherheitsforscher Dhiru Kholia und Przemyslaw Wegrzyn haben über Reverse Engineering den Quellcode des Dropbox-Clients offen gelegt. Sie haben nach eigenen Angaben den “verschleierten” Python-Code der Anwendung entpackt, entschlüsselt und dekompiliert. Details zu ihrer Arbeit veröffentlichten die beiden detaillierten Bericht mit dem Titel “Ein Blick in die (Drop) Box“.

Über das verwendete Verfahren, so die beiden Forscher, könnten auch an den Quellcode von anderen geschützten Python-Anwendungen kommen. Zudem haben ihre Erkenntnisse Auswirkungen auf die Sicherheit des Cloud-Speicherdiensts. Hacker könnten mit den beschriebenen Methoden die Zwei-Faktor-Authentifizierung umgehen oder einen manipulierten Dropbox-Client entwickeln.

Dropbox hat schon vor Jahren Maßnahmen ergriffen, um den Quellcode der Anwendung vor Hackern und der Konkurrenz zu schützen. Selbst die Programmierschnittstellen (Application Programming Interface, API) sind nicht öffentlich. Dem Unternehmen wird in diesem Zusammenhang vorgeworfen, “Sicherheit durch Verdunkelung” zu praktizieren, indem es das Innenleben des Clients verbirgt und hofft, dass fehlende Informationen Angriffe verhindern.

Bisher sei die Sicherheit von Dropbox, trotz der großen Beliebtheit des Diensts, noch nicht ausreichend analysiert worden, sagen die Forscher. Die meisten “geheimen Zutaten” befänden sich auf der Server-Seite, die ohnehin gut geschützt sei. “Wir glauben nicht, dass die Maßnahmen zum Schutz vor Reverse Engineering zum Vorteil von Dropbox-Nutzern und des Unternehmens sind.”

Der Sicherheitsexperte Robert Schifreen befürchtet, dass eine Öffnung des Quellcodes eine Gefahr für Nutzer darstellt. Ein gefälschter Dropbox-Client könne beispielsweise benutzt werden, um Anmeldedaten zu sammeln, sagte er im Gespräch mit TechWeekEurope.

Kholia und Wegrzyn sehen aber auch mögliche Vorteile ihrer Arbeit. Sie könne langfristig Dropbox dabei helfen, einen widerstandsfähigeren Client zu entwickeln. “Der größte Vorteil unseres Beitrags ist die Öffnung der Dropbox-Plattform für weitere Sicherheitsforschung und Analysen. Dropbox sollte und wird nicht länger eine Black Box sein”, schreiben sie in ihrem Bericht.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.