Dropbox: Sicherheitslücke entdeckt, Tool bietet Lösung

von Marcel Seer
11.04.2011

0 33 37 ◄ Blättern ►

Der von Unternehmen und Privatanwendern gleichermaßen benutzte Cloud-Speicher Dropbox berge ein gravierendes Sicherheitsrisiko, behauptet Sicherheitsexperte Derek Newton von Time Warner. Der Windows-Client des Onlineservice speichere alle für die Autorisierung eines Accounts notwendigen Daten in nur einer einzigen Datei ab, die zudem nicht systemgebunden sei. Folglich könnten sich Hacker unbemerkt Zugriff zu sensiblen Daten verschaffen. Mit Boxcryptor gibt es bereits einen Lösungsansatz, der allerdings nicht für jeden Nutzer befriedigend sein dürfte.

Sicherheitsrisiko Dropbox: Mangelhafte Authentifizierung

Bildschirmfoto 2011 04 11 um 11.02.51 — Boxcryptor sichert die Dateien in der Dropbox per 256 Bit-Verschlüsselung. Quelle: Screenshot auf boxcryptor.com

Alle Daten, die für die Anmeldung des Dropbox-Accounts notwendig sind, legt der Onlineservice nach Installation und erster Autorisierung in der „host_id“ der Datenbank „config.db“ ab. Schlimmstenfalls könnte beispielsweise ein Trojaner die Daten auf fremde Rechner kopieren – von dort aus wären Dritte problemlos in der Lage, auf den Inhalt der Dropbox zuzugreifen. Dieser Vorgang würde vom Nutzer unbemerkt geschehen, da Dropbox für neue zugreifende Geräte keine erneute Autorisierung verlangt und auch nicht darüber informiert. Darüberhinaus wird der Zugriff eines fremden Systems nicht in der Liste der autorisierten Geräte aufgelistet.

Dropbox geht wohl davon aus, dass es sich auf Grund der gleichen, weil kopierten, host_id um das selbe zugreifende Gerät handelt. Eine Änderung des Passworts leistet keine Abhilfe, wenn potentielle Schadsoftware einmal die host_id ergattern konnte. Um sicher zu gehen, dass die eigene Dropbox nicht ausspioniert wird, hilft nur, alle autorisierten Geräte zu löschen und neu zu autorisieren. Wer trotz des Sicherheitsrisikos nicht auf die Dropbox verzichten kann oder will, der sollte seine Daten zumindest verschlüsseln. Ob die Sicherheitslücke nur den Windows-Clienten der Dropbox betrifft, oder auch für andere Systeme relevant ist, ist zur Zeit unklar.

Daten in der Dropbox mit Boxcrypter verschlüsseln

Mit der Software Boxcryptor können Windows-Nutzer die Risiken, die aus der Dropbox Sicherheitslücke resultieren, abwehren. Boxcryptor simuliert eine virtuelle AES-verschlüsselte Festplatte. Legt man im Dropbox Ordner einen Unterordner an und gibt diesen bei Boxcryptor als Quellverzeichnis an, so sind alle Daten, die ab sofort dort abgelegt werden mit 256 Bit verschlüsselt.

Leider verbaut diese Variante der Datensicherung den großen Vorteil der Unabhängigkeit der Dropbox. Zwar kann man nach der Boxcryptor Verschlüsselung noch mit anderen Systemen auf die Dropbox zugreifen, das Lesen der Dateien ist durch die Verschlüsselung aber nicht mehr möglich. Boxcryptor läuft ausschließlich unter Windows und ist für den Privatanwender in der Basisversion mit 2 GB virtuellem Speicher kostenlos. Für unbegrenzten Speicher fallen für Privatleute 10 Euro an, für Unternehmen 30 Euro.

Weiterführende Links: