Die Sicherheitslücken bei Dropbox nehmen ja kein Ende. Vor ein paar Tagen waren dort für 4 Stunden alle Accounts offen: Sie akzeptierten jedes Passwort. Das Versprechen, dass die Dateien verschlüsselt gespeichert würden, ist für den denkenden Menschen schon dadurch widerlegt, dass von jedem Rechner der Welt Zugriff über eine Weboberfläche besteht, Dropbox also so oder so Zugriff auf die Dateien der Nutzer hat – und diesen auch den US-Behörden einräumt. Dann gab es noch das Dropship, mit dem man Dateien aus anderen Accounts hijacken konnte – was als wahlweise als Sicherheitslücke oder als Filesharing-Feature gewertet werden kann.
Ich hatte ja schon vor einiger Zeit empfohlen, ein encFS oder von mir aus auch einen Truecrypt-Container in die Dropbox zu werfen. Das ist natürlich mit etwas Umstand verbunden, der Dropbox-Nutzern wohl kaum zuzumuten ist, nutzen Sie den Service doch der Einfachheit wegen. Da kann man nicht verlangen, noch umständlich jedes Mal einen Crypto-Container zu mounten.
Für alle, die trotz allem gezwungenermaßen oder aus Überzeugung bei Dropbox bleiben wollen, gibt es jetzt mit Secretsync einen kleinen daemon/wrapper, der neben der Dropbox einen zweiten Ordner bereitstellt, der verschlüsselt über die Dropbox synchronisiert wird.
Dabei gibt es mit WUALA eine vollverschlüsselte Dropbox-Alternative, deren Synchronisierungsgeschwindigkeit aber leider zu wünschen übrig lässt. Auch Tarsnap wurde von unseren Lesern empfohlen. Dann gibt es noch AeroFS, das vollständig auf einen Server verzichtet, verschlüsselt überträgt, und auch flott synct.
Von der Nutzung von AeroFS muss ich im momentanen Alpha-Zustand aber noch abraten, weil andauernd unverschlüsselte UDP-Pakete den Nutzer, und die Personen, mit denen Dateien geteilt werden, anhand ihrer Email-Adressen identifizieren. Ich debattiere gerade mit den Entwicklern, wann sie diese Privacy-Lücke denn wohl mal zu fixen gedenken.
Das hier lohnt sicher auch einen Blick
http://getsecretsync.com/ss/
War eigentlich Anlass für den Artikel ;-)
kann man sich da nicht auch ein verschlüsseltes Sparsebundle erstellen?
Ja, kann man.
Aber: Man verlässt damit die gewohnte Mac OS X-Verzeichnisstruktur und verliert auch einiges an Komfort, weil man das verschlüsselte Sparse Bundle vor der Nutzung jeweils erst mounten muss. Ausserdem muss man darauf achten, dass das Sparse Bundle jeweils nur auf einem einzigen Mac geöffnet ist und auf anderen Macs erst nach vollständiger Synchronisation geöffnet wird. Beides ist auf Dauer meiner Erfahrung nach kaum Möglichkeit und früher oder später kann man das Sparse Bundle dann leider nicht mehr öffnen.
Ich habe jetzt längere Zeit Dropbox genutzt, nutze es seit 2 Tagen nur noch um Daten mit meinen Kommilitonen zu teilen. Den Rest mache ich neuerdings mit Wuala. Allerdings ist mir ebenfalls aufgefallen, dass das Ganze etwas zäher ist :-(
Dropbox-History und -Papierkorb nicht vergessen. ;-)
Wie kann man denn die History löschen?
+1 für Wuala.
Es kann auch viel mehr … Geschwindigkeitseinbußen habe ich nicht bemerkt.
Wuala mag ich auch, trotz Mängeln wie dem Dock-Zwang und der wenig erfreulichen Mac-Integration (Benutzeroberfläche, keine Metadaten, viele Standardfunktionen noch nicht vorhanden). Im direkten Vergleich scheint mir die Synchronisation per Dropbox aber auch effizienter zu funktionieren. Gerade auch grosse Dateien kann Wuala anscheinend nur vollständig synchronisieren, während Dropbox jeweils die tatsächlichen Änderungen überträgt und so viel Zeit spart.
War eigentlich Anlass für den Artikel ;-)
Und in dem Zusammenhang faellt auch SpiderOak.com positiv auf: Client-Verschluesselung, keine PW-Speicherung auf dem Server, 2GB free-of-charge (Wuala: 1GB), und kann auch monatlich gebucht werden (Wuala nur Jahresabo)
Nachteil ist, die sitzen in den VSA ….
Mit dem Promocode „worldbackupday“ bekommt man 5GB statt 2GB.
Danke! Den kannte ich noch nicht, bzw. muss es ueberlesen haben.
Vorsicht: Loggt man sich via Web ein, muss man sein Passwort selbstverständlich eingeben … oder sind inzwischen die Passwörter für Benutzerkonto und Daten getrennt?
Das Komplizierte sind nicht die Alternativen sondern die Nutzungsmöglichkeiten.
Ich nutze Dropbox und Wuala.
Wuala für Wichtige Dinge die nicht offen rumliegen sollen.
Aber Dropbox ist der einzige Dienst dessen API überall eingebaut wird und werden kann. For example the hundred of thousand apps.
Was nützt es komplett bei Wuala zu sein oder einen TC Container zu nutzen wenn ich diese Alternativen nicht in meinen Apps nutzen kann?
Da muss ich eben Dropbox auf einfache Dinge beschränken.
Sowas ist bester Nährboden für Monopolentstehung ;)
Wuala gibt es auch als iOS app.
Was haltet Ihr denn von Owncloud? Taugt das was?
Hallo.
Momentan nutze ich mydrive.ch
Es lässt sich als WEBDAV einbinden und somit klasse verschlüsseln.
Wer Dropbox für vertrauliche Daten unverschlüsselt nutzt, ist auch ein wenig selbst schuld. Trotzdem wäre es natürlich schön, wenn sich Dropbox im Bereich der Sicherheit mal ein wenig verbessern würde.
So ist Dropbox nur zum Tauschen von Dateien, die keine vertraulichen Daten enthalten, oder zum Hosten von Website-Inhalten zu gebrauchen.
Ich möchte an dieser Stelle Sparkleshare erwähnen, das als Backend das Versionsverwaltungssystem Git nutzt und für automagische Verschlüsselung PGP nutzen kann.
Ich habe das vor einiger Zeit mal ausprobiert und technisch für ziemlich großartig befunden. Laut Webseite gibt es das zur Zeit für Linux und Mac OS; Debian-Pakete fand ich bisher allerdings nur in experimental.
Eine weitere alternative ist evl. Teamdrive.
Da gibts auch eine server-komponente zum selberhosten.
Sieht auch interessant aus. Aber wer ist denn der Datenschutz?
„- Vom Datenschutz empfohlen“
Ist das sowas wie der Verfassungsschutz? ;-)
Dropbox ist in meinen Augen nach wie vor der beste Filesharing-Dienst und für mich als Besitzer eines Android-Handies (noch) alternativlos.
Ja, DropBox ist out-of-the-box eine Datenschutz-Katastrophe. Man muß dem Dienst allerdings zu Gute halten, daß er Truecrypt sehr gut unterstützt und sein rsync-ähnliches Protokoll meinen 1GB großen Container schnell und ohne Problem synchronisiert. Der zusätzliche Aufwand des Mountens sollte für jedermann vertretbar sein.
Nebenbei: Auch mit Verschlüsselung à la Wuala besteht der Nachteil, dass der einzige Schutz in einem Passwort besteht. Two-Factor Authentication ist bei Gmail mittlerweile zwar Standard, aber bei Diensten wie Dropbox und Wuala noch in weiter Ferne … immerhin kann man bei Wuala das Passwort nicht per E-Mail zurücksetzen, wodurch eine gravierende Sicherheitslücke entfällt.
Schaut mal hier in Caschys Blog, da gibt’s guten Input zum Verschlüsseln der Dropbox mit Truecrypt…
Hier stellt sich allerdings die Frage, ob das gut funktioniert. Bevor Du den TrueCrypt-Container von einem anderen Rechner aus wirst öffnen und verändern können, muss der auf dem ersten wieder geschlossen worden sein. Andernfalls funktioniert die Sychronisation nicht mehr richtig.
Nichts gegen TrueCrypt, aber gerade für die Cloud ist es nicht entwickelt worden und funktioniert hier dann auch nur im Sonderfall wirklich gut.
Für eine Cloud braucht man eine Software, die dateiweise verschlüsselt und die ggf. Überschneidungskonflikte bei der Berarbeitung dieser Dateien auflöst. Das bekommt man durch die Kombination Dropbox und TrueCrypt aber eben nicht hin.
Das genau ist der Grund, warum ich zu encFS rate.
(wobei ich von Dropbox selbst grundsätzlich abrate)
@Linus:
Unter Linux funktioniert EncFS problemlos, auf dem Mac hingegen ist das Einrichten allein schon eine Bastelarbeit und man muss sich vor jeder Mac OS X-Aktualisierung fürchten … das entspricht IMHO nicht jenem Anspruch an Benutzerfreundlichkeit, den man an Mac-Anwendungen stellt.
Im übrigen gibt es noch Amazon S3. Mit der passenden Software kann man dort schon seit Jahren bequem und ohne Probleme seine Daten sicher lagern. Günstig und vor allem ohne bescheuerte Limits. Dropbox ist doch eine typische „for dummies only“-Lösung.
Genau solche benutzerfreundlichen Lösungen sind wichtig – ansonsten werden sie nicht genutzt …
Amazon S3 allein ist übrigens noch keine Lösung, sondern schlicht eine (vergleichsweise teure) Speichermöglichkeit in der Cloud. Für die Nutzung ist wiederum Software notwendig.
Und, es gibt ja auch noch Rackspace, Google Storage, Azure Blob Storage usw. Die Datenspeicherung erfolgt dort ohne Verschlüsselung, und das aus gutem Grund: das ist einzig die Aufgabe der verwendeten Clientsoftware.
So wie Dropbox arbeitet, wird es nie sicherer sein, als die oben genannten Dienste. Allein die Möglichkeit einzelne Dateien freizugeben zeigt, dass das auch nie Absicht war. Denn das würde mit sicher verschlüsselten Daten nie funktionieren können.
Wuala zeigt, dass Freigabe und Verschlüsselung durchaus möglich sind.
Das genau ist der Grund, warum ich zu encFS rate.
Kein Wort zu Ubuntu One?
Bei diesen ganzen kostenlosen Services, die dann auch noch von Startups aus den USA kommen, bin ich immer sehr sehr skeptisch,was die Datensicherheit anbelangt. Leider bestätigt sich diese Sicht immer wieder aufs neue…
Ich möchte dilberts Kommentar noch einmal aufgreifen, um für Teamdrive etwas Werbung zu machen. Funktioniert bei mir fast so bequem wie die Dropbox – allerdings mit dem Unterschied, daß die Daten vor der Übertragung verschlüsselt werden, und ich mir zusätzlich die Cloud aussuchen darf. Hier greife ich auf das HiDrive von Strato zurück, deren Daten nach deutschem Datenschutzgesetz in Deutschland gespeichert werden. Fühle mich mit dieser Lösung ganz wohl…
Hallo.
Ich möchte hier eine weitere Lösung vorstellen, http://enomis.qnea.de
Enomis erzeugt passwortgeschützte 7-Zip/ZIP/RAR/SFX Archive von Dateien oder Ordnern durch einfaches Ziehen auf ein Desktopsymbol. Die Archive lassen sich mit Mustern wie Zeitstempel oder Version im Dateinamen und auch direkt bei Cloud-Speicherdiensten wie Dropbox ablegen.
Entwickelt wurde Enomis in erster Linie für eine unkomplizierte, schnelle, komprimierte und sichere Ablage von Dateien oder Ordnern in Cloud-Speicherdiensten wie Dropbox, Wuala und ähnliche – Enomis läßt sich jedoch auch gänzlich ohne diese Dienste verwenden. Hierzu sind Dateien oder Ordner lediglich aus dem Dateimanager auf das Desktopsymbol von Enomis zu ziehen, oder alternativ im Dateimanager über das Kontextmenü einer Datei oder Ordner (Senden an) an Enomis zu übergeben. Wenn es vom Dateimanager unterstützt wird, läßt sich Enomis auch als Verknüpfung in dessen Symbolleiste einbinden.
Enomis ist portabel, da 7-Zip bereits im Programm integriert ist. Es werden keine Treiber, wie bei anderen Lösungen, im System installiert.
Wie siehts denn nun mit AeroFS aus?
Im Moment wieder besser, nachdem der von mir bemängelte Bug laut Email behoben wurde – ich habe das aber noch nicht eingehend geprüft. Leider wurde auch die Anzahl der Beta-Invites gedeckelt, so dass ich nicht mehr so viele Leute einladen kann.
Danke für die vielen Infos (auch an die bisherigen Kommentatoren).
PGP ist auch ein guter (i.S.v. sicherer) Ansatz, allerdings wollte ich nicht extra ein Wrapperscript schreiben und damit Betriebssystemabhängig sein. Stattdessen würde ich inzwischen EncFS empfehlen, das läuft auf Mac, Linux und Windows. Inspiriert davon habe ich ein paar englischsprachige Artikel mal auf Deutsch zusammgenfasst:
Dropbox mit EncFS (statt PGP) verschlüsseln
Vielleicht für den einen oder anderen auch eine interessante Möglichkeit.