dropbox
-
: Dropbox gehackt: Über 60 Millionen Accounts betroffen
Der Cloud-Dienst Dropbox lässt sich über Geräte hinweg synchronisieren. Foto: <a href="https://creativecommons.org/licenses/by/2.0/">CC-BY 2.0</a> <a href="https://www.flickr.com/photos/ilamont/7463062672/sizes/h/">IN 30 MINUTES Guides</a> : Dropbox gehackt: Über 60 Millionen Accounts betroffen Wer sich zuletzt über eine Mail von Dropbox gewundert hat, in der zum Passwortwechsel aufgerufen wurde, dem sei gesagt: Es war kein Phishing, sondern die Reaktion des Cloud-Unternehmens auf einen Hack aus dem Jahre 2012. In der Mail an die Nutzer hieß es allerdings nur:
[…] falls Sie Ihr Dropbox-Kennwort seit Mitte 2012 nicht geändert haben, werden Sie bei Ihrer nächsten Anmeldung dazu aufgefordert. Dies ist eine rein präventive Maßnahme – wir danken Ihnen für Ihre Mithilfe.
Im Blog des Unternehmens wird etwas genauer erklärt, warum die User die Passwörter ändern sollen. Und so ganz präventiv scheint der Grund doch nicht zu sein: Motherboard hat eine Auswahl der Daten zugespielt bekommen, die Mailadressen und gehashte Passwörter enthielten. Gegenüber Motherboard versicherte ein Dropbox-Mitarbeiter inoffiziell die Echtheit der Daten. Gefährdet sind vor allem Accounts, deren Passwörter noch mit einem veralteten Hash-Verfahren verschlüsselt wurden. Aus den Hashes dieser Passwörter kann das Klartext-Passwort im Zweifelsfall in vergleichbar kurzer Zeit ermittelt werden.
Wer auf Nummer sicher gehen will, sollte also sein Passwort bei Dropbox ändern und die 2‑Faktor-Authentifizierung aktivieren. Und natürlich die Daten auf der Dropbox selbst nur verschlüsselt ablegen.
Update 01.09.2016:
Dropbox hat uns gegenüber nun den Hack auch offiziell bestätigt, und auch der Blogpost des Unternehmens wurde aktualisiert. -
: Snowden im Guardian-Interview: „Die Regierung fängt eure intimsten Lebensausschnitte ab.“
: Snowden im Guardian-Interview: „Die Regierung fängt eure intimsten Lebensausschnitte ab.“ Schonmal Fotos in der Cloud gespeichert, die niemanden etwas angehen? Schonmal private Skype-Aktivitäten betrieben? Es überrascht wohl niemanden mehr, dass die NSA das alles abfangen kann. Aber es gibt immer neue Ebenen der Anschaulichkeit.
Ein weiterer Video-Ausschnitt des Guardian-Interviews mit Snowden wurde gestern veröffentlicht. In knapp 14 Minuten spricht Snowden über die Wahrscheinlichkeit, ein russischer Spion zu sein, die Gefahren der Cloud und die Reife junger Geheimdienstmitarbeiter.
Snowden gefällt es ganz gut in Russland – jedenfalls besser als in einem Staat, wo er eine unfaire Verhandlung erwarten kann. Auf die Fragen und Verdächtigungen, ob er mit der russischen Regierung zusammenarbeite, erwidert er:Wenn die [amerikanische] Regierung das geringste Anzeichen, den geringsten Beweisschnipsel hätte, […] dass ich für die russische Regierung arbeiten würde, wäre das spätestens zum Mittag auf der Titelseite der New York Times.
Er hält es für vernünftig, anzunehmen, dass er überwacht wird. Genauso wie Journalisten, deren Arbeit oft delikate Kontakte und geheime Quellen umfasst. Besonders beim Aufbauen neuer Kontakte, bevor eine verschlüsselte Kommunikation besteht, ist das Risiko groß und kann alles verraten werden.
Große Aufmerksamkeit erhält er von den Medien für seine Kritik der Cloud – es sei nicht das Ende von Cloud Computing, aber es brauche eben gewisse Standards, wie ein „zero knowledge system“ – als Beispiel vergleicht er Dropbox, ein Premiumziel für eine Prism-Partnerschaft mit sehr privatsphärefeindlichen Einstellungen mit Spideroak, ebenfalls ein Filesharing-Hoster, dessen Mitarbeiter aber keinen Zugriff auf die Daten ihrer Kunden haben, da diese bereits auf dem Computer verschlüsselt werden. In der Dropbox sei nichts sicher. Gegen diese Vorwürfe wehrte sich der Filehoster im Übrigen gegenüber Spiegel Online.
Auf die Frage, ob er Google nutze, muss er erst einmal herzlich lachen. Man könne weder Google noch Skype trauen, vor allem nicht für private Konversationen. Er kennt konkrete Vorfälle, wo in die intimste Privatsphäre der Überwachten eingegriffen wurde – Daten, die überhaupt nicht mit dem Überwachungsziel zusammen hingen, zum Beispiel explizite Fotos oder Videochatinhalte, kommen immer wieder vor – und die jungen Mitarbeiter teilen sie natürlich untereinander. Diese Youngster, vielleicht 22, plötzlich ausgestattet mit einer Menge Verantwortung – sie haben Zugang zu allen Daten. Ein solcher Vorfall, wo pikante Details einfach weitergereicht werden, werde nicht gemeldet, es gebe ja fast keine Kontrolle. Die intimsten Lebensausschnitte der Bevölkerung werden ihr von der Regierung genommen – ohne jegliche Genehmigung.
Die Zweifel, die Snowden kamen, behielt er nicht nur für sich, er wies öfter Kollegen darauf hin, die Programme mit denen sie arbeiten könnten verfassungsfeindlich, könnten schlicht falsch sein. Aber geändert hat sich dadurch nichts.
Hier ist der Link zu dem Interview. Das bearbeitete Transkript des vollständigen Interviews, welches insgesamt laut Guardian sieben Stunden dauerte, findet sich hier.
-
: Vertrauensfördernde Maßnahme: Condoleezza Rice im Vorstand von Dropbox
: Vertrauensfördernde Maßnahme: Condoleezza Rice im Vorstand von Dropbox Die ehemalige US-Außenministerin Condoleezza Rice wurde in den Vorstand von Dropbox.com berufen. Techcrunch versucht eine Erklärung dafür zu finden, was sie qualifiziert:
Dropbox needs people with international experience to help it at once deal with foreign governments that have blocked its use — China, for example — and as it works to spread a product developed in one country to others that are culturally different.
Bereits vor ihrem Eintritt in den Vorstand des auch in Deutschland beliebten Synch- und Cloud-Service beriet ihre Firma RiceHadleyGates schon Dropbox. Wer sich fragt, welcher Gates das im Namen ist: Das ist Robert Gates, der ehemalige US-Verteidigungsminister.
Wenn das nicht mal eine vertrauensfördernde Maßnahme im Lichte des NSA-Überwachungsskandal ist…!
-
: Looking Inside the (Drop) Box: Forscher reverse-engineeren Dropbox Client, können Accounts übernehmen
: Looking Inside the (Drop) Box: Forscher reverse-engineeren Dropbox Client, können Accounts übernehmen
Dropbox Accounts können von Dritten übernommen und die Zwei-Faktor Authentifizierung umgangen werden. Das haben zwei Forscher herausgefunden, nachdem sie den proprietären Client reverse engineered haben. Damit haben sie den Weg bereitet, Dropbox insgesamt weiter unter Sicherheitsaspekten zu untersuchen – und eigene Clients zu schreiben.Auf dem diesjährigen USENIX Workshop on Offensive Technologies gab es wieder eine Reihe spannender Vorträge. Einer davon hat sich den populären Filesharing-Dienst Dropbox, mittlerweile ein 10 Milliaren US-Dollar starkes Unternehmen, genauer angeguckt: Looking Inside the (Drop) Box
This paper presents new and generic techniques, to reverse engineer frozen Python applications, which are not limited to just the Dropbox world. We describe a method to bypass Dropbox’s two factor authentication and hijack Dropbox accounts. Additionally, generic techniques to intercept SSL data using code injection techniques and monkey patching are presented.
We believe that our biggest contribution is to open up the Dropbox platform to further security analysis and research. Dropbox will/should no longer be a black box. Finally, we describe the design and implementation of an open-source version of Dropbox client (and yes, it runs on ARM too).
Davon gibt es ein Paper, Slides, Video, Audio und natürlich den Code.
Viel Spass am Gerät.
-
: Dropbox hat wohl die Nutzer belogen, was die Sicherheit betrifft
: Dropbox hat wohl die Nutzer belogen, was die Sicherheit betrifft Dropbox ist ein beliebter Service mit rund 25 Millionen Nutzern, mit dessen Hilfe man Daten bequem in der Cloud speichern kann. Das ist praktisch, wenn man nicht alles auf der eigenen Festplatte ablegen möchte, und z.B. dezentral von verschiedenen Rechnern darauf zugreifen möchte. Ein weiteres Anwendungsszenario ist Filesharing, da man Ordner mit anderen Nutzern teilen kann. Bisher erklärte Dropbox immer, dass die Daten gut verschlüsselt sind und Dropbox-Mitarbeiter nicht sehen können, was die Nutzer speichern. Das war natürlich eine vertrauensbildende Maßnahme, wer möchte schon einen Dienst nutzen, wo man vielleicht sensible Daten auf eine Festplatte in der Clound hochlädt, und fremde Menschen darin rumstöbern können. Nun, das mit der Verschlüsselung war wohl eine Lüge, wie das Wired-Blog Threat-Level berichtet: Dropbox Lied to Users about Data Security, Complaint to FTC Alleges. Vor kurzem wurde die Webseite geändert.