ड्रॉपबॉक्स शुरू से ही कमजोर?

पिछले कुछ दिनों में, "ड्रॉपबॉक्स असुरक्षित", "ड्रॉपबॉक्स में एक गंभीर भेद्यता का पता चला" जैसे लेखों के साथ इंटरनेट पर सर्फिंग शुरू हो गई है। ड्रॉपबॉक्स उपयोगकर्ता के रूप में, मैंने यह पता लगाने का फैसला किया कि मामला क्या था। जानकारी के रूसी-भाषा के स्रोत, जैसा कि आमतौर पर होता है, "सब कुछ चला गया !!!!!!!!" की भावना में जोर से बयानों से भरा होता है, और स्रोत के लिंक को खराब रूप माना जाता है। कटौती के तहत, मैं आपको बताऊंगा कि चीजें वास्तव में कैसी हैं।

इसलिए, एक हफ्ते पहले, डेरेक न्यूटन ने ड्रॉपबॉक्स प्रमाणीकरण लिखा : अपने ब्लॉग पर डिजाइन द्वारा असुरक्षित । रिकॉर्डिंग काफी स्वैच्छिक है, इसलिए मैं लेखक के मुख्य विचारों को संक्षेप में बताने की कोशिश करूंगा।

विंडोज के तहत (डेरेक विंडोज का उपयोग करता है, लेकिन मुझे यकीन है कि वर्णित हर जगह काम करेगा) ड्रॉपबॉक्स सेटिंग्स, फाइलों / निर्देशिकाओं की सूची, हैश, आदि को बचाता है। कई फ़ाइलों में, SQLite प्रारूप। ये फाइलें % APPDATA% \ Dropbox में हैं । ड्रॉपबॉक्स कॉन्फ़िगरेशन से सीधे संबंधित मुख्य डेटाबेस पर विचार करें: config.db । इसे किसी भी SQLite फ़ाइल व्यूअर में खोलने पर, आप देख सकते हैं कि कई फ़ील्ड्स के साथ डेटाबेस में केवल एक टेबल ( कॉन्फ़िगरेशन ) है। उनमें से तीन पर विचार करें:

• ईमेल : खाताधारक का ईमेल पता। हैरानी की बात है कि यह पता किसी भी तरह से प्राधिकरण की प्रक्रिया में शामिल नहीं है और इसे बिना किसी परिणाम के किसी भी मूल्य (एक मान्य ईमेल पते के रूप में स्वरूपित) में बदला जा सकता है।
• dropbox_path : यह निर्धारित करता है कि ड्रॉपबॉक्स के साथ सिंक्रनाइज़ किया गया फ़ोल्डर कहाँ स्थित है।
• host_id : पहले प्राधिकरण के बाद सिस्टम को सौंपा गया। यह बाद में कभी नहीं बदलता है।

फ़ाइल (डेटा संशोधन, आदि) के साथ प्रयोग करने के बाद, यह स्पष्ट हो गया कि ड्रॉपबॉक्स प्राधिकरण के लिए केवल host_id मान का उपयोग करता है। समस्या यह है कि config.db फ़ाइल पोर्टेबल है और सिस्टम से बिल्कुल जुड़ी नहीं है। यह पता चलता है कि यदि आप इस फ़ाइल (या केवल host_id लाइन) तक पहुँच प्राप्त करते हैं, तो आपको फ़ाइलों तक पूरी पहुँच मिलेगी जब तक कि सिस्टम का खाता ड्रॉपबॉक्स के वेब इंटरफेस के माध्यम से हटा नहीं दिया जाता। Config.db फ़ाइल को किसी अन्य सिस्टम में कॉपी करना (आपको अभी भी ड्रॉपबॉक्स_पैथ को सही एक में बदलना पड़ सकता है) और ड्रॉपबॉक्स को लॉन्च करना उपयोगकर्ता को सूचित किए बिना और वेब इंटरफ़ेस में विश्वसनीय लोगों की सूची में नए सिस्टम को जोड़े बिना भी इस प्रणाली को आपके खाते के साथ सिंक्रनाइज़ करता है (भले ही नया सिस्टम का अलग नाम हो )। इसके अलावा, host_id उपयोगकर्ता द्वारा पासवर्ड बदलने के बाद भी वैध रहता है।

इसके अलावा, डेरेक तार्किक रूप से नोट करता है कि चूंकि config.db फ़ाइल तक पहुंच है, तो सबसे अधिक संभावना है कि सीधे ड्रॉपबॉक्स फ़ाइलों तक पहुंच है, जिसका अर्थ है कि यह इतनी गंभीर भेद्यता नहीं है। यह सब ठीक है, लेकिन हमलावरों के लिए बहुत अच्छी संभावनाएं खुलती हैं:

• एक अपेक्षाकृत सरल "लक्षित" वायरस विकसित किया जा सकता है, जिसका उद्देश्य मेजबान के हित के व्यक्तियों से लेकर हमलावर तक, फ़ाइलों की पहुंच या उनके संक्रमण से हो सकता है।
• यहां तक ​​कि अगर वायरस एक समझौता प्रणाली पर पाया जाता है, तो सामान्य सुरक्षा चरण (वायरस को हटाने, पासवर्ड को बदलना, सिस्टम को फिर से इंस्टॉल करना, आदि) पीड़ित की फाइलों तक पहुंच को रोक नहीं पाएंगे। उपयोगकर्ता को ड्रॉपबॉक्स वेबसाइट पर विश्वसनीय लोगों की सूची से मैन्युअल रूप से समझौता प्रणाली को हटाने की आवश्यकता होगी।
• केवल config.db फ़ाइल (आकार में कई किलोबाइट) का हस्तांतरण ज्यादातर मामलों में ड्रॉपबॉक्स फ़ोल्डर से सीधे फ़ाइलों के हस्तांतरण की तुलना में कम ध्यान देने योग्य है। उपयोगकर्ता द्वारा कंप्यूटर को बंद करने पर भी ड्रॉपबॉक्स फ़ाइलों तक पहुंच संभव है।

डेरेक तीन सुरक्षा विकल्प प्रदान करता है, जो हालांकि स्पष्ट हैं:

1. ड्रॉपबॉक्स का उपयोग न करें। यह सबसे आसान है, लेकिन सबसे स्वीकार्य तरीका नहीं है, बिल्कुल।
2. अपने डेटा को सुरक्षित रखें: ड्रॉपबॉक्स में संग्रहीत महत्वपूर्ण फाइलों के लिए एन्क्रिप्शन का उपयोग करें और उनके लिए एक्सेस की कुंजी को गुप्त रखें (उदाहरण के लिए, इसे ड्रॉपबॉक्स फ़ोल्डर या उसी सिस्टम पर संग्रहीत करना मूर्खतापूर्ण होगा)
3. अधिकृत उपकरणों की सूची का ध्यान रखें और जिन्हें आप उपयोग करने की योजना नहीं बनाते हैं, उन्हें हटाने के लिए आलसी रहें। ड्रॉपबॉक्स वेब इंटरफ़ेस में "मेरा कंप्यूटर" सूची में "अंतिम गतिविधि" फ़ील्ड पर भी ध्यान दें। यदि आप देखते हैं कि फाइलों तक पहुंच थी जब यह नहीं होना चाहिए, तो तुरंत विश्वसनीय लोगों से इस प्रणाली को हटा दें।