ड्रॉपबॉक्स ने उपयोगकर्ताओं को डेटा सुरक्षा के बारे में झूठ बोला, एफटीसी के पास शिकायत दर्ज की गई

इस होस्टिंग के 25 मिलियन उपयोगकर्ताओं के धोखाधड़ी के संबंध में कार्यवाही की मांग करने वाले संघीय व्यापार आयोग के खिलाफ ड्रॉपबॉक्स के खिलाफ एक शिकायत (पीडीएफ) दर्ज की गई है। अपनी स्थापना के बाद से, ड्रॉपबॉक्स ने कहा है कि उसके कर्मचारी एन्क्रिप्टेड उपयोगकर्ता फ़ाइलों तक पहुंचने में सक्षम नहीं हैं। संदर्भ अनुभाग में यह लिखा गया था कि "सभी फाइलें AES-256 के साथ एन्क्रिप्ट की गई हैं और आपके पासवर्ड के बिना डिक्रिप्ट नहीं की जा सकती हैं ।"

हाल ही में यह पता चला कि ऐसा नहीं है। यह पता चला कि ड्रॉपबॉक्स कर्मचारी फाइलों को डिक्रिप्ट कर सकते हैं यदि वे इसे आवश्यक मानते हैं । 13 अप्रैल, 2011 को, वाक्य का दूसरा भाग (इटैलिक में) सूचना अनुभाग से हटा दिया गया था।

इसके अलावा, सूचना अनुभाग के अन्य शब्दों को बदल दिया गया था:

पुराने शब्द: "ड्रॉपबॉक्स कर्मचारी समस्याओं के मामले में, उपयोगकर्ता फ़ाइलों तक पहुंचने में सक्षम नहीं हैं, वे केवल मेटाडेटा (फ़ाइल नाम, फ़ाइल आकार, आदि, लेकिन सामग्री नहीं) देख सकते हैं" / और जब किसी खाते का समस्या निवारण होता है, तो उनके पास केवल फ़ाइल मेटाडेटा (फ़ाइल नाम, फ़ाइल आकार आदि) तक पहुँच होती है, फ़ाइल सामग्री नहीं)।

नई ख़बर: "ड्रॉपबॉक्स कर्मचारियों को आपके ड्रॉपबॉक्स खाते में आपके द्वारा संग्रहीत फ़ाइलों की सामग्री को देखने से मना किया जाता है, और उपयोगकर्ताओं द्वारा उनके फ़ोल्डर में संग्रहीत फ़ाइलों की सामग्री को देखने की अनुमति होती है, उन्हें केवल मेटाडेटा देखने की अनुमति होती है, जैसे फ़ाइल नाम और पथ।" केवल फ़ाइल मेटाडेटा (जैसे, फ़ाइल नाम और स्थान) देखने की अनुमति है।

एक स्पष्टीकरण पाठ भी जोड़ा गया है: वे कहते हैं, अधिकांश ऑनलाइन सेवाओं के साथ, ड्रॉपबॉक्स में "कर्मचारियों की एक छोटी संख्या" है और वे गोपनीयता नीति में वर्णित दुर्लभ मामलों में ऐसा करते हैं।

एफटीसी को शिकायत के लेखक क्रिस्टोफर सोगोहियन के अनुसार, ड्रॉपबॉक्स को प्रतियोगियों पर अनुचित लाभ मिला जो वास्तव में फाइलों की विश्वसनीय क्रिप्टोग्राफिक सुरक्षा प्रदान करते हैं।

शिकायत के लिए ड्रॉपबॉक्स की आधिकारिक प्रतिक्रिया यह है कि दावे "पुराने हैं" और 21 अप्रैल को ड्रॉपबॉक्स के आधिकारिक ब्लॉग पोस्ट पर स्थिति स्पष्ट की गई थी। ड्रॉपबॉक्स की स्थिति इस तथ्य से उबलती है कि उन्होंने कभी यह दावा नहीं किया कि उन्होंने क्रिप्टोग्राफिक कुंजियों को संग्रहीत नहीं किया है, अर्थात, उन्होंने कथित तौर पर किसी को धोखा नहीं दिया।

जैसा कि आप जानते हैं, ड्रॉपबॉक्स एल्गोरिथ्म प्रत्येक अपलोड की गई फ़ाइल के हैश की तुलना करने पर आधारित है, जो पहले से ही होस्टिंग पर संग्रहीत हैं। यही है, फ़ाइल की सामग्री का अभी भी विश्लेषण किया जाता है, भले ही यह फ़ाइल एन्क्रिप्टेड रूप में सर्वर पर संग्रहीत हो। ड्रॉपबॉक्स निजी प्रोटोकॉल के कार्यों का उपयोग करने वाले प्रोग्राम को संशोधित करके , आप आसानी से देख सकते हैं कि 25 मिलियन ड्रॉपबॉक्स उपयोगकर्ताओं में से किसी के पास बॉक्स में एक विशिष्ट फ़ाइल है या नहीं।

यद्यपि सर्वर पर फ़ाइल को डिक्रिप्ट किए बिना डुप्लिकेट को खोजने के बारे में एक योजना है , ड्रॉपबॉक्स, जाहिरा तौर पर, इतने सुरुचिपूर्ण ढंग से काम नहीं करता है। इस तरह के निष्कर्ष को इस तथ्य के आधार पर बनाया जा सकता है कि वे अपनी चाबी रखते हैं।

उसी समय, ड्रॉपबॉक्स प्रतिद्वंद्वियों, स्पाइडरऑक और वूला ऑनलाइन होस्टिंग प्रदाताओं को भी सैद्धांतिक रूप से उपयोगकर्ता फ़ाइलों तक पहुंच नहीं है, क्योंकि वे कुंजी स्टोर नहीं करते हैं। इस प्रकार, वे डुप्लिकेट की पहचान नहीं कर सकते हैं और उपयोगकर्ता फ़ाइलों को संग्रहीत करने के लिए अधिक संसाधनों को खर्च करने के लिए मजबूर हैं, उपयोगकर्ता सुरक्षा के लिए पूरी कीमत चुकाते हैं (जाहिर है, उन्होंने उपरोक्त योजना के बारे में भी नहीं सोचा था या इसमें खामियां नहीं देखी थीं)।

सोगॉयन के अनुसार, ड्रॉपबॉक्स अभी भी उपयोगकर्ता की जानकारी के संरक्षण पर अपने बयानों के साथ भ्रामक है, क्योंकि संदर्भ खंड अभी भी कहता है कि ड्रॉपबॉक्स "बैंकों और सैन्य के समान सुरक्षा विधियों का उपयोग करता है", "ड्रॉपबॉक्स पर फाइलें अंदर हो सकती हैं। आपके घर के कंप्यूटर की तुलना में अधिक सुरक्षित है। ” यह ड्रॉपबॉक्स को अपनी वेबसाइट पर डेटा सुरक्षा शर्तों को स्पष्ट रूप से समझाने, प्रत्येक ड्रॉपबॉक्स उपयोगकर्ता को एक स्पष्ट विवरण के साथ एक ईमेल भेजने के लिए मजबूर करने की आवश्यकता है कि कंपनी के पास अपनी फ़ाइलों की सामग्री को देखने, भुगतान किए गए खातों के उपयोगकर्ताओं को मुआवजा देने और भविष्य में धोखाधड़ी वाले बयानों के उपयोग को प्रतिबंधित करने की क्षमता है।