¿Es Dropbox inseguro por diseño?

La seguridad del servicio de Dropbox ha sido puesta en duda por un investigador.

Dropbox es un ejemplo en el naciente campo de almacenamiento online y es uno de los servicios más populares. Funciona agregando una carpeta al disco rígido de la computadora.
Cualquier archivo agregado es actualizado en el almacenamiento online, y se puede instalar el producto en una variedad de computadoras y dispositivos móviles, sincronizando archivos entre todos los dispositivos. Adicionalmente, Dropbox puede actuar como un servicio de backup si se encuentra solamente instalado en una máquina.
El problema de seguridad está relacionado al software cliente y como autentica usuarios, es decir, como cada computadora demuestra a Dropbox que debería tener acceso a los archivos del usuario.

El investigador de seguridad Derek Newton ha descubierto que, para identificar una computadora, la autenticación depende de un único e invariable código de hash -es decir, una secuencia de de caracteres hexadecimales. Cualquiera que descubra este hash,
el cual está almacenado en texto claro dentro de el disco rígido del usuario, puede sincronizar los archivos privados de la persona desde cualquier computadora, sin necesidad de usar usuario ni contraseña.

El usuario afectado no se percatará de este acceso a su información, a menos que se estén fijando en línea qué computadoras han estado accediendo a su cuenta.

Incluso si el usuario cambia su contraseña, Newton dice, el código de hash seguirá funcionando. Por lo tanto, tener el hash es suficiente para acceder de por vida a la cuenta de ese usuario a menos que el hash sea anulado, lo cual podría implicar que el usuario desautorice a la computadora cuyo hash ha sido comprometido -algo que no siempre es fácil o conveniente.

Algunos expertos de seguridad sugieren que un codigo hash como éste debería ser único para cada computadora, haciéndolo no portable. Esto podría lograrse calculando el codigo basado en un aspecto único de la computadora, tales como el numero de serie del CPU o la dirección MAC de la placa de red. Este hash podría ser verificado por el software de Dropbox contra el hardware cada vez que se inicie la autenticación para asegurar que la computadora recibió un acceso permitido de forma genuina.

De todos modos, tal método de especificar computadoras individualmente podría traer preocupación en algunos promotores de la privacidad online.

Lo que hace peor al descubrimiento, es que el agujero de seguridad parece estar ahí por propio diseño. Los ingenieros de Dropbox consideran que esto es un nivel de protección adecuada para sus usuarios.

Dropbox ha respondido indicando que para que el ataque funcione, un hacker debería ganar acceso a la computadora del usuario. En ese punto, la batalla de seguridad ya está perdida, porque el hacker tendría acceso a todos los archivos de la computadora.
Lo comparan a robar cookies de sesion de un navegador de internet cuando se quiere impersonar a un usuario, aunque agregan que “hay medidas que pueden ser tomadas para hacer más difícil (aunque no imposible) ganar acceso… lo cual consideraremos en el futuro”.

Fuera de ataques de hacking, hay un potencial masivo para usar los códigos de hash y así espiar a los usuarios de Dropbox. Simplemente usando la computadora de un usuario descuidado, y robando su hash de Dropbox, serás capaz de agregar o borrar archivos de su cuenta en cualquier momento.

Adicionalmente, los hackers que instalan troyanos o keyloggers podrían tomar los hash como parte del hackeo y, si su software ilícito es descubierto y removido, pueden usar el hash para continuar accediendo a los archivos en la nube de la víctima.

Aunque la mayoría de nosotros cambia las contraseñas luego de ser hackeado, ¿cuántos se dan cuenta que es necesario cambiar la contraseña de Dropbox? (el cambio podría involucrar el borrado de la computadora de la lista de Dropbox, y agregar la computadora nuevamente, por lo tanto creando un nuevo hash y requiriendo una sincronización desde cero).

Si la falla de seguridad es algo de qué preocuparse o no, es una cuestión de opinión. Newton dice que la única forma de utilizar el servicio estando tranquilo es encriptar manualmente la información, pero eso elimina la conveniencia de poder copiar archivos hacia o desde Dropbox.

El problema muestra cómo los desarrolladores de software en la nube a menudo reemplazan seguridad por propia conveniencia -hacer que los usuarios se conecten a Dropbox cada vez que la computadora arranque haría que Dropbox sea mucho menos útil o atrayente. Tales problemas son tan solo un obstáculo que los servicios en la nube deberán sortear para ganar la confianza de los usuarios.

Una discusión interesante de las implicaciones del descubrimiento de Newton puede ser encontrada en la sección de comentarios de su blog, donde varios expertos en seguridad exponen su opinión.

Fuente: PC World

Esta entrada fue publicada en General. Guarda el enlace permanente.

Deja un comentario