Experimentelle Version

Dropbox schließt Sicherheitslücke

Dropbox hat für seinen Onlinespeicherdienst eine neue Version der Clientsoftware vorgestellt, die das Sicherheitsproblem beheben soll, mit dem die Zugangsdaten über eine Konfigurationsdatei entwendet werden können. Noch befindet sich Dropbox 1.2.0 in einer experimentellen Phase.

Artikel veröffentlicht am 29. April 2011, 8:22 Uhr, Andreas Donath

Dropbox 1.2.0 soll ein Problem beheben, auf das Sicherheitsexperte Derek Newton hinwies. Bislang konnte ein Angreifer mit einer entwendeten Konfigurationsdatei vom Rechner des Anwenders unentdeckt auf die Dateien zugreifen.

Dropbox sichert seine Konfigurationsdaten, Datei- und Verzeichnislisten, Hashtabellen und Weiteres in mehreren SQLite-Datenbank-Dateien. Die Datenbank config.db enthält eine host_id, die zur Authentifizierung gegenüber dem Dienst verwendet wird. Wird die config.db-Datei oder die host_id kopiert, kann der Angreifer mit allen Rechten auf die jeweilige Dropbox zugreifen.

In der neuen Version 1.2.0 ist es nach Herstellerangaben nicht mehr möglich, durch Kopieren der Konfigurationsdatei die Zugangsberechtigung zu erlangen. Außerdem wurde ein verschlüsseltes Datenbankformat eingeführt. Dadurch soll es nicht mehr möglich sein, die Datenbank auszulesen.

Noch ist Dropbox 1.2.0 in einer experimentellen Betaphase. Wer vorher manuell ein Backup der Dropbox-Daten erstellt, das im Falle eines Falles zurückgespielt wird, kann die neue Clientsoftware schon ausprobieren. Sie steht für Windows, Linux und Mac OS X zur Verfügung.

Die Entwickler weisen darauf hin, dass das neue Datenbankformat einige Nachteile mit sich bringt. Derzeit funktionieren wegen der Änderungen einige Anwendungen von Drittherstellern nicht mit Dropbox 1.2.0. Als Beispiele werden 1Password und KFilebox aufgeführt.