Referrer-Header: Links in geteilten Dropbox-Dokumenten sind nicht sicher
In einem Blogeintrag(öffnet im neuen Fenster) macht Dropbox auf ein bisher existierendes Sicherheitsproblem bei der Verwendung von geteilten Dokumenten aufmerksam, das nun beseitigt wird. Das einfache Teilen von Dropbox-Links wird von manchen Anwendern offenbar so verstanden, dass Dokumente in der Dropbox nur dann abrufbar sind, wenn der Empfänger auch den direkten Link kennt.
Das traf bisher aber nicht zu, wenn in einem Dokument wie einer Word-Datei oder einem PDF ein Link auf eine andere Webseite enthalten war. Die Betreiber des verlinkten Webservers konnten über die beim Anklicken mitübertragenen Referrer-Daten(öffnet im neuen Fenster) den Dropbox-Link abfangen. Das ist eigentlich eine logische Funktion von URLs, derer sich aber wohl nicht alle Anwender bewusst sind.
Bei neu erstellten Dropbox-Links zu Dokumenten, die ihrerseits Links enthalten, verschleiert Dropbox nun die Referrer. Und bei all den Dokumenten, die bisher von dem Problem betroffen waren, sind die Dropbox-Links nun nicht mehr aufrufbar. Sie lassen sich aber ohne erneutes Hochladen der Dateien wiederherstellen, wofür es auch eine einfache Anleitung gibt(öffnet im neuen Fenster) .
Wer vertrauliche Dokumente unbedingt über einen Cloud-Dienst wie Dropbox zur Verfügung stellen will, sollte sich aber nicht allein auf die Verschleierung der URLs durch den Anbieter verlassen. Besser ist es, die Daten in ein stark verschlüsseltes Archiv zu verpacken und das Passwort auf anderem Weg dem Empfänger mitzuteilen. Zudem gibt es auch die Möglichkeit, freigegebene Ordner bei Dropbox mit einem Passwort zu schützen, was aber nur eine Zusatzmaßnahme sein kann.