Dropbox lek als een zeef

Het gebruik van online diensten kennen een hoge vlucht. Af en toe komen er verhalen aan het licht die op zijn minst wenkbrouwen doen fronsen, zoals nu met Dropbox. Maar moet je hiervoor het kind met het badwater weggooien ? Kan je online diensten vertrouwen ?

Dropbox is een populaire dienst voor het uitwisselen van bestanden tussen mensen en computers. Met meer dan 25 miljoen, vooral residentiele, gebruikers is het de grootste in zijn soort. De dienst werkt met met folders die gesynchroniseerd worden over het internet met servers van Dropbox. Via die servers worden de bestanden ook ter beschikking gesteld aan gebruikers die de gebruiker ook rechten heeft gegeven op die bestanden.

Back-up

Met het princiepe van Dropbox is niks mis. Integendeel, want een copij van alle bestanden in de Dropbox-folder worden bijgehouden door Dropbox. Hierdoor heb je automatisch een back-up van je bestanden. En je kan ze terugzetten nadat je laptop gestolen is of bestanden per ongelukt gewist worden.

Gebruiksvoorwaarden

De problemen begonnen nadat Dropbox zijn algemene voorwaarden wijzigde. Waar er eerst sprake was van een absolute privacy van de gegevens in de algemene voorwaarden, werd dit aangepast. Onder druk van de authoriteiten moest Dropbox gegevens van zijn gebruikers vrijgeven als dat nodig zou zijn.

Veiligheidslek

Het verhaal wordt pas echt angstaanjagend door de post van Derek Newton : “Dropbox authentication : insecure by design”. Hierin legt hij uit dat het makkelijk is om permanent toegang te krijgen tot de Dropbox folders zonder dat de gebruikers hier iets van merken. De boosdoener is een bestandje, de config.db, dat de toegang regelt tot de folder. Die bestandje kan eenvoudig weg gecopieerd worden naar iedere andere computer.

Meekijken

Met het gekaapte bestandje kan je eenvoudig weg zelf een Dropbox folder op je computer aanmaken en automatisch alle bestanden toekrijgen die het slachtoffer op dat moment bezit, inclusief alle toekomstige wijzigingen. De “hacker” kan als het ware meekijken naar de bestanden in de Dropbox folder van zijn slachtoffer. Het wachtwoord wijzigen heeft geen enkel effect.

Oplossing

Een virus of andere malware kan makkelijk het gewraakte config.db bestandje “oogsten”. Het hoeft echter niet zo geavanceerd zijn : Als een collega een kop koffie gaat halen is er slechts enkele minuten nodig om het bestandje op te sporen en de copieren op een USB-stick.
Dropbox heeft intussen het probleem erkent en werkt aan een oplossing.

Let op voor ....

Gelukkig kan u zichzelf wapenen, door een aantal spelregels in acht te nemen :

• Lees ALTIJD de algemene voorwaarden, service description en/of service level agreement van de dienst zodat u weet wat er met uw gegevens gebeurd.
• Ga na onder welk rechtssysteem de gegevens bewaard worden zodat ook de privacy van uw gegevens gegarandeerd wordt. Algemeen kan je stellen dat dit binnen Europese landen goed geregeld is.
• Versleutel altijd vertrouwelijke gegevens en beveilig die bestanden met een wachtwoord.
• Hou er rekening mee dat, net zoals uw eigen computer, ook online diensten kunnen gehackt worden.

Gelukkig zijn de risico’s bij een online dienst meestal een stuk kleiner dan wanneer u alles enkel binnen uw bedrijfsmuren bewaard.

Alternatief

Een goed, professioneel alternatief voor Dropbox is Nomadesk. Nomadesk is een Oost-Vlaams bedrijf dat een veilige filesharing oplossing biedt, met soortgelijke functionaliteit als Dropbox. Er zijn echter 2 grote verschillen : het is ontwikkelt voor zakelijk gebruik en het heeft bij het ontwerp vooral een de veiligheid van de gegevens gedacht.

Encryptie

Op je eigen computer heb je een virtuele harde schijf, waarin je bestanden versleuteld zitten. Als je niet bent aangelogged op de Nomadesk dienst, dan zijn de bestanden niet zichtbaar. Iemand die je computer ontvreemd kan dan je bestanden niet lezen. Ook alle communicatie tussen je computer en de Nomadesk servers verloopt via een beveiligde, versleutelde verbinding.

Theftguard

Mocht je computer gestolen worden of in verkeerde handen vallen, dan kan je gebruik maken van de Theftguard functie. Hiermee kan je de computer localiseren als die verbonden is op het internet. De laatst gekende locatie wordt opgeslagen. Daarnaast kan je ook vanop afstand alle gegevens verwijderen die je op de virtuele harde schijf hebt opgeslagen.
Op een nieuwe computer kan je snel alle gegevens terugzetten vanop de Nomadesk-servers. Zo zijn je gegevens altijd veilig.

Meer info

Nomadesk - online bestanden delen.