Dropbox 1.1.40 chiude tre gravi vulnerabilità e migliora la compatibilità con Lion

Nel corso della manifestazione Usenix Security Symposium, alcuni esperti di sicurezza di SBA Research (Austria) hanno dimostrato come i file archiviati con il servizio di storage cloud Dropbox potevano essere accessibili a terzi senza alcuna autorizzazione con tre tipi di attacchi. Le vulnerabilità sono state scoperte lo scorso anno, ma sono state rese pubbliche soltanto adesso per permettere a Dropbox di chiudere le pericolose falle.

In primo tipo di attacco ha permesso ai ricercatori di falsificare i valori hash che dovrebbero identificare i blocchi dei dati memorizzati sulla “nuvola” di Dropbox. In pratica, Dropbox verifica questi valori per vedere se i dati già memorizzati sulla nuvola corrispondono ai link dell’account dell’utente che ha inviato l’hash. Una volta che l’accesso non autorizzato è stato concesso da Dropbox, il titolare dell’account violato non ha alcun modo di sapere che i suoi file sono consultabili da terzi.

Il secondo tipo di attacco ha permesso di rubare l’ID host Dropbox della vittima, che è una chiave a 128 bit generata da Dropbox utilizzando fattori specifici come username, data e ora. Una volta ottenuto l’ID host della vittima, l’hacker avrebbe potuto sostituire il proprio con questo, e con una successiva sincronizzazione scaricare tutti i file del malcapitato.

Il terzo attacco sfrutta una funzionalità di Dropbox che permette di richiedere i documenti tramite SSL a un determinato URL.

Questi tre tipi di attacchi potevano essere utilizzati per rubare i dati di organizzazioni o aziende che utilizzano Dropbox oppure per nascondere file all’interno della nuvola di Dropbox senza che i documenti potessero essere associati all’account dell’hacker, che avrebbe potuto effettuare l’upload da un computer senza disco rigido usando un Linux live CD, e quindi senza lasciare tracce.

Dropbox 1.1.40, che adesso adotta un nuovo tipo di cifratura del database, chiude queste pericolose vulnerabilità e migliora anche la compatibilità con Mac OS X Lion. In più l’update risolve un bug che in alcune rare occasioni poteva determinare il crash del Finder al lancio dell’applicazione.