Todo el contenido de este blog está registrado en el R.P.I. por Safe Creative

martes, 12 de abril de 2011

¿Fallo de diseño en Dropbox? Dropbox dice que no

He de reconocer que me he incorporado tarde al uso de Dropbox, un servicio de almacenamiento en la nube con el que compartir archivos y, por ejemplo, realizar copias de seguridad. La gran mayoría tenemos en muy alta estima a Dropbox, ya no sólo por su facilidad de uso, sino también porque pensábamos que era un servicio seguro. Y es, precisamente, el tema de la seguridad el que ha empañado un poco el nombre de Dropbox, concretamente, su forma de autentificar a los usuarios. Según ha publicado Derek Newton, un experto en seguridad, la autentificación de Dropbox sería insegura y, por tanto, el hash generado para cada equipo que tiene acceso al espacio compartido, dado que se almacena en local, puede ser replicado y utilizado en otros equipos que podrían acceder de manera fraudulenta al espacio de almacenamiento.
De hecho, según este experto, incluso si se cambia la contraseña de la cuenta, el hash permanece constante, por lo que, al final, se seguiría teniendo acceso a la cuenta. Algunos expertos que también han analizado esta cuestión, han comentado que, al menos, este hash debería vincularse a la MAC del equipo o al número de serie de la CPU, de manera que, al menos, la credencial de acceso se vincule al equipo y no sea tan sencilla de exportar.
Dropbox ha contestado a esta cuestión a través de un comentario en el blog de Derek Newton y, curiosamente, no ven tanto riesgo en su sistema. Dropbox alega que el fallo no es tan grave, básicamente, porque para poder robar ese hash, el atacante debe tener acceso físico a la máquina y, claro está, al tener acceso a la máquina, tiene acceso a la copia local de los archivos. Realmente, aunque podría ser una explicación con cierto sentido, creo que la explicación de Dropbox se queda algo corta, de hecho, estoy de acuerdo en que nos encontramos ante un fallo de diseño del servicio.
En el supuesto que un usuario utilice Dropbox para realizar un backup, si pierde su equipo, teóricamente, puede recuperar sus archivos porque para eso los tiene en la nube. De hecho, sería lógico que el usuario cambiase, por seguridad, su contraseña, sin embargo, en su equipo se encuentra almacenada una credencial que otorga acceso a su cuenta desde cualquier ubicación y sin que le afecte el cambio de contraseña, por lo que sus documentos, y cualquier otro uso posterior que quiera hacer de la cuenta, siempre estarían comprometidos, salvo que el usuario procediese a resetear su cuenta, en cuyo caso, además de forzar la creación de un nuevo hash, se perderían también los archivos almacenados.
Aunque Dropbox no considere de gravedad este fallo, me parece que deberían replantearse cómo validan a los clientes del servicio porque, improbable o no, esto es una puerta a posibles ataques y un riesgo para los usuarios.

No hay comentarios: