Dropbox zhakowany. Tysiące kont skompromitowanych dzięki „zaufanemu” systemowi autoryzacji
Znany szeroko portal Dropbox, oferujący hosting plików w chmurze, padł ofiarą włamania. Pomiędzy 4 a 21 sierpnia, przez pełne 17 dni, tysiące użytkowników portalu żyło w przekonaniu, że ich pliki są bezpieczne. Tymczasem, jak się okazało, dowolny atakujący z dostępem do publicznie dostępnego formularza rejestracyjnego Lenovo mógł wejść na ich konta bez znajomości hasła, przeprowadzania ataku phishingowego czy łamania jakiejkolwiek formy kryptografii. Wystarczyła banalna luka w zewnętrznym systemie weryfikacji tożsamości Lenovo ID.
Mechanizm tejże luki był w istocie trywialny – co niestety nie oznacza, że nieskuteczny. Dropbox, jako strona polegająca na zewnętrznym dostawcy tożsamości („relying party” w terminologii OpenID Connect), akceptował „zweryfikowane” tożsamości Lenovo ID jako alternatywę dla typowego logowania za pomocą loginu i hasła. Rzecz w tym, że aby założyć konta w systemie Lenovo ID, wystarczał dowolny adres mailowy – w tym także ten zarejestrowany na dane kogoś zupełnie innego niż faktyczny użytkownik, bez konieczności weryfikacji prawdziwości tychże danych.
W rezultacie, jak się okazało, każdy mógł zarejestrować się w Lenovo ID, używając tożsamości innych osób i podszywając się pod nie. Gdy ktoś dysponujący kontem w tym systemie chciał zalogować się na „cudzego Drobboxa”, sam Dropbox bez dalszych pytań identyfikował prezentowaną mu tożsamość Lenovo ID jako powiązaną z emailem istniejącego użytkownika – i udzielał mu dostępu. Co istotne, ofiary takiego włamania nie musiały posiadać własnych kont Lenovo – wystarczyło, że atakujący zdecydował się założyć je w ich imieniu.
Dropbox znów upuścił pudło
Lenovo przyznało, że usterka leżała po ich stronie, ale zaznaczyło, iż jego właśni klienci nie zostali poszkodowani (nie ma to jak troska o wszystkich pokrzywdzonych…). Dropbox zareagował, unieważniając wszystkie sesje uwierzytelnione przez Lenovo ID i wprowadzając dodatkowy wymóg podawania hasła przy próbie zalogowania się za pomocą tego systemu. Co istotne, w części przypadków napastnicy nie tylko uzyskali dostęp, ale także wyświetlali i pobierali pliki z kont ofiar – choć Dropbox w niektórych powiadomieniach do użytkowników twierdził, że nie znaleziono dowodów na wyciek danych.
Dodatkowo portal zaleca zmianę haseł oraz włączenie autoryzacji dwuetapowej. Dla osób, których pliki przez dwa tygodnie były każdego, kto zechciał sprawdzić, czy Lenovo faktycznie weryfikuje cokolwiek, te porady mogą stanowić marną pociechę. Tym bardziej, że to nie pierwszy przypadek, gdy Dropbox dopuszcza się podobnego blamażu związanego z systemem autoryzacji logowania. Najnowsze włamanie dotknęło w sumie ok. 5 tysięcy kont.
