DropBox oskarżony o oszukanie użytkowników w kwestii prywatności

Miesiąc temu w sieci pojawiła się informacja o spostrzeżeniach Christophera Soghoiana, badacza w dziedzinie prywatności i bezpieczeństwa w sieci, dotyczące możliwego naruszania prywatności przez Dropboksa. Jeden z największych serwisów oferujących usługę dysku sieciowego zapewniał na swojej stronie internetowej, że dane składowane na serwerach są w pełni zaszyfrowane i nikt nie ma do nich dostępu, nikt nie może ich odczytać, podczas gdy okazało się, że wcale nie jest tak kolorowo, jak to opisywano.

DropBox stosuje metodę deduplikacji, tzn. nie dopuszcza możliwości składowania dwa razy tego samego pliku. Jeśli użytkownik będzie próbował wgrać na swój dysk sieciowy plik, który został już wcześniej wgrany przez innego użytkownika, plik "wgra" się w ułamku sekundy, a w rzeczywistości plik wgrany wcześniej przez kogoś innego zostanie przypisany do kolejnego użytkownika - tego, który właśnie próbował go wgrać. Metoda ta może być szeroko stosowana, ale w innej kategorii usług. Nikt nie ma nic przeciwko by tego typu technikę stosowały serwisy typu Tumblr czy Soup, ale DropBox skompromitował się poprzez stosowanie deduplikacji i jednoczesne utrzymywanie, że nikt poza użytkownikiem nie jest w stanie odczytać wgrywanych danych, chociażby z tego prostego powodu, że plik musi zostać odczytany (w rzeczywistości odczytuje się ich hasze) by mógł zostać podany deduplikacji, bo w przeciwnym razie skąd by wiedziano, że ten plik jest taki sam, jak obecnie znajdujący się już na serwerze?

Soghoian dowodzi, że na nic zdają się zapewnienia na stronie DropBoksa o szyfrowaniu kluczem AES-256, podczas gdy klucz składowany nie jest jedynie po stronie użytkownika, ale również serwera. Jeśli użytkownik chciałby żeby jego dane rzeczywiście były bezpieczne, musiałby sam szyfrować pliki przed wgraniem ich na serwer DropBoksa np. za pomocą truecrypt, co czyni usługę niewygodną.

Informacja ze strony DropBoksa - ile w tym prawdy?

DropBoksa można wytłumaczyć w ten sposób, że oferując od dwóch do bodajże ośmiu gigabajtów pojemności dysku za darmo, musi stosować techniki optymalizacyjne. Nie powinien jednak w takim przypadku kryć mechanizmów jakie stoją za usługą i nie powinien oszukiwać na swojej stronie. Po wykryciu sprawy przez Soghoiana i wystąpieniu prokuratora z Electronic Frontier Foundation do serwisu z tą sprawą, DropBox zaktualizował swoją stronę, gdzie poszczególne fragmenty zostały zmienione, np.

All files stored on Dropbox servers are encrypted (AES256) and are inaccessible without your account password.

All files stored on Dropbox servers are encrypted (AES 256).

Dropbox employees aren’t able to access user files, and when troubleshooting an account, they only have access to file metadata (filenames, file sizes, etc. not the file contents).

Dropbox employees are prohibited from viewing the content of files you store in your Dropboxaccount, and are only permitted to view file metadata (e.g., file names and locations).

Poza tym, DropBox zapewniał także, że również sam ruch z/do serwisu jest w pełni szyfrowany, ale okazało się, że w przypadku urządzeń mobilnych - nie zawsze.

Skoro zatem DropBox nie zapewnia pełnej ochorny danych, a takiej oczekujemy od dysku sieciowego, musimy udać się gdzie indziej. Tego typu funkcjonalność zapewniają SpiderOak, Wuala czy Tarsnap. Gdyby tego było mało, konta premium w dwóch pierwszych serwisach są tańsze niż te na DropBoksie. Jak widać, w przypadku oskarżonego zadziałał mechanizm poleceń za dodatkowe gigabajty, który spowodował taką popularyzację usługi.

Po co jednak pełna ochrona danych? Pierwsza sprawa, że dane mają dla niektórych firm kluczowe znaczenie i możliwość ich odczytania przez osoby trzecie to realne zagrożenie dla prowadzonego biznesu. Druga sprawa dotyczy pośrednio bezpieczeństwa użytkownika - np. w przypadku piractwa. O ile wgrywając istniejący już na serwerze plik, nie jesteśmy w stanie dowiedzieć się, kto wgrał go przed nami, o tyle organizacje antypirackie mogą skorzystać z tej metody, wgrywając pirackie materiały na DropBoksa, a w przypadku stwierdzenia natychmiastowego przypisania pliku, wysłać zgłoszenie o przekazanie danych na temat użytkowników, którzy wgrali ten sam plik lub po prostu zgłosić to na policję, która dokona rewizji serwerów i wyszuka wygenerowanego hasha pliku w bazie danych plików użytkowników. Patrząc na sytuację opisywaną wczoraj, możnaby się czegoś takiego spodziewać.

DropBox został zatem oskarżony przez Christophera Soghoiana, który znalazł tę lukę w bezpieczeństwie. Wystosował on pismo do Federal Trade Commission by nakazała serwisowi sprecyzować działanie swojej usługi, poinformować swoich użytkowników o konsekwencjach, jakie mogą wynikać z deduplikacji oraz wypłacić odszkodowanie użytkownikom kont typu Pro za niespełnione obietnice.