Original von Darkman
Ahoi,
[quote]Original von Andreas von Speyer
Ich halte dieses Sicherheitsproblem für kein relevantes. Wenn jemand schon illegalerweise auf einem Rechner ist kann er sich direkt den lokalen Dropbox-Ordner absaugen. Es wäre unsinnig erstmal die Dropbox-Config abzusaugen um dann auf eben diese zuzugreifen wenn er den gleichen Dropbox-Inhalt schon auf dem Servierteller präsentiert bekommt.

In der Argumentation hast Du sicherlich recht, aber das Problem ist nicht damit erledigt. Es geht dabei darum, das Du Dir auch im Nachhinein(!) Zugang zu dem Dropbox Account verschaffen kannst, ohne weiteren Zugang zum Rechner zu benoetigen.
Beispiel waere das boese Model das am Studio PC die Bilder bewerten darf, der Fotograf geht aufs Klo und in der Zeit zieht sie sich die config, Thema erledigt.
Klar, ist konstruiert und vermutlich unwahrscheinlich, aber es gibt genug moeglichkeiten "mal schnell" eine Datei zu kopieren.
Die echte Luecke ist, das Du keine Chance mehr hast, jemanden "auszusperren" der Deine Konfig gemopst hat, denn Du merkst es nicht. Selbst ein PW Change bringt kein Erfolg. Erst wenn Du Deinen Rechner (bzw. den von dem die config ist) de-authorisierst und neu hinzufuegst ist die Dropbox wieder "sicher".

Aber gut, ich kann auch weiterhin halb blind durch die Welt rennen und mir alles schoen reden, statt zu merken das ich, wenn ich mich auf andere Leute verlassen muss u.U. ganz schoen verlassen sein kann.

So long,
Darkman[/quote]

Ja, da muß ich Darkman zustimmen. Das ist ein sehr ernsthaftes Problem - und läßt sich zur Zeit nur durch Nicht-Verwendung von Dropbox umgehen. Weil Du eben nichts merkst und es, selbst wenn Du es merkst, nicht verhindern kannst (außer durch Nicht-Verwendung).
Und es zeigt, daß es da erhebliche Probleme bei der Authenifizierung gibt.

Mal abgesehen davon, wird der Datenklau recht komfortabel: jemand klaut Deine config.db. Wenn er die hat, braucht er nie wieder Zugang zu Deinem Rechner. Er packt die in seine Dropbox-Installation und bekommt jetzt, wann immer Du eine Datei in Dein lokales Dropbox-Verzeichnis packst, die direkt in sein Verzeichnis geliefert. Muß er garnichts weiter tun.
Und eben auch die Dateien, die nicht im Public-Ordner liegen.

Das ist schon deftig.

Original von kleine|details
[quote]Original von plain
[quote]Original von Andreas von Speyer
[quote]Original von Dr.P. (Shooting für So fällt aus, wer hat Lust?)
Naja, liegt vielleicht am Browser, aber das File-Transfer-Protokoll beherrscht Firefox schon seit ewigen Zeiten, auch Upload geht damit problemlos ...

Nicht ohne ein extra Addon wie FireFTP:
Zugriff auf FTP-Server[/quote]

Genau.
Es gibt manchmal so Fake-FTP-Uploadmöglichkeiten, die in Wirklichkeit aber HTTP-Uploads (via File-Inputbox) sind - und dann natürlich ewig dauern. Aber ein richtiger FTP-Upload (oder gar die Unterstützung der übrigen FTP-Befehle) ist in der Regel nicht möglich. Vllt. kann Opera das, die haben da auch einen FTP-Client in den Browser integriert (die stopfen ja die wirrsten Dinge in ihren Browser :/ ). Aber sonst eigentlich nicht...

PS: oder halt über Java, aber dann muß man halt die Java-Applikation erst installieren bzw. starten...^^[/quote]

Bäh... dafür gibt's doch WebDAV. Ein (natürlich fehlerhafter) Client ist sogar in Windows schon eingebaut. Beim Mac sowieso und auch Gnome, KDE, etc. können damit umgehen. Natürlich über https - das ist wesentlich schmerzfreier als http://FTP...

LG
k|d[/quote]

Bäh? FTP ist ne coole Sau^^
Und Datei-Upload via HTTP(S) ja höchstens dafür geeignet, den Kaffee- und Zigarettenkonsum in die Höhe zu treiben (weil: laaaaaaaangsam). :)
WebDAV hingegen ist auch ok.

Original von plain
[quote]Original von kleine|details
...

Bäh... dafür gibt's doch WebDAV. Ein (natürlich fehlerhafter) Client ist sogar in Windows schon eingebaut. Beim Mac sowieso und auch Gnome, KDE, etc. können damit umgehen. Natürlich über https - das ist wesentlich schmerzfreier als http://FTP...

LG
k|d

Bäh? FTP ist ne coole Sau^^
Und Datei-Upload via HTTP(S) ja höchstens dafür geeignet, den Kaffee- und Zigarettenkonsum in die Höhe zu treiben (weil: laaaaaaaangsam). :)
WebDAV hingegen ist auch ok.[/quote]

Naja, FTP ist halt ein sehr krankes Protokoll, mit einem Control- und einem Datenport (mit viel Potenzial für Spaß mit Firewalls und NAT) und außer mit noch krankeren Aufsätzen (ftps) auch noch trivial unsicher.

Also ich finde WebDAV(s) da die beste Lösung :-) (Auch wenn die meisten Client-Implementierungen noch recht schlecht sind)

k|d

Original von kleine|details


Naja, FTP ist halt ein sehr krankes Protokoll, mit einem Control- und einem Datenport (mit viel Potenzial für Spaß mit Firewalls und NAT) und außer mit noch krankeren Aufsätzen (ftps) auch noch trivial unsicher.

Also ich finde WebDAV(s) da die beste Lösung :-) (Auch wenn die meisten Client-Implementierungen noch recht schlecht sind)

k|d

Hm, ich hatte mit FTP noch nie Probleme - allerdings musste ich auch noch nie einen FTP-Server konfigurieren, sondern hab mich da immer ins gemachte Nest gesetzt^^.
Aber wenn Du magst, dann erweitere ich meine Aussage: webDAV ist auch eine coole Sau :)

Original von plain
Ja, da muß ich Darkman zustimmen. Das ist ein sehr ernsthaftes Problem - und läßt sich zur Zeit nur durch Nicht-Verwendung von Dropbox umgehen. Weil Du eben nichts merkst und es, selbst wenn Du es merkst, nicht verhindern kannst (außer durch Nicht-Verwendung).
Und es zeigt, daß es da erhebliche Probleme bei der Authenifizierung gibt.
Mal abgesehen davon, wird der Datenklau recht komfortabel: jemand klaut Deine config.db. Wenn er die hat, braucht er nie wieder Zugang zu Deinem Rechner. Er packt die in seine Dropbox-Installation und bekommt jetzt, wann immer Du eine Datei in Dein lokales Dropbox-Verzeichnis packst, die direkt in sein Verzeichnis geliefert. Muß er garnichts weiter tun.
Und eben auch die Dateien, die nicht im Public-Ordner liegen.

Das eigentliche Problem wird hier nicht gesehen. Nämlich das ein Trojaner auf dem Rechner ist. Solange ich den nicht "sehe" habe ich viel größere Probleme als eine offene Dropbox. Und wenn ich den Trojaner erkenne, weiß ich das jede Datei inkl. Passwörter in seiner Reichweite gewesen sein kann. Also killt man nicht nur die aktuelle Dropbox sondern auch andere Accounts die Passwörter (verschlüsselt oder nicht) lokal ablegen. Macht man dann eine neue Dropbox auf hat man auch eine neue Config.
Übrigens empfehle ich in meiner Anleitung ausdrücklich die Dateien in der Dropbox selbst zu verschlüsseln.

Sooodele,

ich habe mal (wie versprochen) eine Anleitung zum Thema
"Dropbox" im Eigenbau
verfasst.

LG
Andreas

Original von plain
[quote]Original von TomRohwer
[quote]Original von Andreas von Speyer
[quote]Original von VoiceOfTheNight
Tu das. Ich würde mir trotzdem keine Clients auf allen Rechnern installieren wollen. Alles, was im Web läuft, sollte im Browser funktionieren. :-)

Äh, auch FTP? :-)[/quote]
FTP funktioniert mit Browsern...[/quote]

Download: Ja, Upload: Nein.[/quote]
FTP-Uploads gingen schon mit dem Internet Explorer 4 ...

FTP-Uploads funktionieren mit jedem mir bekannten Browser, sie sind nur nicht ganz so bequem wie mit einem guten FTP-Programm. Einfach die ftp://... - Adresse eingeben, und wenn der FTP-Server für einen entsprechenden Upload konfiguriert ist, läuft's problemlos.

Original von Andreas von Speyer
[quote]Original von TomRohwer
[quote]Original von plain
Der Dropbox-Client kommuniziert mit dem Internet und holt sich die Daten aus einem Ordner auf der Festplatte.

Original von plain
Der Dropbox-Client (...) bindet sich in die Menüstruktur des Windows Explorers ein, damit man von da aus den Dropbox-Client ansprechen kann.

Das reicht völlig als Verbindung, um ein riesengroßes Sicherheitsloch zu reissen.[/quote]
Niochmal: Es reicht für die Datenübertragung, dass der Dropbox-Client läuft. Das kann er komplett ohne Windows Explorer. Die Menüeinbindung ist lediglich ein Komfortmerkmal und nicht notwendig für die Datenübertragung.[/quote]
Fall es Dir noch nicht aufgefallen ist: Windows läuft überhaupt nie ohne Windows Explorer. Wie Du im Task-Manager mühelos erkennen kannst, wird der Windows Explorer beim Systemstart im Hintergrund mit gestartet.

Original von Andreas von Speyer
[quote]Original von Dr.P. (Shooting für So fällt aus, wer hat Lust?)
Naja, liegt vielleicht am Browser, aber das File-Transfer-Protokoll beherrscht Firefox schon seit ewigen Zeiten, auch Upload geht damit problemlos ...

Nicht ohne ein extra Addon wie FireFTP:
Zugriff auf FTP-Server[/quote]
Aber mühelos auch ohne jedes Add-on.

Original von Darkman
Ahoi,

ich werf mal ein: Sicherheitsproblem bei Dropbox.

Zugangsdaten auf der Festplatte gespeichert...

Okay. Da muß man dann wirklich nicht mehr weiter über das Ding diskutieren. Katastrophale, verantwortungslose, vorsätzlich leichtsinnige Sicherheitsphilosophie.

Und nächste Woche folgt dann: "Wir speichern die Arztberichte jetzt in der Cloud. Das ist moderner und so schön einfach."

Original von TomRohwer
[quote]Original von Andreas von Speyer
[quote]Original von Dr.P. (Shooting für So fällt aus, wer hat Lust?)
Naja, liegt vielleicht am Browser, aber das File-Transfer-Protokoll beherrscht Firefox schon seit ewigen Zeiten, auch Upload geht damit problemlos ...

Nicht ohne ein extra Addon wie FireFTP:
Zugriff auf FTP-Server[/quote]
Aber mühelos auch ohne jedes Add-on.[/quote]


Zugriff auf FTP-Server :

Mit Firefox ist es möglich, FTP-Seiten anzuzeigen und die dort befindlichen Dateien herunterzuladen:

* Firefox unterstützt den aktiven FTP-Modus nicht.
* Firefox kann keine Dateien auf FTP-Server hochladen. Zum Hochladen von Dateien auf einen FTP-Server müssen Sie ein eigenständiges FTP-Programm benutzen.

Original von TomRohwer
Fall es Dir noch nicht aufgefallen ist: Windows läuft überhaupt nie ohne Windows Explorer. Wie Du im Task-Manager mühelos erkennen kannst, wird der Windows Explorer beim Systemstart im Hintergrund mit gestartet.

Was hat das mit dem Dropbox-Client zu tun? Der braucht für seine Funktion des Syncs den Explorer nicht.
Du kannst sogar im Taskmanager die explorer.exe killen und Dropbox synct seinen Ordner immer noch.

Original von Andreas von Speyer
[quote]Original von TomRohwer
Fall es Dir noch nicht aufgefallen ist: Windows läuft überhaupt nie ohne Windows Explorer. Wie Du im Task-Manager mühelos erkennen kannst, wird der Windows Explorer beim Systemstart im Hintergrund mit gestartet.

Was hat das mit dem Dropbox-Client zu tun? Der braucht für seine Funktion des Syncs den Explorer nicht.
Du kannst sogar im Taskmanager die explorer.exe killen und Dropbox synct seinen Ordner immer noch.[/quote]

Vergiss es. Der Tom hat das Grundprinzip vermutlich immer noch nicht kapiert...

Ahoi,

nochmal ein "Nachschlag" aus dem Hause DropBox:
DropBox & Verschluesselung bei Koehntopp

Wer Kris nicht kennt, er weiss durchaus wovon er spricht.

Und nochmal: ich will keinem die DropBox Nutzung schlechtreden, sondern ich moechte lediglich das Ihr, die den Service nutzt, darueber nachdenkt was Ihr da tut.

Klar, ist bequem usw. und ja, sind ja keine "highly confidential" Daten. Man kann sich alles immer entsprechend zurecht legen, aber muss man das? Oder kann man nicht einfach auch mal akzeptieren wenn etwas, das man selbst eigentlich gut findet, einfach ein paar echte Schwaechen hat, ggs. sogar so schlimm, das man es eigentlich nicht mehr wirklich gut finden kann?

So long,
Darkman

Original von Darkman
Ahoi,

nochmal ein "Nachschlag" aus dem Hause DropBox:
DropBox & Verschluesselung bei Koehntopp

Wer Kris nicht kennt, er weiss durchaus wovon er spricht.

Und nochmal: ich will keinem die DropBox Nutzung schlechtreden, sondern ich moechte lediglich das Ihr, die den Service nutzt, darueber nachdenkt was Ihr da tut.

Klar, ist bequem usw. und ja, sind ja keine "highly confidential" Daten. Man kann sich alles immer entsprechend zurecht legen, aber muss man das? Oder kann man nicht einfach auch mal akzeptieren wenn etwas, das man selbst eigentlich gut findet, einfach ein paar echte Schwaechen hat, ggs. sogar so schlimm, das man es eigentlich nicht mehr wirklich gut finden kann?

So long,
Darkman

OK, der zweite massiv kritische Implementierungsfehler :/
Dropbox benutze ich seit Bekanntwerden des ersten Sicherheitsproblems nicht mehr.

Allerdings ist das mit dem 'Schönreden' hier so eine Sache. Die 'Idee von Dropbox' an sich ist ja recht cool. Sie ist nur offensichtlich ziemlich luschig umgesetzt.
Aber die meiste Kritik an Dropbox lief ja bisher gegen die Idee an sich - und da kann man schon durchaus gegenhalten.
Allerdings macht die gegenwärtige Umsetzung Dropbox zur Zeit in der Tat unbrauchbar, weil viel zu gefährlich.

Windows läuft nicht ohne Explorer, schon mal was von "GUI" gehört?

Original von Satyr [GothicModels.net]
Windows läuft nicht ohne Explorer, schon mal was von "GUI" gehört?

Schon mal ausprobiert? Kill die explorer.exe im Taskmanager. Wenn Du einen alternativen Programmstarter (Launchy z.B.) verwendest, kannst Du ganz normal weiterarbeiten. Inkl. "GUI"........
Oder in den vorher gestarteten Programmen drinbleiben und weiterarbeiten. Auch ohne explorer.exe