Исследователи раскрыли метод компрометации данных пользователей Dropbox

Двое разработчиков взломали Dropbox, осуществив перехват SSL данных на серверах облачного сервиса путем обхода двухфакторной аутентификации. Об этом они подробно рассказали в своем докладе, представленном на конференции USENIX 2013.

«Использованные нами методы являются достаточно распространенными и мы надеемся, что наша работа поможет повысить уровень безопасности в будущих разработках программного обеспечения», - следует из документа.

Представители Dropbox, чья аудитория насчитывает более 100 миллионов человек, загружающих более миллиарда файлов в день, в свою очередь, заявили, что данное исследование не раскрывает какой-либо уязвимости в их сервисе.

«Мы высоко ценим вклад исследователей и всех, кто помогает сохранять безопасность Dropbox на приемлемом уровне, - прокомментировал пресс-секретарь компании. – Однако в данном конкретном случае речь идет о том, чтобы в первую очередь скомпрометировать систему пользователя».

Авторы доклада, исследователи Диру Колия (Dhiru Kholia) из Openwall и Пшемыслав Вегржин (Przemyslaw Wegrzyn) из CodePainters, поясняют, что они осуществили реверс инжиниринг Dropbox, используя приложение, написанное на Python.

«Наша работа сосредоточена над внутренним API, которое использует клиент сервиса и предоставляет возможность без особых затруднений создать собственный портативный клиент Dropbox с открытым исходным кодом», - следует из отчета.

Также, по словам экспертов, в ходе работы они использовали ряд универсальных методик по перехвату SSL данных путем внедрения вредоносного кода, а также так называемую технику monkey patching.

Ознакомиться с отчетом исследователей можно здесь .