Forscher knacken geschützten Quellcode des Dropbox-Clients

Den Sicherheitsforschern Dhiru Kholia und Przemyslaw Wegrzyn ist es gelungen, per Reverse Engineering an den Quellcode des Dropbox-Clients zu gelangen. Sie haben nach eigenen Angaben den „verschleierten“ Python-Code der Anwendung entpackt, entschlüsselt und dekompiliert. Details dazu veröffentlichten sie Anfang der Woche in einem Bericht mit dem Titel „Ein Blick in die (Drop) Box„.

Das von ihnen verwendete Verfahren lässt sich den beiden Programmierern zufolge auch auf andere geschützte Python-Anwendungen übertragen. Zudem haben ihre Erkenntnisse Auswirkungen auf die Sicherheit des Cloud-Speicherdiensts. Hacker könnten ihnen zufolge die Zwei-Faktor-Authentifizierung umgehen oder einen manipulierten Dropbox-Client entwickeln.

Dropbox hat schon vor Jahren Maßnahmen ergriffen, um den Quellcode seiner Anwendung vor Hackern und der Konkurrenz zu schützen. Selbst die Programmierschnittstellen (Application Programming Interface, API) sind nicht öffentlich. Dem Unternehmen wird in diesem Zusammenhang vorgeworfen, „Sicherheit durch Verdunkelung“ zu praktizieren, indem es das Innenleben seines Clients verbirgt und hofft, dass fehlende Informationen Angriffe verhindern.

Bisher sei die Sicherheit von Dropbox, trotz der großen Beliebtheit des Diensts, noch nicht ausreichend aus analysiert worden, sagen die Forscher. Die meisten „geheimen Zutaten“ befänden sich auf der Server-Seite, die ohnehin gut geschützt sei. „Wir glauben nicht, dass die Maßnahmen zum Schutz vor Reverse Engineering zum Vorteil von Dropbox-Nutzern und des Unternehmens sind.“

Der Sicherheitsexperte Robert Schifreen befürchtet, dass eine Öffnung des Quellcodes eine Gefahr für Nutzer darstellt. Ein gefälschter Dropbox-Client könne beispielsweise benutzt werden, um Anmeldedaten zu sammeln, sagte er im Gespräch mit TechWeekEurope.

Kholia und Wegrzyn sehen aber auch mögliche Vorteile ihrer Arbeit. Sie könne langfristig Dropbox dabei helfen, einen widerstandsfähigeren Client zu entwickeln. „Der größte Vorteil unseres Beitrags ist die Öffnung der Dropbox-Plattform für weitere Sicherheitsforschung und Analysen. Dropbox sollte und wird nicht länger eine Black Box sein“, schreiben sie in ihrem Bericht.

[mit Material von Max Smolaks, TechWeekEurope]

Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.