Angreifer öffneten 5.000 Dropbox-Konten ohne Passwort
Rund 5.000 Dropbox-Konten wurden von Leuten geöffnet, die weder das Passwort noch Zugang zum Postfach der Besitzer hatten. Dropbox bestätigte den Vorfall diese Woche, nachdem Bloomberg darüber berichtet hatte, und erklärte den Betroffenen, was schiefging: eine Anmeldebrücke zu Lenovo, von deren Existenz die meisten nichts wussten. Der unbefugte Zugriff lief vom 4. bis 21. August, Dateien wurden in weniger als einem Drittel der betroffenen Konten angesehen oder heruntergeladen. Gestoppt hat den Angriff nur eines: die Zwei-Faktor-Authentifizierung.
Die Anmeldung, die niemand eingerichtet hat
Dropbox akzeptierte eine verifizierte Lenovo-ID als Identitätsanbieter. Im Klartext: Lenovo konnte dafür bürgen, wer Sie sind, und Dropbox ließ diese Person herein, dieselbe Bequemlichkeit des Single Sign-on, die hinter jedem "Weiter mit"-Knopf steckt. Der Haken war, dass Kontoinhaber dafür nichts einrichten mussten. Die Brücke existierte auf Dropbox-Seite für jeden, dessen E-Mail-Adresse passte.
Wo es brach
Der Fehler lag nicht in der Anmeldung von Dropbox. Er lag darin, wie Lenovo prüfte, ob eine E-Mail-Adresse der Person gehört, die sich registriert. In Dropbox' eigenen Worten an die Betroffenen: Ein Problem im E-Mail-Verifizierungsprozess von Lenovo erlaubte einem Unbefugten, eine Lenovo-ID mit Ihrer E-Mail-Adresse zu registrieren und sich damit in das Dropbox-Konto zu dieser Adresse einzuloggen.
Lesen Sie das noch einmal, denn die Reihenfolge zählt. Der Angreifer erzeugte bei Firma A eine neue Identität auf fremden Namen und legte sie dann Firma B vor, die A vertraut. Das Opfer hatte nie eine Lenovo-ID und brauchte auch keine. Übereinstimmen musste allein die E-Mail-Adresse.
Die Zwei-Faktor-Authentifizierung ist der Grund, warum die Geschichte nicht größer ist
Betroffen waren nur Konten ohne Dropbox' eigene Zwei-Faktor-Authentifizierung. War der zweite Faktor an, brachte die geliehene Lenovo-Identität jemanden bis zur Tür und keinen Schritt weiter. Das ist eine ungewöhnlich saubere Demonstration, wofür der zweite Faktor da ist: Er fragt nicht, wie überzeugend der erste ausgesehen hat. Genau das war unser Argument im einfachen Leitfaden zu Zwei-Faktor-Codes.
Was die beiden Firmen taten
- Sitzungen beendet: Dropbox ließ jede über eine Lenovo-ID authentifizierte Sitzung auslaufen.
- Brücke entfernt: Die Verknüpfungen zwischen Lenovo-IDs und Dropbox-Konten wurden gelöscht.
- Passwort jetzt Pflicht: Wer über Lenovo an ein Dropbox-Konto will, muss zusätzlich das Dropbox-Passwort eingeben.
- Lenovos Darstellung: Die Firma sprach von einer Alt-Integration zwischen Lenovo-ID und Dropbox, die zur unzulässigen Authentifizierung bestimmter Dropbox-Konten genutzt werden konnte, erklärte die eigenen Kunden für nicht betroffen und nannte die Behebung gemeinsame Arbeit. Die Untersuchung läuft weiter.
Dropbox informierte zudem Datenschutzbehörden und schrieb den Nutzern, deren Konten erreicht wurden.
Das Muster ist größer als diese zwei Firmen
Der zugrunde liegende Fehler hat in der Sicherheitsarbeit einen Namen: eine E-Mail-Adresse über eine Vertrauensgrenze hinweg als Identitätsnachweis zu behandeln. Dienst B glaubt Dienst A, dass eine Adresse zu einer Person gehört, und damit hängt die Sicherheit von B daran, wie sorgfältig A E-Mails prüft. Dieselbe Form hat schon andere Systeme für föderierte Anmeldung zu Fall gebracht und wird es wieder, weil der Komfort echt und das Vertrauen für Nutzer unsichtbar ist.
Was Sie dagegen tun können, ist kleiner, aber real. Öffnen Sie bei jedem wichtigen Konto die Sicherheitseinstellungen, suchen Sie die Liste verbundener Identitäten und Anmeldemethoden und entfernen Sie jeden Anbieter, den Sie nicht bewusst nutzen. Schalten Sie danach überall dort einen zweiten Faktor ein, wo das Konto zählt. Der zweite Faktor verhindert, dass die kaputte Prüfung eines anderen zu Ihrem Problem wird.
