Des attaquants ont ouvert 5 000 comptes Dropbox sans mot de passe

Environ 5 000 comptes Dropbox ont été ouverts par des gens qui n'avaient ni le mot de passe ni l'accès à la boîte mail du titulaire. Dropbox a confirmé l'incident cette semaine, après un article de Bloomberg, et a expliqué aux victimes ce qui avait cédé : une passerelle de connexion vers Lenovo dont la plupart ignoraient l'existence. Les accès non autorisés se sont déroulés du 4 au 21 août, et des fichiers ont été consultés ou téléchargés dans moins d'un tiers des comptes touchés. Une seule chose a arrêté l'attaque : la double authentification.

La connexion que personne n'avait activée

Dropbox acceptait une identité Lenovo vérifiée comme fournisseur d'identité. Autrement dit, Lenovo pouvait se porter garant de qui vous êtes et Dropbox laissait entrer cette personne, la même commodité d'authentification unique qui se cache derrière chaque bouton "continuer avec". Le piège, ici, est que le titulaire du compte n'avait rien eu à mettre en place. La passerelle existait du côté de Dropbox pour quiconque avait la même adresse e-mail.

Là où ça a cassé

La faille n'était pas dans la connexion de Dropbox. Elle était dans la façon dont Lenovo vérifiait qu'une adresse e-mail appartenait bien à la personne qui s'inscrivait. Selon les propres termes de Dropbox à ses utilisateurs : un problème dans le processus de vérification des e-mails de Lenovo a permis à un tiers non autorisé d'enregistrer une identité Lenovo avec votre adresse e-mail, puis de s'en servir pour se connecter au compte Dropbox associé à cette adresse.

Relisez, car l'ordre compte. L'attaquant a créé une identité neuve au nom d'un autre chez l'entreprise A, puis l'a présentée à l'entreprise B, qui fait confiance à A. La victime n'avait jamais eu d'identité Lenovo et n'en avait pas besoin. Seule l'adresse e-mail devait correspondre.

La double authentification explique pourquoi l'affaire n'est pas plus grave

Seuls les comptes sans la double authentification de Dropbox étaient exposés. Quand le second facteur était actif, l'identité Lenovo empruntée menait quelqu'un jusqu'à la porte et pas plus loin. C'est une démonstration inhabituellement nette de l'utilité du second facteur : il ne se demande pas à quel point le premier avait l'air convaincant. C'est exactement ce que nous expliquions dans notre guide simple sur les codes à deux facteurs.

Ce qu'ont fait les deux entreprises

• Sessions coupées : Dropbox a fait expirer toutes les sessions authentifiées via une identité Lenovo.
• Passerelle supprimée : les liens entre identités Lenovo et comptes Dropbox ont été effacés.
• Mot de passe désormais exigé : passer par Lenovo pour atteindre un compte Dropbox réclame en plus le mot de passe Dropbox.
• La version de Lenovo : l'entreprise parle d'une intégration héritée entre l'identité Lenovo et Dropbox, qui pouvait servir à authentifier indûment certains comptes Dropbox, affirme que ses propres clients n'ont pas été touchés et décrit la correction comme un travail commun. Son enquête se poursuit.

Dropbox a également prévenu les autorités de protection des données et écrit aux utilisateurs dont les comptes ont été atteints.

Le schéma dépasse ces deux entreprises

L'erreur de fond porte un nom dans le métier : traiter une adresse e-mail comme une preuve d'identité au travers d'une frontière de confiance. Le service B croit le service A quand il affirme qu'une adresse appartient à une personne, et la sécurité de B dépend alors du soin avec lequel A vérifie les e-mails. La même forme a déjà produit des failles dans d'autres systèmes d'authentification fédérée, et elle en produira encore, parce que la commodité est réelle et que la confiance reste invisible pour l'utilisateur.

Ce que vous pouvez faire est plus modeste mais concret. Dans chaque compte important, ouvrez les réglages de sécurité, cherchez la liste des identités connectées et des méthodes de connexion, et retirez tout fournisseur que vous n'utilisez pas sciemment. Activez ensuite un second facteur partout où le compte compte vraiment. C'est lui qui empêche la vérification défaillante d'un tiers de devenir votre problème.