Исследователи рассказали об уязвимостях в сервисе Dropbox

Исследователи рассказали об уязвимостях в сервисе Dropbox

Специалисты по защите информации рассказали на симпозиуме USENIX Security о трех способах получения несанкционированного доступа к чужим данным, которые оказались возможны благодаря изъянам в системе безопасности популярной службы хранения файлов и электронных документов, основанной на "облачных" технологиях.

Необходимо сразу сказать, что атаки на Dropbox были разработаны еще в прошлом году, и исследователи сознательно не предавали результаты своих изысканий огласке до тех пор, пока отверстия в защите не были закрыты. Соответственно, на данный момент клиентам сервиса уже ничто не угрожает.

Первая атака основывалась на подмене хэш-значений, использующихся для идентификации элементов данных, которые хранятся в "облаке". Эти значения генерируются и проверяются системами Dropbox, чтобы определять, имеется ли уже в хранилище тот или иной файл - дабы не плодить дубликаты, сервис не загружает объекты повторно. До закрытия уязвимости в случае успешной проверки служба попросту устанавливала связь между учетной записью и файлом, позволяя таким образом любому случайному лицу привязать данные к своему аккаунту и свободно извлечь информацию из "облака". В силу природы систем распределенных вычислений владелец этих сведений ни о чем даже не подозревал.

Вторая атака предполагала предварительную кражу т.н. идентификатора хоста - 128-битного ключа, генерируемого сервисом для опознавания своих клиентов. При создании такого ключа используются имя пользователя, а также время и дата. Если потенциальному злоумышленнику удавалось завладеть идентификатором, он мог подменить им свой собственный - и получить от "облака" полный список принадлежащих жертве файлов с правом на их извлечение. Для этого нужно было лишь провести повторную синхронизацию учетной записи.

Третья атака эксплуатировала одну из функций Dropbox - возможность запрашивать данные по зашифрованному соединению через прямой URL. Для получения интересующего объекта злоумышленнику нужно было лишь знать хэш-значение фрагмента информации и любой существующий идентификатор хоста - не обязательно тот, который был ассоциирован с учетной записью владельца данных. Впрочем, эту последнюю атаку Dropbox все же мог распознать ввиду несоответствия файлов и аккаунтов.

Таким образом, уязвимости открывали возможности для довольно успешного и в то же время не слишком трудозатратного хищения конфиденциальных сведений, а также для сокрытия информации в распределенной среде (модифицированный Dropbox-клиент мог позволить загрузить файлы без ассоциации с каким-либо аккаунтом, и впоследствии их можно было получить из-под любой учетной записи). Все это вновь подтверждает, что "облако" может быть далеко не самым безопасным местом для хранения информации, если надлежащие меры защиты не приняты - а полагаться клиенту в этой ситуации приходится уже не на себя, а исключительно на добропорядочность и профессионализм сотрудников того или иного сервиса.

PC World

Письмо автору

" />

Утечки из российских компаний через зарубежные ИИ-сервисы выросли в 30 раз

По итогам 2025 года объёмы данных, утёкших из российских компаний из-за использования сотрудниками общедоступных ИИ-сервисов — таких как ChatGPT и Google Gemini — выросли в 30 раз. Такие выводы сделаны на основе анализа сетевого трафика 150 российских организаций, являющихся клиентами ГК «Солар».

В выборку вошли заказчики из разных отраслей, включая ИТ, госсектор, телеком, финансы, ретейл, электронную коммерцию и промышленность.

«Сотрудники загружают в чат-боты фрагменты исходного кода, финансовые отчёты, юридические документы и клиентские базы, чтобы “упростить” рутинные задачи — проанализировать данные, составить саммари или написать код. Таким образом, они неосознанно становятся одной из причин утечек информации», — говорится в отчёте по итогам исследования.

При этом, как отмечают аналитики, у 60% организаций до сих пор отсутствуют формализованные политики, регулирующие использование ИИ-ассистентов. Это существенно повышает риски для бизнеса, в том числе на критическом уровне.

Согласно сентябрьскому исследованию Яндекса и Университета ИТМО, утечки данных через зарубежные ИИ-сервисы стали одним из ключевых факторов перехода компаний на российские аналоги. Тогда о планах полностью отказаться от иностранных решений заявляла примерно треть опрошенных организаций.

RSS: Новости на портале Anti-Malware.ru