Dropbox kompromitovan preko Lenovo ID-ja: Oko 5.000 naloga bilo izloženo hakerskim napadima
Dodajte Kurir u vaš Google izborDropbox je počeo da obaveštava korisnike čiji su nalozi bili kompromitovani nakon što su napadači iskoristili propust povezan sa prijavljivanjem preko Lenovo ID-ja. Problem je bio ozbiljan iz jednog jednostavnog razloga: za ulazak u Dropbox nalog napadačima nije bila potrebna njegova lozinka. Bilo je dovoljno da znaju email adresu korisnika.
Napadi su se odvijali od 4. do 21. avgusta, a prema podacima Dropboxa obuhvatili su oko 5.000 naloga. Većina tih naloga nije imala uključenu dvofaktorsku autentifikaciju. Kod približno trećine kompromitovanih naloga Dropbox je pronašao dokaze da su fajlovi pregledani ili preuzeti, što znači da problem nije ostao samo na pokušajima neovlašćenog prijavljivanja.
Sistem za prijavljivanje Lenovo ID kompromitovan
Dropbox korisnicima omogućava da se prijave koristeći verifikovani Lenovo ID. Uobičajena svrha takvog sistema jeste da drugi servis potvrdi identitet korisnika, nakon čega Dropbox dozvoljava pristup odgovarajućem nalogu. U ovom slučaju, međutim, problem je nastao upravo u procesu kojim je Lenovo ID potvrđivao email adresu.
Propust je omogućavao napadaču da napravi Lenovo ID sa praktično bilo kojom email adresom, bez provere da li zaista kontroliše tu adresu. Ako bi kao adresu uneo onu koja pripada korisniku Dropboxa, sistem je mogao da je poveže sa postojećim Dropbox nalogom. Na taj način napadač je mogao da dobije pristup nalogu čak i ako korisnik nikada nije imao Lenovo ID i bez poznavanja njegove Dropbox lozinke.
Napadač nije morao da zna lozinku
Upravo je način na koji je napad izveden ono što ovaj incident čini posebno zanimljivim. Nije bilo potrebno pogađati lozinku, krasti je ili navesti korisnika da je sam otkrije. Umesto toga, napadači su iskoristili poverenje između dva sistema za prijavljivanje i problem u proveri identiteta na Lenovo strani.
Nakon uspešnog prijavljivanja, napadač je imao pun pristup Dropbox nalogu. Kompanija je kasnije utvrdila da kod oko trećine od približno 5.000 pogođenih naloga postoje dokazi o pregledanju ili preuzimanju fajlova. Za ostale kompromitovane naloge nije navedeno da su fajlovi nužno bili otvoreni ili kopirani, ali su i oni bili izloženi neovlašćenom pristupu.
Problem otkriven nakon upozorenja
Kompanija je za propust saznala sredinom avgusta, nakon što su korisnici počeli da prijavljuju neočekivana upozorenja o novim prijavljivanjima. Najmanje jedan korisnik primetio je nešto što je dodatno ukazivalo na problem: mogućnost prijavljivanja putem SSO-a koristeći email adresu koja nikada nije bila povezana sa Lenovo ID nalogom.
Takve prijave omogućile su Dropboxu da poveže više događaja i utvrdi način na koji su napadi izvedeni. Problem je potom otklonjen, a mogućnost ovakvog pristupa zatvorena je do 21. avgusta. Dropbox sada direktno kontaktira korisnike čiji su nalozi bili obuhvaćeni incidentom.
Jedna prijava, više rizika
Ovaj slučaj pokazuje i jednu od slabijih tačaka sistema koji omogućavaju prijavljivanje na više servisa pomoću jednog naloga. Kada servis prihvati potvrdu identiteta od drugog provajdera, bezbednost prvog sistema delimično zavisi i od načina na koji drugi sistem proverava korisnika.
U slučaju Dropboxa i Lenovo ID-ja, napadači nisu morali da probiju Dropboxovu zaštitu lozinkom. Iskoristili su propust u sistemu koji je Dropbox koristio za potvrdu identiteta. Zbog toga incident predstavlja podsetnik da sama lozinka nije jedina stvar koja određuje koliko je nalog zaštićen, kao i da dodatna autentifikacija može biti važna zaštita čak i kada korisnik nije direktno meta napada na svoju lozinku.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.