Comentario por daid · Jan 2012

Al ver mucha preocupación por la seguridad de Dropbox, por supuesto que hice una cuenta. En un intento por estar seguro, lo instalé en una jaula chroot en mi caja de Linux. Entonces pensé que debería intentar agregar SecretSync en caso de que Dropbox tenga otro problema de error, o si sus empleados se aburren y traten de acceder a mis datos porque no está claro que no puedan. Ya que necesito que SecretSync esté instalado dentro de mi jaula chroot, significa que al menos necesito ver lo que está pasando para poder instalarlo en la ubicación correcta para trabajar con Dropbox. Además, parece un blob binario, así que no confío en el código más que en Dropbox. En menos de unos minutos, encontré gemas de seguridad. En su script de shell setup.sh, para iniciar sesión, utilizan la función incorporada leída para almacenar una contraseña como una variable de entorno, y luego la pasan como texto sin cifrar a wget.
Aquí está la línea de código que maneja el inicio de sesión para la configuración de la instalación: wget -o tmp_log "$ BASE_URL /? Do = $ DO & email = $ EMAIL & password = $ PWD" -O tmp_inst_wget. Creo que incluso podría ser una broma (pero el software fue publicado en el día equivocado para eso, y ha sido público durante al menos 6 meses), ya que BASEURL es https://www.completelyprivatefiles.com/services/secretsync/db Es un HTTPS para un sitio que dice archivos completamente privados, por lo que Debe ser seguro, ¿verdad? No, cualquier persona que use un analizador de paquetes simple como Wireshark puede ver su solicitud html (no importa que vaya a HTTPS, ya que la dirección misma aún debe enviarse sin incrustar), claramente visible como contraseña = YOURPASSWORD. Acabo de probar una consulta de muestra para HTTPS de Google y capturé la dirección completa en Wireshark; HTTPS no fue diseñado para cifrar las URL de solicitud, solo la transmisión de datos una vez que se establece la conexión.
Por cierto, mi navegador web me dice que su "HTTPS" no es de confianza. Y la contraseña también se mostrará en el terminal shell, a medida que wget realiza la conexión. Espero que nadie esté mirando por encima de tu hombro (¡y cierras la sesión terminal cuando hayas terminado)! ¡Podrían al menos haber ejecutado el comando en segundo plano! Ni siquiera comencemos con el uso de un script de shell para tratar con las contraseñas y con qué facilidad se puede realizar un ataque de hombre en el medio. Esto se debe a que los scripts de shell son fáciles de editar, a diferencia de los binarios compilados. No se colocó nada para garantizar que el script de shell se transmitiera sin modificaciones, sin alteración, por ejemplo. Ese servidor NO está utilizando HTTPS, por lo que un hombre en el medio de ataque podría insertar fácilmente comandos maliciosos en el script de instalación de shell.
Instalador recuperado de aquí) No hace falta decir que ni siquiera instalé este software para probar la calidad real de seguridad que puede ofrecer, ya que simplemente observando el programa de instalación encontré dos fallas obvias en tantos minutos. Para cualquier tipo de servicio, este tratamiento de una contraseña es inaceptable. ¿Pero para un servicio que se centra en la seguridad y el cifrado? Al parecer, ni siquiera puede iniciar sesión en su cuenta desde Linux sin enviar una contraseña de texto sin cifrar a través de la red para que cualquiera pueda verla fácilmente. Si los programadores y el equipo de revisión de seguridad están felices de dejar que este tipo de preguntas y respuestas no sean aprobadas, no veo una razón para seguir investigando. Por supuesto, muchas personas utilizan sumas de comprobación de hash básicas como SHA1 y MD5 para las contraseñas en línea, lo que a su vez es una violación de la seguridad debido a las tablas de arco iris gratuitas, pero al menos un intruso necesita 10 TB de datos para descifrar esas contraseñas ... como opuesto al menos un ojo bueno y un lápiz.
Si el servidor de CompletelyPrivateFiles acepta contraseñas de texto no cifrado, ¿es así como funciona normalmente el sitio? Tengo demasiado miedo como para crear una cuenta. Si inicia sesión en esta cuenta en una computadora pública, ¿no podemos asumir que el navegador web almacena en la memoria caché la dirección web y, por lo tanto, la persona que comprueba el historial del navegador puede ver la contraseña de texto sin cifrar y el inicio de sesión en el correo electrónico? ¡Los navegadores modernos que ofrecen sugerencias para completar automáticamente una URL solo le mostrarán el nombre de usuario y la contraseña! Tal vez para su interfaz web no están usando texto claro, pero no veo una forma obvia de registrarse y probarlo. La alternativa a usar este software es, literalmente, no hacer nada en absoluto, y luego su contraseña no se enviará para que todo el mundo la vea.
Conclusión: si trabaja en el negocio de la seguridad y el cifrado, no transmita contraseñas de texto simple.