Avis aux utilisateurs Dropbox : pensez à chiffrer vos données sensibles
Voici un billet à l'attention des utilisateurs du service Dropbox, mais qui de manière générale concerne toutes les personnes utilisant des services externalisés pour leurs données personnelles (synchronisation des contacts, mails externalisés, partage de fichiers, etc.).
Premièrement, pour ceux qui ne connaissent pas Dropbox, il s'agit d'un service de stockage et de partage de fichiers en ligne accessible depuis un navigateur Internet mais aussi via des clients intégrés sous Windows, Mac OS, Linux, iOS, etc.
La semaine dernière, Dropbox était au centre d'une polémique car les données, annoncées comme chiffrées en AES 256 bits, étaient en fait accessibles aux employés de la société qui conserve une copie de la clé de chiffrement. Pourquoi garder cette clé ? La raison est simple : en déchiffrant un fichier envoyé via son service, la société peut vérifier si ce fichier existe déjà sur le compte d'un autre abonné. Si le fichier est déjà présent, ils peuvent conserver une seule copie du fichier, et donc économiser de l'espace disque.
Cette opération serait impossible si Dropbox ne conservait pas une copie de la clé de chiffrement, depuis le site a édité son site pour annoncer que les employés pouvaient avoir accès aux fichiers même si ces accès sont régulés / contrôlés / surveillés… ( http://www.dropbox.com/help/27 )
Ce qu'il faut retenir ici, c'est qu'en cas de problème avec Dropbox : piratage (assez à la mode en ce moment…), bugs, employé(s) mal intentionné(s), etc., vos données stockées sur Dropbox sont vulnérables, car ils possèdent la clé de chiffrement !
C'est ce qu'il s'est justement passé durant 4 heures dans la nuit de dimanche à lundi à la suite d'une mise à jour du code : un bug dans le mécanisme d'authentification permettait aux utilisateurs de se connecter avec n'importe quel mot de passe. Conséquence directe : en connaissant l'email d'un utilisateur Dropbox (25 000 000), on pouvait se connecter à son compte…
Dropbox a réagi très rapidement et a résolu le bug dans les 5 minutes après sa découverte, mais plus de 3 heures après la mise en production du code incriminé. On appréciera cependant la transparence de la société qui n'a pas hésité là encore à communiquer sur le problème via son blog. Selon eux, moins 1% des utilisateurs se sont connectés durant ce laps de temps et ils ont interrompu toutes les sessions en cours par mesure de sécurité. La société continue l'analyse des logs pour déceler d'éventuels accès frauduleux et a envoyé un email à tous les utilisateurs concernés.
Quelles sont les solutions pour éviter ce genre de problèmes ?
- Chiffrer ses données, soi-même, avant de les envoyer à un tiers (et donc le tiers n'a accès qu'à des fichiers déjà chiffrés).
- Ne pas confier ses données à un tiers pour ne pas être dépendant de leurs problèmes de sécurité, mais là encore un piratage de son ordinateur/serveur personnel est tout aussi possible (le résultat est le même, sauf que c'est vous le seul et unique responsable :-)).
Nous ne sommes pas contre les services externalisés (mails, stockage de fichiers, synchronisation d'agendas, etc.), mais pensons qu'il est important de bien connaitre les différents enjeux qu'entraine l'envoi de ses contacts à Google, de ses mails à Apple ou de ses fichiers à Dropbox (via iCloud bientôt).
Une fois toutes les cartes en main, selon la nature de vos données et le contrôle que vous voulez avoir dessus, vous pourrez choisir d'utiliser les services d'un tiers (en chiffrant ou non vos données), ou de gérer vos services vous-mêmes malgré la complexité que cela peut entrainer (ressources, connaissances techniques) et les inconvénients comme, par exemple, se passer d'iCloud vu qu'il n'existe pas (encore ?) de services dans Mac OS X Serveur pour faire son iCloud privé.