האם האתר דרופבוקס מאובטח

[נוכחות לעסקים]

כתבה שהתפרסם היום בכלכליסט
חוקר אבטחה: שירות אחסון הקבצים דרופבוקס מטעה את משתמשיו


כריסטופר סוגוהיין התלונן ברשות הסחר הפדרלית נגד השירות המצליח, בנימוק כי הוא מאפשר לעובדיו גישה לקבצים שהעלו הלקוחות. דרופבוקס: אין לתלונה בסיס



יוסי גורביץ


חוקר האבטחה כריסטופר סוגוהיין הגיש תלונה לרשות הסחר הפדרלית בארה"ב (ה-FTC), בטענה ששירות אחסון הקבצים הפופולרי דרופבוקס מוליך שולל את משתמשיו בנושא ההגנה על המידע שלהם - כך דיווח בסוף השבוע המגזין "וויירד". סוגוהיין גם פירסם בסוף השבוע קמפיין היח"צ של פייסבוק נגד גוגל.

לטענת סוגוהיין, דרופבוקס אומרת למשתמשים שהקבצים שלהם מוצפנים ושעובדיה של חברת האחסון אינם יכולים לראות אותם. מידע שחשף סוגוהיין לפני

<table style="width:220;table-layout:fixed;" dir="rtl" border="0" cellpadding="0" cellspacing="0"><tbody><tr><td colspan="3">
</td></tr></tbody></table>
​

כחודש מצא שעובדי החברה דווקא יכולים לראות את הקבצים, מה שמסכן את הגולשים בכמה דרכים: עובדים ממורמרים של דרופבוקס עלולים לפגוע בהם בזדון, חברות שחושדות במשתמשים בהפרת זכויות יוצרים יכולות לתבוע אותם, ורשויות החוק יכולות להוציא צו שיורה על חשיפת הקבצים שהועלו לשרתים.
סוגוהיין מציין כי לפני כחודש שינתה דרופבוקס את המידע שהיא מוסרת למשתמשים על בטיחות האתר: אם בעבר טענה החברה כי "כל הקבצים המאוחסנים על שרתי דרופבוקס מוצפנים ואינם זמינים ללא הסיסמה שהזנת", כעת היא אומרת ש"כל הקבצים המאוחסנים על שרתי דרופבוקס מוצפנים", ותו לא.

שינוי אחר שבוצע במסמך למשתמשים לפני כחודש מתייחס לעובדי החברה: הגרסה הקודמת אומרת ש"לעובדי דרופבוקס אין גישה לקבצי המשתמש.. פרט למידע metadata", והגרסה החדשה אומרת "על עובדי דרופבוקס נאסר לגשת לקבצי המשתמש... פרט למידע metadata".

סוגוהיין מציין כי שניים ממתחריה של דרופבוקס, SpiderOak ו-Wuala, מבטיחים דברים דומים - ועובדיהם אכן אינם יכולים לקבל גישה לקבצים, משום שאין להם את מפתחות ההצפנה. דרופבוקס, לטענתו, מעמידה פנים שהשירות שלה פועל באופן דומה, בעוד שאין הדבר כך. דרופבוקס הכחישה את הנאמר בתלונתו של סוגוהיין וטענה כי אין לה בסיס.