Your new post is loading...
A l'occasion d'une conférence, des développeurs ont réussi à craquer la sécurité du client Dropbox, d'intercepter des données SSL de ses serveurs et de contourner le système de double authentification du service de stockage et de partage de fichiers en ligne.
Dans le document, ils expliquent en détail leur manière de procéder. Ils ont analysés différentes versions des applications Dropbox (1.1.x à 2.2.8) sur plusieurs plateformes (Windows, Linux et Mac OS). Ils ont constaté qu'elles étaient écrites majoritairement en Python. Par la suite, ils ont décomposé l'exécutable, la décompilation et le déchiffrement pour connaître le code source. Par ailleurs, les développeurs ont décrit une méthode pour contourner le système de double authentification. Ils expliquent « Nous avons constaté que l'authentification à deux facteurs (tel qu'elle est utilisée par Dropbox) ne protège que contre l'accès non autorisé au site web de Dropbox. L'API internet du client ne peut pas supporter ou utiliser l'authentification à deux facteurs ! Cela implique qu'il suffit d'avoir seulement la valeur host_id pour avoir accès aux données de la cible stockées dans Dropbox ».