Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 6/8/2015
Sikkerhedsforskere har afdækket en ny metode til at få adgang til data i cloudbaserede fildelingssystemer.Metoden virker mod systemer som Dropbox, Google Drev og andre, hvor filer på en pc synkroniseres med filer i skyen. Disse systemer bruger en kombination af brugernavn og password til at beskytte adgangen, når brugeren første gang logger på.
Men derefter anvender de autentifikations-tokens, typisk i form af OAuth-standarden. Disse tokens er koder, som synkroniseringsapplikationen sender til cloud-systemet for at identificere sig.
Sikkerhedsfirmaet Imperva har opdaget, at det er let at misbruge tokens. Det kræver dog, at angriberen får adgang til at afvikle et program på offerets computer. Det kan ske ved at udnytte en sårbarhed eller narre offeret til det.
Programmet udskifter brugerens token med et token, som angriberen har lavet. Derefter synkroniseres offerets mappe med en mappe hos cloud-udbyderen, som angriberen har adgang til. Forinden kan angriberen placere offerets token i den mappe, der synkroniseres. Så får angriberen adgang til at give sig ud for at være offeret i forhold til cloud-tjenesten.
Imperva kalder metoden Man in the Cloud.
Metoden kan for eksempel udnyttes til at få fat i fortrolige oplysninger eller inficere offerets filer med skadelig kode.
Anbefaling
Beskyt computere mod skadelige programmer og hold dem opdateret.