Reverse Engineering:
Dropbox komplett geöffnet

Zwei Entwicklern ist es gelungen, den Cloud-Dienst Dropbox einem Reverse Engineering zu unterziehen. Selbst die verschiedenen Sicherheits-Maßnahmen konnten sie nachahmen und so quasi vollständige Kontrolle erlangen. Immerhin rund 100 Millionen Nutzer verwenden den Dienst derzeit zur Synchronisation oder zum Teilen ihrer Daten. Täglich werden hier so etwa eine Milliarde Dateien durchs Netz geschoben. Welche Mechanismen genau im Hintergrund ablaufen, blieb bisher im Dunkeln - doch dies hat sich nun geändert.

Die Entwickler Dhiru Kholia und Przemyslaw Wegrzyn präsentierten auf der USENIX 2013-Konferenz ein Arbeitspapier, in dem Schritt für Schritt das gesamte System des Dienstes nachempfunden wird. "Wir können zeigen, wie Dropbox von Grund auf und in jedem Detail ausgepackt, entschlüsselt und dekompiliert werden kann", erklärten sie in ihrem Papier.

Die Methode, die die beiden einsetzten, sei letztlich aber nicht nur auf diesen einen Dienst anwendbar. Auch andere proprietäre Anwendungen, die mit kompiliertem Python arbeiten, können so komplett studiert werden - dazu gehören viele Applikationen der US-Raumfahrtbehörde NASA, Minecraft, Django, OpenStack und eine Reihe von Google-Angeboten.

Um die Quellcodes zu rekonstruieren nutzten die Entwickler unter anderem einen modifizierten Python-Interpreter, der beim Ablauf des jeweiligen Programms wichtige Informationen ausspuckte. Letztlich war es durch die Analysen möglich, verschiedene Sicherheits-Funktionen des Services auszuhebeln.

Wie die Entwickler ausführten, habe der Betreiber aber schnell reagiert und verschiedene Patches nachgeschoben, so dass mit den Erkenntnissen in dem Forschungspapier nicht direkt Angriffe auf Dropbox-Konten durchgeführt werden können. Die Arbeit der beiden offenbart aber nicht nur potenzielle Sicherheitsprobleme, sondern bietet auch einen tiefen Einblick in die nicht dokumentierten Bereiche der API, so dass beispielsweise alternative Dropbox-Clients entwickelt werden können.