Lors de la conférence Usenix 2013, deux développeurs ont démontré le piratage de Dropbox. Le service de stockage et de partage de fichiers revendique plus de 100 millions d'utilisateurs et plus de 1 milliard de fichiers échangés par jour. Dans l'article sur leur méthode, Dhiru Kholia et Przemysław Wegrzyn ont réalisé de la rétro ingénierie de l'application Dropbox écrite en Python. « Notre travail rèvèle l'API interne utilisée par le client Dropbox et la facilité avec laquelle nous avons pu écrire un client Dropbox Open Source », précisent les deux programmeurs. Ils ajoutent que leurs travaux « montrent comment contourner l'authentification à deux facteurs et accèder aux données des utilisateurs ». Ils indiquent que leur méthode de rétro ingénierie peut s'appliquer à d'autres solutions que Dropbox.

Dans le document, ils expliquent en détail leur manière de procéder. Ils ont analysés différentes versions des applications Dropbox (1.1.x à 2.2.8) sur plusieurs plateformes (Windows, Linux et Mac OS). Ils ont constaté qu'elles étaient écrites majoritairement en Python. Par la suite, ils ont décomposé l'exécutable, la décompilation et le déchiffrement pour connaître le code source. Par ailleurs, les développeurs ont décrit une méthode pour contourner le système de double authentification. Ils expliquent « Nous avons constaté que l'authentification à deux facteurs (tel qu'elle est utilisée par Dropbox) ne protège que contre l'accès non autorisé au site web de Dropbox. L'API internet du client ne peut pas supporter ou utiliser l'authentification à deux facteurs ! Cela implique qu'il suffit d'avoir seulement la valeur host_id pour avoir accès aux données de la cible stockées dans Dropbox ».

De même, ils ont réussi à intercepter des données SSL à l'aide d'injections de code et de patch monkey (une façon de modifier ou d'étendre du code qui sera exécuté sans modifier le code source original). Cette technique peut s'adapter à d'autres solutions de partage de fichiers cloud.

Convertir Dropbox à l'Open Source

Au-delà de leur travail, Dhiru Kholia et Przemysław Wegrzyn invite Dropbox à faire évoluer sa plateforme vers l'Open Source, plutôt que de rester une « boîte noire ». « Nous espérons que notre travail inspirera la communauté de la sécurité à écrire un client Dropbx en Open Source et plus généralement de mener des recherches dans d'autres solutions de stockage cloud », ont écrit les développeurs.

Piqué au vif, Dropbox a répondu à un mail de nos confrères de Computerworld, « nous apprécions les contributions de ces chercheurs et de tous ceux qui aident à sécuriser Dropbox ». Il a ajouté, «dans le cas présenté ici, l'ordinateur de l'utilisateur devrait d'abord avoir été compromis de telle sorte que l'attaquant contrôle l'ensemble du PC et pas seulement le client Dropbox, pour ensuite mener les attaques ».