Onderzoekers vinden kwetsbaarheden in end-to-end versleutelde clouddiensten

[Captain Kirk]

Onderzoekers hebben in verschillende end-to-end versleutelde clouddiensten kwetsbaarheden gevonden, waardoor een aanvaller via een gecompromitteerde server allerlei aanvallen kan uitvoeren. In het ergste geval kan er zo toegang tot gegevens worden verkregen. Het gaat om Sync, pCloud, Icedrive en Seafile. De bedrijven bieden end-to-end versleutelde cloudopslag. Daarbij stellen de cloudproviders dat ze geen toegang tot gebruikersdata hebben. Ze noemen dit zelf "zero-knowledge encryption".

Jonas Hofmann en Kien Tuong Truong van ETH Zurich besloten de clouddiensten te onderzoeken. Eerder vonden onderzoekers van de universiteit al een manier om bij MEGA opgeslagen data te ontsleutelen. Nu keken de onderzoekers naar de eerder genoemde clouddiensten, waarbij er wordt uitgegaan van een gecompromitteerde cloudserver. De aanvaller kan hierbij bestanden lezen, aanpassen en data injecteren. Dit leverde tien soorten aanvallen op. Volgens de onderzoekers hoeven aanvallers geen uitgebreide kennis van encryptie te hebben om die uit te voeren en zijn het ook praktische aanvallen, die niet al teveel middelen vereisen.

Het gaat onder andere om het niet authenticeren van user key material, waardoor een aanvaller zijn eigen keys kan injecteren. Andere problemen betreffen ongeauthenticeerde public keys, protocol downgrades, het delen van bestanden via links, niet-geauthenticeerde encryptiemodes, 'unauthenticated chunking', het aanpassen van bestandsnamen en hun locatie, het aanpassen van de metadata van bestanden en het injecteren van mappen en bestanden.

De onderzoekers informeerden Sync, pCloud, Seafile en Icedrive eind april. Volgens de onderzoekers liet Icedrive weten de problemen niet te zullen verhelpen.Seafile gaf aan de problemen met het downgraden van protocollen te verhelpen. Van Sync en pCloud hadden de onderzoekers per 10 oktober nog altijd geen reactie ontvangen. Voor het onderzoek werd ook naar cloudprovider Tresorit gekeken, maar deze dienst bleek voor de meeste aanvallen niet kwetsbaar.

 

bron: https://www.security.nl