Come fa Dropbox a proteggere i file

Ho dato un'occhiata in giro, ma non riesco a trovare nulla che asserisca che solo una singola chiave è usata per crittografare i dati. La loro pagina di panoramica della sicurezza utilizza la parola "chiavi" (plurale). Anche la domanda è delicata, in quanto Dropbox non fornisce molti dettagli sulle loro disposizioni sulla sicurezza.

Ma la gestione delle chiavi è davvero solo un anello della catena. Ad esempio, anche se ogni file avesse la sua chiave univoca, i tuoi file non sarebbero sicuri se Dropbox consegnasse volentieri copia della chiave e dei dati a chiunque glielo chiedesse.

In breve:

1. I sistemi di Dropbox hanno accesso al contenuto dei tuoi file (questo è il modo in cui rilevano i file duplicati, risparmiando spazio di archiviazione e aumentando la reattività).
2. Dropbox crittografa i file a riposo e in transito.
3. Pertanto, Dropbox deve avere accesso alle (e alle copie delle) chiavi di crittografia.

Inoltre, mentre lo staff di Dropbox è vietato dai criteri aziendali di visualizzare il contenuto del file, può comunque accedervi ( ad esempio se le forze dell'ordine costringono Dropbox per fornire copie).

Pertanto, ciò significa che il vero modo in cui Dropbox protegge i tuoi file è:

1. Avere controlli interni, controlli, saldi e audit. (Ad esempio, registrando tutti gli accessi ai file e il follow up inusuali).
2. Avere un team legale di talento per contestare eventuali richieste di applicazione della legge che siano inappropriate, eccessivamente ampie o altrimenti dannose per la loro reputazione.

• Dropbox mantiene i tuoi file protetti contro il proprio personale grazie a un buon controllo interno.
• Dropbox mantiene i tuoi file protetti contro l'intercettazione crittografandola in transito ea riposo
• Dropbox mantiene i tuoi file protetti contro le agenzie governative avendo un buon team legale

Se ti fidi di Dropbox, bene. Se preferisci non fidarti di Dropbox, usa Spideroak o Wuala o cripta i tuoi file prima di caricarli.

Dropbox su piattaforma Windows utilizza DPAPI (Application Programming Programming Interface) che consente agli sviluppatori di utilizzare le credenziali di autenticazione del dominio dell'utente per ricavare la chiave segreta per la chiave dropbox e protetta da macchina.

Fonte: Un'analisi critica della sicurezza del software Dropbox

In realtà non vedo come si possa ancora fare la dedupazione quando si hanno a che fare con dati cifrati, e purtroppo non ho esperienza sul comportamento di DropBox, tuttavia dato che la sezione di modifica della domanda mostra un interesse più ampio ecco la mia risposta di due pence su come il requisito sopra menzionato potrebbe avere risposta.

Quando viene creato un nuovo account, viene generata una nuova chiave di cifratura e questa chiave viene effettivamente memorizzata insieme ai dati ma non in forma chiara: questa chiave viene crittografata utilizzando le credenziali dell'utente. Grazie a questo:

• Impossibile trovare la chiave senza trovare la password dell'utente,

• Quando l'utente cambia la sua password, solo la chiave deve essere ricodificata con la nuova password, la chiave stessa rimane la stessa non è necessario che i dati vengano completamente crittografati.

Quando c'è un requisito (legale, ecc.) per un qualche tipo di accesso alla gestione su questi dati, la chiave di cifratura sarà semplicemente memorizzata due volte, una protetta dalla chiave dell'utente come descritto sopra, una protetta usando un segreto noto a solo con un livello di gestione superiore (utilizzando una crittografia asimmetrica, ad esempio, un server avrebbe la possibilità di cifrare la chiave senza memorizzare abbastanza conoscenze per decifrarlo).

Tale sistema può essere regolarmente trovato per proteggere l'archiviazione dei file come i file system e così via. Ancora una volta, non so se DropBox abbia applicato questo schema o usato qualsiasi altro metodo (e dubito che DropBox pubblicherà mai dettagli tecnici sulla loro sicurezza interna, al massimo un discorso commerciale).