Cuida cómo compartes documentos almacenados en la nube

A estas alturas ya todos conocéis Dropbox, Box y demás servicios para guardar archivos. Todos tienen una característica muy útil, que es la de crear enlaces para compartir esos archivos con otras personas. Pues hace algunas semanas, Intralinks, una empresa dedicada también al almacenamiento en la nube, ha descubierto dos fallos de privacidad en la forma en la que se comparten esos enlaces.

Para entender mejor el  problema, tener en cuenta que la compartición de carpetas Dropbox se basa en que alguien conozca la URL, o no, lo que lleva a que si por casualidad, o por una fuga de información, esa URL cae en manos de terceros, toda la privacidad desaparece.

El descubrimiento ha sido de pura casualidad. El equipo de Intralinks estaba viendo los resultados de una campaña de publicidad de AdWords, explorando para qué resultados de búsqueda aparecían sus anuncios. La sorpresa es que entre esos resultados se encontraban enlaces de archivos de Dropbox, algunos de ellos con información confidencial, como facturas, contratos o formularios de impuestos.

¿Cómo llegan esos enlaces a terceras personas? Pues como bien ha explicado el experto en seguridad Chema Alonso hasta el momento se han identificado 2 situaciones:

Situación 1:

Esta es la situación principal por la que se ha cambiado el sistema y que estaba siendo aprovechada por mucha gente.

• Alguien comparte una carpeta en la que hay un documento, por ejemplo un PDF.
• La persona que recibe en el enlace de la carpeta abre el documento PDF desde la URL compartida.
• En el documento PDF hay un enlace que lleva a www.ejemplo.com
• En las estadísticas de www.ejemplo.com aparece la URL de la carpeta compartida en Dropbox (A muchos os sonará lo que es la cabecera referer. es la forma que tiene el navegador de decirle a la página web que estás visitando de dónde vienes. Por ejemplo, si desde Somosinapis hacéis clic en un enlace a google.com, vuestro navegador le dirá a Google que venís desde http://www.somosinapsis.com)

Situación 2:

La situación 2 es más curiosa y divertida. Consiste en que alguien pone la URL de la carpeta privada de Dropbox en el cuadro de búsqueda de Google en lugar de en la barra de direcciones del navegador. ¿Quién no ha buscado sin querer una URL alguna vez en su vida?

Pues bien, en ese caso la URL es pasada a los anunciantes, así que todos ellos pueden hacer una búsqueda en sus logs para localizar URLs del tipodropbox.com/s/* y ver qué ha sido buscado por allí.

Evidentemente utilizar la URL como forma de protección para compartir documentos de forma secreta no es lo más recomendable ya que al final podría llegar a acabar en manos de cualquiera.

Si haces un uso extensivo de Dropbox tal vez deberías pensar en soluciones de compartición de documentos de forma protegida, aunque afortundamente, Dropbox ya ha solucionado el problema.