Derek Newton, en sikkerhedsansvarlig ved Time Warner Cable, har i et indlæg på sin blog kigget på sikkerheden ved den populære filsynkroniseringstjeneste Dropbox’ Windows-klient, og ifølge ham ser det sløjt ud.
Dropbox kræver nemlig kun, at brugeren indtaster sine kontoinformationer en enkelt gang, hvorefter de gemmes i en SQLite-database ved navn config.db. Denne fil indeholder blandt andet, hvad Dropbox kalder “host id”, som tildeles til systemet, når man logger ind første gang. Newton opdagede, at Dropbox kun benytter dette host-ID ved autorisation, og filen config.db derfor frit kan flyttes til andre systemer, som Dropbox derefter identificerer som dén computer, filen oprindeligt kom fra. Samtidig nævner Newton, at dette host-ID ikke ændres, når brugeren skifter sit kodeord, så hvis en hacker først har fået adgang til en andens config.db, er der altså ikke noget at gøre.
Newton peger dog også på, at det kræver adgang til filerne, for overhovedet at kunne kopiere config.db, men han mener stadig, at der er mange problemer, blandt andet kan malware-udviklere sprede deres malware via Dropbox-brugere, som de har kopieret filer fra og derefter inficeret. Selv hvis virusscannere finder disse filer, vil malware-udviklerne have mulighed for at inficere brugerne igen og igen.
Hvis man vil sikre sig, foreslår Newton, at man enten holder helt op med at benytte Dropbox, eller at man krypterer sine filer med en stærk algoritme.