云存储提供商是否放弃了安全性？

领先的云存储提供商 Dropbox 可以说是自 2007 年推出以来最糟糕的一个月，但拥有超过五亿用户，令人惊讶的是，这项无处不在的服务与信任它处理文件的人之间的严重问题才刚刚开始浮出水面。首先，在最近的公告中，让人想起 LinkedIn 最新的数据泄露惨败，Dropbox 几周前宣布，在先前披露的 2012 年数据泄露事件中，超过 6800 万封电子邮件和密码被泄露。现在，安全专家批评该公司误导 OS X 用户授予管理员密码访问权限和根权限到他们的系统。当云服务提供商在安全性方面“放下盒子”，甚至更糟时，当他们的行为直接危及他们应该保护的用户时，消费者有什么追索权？

Dropbox 早在 2012 年就宣布，涉及用户数据被盗的数据泄露仅限于电子邮件地址。然而，最近的披露促使该公司披露，超过 6800 万个经过哈希和加盐处理的密码以及电子邮件被泄露。

与 LinkedIn 数据泄露事件类似，批评者抨击 Dropbox 迟迟才披露泄露的极端性。但云存储提供商似乎又面临另一场惨败——这一次，关于该公司积极对自己的用户实施的信任侵犯行为。9 月 9 日，来自 Hacker News 和 Twitter 的消息来源透露，Dropbox Mac 桌面客户端能够通过 Mac 的辅助功能权限列表获得 root 系统访问权限，而无需先请求用户许可。

这些最近的发展无疑引发了对云存储提供商建立的安全机制以及云供应商手中的信任程度的质疑。UpGuard 安全评级是否提供有关云存储提供商的安全适用性、可信度和企业弹性的线索？让我们看看每个供应商的网站边界安全机制是如何叠加的。

云存储提供商精选

我们首先与市场份额最大的两家竞争云存储提供商 Dropbox 和 Box 进行比较，然后是该类别中的其他领先产品，其中几家以“安全”云存储提供商的身份销售，将强大的安全性/隐私作为其主要差异化因素。

1. 盒子 - 912 中的 950

Box 总部位于加利福尼亚州雷德伍德城，是一家面向企业的云内容管理和文件共享服务公司。官方客户端和应用程序可用于 Windows、macOS 和多个移动平台。Box 成立于 2005 年。

自 2020 年 6 月 4 日起，Box 存在以下安全问题：

• HSTS 标头不包含 includeSubDomains：inclduSubDomains 指令指示浏览器也对此域的子域执行 HSTS 策略。
• 在 HSTS 预加载列表中找不到域：首次访问该网站的用户将容易受到 MITM 攻击。包含在预加载列表中的要求由 hstspreload.org 指定。
• DNSSEC 未启用：DNSSEC 记录可防止第三方伪造保证域身份的记录。应为此域配置 DNSSEC。

在此处查看 Box 的完整安全配置文件。

2. Tresorit - 903 分中的 950 分

Tresorit 是一项位于瑞士和匈牙利的在线云存储服务，强调为企业和个人/自由职业者提供增强的安全性和数据加密。

截至 2020 年 6 月 4 日，Tresorit 存在以下安全问题：

• 未使用安全 Cookie：不使用安全 Cookie 时，第三方拦截这些 Cookie 中包含的信息的风险会增加。应更改网站配置，以便所有 'Set-Cookie' 标头都包含 'secure'。

Tresorit 的一位代表提出，由于 Tresorit 使用预加载的 HSTS，这意味着“cookie 永远不会通过 HTTP 传输，而只通过 HTTPS，因此不使用安全 cookie 不会增加风险。所有主流浏览器都支持 HSTS 预加载，如 https://hstspreload.org/ 和 https://caniuse.com/#feat=stricttransportsecurity 所示，这意味着提供给最终用户的所有主流浏览器（Chrome、Firefox、Opera、Safari、IE 11 和 Edge）都会通过 HTTPS 自动与 tresorit.com 通信。"

在此处查看 Tresorit 的完整安全配置文件。

3. Dropbox - 950 中的 846

Dropbox 是由总部位于加利福尼亚州旧金山的美国公司 Dropbox， Inc. 运营的文件托管服务，提供云存储、文件同步、个人云和客户端软件。Dropbox 由麻省理工学院的学生 Drew Houston 和 Arash Ferdowsi 于 2007 年创立，最初是一家初创公司，初始资金来自种子加速器 Y Combinator。

自 2020 年 6 月 4 日起，Dropbox 存在以下安全问题：

• 可用的不安全 SSL/TLS 版本：任何版本的 SSL 协议以及 1.2 之前的 TLS 现在都被视为不安全。服务器应禁用对这些旧协议的支持。

• 不使用 HttpOnly Cookie：不使用 HttpOnly Cookie 时，可以在客户端访问 Cookie，从而启用某些类型的客户端攻击。应更改网站配置以强制实施 HttpOnly Cookie。

在此处查看 Dropbox 的完整安全配置文件。

4. 碳酸盐 - 846/950

Carbonite 是一家 OpenText 公司，提供保护数据免受最常见形式的数据丢失所需的所有工具，包括勒索软件、意外删除、硬件故障和自然灾害。从自动计算机备份到对物理和虚拟服务器环境的全面保护，Carbonite 可确保任何系统的数据可访问性和弹性。

截至 2020 年 6 月 4 日，Carbonite 存在以下安全问题：

• 不使用 HttpOnly Cookie：不使用 HttpOnly Cookie 时，可以在客户端访问 Cookie，从而启用某些类型的客户端攻击。应更改网站配置以强制实施 HttpOnly Cookie。

• HSTS 标头不包含 includeSubDomains：inclduSubDomains 指令指示浏览器也对此域的子域执行 HSTS 策略。

• 在 HSTS 预加载列表中找不到域：在 HSTS 预加载列表中找不到该域。首次访问该网站的用户将容易受到 MITM 攻击。包含在预加载列表中的要求由 hstspreload.org 指定。

在此处查看 Carbonite 的完整安全配置文件。

5. Backblaze - 827 分（满分 950 分）

Backblaze 是一家数据存储提供商。它提供两种产品：B2 Cloud Storage - 一种类似于 Amazon S3 的对象存储服务。计算机备份 - 一种在线备份工具，允许 Windows 和 macOS 用户将其数据备份到异地数据中心。

截至 2020 年 6 月 4 日，Backblaze 存在以下安全问题：

• HSTS 标头不包含 includeSubDomains：inclduSubDomains 指令指示浏览器也对此域的子域执行 HSTS 策略。
• 在 HSTS 预加载列表中找不到域：在 HSTS 预加载列表中找不到该域。首次访问该网站的用户将容易受到 MITM 攻击。包含在预加载列表中的要求由 hstspreload.org 指定。
• DMARC 策略为 p=none：DMARC 策略为 p=none。这无法防止欺诈电子邮件。DMARC 策略应该迁移到 p=quarantine，最终迁移到 p=reject。
• SPF 策略使用 ~all：发件人策略框架 （SPF） 记录对于允许哪些域代表域发送电子邮件过于宽松。此记录最好不要使用 ~all 机制，因为这不会指示邮件接收者拒绝来自未授权来源的邮件。当 DMARC 没有被强制执行时，-all 应该在 SPF 记录上使用。
• DNSSEC 未启用：DNSSEC 记录可防止第三方伪造保证域身份的记录。应为此域配置 DNSSEC。

• 未启用域注册商删除保护：域不受注册商未经请求的删除请求的保护。域应设置 clientDeleteProhibited 。

• 未启用域注册商更新保护：域不受注册商未经请求的更新请求的保护。域应设置 clientUpdateProhibited 。

在此处查看 Backblaze 的完整安全配置文件。

6. SugarSync - 827 分（满分 950 分）

SugarSync 是一项云服务，支持跨计算机和其他设备主动同步文件，以便从各种作系统（如 Android、iOS、Mac OS X 和 Windows 设备）进行文件备份、访问、同步和共享。对于 Linux，只有已停产的非官方第三方客户端可用。

截至 2020 年 6 月 4 日，SugarSync 存在以下安全问题：

• 可用的不安全 SSL/TLS 版本：任何版本的 SSL 协议以及 1.2 之前的 TLS 现在都被视为不安全。服务器应禁用对这些旧协议的支持。
• 未强制实施 HTTP 严格传输安全 （HSTS）：如果不强制实施 HSTS，浏览此站点的人更容易受到中间人攻击。应将服务器配置为支持 HSTS。

在此处查看 SugarSync 的完整安全配置文件。

7. IDrive - 950 中的 798

IDrive Inc. 是一家专门从事数据备份应用程序的技术公司。其旗舰产品是 IDrive，这是一种适用于 Windows、Mac、Linux、iOS 和 Android 用户的在线备份服务。

截至 2020 年 6 月 4 日，IDrive 存在以下安全问题：

• HSTS 标头不包含 includeSubDomains：inclduSubDomains 指令指示浏览器也对此域的子域执行 HSTS 策略。
• 在 HSTS 预加载列表中找不到域：在 HSTS 预加载列表中找不到该域。首次访问该网站的用户将容易受到 MITM 攻击。包含在预加载列表中的要求由 hstspreload.org 指定。
• DMARC 策略为 p=none：DMARC 策略为 p=none。这无法防止欺诈电子邮件。DMARC 策略应该迁移到 p=quarantine，最终迁移到 p=reject。
• SPF 策略使用 ~all：发件人策略框架 （SPF） 记录对于允许哪些域代表域发送电子邮件过于宽松。此记录最好不要使用 ~all 机制，因为这不会指示邮件接收者拒绝来自未授权来源的邮件。当 DMARC 没有被强制执行时，-all 应该在 SPF 记录上使用。

• 未启用域注册商删除保护：域不受注册商未经请求的删除请求的保护。域应设置 clientDeleteProhibited 。

• 未启用域注册商更新保护：域不受注册商未经请求的更新请求的保护。域应设置 clientUpdateProhibited 。

在此处查看 IDrive 的完整安全配置文件。

8. SpiderOak - 760 分（满分 950 分）

SpiderOak 是一种总部位于美国的协作工具、在线备份和文件托管服务，允许用户使用由同名公司提供的基于云的服务器访问、同步和共享数据。它的第一个产品是其在线备份服务，后来被称为“SpiderOak ONE”，于 2007 年 12 月推出。

截至 2020 年 6 月 4 日，SpiderOak 存在以下安全问题：

• 可用的不安全 SSL/TLS 版本：任何版本的 SSL 协议以及 1.2 之前的 TLS 现在都被视为不安全。服务器应禁用对这些旧协议的支持。
• X-Powered-By 标头公开：X-Powered-By 标头显示有关服务器上使用的特定技术的信息。此信息可用于利用漏洞。应更改服务器配置以删除此标头。
• 未使用 HttpOnly Cookie：不使用 HttpOnly Cookie 时，可以在客户端访问 Cookie，从而启用某些类型的客户端攻击。应更改网站配置以强制实施 HttpOnly Cookie。
• 未使用安全 Cookie：不使用安全 Cookie 时，第三方拦截这些 Cookie 中包含的信息的风险会增加。应更改网站配置，以便所有 'Set-Cookie' 标头都包含 'secure'。
• DNSSEC 未启用：DNSSEC 记录可防止第三方伪造保证域身份的记录。应为此域配置 DNSSEC。

在此处查看 SpiderOak 的完整安全配置文件。

结论

简而言之，云存储提供商在网络弹性方面似乎通常有能力，这是通过网站边界安全和其他外部因素来衡量的。这些领先的云存储提供商的全面 CSAR 评级无疑令人放心，但最近的事件（例如 Dropbox 最新的信任问题）凸显了安全性和可信度之间的区别：虽然其安全性可能很可靠，但其他各种不谨慎的行为仍可能使用户处于风险之中。安全性和信任虽然相互关联，但却是两回事。显然，Dropbox 的安全故障和违反用户信任的行为同样会损害品牌，但如果后来发现利用扩展权限的专用恶意软件，后者可能会更具破坏性。

归根结底，组织的网络风险态势取决于其最薄弱的 IT 资产，无论是桌面客户端、Web 服务器，还是 IT 安全解决方案。UpGuard 的数字弹性平台可确保权限提升和错误配置（计划内或计划外）永远不会被忽视。