Dropbox veilig gebruiken

[Trommelrem]

Bij een klant heeft een user het voor elkaar gekregen om Dropbox te installeren. Zonder adminrechten. Aangezien Dropbox ook nog eens alles direct in het profiel neerzet ipv in de My Documents, duurde het inloggen ook nog eens erg lang. Niet zo gek als een roaming profile ineens 2 GB groot is.

Anyway, ondanks de enorme veiligheidsrisico's is besloten dat Dropbox voor deze user toch toegankelijk moet worden gemaakt.

Nu probeer ik een veilige oplossing te vinden. Men heeft akkoord gegeven voor de installatie van Dropbox voor deze user, ondanks de veiligheidsrisico's die daar aan kleven. Ik ben daar heel duidelijk over geweest, maargoed, de klant wil het graag en accepteert graag de risico's.

De omgeving is een simpele SBS omgeving met enkele tientallen users. Daarnaast is er een headless werkstation met Windows 7 voor users die af en toe extern willen inloggen op een desktopomgeving.

Ik heb bedacht om op de Windows 7 "server" Dropbox als een service te installeren. Deze laat ik draaien onder een lokaal useraccount, los van het SBS domein, zodat domeinresources niet kunnen worden benaderd. In deze Windows 7 "server" maak ik een aparte partitie aan waar deze localuser en de betreffende domain user mag schrijven. Daar plaats ik dan de Dropbox sync folder.

Uiteraard ligt bij de netwerkkabel van de headless Windows 7 "server" een schaar klaar, zodat de netwerkkabel direct kan worden doorgeknipt om zo veel mogelijk kwaad te voorkomen. Instructie is dan ook om bij elk incident gewoon direct de kabel door te knippen.

De vraag "Is dit de juiste manier" is een retorische vraag.
Nee. Dit is natuurlijk hartstikke onveilig, je kunt net zo goed de bankkluis openzetten en alle beveiligers met vakantie sturen zodat iedereen het geld/data naar buiten kan dragen. Dus ik probeer mijn vraag even anders te stellen: "Is dit een juiste manier om zo veilig mogelijk, binnen mijn verantwoordelijkheden, toch Dropbox te kunnen gebruiken?"

[DiedX]

Ik ga even advocaat van de duivel spelen:

*WAT* vind jij zo gevaarlijk aan dropbox? Welke data mag niet buiten de deur komen, en *WAAROM* niet?

Als de gebruiker een USB-Stick in het systeem zou stoppen, zou hetzelfde probleem dan ontstaan, of vertrouw je dropbox als partij niet?

[Orion84]

Het grootste gevaar met dropbox (behalve het gebrek aan control over waar de data daadwerkelijk staat en evt. wantrouwen jegens dropbox zelf) is dat de folder in kwestie gedeeld wordt met onbevoegden, of een lokale kopie van een van de gebruikers op straat komt te liggen.

Wat dat betreft is het ook belangrijk om duidelijke afspraken vast te leggen met de interne (en ik neem aan externe) gebruikers van de dropbox folder. Dan heb je in elk geval juridisch een stok om mee te slaan als iemand een fuckup maakt en de data in verkeerde handen komt. Of wanneer iemand bestanden in die folder zet die het bedrijf in de problemen brengen.

Verder in elk geval zorgen dat niemand behalve de owner de betreffende folder kan sharen.

Maar om wat meer gericht mee te kunnen denken is het wel handig als je zou kunnen schetsen op welke manier je dropbox inzet. Welke personen/partijen willen data delen en op welke machines komt de data terecht en dergelijke.

[aZuL2001]

Is het gebruik van SafeSync geen optie? Soortgelijke functionaliteit.
Daar kun je een account als beheerder aanhangen, zodat er toezicht is op wat er naar buiten gaat. (in de bedrijfsvariant)
Daarnaast gebruikt dat een datacentrum in Duitsland, juist vanwege de strenge privacy regels.

[DiedX]

Orion84 schreef op vrijdag 17 augustus 2012 @ 15:45:
Het grootste gevaar met dropbox (behalve het gebrek aan control over waar de data daadwerkelijk staat en evt. wantrouwen jegens dropbox zelf) is dat de folder in kwestie gedeeld wordt met onbevoegden, of een lokale kopie van een van de gebruikers op straat komt te liggen.

Maar datzelfde zou je dus ook hebben met een USB stick.

Edit: wat probeert de klant van de klant op te lossen? Syncen met huis of met een andere collega remote??

[ Voor 10% gewijzigd door DiedX op 17-08-2012 15:59 ]

[Orion84]

DiedX schreef op vrijdag 17 augustus 2012 @ 15:58:
[...]

Maar datzelfde zou je dus ook hebben met een USB stick.

Klopt, daarom staan veel bedrijven ook niet toe dat je gevoelige documenten op een onbeveiligde USB stick mee naar buiten neemt (en dwingen sommige bedrijven dat zelfs technisch af).

Als je in plaats van die USB stick dus dropbox gaat gebruiken zul je ook wat afspraken moeten maken en (voor zover haalbaar) technische maatregelen moeten treffen.

[DiedX]

Orion84 schreef op vrijdag 17 augustus 2012 @ 16:04:
[...]

Als je in plaats van die USB stick dus dropbox gaat gebruiken zul je ook wat afspraken moeten maken en (voor zover haalbaar) technische maatregelen moeten treffen.

Heeft TS die getroffen?

[Orion84]

DiedX schreef op vrijdag 17 augustus 2012 @ 16:06:
[...]

Heeft TS die getroffen?

Wellicht begrijp ik niet helemaal waar je naartoe wilt, maar is het nu niet juist zijn vraag welke maatregelen hij zou moeten/kunnen treffen?

[ResuCigam]

Ik denk dat DiedX bedoelt dat het weinig zin heeft om je druk te maken over de veiligheid van Dropbox als iedereen alles op een USB stick kan meenemen.

[ralfbosz]

ResuCigam schreef op vrijdag 17 augustus 2012 @ 16:29:
Ik denk dat DiedX bedoelt dat het weinig zin heeft om je druk te maken over de veiligheid van Dropbox als iedereen alles op een USB stick kan meenemen.

Ook nog een verschil tussen USB-stick en DropBox: DropBox valt onder de Patriot Act (Amerikaans bedrijf). Dat is voor heel veel bedrijven onacceptabel (heeft TS dit gemeld bij klant?). Bij ons bedrijf is het verboden gebruik te maken van DropBox en andere varianten (Google Docs) ivm deze Patriot Act (dat is voor werkdocumenten, privé mogen we ermee doen wat we willen ).

[ Voor 6% gewijzigd door ralfbosz op 17-08-2012 16:33 ]

[Orion84]

ResuCigam schreef op vrijdag 17 augustus 2012 @ 16:29:
Ik denk dat DiedX bedoelt dat het weinig zin heeft om je druk te maken over de veiligheid van Dropbox als iedereen alles op een USB stick kan meenemen.

Zit wat in, maar is natuurlijk niet helemaal waar. Als je het hebt over moedwillige pogingen om gevoelige data weg te sluizen dan heeft het inderdaad geen zin om de voordeur stevig af te sluiten, terwijl de achterdeur wagenwijd openstaat. De 'aanvaller' gaat dan simpelweg voor de zwakste schakel.

Als je echter kijkt naar het scenario dat data per ongeluk op straat komt te liggen, dan is het wel degelijk zinvol om van elke transportmethode afzonderlijk te bekijken hoe je dit beveiligt. Met 1 beveiligde en 1 onbeveiligde methode is de kans kleiner dat er data per ongeluk op straat komt te liggen dan met 2 onbeveiligde methodes.

[DiedX]

Orion84 schreef op vrijdag 17 augustus 2012 @ 16:40:
[...]

Zit wat in, maar is natuurlijk niet helemaal waar. Als je het hebt over moedwillige pogingen om gevoelige data weg te sluizen dan heeft het inderdaad geen zin om de voordeur stevig af te sluiten, terwijl de achterdeur wagenwijd openstaat. De 'aanvaller' gaat dan simpelweg voor de zwakste schakel.

Als je echter kijkt naar het scenario dat data per ongeluk op straat komt te liggen, dan is het wel degelijk zinvol om van elke transportmethode afzonderlijk te bekijken hoe je dit beveiligt. Met 1 beveiligde en 1 onbeveiligde methode is de kans kleiner dat er data per ongeluk op straat komt te liggen dan met 2 onbeveiligde methodes.

Ook mee eens.

Waar ik een beetje mee zit is dat ik het gevoel heb dat TS "af wil sluiten omdat hij er tegen is". Dat is - IMHO - geen goede aanpak van beveiliging.

Begin met een stuk policy (is die er?), bekijk welke gegevens je hebt, en wat de mogelijke schade is als die op straat komt te liggen.

Daarnaast: blijkbaar wordt dropbox gebruikt "omdat het handig is". Welk probleem probeert de medewerker op te lossen, en kan IT daarin voorzien? Of is het handig om eens een gesprek te hebben met medewerker dat dit echt niet de bedoeling is?

Ergo: ik mis onderbouwing...

[Orion84]

Check, helemaal mee eens

[Trommelrem]

USB sticks ken ik. Dropbox niet. Van een USB stick weet men dat de data zoek is, als de USB stick zoek is. Bovendien wordt bij sommige organisaties USB geblokkeerd voor mass storage devices.

Bij Dropbox kan het soms maanden duren voordat het lek wordt ontdekt. Soms wordt het lek helemaal niet ontdekt. En daar zit dus een probleem van Dropbox.

Anyway, ik ken dat hele Dropbox niet goed genoeg om het voor m'n gevoel veilig te installeren. Daarom wil ik liever wat extra veiligheidsmaatregelen nemen om de data veilig te stellen die niet op Dropbox staat. Dus niet dat de Dropbox applicatie onder een domain admin account draait en dus overal bij kan.

Nu al gooit Dropbox roaming profiles overhoop, omdat het gewoon slecht is geprogrammeerd (wie bedenkt er nou een applicatie die een roaming profile volgooit???)

Om die reden moet de klant ook een extra contract tekenen als de klant bijvoorbeeld Blackberries wil. Het BES account heeft namelijk erg veel rechten. Ik wil heel graag installeren wat de klant graag wil, en ik wil daar best de tijd in steken, zoals nu, maar ik wil niet dat het mis gaat door een fuckup van mijn kant.

[DiedX]

Ik ben zeker geen Windows-kenner, maar ik snap een aantal zaken niet:

* Wat heeft een domain admin account met Dropbox te maken?
* Wat hebben roaming profiles met Dropbox te maken?

Het verhaal over USB-Sticks en USB-Sticks die kwijt zijn heeft niets met je verlies van data te maken. Je data is op plekken die je niet kan controleren. Afhankelijk van je gevoeligheid van je data moet je daar maatregelen op nemen. Idem voor dropbox: als je medewerker dropbox installeert hoeft dat geen probleem te vormen. Mits dat mag vanuit een policy en zijn PC/iPhone/iPad/Whatever afdoende beveiligd is.

No offence, maar ben je nu bang voor technische problemen (roaming profiles die in de stress schieten?), juridische problemen (omdat medewerkers informatie naar buiten gooien) of wat anders? Want het verhaal komt op mij niet samenhangend over...

Anders gezegd: als een medewerker nu informatie naar buiten wil sturen kan hij dat toch al. Als je dan serieus bezig bent met beveiliging stop je dat. Ik raad je wel aan om een bulletproof-vest aan te doen...

[aZuL2001]

Kogelvrij vest heeft geen zin, want zelfs mijn t-shirt is kogelvrij

[Caelorum]

Daarnaast kan je tijdens de installatie van Dropbox aangeven waar het zijn spul neer moet gooien. Dan hou je nog filecache.dbx over in de roaming profile. Daar staan denk ik alleen maar filenames en hashes in. Íig blijft dat ding bij mij zo rond de 100MB hangen met zo'n 67.000 bestanden in dropbox.

[aZuL2001]

Zolang TS niet komt met welk "probleem" er opgelost moet worden en wat het beleid is kunnen we imho niet echt een zinvol advies geven.

Enige wat we tot nu toe weten is dat hij de dienst Dropbox alleen van naam kent en dat hij een schaar heeft.

[RedHat]

offtopic:
ga je echt een schaar neerleggen voor als er iets ongebruikelijks gebeurt? Of was dat een grapje? Want ik vraag mij echt af wat de gebruiker zou moeten merken als dropbox niet veilig zou zijn. Ik denk persoonlijk dat een netwerkkabel doorknippen een oplossing is wat helemaal niets uithaalt

ontopic: kun je die partitie geen encryptie meegeven? Dan wordt alles met encryptie op Dropbox gezet, een stuk veiliger. En dan bedoel ik eigenlijk een datapartitie en een 'onzichtbare' partitie de datapartitie ghost maar dan encrypted, en die syncen met dropbox. Alleen is het dan niet 'even snel' een bestandje inzien/downloaden van Dropbox.

[ Voor 20% gewijzigd door RedHat op 18-08-2012 08:27 ]

[Trommelrem]

Het probleem is die applicatie. Het installeert zichzelf in een roaming profile en de main syncfolder wordt aangemaakt in de roaming profile en niet gewoon in de My Documents folder (die elders staat). Dropbox kun je niet configureren dat het een netwerkshare synchroniseert, maar voor users is de C-schijf ook verborgen, dus dan blijft de profilefolder over. De server gaat niet op z'n gat als 1 user of zelfs 20 users hun roaming profile synchroniseren, maar het inloggen duurt wel lang.

Daarom kwam dus het idee om Dropbox als een service te installeren op een apart werkstation. Maar wat zijn de security implicaties daarvan? Is de bovenstaande oplossing redelijk veilig?

Het feit dat data unencrypted staat opgeslagen bij Dropbox boeit mij niet zo. Dat is de verantwoordelijkheid van mij niet. Ik heb het wel aangegeven natuurlijk. Een alternatief zou SpiderOak of TrueCrypt zijn, maargoed, dat is niet nodig.

[ Voor 9% gewijzigd door Trommelrem op 18-08-2012 12:46 ]

[ebia]

Trommelrem schreef op zaterdag 18 augustus 2012 @ 12:45:
Het probleem is die applicatie. Het installeert zichzelf in een roaming profile en de main syncfolder wordt aangemaakt in de roaming profile en niet gewoon in de My Documents folder (die elders staat). Dropbox kun je niet configureren dat het een netwerkshare synchroniseert, maar voor users is de C-schijf ook verborgen, dus dan blijft de profilefolder over. De server gaat niet op z'n gat als 1 user of zelfs 20 users hun roaming profile synchroniseren, maar het inloggen duurt wel lang.

Het komt er dus op neer dat de huidige Windows omgeving het eigenlijk niet toelaat dat Dropbox goed gebruikt kan worden. Want ja, als je dus niet eens je C:-disk kunt zien als user, kun je Dropbox ook niet met een andere (lokale niet-profiel)map laten syncen.

Dat er dan niks anders dan je profielmap overblijft is daar dus voortvloeisel van. Een roaming profile is natuurlijk een keuze. Je zou ook kunnen besluiten dat voor deze ene user uit te zetten...

Hoe dan ook moet dat eigenlijk het verhaal zijn naar je klant. Je hebt alles dusdanig dichtgezet dat Dropbox niet mogelijk is zonder trukendoos die vroeg of laat een keer om gaat vallen. Eigenlijk kun je daardoor niet meer je service garanderen in de huidige SLA. Dus als de opdrachtgever het helemaal anders wil, wordt het ook tijd om daar nog eens goed naar te kijken.

Daarom kwam dus het idee om Dropbox als een service te installeren op een apart werkstation. Maar wat zijn de security implicaties daarvan? Is de bovenstaande oplossing redelijk veilig?

Ik denk dat je het niet veiliger is om die Dropbox onder een account (als service) te draaien met beperkte rechten. Ja, enerzijds klinkt dat wel veilig en logisch, maar anderzijds heb je wel voldoende rechten nodig om de software te mogen updaten als user (vandaar de installatie in de profielmap). Ga je dat dus helemaal omkatten, zul je voor de veiligheid ook zelf continu die Dropbox client manueel moeten updaten, dat lijkt me in de praktijk dus nog veel onveiliger omdat de kans dan groter is dat je het vergeet met alle mogelijke ellende van dien.

Maar ook hier is dat weer een kwestie van keuze. Als de klant akkoord gaat, en jij kunt garanties leveren, valt er geld aan te verdienen, en zou je dus gewoon verder kunnen.

[CyBeR]

Trommelrem schreef op vrijdag 17 augustus 2012 @ 15:34:
Men heeft akkoord gegeven voor de installatie van Dropbox voor deze user, ondanks de veiligheidsrisico's die daar aan kleven. Ik ben daar heel duidelijk over geweest, maargoed, de klant wil het graag en accepteert graag de risico's.

Sorry, maar dan is het toch klaar? Zorg dat die shit werkt.

Hoe de klant met z'n data omgaat is niet jouw verantwoordelijkheid. Het is jouw verantwoordelijkheid om te wijzen op risico's. Dat heb je gedaan, die zijn geaccepteerd. Nu is 't jouw verantwoordelijkheid om te zorgen dat wat de klant wil, werkt.