https://opennet.ru/openforum/vsluhforumID3/76686.html Известное "облачное" хранилище Dropbox преподнесло несколько неприятных сюрпризов. На прошлой неделе были внесены изменения (http://tirania.org/blog/archive/2011/Apr-19.html) в пользовательское соглашение, которые обозначили возможность дешифровки приватных данных клиентов и их передачу по запросу правоохранительных органов. Теперь же стало известно (http://www.zdnet.com/blog/government/if-you-have-something-to-hide-from-the-government-dont-use-dropbox/10283), что компания фактически лишила кислорода открытый проект Dropship (https://github.com/driverdan/dropship). <br><br><br><br>Dropship представляет собой распространяемое под лицензией MIT (http://ru.wikipedia.org/wiki/%D0%9B%D0%B8%D1%86%D0%B5%D0%BD%D0%B7%D0%B8%D0%B8_MIT) приложение, предоставляющее возможность использовать Dropbox в качестве аналога файлообменной сети. Суть работы Dropbox в следующем: если у пользователя есть хэш файла, хранимого в публичном каталоге Dropbox, то любой пользователь Dropbox может скопировать исходный файл в с...<br><br>URL: http://www.net https://opennet.ru/openforum/vsluhforumID3/76686.html#70 Thu, 17 Nov 2011 11:42:31 GMT Надеюсь вы не пользуетесь чужой операционной системой?<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#68 Fri, 29 Apr 2011 20:13:24 GMT Так это про происки конкурентов дропбокса, "надоел сосед подкинь ему транклюкатор и вызови органы" - практика стара как мир...<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#66 Thu, 28 Apr 2011 12:42:42 GMT Dropbox - прекрасное по и отличный проект, а эти идиоты, сделав из него аналог торрентов, создадут ему целую кучу проблем с правообладателями на разные файлы, которые начнут публично через dropbox распространяться, после чего проект загнётся. Пусть свои сервера подминают, свой протокол пишут и сами потом по судам бегают ...<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#65 Wed, 27 Apr 2011 19:58:19 GMT &gt;Кэп сообщает:<br><br>bla, bla ,bla.<br><br> https://opennet.ru/openforum/vsluhforumID3/76686.html#64 Wed, 27 Apr 2011 19:55:23 GMT &gt; Дропбокс все-равно контролирует какие файлы они хостят. Чей сервер, тот и прав.<br><br>Скажите это AOL и ICQ. Скока не боролись, тока конкурентов на свою голову вырастили =)<br><br>&gt; В интернете никогда не было демократии<br><br>И тирании в нем тоже нет. Для любого сервиса всегда найдется вменяемый конкурент.<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#63 Wed, 27 Apr 2011 19:51:56 GMT Существуют ещё наивные, которые считают детище американской военной машины (Интернет) свободным пространством :)<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#62 Wed, 27 Apr 2011 16:46:59 GMT &gt; не всё. надо ещё сходить к тому, у кого файл действительно есть<br><br>Предрасчет N хэшей, по мере истечения размеров пула - еще.<br><br>Алсо, Content-Range запросы к AWS очень дешевые. Получить-то надо десяток, ну, может сотню байт. При обменах трафиком уровня дропбокса - статистически незначимые.<br><br>Как бы, если файл добавился на одном компе, то его все равно будут брать другие компы, на которых его нет. На фоне этого десяток лишних байт - не трафик.<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#61 Wed, 27 Apr 2011 15:42:37 GMT &gt; Собственно, все.<br><br>не всё. надо ещё сходить к тому, у кого файл действительно есть (а не просто в ближайшую копию БД сбегать), и удостовериться, что с хэшем этих байтов не обманули. или раздувать базу, храня кучу ненужных &#171;одноразовых&#187; хэшей. или делать вопросы предсказуемыми и опять получить дырку.<br><br>то есть, был бы это сервис &#171;трёх друзей и инвалида&#187; &#8212; дело такое. а учитывая размер юзербазы дропбокса &#8212; им каждый лишний запрос серпом по тухесу, полагаю.<br><br>потому да: технически со стороны всё просто. а вот внутри может быть и вовсе не так просто, как кажется.<br><br>именно потому я и говорю, что не в курсе внутренней организации дропбокса, и не могу судить, насколько им подобный &#171;простой шаг&#187; действительно просто сделать. может оказаться, что рассылать c&d реально выгодней даже с учётом репутационных потерь.<br> https://opennet.ru/openforum/vsluhforumID3/76686.html#60 Wed, 27 Apr 2011 15:33:01 GMT &gt; я, честно говоря, не знаю структуры дропбокса [...]<br><br>Они на Амазоновском облаке файлы хранят. Ясно дело, амазон не в курсе.<br><br>Дело в том, что уже сейчас принцип такой:<br><br>1. Появился файл на локальном диске и клиент дропбокса это заметил.<br>2. Клиент хэширует и стучится к серверу и говорит "есть такой файл, хэши блоков такие-то, что делать, шеф?"<br>3. Сервер сверяется со своей БД и выясняет есть такой файл у него (дедупликация) или нету. Если нету - просит клиент слать данные, если нет - все ограничивается "я вас понял, спасибо".<br>4. ...<br>5. PROFIT!<br><br>Эксплойт схемы на 2 шаге - файла нет, клиент поддельный, есть только хэш. Защита от атаки - убедиться что файл есть, спросив хэш того, что заранее неизвестно (хэш неких случайно выбранных байтиков из файла).<br><br>Собственно, все.<br>