Dropbox là một trong những nhà cung cấp lưu trữ đám mây phổ biến nhất thế giới. Nếu bạn muốn lưu tệp với công ty đã được kiểm chứng tốt, họ là lựa chọn rõ ràng.
Tuy nhiên, nếu bạn quan tâm đến quyền riêng tư dữ liệu, chọn nhà cung cấp phù hợp trở nên phức tạp hơn. Dropbox đạt điểm cao về mặt này, nhưng còn xa mới là tốt nhất.
Trong bài này, chúng ta sẽ thảo luận Dropbox giữ an toàn tệp tin của bạn như thế nào, và vài lĩnh vực họ hoàn toàn có thể làm tốt hơn.
Tính năng bảo mật Dropbox
Dropbox đối xử rất nghiêm túc với bảo mật dữ liệu. Họ không thể phát triển lớn như vậy nếu không làm vậy.
Mã hóa mạnh
Dropbox dùng mã hóa AES 128-bit cho tệp trong quá trình truyền và AES 256-bit cho tệp lưu trữ. Cả hai gần như không thể phá vỡ nếu không có khóa mã hóa.
2FA
Xác thực hai yếu tố (2FA) là tính năng tùy chọn của Dropbox từ 2016. Khi thiết lập, tài khoản trở nên không thể truy cập nếu thiếu dạng xác thực thứ hai.
Ví dụ, nếu bạn muốn đăng nhập, thay vì chỉ nhập mật khẩu, bạn còn được yêu cầu chứng minh bạn sở hữu thiết bị cụ thể như điện thoại.
TLS
Công ty cũng dùng TLS (Transport Layer Security). TLS bảo vệ dữ liệu khỏi tấn công man-in-the-middle (người trung gian). Ví dụ, nếu bạn truy cập tệp qua Wi-Fi công cộng, về mặt kỹ thuật vẫn an toàn.
Đọc thêm: Tấn công Man-in-the-Middle là gì?
Kiểm thử định kỳ
Với quy mô công ty, không ngạc nhiên toàn bộ hệ thống được kiểm tra lỗ hổng bảo mật định kỳ.
Vấn đề bảo mật Dropbox
Dropbox có danh tiếng tin cậy. Nếu bạn giao tệp cho họ, chắc chắn bạn sẽ lấy lại tệp đó.
Nhưng họ cũng có danh tiếng không an toàn bằng mức có thể.
Dropbox có tiền sử vi phạm bảo mật
Năm 2011, có lỗi cập nhật. Cho phép truy cập bất kỳ tài khoản Dropbox nào chỉ với email liên kết, tức không cần mật khẩu. Vấn đề giải quyết trong 4 giờ.
Năm 2012, có vi phạm dữ liệu. Kết quả là email và mật khẩu của 68 triệu người dùng bị rò rỉ.
Tệ hơn, mức độ vấn đề không được biết cho đến 2016. Cho đến lúc đó, Dropbox tin rằng chỉ email bị ảnh hưởng.
Năm 2017, nhiều người dùng báo cáo tệp đã xóa trước đó bỗng xuất hiện lại trong tài khoản.
Rõ ràng có lỗi ngăn tệp này bị xóa ban đầu. Khi Dropbox sửa lỗi đó, tệp xuất hiện lại.
Điều này đặc biệt gây vấn đề vì nhiều tệp xuất hiện lại đã vài năm tuổi.
Dropbox là mục tiêu của tội phạm mạng
Dropbox có hơn 15 triệu người dùng trả phí. Con số này tốt cho PR, không nói đến lợi nhuận. Nhưng nó cũng làm Dropbox thành mục tiêu.
Giống như nhà phát triển mã độc thường nhắm vào Windows nhiều hơn iOS, Dropbox là nhà cung cấp lưu trữ đám mây lựa chọn cho những kẻ cố gắng đánh cắp tệp mật.
Nếu ai đó muốn tạo trang web lừa đảo để đánh cắp dữ liệu cá nhân, tài chính, kinh doanh, chỉ hợp lý họ nhắm mục tiêu người dùng Dropbox.
Không phải Zero Knowledge (kiến thức zero)
Khi bạn tải tệp lên Dropbox, họ giữ một bản sao khóa mã hóa của bạn.
Điều này làm dịch vụ nhanh hơn đáng kể. Cũng nghĩa là nếu bạn gặp vấn đề tài khoản, họ có thể giúp lấy lại tệp. Tuy nhiên, từ góc độ bảo mật, đây là vấn đề.
Không chỉ cho Dropbox quyền truy cập tệp của bạn. Nó cũng cấp quyền cho bất kỳ ai xâm nhập bảo mật của họ. Đây là vấn đề phổ biến với lưu trữ đám mây. Box.com, ví dụ, cũng có cách tiếp cận tương tự.
Tuy nhiên, các nhà cung cấp lưu trữ đám mây khác dùng gọi là mã hóa zero knowledge.
Ở đây, khóa mã hóa chỉ bạn biết, và chỉ bạn. Mã hóa diễn ra trên máy tính của bạn, ngay cả nhân viên nhà cung cấp cũng không thể truy cập khóa.
Kết quả, nếu dịch vụ như vậy bị hack, tệp của bạn vẫn hoàn toàn an toàn.
Dropbox đặt trụ sở tại Mỹ
Dropbox trụ sở tại Hoa Kỳ và do đó chịu sự điều chỉnh của một số luật pháp có vấn đề từ góc độ quyền riêng tư.
Các luật này bao gồm Patriot Act (Đạo luật Yêu nước) cho phép chính phủ Mỹ gián điệp công dân Mỹ mà không cần thiết lập nguyên nhân hợp lý.
Điều này đáng lo ngại hơn khi nhớ Dropbox không phải zero knowledge.
So sánh với các nhà cung cấp khác không chỉ đặt trụ sở ngoài Mỹ, mà còn không có khả năng cung cấp quyền truy cập tệp của bạn ngay cả khi họ muốn.
Lựa chọn thay thế Dropbox
Nếu bạn lo ngại bảo mật và quyền riêng tư Dropbox, tin tốt là không thiếu lựa chọn thay thế.
Tresorit
Tresorit đặt trụ sở tại Thụy Sĩ – nơi có những luật quyền riêng tư mạnh nhất thế giới. Nó dùng mã hóa 256-bit ngay cả khi truyền tải. Và là zero knowledge. Nhược điểm thực sự duy nhất của Tresorit là không mã nguồn mở.
SpiderOak
SpiderOak thành lập 2007 nhưng lần đầu nổi tiếng khi được Edward Snowden khuyên dùng. Cung cấp tính năng tương tự Tresorit nhưng có thêm lợi thế là mã nguồn mở và trang bị canary warrant (báo hiệu lệnh đưa ra).
Nextcloud
Nextcloud tiếp cận hơi khác: nó không lưu trữ tệp của bạn. Thay vào đó, nó mã hóa tệp trước khi bạn tải lên đám mây.
Điều này nghĩa là nó có thể dùng với các nhà cung cấp lưu trữ đám mây khác, bao gồm Dropbox, để thêm chức năng zero knowledge.
Nếu bạn muốn đọc thêm về các công ty này, bạn có thể đọc danh sách nhà cung cấp lưu trữ đám mây an toàn nhất của chúng tôi.
Vậy, Dropbox có an toàn?
Về mặt bảo mật, Dropbox làm đúng nhiều điều.
Vấn đề chính của dịch vụ là không phải zero knowledge. Và đây là điều công ty làm cố ý như một sự đánh đổi giữa quyền riêng tư và trải nghiệm người dùng.
Đối với nhiều người, Dropbox đủ an toàn. Nhưng nếu bạn quan tâm quyền riêng tư, hoặc tải tệp nhạy cảm, không thể phủ nhận có lựa chọn tốt hơn.