Wie genau diese vor unbefugten Zugriffen geschützt werden, darüber hüllt sich der Anbieter jedoch stets in Schweigen. Die Devise von Dropbox lautet "security by obscurity", zu Deutsch: Sicherheit durch Verschleierung. Das Prinzip fußt auf der Annahme, dass ein System, dessen Schutzmechanismen nicht bekannt sind, auch nicht geknackt werden kann.

Ein Trugschluss, wie die beiden Web-Forscher Dhiru Kholia und Przemyslaw Wegrzyn jetzt gezeigt haben. Sie sind die ersten Programmierer, denen es gelungen ist, die Dropbox-Sicherheitslücken zu durchbrechen. Damit beweisen sie, dass Sicherheit durch Verschleierung ein durchaus riskantes Unterfangen ist. Kholia und Wegrzyn wollen den Dropbox-Machern nicht schaden, sondern sie davon überzeugen, den Quellcode des Dienstes frei zugänglich zu machen. Ihnen ist beispielsweise gelungen, eigenen Programm-Code einzuschleusen und so den Client des Programms zu übernehmen.

Dadurch könne die Systemarchitektur weiteren Analysen und Untersuchungen geöffnet werden, so das Fazit von Kholia und Wegrzyn. Das klassische Hacker-Credo besagt, dass nur ein freier Code ("open source"), der von jedermann auf Lücken geprüft werden kann, höchstmögliche Sicherheit garantiert.