7Aug
Per pastaruosius keletą mėnesių populiariame "Cloudflare" tarnyboje esanti klaida galėjo pateikti aiškius naudotojo duomenis, įskaitant naudotojo vardus, slaptažodžius ir privačius pranešimus, į paprastą tekstą pasauliui. Bet kaip didelė yra ši problema ir ką turėtumėte daryti?
Kas yra Cloudflare?
"Cloudflare" - tai paslauga, kuri siūlo saugumą ir našumo funkcijas( be kita ko) plačiam tinklų tinklui. Tai veikia kaip atvirkštinis tarpinis serveris, tarpusavyje tarp jūsų - vartotojo ir tam tikros svetainės. Kai lankotės šiai svetainei, būsite nukreipti į vieną iš "Cloudflare" serverių, o ne iš faktinių svetainių serverių.
Tai leidžia "Cloudflare" užtikrinti, kad esate teisėtas vartotojas( taip apsaugodamas nuo užblokavimo paslaugų atakų), įkelkite svetainę greičiau( nes jie išsaugojo tam tikras svetainės dalis) ir apsaugoti nuo prastovų( nes jie turi kelis serverius visame pasaulyje).ir gali atsitraukti bet kuriame serveryje, jei kyla problema).
Trumpai tariant, "Cloudflare" siekia, kad svetainės būtų greičiau ir saugesnės, o tai paslauga, kuria naudojasi daug svetainių.
Kas atsitiko?
Deja, niekas nėra 100% saugus, net jei svetainė naudoja tokią paslaugą kaip "Cloudflare" ir atsiranda klaidų.Šiuo atveju "Cloudflare" iš tikrųjų sukėlė saugumo problemą: klaida perverstinio proxy kodo, kuris analizuoja HTML, sukūrė "Cloudflare" serverius tam tikromis aplinkybėmis sugadinti jo atminties turinį.(Kai kurie žmonės linkę tai vadinti "Cloudbleed", atkurti "Heartbleed" klaidą, kuri taip pat paveikė didelę interneto dalį.)
Šie duomenys galėjo apimti visų rūšių slaptus duomenis, įskaitant naudotojo vardus, slaptažodžius, privačius pranešimus, "OAuth"žetonų ir daug daugiau. Dar blogiau, kai kurie iš šių duomenų buvo indeksuojami ir saugomi kai kuriuose paieškos varikliuose( maždaug 700 puslapių, pagal "Cloudflare"), taigi, jei žinotumėte, ko ieškoti "Google", galite rasti slaptus duomenis iš naudotojų, prisijungusių konkretausnutekėti.
Ši klaida buvo aptikta maždaug penkis mėnesius ir buvo ištaisyta po to, kai ji buvo atrasta šią savaitę."Cloudflare" teigia: "didžiausias poveikio laikotarpis buvo nuo vasario 13 d. Ir vasario 18 d., Maždaug 1 iš kiekvieno 3,300,000 HTTP užklausų per" Cloudflare ", dėl kurio gali atsirasti atminties nutekėjimas( tai yra apie 0.00003% prašymų)."
Tačiau su paslauga, populiari kaip "Cloudflare"0.00003% vis dar yra daug. Kai kurie žmonės sukūrė "Cloudflare" svetainių sąrašą, ir jame yra daugiau nei 4 milijonai domenų, įskaitant "Yelp", "OkCupid", "Uber", "Authy", "Medium" ir daugelis kitų.(Kai kurios programos mobiliesiems taip pat yra paveiktos.)
Daugiau informacijos apie šios klaidos technines detales galite skaityti "Cloudflare" tinklaraštyje, tačiau tikriausiai jus domina tik jei esate programuotojas, jei esate įprastas interneto vartotojas,ką turėtumėte žinoti yra. ..
Ką turėčiau daryti?
Pirma: nepanikink per daug. Ne kiekvienoje šiame sąraše iš 4 milijonų nebūtinai pasklinda slapta informacija - jei svetainė naudoja "Cloudflare" tik talpindama vaizdo duomenis, pvz., Nėra jokios slaptos informacijos apie nutekėjimą.Ir visai nepanašu, kad kiekviena nutekėjimas buvo pagrindinis slaptažodžių sąrašas - tai buvo atsitiktiniai informacijos, kurią metu bet kuriuo metu įtraukė keletą atsitiktinių naudotojų vardų ir slaptažodžių.
Tačiau "Cloudflare" taip pat pažymėjo, kad vienas iš jų buvo privačių raktų, kuris būtų suteikęs prieigą prie daugybės vidinių "Cloudflare" duomenų, įskaitant potencialiai naudotojų vardus ir slaptažodžius."Cloudflare" buvo labai neapibrėžtas dėl šio konkretaus dalyko, nepaisant to, kad tai yra didžiulė saugumo rizika, galinti nutekėti daug labiau jautrią informaciją
. Visa tai sakė, nėra jokio realaus būdo pasakyti, ar bet kuris iš jūsų duomenų buvo išsisukintas ir kur, todėl vienintelissaugus veiksmas dabar yra pakeisti visus savo slaptažodžius .(Žinoma, galite peržiūrėti 4 milijonų svetainių sąrašą ir keisti tik tuos, kuriuos naudoja "Cloudflare", bet, tiesą sakant, greičiausiai būtų lengviau ir greičiau pakeisti juos visus.)
Įprastos su slaptažodžiais susijusios taisyklės taikomos čia: nenaudokite to paties slaptažodžio keliose svetainėse, naudokite slaptažodžių tvarkytuvą, pvz., "LastPass", ir įjunkite dviejų veiksnių autentifikavimą kiekvienai svetainei, kuri tai leidžia. Jei nedarysite šių dalykų, "Cloudflare" klaida, ko gero, yra mažiausiai jūsų nerimas. Galų gale, svetainės nuolat įsilaužia ir jei visur naudojatės tuo pačiu slaptažodžiu, visi jūsų duomenys nuolat kyla pavojus.
Jei jau naudojate slaptažodžių tvarkyklę, šis procesas turėtų būti lengvas( jei truputį ilgai ir nuobodu).Bet dabar tu turi būti naudojamas šitam šokiui.