7Aug
Tijekom posljednjih nekoliko mjeseci, bug u popularnoj Cloudflare usluzi možda je izložio osjetljive podatke korisnika - uključujući korisnička imena, lozinke i privatne poruke - svijetu u običnom tekstu. Ali koliko je velik problem i što biste trebali učiniti?
Što je oblak zrna?
Cloudflare je usluga koja nudi značajke sigurnosti i performansi( između ostalog) širokoj mreži web stranica. Djeluje kao preokrenuti proxy, posrednik između vas - korisnika i određene web stranice. Kada idete posjetiti tu web-lokaciju, bit ćete usmjereni na jedan od poslužitelja Cloudflare umjesto na poslužitelje stvarnog web mjesta.
To omogućava Cloudflareu da ste sigurni da ste legitimni korisnik( time zaštitite od napada uskraćivanja usluga), učitajte web mjesto brže( jer su spremili određene dijelove web mjesta) i zaštitili od prekida rada( budući da imaju više poslužitelja širom svijetai može se vratiti na bilo koji poslužitelj ako netko ima problem).
Što se dogodilo?(A što je "obloženo"?)
Nažalost, ništa nije 100% sigurno, čak i ako web mjesto koristi uslugu kao što je Cloudflare, a bugovi se dogode. U ovom slučaju, Cloudflare je zapravo uzrokovalo sigurnosni problem: bug u obrnutom proxy kodu koji analizira HTML uzrokovane cloudflare poslužiteljima curenja sadržaja svoje memorije u određenim okolnostima.(Neki ljudi upućuju na to kao "Cloudbleed", reprodukciju od Heartbleed buga koji je također utjecao na veliki dio interneta.)
Ti podaci mogli su sadržavati sve vrste osjetljivih podataka, uključujući korisnička imena, lozinke, privatne poruke, OAuthtokena, i još mnogo toga. Još gore, neki od tih podataka indeksirali su i pohranili neke pretraživače( oko 700 stranica, prema Cloudflareu), pa ako biste znali što pretraživati na Googleu, možete pronaći osjetljive podatke od korisnika koji se prijavljuju u vrijeme određenecurenje.
Ova bug je otišao neotkriven oko pet mjeseci, i bio je zakrpan nakon što je otkriven ovaj tjedan. Cloudflare kaže da je najveće razdoblje utjecaja bilo od 13. veljače do 18. veljače s otprilike jednom u svakoj od 3.300.000 zahtjeva HTTP-a kroz Cloudflare što je rezultiralo gubitkom memorije( to je oko 0.00003% zahtjeva). "
Ali s uslugom popularnom kao Cloudflare,0,00003% je još uvijek puno. Neki ljudi sastavljaju popis web-lokacija koji koriste Cloudflare, a obuhvaća više od 4 milijuna domena, uključujući Yelp, OkCupid, Uber, Authy, Medium i još mnogo više.
Možete saznati više o tehničkim pojedinostima ove greške na Cloudflareovom blogu, iako će vas vjerojatno zanimati samo ako ste programer - ako ste redovni korisnik interneta,samo što trebate znati je. ..
Što trebam učiniti?
Prvo: nemojte previše paničariti. Nisu svaka web-lokacija na tom popisu od 4 milijuna nužno iscurila osjetljive informacije - ako web-lokacija samo koristi Cloudflare za spremanje podataka o slikama, na primjer, ne bi postojale osjetljive informacije na propuštanje. I nije baš kao da je svaka propuštanja ipak bila glavni popis zaporki - bilo je slučajnih podataka, koje može sadržavati nekoliko korisnih korisničkih imena i lozinki u bilo kojem trenutku.
Međutim, Cloudflare je također primijetio da je jedan od njihovih privatnih ključeva procurio, što bi omogućilo napadaču pristup velikim brojem unutarnjih Cloudflare podataka - uključujući, potencijalno, korisnička imena i lozinke. Cloudflare je bio iznimno nejasan u vezi s ovom konkretnom točkom, unatoč tome što je to glavni sigurnosni rizik s mogućnošću istjecanja mnogo osjetljivijih informacija.
Sve što je rekao, ne postoji pravi način da se ustanovi je li neki od vaših podataka iscuren i gdje, tako da je jedinisiguran tijek akcije upravo sada je promijeniti sve vaše lozinke .(Svakako, možete pogledati popis od 4 milijuna web stranica i mijenjati one koje koristi Cloudflare, ali iskreno, vjerojatno bi bilo lakše i brže samo ih promijeniti.)
Ovdje se primjenjuju uobičajena pravila s lozinkama: ne upotrebljavajte istu lozinku na više web mjesta, upotrebljavajte upravitelja zaporki kao što je LastPass i uključite provjeru autentičnosti s dva faktora za svaku web-lokaciju koja je omogućila. Ako ne radite ove stvari, Cloudflare bug je vjerojatno najmanje vaših briga - naposljetku, web lokacije se cijelo vrijeme hakiraju, a ako upotrebljavate istu lozinku svugdje, svi vaši podaci redovito su izloženi riziku.
Ako već koristite upravitelj lozinke, taj postupak bi trebao biti jednostavan( ako je malo dug i dosadan).Ali sada se trebate naviknuti na ovaj ples.
