7Aug
Az elmúlt néhány hónapban a népszerű Cloudflare szolgáltatás hibája érzékeny felhasználói adatokat - köztük felhasználóneveket, jelszavakat és privát üzeneteket - sugallhatott világszerte világos szövegben. De milyen nagy a probléma, és mit kell tennie?
Mi a Cloudflare?
A Cloudflare olyan szolgáltatás, amely biztonsági és teljesítményfunkciókat kínál( többek között) a weboldalak széles hálózatára. Ez fordított proxiként működik, köztük a felhasználó és a webhely között. Amikor meglátogatja ezt a webhelyet, a Cloudflare egyik kiszolgálójára irányítja az aktuális webhely szerverei helyett.
Ez lehetővé teszi a Cloudflare számára, hogy Ön legitim felhasználónak minősüljön( ezáltal megvédi a szolgáltatásmegtagadási szolgáltatásokat), gyorsabban töltse be az oldalt( mivel már tárolta a webhely egyes részeit), és védelmet nyújt a leállás miatt( mivel több szerverrel rendelkezik világszerteés bármilyen szerverre eshet vissza, ha problémája van).
Mi történt?(És mi az, ami "felhalmozódott"?)
Sajnos semmi sem 100% -ban biztonságos, még akkor sem, ha egy webhely egy olyan szolgáltatást használ, mint a Cloudflare, és hibák történnek. Ebben az esetben a Cloudflare valójában az biztonsági problémát okozott az -nek: a HTML-ben értelmezett fordított proxykód hibája miatt a Cloudflare szerverei bizonyos körülmények között szivároghatják memóriájuk tartalmát.(Néhány ember "Cloudbleed" -ként, a Heartbleed-hibáról szól, ami szintén az internet nagy részét érintette.)
Ezek az adatok tartalmazhattak mindenféle érzékeny adatot, beleértve a felhasználóneveket, a jelszavakat, a privát üzeneteket, az OAuth-otzsetonok, és még sok más. Még ennél is rosszabb, hogy egyes adatokat indexeltek és bizonyos keresőprogramok tároltak( kb. 700 oldal, a Cloudflare szerint), így ha tudnád, hogy mit keressen a Google-ban, találhatsz érzékeny adatokat a felhasználóknak egy adott időpontban történő bejelentkezéskor.szivárog.
Ez a hiba körülbelül öt hónapig nem fedezett fel, és a javítást követően ez a hiba kiderült. Cloudflare szerint "a legnagyobb hatásidő 2009. február 13-tól és februárjától számítva körülbelül minden 3.300.000 HTTP-kérésen keresztül Cloudflare-en keresztül vezethet, ami a memória-szivárgást eredményezheti( ez körülbelül 0,00003% -a kérés)."
De olyan szolgáltatással, mint a Cloudflare,0,00003% még mindig sok. Néhány ember összeállította a Cloudflare-t használó webhelyek listáját, és több mint 4 millió domaint tartalmaz - köztük a Yelp, az OkCupid, az Uber, az Authy, a Medium és még sokan mások.(Néhány mobilalkalmazást is érintenek.)
A hiba technikai részleteiről a Cloudflare blogján olvashat bővebben, bár valószínűleg csak akkor érdekel, ha programozó vagy - ha rendszeres internethasználó vagy, akkorcsak azt kell tudnia, hogy. ..
Mit tegyek?
Először: ne sokat pánikoljon. Nem minden 4 millió webes oldal feltétlenül kiszivárogtatott érzékeny információkat - ha egy webhely csak a Cloudflare-t használta a képadat tárolására, például nem lenne érzékeny információ a szivárgásra.És nem olyan, mintha minden egyes szivárgás egyébként a jelszavak fő listája lenne - véletlenszerű információkról volt szó, melyeket az tartalmazhat néhány véletlenszerű felhasználónevet és jelszót egy adott időpontban.
Mindazonáltal a Cloudflare azt is megjegyezte, hogy az egyik privát kulcsa kiszivárgott, ami a támadó számára számos belső Cloudflare adathoz való hozzáférést biztosított volna - köztük potenciálisan felhasználóneveket és jelszavakat is. A Cloudflare rendkívül homályos volt ezen a ponton, annak ellenére, hogy jelentős biztonsági kockázatot jelent a potenciálisan szenzitívabb információkkal szemben.
Mindez azt mondta, hogy nincs valódi módja annak megmondani, hogy az adatok bármelyikét kiszivárgották-e, és így az egyetlenbiztonságos cselekvési folyamat most az megváltoztatni az összes jelszó .(Persze, megnézheted a 4 millió webhely listáját, és csak a Cloudflare által használtakat változtathatod meg, de őszintén szólva valószínűleg könnyebb és gyorsabb lenne mindet megváltoztatni.)
A szokásos szabályok a jelszavakkal itt alkalmazandók: ne használjon ugyanazt a jelszót több webhelyen, használja a jelszókezelőt, mint a LastPass, és kapcsolja be a kétütemű hitelesítést minden olyan webhelyen, amely lehetővé teszi. Ha nem teszel ezeket a dolgokat, a Cloudflare-hiba valószínűleg a legkevésbé a gondjaid - elvégre a webhelyek folyamatosan feltörnek, és ha ugyanazt a jelszót használod mindenhol, az összes adata rendszeresen veszélyben van.
Ha már használsz jelszókezelőt, akkor ez a folyamat egyszerűnek tűnhet( ha kicsit hosszú és unalmas).De mostanáig használnod kell ezt a táncot.