7Aug
Nos últimos meses, um erro no popular serviço Cloudflare pode ter exibido dados de usuários sensíveis - incluindo nomes de usuários, senhas e mensagens privadas - para o mundo em texto simples. Mas qual é o tamanho desse problema e o que você deve fazer?
O que é Cloudflare?
Cloudflare é um serviço que oferece recursos de segurança e desempenho( entre outras coisas) a uma ampla rede de sites. Ele atua como um proxy reverso, um intermediário entre você - o usuário - e um determinado site. Quando você vai visitar esse site, você será direcionado para um dos servidores do Cloudflare em vez dos servidores do site real.
Isso permite que o Cloudflare garanta que você seja um usuário legítimo( protegendo contra ataques de negação de serviço), carregue o site mais rápido( desde que eles tenham armazenado em cache em determinadas partes do site) e proteja contra o tempo de inatividade( já que eles têm vários servidores em todo o mundoe pode recuar em qualquer servidor se alguém tiver um problema).
Em resumo: o Cloudflare tem como objetivo tornar os sites mais rápidos e seguros, e é um serviço que muitos sites usam.
O que aconteceu?(E o que é "Cloudbleed?")
Infelizmente, nada é 100% seguro, mesmo se um site usa um serviço como o Cloudflare e os erros acontecem. Nesse caso, o Cloudflare realmente causou o um problema de segurança: um erro no código de proxy reverso que analisa o HTML causou que os servidores do Cloudflare vazassem o conteúdo de sua memória em determinadas circunstâncias.(Algumas pessoas estão se referindo a isso como "Cloudbleed", um play off do bug Heartbleed que também afetou uma grande parte da internet.)
Este dado poderia ter incluído todos os tipos de dados confidenciais, incluindo nomes de usuário, senhas, mensagens privadas, OAuthtokens, e muito mais. Pior ainda, alguns desses dados foram indexados e armazenados em cache por alguns motores de busca( cerca de 700 páginas, de acordo com o Cloudflare), então, se você soubesse o que procurar no Google, você poderia encontrar dados confidenciais dos usuários que iniciaram sessão no momento de um específicovazamento.
Este erro não foi descoberto por cerca de cinco meses, e foi corrigido depois de ser descoberto nesta semana. A Cloudflare diz que "o maior período de impacto foi de 13 de fevereiro e 18 de fevereiro, com cerca de 1 em cada 3,300,000 solicitações HTTP através do Cloudflare, potencialmente resultando em vazamento de memória( isso é cerca de 0,00003% dos pedidos)."
Mas com um serviço tão popular quanto o Cloudflare,0.00003% ainda é muito. Algumas pessoas estão compilando uma lista de sites que usam o Cloudflare, e inclui mais de 4 milhões de domínios - incluindo o Yelp, OkCupid, Uber, Authy, Medium e muito mais.(Alguns aplicativos móveis também são afetados).
Você pode ler mais sobre os detalhes técnicos deste bug no blog do Cloudflare, embora provavelmente só o interessue se você for programador - se você é um usuário regular da Internet, oA única coisa que você precisa saber é. ..
O que devo fazer?
Primeiro: não entre em pânico demais. Nem todos os sites dessa lista de 4 milhões de informações sensivelmente vazadas - se um site estava apenas usando Cloudflare para armazenar dados de imagem em cache, por exemplo, não haveria informações sensíveis ao vazamento. E não é como se cada vazamento fosse uma lista principal de senhas de qualquer maneira - era uma informação aleatória, que poderia incluir alguns nomes de usuário e senhas aleatórios em qualquer momento.
No entanto, o Cloudflare também observou que uma de suas próprias chaves privadas estava vazada, o que teria proporcionado acesso a um invasor de muitos dados internos do Cloudflare - incluindo, potencialmente, nomes de usuário e senhas. Cloudflare foi extremamente vago sobre este ponto particular, apesar de ser um grande risco de segurança com o potencial de divulgar informações muito mais sensíveis.
Tudo o que disse, não há nenhuma maneira real de saber se algum de seus dados foi vazado e onde, então, o únicoO curso seguro de ação agora é alterar todas as suas senhas .(Claro, você poderia olhar através da lista de 4 milhões de sites e apenas alterar aqueles usados pelo Cloudflare, mas, honestamente, provavelmente seria mais fácil e rápido simplesmente mudá-los todos).
As regras usuais com senhas aplicam-se aqui: não use a mesma senha em vários sites, use um gerenciador de senhas como o LastPass e ative a autenticação de dois fatores para cada site que o permita. Se você não está fazendo essas coisas, o bug do Cloudflare provavelmente é a menor das suas preocupações - afinal, os sites são cortados o tempo todo, e se você estiver usando a mesma senha em todos os lugares, todos os seus dados correm riscos.
Se você já estiver usando um gerenciador de senhas, esse processo deve ser fácil( se um pouco longo e chato).Mas você deveria estar acostumado a esta dança até agora.