Kas yra „Cloudflare“ ir ar tai tikrai nutekėjo mano duomenys visame internete?

Per pastaruosius kelis mėnesius populiarioje „Cloudflare“ tarnyboje esanti klaida galėjo atskleisti jautrius naudotojo duomenis, įskaitant naudotojo vardus, slaptažodžius ir asmeninius pranešimus, kurie bus pateikti pasauliui paprastu tekstu. Bet kaip ši problema yra didelė ir ką turėtumėte daryti?

Kas yra „Cloudflare“?

„Cloudflare“ yra paslauga, kuri siūlo saugumo ir našumo funkcijas (be kita ko) plačiam tinklų tinklui. Jis veikia kaip atvirkštinis tarpininkas, tarpininkas tarp jūsų ir vartotojo bei konkrečios svetainės. Kai einate aplankyti šią svetainę, vietoj realių svetainės serverių būsite nukreipti į vieną iš „Cloudflare“ serverių.

Tai leidžia „Cloudflare“ užtikrinti, kad esate teisėtas vartotojas (tokiu būdu apsaugodamas nuo atleidimo nuo paslaugų teikimo atakų), įkelkite svetainę greičiau (nes jie išsaugojo tam tikras svetainės dalis) ir apsaugo nuo prastovų (nes jie turi daug serverių visame pasaulyje ir gali sugrįžti į bet kurį serverį, jei yra problemų).

„Cloudflare“ užtikrina, kad „DDoS“ atakuotojai nepatektų srauto į faktinę svetainę.

Trumpai tariant, „Cloudflare“ tikslas - padaryti svetaines greitesnes ir saugesnes.

Kas nutiko? (Ir kas yra „debesuota“)

Deja, niekas nėra 100% saugus, net jei svetainė naudoja paslaugą, pvz., „Cloudflare“, ir įvyksta klaidų. Šiuo atveju „Cloudflare“ iš tikrųjų sukelia saugumo problema: atvirkštinio proxy kodo klaida, kuri analizuoja HTML, „Cloudflare“ serverius tam tikromis aplinkybėmis nutekėjo atminties turiniu. (Kai kurie žmonės tai vadina „Cloudbleed“, „Heartbleed“ klaidos žaidimu, kuris taip pat paveikė didelę interneto dalį.)

Šie duomenys galėjo apimti visų rūšių slaptus duomenis, įskaitant naudotojų vardus, slaptažodžius, asmeninius pranešimus, „OAuth“ žetonus ir daug daugiau. Dar blogiau, kai kurie iš šių duomenų buvo indeksuoti ir talpinami kai kuriose paieškos sistemose (apie 700 puslapių, pagal „Cloudflare“), todėl, jei žinojote, ką ieškoti „Google“, galite rasti slaptų duomenų iš naudotojų, prisijungusių tam tikro nutekėjimas.

Jei žinote, ką ieškoti, galite rasti „Cloudflare“ nutekėjusios informacijos apie paieškos sistemas.

Ši klaida buvo neatpažinta maždaug penkis mėnesius, o po šios savaitės buvo atrasta. „Cloudflare“ teigia, kad „didžiausias poveikio laikotarpis buvo nuo vasario 13 d. Iki vasario 18 d., Maždaug per vieną iš 3,300,000 HTTP užklausų per„ Cloudflare “, dėl kurių gali atsirasti atmintis (tai yra apie 0,00003% užklausų).“

Tačiau paslauga yra tokia pat populiari kaip „Cloudflare“, tačiau 0,00003% vis dar yra daug. Kai kurie žmonės rengia svetainių, kuriose naudojamas „Cloudflare“, sąrašą ir apima daugiau kaip 4 mln. Domenų, įskaitant „Yelp“, „OkCupid“, „Uber“, „Authy“, „Medium“ ir daugelį kitų. (Taip pat veikia kai kurios mobiliosios programos.)

Daugiau apie šios klaidos technines detales galite perskaityti „Cloudflare“ tinklaraštyje, nors tikriausiai tik jus domina, jei esate programuotojas, jei esate reguliarus interneto vartotojas, vienintelis dalykas, kurį reikia žinoti, yra…

Ką turėčiau daryti?

Pirma: nesijaudinkite per daug. Ne kiekvienoje toje 4 milijonų neišvengiamai išleistoje slaptoje informacijoje - jei svetainė buvo tiesiog naudojusi „Cloudflare“, kad talpintų vaizdo duomenis, pavyzdžiui, nebūtų jokios jautrios informacijos nutekėjimui. Ir ne taip, kaip kiekvienas nutekėjimas buvo pagrindinis slaptažodžių sąrašas - tai buvo atsitiktinė informacija, kuri gali įtraukėte keletą atsitiktinių naudotojų vardų ir slaptažodžių bet kuriuo metu.

Tačiau „Cloudflare“ taip pat pažymėjo, kad vienas iš jų privačių raktų buvo nutekėjęs, o tai būtų suteikusi prieglobstį prieigai prie daugelio vidinių „Cloudflare“ duomenų, įskaitant potencialius naudotojų vardus ir slaptažodžius. „Cloudflare“ buvo ypač neaiški dėl šio konkretaus klausimo, nepaisant to, kad tai buvo didelė saugumo rizika, galinti nutekėti daug jautresnės informacijos

Visa tai pasakė, nėra jokio realaus būdo pasakyti, ar bet koks jūsų duomenų nutekėjimas ir kur, todėl vienintelis saugus veiksmų būdas dabar yra pakeisti visus slaptažodžius. (Žinoma, galėtumėte peržiūrėti 4 milijonų svetainių sąrašą ir keisti tik „Cloudflare“ naudojamus, bet sąžiningai tai tikriausiai būtų lengviau ir greičiau juos pakeisti.)

Čia taikomos įprastos taisyklės su slaptažodžiais: nenaudokite to paties slaptažodžio keliose svetainėse, naudokite slaptažodžių tvarkyklę, pvz., „LastPass“, ir įjunkite dviejų veiksnių autentifikavimą kiekvienai svetainei, kuri ją leidžia. Jei nedarote šių dalykų, „Cloudflare“ klaida greičiausiai yra mažiausiai jūsų rūpesčių, nes svetainės visuomet įsilaužtos, o jei naudojate tą patį slaptažodį visur, visi jūsų duomenys yra reguliariai rizikuojami.

Jei jau naudojatės slaptažodžių valdytoju, šis procesas turėtų būti paprastas (jei truputį ilgas ir nuobodu). Bet jūs turite būti pripratę prie šito šokio.