Co je Cloudflare, a to opravdu uniklo mé údaje po celém internetu?

Během posledních několika měsíců mohla chyba v populární službě Cloudflare vystavit citlivé uživatelské údaje - včetně uživatelských jmen, hesel a soukromých zpráv - světu prostému textu. Ale jak velký je tento problém a co byste měli dělat?

Co je Cloudflare?

Cloudflare je služba, která nabízí bezpečnostní a výkonnostní funkce (mimo jiné) široké síti webových stránek. Funguje jako reverzní proxy, prostředník mezi vámi - uživatelem a danou webovou stránkou. Když navštívíte tuto stránku, budete namísto serverů skutečné stránky směrováni na jeden z serverů služby Cloudflare.

To umožňuje Cloudflare zajistit, že jste oprávněný uživatel (čímž chráníte proti útokům s odmítnutím služby), rychleji načítat web (protože jste uložili do mezipaměti určité části webu) a chránit před prostojem (protože mají více serverů po celém světě a může klesnout na libovolný server, pokud máte problém).

Cloudflare zajišťuje, že útočníci DDoS nedostanou svůj provoz na vlastní webové stránky.

Stručně řečeno: Služba Cloudflare má za cíl rychlejší a bezpečnější stránky a je to služba, kterou využívají mnoho webů.

Co se stalo? (A co je "Cloudbleed?")

Naneštěstí nic není 100% bezpečné, i když web používá službu jako Cloudflare a chyby se stávají. V tomto případě vlastně Cloudflare způsobené bezpečnostní problém: chyba v reverzním proxy kódu, který analyzuje HTML způsobil Cloudflare servery k úniku obsahu jeho paměti za určitých okolností. (Někteří lidé se o tom mluví jako o "Cloudbleed", což je play off Heartbleed chyba, která postihla také velkou část internetu.)

Tato data by mohla obsahovat všechny druhy citlivých dat, včetně uživatelských jmen, hesel, soukromých zpráv, tokenů OAuth a mnohem více. Ještě horší je, že některé z těchto dat byly indexovány a ukládány do mezipaměti některými vyhledávači (podle Cloudflare asi 700 stran), takže pokud jste věděli, co hledat na Googlu, můžete najít citlivé údaje od uživatelů, kteří se přihlásí v době určitého únik.

Pokud víte, co hledat, můžete najít některé z unikátních informací společnosti Cloudflare o vyhledávačích.

Tato chyba se neobjevila asi pět měsíců a poté, co byla objevena tento týden, byla zpopelněna. Cloudflare říká, že "největší období dopadu bylo od 13. února a 18. února s přibližně 1 z každých 3.300.000 HTTP požadavků přes Cloudflare potenciálně vedoucí k úniku paměti (to je asi 0.00003% žádostí)."

Ale se službou tak populární jako Cloudflare, 0.00003% je stále hodně. Někteří lidé sestavili seznam stránek, které používají službu Cloudflare, a zahrnují více než 4 miliony domén - včetně Yelp, OkCupid, Uber, Authy, Medium a mnoho dalších. (Některé mobilní aplikace jsou také ovlivněny.)

Další informace o technických podrobnostech této chyby najdete na blogu Cloudflare, i když vás pravděpodobně zajímá pouze pokud jste programátor - pokud jste pravidelným uživatelem internetu, jediná věc, kterou potřebujete vědět je ...

Co bych měl dělat?

Za prvé: nemusíte příliš panicovat. Ne každá ze stránek na tomto seznamu 4 milionů nutně unikla citlivým informacím - pokud by stránky používaly pouze Cloudflare pro ukládání dat do mezipaměti, například by nebyly žádné citlivé informace k úniku. A není to, jako by každý únik byl hlavní seznam hesel - byl to náhodný kus informací, což mohl zahrnovali v libovolném okamžiku několik náhodných uživatelských jmen a hesel.

Cloudflare však také poznamenal, že byl propuštěn jeden z jeho vlastních soukromých klíčů, což by útočníkovi umožnilo přístup k mnoha vnitřním datům Cloudflare - včetně potenciálních uživatelských jmen a hesel. Cloudflare byl o tomto konkrétním bodě nesmírně vágní, přestože představuje velké bezpečnostní riziko s potenciálem vyléčit mnohem citlivější informace

Všechno, co bylo řečeno, neexistuje žádný skutečný způsob, jak zjistit, zda některá z vašich dat unikla a kde, takže jediný bezpečný postup právě teď je změňte všechna hesla. (Jasně, můžete se podívat na seznam 4 milionů stránek a změnit pouze ty, které používá Cloudflare, ale upřímně řečeno, asi by bylo jednodušší a rychlejší je jednoduše změnit všechny.)

Obvykle platí pravidla s hesly: nepoužívejte stejné heslo na více webech, použijte správce hesel jako je LastPass a zapněte dvoufaktorovou autentizaci pro každou stránku, která to povoluje. Pokud tyto věci neděláte, chyba Cloudflare je pravděpodobně nejmenší z vašich starostí - koneckonců, stránky jsou neustále hackovány a pokud používáte všude stejné heslo, jsou všechna vaše data pravidelně ohrožena.

Pokud již používáte správce hesel, měl by být tento proces snadný (pokud je trochu dlouhý a nudný). Ale teď byste měl být zvyklý na tento tanec.