Cloudflare คืออะไรและมันรั่วข้อมูลของฉันไปทั่วอินเทอร์เน็ตจริงๆหรือ?

ในช่วงสองสามเดือนที่ผ่านมาข้อผิดพลาดในบริการ Cloudflare ยอดนิยมอาจเปิดเผยข้อมูลผู้ใช้ที่มีความละเอียดอ่อนรวมถึงชื่อผู้ใช้รหัสผ่านและข้อความส่วนตัวถึงโลกในรูปแบบข้อความล้วน แต่ปัญหานี้ใหญ่แค่ไหนและคุณควรทำอย่างไร?

Cloudflare คืออะไร?

Cloudflare เป็นบริการที่นำเสนอคุณลักษณะด้านความปลอดภัยและประสิทธิภาพ (เหนือสิ่งอื่นใด) ไปยังเครือข่ายเว็บไซต์ที่กว้างขวาง มันทำหน้าที่เป็นพร็อกซี่ย้อนกลับคนกลางระหว่างคุณกับผู้ใช้และเว็บไซต์ที่กำหนด เมื่อคุณไปที่ไซต์นั้นคุณจะถูกนำไปยังหนึ่งในเซิร์ฟเวอร์ของ Cloudflare แทนที่จะเป็นเซิร์ฟเวอร์ของไซต์จริง.

สิ่งนี้จะช่วยให้ Cloudflare รับรองว่าคุณเป็นผู้ใช้ที่ถูกต้อง (เช่นป้องกันการปฏิเสธการโจมตีบริการ) โหลดเว็บไซต์เร็วขึ้น (เนื่องจากแคชบางส่วนของไซต์) และป้องกันการหยุดทำงาน (เนื่องจากมีเซิร์ฟเวอร์หลายแห่งทั่วโลกและ สามารถถอยกลับบนเซิร์ฟเวอร์ใด ๆ หากมีปัญหา).

Cloudflare ทำให้ผู้โจมตี DDoS ไม่ได้รับปริมาณข้อมูลผ่านเว็บไซต์จริง.

กล่าวโดยย่อ: Cloudflare มุ่งหวังที่จะทำให้เว็บไซต์เร็วขึ้นและปลอดภัยยิ่งขึ้นและเป็นบริการที่เว็บไซต์จำนวนมากใช้.

เกิดอะไรขึ้น? (และ "Cloudbleed คืออะไร")

น่าเสียดายที่ไม่มีสิ่งใดปลอดภัย 100% แม้ว่าเว็บไซต์จะใช้บริการเช่น Cloudflare และมีข้อบกพร่องเกิดขึ้น ในกรณีนี้ Cloudflare จริง ก่อให้เกิดความ ปัญหาด้านความปลอดภัย: ข้อผิดพลาดในรหัสพร็อกซีย้อนกลับที่แยกวิเคราะห์ HTML ทำให้เซิร์ฟเวอร์ของ Cloudflare รั่วเนื้อหาของหน่วยความจำในบางสถานการณ์ (บางคนอ้างถึงสิ่งนี้ว่า "Cloudbleed" ซึ่งเป็นข้อบกพร่องของ Heartbleed ที่ส่งผลกระทบต่ออินเทอร์เน็ตเป็นส่วนใหญ่)

ข้อมูลนี้อาจรวมข้อมูลที่ละเอียดอ่อนทุกประเภทรวมถึงชื่อผู้ใช้รหัสผ่านข้อความส่วนตัวโทเค็น OAuth และอีกมากมาย ยิ่งไปกว่านั้นข้อมูลบางส่วนได้รับการจัดทำดัชนีและถูกแคชโดยเครื่องมือค้นหาบางอย่าง (ประมาณ 700 หน้าตาม Cloudflare) ดังนั้นหากคุณรู้ว่าจะค้นหาอะไรใน Google คุณสามารถค้นหาข้อมูลที่ละเอียดอ่อนจากผู้ใช้ที่เข้าสู่ระบบในเวลาที่กำหนด รั่ว.

หากคุณรู้ว่าต้องค้นหาอะไรคุณสามารถค้นหาข้อมูลรั่วไหลของ Cloudflare บางส่วนในเครื่องมือค้นหา.

ข้อผิดพลาดนี้ยังไม่ได้เปิดเป็นเวลาประมาณห้าเดือนและได้รับการแก้ไขหลังจากถูกค้นพบในสัปดาห์นี้ Cloudflare กล่าวว่า“ ช่วงเวลาที่มีผลกระทบมากที่สุดคือตั้งแต่วันที่ 13 กุมภาพันธ์และ 18 กุมภาพันธ์โดยมีประมาณ 1 ครั้งในทุกคำขอ HTTP 3,300,000 ผ่าน Cloudflare ซึ่งอาจส่งผลให้เกิดการรั่วไหลของหน่วยความจำ (นั่นคือประมาณ 0.00003% ของคำขอ)”

แต่ด้วยบริการที่ได้รับความนิยมเท่ากับ Cloudflare ทำให้ 0.00003% ยังคงเป็นอย่างมาก บางคนรวบรวมรายการเว็บไซต์ที่ใช้ Cloudflare และมีโดเมนมากกว่า 4 ล้านโดเมนรวมถึง Yelp, OkCupid, Uber, Authy, Medium และอีกมากมาย (แอพมือถือบางตัวได้รับผลกระทบเช่นกัน)

คุณสามารถอ่านเพิ่มเติมเกี่ยวกับรายละเอียดทางเทคนิคของบั๊กนี้ได้ที่บล็อกของ Cloudflare แม้ว่ามันอาจจะน่าสนใจสำหรับคุณถ้าคุณเป็นโปรแกรมเมอร์ - ถ้าคุณเป็นผู้ใช้อินเทอร์เน็ตปกติสิ่งเดียวที่คุณต้องรู้ก็คือ ...

ฉันควรทำอย่างไร?

ครั้งแรก: อย่าตกใจมากเกินไป ไม่ใช่ทุกไซต์ในรายการที่มีข้อมูลสำคัญถึง 4 ล้านรายการถ้าไซต์เพิ่งใช้ Cloudflare เพื่อแคชข้อมูลรูปภาพตัวอย่างเช่นจะไม่มีข้อมูลที่สำคัญต่อการรั่วไหล และมันก็ไม่เหมือนกันกับการรั่วไหลแต่ละครั้งเป็นรายการรหัสผ่านหลัก - มันเป็นข้อมูลแบบสุ่มซึ่ง ได้ ได้รวมชื่อผู้ใช้และรหัสผ่านแบบสุ่มไม่กี่รายการในเวลาที่กำหนด.

อย่างไรก็ตาม Cloudflare ยังตั้งข้อสังเกตว่าหนึ่งในคีย์ส่วนตัวของพวกเขาเองรั่วไหลซึ่งจะทำให้ผู้โจมตีเข้าถึงข้อมูล Cloudflare ภายในจำนวนมากรวมถึงชื่อผู้ใช้และรหัสผ่าน Cloudflare นั้นคลุมเครืออย่างมากเกี่ยวกับประเด็นนี้แม้จะเป็นความเสี่ยงด้านความปลอดภัยที่สำคัญพร้อมกับโอกาสที่จะรั่วไหลข้อมูลที่ละเอียดอ่อนมากขึ้น

ทั้งหมดที่กล่าวมาไม่มีทางที่จะบอกได้เลยว่าข้อมูลของคุณรั่วไหลหรือไม่และที่ไหนดังนั้นวิธีการที่ปลอดภัยเพียงอย่างเดียวในตอนนี้ก็คือ เปลี่ยนรหัสผ่านทั้งหมดของคุณ. (แน่นอนว่าคุณสามารถดูรายการของเว็บไซต์ 4 ล้านไซต์และเปลี่ยนเฉพาะไซต์ที่ใช้โดย Cloudflare แต่โดยสุจริตอาจเป็นเรื่องง่ายและเร็วกว่าที่จะเปลี่ยนแปลงไซต์ทั้งหมด)

กฎปกติพร้อมรหัสผ่านจะใช้ที่นี่: อย่าใช้รหัสผ่านเดียวกันกับหลาย ๆ ไซต์ใช้ตัวจัดการรหัสผ่านเช่น LastPass และเปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัยสำหรับทุกไซต์ที่อนุญาต หากคุณไม่ได้ทำสิ่งเหล่านี้ข้อผิดพลาดของ Cloudflare น่าจะเป็นสิ่งที่คุณกังวลน้อยที่สุดเว็บไซต์ต่างๆถูกแฮ็คตลอดเวลาและหากคุณใช้รหัสผ่านเดียวกันทุกที่ข้อมูลของคุณจะมีความเสี่ยงเป็นประจำ.

หากคุณใช้ตัวจัดการรหัสผ่านอยู่แล้วกระบวนการนี้ควรจะง่าย (ถ้ายาวไปหน่อยและน่าเบื่อ) แต่ตอนนี้คุณควรคุ้นเคยกับการเต้นนี้แล้ว.