Cos'è Cloudflare e ha davvero perso i miei dati su Internet?

Negli ultimi mesi, un bug nel famoso servizio Cloudflare potrebbe aver esposto al mondo i dati sensibili dell'utente, inclusi nomi utente, password e messaggi privati, in testo semplice. Ma quanto è grande questo problema e cosa dovresti fare?

Cos'è Cloudflare?

Cloudflare è un servizio che offre funzionalità di sicurezza e prestazioni (tra le altre cose) a un'ampia rete di siti Web. Agisce come proxy inverso, un intermediario tra te, l'utente e un determinato sito web. Quando vai a visitare quel sito, verrai indirizzato a uno dei server di Cloudflare invece dei server del sito reale.

Ciò consente a Cloudflare di essere un utente legittimo (proteggendo così dagli attacchi di tipo denial of service), caricare il sito più rapidamente (poiché ha memorizzato nella cache alcune parti del sito) e proteggersi dai tempi di inattività (poiché hanno più server in tutto il mondo e può ricadere su qualsiasi server se si ha un problema).

Cloudflare assicura che gli aggressori DDoS non raggiungano il loro traffico attraverso il sito web attuale.

In breve: Cloudflare mira a rendere i siti più veloci e più sicuri, ed è un servizio utilizzato da molti siti web.

Quello che è successo? (E cosa è "Cloudbleed?")

Sfortunatamente, nulla è sicuro al 100%, anche se un sito utilizza un servizio come Cloudflare e si verificano errori. In questo caso, Cloudflare in realtà causato un problema di sicurezza: un bug nel codice del proxy inverso che analizza l'HTML ha causato la perdita del contenuto della sua memoria da parte dei server Cloudflare in determinate circostanze. (Alcune persone si riferiscono a questo come "Cloudbleed", un gioco del bug Heartbleed che ha colpito anche gran parte di Internet.)

Questi dati potrebbero includere tutti i tipi di dati sensibili, inclusi nomi utente, password, messaggi privati, token OAuth e molto altro. Ancora peggio, alcuni di quei dati sono stati indicizzati e memorizzati nella cache da alcuni motori di ricerca (circa 700 pagine, secondo Cloudflare), quindi se sapessi cosa cercare su Google, potresti trovare dati sensibili dagli utenti che accedono al momento di uno specifico perdita.

Se sai cosa cercare, potresti trovare alcune delle informazioni trapelate da Cloudflare sui motori di ricerca.

Questo bug è stato scoperto per circa cinque mesi, ed è stato riparato dopo essere stato scoperto questa settimana. Cloudflare afferma che "il più grande periodo di impatto è stato dal 13 febbraio e 18 febbraio con circa 1 ogni 3.300.000 richieste HTTP attraverso Cloudflare potenzialmente con conseguente perdita di memoria (che è circa lo 0,00003% delle richieste)."

Ma con un servizio tanto popolare come Cloudflare, lo 0,00003% è ancora molto. Alcuni hanno compilato un elenco di siti che utilizzano Cloudflare e comprendono oltre 4 milioni di domini, tra cui Yelp, OkCupid, Uber, Authy, Medium e molti altri ancora. (Anche alcune app mobili sono interessate).

Puoi leggere di più sui dettagli tecnici di questo bug sul blog di Cloudflare, anche se probabilmente ti interesserà solo se sei un programmatore: se sei un normale utente di Internet, l'unica cosa che devi sapere è ...

Cosa dovrei fare?

Primo: non preoccuparti troppo. Non tutti i siti su tale elenco di 4 milioni hanno necessariamente divulgato informazioni sensibili: se un sito utilizzava semplicemente Cloudflare per memorizzare nella cache i dati delle immagini, ad esempio, non ci sarebbero informazioni riservate a perdita. E non è che ogni perdita fosse comunque un elenco completo di password: erano pezzi di informazione casuali, che poteva ho incluso alcuni nomi utente e password casuali in un dato momento.

Tuttavia, Cloudflare ha anche notato che una delle proprie chiavi private era trapelata, il che avrebbe consentito a un utente malintenzionato di accedere a molti dati interni di Cloudflare, inclusi potenzialmente nomi utente e password. Cloudflare era estremamente vago su questo particolare punto, nonostante fosse un grosso rischio per la sicurezza con la possibilità di divulgare molte più informazioni sensibili

Detto questo, non c'è un modo reale per sapere se qualcuno dei tuoi dati è trapelato e dove, quindi l'unica linea di condotta sicura ora è cambia tutte le tue password. (Certo, potresti guardare attraverso la lista di 4 milioni di siti e cambiare solo quelli usati da Cloudflare, ma onestamente, sarebbe probabilmente più facile e veloce cambiarli tutti.)

Le consuete regole con password si applicano qui: non utilizzare la stessa password su più siti, utilizzare un gestore di password come LastPass e attivare l'autenticazione a due fattori per ogni sito che lo consente. Se non stai facendo queste cose, il bug di Cloudflare è probabilmente l'ultima delle tue preoccupazioni: dopo tutto, i siti vengono hackerati continuamente e se stai usando la stessa password ovunque, tutti i tuoi dati sono regolarmente a rischio.

Se stai già utilizzando un gestore di password, questa procedura dovrebbe essere semplice (se un po 'lunga e noiosa). Ma dovresti essere abituato a questo ballo ormai.