In de afgelopen paar maanden, een bug in de populaire Cloudflare dienst kan zijn blootgesteld gevoelige gegevens van de gebruiker—zoals gebruikersnamen, wachtwoorden en persoonlijke berichten—om de wereld in de platte tekst. Maar hoe groot is dit probleem en wat moet je doen?
Wat Is Cloudflare?
Cloudflare is een service die het biedt veiligheid en prestatie-eigenschappen (onder andere) aan een breed netwerk van websites. Het werkt als een omgekeerde proxy, een tussenpersoon tussen u, de gebruiker, en een website. Als je gaat om die site te bezoeken, wordt u omgeleid naar een van de Cloudflare servers in plaats van de feitelijke locatie van de servers.
Dit zorgt Cloudflare voor te zorgen dat je een legitieme gebruiker (dus de bescherming tegen denial-of-service-aanvallen), het laden van de site sneller (want ze hebben in de cache bepaalde delen van de site), en te beschermen tegen downtime (omdat ze meerdere servers wereldwijd en terug kunnen vallen op een server als men een probleem heeft).
Cloudflare zorgt voor een DDoS-aanvallers niet hun verkeer door naar de daadwerkelijke website.
In het kort: Cloudflare heeft als doel om websites sneller en veiliger, en het is een service die een heleboel websites te gebruiken.
Wat Is Er Gebeurd? (En Wat Is “Cloudbleed?”)
Helaas, niets is 100% veilig, zelfs als een website gebruik maakt van een dienst als Cloudflare, en komen er bugs voor. In dit geval, Cloudflare eigenlijk veroorzaakt een security probleem: door een fout in de reverse proxy code die parseren van HTML veroorzaakt Cloudflare servers lekkage van de inhoud van het geheugen in bepaalde omstandigheden. (Sommige mensen verwijzen naar dit als “Cloudbleed”, een toneelstuk uit de Heartbleed bug die ook gevolgen had voor een groot deel van het internet.)
Dit kunnen gegevens zijn opgenomen van alle soorten gevoelige gegevens zoals gebruikersnamen, wachtwoorden, persoonlijke berichten, OAuth-tokens, en veel meer. Erger nog, sommige van die gegevens zijn geïndexeerd en opgeslagen door sommige zoekmachines (ongeveer 700 pagina ‘ s, volgens Cloudflare), dus als je wist wat te zoeken op Google, kon je gevoelige gegevens van gebruikers loggen in op het moment van een specifieke lek.
Als je weet wat te zoeken, kon je een van Cloudflare de gelekte informatie op zoekmachines.
Deze fout ging onontdekte voor ongeveer vijf maanden, en werd opgelapt na ontdekking van deze week. Cloudflare zegt: “de grootste periode van invloed was van 13 februari en 18 februari tot en met ongeveer 1 in elke 3,300,000 HTTP verzoeken door Cloudflare kan resulteren in het geheugen lekkage (dat is ongeveer 0.00003% van de aanvragen).”
Maar met een service zo populair als Cloudflare, 0.00003% is nog steeds veel. Sommige mensen zijn het opstellen van een lijst van sites die gebruikmaken van Cloudflare, en het omvat meer dan 4 miljoen domeinen—zoals Yelp, OkCupid, Uber, Authy, Medium, en nog veel meer. (Sommige mobiele apps worden beïnvloed.)
U kunt meer lezen over de technische details van deze bug op Cloudflare ‘ s blog, maar het zal waarschijnlijk alleen interesse als je een programmeur bent—als je een regelmatige gebruiker van internet, het enige wat je hoeft te weten is…
Wat Moet Ik Doen?
Ten eerste: raak niet in paniek te veel. Niet elke site op de lijst van 4 miljoen per se gelekt gevoelige informatie—als een site was gewoon gebruik van Cloudflare in de cache image data, bijvoorbeeld, zou er geen gevoelige informatie te lekken. En het is niet zo dat elk lek was een master lijst van wachtwoorden toch—het willekeurig stukjes informatie, die kan een paar willekeurige gebruikersnamen en wachtwoorden op een gegeven moment.
Echter, Cloudflare ook opgemerkt dat één van hun eigen toetsen werd gelekt, waardoor een aanvaller toegang tot veel interne Cloudflare gegevens—waaronder mogelijk, gebruikersnamen en wachtwoorden. Cloudflare was erg vaag over dit specifieke punt, ondanks dat het een groot gevaar voor de veiligheid met de mogelijke lekkage van een veel meer gevoelige informatie
Dat gezegd hebbende, er is geen echte manier om te vertellen als uw gegevens gelekt is en waar, dus de enige veilige koers van actie nu is om al uw wachtwoorden. (Zeker, je zou kunnen kijken door de lijst van 4 miljoen sites en alleen te wijzigen die wordt gebruikt door Cloudflare, maar om eerlijk te zijn, zou het waarschijnlijk makkelijker en sneller om gewoon wijzigen.)
De gebruikelijke regels met wachtwoorden zijn hier van toepassing: gebruik niet hetzelfde wachtwoord op meerdere websites, gebruik van een password manager zoals LastPass, en zet twee-factor authenticatie voor elke site die het mogelijk maakt. Als u niet deze dingen te doen, de Cloudflare fout is waarschijnlijk het minste van uw zorgen—na alle, sites gehackt alle de tijd, en als je gebruikt overal hetzelfde wachtwoord, al uw gegevens regelmatig in gevaar.
GERELATEERDE ARTIKELEN
Waarom Moet U een Wachtwoord Manager, en Hoe je aan de Slag
Wat Is Twee-Factor Authenticatie, en Waarom Heb ik Het Nodig?
Als je al gebruik van een password manager, dit proces moet makkelijk (als het een beetje lang en saai). Maar je moet worden gebruikt om deze dans van nu.