Меню Затваряне

Какво по дяволите е Cloudbleed?

От няколко дни почти всички в сферата на информационната сигурност говорят за Cloudbleed – уязвимост в Cloudflare, която позволява изтичането на лични данни като имейли, пароли, чат съобщения между потребители и т.н.

Да започнем от начало. Cloudflare е услуга, която се предлага на собствениците на уебсайтове. Основната цел на услугата е да ускорява работата на уебсайта и да го предпазва от различни видове опасности като например DDOS атаки.

Cloudflare е изключително популярна – използва се от най-големите интернет компании по света, предлага се като партньорска услуга и от българските хостинг компании. Според прогноза на един от клиентите на Cloudflare – Monzo, услугата обслужва около 10% от целия интернет трафик по света.

Всичко върви по мед и масло до средата на февруари 2017 г., когато екип на Google случайно открива, че в системата на Clodflare има бъг. Този бъг позволява изтичане на чувствителна информация – до такава степен, че тази информаци дори би могла да бъде кеширана от интернет търсачките. Тавис Орманди – един от хората, открили проблема, разказва, че ситуацията била толкова сериозна, че си отменил дори неделните уговорки, за да работи по решаването й. „Открих съобщения между потребители на водещи сайтове за запознанства, съобщения от потребители на популярен месинджър, данни от онлайн базиран мениджър на пароли, данни от порнографски сйтове и сайтове за хотелски резервации – разказва Орманди – Говорим за https заявки, IP адреси на клиенти, кукита, пароли, данни, всичко“

Въпреки че идеята да откриеш паролата си в някоя търсачка се преглъща трудно, в каква степен тя е реалистична и трябва ли да сменяте паролите си за всичките си акаунти? Към момента това все още не е съвсем ясно. Вече може да се намери неофициален списък със сайтове, които вероятно са засегнати от този бъг. Не успях да открия масово ползвани в България сайтове, но списъкът е голям и не гарантирам, че не съм пропуснал някой такъв.

Затова като собственик на уебсайт реших да попитам хостинг компанията Superhosting, на която съм клиент, дали трябва да се притеснявам. Ето какво ми казаха: „Посоченият от Вас бъг Cloudbleed засяга външната услуга Cloudflare, като той е навременно коригиран от компанията. Направихме проверка като виждаме, че с Вашия имейл няма асоциирани услуги, които да използват Cloudflare, като не е необходимо да променяте използваните от Вас пароли.“

От ICN, друга голяма хостинг компания, също ми казаха, че няма за какво толкова да ми настръхват космите по ръцете (между другото и двете фирми реагираха доста бързо на въпросите ми: в рамките на час след 6:30 в съботна сутрин). „Целият шум, който се вдига в момента спрямо тази ситуация, е, че има изложен списък с много големи сайтове, които участват в него – казват от ICN – Но дали е необходимо да се сменят паролите и да се притесняваме от нещо друго? Както авторът на този списък е споделил „това, че може Вашият сайт да се намира в този списък не означава, че сайтът Ви е изложен на риск или че ще бъде компрометиран. Но ако решите да смените всичките си пароли, свързани с определените Ви сайтове/услуги, които използват cloudflare и за да се чувствате спокойно, то ще бъде глупаво да ви спра.“ В този ред на мисли, в случай, че имате притеснения, може да направите промяна на паролите си за достъп администраторските Ви части, както и до услугата към Cloudflare.“

За вас като потребител Cloudbleed би могъл теоретично да е довел до теч на лични данни, ако имате профил в някой от сайтовете, които са засегнати от бъга. Например ако използвате OKCupid, част от данните ви в профила биха могли да са се озовали някъде из кеша на търсачките. Тъй като проблемът е съвсем нов, все още няма ясна представа какви са последствията и дали изобщо ще има такива за някого.

Аз не съм голям разбирач, но според хора, които повече разбират от мен, Cloudbleed донякъде наподобява Heartbleed, който се появи през 2014 г. Който следи темата вероятно си спомня как тогава всички се втурнаха да сменят пароли на поразия. Тогава теста за уязвимост към Heartbleed не издържаха сайтовете на няколко български банки, както и най-популярната българска имейл услуга. После се появи пачната версия на OpenSSL и всички минаха към нея, като така и не се появи информация за негативни последствия от Heartbleed.

Related Posts

Вашият коментар

Вашият имейл адрес няма да бъде публикуван. Задължителните полета са отбелязани с *