Cloudbleed: Bununla nasıl baş edilir?

Google’ın Proje Sıfırından Tavis Ormandy (Tavis Ormandy), Cloudflare Internet altyapısı hizmetinde büyük bir güvenlik açığı olduğunu ortaya çıkardı. Temel olarak, Cloudflare destekli sitelere yapılan web istekleri, diğer Cloudflare destekli sitelerden rastgele bilgiler içeren cevaplar aldı! Bu bilgiler potansiyel olarak gizli bilgiler (buluşma sitelerinde özel mesajlar, e-postalar), kullanıcı kimliği bilgileri (Kişisel Olarak Tanımlama Bilgileri (PII) ve potansiyel olarak sağlık bağlamında, Korumalı Sağlık Bilgileri (PHI) veya kullanıcı, uygulama veya cihaz bilgileri) içerebilir. (şifreler, API anahtarları, kimlik doğrulama belirteçleri vb.)

Hem Project Zero hem de Cloudflare hemen harekete geçti. Hata, 2017-23–17 arasında bildirildi ve bir saat içinde azaltma gerçekleşti. 2017-22 - 23 arasında kamuya açık bildirim yapıldı.

Süre (2016–09–22 - 2017–02–20) ve maruz kalan bilgilerin genişliği çok büyük - Cloudflare ağında 2 milyondan fazla web sitesine sahip ve bunlardan herhangi birinin verileri potansiyel olarak gösteriliyor. Cloudflare, fiili etkinin nispeten küçük olduğunu belirtti, bu yüzden sadece sınırlı miktarda bilginin gerçekten yayıldığına inanıyorum. Temel olarak, geniş veri yelpazesi potansiyel olarak riskliydi, ancak herhangi bir veri parçasına olan risk çok düşüktü. Ne olursa olsun, verilerinizin tehlikeye atılmadığı kesin olarak gösterilmediği sürece, tehlikeye girme ihtimalinin göz önüne alınması yerinde olacaktır.

Cloudflare’nin servisi bu hatayı gidermek için hızlı bir şekilde eklenirken, veriler bu noktadan önce sürekli sızıyordu - aylarca. Bu verilerin bir kısmı Google gibi arama motorlarında genel olarak önbelleğe alındı ​​ve kaldırılıyor. İnternet'teki diğer önbelleklerde ve hizmetlerde başka veriler mevcut olabilir ve açık bir şekilde tüm bu konumlar arasında silinmeyi koordine etmek mümkün değildir. Her zaman kötü niyetli birinin bu güvenlik açığını bağımsız olarak ve Tavis'ten önce keşfettiği ve aktif olarak sömürdüğü bir potansiyel vardır, ancak bu teoriyi destekleyecek kanıt yoktur. Ne yazık ki, kesin olarak yanlış anlaşılması da zordur.

Sızan en hassas bilgi kimlik doğrulama bilgisi ve kimlik bilgisidir. Bu verilerin bir uzlaşması, kimlik bilgileri iptal edilip değiştirilene kadar kalıcı ve devam eden sonuçlara yol açabilir.

Bireysel bakış açısına göre bu basittir - en etkili azaltma şifrelerinizi değiştirmektir. Bu gerekli olmamakla birlikte tüm olasılıklar açıkken (bu olayla ilgili şifrelerinizin ortaya çıkması pek mümkün değildir), hem bu potansiyel uzlaşmadan hem de daha birçok olası güvenlik sorunundan güvenliğinizi kesinlikle artıracaktır. Cloudflare, en büyük tüketici web servislerinin çoğunun arkasında (Uber, Fitbit, OKCupid,…), dolayısıyla hangi hizmetlerin Cloudflare'da olduğunu belirlemeye çalışmak yerine, en temkinli, bunu tüm sitelerinizdeki TÜM şifreleri döndürmek için bir fırsat olarak kullanmaktır. . Birincil yararı, bu olayla ilgili olmayan tehditlerden olsa da, bu, güvenliğinizi artıracaktır.

(Her uygulama için benzersiz, her şifre için uzun bir rasgele dize kullanmak ve bu koleksiyonu 1Password, LastPass veya modern web tarayıcılarındaki yerleşik şifre yöneticileri gibi bir “şifre yöneticisi” kullanarak yönetmek. Ayrıca bu güncellemeden sonra oturumu kapatıp mobil uygulamalarına giriş yapmalısınız.Bunu yaparken, önemli olduğunu düşündüğünüz sitelerde 2FA veya 2SV kullanmak (TOTP / Google Authenticator veya U2F gibi bir şey kullanarak) mümkün güvenlik yükseltmesi de.)

Cloudflare kullanan site operatörleri için: yıkıcı olabilirken, kullanıcılarınız üzerindeki etkiyi ciddi şekilde düşünmelisiniz. Bu olayı, olay işleme sürecinizi uygulamak için bir fırsat olarak kullanın - uygulamanızın kendine özgü etkisini ve hangi yanıtın en anlamlı olduğunu tartışın (her site veya uygulama için muhtemelen farklıdır.) Bilinmeyen ancak küçük bir riski dengelemeniz gerekir. . diğer maliyetler. Onları “korkutmamaya” dikkat edin, ancak harekete geçmek akıllıca olabilir. En azından, bu olayla ilgili destek için bir "stok cevabı" hazırlarım ve bir işletme veya b2b bağlamında, olayın kapsamı ve uygulamanız ve verileri üzerindeki etkisi hakkında müşterilerle proaktif olarak iletişim kurardım. Cloudflare'daki sitelerin büyük çoğunluğu için bu tek başına yeterli olacaktır.

Bir kullanıcı şifresini değiştirmek zorunda kalmanın çok gerçek maliyetleri vardır - kullanıcılar hizmetinize olan güvenini kaybedebilir ve bu bir rahatsızlıktır. Çok sayıda kimlik belgesinden ödün verilmediği anlaşılıyor, bu nedenle hesapların tehlikeye girme riski düşük olan bir tüketici hizmeti için şifreleri toplu olarak geçersiz kılma ve bir değişikliği zorlama çabasına değmeyebilir. Yönetici kimlik bilgileri veya Cloudflare yoluyla çok hassas bilgileri işleyen herhangi bir site için, ölçülebilir bir maksimum pozlamanın bulunmaması muhtemelen bir şifre güncellemesinin zorlanmaya değer olduğu anlamına gelir. Tüm kullanıcılarınıza bir şifre güncellemesi yapmak istemenizin başka nedenleri varsa, bu elbette kararda ek bir faktör olacaktır.

Siteler, Cloudflare'u bir altyapı sağlayıcısı olarak kullanıyorlarsa, uygulamaları ve cihazları yeniden kaydetmeye zorlayan mobil uygulamalar ve diğer makine-makine iletişimleri (IoT cihazları vb.) İçin kimlik doğrulama bilgilerini geçersiz kılmalıdır. Parola değişikliğini zorlamak istemezseniz, uygun bir ara adım kimlik doğrulama belirteçlerini geçersiz kılmak, kullanıcıları mevcut parolalarıyla tekrar oturum açmaya zorlamak olabilir; Kimlik doğrulama belirteçleri tarayıcı ve sunucu arasında daha sık geçirildiğinden, sunucudan rasgele bellek sızıntısında bulunma ihtimalinin ham parolalardan çok daha fazla olması ve yeni bir oturum açmaya zorlamanın kullanıcılar için çok az bir etkisi olması ve herhangi bir özel mesajlaşma gerektirmeyebilir veya bildirim.

Ek olarak, Cloudflare’de olmayan ancak Cloudflare’de barındırılan siteleri (esasen İnternet’teki büyük veya tüketici sitelerini kullanan) kullanan pek çok kullanıcı, kullanıcılarının her sitede aynı şifreleri tekrar kullanmaları durumunda kullanıcı şifresi değişikliklerini zorlamayı düşünmelidir. . Bu, büyük olasılıkla sitelerin büyük çoğunluğu için garanti edilmemektedir (güvenlik gereksinimi yüksek olanların, kullanıcı şifrelerinden çok daha güçlü bir kimlik doğrulama altyapısı kullanması gerekecek kadar yüksek olması gerekir; aksi takdirde, kullanıcıların, şifreli bir siteyle şifreleri yeniden kullanacakları kesindir) ), ancak bir olasılık olabilir. Şahsen, böyle bir durumda genel kimlik doğrulama altyapımı yükseltmek için bir fırsat olarak kullanacağım - 2FA'yı (ideal olarak U2F'yi ya da daha iyisini ya da kullanıcı tarafından seçilebilen TOTP / HOTP'yi (SMS yerine) dağıtmak), hesap etkinliği izlemeyi vb. şifreleri geçersiz kılmak gibi bir değişiklik. İnternetteki bağımsız şifreler, kullanıcı kimlik doğrulaması için artık en iyi yöntem değildir.

Başvurunuz veya web siteniz Cloudflare'daysa ve endüstri veya ulusal düzenlemelere tabi ise, bu bildirilebilir bir olay olabilir. (örnekler HIPAA ile sağlık / tıbbi mahremiyet endişeleri olabilir). Güvenlik ve uyum ekipleriniz değerlendirmelidir. Açıkçası, geçerli düzenlemelere tam uyum, güvenliğin önemli bir parçasıdır.

Öznel olarak, bunun ciddi bir güvenlik sorunu olduğuna ve Cloudflare kullanan herhangi bir büyük hizmet tarafından değerlendirilmesi gerektiğine inanıyorum. Muhtemel kötü niyetli sömürü olmadığı sürece, güvenlik açığından etkilenen veriler muhtemelen İnternet üzerinde oldukça rastgele dağıtılmış, ancak aranabilir önbelleklerdeki verilerin varlığı küçük ölçekli sömürüyü mümkün kılabilir. Son kullanıcılar için azaltma, genel olarak iyi bir tavsiye olduğundan (bir şifre yöneticisi kullanın, siteler için benzersiz rastgele şifreler kullanın, herhangi bir uzlaşmaya dönün), güvenlik bilincine sahip son kullanıcılar için "beyinsiz" olur. Site operatörleri için, karar gerçekten sizin kendi kullanıcı tabanınıza ve güvenlik gelişmişliği ve risk toleranslarına bağlıdır. Hem Google’ın Zero Projesi (özellikle Tavis) tarafından sürmekte olan çalışmaları hem de Cloudflare’nin bu konudaki hızlı tepkisi beni çok takdir ediyor.