Qu'est-ce que Cloudflare et a-t-il vraiment laissé fuir mes données sur Internet?

Au cours des derniers mois, un bogue du service populaire Cloudflare peut avoir exposé au texte brut des données utilisateur sensibles, notamment des noms d'utilisateur, des mots de passe et des messages privés. Mais quelle est l'ampleur de ce problème et que devriez-vous faire?

Qu'est-ce que Cloudflare??

Cloudflare est un service qui offre des fonctionnalités de sécurité et de performance (entre autres) à un vaste réseau de sites Web. Il agit comme un proxy inverse, un intermédiaire entre vous (l'utilisateur) et un site Web donné. Lorsque vous visitez ce site, vous serez dirigé vers l'un des serveurs Cloudflare au lieu des serveurs du site actuel..

Cela permet à Cloudflare de s'assurer que vous êtes un utilisateur légitime (protégeant ainsi contre les attaques par déni de service), de charger le site plus rapidement (car ils ont mis en cache certaines parties du site) et de se protéger contre les temps d'arrêt (car ils disposent de plusieurs serveurs peut se rabattre sur n’importe quel serveur s’il a un problème).

Cloudflare garantit que les attaquants de DDoS ne reçoivent pas leur trafic sur le site Web.

En bref: Cloudflare vise à rendre les sites plus rapides et plus sûrs, et c'est un service que beaucoup de sites Web utilisent.

Qu'est-il arrivé? (Et qu'est-ce que "Cloudbleed?")

Malheureusement, rien n’est sécurisé à 100%, même si un site utilise un service tel que Cloudflare et que des bugs se produisent. Dans ce cas, Cloudflare effectivement causé un problème de sécurité: un bogue dans le code du proxy inverse qui analyse HTML a provoqué une fuite du contenu de la mémoire des serveurs de Cloudflare dans certaines circonstances. (Certaines personnes se réfèrent à cela comme «Cloudbleed», un jeu du bug de Heartbleed qui a également affecté une grande partie de l'Internet.)

Ces données auraient pu inclure toutes sortes de données sensibles, notamment les noms d'utilisateur, les mots de passe, les messages privés, les jetons OAuth et bien plus encore. Pire encore, certaines de ces données étaient indexées et mises en cache par certains moteurs de recherche (environ 700 pages, selon Cloudflare). Par conséquent, si vous saviez quoi chercher sur Google, vous pourriez trouver des données sensibles d'utilisateurs se connectant à une heure spécifique. fuite.

Si vous savez quoi chercher, vous pouvez trouver certaines des informations divulguées par Cloudflare sur les moteurs de recherche..

Ce bug n’a pas été découvert pendant environ cinq mois et a été corrigé après avoir été découvert cette semaine. Selon Cloudflare, «la période d’impact la plus importante a été celle des 13 et 18 février: environ une demande HTTP sur 3 300 000 via Cloudflare a potentiellement entraîné une fuite de mémoire (ce qui représente environ 0,00003% des demandes)».

Mais avec un service aussi populaire que Cloudflare, 0,00003% est encore beaucoup. Certaines personnes ont compilé une liste de sites utilisant Cloudflare, qui comprend plus de 4 millions de domaines, notamment Yelp, OkCupid, Uber, Authy, Medium, et bien d’autres. (Certaines applications mobiles sont également concernées.)

Vous pouvez en savoir plus sur les détails techniques de ce bogue sur le blog de Cloudflare, même si cela ne vous intéressera probablement que si vous êtes un programmeur - si vous êtes un utilisateur habituel d'Internet, la seule chose que vous devez savoir, c'est…

Que devrais-je faire?

Premièrement: ne paniquez pas trop. Tous les sites de cette liste de 4 millions ne divulguaient pas nécessairement d'informations sensibles - si un site utilisait simplement Cloudflare pour mettre en cache des données d'image, par exemple, aucune information sensible ne serait divulguée. Et ce n’est pas comme si chaque fuite était une liste maîtresse de mots de passe, c’était des informations aléatoires, pourrait ont inclus quelques noms d'utilisateur et mots de passe aléatoires à un moment donné.

Cependant, Cloudflare a également noté qu'une de leurs propres clés privées avait été divulguée, ce qui aurait permis à un attaquant d'accéder à de nombreuses données internes de Cloudflare, notamment des noms d'utilisateur et des mots de passe. Cloudflare était extrêmement vague sur ce point en particulier, bien qu'il s'agisse d'un risque majeur pour la sécurité avec le potentiel de fuite d'informations beaucoup plus sensibles.

Cela étant dit, il n’existe aucun moyen réel de savoir si l’une de vos données a été divulguée et où. Par conséquent, le seul plan d’action sûr pour le moment est de: changer tous vos mots de passe. (Bien sûr, vous pouvez parcourir la liste des 4 millions de sites et ne modifier que ceux utilisés par Cloudflare, mais honnêtement, il serait probablement plus facile et plus rapide de les modifier tous.)

Les règles habituelles avec les mots de passe s'appliquent ici: n'utilisez pas le même mot de passe sur plusieurs sites, utilisez un gestionnaire de mots de passe comme LastPass et activez l'authentification à deux facteurs pour chaque site qui le permet. Si vous ne le faites pas, le bogue Cloudflare est probablement le moindre de vos soucis. Après tout, les sites sont constamment piratés et si vous utilisez le même mot de passe partout, toutes vos données sont régulièrement exposées..

Si vous utilisez déjà un gestionnaire de mot de passe, cette procédure devrait être simple (même si elle est un peu longue et ennuyeuse). Mais vous devriez être habitué à cette danse maintenant.