Cloudbleed: كيفية التعامل معها

كشف Tavis Ormandy (Tavis Ormandy) من مشروع Google Zero عن ثغرة كبيرة في خدمة Cloudflare للبنية التحتية للإنترنت. بشكل أساسي ، تلقت طلبات الويب للمواقع المدعومة من Cloudflare إجابات تضمنت معلومات عشوائية من مواقع أخرى مدعومة من Cloudflare! يمكن أن تتضمن هذه المعلومات معلومات سرية (رسائل خاصة على مواقع المواعدة ، ورسائل البريد الإلكتروني) ، ومعلومات هوية المستخدم (معلومات التعريف الشخصية (PII) ، وربما في سياق الرعاية الصحية ، أو المعلومات الصحية المحمية (PHI) ، أو بيانات اعتماد المستخدم أو التطبيق أو الجهاز (كلمات المرور ، مفاتيح API ، رموز المصادقة ، إلخ.)

تصرف كل من Project Zero و Cloudflare على الفور. تم الإبلاغ عن الخطأ في الفترة من 2017 إلى 2017 ، وكان التخفيف في مكانه خلال ساعة واحدة. تم تقديم إشعار عام في الفترة من 2017 إلى 2002.

تعد المدة (2016-09-22 إلى 2017–2002) واتساع نطاق المعلومات التي تم كشفها ضخمة - تمتلك Cloudflare أكثر من 2 مليون موقع على شبكتها ، وقد تتعرض البيانات من أي منها. قالت Cloudflare إن التأثير الفعلي ضئيل نسبيًا ، لذلك أعتقد أنه تم بالفعل نشر كميات محدودة فقط من المعلومات. في الأساس ، كان من المحتمل أن يكون هناك نطاق واسع من البيانات في خطر ، ولكن الخطر على أي جزء من البيانات كان منخفضًا جدًا. بغض النظر عن ذلك ، ما لم يكن من الممكن إثبات أنه لم يتم اختراق بياناتك بشكل قاطع ، فسيكون من الحكمة النظر في احتمال تعرضها للخطر.

بينما تم تصحيح خدمة Cloudflare بسرعة للقضاء على هذا الخطأ ، كانت البيانات تتسرب باستمرار قبل هذه النقطة - لعدة أشهر. تم تخزين بعض هذه البيانات بشكل عام في محركات البحث مثل Google ، وتتم إزالتها. قد توجد بيانات أخرى في ذاكرة التخزين المؤقت والخدمات الأخرى عبر الإنترنت ، ومن الواضح أنه من المستحيل تنسيق الحذف في جميع هذه المواقع. دائمًا ما يكون هناك شخص ما ضار اكتشف هذه الثغرة بشكل مستقل وقبل تافيس ، وربما كان يستغلها بنشاط ، لكن لا يوجد دليل يدعم هذه النظرية. لسوء الحظ ، من الصعب أيضًا أن تدحض بشكل قاطع.

المعلومات الأكثر حساسية التي تم تسريبها هي معلومات المصادقة وبيانات الاعتماد. يمكن أن يكون لحل وسط هذه البيانات عواقب دائمة ومستمرة حتى يتم إلغاء أوراق الاعتماد واستبدالها.

من وجهة نظر فردية ، يكون هذا الأمر واضحًا - حيث إن أكثر عمليات التخفيف فعالية هي تغيير كلمات المرور الخاصة بك. على الرغم من أن هذا الاحتمال ليس ضروريًا على الإطلاق (من غير المحتمل أن تكون كلمات المرور الخاصة بك مكشوفة في هذا الحادث) ، إلا أنها ستحسّن أمانك تمامًا من كل من هذه التسوية المحتملة والعديد من مشكلات الأمان الأخرى الأكثر ترجيحًا. يقع Cloudflare وراء العديد من أكبر خدمات الويب للمستهلكين (Uber و Fitbit و OKCupid ، ...) ، لذا بدلاً من محاولة تحديد الخدمات الموجودة على Cloudflare ، فإن الأكثر حذراً هو استخدام هذا كفرصة لتدوير جميع كلمات المرور على جميع مواقعك . سيؤدي ذلك إلى تحسين أمانك ، على الرغم من أن الفائدة الأساسية تتمثل في تهديدات لا صلة لها بهذا الحادث.

(تتمثل أفضل الممارسات في استخدام سلسلة عشوائية طويلة لكل كلمة مرور ، فريدة لكل موقع ، وإدارة تلك المجموعة باستخدام "مدير كلمات المرور" ، مثل 1Password أو LastPass أو مديري كلمة المرور المدمجة في متصفحات الويب الحديثة. يجب عليك أيضًا تسجيل الدخول وتسجيل الدخول إلى تطبيقات الهاتف المحمول الخاصة بهم بعد هذا التحديث. أثناء وجودك في الموقع ، إذا كان من الممكن استخدام 2FA أو 2SV مع المواقع التي تعتبرها مهمة (باستخدام شيء مثل TOTP / Google Authenticator أو U2F) ، فهذا مفيد ترقية الأمان ، أيضًا.)

بالنسبة لمشغلي الموقع الذين يستخدمون Cloudflare: على الرغم من أنه قد يكون مزعجًا ، إلا أنه يجب عليك التفكير بجدية في التأثير على المستخدمين لديك. استخدم هذه الحادثة كفرصة لممارسة عملية التعامل مع الحوادث - ناقش التأثير المحدد للتطبيق الخاص بك وما هي الاستجابة الأكثر منطقية (من المحتمل أن تكون مختلفة لكل موقع أو تطبيق). عليك أن توازن بين مجازفة مجهولة ولكنها صغيرة مقابل . تكاليف أخرى. احرص على عدم "تخويفهم" ، لكن قد يكون من الحكمة اتخاذ إجراء. على الأقل ، يمكنني إعداد "إجابة الأسهم" لدعم هذا الحادث ، وفي سياق المؤسسة أو b2b ، التواصل بشكل استباقي مع العملاء حول مدى الحادث وتأثيره على طلبك وبياناتهم. بالنسبة للغالبية العظمى من المواقع على Cloudflare ، من المحتمل أن يكون ذلك وحده كافياً.

هناك تكاليف حقيقية للغاية لإجبار تغيير كلمة مرور المستخدم - فقد يفقد المستخدمون ثقتهم في خدمتك ، وهو أمر مزعج. لا يبدو أن أعدادًا كبيرة من بيانات الاعتماد قد تم اختراقها ، لذا فقد لا يستحق الأمر بذل جهد كبير لإلغاء كلمات المرور وفرض التغيير ، وذلك بالنسبة لخدمة المستهلك ذات المخاطر المحدودة للحسابات التي تم اختراقها. بالنسبة لبيانات اعتماد المسؤول ، أو بالنسبة لأي مواقع تقوم بمعالجة معلومات شديدة الحساسية من خلال Cloudflare ، فإن الافتقار إلى أقصى قدر من التعرض يمكن أن يعني أنه يجدر فرض تحديث كلمة المرور. إذا كان لديك أي أسباب أخرى لرغبتك في دفع تحديث كلمة المرور لجميع المستخدمين لديك ، فسيكون هذا بالطبع عاملاً إضافياً في القرار.

يجب أن تبطل المواقع بيانات اعتماد المصادقة لتطبيقات الأجهزة المحمولة وغيرها من الاتصالات من آلة إلى أخرى (أجهزة إنترنت الأشياء ، إلخ) ، مما يجبر المستخدمين على إعادة تسجيل التطبيقات والأجهزة ، إذا كانوا يستخدمون Cloudflare كموفر للبنية التحتية. إذا كنت لا تريد فرض تغيير في كلمات المرور ، فقد تتمثل الخطوة الوسيطة القابلة للتطبيق في إبطال رموز المصادقة وإجبار المستخدمين على تسجيل الدخول مرة أخرى باستخدام كلمات المرور الحالية الخاصة بهم ؛ نظرًا لأن رموز المصادقة يتم تمريرها بين المستعرض والخادم بشكل متكرر ، فمن المحتمل جدًا وجودها في تسرب للذاكرة العشوائية من الخادم أكثر من كلمات المرور الخام ، كما أن فرض تسجيل دخول جديد يعد أقل تأثير على المستخدمين وقد لا يتطلب أي رسائل محددة أو إشعار.

بالإضافة إلى ذلك ، ينبغي أن تفكر أي مواقع ليست موجودة في Cloudflare ولكن مع الكثير من المستخدمين الذين يستخدمون المواقع المستضافة على Cloudflare (أي المواقع الكبيرة أو العميلة على الإنترنت) في فرض تغييرات على كلمة مرور المستخدم في حالة إعادة استخدام المستخدمين لكلمات المرور نفسها على كل موقع . قد لا يكون هذا مبررًا للغالبية العظمى من المواقع (أي شخص لديه احتياجات أمان عالية جدًا بحيث يكون من المنطقي أن يستخدم البنية الأساسية للمصادقة أقوى بكثير من كلمات مرور المستخدم ؛ وإلا ، فمن شبه المؤكد أن المستخدمين سيعيدون استخدام كلمات المرور مع موقع مخترق ) ، ولكن قد يكون هناك احتمال. شخصيًا ، سأستخدمها كفرصة لترقية البنية الأساسية للمصادقة الشاملة في مثل هذه الحالة - نشر 2FA (من الناحية المثالية U2F أو الأفضل ، أو TOTP / HOTP ، وليس SMS) ، ومراقبة نشاط الحساب ، وما إلى ذلك - بدلاً من التعجيل تغيير مثل إبطال كلمات المرور. لم تعد كلمات المرور المستقلة على الإنترنت هي أفضل ممارسة لمصادقة المستخدم.

إذا كان التطبيق الخاص بك أو موقع الويب الخاص بك على Cloudflare وكان خاضعًا للوائح الصناعة أو القوانين الوطنية ، فقد يكون هذا حادثًا يُبلغ عنه. (من الأمثلة على ذلك المخاوف المتعلقة بالرعاية الصحية / الخصوصية الطبية مع HIPAA). يجب تقييم فرق الأمان والامتثال الخاصة بك. من الواضح أن الامتثال الكامل للوائح المعمول بها هو جزء أساسي من الأمن.

ذاتي ، أعتقد أن هذه مشكلة أمان خطيرة ويجب تقييمها بواسطة أي خدمة رئيسية باستخدام Cloudflare. من المحتمل ألا تكون "نهاية العالم" في حدتها ، لأنه ما لم يكن هناك استغلال ضار متضافر ، فربما يتم توزيع البيانات الضعيفة بشكل عشوائي إلى حد ما عبر الإنترنت ، ولكن وجود بيانات في مخابئ قابلة للبحث قد يجعل الاستغلال على نطاق صغير ممكنًا. نظرًا لأن التخفيف بالنسبة للمستخدمين النهائيين هو نصيحة جيدة بشكل عام (استخدم مدير كلمات المرور ، واستخدم كلمات مرور عشوائية فريدة لكل مواقع ، وقم بالتناوب على أي حل وسط) ، فهي "لا تدور في ذهن" بالنسبة لمعظم المستخدمين النهائيين المهتمين بالأمان. بالنسبة لمشغلي الموقع ، يعود القرار حقًا إلى قاعدة بيانات المستخدم الخاصة بك ومستوى تطوره الأمني ​​والتسامح مع المخاطر. أنا أقدر تقديرا عميقا العمل الجاري من جانب مشروع Google Zero (خاصة Tavis) واستجابة Cloudflare السريعة لهذه المشكلة.