Inside Cloudbleed
תוכן עניינים:
Cloudbleed הוא אחד מאיומי האבטחה הגדולים ביותר בכל הזמנים, והוא נמצא כעת בשיאו. Cloudflare , הצגת התוכן ספקית האינטרנט, לאחרונה יש באג שגרם הרבה נתונים אישיים, מתוך סיסמאות לפרטי משתמש למידע הבנק, כדי לדלוף באינטרנט.
למרבה האירוניה, Cloudflare היא אחת מחברות האבטחה הגדולות באינטרנט הובא לבדיקה בשנה שעברה באמצעות דוח הפגיעות של Google נגדם. אבל החדשות הרעות יותר הן כי אתרי מגזין Cloudflare כנראה דלפו נתונים הרבה לפני שהתגלה על ידי האנליסטים של Google. בנוסף, עם לקוחות כמו FitBit, Uber, ו OKCupid, יש הרבה מה לדאוג הלקוחות של Cloudflare. אז, הצעד הראשון שאתה צריך לקחת הוא לשנות את כל הסיסמאות שלך על כל חשבון באינטרנט ולאפשר אימות שני גורמים בכל מקום אפשרי.
CloudFlare, בעוד אחד משירותי האינטרנט הפופולריים יותר בעולם, הוא יחסית שם לא ידוע. הסיבה לכך היא כי זה עובד מאחורי הקלעים כדי לוודא כי אתרי אינטרנט מוגנים על ידי חומת אש לאינטרנט. זה גם CDN, שם מתחם שרת, DDoS Protector שירותי החברה המציעים תפריט שלם של מוצרים עבור אתרי אינטרנט גדולים. וזו האירוניה הגדולה של המצב. להיות `אבטחת תוכן` ארגון מומחה, Cloudflare צריך להיות המקום האחרון יש התקפה תוכנות זדוניות זה גדול. אחרי הכל, אין ספור חברות לשלם Cloudflare כדי לשמור על הנתונים שלהם בטוח. פרטים על ענן מקורה השם נובע ממקורו של חרקת הלב (Heartbleed), הדומה למדי לזו החדשה. למעשה, ככל הנראה, את קלמבלד באג הוא תוצאה של טעות. דמות אחת בקוד של קלאודפליייר נראתה כגורמת לאסון. זה כרגע אין מידע על זה אם זה טעות אנושית או פעולה מכוונת, אבל זה ייראה הרבה יותר ברור ברגע שהחברה יוצאת בציבור לתבוע את ההתקפה.
כרגע, יש רק את הבלוג הזה כדי לקבל את " עובדות "מ. זה מזכיר כי הבעיה נובעת מהחלטת החברה להשתמש מנתח HTML חדש בשם cf-HTML. מנתח HTML הוא יישום אשר סורק קוד לשלוף מידע רלוונטי כמו תגי התחלה ותגי סיום. זה עושה את זה קל יותר לשנות את הקוד.
שניהם cf-HTML ואת מנתח Ragel הישן יושמו כמו מודולים NGINX מלוקט לתוך NGINX שלנו בונה. אלה מסננים NGINX מודולים לנתח מאגרים (בלוקים של זיכרון) המכיל תגובות HTML, לבצע שינויים לפי הצורך, ולהעביר את המאגרים למסנן הבא. התברר כי הבאג הבסיסי שגרם את דליפת הזיכרון היה נוכח המנתח מבוסס Ragel שלהם במשך שנים רבות, אבל שום זיכרון לא הודלף בגלל האופן שבו NGINX פנימי buffers שימשו. היכרות עם cf-HTML שינתה בעדינות את המאגר, אשר איפשר את הדליפה, למרות שלא היו בעיות ב- cf-HTML עצמו. [
] משמעות הדבר במונחים של הדיוט היא שהכוונות של Cloudflare היו בלתי מזיקות לחלוטין. הם פשוט ניסו לאחסן נתוני משתמש במיקום היעיל ביותר האפשרי. אבל כשמיקום זה היה מלא בזיכרון, הם שמרו אותו באתרים אחרים שמהם הוא דולף אל האינסוף ומעבר לו. עכשיו המשימה כמעט בלתי אפשרית היא לאסוף את כל אלה אתרי אינטרנט רבים ולטעון בחזרה את הנתונים.
איך להישאר מוגן מפני אתרים מושפעים Cloudbleed
מומחה אבטחה ריאן Lackey, הבעלים של CryptoSeal שנרכשה על ידי Cloudflare בשנת 2014, יש כמה עצות בשבילך כדי להגן על עצמך בזמן שאתה יכול. "
" Cloudflare היא מאחורי רבים של שירותי האינטרנט הצרכן הגדול ביותר, ולכן במקום לנסות לזהות אילו שירותים הם על CloudFlare, זה כנראה כנראה זהיר ביותר להשתמש בו הזדמנות לסובב כל הסיסמאות בכל האתרים שלך. משתמשים צריכים גם להתנתק ולהיכנס ליישומים הניידים שלהם לאחר עדכון זה. בזמן שאתה נמצא בו, אם אפשר להשתמש ב- 2FA או ב- 2SV באתרים החשובים לך, "אמר לאקי.גלה אם ביקרת באתרים המושפעים מהעיצוב
שני הרחבות דפדפן אלה יאפשרו לך לבדוק אם ביקרת באתרים המושפעים מבעיית האבטחה של CloudFlare: Firefox | Chrome. התקן אותם ופעל את הסריקה כדי לברר אם ביקרת לאחרונה בכל האתרים המושפעים מ- Cloudbleed.
בכל מקרה, זה יכול להיות רעיון טוב לשנות את הסיסמאות של חשבונות מקוונים שלך ולהישאר בטוח.
היקף הדליפה
החלק הכי חריג על הפיאסקו כולו הוא שזה לא אפשרי לשפוט מי ומה הושפע. לטענת CloudFlare, רק חלק מדקה של מסד הנתונים כולו הודלף על ידי CloudBleed על פי בקשה, אבל זה בא מחברה שלא ידעה על הבאג הזה עד שמישהו מ- Google הצביע על כך במיוחד. הוסף לכך, העובדה שהרבה מהנתונים שלהם נשמרו במטמון באתרים אחרים של צד שלישי, וייתכן שאף פעם לא תדע אילו נתונים נפגעו או לא. אבל זה לא הכל. הבעיות לא רק מוגבלות ללקוחות Cloudflare - חברות שיש לקוחות רבים Cloudflare כמו משתמשים צפויים גם להיות מושפעים.
Microsoft פרסמה פתרון אבטחה מאובטח עבור Internet Explorer כאמצעי סטארגאפ, עד שהחברה מפרסמת עדכון אבטחה מלא עבור דפדפן האינטרנט שלה ביום שישי. הפתרון החדש "Fix it" מסייע בהגנה על המשתמשים ב- Internet Explorer 6, 7, 8 ו- 9 מתוך בעיית שחיתות בזיכרון שנחשפה לאחרונה, אשר מספר מומחי אבטחה ראו בשימוש פעיל. הפגיעויות עלולות לאפשר לפורץ לקבל גישה מרחוק למערכת שלך עם אותן הרשאות משתמש, כולל היכולת להתקין או להסיר תוכניות, לשנות קבצים וליצור חשבונות משתמש חדשים.
[קשורים:
מחברת תוכנות זדוניות פיננסיות מנסה להתחמק ממערכות אבטחה בנקאיות מקוונות על ידי חזרה לטכניקות גניבה מסורתיות יותר של דיוג, לפי חוקרי חברת האבטחה Trusteer. תוכניות בשימוש על ידי cybercriminals היום מסוגלים לחבל בזמן אמת עם הבנקאות המקוונת הפעלות ביוזמת הקורבנות על המחשבים שלהם. זה כולל את היכולת לבצע עסקאות הונאה ברקע ולהסתיר אותם מהמשתמש על ידי שינוי יתרת החשבון והיסטוריית העסקאות בתצוגה בדפדפן שלהם.
כתוצאה מכך, הבנקים החלו לפרוס מערכות כדי לפקח על האופן שבו לקוחות מקיימים אינטראקציה עם אתרי האינטרנט שלהם וזיהוי חריגות שעשויות להצביע על פעילות של תוכנות זדוניות. עם זאת, נראה כי כמה יוצרי תוכנות זדוניות חוזרים טכניקות מסורתיות יותר, כי כרוך לגנוב אישורים ולהשתמש בהם ממחשב אחר כדי להימנע מלהיות מזוהה. [
הדיון הוא מתמיד - ואת המלחמה ללא הפסקה! אנחנו מדברים על מלחמות דפדפן האינטרנט כאן. הרבה כבר דנו בהם לאחרונה. יש אומרים ש- Google Chrome הוא המהיר ביותר. אחרים מעדיפים את Mozilla Firefox, כמה נשבע על ידי Internet Explorer, וכמה מאוד על ידי אופרה או ספארי. עם זאת, כשזה מגיע להיות דפדפן מאובטח ביותר, Internet Explorer זוכה הידיים למטה. הנה דוגמה נוספת לכך.
ניסיתי להתנסות קצת על כמה בטוח הדפדפנים כשמדובר שמירת והצגת סיסמאות וניסוי זה הוביל אותי לזרוק את Firefox לנצח ואולי יהיה לזרוק את Chrome מדי בעתיד הקרוב.