Уна вез мас, Кориснички подаци са најмање 3.400 веб локација, укључујући Фитбит, Уне, па чак и 1Пассворд, откривени су, овом приликом, због Цлоудфларе безбедносног пропуста, па се препоручује да одмах промените приступне лозинке.
Кориснички подаци са више од 3.400 веб локација су филтрирају и кеширају претраживачи као резултат безбедносне грешке у Цлоудфларе-у, мрежи за испоруку садржаја коју користе хиљаде веб локација. Месецима су погођене веб локације као што су Убер, Фитбит или сајт за упознавање ОКЦупид међу хиљадама. 1Пассворд такође користи Цлоудфларе, међутим компанија тврди да захваљујући својој енд-то-енд енкрипцији, подаци њених купаца нису откривени.
Безбедносна грешка која открива податке стотина хиљада корисника
Безбедност и приватност наших личних података је нешто што забрињава све више људи сваким даном и са већим интензитетом. Све је више личних података које чувамо у „облаку” и којима би свако могао да има приступ, у већини случајева, само знајући наше корисничко име и лозинку. Отуда онДанас објављене информације су посебно озбиљне, како квалитативно, тако и због обима корисника на које би то могло да утиче.
По објавио је АрсТецхница, Гугл-ов истраживач безбедности Тавис Орманди открио је да је безбедносна грешка у Цлоудфларе-у, мрежи за испоруку садржаја коју користе милиони веб-сајтова, омогућила цурење података корисника са више од 3.400 веб-сајтова и њихово складиштење у кеш претраживача.
Услуга коју користи 5,5 милиона веб локација можда је процурила лозинке и токене за аутентификацију.
Узорак података који је Орманди видео. Ово је приватна порука са сајта за упознавање окцупид | СЛИКА: АрсТецхница
Међу тим погођеним веб локацијама су компаније популарне попут Фитбита или Убера, као и 1Пассворд, који је, међутим, већ навео да подаци својих корисника остају безбедни захваљујући енд-то-енд енкрипцији.
Приметили смо кључеве за шифровање, колачиће, лозинке, ПОСТ делове података, па чак и ХТТПС захтеве за друге велике веб локације хостоване у облаку од других корисника. Када смо схватили шта видимо и импликације, одмах смо стали и контактирали обезбеђење облака.
Цлоудфларе признаје грешку, али можда потцењује њену озбиљност
Цлоудфларе је већ признао да се безбедносни пропуст заиста догодио, али и Тавис Орманди и други истраживачи безбедности верују да компанија потцењује озбиљност инцидента. У а пост Објављено на блогу компаније под насловом „Извештај о инциденту о цурењу меморије изазваном грешком Цлоудфларе парсера“, Цлоудфларе признаје да је кршење било озбиљно, али такође напомиње да Нема доказа да је грешка искоришћена.
Грешка је била озбиљна јер је меморија која је процурила могла да садржи приватне информације и зато што би их претраживачи кеширали. Такође нисмо открили никакве доказе о злонамерном искоришћавању грешке или друге извештаје о њеном постојању.
Орманди није спорио да понуди а одговор на изјаве компаније у којима се наводи да објава коју је објавио Цлоудфларе пружа одличну "постмортем" анализу, али у исто време "знатно смањује ризик за купце".
Препоручује се промена лозинки
Рајан Леки, још један познати истраживач безбедности, слаже се са Ормандијевим изјавама, наводећи да, Иако је вероватноћа откривања лозинки мала, тај ризик постоји, па се корисницима препоручује да их промене.
Гоогле, Бинг, Иахоо и други претраживачи су већ брисали кеширане податке, па су чињенице сада објављене, али АрсТецхница напомиње да неки кеширани подаци и даље остају.