Vad är Cloudflare och läste det verkligen mina data över hela Internet?

Under de senaste månaderna kan ett fel i den populära Cloudflare-tjänsten ha utsatt känslig användardata, inklusive användarnamn, lösenord och privata meddelanden-till världen i vanlig text. Men hur stor är detta problem, och vad ska du göra?

Vad är Cloudflare?

Cloudflare är en tjänst som erbjuder säkerhet och prestanda (bland annat) till ett brett nätverk av webbplatser. Det fungerar som en omvänd proxy, en mellanhand mellan dig - användaren och en viss webbplats. När du besöker den här webbplatsen kommer du att riktas till en av Cloudflares servrar i stället för den faktiska webbplatsens servrar.

Detta gör det möjligt för Cloudflare att se till att du är en legitim användare (därmed skydda mot attacker mot avslag), ladda webbplatsen snabbare (eftersom de har cachat vissa delar av webbplatsen) och skydda mot driftstopp (eftersom de har flera servrar över hela världen och kan falla tillbaka på vilken server som helst om man har problem).

Cloudflare säkerställer att DDoS-angripare inte får sin trafik till själva webbplatsen.

Kort sagt: Cloudflare syftar till att göra webbplatser snabbare och säkrare, och det är en tjänst som många webbplatser använder.

Vad hände? (Och vad är "Cloudbleed?")

Tyvärr är ingenting 100% säkert, även om en webbplats använder en tjänst som Cloudflare och buggar händer. I det här fallet, Cloudflare faktiskt orsakad ett säkerhetsproblem: ett fel i omvänd proxy-kod som tolkar HTML orsakade Cloudflares servrar att läcka innehållet i dess minne under vissa omständigheter. (Vissa människor hänvisar till detta som "Cloudbleed", en avspelning från Heartbleed bug som också påverkat en stor del av internet.)

Dessa uppgifter kan ha inkluderat alla typer av känsliga data, inklusive användarnamn, lösenord, privata meddelanden, OAuth-symboler och mycket mer. Ännu värre, en del av dessa data indexerades och cachades av vissa sökmotorer (cirka 700 sidor, enligt Cloudflare). Om du visste vad du skulle söka på Google kunde du hitta känsliga data från användare som loggade in vid en viss tidpunkt läcka.

Om du vet vad du ska söka kan du hitta några av Cloudflares läckta information om sökmotorer.

Denna bugg gick oupptäckt i ungefär fem månader, och patched efter att ha upptäckts i veckan. Cloudflare säger att "den största effektperioden var från den 13 februari och den 18 februari med cirka 1 av varje 3 300 000 HTTP-förfrågningar via Cloudflare, vilket kan leda till minnesläckage (det är cirka 0,00003% av förfrågningarna)."

Men med en tjänst som är så populär som Cloudflare är 0.00003% fortfarande mycket. Vissa har sammanställt en lista över webbplatser som använder Cloudflare, och den innehåller över 4 miljoner domäner, inklusive Yelp, OkCupid, Uber, Authy, Medium och många många fler. (Vissa mobilappar påverkas också.)

Du kan läsa mer om de tekniska detaljerna i den här bloggen på Cloudflares blogg, men det kommer nog bara att intressera dig om du är en programmerare. Om du är en vanlig internetanvändare är det enda du behöver veta ...

Vad ska jag göra?

Först: inte panik för mycket. Inte varje webbplats på den listan över 4 miljoner läckte nödvändigtvis känslig information. Om en webbplats bara använde Cloudflare för att cache bilddata, skulle det exempelvis inte finnas någon känslig information att läcka. Och det är inte som att varje läcka var en huvudlista över lösenord ändå - det var slumpmässiga bitar av information som skulle kunna har inkluderat några slumpmässiga användarnamn och lösenord vid vilken tidpunkt som helst.

Men Cloudflare noterade också att en av sina egna privata nycklar läcktes, vilket skulle ha gett angriparen tillgång till en massa interna Cloudflare-data, inklusive eventuellt användarnamn och lösenord. Cloudflare var extremt vag om den här punkten, trots att det var en stor säkerhetsrisk med potential att läcka mycket mer känslig information

Allt sagt, det finns inget riktigt sätt att berätta om någon av dina data läckte ut och var, så är det enda säkra tillvägagångssättet just nu att ändra alla dina lösenord. (Visst, du kan titta igenom listan över 4 miljoner webbplatser och bara ändra de som används av Cloudflare, men ärligt talat skulle det förmodligen vara enklare och snabbare att bara ändra dem alla.)

De vanliga reglerna med lösenord gäller här: använd inte samma lösenord på flera webbplatser, använd en lösenordshanterare som LastPass, och aktivera tvåfaktorsautentisering för varje webbplats som tillåter det. Om du inte gör dessa saker är Cloudflare-bugten förmodligen den minsta av dina bekymmer. Trots allt blir webbplatser hackade hela tiden, och om du använder samma lösenord överallt är alla dina data regelbundet i fara.

Om du redan använder en lösenordshanterare, ska processen vara lätt (om lite lång och tråkig). Men du borde vara van vid den här dansen nu.