  |
Za poslednú hodinu: 51 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Sobota, 20. apríla 2024, dnes má meniny Marcel |
|
Internetová bezpečnostná megadiera, servery Cloudflare prezrádzali citlivé dáta
bezpečnosť
V noci na dnes boli zverejnené informácie o vážnom bezpečnostnom probléme, ktorý sa síce týkal len serverov jednej služby ale pre svoju povahu ohrozil dáta užívateľov na mnohých tisíckach webov. Bezpečnostný problém sa totiž nachádzal vo webových serveroch mimoriadne populárnej služby Cloudflare, ktorú používajú mnohé aj veľké weby ako Content Delivery Network poskytujúcu ich stránky z jej webových serverov. Kvôli bezpečnostnej chybe v použitom parseri napísanom pomocou Ragel a spracúvajúcom webové stránky poskytované koncovým návštevníkom tieto webové servery vracali v stránke ďalšie dáta z pamäte webového serveru, ktoré mohli predstavovať dáta prenášané inými užívateľmi na ľubovoľných iných weboch tiež využívajúcich Cloudflare. Aj keď sú weby prevádzkované na zabezpečených HTTPS stránkach, v pamäti webového servera sa už nachádzajú nešifrované a unikať takto mohli aj dáta z HTTPS stránok. V uniknutých dátach boli podľa Tavisa Ormandyho z Google, ktorý zraniteľnosť objavil, reálne identifikované heslá, cookie, rozličné dáta posielané cez formuláre, súkromné správy z populárnych služieb a napríklad zoznamovacích a chatovacích služieb a mnohé ďalšie dáta. Chyba bola typu pretečenia buffera a parser kvôli nej nedetekoval koniec stránky, preskočil ho a návštevníkovi mohol okrem stránky poslať aj ďalšie dáta z pamäte webového servera nachádzajúce sa za bufferom. Chyba sa tak povahou podobá na chybu v OpenSSL Heartbleed a dostala prezývku Cloudbleed. Uniknúť nemohli privátne kľúče jednotlivých klientských webov k SSL certifikátom, keď pre samotný prenos SSL využíva služba samostatné webové servery, v ktorých sa problém nevyskytoval. Chyba sa prejavila pri parsovaní stránky s nekorektne ukončeným HTML elementom script alebo img a preto sa prejavovala len veľmi zriedka. Pri splnení tejto podmienky ju bolo možné zneužiť ale zrejme pomerne spoľahlivo. Samotná chyba sa nachádzala v kóde už roky, donedávna sa ale vôbec neprejavovala. Prejavovať sa začala až keď bolo v použitom Nginx serveri aktivovaných pre danú HTTP požiadavku viacero filtrovacích modulov, čo sa prvýkrát stalo 22. septembra 2016. Častejšie boli dva moduly použité od nasadenia nového modulu 13. februára, pričom už 18. februára Ormandy nakontaktoval Cloudflare s informáciami o detekovanom probléme. Príčiny problému boli detekované a odstránené do niekoľkých hodín, pričom prvý modul spôsobujúci najviac výskytov podľa časového harmonogramu bol globálne deaktivovaný do 47 minút od poskytnutia detailov problému od Google. Cloudflare podľa svojho oznámenia nenašla dôkazy o zneužívaní chyby a dáta od 13. februára unikali v cca 0.00003% HTTP požiadaviek. Najvážnejším dôsledkom bolo nacachovanie týchto dát webovými vyhľadávačmi, v spolupráci s ktorými boli dáta pred zverejnením informácií odstránené. V časovej zhode s oznámením problému v noci na dnes zároveň Google vyzýval mnohých užívateľov na mnohých zariadeniach na opätovné prihlásenie. Logicky vznikla hypotéza, že Google mohol zneplatniť prihlásenia napríklad účtov s OAuth autorizačnými tokenmi používanými webmi a aplikáciami využívajúcimi Cloudflare. Ormandy ale túto hypotézu vo svojom oznámení jednoznačne vyvracia, tieto dva problémy podľa neho spolu nesúvisia a dôvod potrebného opätovného prihlasovania do Google zatiaľ nie je známy. Cloudflare informuje o detailoch chyby vrátane ukážky príslušného miesta kódu v oznámení problému, Google o zraniteľnosti informuje v tomto popise problému. Ormandy chváli rýchlu reakciu služby pri riešení problému aj technický popis problému, služba podľa neho ale zľahčuje dopad problému a rizika na užívateľov. Oznámenie Cloudflare totiž zrejme nedporúča webom žiadne kroky ako napríklad povinnú zmenu hesla pre užívateľov prihlasujúcich sa v inkriminovanom čase. Zároveň takéto kroky zatiaľ zrejme nezvolila žiadna zo známejších služieb využívajúcich Cloudflare. 
Najnovšie články: inzercia Diskusia:
Pridať komentár | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
