Under de senaste månaderna, ett fel i den populäraCloudflare-tjänsten kan ha exponerat känslig användardata - inklusive användarnamn, lösenord och privata meddelanden - för världen i vanlig text. Men hur stort är detta problem, och vad ska du göra?
Vad är Cloudflare?
Cloudflare är en tjänst som erbjuder säkerhet ochprestandafunktioner (bland annat) till ett brett nätverk av webbplatser. Det fungerar som en omvänd proxy, en mellanhand mellan dig - användaren - och en given webbplats. När du besöker den webbplatsen kommer du att riktas till en av Cloudflares servrar istället för den faktiska webbplatsens servrar.
Detta gör att Cloudflare kan se till att du är enlegitim användare (därmed skydda mot attacker mot nekande av tjänster), ladda webbplatsen snabbare (eftersom de har cache-lagrat vissa delar av webbplatsen) och skydda mot driftstopp (eftersom de har flera servrar över hela världen och kan falla tillbaka på vilken server som helst om en har ett problem).
Kort sagt: Cloudflare syftar till att göra webbplatser snabbare och säkrare, och det är en tjänst som många webbplatser använder.
Vad hände? (Och vad är "Cloudbleed?")
Tyvärr är ingenting 100% säkert, även om en webbplats använder en tjänst som Cloudflare och fel inträffar. I det här fallet faktiskt Cloudflare orsakad ett säkerhetsproblem: ett fel i den omvända proxy-koden som analyserar HTML fick Cloudflares servrar att läcka innehållet i dess minne under vissa omständigheter. (En del människor hänvisar till detta som "Cloudbleed", en uppspelning av Heartbleed-buggen som också påverkade en stor del av internet.)
Dessa data kunde ha inkluderat alla typer avkänslig information, inklusive användarnamn, lösenord, privata meddelanden, OAuth-symboler och mycket mer. Ännu värre är att vissa av dessa data indexerades och cachades i vissa sökmotorer (cirka 700 sidor, enligt Cloudflare), så om du visste vad du ska söka på Google kan du hitta känslig information från användare som loggar in vid tidpunkten för en specifik läcka.
Det här felet blev oupptäckt i cirka fem månader,och lappades efter att ha upptäckts denna vecka. Cloudflare säger att "den största perioden med påverkan var från 13 februari och 18 februari, med cirka 1 av varje 3 300 000 HTTP-förfrågningar genom Cloudflare, vilket potentiellt kan leda till minnesläckage (det är cirka 0,00003% av förfrågningarna)."
Men med en så populär tjänst som Cloudflare, 0.00003% är fortfarande mycket. Vissa människor har sammanställt en lista över webbplatser som använder Cloudflare, och den innehåller över 4 miljoner domäner - inklusive Yelp, OkCupid, Uber, Authy, Medium och många många fler. (Vissa mobilappar påverkas också.)
Du kan läsa mer om de tekniska detaljerna idetta fel på Cloudflares blogg, även om det antagligen bara kommer att intressera dig om du är en programmerare - om du är en vanlig internetanvändare, är det enda du behöver veta ...
Vad ska jag göra?
Först: panikera inte för mycket. Inte varje webbplats på listan med fyra miljoner läcker nödvändigtvis känslig information - om en webbplats bara använder Cloudflare för att cache-bilddata, till exempel, skulle det inte finnas någon känslig information att läcka. Och det är inte som att varje läcka var en huvudlista med lösenord ändå - det var slumpmässiga informationsbitar, vilket skulle kunna har inkluderat några slumpmässiga användarnamn och lösenord vid en viss tidpunkt.
Cloudflare noterade dock också att en av derasegna privata nycklar läckte ut, vilket skulle ha gett en angripare tillgång till många interna Cloudflare-data - inklusive, eventuellt, användarnamn och lösenord. Cloudflare var extremt vag om just denna punkt, trots att det var en stor säkerhetsrisk med potential att läcka mycket mer känslig information
Allt som sagt, det finns inget riktigt sätt att säga om någon av dina uppgifter har läckt ut och var, så den enda säkra åtgärden just nu är att ändra alla dina lösenord. (Visst, du kan titta igenom listan med fyra miljoner webbplatser och bara ändra de som används av Cloudflare, men ärligt talat skulle det antagligen vara lättare och snabbare att bara ändra dem alla.)
De vanliga reglerna med lösenord gäller här: använder inte samma lösenord på flera webbplatser, använd en lösenordshanterare som LastPass och aktiverar tvåfaktorautentisering för varje webbplats som tillåter det. Om du inte gör det här är Cloudflare-felet troligen det minsta av dina bekymmer - trots allt hackas webbplatser hela tiden, och om du använder samma lösenord överallt är alla dina data regelbundet i riskzonen.
Om du redan använder en lösenordshanterare, bör denna process vara lätt (om den är lite lång och tråkig). Men du borde vara van vid denna dans nu.
