知名云安全服务商Cloudflare泄露用户信息
知名云安全服务商Cloudflare泄露用户信息。
近日，一个价值等同于一件T恤的漏洞被发现，影响却超过数百万用户量，结果令人啼笑皆非。一个可能影响互联网为之一颤的漏洞轰然出现，知名云安全服务商 Cloudflare 被爆泄露用户 HTTPS 网络会话中的加密数据长达数月，受影响的网站预计至少200万之多，其中涉及Uber、1password 等多家知名互联网公司的服务。
.png)
据了解，CloudFlare是一家美国的跨国科技企业，以向客户提供网站安全管理、性能优化及相关的技术支持为主要业务。通过基于反向代理的内容传递网络(ContentDeliveryNetwork,CDN)及分布式域名解析服务(DistributedDomainNameServer)，CloudFlare可以帮助受保护站点抵御包括拒绝服务攻击(DenialofService)在内的大多数网络攻击，确保该网站长期在线，同时提升网站的性能、访问速度以改善访客体验。然而由于一个编程错误，导致在特定的情况下，Cloudflare 的系统会将服务器内存里的部分内容缓存到网页中。
因此用户在访问由 Cloudflare 提供支持的网站时，通过一种特殊的方法，可以随机获取来自其他人的会话中的敏感信息。这就好比你在发邮件时，执行一个特定操作就能随机获得他人的机密邮件。虽然是随机获取，可一旦有心之人反复利用该方法，就能积少成多就能获得大量私密数据。
听起来是不是有些像当年席卷整个互联网的心脏滴血漏洞？ 因此也有网友称此次漏洞为“云滴血”，也贴切。
可怕的是，该漏洞自首次被Google公司的安全人员发现，至今已有好几个月。也就是说，在这一期间甚至是在这之前，很可能有不法分子利用该漏洞，造访了所有 Cloudflare 提供服务的网站。而 Cloudflare 服务的互联网公司数量众多，其中不乏我们所熟知的优步（Uber）、OKCupid、Fibit 等等。众多信息被泄露，更可怕的是不知道有多少人的信息会在某天被曝光，毕竟面对未来互联网依旧强大无比，互联网安全依旧是重大研究领域。
漏洞最初是由谷歌 Project Zero 安全团队的漏洞猎人（国内称白帽子）塔维斯。奥曼迪发现的，当时他在谷歌搜索的缓存网页中发现了大量包括加密密钥、cookie和密码在内的数据。于是他很快告知Cloudflare ， Cloudflare 派出团队来处理此事，结果发现导致问题的几个重要操作分别发生在数天和数月之前。
有趣的是，漏洞发现者奥曼迪在帖子中特别提到，Cloudflare 的漏洞赏金最高只奖励一件T恤。因此有网友开玩笑地表示：数百万数据信息只卖一件T恤的价格，求介绍。
据说是Google内部人员先把这个问题报告给Cloudflare，但令人心寒的是只被奖励了一件T恤，这让人啼笑皆非，也异常愤恼，然后就在推特公开…
按理说，这么大的漏洞早已应当引起Cloudflare高层的重视，但结果往往出乎意料。心寒了Google的好心提醒，数百万用户出现隐私泄露安全问题，Cloudflare更是陷入信誉危机，互联网安全危机。
上一新闻：服务器的选择和后期的维护
下一新闻： 步入最好的时代 四大新格局引发中国ICT产业蜕变
Copyright © 1998-2025 网时集团 版权所有 粤B1.B2-20050737号