Was ist Cloudflare und sind meine Daten wirklich im gesamten Internet durchgesickert?

In den letzten Monaten hat ein Fehler im beliebten Cloudflare-Dienst möglicherweise sensible Benutzerdaten – einschließlich Benutzernamen, Passwörter und private Nachrichten – im Klartext der Welt zugänglich gemacht. Aber wie groß ist dieses Problem und was ist zu tun?

Was ist Cloudflare?

Cloudflare ist ein Dienst, der (unter anderem) Sicherheits- und Leistungsfunktionen für ein breites Netzwerk von Websites bietet. Es fungiert als Reverse-Proxy, als Vermittler zwischen Ihnen – dem Benutzer – und einer bestimmten Website. Wenn Sie diese Site besuchen, werden Sie zu einem der Server von Cloudflare anstatt zu den Servern der eigentlichen Site geleitet.

Auf diese Weise kann Cloudflare sicherstellen, dass Sie ein legitimer Benutzer sind (und so vor Denial-of-Service-Angriffen schützen), die Site schneller laden (da sie bestimmte Teile der Site zwischengespeichert haben) und vor Ausfallzeiten schützen (da sie mehrere Server weltweit haben und auf jeden Server zurückgreifen kann, wenn man ein Problem hat).

Cloudflare stellt sicher, dass DDoS-Angreifer ihren Datenverkehr nicht auf die eigentliche Website leiten.

Kurz gesagt: Cloudflare zielt darauf ab, Websites schneller und sicherer zu machen, und dieser Dienst wird von vielen Websites verwendet.

Was ist passiert? (Und was ist «Cloudbleed?»)

Leider ist nichts 100% sicher, selbst wenn eine Site einen Dienst wie Cloudflare verwendet und Fehler auftreten. In diesem Fall stellt Cloudflare tatsächlich ein Sicherheitsproblem dar: Ein Fehler im Reverse-Proxy-Code, der HTML parst, führte dazu, dass die Server von Cloudflare unter bestimmten Umständen den Inhalt seines Speichers verloren. (Einige Leute bezeichnen dies als «Cloudbleed», ein Spiel mit dem Heartbleed-Bug, der auch einen großen Teil des Internets betraf.)

Diese Daten könnten alle Arten von sensiblen Daten enthalten, einschließlich Benutzernamen, Passwörter, private Nachrichten, OAuth-Token und vieles mehr. Schlimmer noch, einige dieser Daten wurden von einigen Suchmaschinen indiziert und zwischengespeichert (laut Cloudflare etwa 700 Seiten). Leck.

Wenn Sie wissen, wonach Sie suchen müssen, können Sie einige der von Cloudflare durchgesickerten Informationen in Suchmaschinen finden.

Dieser Fehler blieb ungefähr fünf Monate lang unentdeckt und wurde diese Woche gepatcht, nachdem er entdeckt wurde. Cloudflare sagt: „Die größte Auswirkung war vom 13. Februar bis 18. Februar mit etwa 1 von 3.300.000 HTTP-Anfragen über Cloudflare, die möglicherweise zu einem Speicherverlust führen (das sind etwa 0,00003 % der Anfragen).“

Aber bei einem so beliebten Dienst wie Cloudflare sind 0,00003 % immer noch viel. Einige Leute waren Erstellen einer Liste von Websites, die Cloudflare verwenden, und es umfasst über 4 Millionen Domains – darunter Yelp, OkCupid, Uber, Authy, Medium und viele mehr. (Einige mobile Apps sind betroffen sowie.)

Sie können mehr über die technischen Details dieses Fehlers lesen auf Cloudflares Blog, obwohl es Sie wahrscheinlich nur für Programmierer interessieren wird – wenn Sie ein regelmäßiger Internetnutzer sind, müssen Sie nur Folgendes wissen:

Was sollte ich tun?

Erstens: Keine Panik. Nicht jede Seite auf diese Liste von 4 Millionen zwangsläufig sensible Informationen durchsickern lassen – wenn eine Site beispielsweise nur Cloudflare zum Zwischenspeichern von Bilddaten verwendet, gibt es keine sensiblen Informationen, die durchgesickert sind. Und es ist sowieso nicht so, dass jedes Leck eine Masterliste von Passwörtern war – es waren zufällige Informationen, die zu einem bestimmten Zeitpunkt ein paar zufällige Benutzernamen und Passwörter enthielten.

Cloudflare stellte jedoch auch fest, dass einer ihrer eigenen privaten Schlüssel durchgesickert war, was einem Angreifer Zugriff auf viele interne Cloudflare-Daten ermöglicht hätte – einschließlich möglicherweise Benutzernamen und Passwörter. Cloudflare war in Bezug auf diesen speziellen Punkt äußerst vage, obwohl er ein großes Sicherheitsrisiko darstellt und möglicherweise viel sensiblere Informationen preisgibt.

Alles in allem gibt es keine wirkliche Möglichkeit zu sagen, ob und wo Ihre Daten durchgesickert sind ändere alle deine Passwörter. (Sicher, Sie könnten die Liste der 4 Millionen Sites durchsehen und nur die von Cloudflare verwendeten ändern, aber ehrlich gesagt wäre es wahrscheinlich einfacher und schneller, sie alle zu ändern.)

Hier gelten die üblichen Regeln bei Passwörtern: nicht auf mehreren Seiten das gleiche Passwort verwenden, sondern einen Passwortmanager wie LastPass, und aktivieren Sie die Zwei-Faktor-Authentifizierung für jede Site, die dies zulässt. Wenn Sie diese Dinge nicht tun, ist der Cloudflare-Bug wahrscheinlich die geringste Ihrer Sorgen – schließlich werden Websites ständig gehackt, und wenn Sie überall dasselbe Passwort verwenden, sind alle Ihre Daten regelmäßig gefährdet.

Wenn Sie bereits einen Passwortmanager verwenden, sollte dieser Vorgang einfach sein (wenn auch etwas lang und langweilig). Aber an diesen Tanz solltest du dich mittlerweile gewöhnt haben.