网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


【每日安全资讯】史上最大的云安全事故?数百万网站数据泄露数月

2017-02-25 09:35 推荐: 浏览: 141 views 字号:

摘要: 2月24日,一个可能影响互联网为之一颤的漏洞轰然出现,知名云安全服务商Cloudflare被爆泄露用户HTTPS网络会话中的加密数据长达数月,受影响的网站预计至少200万之多,其中涉及Uber、1password等多家知名互联网公司的服务。 据雷锋网(公众号:...

2月24日,一个可能影响互联网为之一颤的漏洞轰然出现,知名云安全服务商Cloudflare被爆泄露用户HTTPS网络会话中的加密数据长达数月,受影响的网站预计至少200万之多,其中涉及Uber、1password等多家知名互联网公司的服务。

据雷锋网(公众号:雷锋网)了解,Cloudflare为众多互联网公司提供CDN、安全等服务,帮助优化网页加载性能。然而由于一个编程错误,导致在特定的情况下,Cloudflare的系统会将服务器内存里的部分内容缓存到网页中。

因此用户在访问由Cloudflare提供支持的网站时,通过一种特殊的方法,可以随机获取来自其他人的会话中的敏感信息,哪怕这些数据受到HTTPS的保护。这就好比你在发邮件时,执行一个特定操作就能随机获得他人的机密邮件。虽然是随机获取,可一旦有心之人反复利用该方法,就能积少成多就能获得大量私密数据。

听起来是不是有些像当年席卷整个互联网的心脏滴血漏洞?(可见于:《曾席卷全球的“心脏滴血“漏洞,三年后仍存在于近20万设备中》) 因此也有网友称此次漏洞为“云滴血”。

可怕的是,该漏洞自首次被Google公司的安全人员发现,至今已有好几个月。也就是说,在这一期间甚至是在这之前,很可能有不法分子利用该漏洞,造访了所有Cloudflare提供服务的网站。而Cloudflare服务的互联网公司数量众多,其中不乏我们所熟知的优步(Uber)、OKCupid、Fibit等等。

漏洞最初是由谷歌Project Zero安全团队的漏洞猎人(国内称白帽子)塔维斯·奥曼迪发现的,当时他在谷歌搜索的缓存网页中发现了大量包括加密密钥、cookie和密码在内的数据。于是他很快告知Cloudflare , Cloudflare派出团队来处理此事,结果发现导致问题的几个重要操作分别发生在数天和数月之前。
有趣的是,漏洞发现者奥曼迪在帖子中特别提到,Cloudflare的漏洞赏金最高只奖励一件T恤。因此有网友开玩笑地表示:
据说是Goole的人先把这个问题报告给Cloudflare,但只被奖励了一件T恤,然后就在推特公开…

来源:雷锋网

更多资讯

  1. 暗网买信用卡纪实:亲测盗刷无门槛
  2. 黑客入侵打印机 台湾46所学校被勒索比特币
  3. KasperskyOS安全操作系统终于发布了,一点儿Linux血统都没有
  4. 快递员偷攒8000张快递单售卖谋利侵犯公民信息被公诉
(信息来源于网络,安华金和搜集整理) 

联系站长租广告位!

中国首席信息安全官


关闭


关闭