El CloudBleed, el nou desastre de seguretat a Internet

Al febrer passat va trascendir que un petit error en el codi de Cloudfare havia ocasionat que una enorme quantitat de dades (incloent contrasenyes, dades personals, missatges i més) es filtrés a Internet.

Cloudfare, una de les companyies de seguretat d'Internet més grans del món, va solucionar ràpidament el problema quan Tavis Ormandy, investigador de seguretat a Google, li va notificar el descobriment d'aquesta vulnerabilitat.
La mala notícia és que totes les pàgines web que utilitzen els serveis de Cloudfare porten filtrant dades i informació des de fa mesos. La companyia va assegurar que les primeres filtracions es van dur a terme al setembre de 2016, i es desconeix si algun grup de hackers va trobar la vulnerabilitat i se n'ha aprofitat abans que ho solucionessin. Entre els clients de Cloudfare hi ha companyies tan grans com Uber, OkCupid, 1Password i Fitbit. Això vol dir que una tona de dades confidencials podrien haver estat compromeses.

Igual que passa amb qualsevol vulnerabilitat de seguretat important, passarà molt temps abans que coneguem el nivell de destrucció i caos ocasionat per una nova vulnerabilitat anomenada CloudBleed. Per ara, l'únic que es pot fer és canviar totes les contrasenyes immediatament i activar la verificació en dos passos en tots els comptes que es puguin.

Què és Cloudfare?
És possible que mai hagis sentit el nom de Cloudfare, però la tecnologia desenvolupada per la companyia és la utilitzada per moltíssimes de les teves pàgines web favorites. Cloudfare es considera a si mateixa com una "companyia de seguretat i rendiment web". Originalment eren els responsables d'una aplicació dedicada a fer seguiment a l'spam, però ara ofereixen una gran varietat de productes per a pàgines web, incloent un servei per millorar el rendiment, DNS i altres dedicats a la protecció contra atacs DDoS (denegació de servei).

El fet que Cloudfare sigui una companyia dedicada a la seguretat fa que aquesta vulnerabilitat sigui irònica. Després de tot, una infinitat de companyies li paguen a Cloudfare per protegir les seves dades. CloudBleed va fer tot el contrari.
Tavis Ormandy va anunciar:
"He informat a Cloudfare sobre el meu treball. Vaig trobar missatges privats de pàgines web de cites populars, missatges d'una plataforma de xat coneguda, dades de serveis per gestionar contrasenyes, dades d'usuaris de llocs per a adults, reserves en hotels i més coses. Estem parlant de sol·licituds detallades de HTTPS, adreces IP de clients, galetes, contrasenyes, dades ... tot".
Ormandy també va dir que la vulnerabilitat CoudBleed va filtrar les dades de 3.438 dominis individuals durant cinc dies al mes de febrer passat.

Com funciona CloudBleed?
CloudBleed és una fallada molt interessant perquè es basa en només una entrada al codi de Cloudfare. Se sospita que es tracta d'un error de codi, pel que hem contactat a la companyia per conèixer les seves declaracions oficials sobre el que va succeir. Tenint en compte el que s'ha reportat fins ara, sembla que CloudBleed funciona de manera similar a com funcionava Heartbleed, filtrant informació durant certs processos.

També se sospita que CloudBleed podria afectar tants usuaris com ho va fer Heartbleed en el seu moment, atès que entre les víctimes hi ha diversos serveis de seguretat utilitzats per moltes pàgines web.
Segons un article al blog de Cloudfare, el problema té a veure amb la decisió de la companyia d'usar una nova eina d'HTML anomenada cf-html. Aquest tipus d'eina serveix per analitzar el codi i obtenir informació rellevant que busqui la companyia, la qual cosa permet que sigui més senzill modificar aquest codi quan es necessita.

Cloudfare es va trobar amb alguns problemes en formatejar el codi font de cf-html. Un error en el codi va crear el què s'anomenada una "vulnerabilitat de saturació de memòria intermèdia" (l'error tenia a veure amb l'aparició d'un "==" al codi en lloc d'un "> ="). Això vol dir que quan el programari escrivia dades a la memòria intermèdia (una quantitat d'espai limitada per dades temporals) també escrivia codi en un altre lloc.
Dit d'una altra manera, el programari de Cloudfare va intentar guardar dades d'usuaris en el lloc correcte, però amb el temps aquest lloc es va omplir, de manera que el sistema va començar a emmagatzemar aquestes dades en un altre lloc, incloent en pàgines web completament diferents. Aquestes dades també eren emmagatzemades a la memòria cau de Google i altres llocs, el que significa que ara Cloudfare ha de trobar-los abans que els hackers.

Font: Gizmodo