开发者社区> boxti> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

数百万网站数据泄露长达数月,这也许是史上最大的云安全事故

简介:
+关注继续查看
 
    

数百万网站数据泄露长达数月,这也许是史上最大的云安全事故


今日(2月24日),一个可能影响互联网为之一颤的漏洞轰然出现,知名云安全服务商 Cloudflare 被爆泄露用户 HTTPS 网络会话中的加密数据长达数月,受影响的网站预计至少200万之多,其中涉及Uber、1password 等多家知名互联网公司的服务。

据雷锋网(公众号:雷锋网)了解,Cloudflare 为众多互联网公司提供 CDN、安全等服务,帮助优化网页加载性能。然而由于一个编程错误,导致在特定的情况下,Cloudflare 的系统会将服务器内存里的部分内容缓存到网页中。

因此用户在访问由 Cloudflare 提供支持的网站时,通过一种特殊的方法,可以随机获取来自其他人的会话中的敏感信息。这就好比你在发邮件时,执行一个特定操作就能随机获得他人的机密邮件。虽然是随机获取,可一旦有心之人反复利用该方法,就能积少成多就能获得大量私密数据。

数百万网站数据泄露长达数月,这也许是史上最大的云安全事故

听起来是不是有些像当年席卷整个互联网的心脏滴血漏洞?(可见于:《曾席卷全球的“心脏滴血“漏洞,三年后仍存在于近20万设备中》) 因此也有网友称此次漏洞为“云滴血”。

可怕的是,该漏洞自首次被Google公司的安全人员发现,至今已有好几个月。也就是说,在这一期间甚至是在这之前,很可能有不法分子利用该漏洞,造访了所有 Cloudflare 提供服务的网站。而 Cloudflare 服务的互联网公司数量众多,其中不乏我们所熟知的优步(Uber)、OKCupid、Fibit 等等。

漏洞最初是由谷歌 Project Zero 安全团队的漏洞猎人(国内称白帽子)塔维斯·奥曼迪发现的,当时他在谷歌搜索的缓存网页中发现了大量包括加密密钥、cookie和密码在内的数据。于是他很快告知Cloudflare , Cloudflare 派出团队来处理此事,结果发现导致问题的几个重要操作分别发生在数天和数月之前。

有趣的是,漏洞发现者奥曼迪在帖子中特别提到,Cloudflare 的漏洞赏金最高只奖励一件T恤。因此有网友开玩笑地表示:

据说是Google的人先把这个问题报告给Cloudflare,但只被奖励了一件T恤,然后就在推特公开…

  

本文作者:谢幺

本文转自雷锋网禁止二次转载,原文链接

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
Twitter频遭黑客攻击 彰显云安全隐患
本文讲的是Twitter频遭黑客攻击 彰显云安全隐患,在选择攻击目标方面,黑客们是越来越有创意了。Twitter最近就发现自己成了黑客攻击下的牺牲品。
1050 0
周末警惕宝马下载器 四大危害威胁用户
4月17日,金山毒霸云安全中心提醒广大网友,周末上网应警惕一个名为宝马下载器的病毒。病毒通过百万次的高频攻击,一天便“成功”入侵了6万台电脑。 金山毒霸反病毒专家李铁军指出,国内主要的挂马集团正通过网页挂马的方式力推宝马下载器。
760 0
+关注
boxti
12535
文章
问答
来源圈子
更多
+ 订阅
文章排行榜
最热
最新
相关电子书
更多
打击网络黑产浅见分享
立即下载
千里之外,洞悉风险——网站安全即服务
立即下载
威胁情报在网络犯罪侦查中的落地应用
立即下载