Apa Cloudflare, dan Apakah Itu Benar-Benar Membocorkan Data Saya di Seluruh Internet?

Selama beberapa bulan terakhir, bug dalam layanan Cloudflare yang populer mungkin telah mengekspos data pengguna yang sensitif - termasuk nama pengguna, kata sandi, dan pesan pribadi - ke dunia dalam bentuk teks biasa. Tetapi seberapa besar masalah ini, dan apa yang harus Anda lakukan?

Apa itu Cloudflare??

Cloudflare adalah layanan yang menawarkan fitur keamanan dan kinerja (antara lain) ke jaringan situs web yang luas. Bertindak sebagai proxy terbalik, perantara antara Anda-pengguna-dan situs web yang diberikan. Ketika Anda mengunjungi situs itu, Anda akan diarahkan ke salah satu server Cloudflare alih-alih server situs yang sebenarnya.

Ini memungkinkan Cloudflare untuk memastikan bahwa Anda adalah pengguna yang sah (sehingga melindungi terhadap penolakan serangan layanan), memuat situs lebih cepat (karena mereka telah menembolok bagian-bagian tertentu dari situs), dan melindungi terhadap waktu henti (karena mereka memiliki beberapa server di seluruh dunia dan dapat kembali pada server mana pun jika ada masalah).

Cloudflare memastikan penyerang DDoS tidak mendapatkan traffic mereka ke situs web yang sebenarnya.

Singkatnya: Cloudflare bertujuan untuk membuat situs lebih cepat dan lebih aman, dan ini adalah layanan yang digunakan banyak situs web.

Apa yang terjadi? (Dan Apa Itu "Cloudbleed?")

Sayangnya, tidak ada yang 100% aman, bahkan jika situs menggunakan layanan seperti Cloudflare, dan bug terjadi. Dalam hal ini, sebenarnya Cloudflare disebabkan masalah keamanan: bug dalam kode proxy terbalik yang mem-parsing HTML menyebabkan server Cloudflare membocorkan isi memorinya dalam kondisi tertentu. (Beberapa orang menyebut ini sebagai "Cloudbleed", permainan dari bug Heartbleed yang juga mempengaruhi sebagian besar internet.)

Data ini dapat mencakup semua jenis data sensitif, termasuk nama pengguna, kata sandi, pesan pribadi, token OAuth, dan banyak lagi. Lebih buruk lagi, beberapa data itu diindeks dan di-cache oleh beberapa mesin pencari (sekitar 700 halaman, menurut Cloudflare), jadi jika Anda tahu apa yang harus dicari di Google, Anda bisa menemukan data sensitif dari pengguna yang masuk pada saat tertentu kebocoran.

Jika Anda tahu apa yang harus dicari, Anda dapat menemukan beberapa informasi Cloudflare yang bocor di mesin pencari.

Bug ini tidak ditemukan selama sekitar lima bulan, dan ditambal setelah ditemukan minggu ini. Cloudflare mengatakan "periode dampak terbesar adalah dari 13 Februari dan 18 Februari dengan sekitar 1 dalam setiap 3.300.000 permintaan HTTP melalui Cloudflare berpotensi mengakibatkan kebocoran memori (itu sekitar 0,00003% dari permintaan)."

Tetapi dengan layanan sepopuler Cloudflare, 0,00003% masih banyak. Beberapa orang telah menyusun daftar situs yang menggunakan Cloudflare, dan itu mencakup lebih dari 4 juta domain-termasuk Yelp, OkCupid, Uber, Authy, Medium, dan banyak lagi lainnya. (Beberapa aplikasi seluler juga terpengaruh.)

Anda dapat membaca lebih lanjut tentang detail teknis bug ini di blog Cloudflare, meskipun mungkin hanya menarik bagi Anda jika Anda seorang programmer-jika Anda adalah pengguna internet biasa, satu-satunya hal yang perlu Anda ketahui adalah ...

Apa yang harus saya lakukan?

Pertama: jangan terlalu panik. Tidak setiap situs dalam daftar 4 juta itu pasti membocorkan informasi sensitif — jika situs itu hanya menggunakan Cloudflare untuk menyimpan data gambar, misalnya, tidak akan ada informasi sensitif yang bocor. Dan bukan berarti setiap kebocoran merupakan daftar utama kata sandi — itu adalah informasi acak, yang bisa telah memasukkan beberapa nama pengguna dan kata sandi acak pada waktu tertentu.

Namun, Cloudflare juga mencatat bahwa salah satu kunci pribadi mereka bocor, yang akan memberikan akses penyerang ke banyak data internal Cloudflare-termasuk, berpotensi, nama pengguna dan kata sandi. Cloudflare sangat tidak jelas tentang hal ini, meskipun itu merupakan risiko keamanan utama dengan potensi untuk membocorkan informasi yang jauh lebih sensitif.

Semua itu mengatakan, tidak ada cara nyata untuk mengetahui apakah ada data Anda yang bocor dan di mana, jadi satu-satunya tindakan aman saat ini adalah dengan ubah semua kata sandi Anda. (Tentu, Anda dapat melihat daftar 4 juta situs dan hanya mengubah yang digunakan oleh Cloudflare, tetapi jujur, mungkin akan lebih mudah dan lebih cepat untuk hanya mengubah semuanya.)

Aturan umum dengan kata sandi berlaku di sini: jangan gunakan kata sandi yang sama di banyak situs, gunakan pengelola kata sandi seperti LastPass, dan nyalakan otentikasi dua faktor untuk setiap situs yang memungkinkannya. Jika Anda tidak melakukan hal-hal ini, bug Cloudflare mungkin adalah yang paling tidak membuat Anda khawatir — lagipula, situs diretas setiap saat, dan jika Anda menggunakan kata sandi yang sama di mana-mana, semua data Anda secara teratur berisiko..

Jika Anda sudah menggunakan pengelola kata sandi, proses ini seharusnya mudah (jika agak lama dan membosankan). Tetapi Anda harus terbiasa dengan tarian ini sekarang.