Cloudbleed:更改所有密码真的很重要吗?

信息安全 脆弱性 缓冲区溢出
2021-08-27 11:26:30

针对 Google 和 Cloudflare最近披露的 Cloudbleed 漏洞TNW一些消息来源建议人们更改使用 CloudFlare 的网站和服务的密码。在我看来,这是一个合理的预防措施。

其他人则建议人们更改所有密码即使是不使用 Cloudflare 的服务也是如此。根据我们目前所知道的——诚然在调查的早期——这似乎反应过度了。

据我所知,基本原理是这样的:

  • 你可能会重复使用你的密码,你这个大人物。泄露受 Cloudbleed 影响的密码会泄露您的其他帐户。
  • 无论如何,您有时应该更改密码。停止抱怨。这是对你有好处。
  • 搜索受影响网站的列表非常困难。更改所有密码要容易得多。

我不会轻易更改所有密码。我的密码管理器中有 400 多个站点,而且我不重复使用密码。在列表中查找数百个站点,无论是在Github上还是在它使用 Cloudflare上,与将它们全部更改的繁琐时间相比,这听起来并不难。

到目前为止,听起来 Cloudbleed 偶尔会导致来自一个支持 Cloudflare 的页面的信息泄漏到另一个支持 Cloudflare 的页面的输出中。

所以我错过了什么吗?鉴于我们目前所知(2017 年 2 月 25 日),是否有充分的、基于科学的理由来更改所有网站和服务的所有密码?或者这是一种恐慌反应?

4个回答

虽然Miao对于密码的情况是正确的,但这个漏洞也会使 oauth 令牌受到损害。如果依赖 Cloudflare 的站点使用 Oauth,您应该采取额外的步骤来重置 Web 上的 oauth 依赖会话。

没有理由更改任何其他密码。我能想到的唯一可能需要它的场景如下:

攻击者获知您的邮件服务的密码。然后,他/她使用受感染的邮件服务来重置非 CloudFlare 服务的密码。

由于我找不到依赖 CloudFlare 的邮件服务,所以这种情况根本不可能发生,我确信这是一个恐慌响应。

老实说,我不认为人们会像某些人试图让你相信的那样受到严重影响。您的帐户受到影响的概率几乎为零。

要受到影响,必须同时发生几件事:

  1. 您在其中一个受影响的网站上冲浪。
  2. 攻击者同时试图通过发出尽可能多的错误请求来收集私人数据,因为他的连接和 cloudflare 允许他这样做
  3. 攻击者登陆您的请求之前提供服务的相同反向代理实例

这三件事一定几乎同时发生。在第 2 点,攻击者可能已经收集了一些用户的私人数据,但您是其中之一的可能性非常低。

它一定同时发生的原因很简单。代理实例没有无限的内存,因此内存经常被重用。因此,即使代理内存包含您请求中的一些敏感数据,其他用户的以下请求之一也会由于重复使用相同的内存而覆盖此数据。

我假设您和攻击者此时使用的代理实例也取决于您和攻击者的地理位置。我从来没有在 cloudflare 的帮助下托管过任何东西,也从来没有研究过它们的负载平衡是如何工作的,但我认为他们总是试图给你一个代理实例,为特定的地理位置提供最佳性能。基于这个假设,我猜攻击者仅限于同一位置的代理。

此外,由于只有少数请求会包含您的密码(可能只有登录请求),因此大多数泄露的敏感数据只会包含会话令牌和类似的东西。因此,您的密码被泄露的可能性会进一步下降。

下一点:截至目前,假设在发现并关闭漏洞之前没有利用 cloudbleed。假设泄露的数据主要存在于搜索引擎缓存中(可能还有互联网中所有其他缓存)。但是,与攻击者获取足够敏感数据并实际获取您的数据所需的请求相比,这些搜索引擎所做的泄露数据的请求数量非常少。

有一些步骤可以采取:

  1. 清除浏览器数据和 cookie
  2. 从所有网站注销以停用您的会话
  3. 受 cloud-bleed 漏洞影响的网站应通知所有用户更改密码。您将被迫更改密码。
  4. 尽快设置双因素身份验证