Внимание: Массовая смена паролей

[Void92]

Внимание, в период между 22 сентября 2016 года и 18 февраля 2017 года, если вы пользовались любыми сайтами с Cloudflare, такими как:

avito.ru
4pda.ru
forbes.ru
shazoo.ru
iphones.ru
javascript.ru
4chan.com
medium.com
patreon.com
thepiratebay.org
pastebin.com

И еще миллионы сайтов по всему интернету, были скомпрометированы по вине сервиса Cloudflare. В этот период пароли, личные сообщения, ключи API и масса другой важной информации, могла быть слита Cloudflare совершенно случайным запросам. Более того, данные кэшировались поисковиками и могли запрашиваться в последние месяцы. Вероятность того что действительно важная информация попала в руки нехороших людей мала, однако она существует, поэтому не стоит рисковать.

Что делать:

ПОМЕНЯТЬ ВСЕ ПАРОЛИ!

Особенно на сайтах, которые используете чаще всего и которые входят в список, использующих сервис Cloudflare. Вероятность того, что сайт использует сервис очень высока. Так что менять пароли следует совершенно везде.

Полноценный список потенцально скомпрометированных доменов включает 4,287,625 сайтов. То же касается и iOS приложений, однако данные пока не сообщаются.

Повторяю еще раз:

МЕНЯЙТЕ СОВЕРШЕННО ВСЕ ПАРОЛИ!

Ваша сетевая безопасность — ваша личная ответственность.

Больше информации можно почитать тут.

Источник

[raduser]

СК2ТВ тоже там есть, он пользовал этот сервис, а может и сейчас пользует.

[Void92]

Кому нужен мертвый сайт

[Rendo_M]

СК2ТВ тоже там есть, он пользовал этот сервис, а может и сейчас пользует.

на ск2тв я итак постоянно меняю пароль, так как свой пароль ввести нельзя, приходится пользоваться тем, что сгенерировали, и так как постоянно разлогинивает - приходится восстанавливать пароль на почту.
Команда портала создала надежную защиту.

[Kergan]

Команда портала создала надежную защиту.

kek

[Nneon]

ПОМЕНЯТЬ ВСЕ ПАРОЛИ!

Опять??? Да сколько можно-то! Времени уже ни на что не останется, кроме как каждый день менять пароли от всех сайтов
Но это же касается только одинаковых паролей, правда? Если на другом сайте пароль другой, его же не взломают, да? Да и вообще, что там может быть важного на этих сайтах, даже на Авито, ну узнают, сколько старых носков я продал, ну телефон и почта в базу спама попадут, ох щи

[Uncontrolled]

Почта gmail тоже под угрозой?

[Nneon]

Почта gmail тоже под угрозой?

Не, я думаю, эти ребята сольют что-то, только если сами того захотят Как того китайского оппозиционера властям

Скрытый текст

А помнишь такую игру - Старкрафт

[свернуть]

[Dracweek]

Да по хуй, кому нужны ваши убогие аккаунты с тупой хуитой.

[altwazar]

От ластпасса там ни чего не утекло? Было бы поучительно.

[quyse]

https://bugs.chromium.org/p/project-...detail?id=1139

I don't know if this issue was noticed and exploited, but I'm sure other crawlers have collected data and that users have saved or cached content and don't realize what they have, etc. We've discovered (and purged) cached pages that contain private messages from well-known services, PII from major sites that use cloudflare, and even plaintext API requests from a popular password manager that were sent over https (!!).

We keep finding more sensitive data that we need to cleanup. I didn't realize how much of the internet was sitting behind a Cloudflare CDN until this incident.

The examples we're finding are so bad, I cancelled some weekend plans to go into the office on Sunday to help build some tools to cleanup. I've informed cloudflare what I'm working on. I'm finding private messages from major dating sites, full messages from a well-known chat service, online password manager data, frames from adult video sites, hotel bookings. We're talking full https requests, client IP addresses, full responses, cookies, passwords, keys, data, everything.

Жопа короче.

На самом деле удивительно, как мы до такого докатились. Через Cloudflare проходит наверно уже половина всего инет трафика, причём они его видят, даже https (потому что шифрование/расшифрование SSL трафика всегда происходит на их стороне, а не на origin серверах, т.е. они всегда man-in-the-middle). И теперь из-за бага в каком-то древнем парсере они моментально компроментируют всех.

[Liberty0]

А Мамба входит в этот список? А то у меня там недавно неприятная история произошла. Короче, одна тян строила мне глазки, а потом отнекивалась, что типа её акк взломали. Я думал - врёт, потратил на неё кучу времени, а потом она меня заигнорила ))) А сейчас вот вспомнил про это. Хотя у неё там было мобильное приложение... А приложение тоже через этот их CloudFlare работает?

[drow]

Через Cloudflare проходит наверно уже половина всего инет трафика

http://cryto.net/~joepie91/blog/2016...ave-a-problem/

Currently, CloudFlare essentially controls 11% of the 10k biggest websites, over 8% of the 100k biggest websites (source), and almost 5% of sites on the entire web (source).

причём они его видят, даже https

они не могут расшифровать https трафик если там используется не их сертификат. Т.е. сайт не только должен пользоваться клаудом, но и пользовиться SSL сертификатом от клауда и только такие случаи https трафика создают проблему с найденным багом.

[Vivisektor1]

Я потеряю аккаунт с ск2тв.

[shr]

Пожалуй, первая реально полезная тема от Void92 из тех, что помню.
Советую посмотреть ссылку выше в посте quyse, там Tavis дает скрины с примерами того, что видел.

[r0mjk3]

Да по хуй, кому нужны ваши убогие аккаунты с тупой хуитой.

+100500

[патикот]

Пожалуй, первая реально полезная тема от Void92 [2]

[quyse]

Сообщение от quyse
Через Cloudflare проходит наверно уже половина всего инет трафика

http://cryto.net/~joepie91/blog/2016...ave-a-problem/
Currently, CloudFlare essentially controls 11% of the 10k biggest websites, over 8% of the 100k biggest websites (source), and almost 5% of sites on the entire web (source).

Чё докапываешься, половина трафика - это было фигуральное выражение. 11%/8%/5% это тоже очень много.

они не могут расшифровать https трафик если там используется не их сертификат. Т.е. сайт не только должен пользоваться клаудом, но и пользовиться SSL сертификатом от клауда и только такие случаи https трафика создают проблему с найденным багом.

Ты загружаешь им свой сертификат, включая приватный ключ. И даже когда ты не хочешь давать им свой ключ, у них есть Keyless SSL https://www.cloudflare.com/ssl/keyless-ssl/ которое с помощью твоего сервера устанавливает SSL соединение, но всё равно видит всё, потому что получает сессионный ключ.

Keyless SSL requires that Cloudflare decrypt, inspect and re-encrypt traffic for transmission back to a customer’s origin.

По сути ты так только защищаешь свой ключ, но не трафик. Не говоря уже о том, что это только в Enterprise плане.

Таким образом, чтобы они не видели трафик, надо использовать CloudFlare только как DNS сервер, а не CDN. Но это понятно, и это не интересно. В остальных случаях трафик они видят всегда. Что-то я упускаю?

[drow]

Что-то я упускаю

не, ты прав, если юзать как цдн то трафик они расшифровывали и провал. От тут ещё хорошо расписано про это
http://cryto.net/~joepie91/blog/2016...ave-a-problem/