เว็บไซต์จำนวนมหาศาลใช้ reverse proxies และบริการบรรเทา DDoS เช่น Cloudflare (เช่น Reddit) เพื่อปกป้องจากภัยพิบัติใหญ่และให้ออนไลน์ต่อเนื่อง บริการเหล่านี้มักตลาดตัวเองเป็นผู้ให้ความปลอดภัยและเพิ่มประสิทธิภาพ
แต่ขัดแย้งโดยตรง ในวันที่ 17 กุมภาพันธ์ 2560 บั๊กใหญ่ในซอฟต์แวร์ Cloudflare ทำให้ข้อมูลส่วนตัวจากเว็บไซต์ล้านๆ เข้าถึงได้ตลอดเวลา บางข้อมูลปรากฏใน cached copies ของเว็บที่ขึ้นในผลค้นหา Google เหตุการณ์นี้ที่รู้จักว่า Cloudbleed เปิดโอกาสคุยเรื่องการใช้เทคโนโลยีอย่างปลอดภัย
ทั้งนี้เป็นอะไร?!
สำหรับมือใหม่ Cloudflare เป็นบริการ middleman ระหว่างเว็บไซต์ของคุณและอินเทอร์เน็ตกว้าง เมื่อคุณเข้าเว็บที่ใช้บริการ คุณเชื่อมต่อ Cloudflare จริงๆ ซึ่งต่อกับเว็บและส่งผลลัพธ์กลับมา มัน cache หน้าที่เข้าบ่อย ไม่ให้เว็บตอบทุกครั้ง ลดผลกระทบจากトラフィック มาก และช่วยลดผลกระทบ DDoS เพราะมี middleman กักกันส่วนใหญ่ เหมือนไฟแดงที่ปล่อยผู้เยี่ยมชมจริงผ่าน และหยุดบอท Cloudflare และ reverse proxy อื่นๆ (Incapsula, Akamai) มักตลาดว่าเป็นผู้ให้ความปลอดภัยเว็บ
Cloudbleed คืออะไร?
Cloudbleed คือเหตุการณ์ที่พบบั๊กในซอฟต์แวร์ Cloudflare โดยสมาชิก Project Zero ของ Google เปิดเผยข้อความส่วนตัวจากเว็บใหญ่ ข้อมูล password manager และ HTTPS requests เต็มรูปแบบจากเซิร์ฟเวอร์อื่นๆ การตอบสนองต่อคำขอเชื่อมต่อของ Cloudflare มักล้น buffer space ที่จัดสรร และนำเสนอข้อมูลจากลูกค้าอื่นที่เข้าถึงเว็บในขณะนั้น ทำให้ทุกอย่างโล่ง และเป็นความเสี่ยงความปลอดภัยร้ายแรงสำหรับผู้ใช้หรือเจ้าของเว็บที่พึ่งพาบริการ
บั๊กถูก patch สิ้นเดือนกุมภาพันธ์ แม้บริการยอมรับว่าการรั่วไหลอาจเกิดตั้งแต่แนะนำ HTML parser ใหม่วันที่ 22 กันยายน 2559
บทเรียนที่ได้
หากคุณอ่านเรื่องราวของเรามาโดยตลอด คุณอาจจำเหตุการณ์คล้ายกัน Heartbleed ในปี 2557 ที่เว็บใช้ OpenSSL เปราะบางต่อ exploit ที่เปิดเผยชิ้นส่วนข้อมูลส่วนตัวให้ผู้เห็นราว ร่วมกับ Cloudbleed 近期 สอนบทเรียนมีค่า: ไม่มีอะไรน่าเชื่อถือ 100% แม้บริการที่มีวัตถุประสงค์ชัดเจนคือปกป้องคุณ
ไม่ได้หมายถึงการตำหนิ Cloudflare บั๊กอาจเกิดกับบริการไหนก็ได้ จุดสำคัญคือ อินเทอร์เน็ตไม่ใช่ที่ที่คุณควรคาดหวังระดับความปลอดภัยที่รับประกัน คุณอาจทำทุกอย่างเพื่อปกป้องตัวเอง และยังถูกทิ้งไว้โล่งโดยสถานการณ์ที่คุณควบคุมไม่ได้
คุณควรทำอย่างไร?
ความจริง ตาม Joseph Steinberg ของ Inc.Com เขียน "ความเสี่ยงปัจจุบันเล็กกว่าราคาที่จ่ายจาก 'cybersecurity fatigue' ที่เพิ่มขึ้น นำไปสู่ปัญหาใหญ่ในอนาคต" หมายถึง ลักษณะบั๊กทำให้โอกาสรหัสผ่านรั่วไหลต่ำมาก การเปลี่ยนรหัสจะทำให้คุณเหนื่อยล้าของกว่านั้น เมื่อวิกฤตจริงมา คุณอาจเหนื่อยจาก noise panic hype จนไม่สนใจคำเตือนเปลี่ยนรหัสในช่วงสำคัญ Cloudbleed ไม่ใช่วิกฤตินั้น แต่หากรู้สึกจำเป็น ตามใจเปลี่ยนรหัสก็ได้
นอกจากนี้ เพียงอยู่เฝ้าระวัง และอย่าเพิกเฉยอีเมลจากบริการที่คุณชอบ เมื่อวิกฤตมาจริง พวกเขาจะส่งจดหมายเป็นมิตรพร้อมทุกอย่างที่ต้องรู้ และอาจเสนอคำแนะนำว่าควรทำอะไรเพื่อไม่ได้รับผลกระทบ
คุณคิดว่า cybersecurity fatigue มีจริงเหมือน Steinberg เสนอไหม? ควรอยู่ในภาวะเตือนตลอดเวลาแม้ไม่มีเหตุผลพอที่จะ panic ไหม? บอกเราในความคิดเห็น!
