Lo que nos dicen las fugas de Cloudbleed sobre la seguridad en línea

Una cantidad asombrosa de sitios web utilizan proxies inversos y servicios de mitigación de DDoS como Cloudflare (por ejemplo, Reddit) para protegerlos de catástrofes importantes y mantener las luces encendidas constantemente. Estos servicios a menudo se comercializan a sí mismos como proveedores de seguridad y mejora del rendimiento.

Sin embargo, en directa contradicción con esto, el 17 de febrero de 2017, un error importante en el software de Cloudflare provocó que una gran cantidad de datos privados de millones de sitios web fueran accesibles en cualquier momento. Algunos de estos datos incluso aparecieron en copias en caché de sitios web que aparecieron en los resultados de búsqueda de Google. Este evento en particular, que llegó a conocerse como Cloudbleed, ha presentado una valiosa oportunidad para una discusión sobre el uso seguro de la tecnología.

¡¿Que es todo esto?!

Para los no iniciados, Cloudflare es un servicio que actúa como intermediario entre su sitio web y la Internet en general. Cuando va a un sitio que usa el servicio, en realidad se está conectando a Cloudflare, que se conecta al sitio y le transmite su salida. Almacenará en caché algunas de las páginas visitadas con más frecuencia para que el sitio no tenga que responder cada vez que alguien se conecta, reduciendo así el impacto que tienen las grandes cantidades de tráfico en el servidor local. Esto también ayuda a reducir el impacto que la denegación de servicio distribuida (DDoS) los ataques tienen en su sitio, ya que hay un intermediario que puede frustrar la peor parte de estos ataques, actuando como una especie de semáforo que permite a los visitantes legítimos pasar y detiene a los bots en seco. Cloudflare y otros servicios de proxy inverso (como Incapsula y Akamai) a menudo se promocionarán como proveedores de seguridad de sitios web.

¿Qué es Cloudbleed?

Cloudbleed es un evento en el que un miembro del equipo Project Zero de Google descubrió un error en el software de Cloudflare que descubrió mensajes privados de los principales sitios web, datos del administrador de contraseñas en línea y solicitudes HTTPS completas de varios otros servidores. La respuesta de Cloudflare a las solicitudes de conexión a menudo sobrepasa su espacio de búfer asignado y presenta datos de otros clientes que acceden a sitios web en ese momento. Deja todo a la vista y presenta un riesgo de seguridad catastrófico para cualquiera que use o posea sitios web que dependan del servicio.

El error se corrigió a finales de febrero , aunque el servicio admite que es posible que se hayan producido filtraciones de datos desde la introducción de su nuevo analizador HTML el 22 de septiembre de 2016.

Lecciones aprendidas

Si ha estado leyendo nuestras historias durante un tiempo, es posible que recuerde un evento muy similar conocido como Heartbleed  en 2014 en el que los sitios web que usaban OpenSSL eran vulnerables a un exploit que podía exponer fragmentos de datos privados a personas que espían. Esto, junto con el kerfuffle de Cloudbleed más reciente, nos enseña una lección valiosa: nada es cien por ciento confiable, ni siquiera los servicios con el propósito explícito de protegerte.

Esto no pretende golpear a Cloudflare. El error podría haberle ocurrido a cualquier servicio. El punto aquí es que Internet no es un lugar donde debería esperar un nivel garantizado de seguridad. Podrías hacer todo lo posible para protegerte y aún quedarte al descubierto por una situación sobre la que no tienes control.

¿Qué debe hacer usted?

La verdad es que, como la de Inc.Com Joseph Steinberg escribe , “El riesgo actual es mucho menor que el precio que se pagaría en un aumento de la ‘fatiga de la seguridad cibernética,’ que lleva a problemas mucho mayores en el futuro.” Lo que quiere decir aquí es que la naturaleza del error hace que las posibilidades de que su contraseña se filtre sean tan astronómicamente bajas que cambiarla solo tendrá el efecto de agotarlo. Cuando golpea una crisis real, es posible que esté demasiado agotado por todo el ruido, el pánico y la exageración que puede ignorar una llamada para cambiar su contraseña en un momento crucial. Cloudbleed no es ese momento. Pero por supuesto, si realmente siente la necesidad de hacerlo, cambie su contraseña.

Aparte de eso, manténgase alerta y no ignore los correos electrónicos de los servicios que ama. En el momento en que se presente una crisis, lo más probable es que le envíen una carta amistosa con todo lo que necesita saber al respecto e incluso podrían brindarle sugerencias sobre lo que debe hacer para asegurarse de no verse afectado.

¿Crees que existe la fatiga de la ciberseguridad como sugiere Steinberg? ¿Debería la gente estar en un estado de alerta constante incluso cuando no hay una justificación suficientemente fuerte para el pánico? ¡Cuéntanos lo que piensas en un comentario!

¡Si te ha gustado vota con 5 Estrellas!
(Votos: 0 Promedio: 0)

Escribe Aquí Tu Comentario