Một lượng đáng kinh ngạc các trang web sử dụng reverse proxy và dịch vụ giảm thiểu DDoS như Cloudflare (ví dụ: Reddit) để bảo vệ họ khỏi thảm họa lớn và giữ cho đèn luôn sáng. Các dịch vụ này thường quảng bá mình như nhà cung cấp an ninh và tăng cường hiệu suất.
Tuy nhiên, trực tiếp trái ngược với điều này, vào ngày 17 tháng 2 năm 2017, một lỗi lớn trong phần mềm của Cloudflare khiến lượng lớn dữ liệu riêng tư từ hàng triệu trang web có thể truy cập tại bất kỳ thời điểm nào. Một số dữ liệu này thậm chí xuất hiện trên bản sao lưu (cached) của trang web hiển thị trong kết quả tìm kiếm của Google. Sự kiện cụ thể này, được biết đến với tên Cloudbleed, đã trình bày một cơ hội quý giá cho cuộc thảo luận về việc sử dụng công nghệ an toàn.
Tất cả đây là gì?!
Dành cho người chưa biết, Cloudflare là dịch vụ đóng vai trò trung gian giữa trang web của bạn và Internet rộng lớn. Khi bạn truy cập trang web dùng dịch vụ này, bạn thực tế kết nối với Cloudflare, Cloudflare kết nối với trang web và chuyển tiếp đầu ra của nó cho bạn. Nó sẽ cache một số trang truy cập thường xuyên để trang web không phải trả lời mỗi lần ai đó kết nối, từ đó giảm tác động của lượng truy cập lớn lên server cục bộ. Điều này cũng giúp giảm tác động của tấn công từ chối dịch vụ phân tán (DDoS) lên trang web vì có một trung gian có thể 저지 phần lớn các cuộc tấn công này, đóng vai trò như một đèn giao thông cho phép người truy cập hợp pháp qua và chặn bot. Cloudflare và các dịch vụ reverse proxy khác (như Incapsula và Akamai) thường quảng bá mình như người cung cấp an ninh trang web.
Cloudbleed là gì?
Cloudbleed là sự kiện một lỗi được phát hiện trong phần mềm của Cloudflare bởi thành viên của Project Zero của Google, làm lộ tin nhắn riêng tư từ các trang web lớn, dữ liệu trình quản lý mật khẩu trực tuyến, và yêu cầu HTTPS đầy đủ từ một số server khác. Phản hồi của Cloudflare đối với yêu cầu kết nối thường tràn bộ nhớ đệm (buffer) được cấp phát và trình bày dữ liệu từ bất kỳ khách hàng nào khác đang truy cập trang web tại thời điểm đó. Nó để mọi thứ trơ trọi và trình bày rủi ro bảo mật thảm khốc cho bất kỳ ai sử dụng hoặc sở hữu trang web dựa vào dịch vụ này.
Lỗi được vá vào cuối tháng 2, mặc dù dịch vụ thừa nhận rò rỉ dữ liệu có thể đã xảy ra từ khi trình phân tích HTML mới được giới thiệu vào ngày 22 tháng 9 năm 2016.
Bài học rút ra
Nếu bạn đã đọc các câu chuyện của chúng tôi một thời gian, bạn có thể nhớ một sự kiện rất tương tự gọi là Heartbleed vào năm 2014, nơi các trang web sử dụng OpenSSL dễ bị tổn thương trước khai thác có thể lộ các mảnh dữ liệu riêng tư cho bên nghe lén. Cái này cùng với rắc rối Cloudbleed gần đây hơn dạy chúng ta một bài học quý giá: không có gì tin cậy 100%, ngay cả các dịch vụ có mục đích rõ ràng là bảo vệ bạn.
Điều này không nhằm chỉ trích Cloudflare. Lỗi có thể xảy ra với bất kỳ dịch vụ nào. Điểm ở đây là Internet không phải nơi bạn nên kỳ vọng mức độ an toàn đảm bảo. Bạn có thể làm mọi thứ có thể để bảo vệ bản thân và vẫn bị bỏ trơ trọi trước tình huống bạn không kiểm soát được.
Bạn nên làm gì?
Sự thật là, như Joseph Steinberg của Inc.Com viết, "Rủi ro hiện tại nhỏ hơn nhiều so với giá phải trả trong 'mệt mỏi an ninh mạng' (cybersecurity fatigue) gia tăng, dẫn đến vấn đề lớn hơn trong tương lai." Ý ông là bản chất của lỗi khiến khả năng mật khẩu của bạn rò rỉ thấp đến mức thiên văn, nên đổi mật khẩu chỉ có hiệu quả làm bạn kiệt sức. Khi khủng hoảng thực sự xảy ra, bạn có thể quá kiệt sức bởi tất cả tiếng ồn, hoang mang và hype mà bạn có thể bỏ lỡ lời kêu gọi đổi mật khẩu trong khoảnh khắc then chốt. Cloudbleed không phải khoảnh khắc đó. Nhưng bằng mọi cách, nếu bạn thực sự cảm thấy cần làm, hãy đổi mật khẩu.
Ngoài ra, chỉ cần giữ cảnh giác và không bỏ qua email từ các dịch vụ bạn yêu thích. Khoảnh khắc khủng hoảng đến, họ sẽ gửi cho bạn một lá thư thân thiện với mọi thứ bạn cần biết về nó và thậm chí có thể cung cấp gợi ý về những gì bạn nên làm để đảm bảo bạn không bị ảnh hưởng.
Bạn có nghĩ mệt mỏi an ninh mạng tồn tại như Steinberg gợi ý? Con người có nên ở trong trạng thái cảnh giác liên tục ngay cả khi không có lý do mạnh đủ để hoang mang? Hãy cho chúng tôi biết suy nghĩ của bạn trong bình luận!