Nel corso delle scorse ore Cloudflare, una società che si frappone tra i siti e gli utenti finali in qualità di proxy per proteggere i siti stessi da attacchi di vario tipo, ha rivelato un bug piuttosto serio nei suoi software che ha esposto in forma non criptata, come semplice testo, alcuni dati sensibili degli utenti dei siti (circa cinque milioni) che protegge. La falla, soprannominata Cloudbleed, è stata scoperta pochi giorni fa da un ricercatore di sicurezza di Google Project Zero, ma stando alle prime analisi sarebbe attiva da diversi mesi - precisamente dal 22 settembre 2016.

In questo periodo, chiunque avesse saputo che cosa cercare (e naturalmente questo dettaglio è cruciale per valutare la gravità dell'attacco) avrebbe potuto semplicemente leggere una varietà di informazioni personali degli utenti dei siti protetti da Cloudflare. La falla è stata sistemata nel giro di poche ore, ma sono serviti alcuni giorni in più per cancellarne definitivamente le tracce dalle cache di ogni motore di ricerca - Bing, Google, Yahoo e così via.

Il periodo di maggior incidenza del bug è stato negli scorsi giorni - per la precisione dal 13 al 18 febbraio. Anche in questi giorni di picco, solo lo 0,00003 per cento delle richieste avrebbe potuto esporre i dati. Può sembrare una cifra quasi insignificante, ma teniamo conto che Cloudflare gestisce intorno ai cinque milioni di siti Web; alcuni di questi sono siti/app di incontri, gestori di password e molto altro ancora. La dichiarazione del ricercatore di Google, bisogna ammettere, fa un po' impressione:

Non mi ero mai reso conto di quanta Internet fosse protetta da un CDN di Cloudflare fino a questo incidente. Trovo messaggi privati da grossi siti di incontri, messaggi interi da un servizio di chat molto diffuso, dati di gestori di password online, fotogrammi di video hot, prenotazioni di hotel. Stiamo parlando di richieste HTTPS complete, risposte integrali, cookie, password, dati, ogni cosa.

Tanto per chiarezza, come da prassi, la storia è diventata pubblica dopo che il problema è stato corretto. Come sempre, capire con precisione la gravità e il rischio per noi utenti è molto difficile e dipende da che campana si decide di ascoltare. La posizione di chi ha scoperto il bug, come abbiamo visto sopra, è piuttosto chiara; per contro, Cloudflare dubita che le informazioni siano finite nelle mani sbagliate, perché non ci sono stati indizi di attività anomale sulla rete.

I siti che si avvalgono dei servizi di Cloudflare stanno reagendo ognuno a suo modo. Uber, per esempio, ha dichiarato che pochissimi dati passano attraverso Cloudflare, e ha escluso che siano state esposte delle password. Il sito di incontri OKCupid mantiene una posizione analoga, ma non si dichiara ancora del tutto certo che non siano rimasti esposti i dati sensibili di qualche utente. Discord, la chat studiata apposta per i gamer, ha invece consigliato ai suoi utenti di cambiare password.

A QUESTO indirizzo è presente un elenco di tutti i siti che usano Cloudflare, ma è poco pratico per due motivi: primo, è enorme; secondo, include anche i siti che sfruttano i DNS dell'azienda. Il problema invece riguarda solo quelli che usano Cloudflare come proxy. Precisiamo anche che il problema con gli account Google di questa notte non è per nulla correlato con il bug di Cloudflare.

In conclusione, che fare? Mettiamola così: ci sono ottime chance che non succeda niente, ma un cambio delle password (almeno dei siti che usano Cloudflare) sarebbe la soluzione migliore. È un lavoraccio, ma almeno per gli account a cui tenete di più/in cui ci sono più dati personali è meglio procedere.

Per approfondire:

• Il post di Cloudflare che annuncia la scoperta del bug e ne illustra nel dettaglio il funzionamento
• La cronaca della vicenda realizzata dal ricercatore di Project Zero che l'ha scoperta
• L'elenco di tutti i siti che si avvalgono dei servizi di Cloudflare (come abbiamo detto sopra, include anche molti siti che non c'entrano niente)