Uber, Fitbit, OkCupid, 1Password এবং vezető কোম্পানিগুলোর ইউজার ডেটা সপ্তাহ تلو সপ্তাহ ঝুঁকিতে ছিল CloudFlare-এর একটি ক্রিটিক্যাল ভালনারেবিলিটির কারণে। 'Cloudbleed Bug' এর কারণ ছিল সার্ভারগুলো বাফার পার করে যাওয়া এবং প্রাইভেট ইনফরমেশন ধারণকারী মেমরি রিটার্ন করা। ২০১৪ সালের Heartbleed বাগের মত কিছুই দেখা গিয়েছিল। এই ভালনারেবিলিটি রিপোর্ট করেছেন Google সিকিউরিটি রিসার্চার Tavis Ormandy। CloudFlare-এর CTO Graham-Cumming বলেন যে ৬ মিলিয়ন ওয়েবসাইটের কোনগুলো আফেক্টেড সেটি পয়েন্ট আউট করা কঠিন। অনেক সিকিউরিটি এক্সপার্ট মনে করেন Cloudbleed CloudFlare-এর দাবির চেয়ে অনেক বেশি প্রভাব ফেলেছে।
Cloudflare ভালনারেবিলিটির পরিণতি
CloudFlare-এর অনেক সার্ভিস HTML পার্স করে এবং ফ্লাইতে মডিফাই করে। Cloudflare ragel-এ লেখা একটি পার্সার ব্যবহার করত এবং গত বছর তাদের নিজস্ব পার্সার লিখতে সিদ্ধান্ত নিল। উভয় ragel এবং নতুন পার্সার nginx মডিউল হিসেবে ডিপ্লয়েড ছিল। ভালনারেবিলিটির কারণ বাগটি ragel পার্সারটিতে সদা থেকেই উপস্থিত ছিল, কিন্তু নতুন পার্সারイント্রোডাকশনের সাথে পার্সারগুলো সার্ভারের সাথে কীভাবে ইন্টারঅ্যাক্ট করে সেটি পরিবর্তন হয়েছিল। এটি মেমরি ওভারফ্লো করে এবং তাই ভালনারেবিলিটি প্রাদুর্ভাব করল। কারণ গভীরে বিশ্লেষণ এখানে পাওয়া যাবে। Cloudbleed-এর ডায়রেক্ট পরিণতিগুলো:
- সার্চ ইঞ্জিনগুলো লিকড ডেটার অনেক অংশ ক্যাশে করেছে এবং সার্চ রেজাল্টসে সেগুলো প্রদর্শন করছে
- সোশ্যাল/ডেটিং ওয়েবসাইটে পারসোনাল চ্যাট লিক হয়েছে
- ইউজার আইডেন্টিটি ইনফরমেশন লিক
- কুকিজ/IP ইনফরমেশন
তাৎক্ষণিক প্রিভেন্টিভ স্টেপস
- আপনার পাসওয়ার্ডগুলো পরিবর্তন করুন। FTP, cPanel, অ্যাডমিন প্যানেল থেকে শুরু করে সবগুলো।
- আপনার ইউজারদের পাসওয়ার্ড পরিবর্তন বাধ্যতামূলক করুন
- সম্ভব হলে টু-ফ্যাক্টর অথেনটিকেশন ব্যবহার করুন
- আপনার ওয়েবসাইটের ক্যাশে ক্লিয়ার করুন। পুরনো ক্যাশে পার্জ করুন।
উঠে আসা প্রশ্নগুলো
Mr. Troy Hunt, Cyber Security Evangelist তার ব্লগে লিখেছেন:
এই ভালনারেবিলিটি প্রাদুর্ভাব করার পর থেকে CloudFlare-এর দৃষ্টিভঙ্গি খুব ফার্ম এবং আপফ্রন্ট থাকেছে। CloudFlare-এর CEO এবং CTO উভয়ই পাবলিক স্টেটমেন্ট দিয়েছেন এবং পরিস্থিতি নিয়ন্ত্রণে নিয়েছেন। যাইহোক, এই পুরো ঘটনা রিভার্স প্রক্সি সমাধানগুলোর ওপর প্রশ্ন তোলেছে যেগুলো আপনাকে আপনার ওয়েব ট্রাফিক তাদের মাধ্যমে রাউট করতে এক্সপেক্ট করে। এ więc সমাধানগুলোর সবচেয়ে বড় পরিণতি হলো যদি সার্ভার হ্যাক হয়, তবে সকল ওয়েবসাইট ডাউন হয়ে যায়। CloudFlare-র সাথে দেখা গেল, একটি ফ্লোর মில்லিয়ন মিলিয়ন ওয়েবসাইটকে ঝুঁকিতে ফেলল।
আমরা Rafay Baloch, একজন বিখ্যাত সিকিউরিটি রিসার্চার এবং লেখক, এর সাথে ইন্টারঅ্যাক্ট করেছি তার মতামত জানতে। Rafay যা বললেন সেটি:
Rafay-এর একটি খুব ইন্টারেস্টিং পয়েন্ট। সিকিউরিটি কোম্পানিগুলো সিকিউরিটি রিসার্চারদের শক্তি এবং বিশ্বের সেরা WAF-গুলো বাইপাস করার তাদের ক্ষমতা উপেক্ষা করা উচিত নয়। আমরা শীঘ্রই এই বিষয়ে আরও লিখব যে কীভাবে একটি কমপ্লিট সিকিউরিটি সমাধানকে 'Responsible Disclosure' কম্পোনেন্ট ধারণ করা উচিত।
Astra বিল্ড করার সময়, একটি বড় কারণ আমরা রিভার্স প্রক্সি ইমপ্লিমেন্টেশন ব্যবহার করিনি সেটি হলো এই ধরনের পরিস্থিতি এড়াতে যেখানে আমাদের সব ইউজার একটি ভালনারেবিলিটির জন্য আমাদের ইনফ্রাস্ট্রাকচারে ঝুঁকিতে পড়ে।
