Använder du mobil?
Tryck här för att besök vår mobilanpassade nyhetssajt!
Nej tack!
Forum   Loading   Loading.se   + Ny diskussion
Till botten Visar hela tråden

Säkerhetsläcka via Cloudflare. Loading.se använder Cloudflare. Dags att byta lösenord?

skapad 24 feb 2017 07:38 | svar 21 st | visats 389 ggr

 
benedict (P43) 
24 feb 2017 07:38
Nyligen har det visat sig att Cloudflare har haft en säkerhetsläcka där en mängd användarinfo, inkl lösenord kan ha läckts ut.

http://www.neogaf.com/forum/showthread.php?t=1347048

Den här sidan:
http://www.doesitusecloudflare.com/?url=http://www.loading.s...

visar att loading.se använder sig av Cloudfare. Därmed finns det risk att era uppgifter är ute på vift och att man kanske bör byta lösenord.

Cloudflare, a service that helps optimize the security and performance of more than 5.5 million websites, warned customers today that a recently fixed software bug exposed a range of sensitive information that could have included passwords, and cookies and tokens used to authenticate users.

A combination of factors made the bug particularly severe. First, the leakage may have been active since September 22, nearly five months before it was discovered, although the greatest period of impact was from February 13 and February 18. Second, some of the highly sensitive data that was leaked was cached by Google and other search engines. The result was that for the entire time the bug was active, hackers had the ability to access the data in real-time, by making Web requests to affected websites, and to access some of the leaked data later by crafting queries on search engines.

"The bug was serious because the leaked memory could contain private information and because it had been cached by search engines," Cloudflare CTO John Graham-Cumming wrote in a blog post published Thursday. "We are disclosing this problem now as we are satisfied that search engine caches have now been cleared of sensitive information. We have also not discovered any evidence of malicious exploits of the bug or other reports of its existence."

Cloudflare researchers have identified 770 unique URIs that contained leaked memory and were cached by Google, Bing, Yahoo, or other search engines. The 770 unique URIs covered 161 unique domains. Thursday's disclosure came only after the leaked data was fully purged, with the help of the search engines.

 
! Anmälj Länk
 
 
Oskar Skog (P) 
24 feb 2017 08:08
benedict:

Därmed finns det risk att era uppgifter är ute på vift


Jag har skickat en mail till support.

 
! Anmälj Länk
 
 
lassekongo83 (P34) 
24 feb 2017 08:22
Ja, byt lösenord i stort sätt överallt. Väldigt många webbsidor använder sig av Cloudflare (Även sidor som inte finns med i den databasen på sidan du länkade till.) Använd er av en lokal lösenordshanterare så ni har flera starka unika lösenord på varje tjänst. Gärna med 2FA om det går. Detta är en extremt allvarlig incident. Här finns mer sidor som kan vara drabbade: https://github.com/pirate/sites-using-cloudflare

"":

"The examples we're finding are so bad, I cancelled some weekend plans to go into the office on Sunday to help build some tools to cleanup. I've informed cloudflare what I'm working on. I'm finding private messages from major dating sites, full messages from a well-known chat service, online password manager data, frames from adult video sites, hotel bookings. We're talking full https requests, client IP addresses, full responses, cookies, passwords, keys, data, everything."


Källa: https://bugs.chromium.org/p/project-zero/issues/detail?id=11...

http://lassekongo83.deviantart.com/

 

Ändrad: 24 feb 2017 08:26 av lassekongo83, ändrad 3 gånger

! Anmälj Länk
 
 
chips (P31) 
24 feb 2017 08:34
Har unika lösenord överallt inte orolig.

http://bit.ly/IqT6zt

 
! Anmälj Länk
 
 
dammskog (P) 
24 feb 2017 09:47
lassekongo83:

Här finns mer sidor som kan vara drabbade: https://github.com/pirate/sites-using-cloudflare



lassekongo83:

Ja, byt lösenord i stort sätt överallt.


hittade inga siter jag använder när jag sökte
så jag avvaktar nog

Det är ju fan att det inte ska gå att få ha kvar gamla traditioner som fungerat i så många år, skriver Svenne.

 
! Anmälj Länk
 
 
Redfoxe (P29) 
24 feb 2017 15:16
Är ett par sidor där jag besöker, men itne registrerat mig som tur är.
Men för säkerhetsskull ändrar jag lösen för dom viktigaste sajterna.

chips:

Har unika lösenord överallt inte orolig.


Samma här, ända sedan PSN spektaklet.

Loadings egna lilla Retro-Räv

 

Ändrad: 24 feb 2017 15:29 av Redfoxe, ändrad 1 gång

! Anmälj Länk
 
 
benedict (P43) 
24 feb 2017 18:46
Fitbit
Humble Bundle
Bundlestars
Greenmangaming
Nexusmods.com
Moddb.com

är exempel på några av de sidor som använder sig av tjänsten.

 
! Anmälj Länk
 
 
Redfoxe (P29) 
24 feb 2017 19:27
benedict:

Humble Bundle
Bundlestars
Greenmangaming


Fanken. Jaja, bara byta.

Loadings egna lilla Retro-Räv

 
! Anmälj Länk
 
 
Magnus Virdeborn (P30) 
24 feb 2017 20:06
Några svenska sidor utöver Loading som drbbats? Typ banker osv.

I am sorry I have to leave you, but I must buy a hat.

 
! Anmälj Länk
 
 
RetroFanatic (P30) 
25 feb 2017 01:58
chips:

Har unika lösenord överallt inte orolig.


Samma här. Hmm.

"4,287,625 possibly affected domains. Download this file, unzip it, then run grep -x domaintocheck.com sorted_unique_cf.txt to see if a domain is present."

Man ska alltså behöva kolla allt MANUELLT?

Det som inte dödar dig gör dig starkare. Kom tillbaka Leger!

 

Ändrad: 25 feb 2017 02:02 av RetroFanatic, ändrad 1 gång

! Anmälj Länk
 
 
Opivy (P35) 
25 feb 2017 06:22
Oskar Skog:

en mail


En mail?

 
! Anmälj Länk
 
 
Cavecamper (P) 
25 feb 2017 09:53
Redfoxe:

“chips:Har unika lösenord överallt inte orolig.Samma här, ända sedan PSN spektaklet.


"En modern klassiker" men inte på ett positivt vis.

Det är klart förvånande när jag varit ambitiös hemma med långa och fina lösenord överallt at sedant komma till jobbet där jag använt samma fyrbokstaviga ord i minst fem år för att logga in på det primära patientprogrammet på länets största arbetsgivare. [chocked]

"I hit, to no effect!? I need a bigger sword!" Minsc i Baldur's Gate

 
! Anmälj Länk
 
 
Redfoxe (P29) 
25 feb 2017 12:36
Det verkar som någon kommit åt min humble bundle. Dom snodde min Total War Warhammer nyckel som jag skulle ge min bror.

Fyfan...
Skickat mail till supporten, men vettifan om dom kommer ersätta den :'(

Loadings egna lilla Retro-Räv

 
! Anmälj Länk
 
 
Bleatlessness (P32) 
25 feb 2017 21:04
Slog på 2-factor auth. Önskar man kunde använda BankID eller något lika smidigt istället.

 
! Anmälj Länk
 
 
RetroFanatic (P30) 
25 feb 2017 21:57
Redfoxe:

Det verkar som någon kommit åt min humble bundle. Dom snodde min Total War Warhammer nyckel som jag skulle ge min bror.


Ojdå. Fan att man ska behöva joxa med lösenord igen. Orkar inte nu. Gör det imorgon och hoppas allt är ok.

Finns det nånm bra gratis lösenordslösning där man bara behöver ett lösenord?

Det som inte dödar dig gör dig starkare. Kom tillbaka Leger!

 
! Anmälj Länk
 
 
duca88 (P29) 
26 feb 2017 09:19
Kör med keepass och tycker att den är sjukt smidig, använder den både till mobil och dator.

DG

 
! Anmälj Länk
 
 
Spiritual_Chaos (P) 
26 feb 2017 11:33
Oskar Skog:

Jag har skickat en mail till support.


Som min mor skulle säga: Ring.

"Du, om något, är den drygaste människan på hela forumet. Glider runt med din översittar-attityd och leker allan"

 

Ändrad: 26 feb 2017 11:35 av Spiritual_Chaos, ändrad 2 gånger

! Anmälj Länk
 
 
Bleatlessness (P32) 
26 feb 2017 12:02
Om Loading är drabbat så skulle det vara första gången jag blir glad att inloggningskakan är IP-bunden. (Sjukt störigt att bli utloggad så fort man tittar i mobilen.)

 
! Anmälj Länk
 
 
Dadel (P) 
26 feb 2017 12:43
Men att man "använder" Cloudflare kan väl betyda många saker.

Man kan väl tex bara använda Cloudflare som filserver för saker som script och bilder?
Och i det fallet skulle ju inte Cloudflare kunna läcka nånting, för de har inte tillgång till användardatabasen.

Även om Cloudflares lagrade loggar om tex memory leaks skulle läcka, så att man kan få tag på användares tokens och dylikt, så skulle väl det i många system inte alls vara tillräckligt för att kunna komma åt lösenord?

 

Ändrad: 26 feb 2017 12:46 av Dadel, ändrad 1 gång

! Anmälj Länk
 
 
Bleatlessness (P32) 
26 feb 2017 14:27
Dadel:

få tag på användares tokens och dylikt, så skulle väl det i många system inte alls vara tillräckligt för att kunna komma åt lösenord?


Att stjäla en session och att komma över ett lösenord är två vitt skilda saker, även om båda i slutändan resulterar i kontroll över ett konto.

Sessionen gäller tills du loggar ut, eller till en tidsgräns.

I vettiga system lagras dessutom lösenorden hashade, envängskrypterade, så det är extremt bökigt att få fram dem i klartext även om man kommer över databasen. Sidan du loggar in på vet då inte vad du har för lösenord, bara vad resultatet av det efter envägskryptering är.

Som du säger kommer Cloudflare i form av CDN, filserver för bilder, script, stilmallar och sånt inte att vara känsligt. Om nu inte hackarna kunde injicera egna script på sidorna. Det vore väldigt dåligt.

 
! Anmälj Länk
 
 
Oskar Skog (P) 
27 feb 2017 11:24
Efter kontakter och undersökningar.

info:

I’ve gotten an e-mail from Cloudflare stating that loading.se was not part of the customers where information was leaked.


 
! Anmälj Länk
 
 
RetroFanatic (P30) 
27 feb 2017 21:44
Oskar Skog:

Efter kontakter och undersökningar.


Då slipper man byta lösenord här iallafall

Det som inte dödar dig gör dig starkare. Kom tillbaka Leger!

 
! Anmälj Länk
 
Tillbaka till forumet | Tillbaka till Loading.se | Till toppenVisar hela tråden

Du måste vara registrerad användare och inloggad för att kunna skriva i forumet.