
Ошибка Cloudflare раскрыла обширные местоположения пользователей чат-приложения
Недавно обнаруженная проблема в сети доставки контента (CDN) Cloudflare показывает, как злоумышленники могут определить примерное местоположение пользователя чата, как сегодня сообщает 404 Media.
Спешите? Вот краткие факты!
- Баг в Cloudflare позволял злоумышленникам определять местоположение пользователей через кэшированные изображения.
- Эксплойт затронул такие приложения, как Signal, Discord и Twitter/X.
- Для атаки требовалось отправить изображение; пользователи не обязательно должны были его открывать.
Этот баг позволял хакерам определить, какой из дата-центров Cloudflare кэширует изображение, отправленное через популярные приложения, такие как Signal, Discord и Twitter/X. Эксплуатируя это, злоумышленники могли определить город или штат пользователя, хотя не могли точно определить его местоположение.
Уязвимость связана с тем, как работает CDN от Cloudflare. CDN улучшают доставку контента за счет кэширования данных на серверах по всему миру. Когда изображение отправляется через чат-приложение, его кэширует ближайший к получателю центр обработки данных, как отмечает 404 Media.
Пятнадцатилетний исследователь в области безопасности «daniel» создал инструмент под названием Cloudflare Teleport для эксплуатации этого поведения. Анализируя, какой центр обработки данных ответил на запрос, инструмент мог определить общее местоположение пользователя, сообщает 404 Media.
404 Media объясняет, что взлом осуществлялся путем эксплуатации последовательности действий. Сначала злоумышленник отправлял изображение цели через приложение для обмена сообщениями. Затем они использовали Burp Suite, популярный инструмент безопасности веб-приложений, чтобы извлечь URL загруженного изображения.
Далее злоумышленник использовал специальный инструмент для запроса всех данных центров Cloudflare, проверяя, где было закешировано изображение. Если определенный центр данных возвращал ответ «HIT», это указывало на приблизительное местоположение цели.
Во время тестирования, Дэниел успешно определил местоположение пользователей Signal, даже без открытия ими изображения. Push-уведомление могло предварительно загрузить изображение, что позволило бы определить город или штат пользователя без прямого взаимодействия, как сообщает 404 Media.
Эта уязвимость вызывает опасения среди пользователей, которым требуется анонимность, таких как активисты или информаторы. Хотя раскрытые данные носят обобщенный характер, это подчеркивает потенциальные риски слежки на уровне сети. Использование виртуальной частной сети (VPN) может смягчить эту проблему, но VPN имеют свои собственные ограничения и риски, говорит 404 Media.
404 Media отмечает, что Cloudflare уже устранил конкретную проблему, которую использовал инструмент daniel, согласно Джеки Даттон, старшему представителю по кибербезопасности в компании. Однако daniel отметил, что похожие атаки остаются возможными через более трудоемкие методы, такие как ручная маршрутизация запросов через VPN в разные места.
Приложения для обмена сообщениями, такие как Signal и Discord, подчеркнули врожденные ограничения CDN, отметив их необходимость для глобальной производительности. Signal, в частности, заявил, что его сквозное шифрование остается неповрежденным и рекомендовал VPN для пользователей, нуждающихся в повышенной анонимности.
Хотя непосредственное злоупотребление было устранено, этот инцидент подчеркивает постоянный риск нарушения конфиденциальности на цифровых платформах общения. Пользователи, которые беспокоятся о сохранении конфиденциальности своего местоположения, должны рассмотреть возможность применения дополнительных мер безопасности, которые идут за рамки стандартных приложений.
Оставьте комментарий
Отменить