한꺼번에 수많은 사이트들의 비밀번호가 유출되다. -cloudflare 메모리 누출

Content Delivery Network, 일명 CDN은 전 세계적으로 분산 되어있는 프록시 서버 네트워크로 사용자와 서버가 아무리 멀리 떨어져 있어도 비교적 빠른 속도를 체감 할 수 있게 해주고, 한번에 많은 사용자가 접속해도 감당 할 수 있게 해줍니다.

이러한 대단한 서비스를 무료로 해주는 곳이 몇 군데 있는데요. 그 중에서도 가장 큰 기업은 Cloudflare 라고 할 수 있겠습니다.

Cloudflare는 이러한 서비스를 제공해 줄 뿐만 아니라, DDOS로 부터 방어를 해주기도 하고, 무료 DNS를 제공해줍니다.

이러한 좋은 서비스를 무료로 해준다니, 개인 사이트를 운영하는 분들은 당연히 쓸 수 밖에 없습니다.

cloudbleed 사용가능 한 이미지가 없어서 이걸로 대체

CloudBleed 사건

수많은 사람들이 이 서비스를 이용하는 와중에 사건이 터졌습니다.

이른바 CloudBleed 라고 이름지어진 이 버그는 2월 17일에 구글의 Project Zero 팀이 발견한 것으로 Cloudflare의 메모리 누출로 인해 온라인 데이트 사이트들의 개인 메세지 부터 해서 채팅 사이트의 대화내역 각종 비밀번호, 캐시, IP 주소 등 거의 모든 것이 새어나갔고

심지어 이 정보들이 검색엔진에 의해서 캐시 되었다고 합니다.

이러한 사건은 cloudflare 측에서는 2016년 9월 22일 부터 샜을 가능성이 높다고 했습니다.

무려 반년 동안 수많은 정보들이 샜다는 이야기 입니다.

해당 사이트들

Cloudflare의 고객에는 대형 서비스 업체들. Uber, Fitbit, Discord, reddit, 국내로는 오늘의 유머, 일간 베스트, 나무위키 등의 사이트들의 정보가 누출 됬다는 이야기가 있습니다. 험블번들도 피해를 입었을 수도 있다고 하네요.

http://cloudflarelistcheck.abal.moe/

이곳에서 해당 사이트의 정보가 누출되었는지 검색 해 볼 수 있으니 자신이 가입한 사이트가 있는지 확인 해보시길 바랍니다.

해외 무료호스팅 사이트인 000webhost.com도 포함되어있네요.

https://github.com/pirate/sites-using-cloudflare

여기에서도 피해 받은 사이트들 목록을 확인해 볼 수 있습니다. sorted_unique_cf.txt 를 눌러 view raw를 누르면 해당 사이트들이 주르륵 나옵니다. 용량이 꽤 크기 다운받아 확인하는 것을 추천드립니다.

해당 사이트에서 조금 내려가다 보면 Full list 항목아래에 download full list가 있습니다.

다행히도 피해를 입은 사이트 중에 국내 사이트는 적지만 

보안을 철저히

만일 자신이 해당 사이트에 가입되어있다면, 즉시 해당 사이트의 비밀번호 뿐만 아니라 이 비밀번호를 다른 사이트들에서도 같이 쓴다면 다른 사이트의 비밀번호도 함께 서로 다른 것으로 바꾸는 것을 추천 드립니다.

뿐만 아니라. 만약 이번 사건이랑 별 관련이 없으시다 하더라도 이번에 사이트 별로 비밀번호를 다르게 하여 항상 보안을 철저히 유지 하시길 바랍니다.