Błąd w Cloudflare Ujawnił Szerokie Lokalizacje Użytkowników Aplikacji do Czatu

Ostatnio odkryty problem w sieci dostarczania treści (CDN) Cloudflare pokazuje, jak atakujący mogą określić przybliżoną lokalizację użytkownika aplikacji do czatu, jak donosi dzisiaj 404 Media.

Błąd pozwalał hakerom na ustalenie, które centrum danych Cloudflare przechowywało obraz wysłany poprzez popularne aplikacje takie jak Signal, Discord i Twitter/X. Wykorzystując to, atakujący mogli dowiedzieć się, w jakim mieście lub stanie znajduje się użytkownik, chociaż nie mogli ustalić dokładnej lokalizacji.

Podatność koncentruje się na tym, jak działa CDN Cloudflare. CDN-y poprawiają dostarczanie treści poprzez buforowanie danych na serwerach na całym świecie. Kiedy obraz jest wysyłany za pośrednictwem aplikacji do czatowania, jest buforowany przez centrum danych najbliższe odbiorcy, jak zauważa 404 Media.

Piętnastoletni badacz bezpieczeństwa „daniel” stworzył narzędzie o nazwie Cloudflare Teleport, aby wykorzystać to zachowanie. Analizując, które centrum danych odpowiedziało na zapytanie, narzędzie mogło zidentyfikować ogólne położenie użytkownika, mówi 404 Media.

404 Media wyjaśnia, że atak działał poprzez wykorzystanie sekwencji kroków. Najpierw, napastnik wysyłał obraz do celu za pośrednictwem aplikacji do wysyłania wiadomości. Następnie korzystali z Burp Suite, popularnego narzędzia do zabezpieczania aplikacji internetowych, aby wyodrębnić URL przesłanego obrazu.

Następnie, napastnik używał niestandardowego narzędzia do zapytania wszystkich centrów danych Cloudflare, sprawdzając, gdzie obraz został zbuforowany. Jeśli określone centrum danych zwróciło odpowiedź „HIT”, wskazywało to przybliżoną lokalizację celu.

Podczas testowania, Daniel z powodzeniem zlokalizował użytkowników Signal, nawet bez konieczności otwierania przez nich obrazu. Powiadomienie push mogło wstępnie załadować obraz, co umożliwiło wywnioskowanie miasta lub stanu użytkownika bez bezpośredniej interakcji, jak podaje 404 Media.

Ta podatność budzi obawy użytkowników wymagających anonimowości, takich jak aktywiści czy informatorzy. Mimo że ujawnione dane są ogólne, podkreślają potencjalne ryzyko związane z nadzorem sieciowym. Użycie Wirtualnej Sieci Prywatnej (VPN) mogłoby złagodzić ten problem, ale VPN-y mają swoje własne ograniczenia i ryzyka, mówi 404 Media.

404 Media zauważa, że Cloudflare już naprawiło konkretny problem, który wykorzystało narzędzie daniela, według Jackie Dutton, starszego przedstawiciela ds. cyberbezpieczeństwa w firmie. Daniel zauważył jednak, że podobne ataki są nadal możliwe za pomocą bardziej pracochłonnych metod, takich jak ręczne kierowanie zapytań za pośrednictwem VPN do różnych lokalizacji.

Aplikacje do komunikacji, takie jak Signal i Discord, podkreślały naturalne ograniczenia CDN, zauważając ich niezbędność dla globalnej wydajności. Signal w szczególności stwierdził, że jego szyfrowanie end-to-end pozostaje nienaruszone i zalecił używanie VPN dla użytkowników potrzebujących zwiększonej anonimowości.

Chociaż natychmiastowe wykorzystanie zostało rozwiązane, incydent ten podkreśla ciągłe ryzyko naruszenia prywatności na platformach komunikacji cyfrowej. Użytkownicy zaniepokojeni prywatnością swojej lokalizacji powinni rozważyć dodatkowe środki bezpieczeństwa poza tymi, które oferują standardowe aplikacje.