क्लाउडब्लीड लीक ऑनलाइन सुरक्षा के बारे में हमें क्या बताता है

एक आश्चर्यजनक मात्रा में वेबसाइट्स रिवर्स प्रॉक्सी और DDoS शमन सेवाओं जैसे Cloudflare (जैसे Reddit) का उपयोग बड़ी आपदाओं से उनकी रक्षा करने और लगातार लाइट्स ऑन रखने के लिए करती हैं। ये सेवाएं अक्सर खुद को सुरक्षा और प्रदर्शन वृद्धि के प्रदाताओं के रूप में बाजार में उतारती हैं।

फिर भी, इसके विपरीत, 17 फरवरी 2017 को, Cloudflare के सॉफ्टवेयर में एक प्रमुख बग के कारण लाखों वेबसाइटों से भारी मात्रा में निजी डेटा किसी भी समय पहुंच योग्य हो गया। इस डेटा में से कुछ गूगल के खोज परिणामों में दिखाई देने वाले वेबसाइटों के कैश्ड कॉपी पर भी दिखाई दिए। इस विशेष घटना, जिसे क्लाउडब्लीड के नाम से जाना जाने लगा, ने प्रौद्योगिकी के सुरक्षित उपयोग पर चर्चा के लिए एक मूल्यवान अवसर प्रस्तुत किया है।

यह सब क्या है?!

अनजान लोगों के लिए, Cloudflare एक ऐसी सेवा है जो आपकी वेबसाइट और व्यापक इंटरनेट के बीच एक मध्यस्थ के रूप में कार्य करती है। जब आप किसी ऐसी साइट पर जाते हैं जो इस सेवा का उपयोग करती है, तो आप वास्तव में Cloudflare से जुड़ रहे हैं जो साइट से जुड़ता है और उसके आउटपुट को आपको रिले करता है। यह कुछ अधिक बार देखे गए पेजों को कैश करेगा ताकि साइट को हर बार जवाब न देना पड़े जब कोई कनेक्ट होता है, जिससे बड़ी मात्रा में ट्रैफिक का स्थानीय सर्वर पर प्रभाव कम हो जाता है। यह वितरित डिनायल ऑफ सर्विस (DDoS) हमलों के प्रभाव को आपकी साइट पर कम करने में भी मदद करता है क्योंकि एक मध्यस्थ है जो इन हमलों का खामियाजा भुगत सकता है, एक प्रकार के ट्रैफिक लाइट के रूप में कार्य करता है जो वैध आगंतुकों को जाने देता है और बॉट्स को उनकी पटरियों पर रोक देता है। Cloudflare और अन्य रिवर्स प्रॉक्सी सेवाएं (जैसे Incapsula और Akamai) अक्सर खुद को वेबसाइट सुरक्षा के प्रदाता के रूप में बाजार में उतारती हैं।

क्लाउडब्लीड क्या है?

क्लाउडब्लीड एक घटना है जिसमें Google के प्रोजेक्ट ज़ीरो टीम के एक सदस्य द्वारा Cloudflare के सॉफ्टवेयर में एक बग की खोज की गई थी जिसने प्रमुख वेबसाइटों से निजी संदेश, ऑनलाइन पासवर्ड मैनेजर डेटा, और कई अन्य सर्वरों से पूर्ण HTTPS अनुरोधों को उजागर किया। Cloudflare की कनेक्शन अनुरोधों की प्रतिक्रिया अक्सर उनके आवंटित बफर स्पेस को ओवररन कर देती थी और उस समय वेबसाइटों तक पहुंचने वाले किसी भी अन्य ग्राहकों का डेटा प्रस्तुत करती थी। यह सब कुछ खुले में छोड़ देता है और सेवा पर भरोसा करने वाली वेबसाइटों का उपयोग करने या उनके मालिक होने वाले किसी भी व्यक्ति के लिए एक भयावह सुरक्षा जोखिम प्रस्तुत करता है।

बग को फरवरी के अंत में पैच किया गया था, हालांकि सेवा स्वीकार करती है कि डेटा लीक 22 सितंबर 2016 को अपने नए HTML पार्सर की शुरुआत के रूप में जल्दी हो सकते थे।

सीखे गए सबक

यदि आप थोड़ी देर से हमारी कहानियां पढ़ रहे हैं, तो आप 2014 में हार्टब्लीड के नाम से जानी जाने वाली एक बहुत ही समान घटना को याद कर सकते हैं जिसमें OpenSSL का उपयोग करने वाली वेबसाइटें एक शोषण के प्रति संवेदनशील थीं जो निजी डेटा के टुकड़ों को ताक-झांक करने वाली पार्टियों के सामने उजागर कर सकती थीं। यह हालिया क्लाउडब्लीड हंगामे के साथ हमें एक मूल्यवान सबक सिखाता है: कुछ भी सौ प्रतिशत विश्वसनीय नहीं है, यहां तक कि उन सेवाओं का भी नहीं जिनका स्पष्ट उद्देश्य आपकी रक्षा करना है।

यह Cloudflare को कोसने के लिए नहीं है। बग किसी भी सेवा के साथ हो सकता था। यहां मुद्दा यह है कि इंटरनेट एक ऐसी जगह नहीं है जहां आपको सुरक्षा के गारंटीकृत स्तर की उम्मीद करनी चाहिए। आप खुद को बचाने के लिए हर संभव प्रयास कर सकते हैं और फिर भी आपके नियंत्रण से बाहर की स्थिति द्वारा खुले में छोड़ दिए जा सकते हैं।

आपको क्या करना चाहिए?

सच्चाई यह है, जैसा कि Inc.Com के Joseph Steinberg लिखते हैं, "वर्तमान जोखिम उस कीमत से बहुत छोटा है जो बढ़ी हुई 'साइबर सुरक्षा थकान' में चुकाई जाएगी, जिससे भविष्य में बहुत बड़ी समस्याएं पैदा होंगी।" उनका मतलब यहां यह है कि बग की प्रकृति आपके पासवर्ड के लीक होने की संभावना को इतना खगोलीय रूप से कम कर देती है कि इसे बदलने का केवल आपको थका देने का प्रभाव होगा। जब एक वास्तविक संकट आता है, तो आप सभी शोर, घबराहट और प्रचार से इतने थक चुके हो सकते हैं कि आप एक महत्वपूर्ण क्षण में अपना पासवर्ड बदलने के आह्वान को नजरअंदाज कर सकते हैं। क्लाउडब्लीड वह क्षण नहीं है। लेकिन हर तरह से, यदि आप वास्तव में ऐसा करने की आवश्यकता महसूस करते हैं, तो अपना पासवर्ड बदलें।

इसके अलावा, बस सतर्क रहें और जिन सेवाओं से आप प्यार करते हैं उनके ईमेल को नजरअंदाज न करें। जिस क्षण संकट आता है, वे सबसे अधिक संभावना है कि आपको एक दोस्ताना पत्र भेजेंगे जिसमें इसके बारे में आपको जो कुछ जानने की जरूरत है वह सब होगा और यह भी सुझाव दे सकते हैं कि आपको यह सुनिश्चित करने के लिए क्या करना चाहिए कि आप प्रभावित नहीं हैं।

क्या आपको लगता है कि साइबर सुरक्षा थकान मौजूद है जैसा कि Steinberg सुझाते हैं? क्या लोगों को निरंतर सतर्कता की स्थिति में रहना चाहिए तब भी जब घबराहट के लिए पर्याप्त मजबूत औचित्य न हो? हमें कमेंट में बताएं कि आप क्या सोचते हैं!