Comments 43
> Server Side Excludes
> автоматическую перезапись HTTPS
> Automatic HTTPS Rewrites is a feature that safely rewrites links to unencrypted resources from HTTP to HTTPS
Не, я конечно все понимаю что некоторые вещи сложно переводить, но зачем переводить так что вообще смысл полностью утерян?
One obvious piece of information that had leaked was a private key used to secure connections between Cloudflare machines.
Среди клиентов Cloudflare — такие клиенты как Uber, OK Cupid и Fitbit
Ну вы и сказали, конечно.
Вот так будет более значимо (ссылка):
CloudFlare essentially controls 11% of the 10k biggest websites, over 8% of the 100k biggest websites, and almost 5% of sites on the entire web
Eще год не прошел, как Ализара патчили последний раз.
Нет, речь идёт о минимизации корпуса для фаззинг-тестирования хрома.
Из описания бага:
Corpus distillation is a procedure we use to optimize the fuzzing we do by analyzing publicly available datasets. We've spoken a bit about this publicly in the past, for example:
https://security.googleblog.com/2011/08/fuzzing-at-scale.html
http://taviso.decsystem.org/making_software_dumber.pdf#page=11
Корпус в фаззинге — набор образцов входных данных (на основе которых затем производятся мутации). Для эффективного фаззинга корпус должен покрывать максимальное количество путей в графе потока управления программы, но при этом быть минимального размера.
имя существительное
свод
vault, arch, vaulting, dome, corpus, arc
тело
body, flesh, solid, frame, figure, corpus
собрание
meeting, assembly, collection, congregation, convention, convocation
кодекс
code, codex, corpus, lawbook
туловище
trunk, torso, body, corpus
основной капитал
fixed capital, capital stock, basic stock, stock, corpus, principal sum
Неужели нельзя на основании этого набора значений выдать какое-то удобоваримое и понятное русскому уху?
Я не знаю, где вы учили русский язык, но в нём слово "корпус" в нужном значении есть:
КОРПУС, -а; м. [от лат. corpus — тело]
- мн.: корпусы, -ов. Совокупность множества каких-л. однородных предметов, образующих целое; массив. Основной к. поэтических текстов.
Большой толковый словарь русского языка.
Гл. ред. С. А. Кузнецов.
Первое издание: СПб.: Норинт, 1998.
Публикуется в авторской редакции 2014 года.
И да, слово corpus там тоже есть, как и еще тысяча других, совпадающих по написанию/звучанию с русскими словами, но различающихся по смыслу иногда диаметрально, а иногда просто обладая еще десятком значений. Ну и не путайте латынь и современный английский конечно же.
Ещё раз вам объясняю: в исходном английском посте слово "corpus" используется в значении "набор текстов". В русском языке у слова "корпус" тоже есть такое значение, поэтому я не вижу смысла как-то его переводить.
Ну и кроме того, в лингвистике и областях CS, связанных с обработкой текстов, слово "корпус" в таком значении является научным термином, и попытка его перевода была бы просто грубой ошибкой.
Пример: Национальный корпус русского языка
Вам на будущее урок: прежде чем учить кого-то как правильно переводить, ознакомиться с терминологией, принятой в этой области.
We quickly identified the problem and turned off three minor Cloudflare features (email obfuscation, Server-side Excludes and Automatic HTTPS Rewrites) that were all using the same HTML parser chain that was causing the leakage. At that point it was no longer possible for memory to be returned in an HTTP response.
Далее там не каждый ответ с кодом, а 1 на 3 ляма с копейками. Пофиксили — отлично.
Вы недооцениваете масштабы проблемы.
Вкратце: любые приватные данные, передаваемые через cloudflare (например, залогиненным пользователям), могли утечь другим людям, а так же остаться в любом кэше (гугла, интернет архива, других поисковиков). И да, они там действительно были найдены. И сейчас нет никакой возможности отследить, какие данные утекли. И я далеко не уверен, что кто-то не нашёл это раньше и не собирал это всё втихую.
И нет, пострадали не только те сайты, которые использовали «three minor Cloudflare features», пострадали остальные, а в те встраивалось содержимое других сайтов.
Это полная задница, если честно.
Но, собственно, я не особо сильно удивлён этим событием.
Сначала доверить свои данные глобальному MitM а потом удивляться, что он, внезапно, кривой и отдаёт ваши данные не только тем, кому положено, но и тем, кому не положено.
Сколько раз уже похожее было в других технологиях.
Ещё раз, для непонявших: ваши пароли от digitalocean, coinbase, patreon, news.ycombinator.com, medium, uber, zendesk, 10% других популярных сайтов и 5% остальных интернетов могли оказаться где угодно в публичных данных.
Имхо лучше было повторить ещё раз сжато, потому что явно не все понимают, что произошло (см. комментарий от nikitasius чуть выше моего, например), а Cloudflare в своём посте несколько приуменьшили масштабы проблемы (см. цитату из того комментария, например).
Я не думаю, что на данный момент от ещё одного повторения станет тошно достаточному количеству человек, чтобы оправдать отсутствие оповещения тех, кто не понял ещё =).
Точнее (зануда-моуд): я думаю, что пока что польза от того, что так больше человек поймут что случилось и примут соответствующие меры для защиты своих личных данных или сервисов, которыми они управляют, больше, чем вред от того, что другим людям станет тошно от того, что они ещё раз видят повторение описания ситуации.
Добавлю лишь от себя, что я нашел свои домены и домены клиентов в списках доменов которые припаркованы на cloudflare и возможно постралали. Но там Cloudflare просто нечего leak, так как как минимум это просто DNS хостинг (уже не nginx, а их ДНС сервера), а как максимум проксирование статики, которая и в африке статика.
Кукисы все идут на домен, где проскирование выключено и используется локальный кеш nginx для динамики.
Следом пароли к аккаунтам: у CF вебморда и кеш-ноды на разных серверах, следовательно (=логично), что пароли в админку CF не были сворованы.
Если я не прав, прошу меня поправить. Так что проблема сильно преувеличена и реально актуальна только для тех, что проксирует весь траффик через CF или использует
.example.com куки на поддомены и не контролирует сессии.Она серьезна, но не для всех.
Чтоб пользователям было удобно выяснять от каких сервисов пароли менять.
Расширение для Chrome, проверяющее закладки:
https://chrome.google.com/webstore/detail/cloudbleed-bookmark-check/egoobjhmbpflgogbgbihhdeibdfnedii
Исходник:
https://github.com/rickdmer/cloudbleed-bookmark-checker
CDN-провайдер Cloudflare внедрял содержимое памяти своего сервера в код произвольных веб-страниц