Dzień dobry Jejowiczki i Jejowicze!

Jeja.pl korzysta z usługi Cloudflare, aby odciążyć swoje serwery i dostarczać Wam materiały bez zbędnych opóźnień. Cloudflare to usługa, która pośredniczy w dostarczaniu naszych obrazków, gier oraz innych plików statycznych. Dzięki temu spora część obciążenia Jeja.pl spoczywa na ich barkach.

Niestety, Cloudflare w okresie pomiędzy 13 lutego, a 18 lutego miał błąd zwany Cloudbleed, który na 770 nietypowo skonfigurowanych domenach mógł wyświetlić dane z pozostałych 5.5 miliona stron zapisanych w ich usłudze. Jeja.pl nie używała funkcjonalności z błędem, więc nie była źródłem wycieku, ale hipotetycznie dane z Jeja mogły pojawić się na jednej z 770 domen. Konkurowaliśmy jednak o miejsce w wycieku z 5.5 miliona innych stron i przegraliśmy ten wyścig. Cloudflare zapewnia nas, że żadne dane Jeja.pl nie wyciekły do wyszukiwarek. Wyciek dotyczy bardzo wielu znanych polskich stron. Dlaczego więc my informujemy Was o wycieku, choć wcale nie ma ryzyka? No cóż, wiele serwisów, które nie mają pojęcia o bezpieczeństwie w Internecie zaczyna opisywać wyciek nie rozumiejąc go zupełnie. Przez to część użytkowników Internetu może odnieść wrażenie, że ich dane są w niebezpieczeństwie. Dodatkowo zestawiając to z listą stron używających Cloudflare'a możemy dość szybko dojść do wniosku: "z Jeja.pl wyciekły dane, a oni milczą". Otóż nie chcemy milczeć i przyznajemy się: używamy Cloudflare, przeanalizowaliśmy dokładnie ten incydent bezpieczeństwa i uważamy, że prawdopodobieństwo wycieku jakiegokolwiek hasła z Jeja jest niewiarygodnie minimalne. Ktoś musiałby wejść na jedną z 770 nietypowo skonfigurowanych domen i wiedzieć gdzie szukać dodatkowych danych, bo nie były one wyświetlane na stronie, a w ukrytych nagłówkach. Nawet wtedy szansa, że wylosują się dane Jeja.pl jest niewielka. Aby pobrać dane z wycieku ktoś musiałby namiętnie odwiedzać jedną albo kilka z tych 770 źle skonfigurowanych stron, a to byłoby widoczne w statystykach Cloudflare.
Jak ktoś chce mieć pewność może zmienić hasło do konta na Jeja, co zresztą jest i tak zalecane co kilka miesięcy.

Cały incydent można śledzić w kilku miejscach:

• Opis sytuacji po polsku
• Opis sytuacji na blogu Cloudflare'a po angielsku
• Lista polskich stron używających Cloudflare'a