Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Sun Oct 27 2019

• [l] Cloudflare, von Brancheninsidern als Clownflare verspottet, hat mal wieder einen großartigen Vorschlag. Ihr sollt einfach aufhören, euch selbst zu trauen, und lieber Cloudflare trauen und deren Infrastruktur zu einem integralen Teil eures Netzes machen. Man könnte Trust Anchor sagen, aber das Wort haben sie explizit vermieden, damit es nicht so krass aussieht, wie es ist.

  Cloudflare, wir erinnern uns, sind bekannt für so Glanzleistungen wie:

  1. Also bei UNS ist Heartbleed nicht exploitbar!1!! (Doch, war es)
  2. Sie sind der größte Tor-Antagonist der Welt.
  3. Cloudbleed
  4. Sie haben den Daily Stormer gehostet, eine der traditionsreichsten Nazi-Sites im Internet
  5. Sie betreiben 1.1.1.1, um alle eure DNS-Anfragen sehen zu können
  6. Das Pilotprojekt für verschlüsseltes DNS mit Firefox, damit sie auch zukünftig alle eure DNS-Anfragen sehen
  7. "It allows you to write serverless code which runs in the fabric of the Internet itself"
  8. der krasse DNS-Ausfall
  9. der krasse Komplettausfall

  Ich persönlich würde Cloudflare nicht auch nur in die Nähe meiner Produktion lassen, selbst wenn sie mich dafür bezahlen würden.

  Aber gucken wir doch mal, was der Vorschlag ist. Hier ist der erste Satz:

  If your organization uses SSH public keys, it’s entirely possible you have already mislaid one.

  Da kannste direkt zu lesen aufhören. Der heißt ja nicht zufällig public, der key. Der ist public. Den zu verlegen ist genau so wenig ein Sicherheitsproblem wie das Telefonbuch zu verlegen. Schon die Prämisse ist absurd.

  There is a file sitting in a backup or on a former employee’s computer which grants the holder access to your infrastructure.

  Äh, ... nein. Den public key zu haben gibt einem Angreifer genau gar nichts. Der private key dazu ist der, der einem Zugriff gibt. Und der liegt ja gerade nicht auf irgendwelchen Kisten rum sondern auf dem Arbeitsplatzrechner des Inhabers, oder, wenn der so futuristisch drauf ist, auf einer Smartcard von dem.

  If you share SSH keys between employees it’s likely only a few keys are enough to give an attacker access to your entire system.

  Wow. Ich hielt ja nicht viel von deren Krypto-Expertise, aber wenn die bei Cloudflare mehreren Mitarbeitern Zugriff auf denselben SSH-Schlüssel geben, dann ist das kein Fall für Auslachen mehr, das ist ein Fall für den Abdecker.

  Aber was schlagen sie denn vor?

  Replacing a private network with Cloudflare Access

  NEEEEIIIIIINNNNNN!!!!!!

  Wer kommt denn auf solche Ideen? Wer zieht denn bitte eine Firma, die für ihre Ausfälle bekannt ist, in die Authentisierung seiner Dienste rein? Damit nächstes Mal auch deine Firma komplett stillsteht?! So blöde kann doch keiner sein, würde man hoffen!

  Jedenfalls keiner meine Leser.

  Würde man hoffen.

  Aber lest euch mal den Incident Report zu ihrem letzten Ausfall durch. Der, der von der Regex ausgelöst wurde. Achtet mal darauf, dass sie sich auf ihren eigenen Systemen nicht mehr einloggen konnten. Das wird bei euch dann auch so sein. (Danke, Lukas)