Recherches récentes
Options de recherche
#ViePrivée
CloudFlare connaît vos mots de passe.
Ils en font même un article.
https://sebsauvage.net/links/?7eHQNQ
Hé les techies, on pourrait arrêter de trouver CloudFlare merveilleux alors que cette boîte récupère littéralement tous le trafic de vos utilisateurs ?
En sécurité informatique, ça s'appelle une attaque MITM.
Est-ce que la "protection" que vous apporte CloudFlare est assez intéressante pour livrer en contrepartie tous les mots de passe de vos utilisateurs à une boîte privée américaine ???
De ce que j'ai compris de la discussion, ils ne connaissent pas le mot de passe, ils comparent des hashs.
Si je me trompe c'est effectivement scandaleux, donc je veux bien qu'on m'explique ce que je n'ai pas compris.
@lienrag
Ils voient tous le trafic en clair. Même https.
@sebsauvage @lienrag je suis pas connaisseur de cloudflare, mais j'imagine que c'est juste une option d'utiliser le certificat cloudflare pour TLS, et qu'on peut aussi utiliser son propre certificat, auquel cas CF ne voit que le trafic chiffré ?
C'est au final une bonne occasion d'interroger ses pratiques de sécurité et de ne pas céder à la facilité quand on utilise ce genre de service.
@jotak
Non le but de CloudFlare est de te "protéger" contre les vilains et faire du cache, donc de filtrer toutes les requêtes. Donc ils doivent tout voir.
Je ne suis pas utilisateur de CloudFlare, mais je ne vois pas l'intérêt de leur service s'ils ne peuvent pas voir le contenu des échanges (tu ne peux pas faire cache, et tout le reste sans ça)
@sebsauvage @lienrag je suppose qu'on pourrait techniquement toujours avoir la protection ddos sur du traffic chiffré. Mais ouais pour le cache http en effet, il faut déchiffrer. Du coup oui c'est glaçant. Mais c'est pas seulement cloudflare dans ce cas, c'est tous les cdn
@sebsauvage @lienrag après en général, les gens mettent quoi sur cdn? Plutôt des resources statiques et publiques, non?
@jotak
Alors attention : CloudFlare c'est pas juste un CDN.
Leur offre phare, c'est le reverse-proxy, qui se targue :
- de te protéger des méchants (coucou les captcha) et des bots.
- de faire cache.
- de te protéger des DDOS.
- de te protéger des bots des boîtes d'IA.
- etc.
Ce qui inclue la partie dynamique.
Mais pour accomplir ce tâches, il ne suffit pas de servir du contenu statique.
Il faut activer examiner et filtrer toutes les interfactions d'un client avec le site web.
@sebsauvage @lienrag au passage, j'aime bien la fin de leur article:
"Cloudflare's connectivity cloud protects entire corporate networks [...] can help you on your journey to Zero Trust."
C'est mal barré pour le Zero Trust
@jotak @sebsauvage @lienrag Ah non moi j'ai zero confiance maintenant c'est bon