Il Bug di Cloudflare ha Rivelato le Posizioni Generali degli Utenti dell’App di Chat

Un problema recentemente scoperto nella Content Delivery Network (CDN) di Cloudflare evidenzia come gli aggressori potrebbero individuare l’ubicazione approssimativa di un utente di un’app di chat, come riportato oggi da 404 Media.

Il bug permetteva agli hacker di determinare quale centro dati di Cloudflare aveva memorizzato un’immagine inviata attraverso app popolari come Signal, Discord e Twitter/X. Sfruttando ciò, gli aggressori potevano dedurre la città o lo stato di un utente, sebbene non le località esatte.

La vulnerabilità si concentra sul funzionamento del CDN di Cloudflare. I CDN migliorano la consegna dei contenuti memorizzando i dati su server in tutto il mondo. Quando un’immagine viene inviata tramite un’app di chat, viene memorizzata nella cache dal data center più vicino al destinatario, come segnalato da 404 Media.

Un giovane ricercatore di sicurezza di quindici anni, “daniel”, ha creato uno strumento chiamato Cloudflare Teleport per sfruttare questo comportamento. Analizzando quale data center rispondeva a una richiesta, lo strumento poteva identificare la posizione generale dell’utente, afferma 404 Media.

404 Media spiega che l’hack è stato operato sfruttando una sequenza di passaggi. Innanzitutto, un aggressore avrebbe inviato un’immagine al bersaglio attraverso un’app di messaggistica. Successivamente avrebbe utilizzato Burp Suite, uno strumento di sicurezza per applicazioni web molto popolare, per estrarre l’URL dell’immagine caricata.

In seguito, l’attaccante ha utilizzato uno strumento personalizzato per interrogare tutti i data center di Cloudflare, controllando dove l’immagine era stata messa in cache. Se un determinato data center restituiva una risposta “HIT”, indicava la posizione approssimativa del bersaglio.

Durante i test, Daniel è riuscito a identificare la posizione degli utenti di Signal, anche senza che questi aprissero l’immagine. Una notifica push potrebbe precaricare l’immagine, rendendo possibile dedurre la città o lo stato di un utente senza un’interazione diretta, come riportato da 404 Media.

Questa vulnerabilità solleva preoccupazioni per gli utenti che richiedono l’anonimato, come attivisti o informatori. Sebbene i dati rivelati siano grossolani, evidenziano i potenziali rischi della sorveglianza a livello di rete. L’uso di una Virtual Private Network (VPN) potrebbe mitigare questo problema, ma le VPN presentano le loro proprie limitazioni e rischi, afferma 404 Media.

404 Media segnala che Cloudflare ha successivamente risolto il problema specifico sfruttato dallo strumento di Daniel, secondo Jackie Dutton, una rappresentante senior della sicurezza informatica presso l’azienda. Tuttavia, Daniel ha notato che attacchi simili rimangono possibili attraverso metodi più laboriosi, come il reindirizzamento manuale delle richieste tramite una VPN verso diverse località.

App di messaggistica come Signal e Discord hanno sottolineato le limitazioni intrinseche dei CDN, notando la loro necessità per le prestazioni globali. Signal, in particolare, ha dichiarato che la sua crittografia end-to-end rimane inalterata e ha consigliato le VPN per gli utenti che necessitano di un’anonimato migliorato.

Sebbene l’exploit immediato sia stato risolto, l’incidente mette in evidenza i continui rischi per la privacy nelle piattaforme di comunicazione digitale. Gli utenti preoccupati per la privacy della loro posizione dovrebbero considerare misure di sicurezza aggiuntive oltre a quelle fornite dalle app standard.