URL: https://linuxfr.org/users/thibg/journaux/cloudflare-au-milieu Title: CloudFlare au milieu Authors: ThibG Date: 2015年10月06日T23:16:09+02:00 License: CC By-SA Tags: mitm, cdn, cloudflare, cloud et edward_snowden Score: 57 Cela faisait quelque temps que je voulais écrire à propos de [CloudFlare](https://www.cloudflare.com/), une boîte américaine qui est de plus en plus omniprésente sur Internet. Deux événements récents m'ont finalement fait m'atteler à la tâche : 1. La consultation publique du gouvernement sur la loi sur le numérique, [https://republique-numerique.fr](https://republique-numerique.fr) qui pour je ne sais quelle raison, a décidé de passer par CloudFlare 2. Le fait que Google, Microsoft, Qualcomm et Baidu aient [investit 110ドル millions](www.forbes.com/sites/katevinton/2015/09/22/google-microsoft-qualcomm-and-baidu-announce-joint-investment-cloudflare/) # CloudFlare, c'est quoi ? # CloudFlare, c'est une boîte américaine qui fournit, pour des sites web, un service légitime de protection contre les [attaques par déni de service distribué](https://fr.wikipedia.org/wiki/Attaque_par_d%C3%A9ni_de_service#D.C3.A9ni_de_service_distribu.C3.A9_ou_effet_de_levier) et qui peut aussi être utile pour éviter des espions/escrocs en « fin de parcours » (du côté de l'internaute, par exemple sur un hotspot wifi) via [TLS](https://fr.wikipedia.org/wiki/Transport_Layer_Security), dans le cas où il n'est pas possible de le faire directement chez l'hébergeur. CloudFlare prétend aussi « accélérer », augmenter la disponibilité des sites web clients, et diminuer leurs besoins en bande passante, via la mise en cache du contenu visité. Toutes ces bonnes choses ont un coût, et avec l'utilisation de plus en plus massive de CloudFlare, j'ai l'impression que peu nombreux parmi ceux qui l'utilisent se posent vraiment la question. # Qu'est-ce qui ne va pas avec CloudFlare ? # Tout d'abord, un petit avertissement : CloudFlare n'est pas le seul [Content Delivery Network](https://fr.wikipedia.org/wiki/Content_delivery_network) problématique, et n'est probablement pas le plus mauvais, mais j'ai choisi de m'y intéresser pour trois raisons : 1. C'est eux qui ont le vent en poupe ces derniers temps 2. Leur infrastructure est parfaite pour facilement espionner ou modifier le trafic de leurs clients 3. Une grosse partie de leur marketing consiste à dire qu'ils rendent le web « plus sûr », en particulier contre la NSA (rappelons qu'ils sont basés aux US) En effet, l'intégralité du trafic concernant un site servi à travers CloudFlare passe évidemment par CloudFlare, qui est capable de loguer, bloquer, ou altérer ce dernier en temps réel (et ils le font parfois, pour des raisons légitimes). De plus, quand TLS est activé, ils en sont le point terminal, ce qui implique qu'ils ont tout le trafic en clair (et que vous ne pouvez pas savoir si la communication entre eux et le serveur hébergeant vraiment le site est chiffrée ou pas). En clair, CloudFlare est le parfait ["Homme du milieu"](https://fr.wikipedia.org/wiki/Attaque_de_l%27homme_du_milieu). Tout cela peut ne pas paraître très intéressant, mais cela devient plus inquiétant quand on considère que CloudFlare est utilisé par un nombre croissant de sites plus ou moins gros, dont voici une liste très loin d'être exhaustive : * Prestataire de paiement : [HiPay](https://www.hipay.com) (et ce n'est pas que la vitrine, les codes de carte bleu, etc. passent bien par CloudFlare !) * Liberté de la presse: [freedom.press](https://freedom.press) dont Snowden en personne est directeur * La plupart des sites de campagne pour les présidentielles États-Uniennes * Plein de communautés variées : 4chan, reddit, hackernews, ... * Les sites de torrent les plus populaires que je connaisse : t411, The Pirate Bay * Certains partis politiques au travers du monde : chez nous, on peut citer les Républicains, ou des trucs plus ésotériques chers à une minorité postant parfois des journaux ici ; chez les britanniques et les américains, il y en a quelques unes * Des sites d'information plus ou moins spécialisés: [The Register](http://www.theregister.co.uk/), [NextInpact](http://www.nextinpact.com/), [Korben.info](http://korben.info/)... * Beaucoup de sites traitant de Bitcoin, d'Ethereum, et d'autres : blockchain.info, www.titanbtc.com, bitcoin.it, etherapps.info, etherchain.org, ethereumpyramid.com, ... Voir à ce sujet [cet article](http://www.newsbtc.com/2015/10/04/is-bitcoin-industry-too-dependant-on-cloudflare/) ironiquement hébergé derrière CloudFlare * Plein de sites pornos * Le site des forces de police de plusieurs comtés du Royaume-Uni : [Cleveland](http://cleveland.police.uk), [Gwent](http://gwent.police.uk), [Leicester](http://leics.police.uk), [Midlands de l'Ouest](http://www.westmercia.police.uk) * Sites de projets logiciels: cyanogenmod, discourse, jquery, moodle * Divers : is.gd, puu.sh, pastebin.com, stackexchange, mywot * Des trucs qui ont fait la une : Ashley Madison, HackingTeam, ... J'insiste sur le fait que CloudFlare a accès à l'ensemble du trafic de ces sites, ce qui peut inclure les mot de passes, les codes de sécurité, les numéros de carte bancaire, etc. Il est aussi facile pour eux de croiser selon l'adresse IP d'un internaute, par exemple. Si CloudFlare était Français, ce serait l'endroit parfait pour poser des boîtes noires. # Pourquoi CloudFlare présente une menace unique en son genre # À mon avis, les problèmes de sécurité soulevés par l'utilisation de CloudFlare sont assez différents de ceux des tiers de confiance habituel que sont les [Autorités de Certification](https://fr.wikipedia.org/wiki/Autorit%C3%A9_de_certification) et des hébergeurs, quoi qu'ils soient finalement assez proche de ces derniers. ## CloudFlare VS Autorités de Certification ## Tandis qu'une autorité de certification peu scrupuleuse peut signer des certificats qui apparaîtront valide sur les navigateurs leur faisant confiance, il existe des outils pour détecter ce genre de comportements (en comparant aux certificats connus pour un domaine). CloudFlare, par contre, est le correspondant normal pour les internautes. Du coup, il n'a pas besoin de changer le certificat pour commencer à loguer ou modifier les requêtes, ce qui le rend bien moins détectable (dans le cas d'une modification) voire pas du tout (écoute passive). ## CloudFlare VS Hébergeurs ## Il est vrai que la plupart des sites « protégés » par CloudFlare sont de toutes façons hébergés chez de grands hébergeurs qui ont un accès techniquement complet aux serveurs (physiques ou virtuels) en question. Cependant, j'aime à penser qu'il est tout de même plus compliqué d'espionner/interférer avec des serveurs dont la configuration est grandement variable, et, en théorie tout du moins, surveillés par un administrateur extérieur à l'hébergeur. De son côté, CloudFlare a une infrastructure parfaitement adaptée pour loguer, modifier ou bloquer les pages à la volée. Cette différence n'est peut-être pas fondamentale, mais j'estime que c'est tout de même une distinction d'ordre pratique assez importante. Dans tous les cas, avoir un premier tiers de confiance (l'hébergeur) n'est pas une raison pour en ajouter un second (CloudFlare). # Donc, CloudFlare, c'est des méchants ? # Je tiens à préciser que je n'ai fait que souligner les possibilités techniques à la disposition de CloudFlare. Je ne les accuse pas d'avoir fait ce que j'ai décrit comme potentiellement réalisable. D'un point de vue « moral », ils ont fait quelques trucs cool : * Ils travaillent principalement avec des logiciels libres, et contribuent pas mal en retour, notamment sur nginx * Pour certains clients, ils mitigent en partie certains problèmes de sécurité en déportant une partie de la poignée de main TLS à l'hébergeur véritable. Cela veut dire que pour ces clients, ils n'ont jamais la clé correspondant au certificat TLS (mais ils peuvent quand même espionner et modifier le trafic) * Ils semblent se battre pour une grande transparence sur les requêtes reçues de la part de la police ou du gouvernement : https://www.cloudflare.com/transparency * Ils fournissent leurs services gratuitement à des organisations à intérêt public : https://www.cloudflare.com/galileo Mais comme toute boîte, ils pourraient être en train de mentir (coucou Volkswagen), être sujets à des brèches de sécurité, ou changer leur politique dans le futur. Ils ont également fait quelques choix (à mon avis) douteux, tels que : * Imposer un cookie et un captcha aux internautes derrière [Tor](https://www.torproject.org/) * Bloquer purement et simplement l'User-Agent par défaut de Python/urllib

AltStyle によって変換されたページ (->オリジナル) /