Názor k článku Cloudbleed: únik dat sdíleného proxy serveru od Filip Jirsák - OAuth tokeny k jiným službám webová aplikace musí...

OAuth tokeny k jiným službám webová aplikace musí znát (pokud se nepoužívají mikroslužby). To ale neznamená, že se nevyplatí chránit vůbec nic. Vyměnit OAuth tokeny je mnohem jednodušší, než měnit hesla všem uživatelům. A vyzrazený OAuth token obvykle není takový průšvih, jako vyzrazený privátní klíč.

Na Linuxu platí, že při alokaci paměti od jádra získáte vynulovanou paměť, a mělo by to platit pro každý rozumný OS. Pokud by jádro mohlo procesu přidělit paměť s daty z jiného programu, byla by to bezpečnostní díra jak vrata. Kterýkoli proces může být kdykoli násilně ukončen a nemá čas po sobě čistit paměť.

Nejde o to, že Cloudflare ta data zná – to je samozřejmé a při použití takové služby jí musím důvěřovat. Jde o to, že čtení z paměti, která mi nepatří, se prostě ve webovém serveru může stát – a je docela hloupé, když takhle uniknou třeba privátní klíče, které v paměti toho procesu vůbec být nemusí. Je pikantní, že v případě Heartbleed za ten únik paměti mohla zrovna knihovna OpenSSL. A to, že v případě Cloudflare nedošlo k úniku privátních klíčů klientů, je podle mne vedlejší efekt, terminaci SSL na speciálních instancích podle mne neměli primárně kvůli bezpečnosti, ale kvůli optimálnímu využití hardware.