Cloudflare blockiert alle nicht verurteilten HTTP-Verbindungen zu seinen APIs

Nur verschlüsselte HTTPS -Verbindungen sind jetzt zulässig. Die Maßnahme soll verhindern, dass sensible Daten durch ungesicherte Verbindungen durchlaufen.

Cloudflare has recently blocked all non-encrypted HTTP connections to its APIs via api.cloudflare.com by default. Only encrypted HTTPS connections are now allowed. The measure is intended to prevent sensitive data from leaking through unsecured connections.

CloudFlare hat kürzlich alle nicht verurteilten HTTP-Verbindungen zu seinen APIs über api.cloudflare.com standardmäßig blockiert. Nur verschlüsselte HTTPS -Verbindungen sind jetzt zulässig. Die Maßnahme soll verhindern, dass sensible Daten durch ungesicherte Verbindungen durchlaufen.

Cloudflare’s measure is aimed at the Cloudflare API. This helps developers and system administrators automate and manage their Cloudflare services. Among other things, it helps with the management of DNS records, configuring firewalls, protection against DDoS attacks, caching SSL settings, rolling out infrastructure, accessing data for analyses, managing zero-trust access and other security settings.

Die Maßnahme von Cloudflare richtet sich an die Cloudflare -API. Dies hilft Entwicklern und Systemadministratoren, ihre Cloudflare -Dienste zu automatisieren und zu verwalten. Unter anderem hilft es bei der Verwaltung von DNS-Aufzeichnungen, der Konfiguration von Firewalls, dem Schutz vor DDOS-Angriffen, dem Caching-SSL-Einstellungen, der Einführung von Infrastrukturen, dem Zugriff auf Daten für Analysen, Verwaltung von Zugriff auf Zero-Must und andere Sicherheitseinstellungen.

Until now, the API accepted both unencrypted HTTP connections and encrypted HTTPS connections. Connections with so-called cleartext HTTP ports ran the risk of sensitive information being leaked. This was the case because this traffic was not encrypted and could therefore easily be intercepted by internet providers, WiFi hotspot providers or hackers on the same network.

Bisher akzeptierte die API sowohl unverschlüsselte HTTP -Verbindungen als auch verschlüsselte HTTPS -Verbindungen. Verbindungen mit sogenannten ClearText-HTTP-Ports gingen das Risiko für sensible Informationen aus. Dies war der Fall, da dieser Verkehr nicht verschlüsselt wurde und daher leicht von Internetanbietern, WLAN -Hotspot -Anbietern oder Hackern im selben Netzwerk abgefangen werden konnte.

Servers tackle this HTTP traffic by redirecting it or rejecting it with a 403 response, forcing clients to use encrypted HTTPS connections. However, this can be too late for sensitive data. This data, for example an API token, may already have been sent in cleartext in the first client connection request. This data would then have been exposed at an earlier stage, before the server can redirect or reject the connection.

Server gehen diesen HTTP -Verkehr durch, indem sie ihn umleiten oder mit einer 403 -Antwort ablehnen und Clients dazu zwingen, verschlüsselte HTTPS -Verbindungen zu verwenden. Dies kann jedoch für sensible Daten zu spät sein. Diese Daten, zum Beispiel ein API -Token, wurden möglicherweise bereits in der ersten Client -Verbindungsanforderung in ClearText gesendet. Diese Daten wären dann in einem früheren Zeitpunkt freigelegt worden, bevor der Server die Verbindung umleiten oder ablehnen kann.

Blocking HTTP traffic

Blockieren des HTTP -Verkehrs

Cloudflare wants to solve this problem once and for all and therefore closes off the entire HTTP interface to its API environment. This means blocking plaintext connections in the transport layer before any data has been exchanged. This means that only encrypted HTTPS connections are now possible.

CloudFlare möchte dieses Problem ein für alle Mal lösen und schließt daher die gesamte HTTP -Schnittstelle zu seiner API -Umgebung ab. Dies bedeutet, Klartextverbindungen in der Transportschicht zu blockieren, bevor Daten ausgetauscht wurden. Dies bedeutet, dass jetzt nur verschlüsselte HTTPS -Verbindungen möglich sind.

The new measure has major consequences for anyone who still uses unencrypted HTTP connections via the Cloudflare API Service. Bots, scripts and other tools that depend on this will no longer work.

Die neue Maßnahme hat wichtige Konsequenzen für alle, die noch unverschlüsselte HTTP -Verbindungen über den Cloudflare -API -Dienst verwendet. Bots, Skripte und andere Tools, die davon abhängen, funktionieren nicht mehr.

This also applies to other legacy systems, automated clients, IoT devices and other low-level clients that do not yet use HTTPS by default due to poor configurations.

Dies gilt auch für andere Legacy-Systeme, automatisierte Clients, IoT-Geräte und andere Low-Level-Clients, die aufgrund schlechter Konfigurationen standardmäßig keine HTTPS verwenden.

Cloudflare itself indicates that approximately 2.4 percent of the internet traffic processed via its systems still uses the unsafe HTTP protocol. If automated traffic is included, this rises to 17 percent.

CloudFlare selbst zeigt an, dass ungefähr 2,4 Prozent des über seine Systeme verarbeiteten Internetverkehrs das unsichere HTTP -Protokoll verwenden. Wenn der automatisierte Verkehr enthalten ist, steigt dies auf 17 Prozent.

Actions by customers

Aktionen von Kunden

Customers can check the ratio between HTTP and HTTPS traffic themselves in their Cloudflare dashboard. This allows them to estimate the extent to which the measure affects their environment.

Kunden können das Verhältnis zwischen HTTP und HTTPS -Verkehr selbst in ihrem CloudFlare -Dashboard überprüfen. Dies ermöglicht es ihnen, zu schätzen, inwieweit die Maßnahme ihre Umgebung beeinflusst.

For users of websites that run on Cloudflare, the specialist will soon offer a free option until the end of this year to safely disable unencrypted HTTP traffic.

Für Benutzer von Websites, die auf CloudFlare ausgeführt werden, bietet der Spezialist bis Ende dieses Jahres bald eine kostenlose Option an, um den unverzündeten HTTP -Verkehr sicher zu deaktivieren.

See also: Cloudflare launches platform for real-time threat information

Siehe auch: CloudFlare startet Plattform für Echtzeit-Bedrohungsinformationen