Uma falha recentemente descoberta na rede de distribuição de conteúdo (CDN) da Cloudflare tem gerado preocupações sobre a privacidade dos usuários em plataformas como Signal e Discord. O erro permite que invasores obtenham dados aproximados de localização de uma pessoa ao enviar uma imagem, como uma captura de tela ou avatar, sem necessidade de interação por parte do usuário.
Embora a falha não ofereça precisão para rastreamento exato, ela é capaz de revelar a região geográfica em que o usuário se encontra, o que pode ser uma ameaça para pessoas como jornalistas, ativistas e dissidentes, que dependem de anonimato. Para as autoridades, no entanto, essa falha pode servir como ferramenta para investigações.
Como funciona o ataque de geolocalização
Há três meses, o pesquisador de segurança Daniel descobriu que a Cloudflare armazena recursos de mídia em caches de data centers próximos ao usuário, com o objetivo de melhorar o desempenho de carregamento. Essa configuração pode ser explorada para obter informações de localização de qualquer alvo a até 250 milhas de distância. Ao enviar uma imagem hospedada na CDN da Cloudflare, um invasor pode usar uma ferramenta personalizada chamada Cloudflare Teleport para forçar a solicitação por meio de data centers específicos.
Esse ataque pode ocorrer sem qualquer interação por parte do alvo, já que muitos aplicativos, incluindo Signal e Discord, automaticamente baixam imagens para notificações push. Isso faz com que o ataque seja classificado como de clique zero.
Precisão e impacto
A precisão do rastreamento varia dependendo da região e do número de datacenters próximos. Em áreas urbanas, o rastreamento pode ser mais preciso do que em locais rurais. Além disso, o CTO do Discord, Stanislav Vishnevskiy, revelou que o roteamento anycast da Cloudflare, que usa vários datacenters próximos para balancear a carga, pode aumentar ainda mais a precisão da localização.
Respostas das plataformas
Após divulgar a falha, Daniel recebeu uma recompensa de US$ 200 da Cloudflare, que corrigiu o erro no seu sistema. No entanto, o pesquisador descobriu que, ao usar uma VPN com servidores em diversos países, ele conseguiu contornar as correções e ainda realizar o ataque, embora com mais dificuldade. A Cloudflare afirmou que, em última instância, é responsabilidade dos usuários desabilitar o cache.
O Discord e o Signal, por sua vez, argumentaram que o problema não está diretamente sob sua responsabilidade, já que a questão envolve a infraestrutura da Cloudflare e não recursos de anonimato implementados nas plataformas.
Apesar da correção, a vulnerabilidade ainda representa um risco à privacidade dos usuários, especialmente em contextos onde o anonimato é crucial.