De la crainte d’une cyberattaque à l’erreur de configuration : que s’est-il passé avec la panne Cloudflare ?

Pas facile d’être la passerelle de choix vers 20 % du web dans le monde. L’immense panne qui a touché Cloudflare hier a montré à quel point l’Internet « décentralisé », tel qu’on l’imagine est en fait dépendant de la bonne santé de quelques grandes entreprises. Mais là où on pouvait imaginer que la panne venait d’une attaque visant Cloudflare, il n’en est rien en réalité.

Dans un long billet de blog relayé par The Verge, le PDG de l’entreprise Mattthew Prince explique ce qui s’est réellement passé dans les fermes de serveur de Cloudflare hier.

Une base de données qui s’emballe

Alors que les premières déclarations de l’entreprise étaient assez vagues en rejetant juste la faute sur « une hausse inhabituelle du trafic vers l’un des services de Cloudflare », le post-mortem donne plus de détail. Il ne s’agit en rien d’une « attaque DDOS à très grande échelle », comme le soupçonnait originellement l’entreprise, mais d’une bête erreur de configuration.

Concrètement, c’est un changement dans la base de données d’identification des bots qui a mis à terre tout le système. La protection contre les attaques de bots est l’un des services les plus importants de Cloudflare et la base de données qui le sous-tend est donc un des joyaux de l’entreprise.

Sauf qu’en changeant les permissions d’accès à cette base de données, le fichier sur lequel se repose l’entreprise a soudainement doublé en taille et a ensuite été propagé sur tous les serveurs de l’entreprise. Malheureusement, le logiciel de détection des bots « avait une limite sur la taille du fichier » qui était naturellement inférieure à celle du fichier corrompu. Résultat, « cela a provoqué une défaillance du logiciel », explique Matthew Prince.

Une question de réputation pour Cloudflare

Tous les sites qui utilisaient le service de détection des bots de Cloudflare ont donc été rendus inaccessibles, puisque les serveurs de Cloudflare, qui agissent comme un intermédiaire entre un site et ses visiteurs, étaient HS. Même si les sites en eux-mêmes restaient accessibles, le videur censé faire le tri s’était en quelque sorte endormi devant la porte.

Pour aller plus loin
Un VPN gratuit sécurisé : Cloudflare présente son projet Warp

Cloudflare réitère cela dit que « le problème n’a rien à voir avec une potentielle cyberattaque ou activité malveillante de quelque nature que ce soit ». Pour un service justement censé protéger ses clients de tels problèmes, c’est effectivement une question de réputation.