今天上午，一名黑客能够访问客户在CloudFlare上的帐户，并更改该客户的DNS记录。这次攻击是谷歌账户安全程序的妥协，使得黑客最终能够访问我的账户CloudFlare.com网站电子邮件地址，运行在谷歌应用程序上。虽然我们仍在与谷歌合作调查细节，但我们希望在这里强调这一点，以使人们意识到，他们也可能容易受到类似攻击，并提供所发生事件的完整说明。好久不见了这次袭击似乎始于5月中旬。似乎有人向Gmail发送了一个帐户请求，请求我的个人电子邮件地址。谷歌的程序会询问一些问题，试图核实账户所有权。我们不清楚这个过程是如何运作的，但似乎在这个过程启动数周后，黑客不知何故说服了谷歌的账户恢复系统，在我的个人Gmail账户中添加了一个欺诈性的恢复电子邮件地址。我个人Gmail账户上使用的密码有20多个字符长，高度随机性，而且我没有在任何其他服务上使用过，所以不太可能是字典攻击或猜测。一旦恢复电子邮件地址被添加，黑客就可以重新启动密码恢复过程，并获得发送到欺诈电子邮件地址的重置指令。今天早上，这些指示被用来重置我的个人电子邮件。谷歌应用程序和权限提升与其他数千家公司一样，CloudFlare也使用谷歌应用程序收发电子邮件。当我们第一次建立CloudFlare.com网站的电子邮件地址，我列出了我的个人电子邮件地址作为我的帐户恢复电子邮件。黑客能够使用谷歌的密码恢复和密码重置发送到我的个人电子邮件CloudFlare.com网站地址。令人惊讶的是CloudFlare.com网站帐户使用双因素身份验证。我们仍在与谷歌合作，以了解黑客是如何在不提供有效的双因素认证令牌的情况下重置密码的。一旦攻击者有机会CloudFlare.com网站电子邮件帐户，黑客可以访问我们的谷歌应用程序管理面板。黑客似乎瞄准了一个特定的客户，并为该客户的CloudFlare.com网站帐户。我们将这些请求的副本发送到一个管理电子邮件帐户，用于调试目的，讽刺的是，我们还监视无效的密码重置请求。黑客能够在谷歌应用程序中访问这个帐户并验证密码重置。此时，攻击者能够登录到客户的CloudFlare帐户并更改DNS设置以临时重定向站点。与谷歌合作解决我们立即意识到这件事。我们在谷歌有一些高级联系人，我们曾与他们合作，以便重新获得对谷歌应用程序账户（包括我的个人Gmail账户和我的个人Gmail账户）的控制权CloudFlare.com网站账户）。我们能够将更改恢复到客户帐户上。我们手动检查了所有其他密码重置请求和DNS更改。没有别的了CloudFlare.com网站被访问或更改的帐户。为了确保没有其他帐户被泄露，我们已使所有密码重置日志无效。我们还将密码重置请求的副本从设置到任何管理电子邮件帐户中删除，以防我们的Google Apps帐户在将来受到攻击。从我们的调查来看，我们的数据库从未被访问过，也没有任何额外的客户数据暴露出来。事实上，这似乎是一次针对特定客户登录信息的精心策划的攻击。保护你自己我的个人电子邮件地址已从与CloudFlare的任何关联中删除。我还为我的个人Gmail帐户添加了双因素身份验证——这一事件凸显了这一点的重要性。如果你正在使用Gmail或谷歌应用程序，我建议你尽快采取以下步骤：按照以下步骤为您的帐户添加双因素身份验证；确保您的电子邮件帐户上的密码非常强大，并且不用于任何其他服务；以及更改任何密码恢复电子邮件到一个帐户，你不使用任何其他东西，不容易被一个坚定的黑客猜测。我们还不知道答案的最后一个谜题是，黑客是如何绕过谷歌的双因素认证的CloudFlare.com网站电子邮件地址。这很麻烦。这应该可以阻止这次攻击，即使攻击者有密码，所以我们仍然担心它没有。我们正在与谷歌合作，以了解双因素身份验证是如何被禁用的。随着我们了解更多，我们将更新这篇文章。最新消息（2012年6月2日，星期六，格林尼治标准时间7:40）：刚收到谷歌的通知，他们追踪到了导致双因素认证系统妥协的问题核心问题。谷歌报告称，他们发现了一个"细微的缺陷，影响的不是2步验证本身，而是一些账户的账户恢复流程。我们现在已经封锁了攻击媒介以防止进一步的虐待。我想重申的是，在这起事件中，谷歌安全团队一直在积极应对和关注这个问题。在我看来，他们是互联网安全的典范，我们仍然相信他们能够为CloudFlare.com网站.更新（2012年6月2日星期六，19:37 GMT）：我们没有发现任何未经授权访问CloudFlare核心系统或其他客户帐户的证据。我们将继续与谷歌合作，以了解谷歌应用程序平台遭到破坏的本质。在审查被泄露的电子邮件帐户的内容时，我们发现一些客户的API密钥存在。为了确保这些密钥不会被用作攻击载体，我们重置了所有客户API密钥，并禁用了以前在某些情况下会将其发送到CloudFlare管理员帐户的过程。如果您使用的是CloudFlare WordPress插件之类的应用程序，则需要重新输入新的API密钥。我们收到一些客户关于信用卡号码的问题。CloudFlare的支付系统设计为从不显示任何信用卡号码。信用卡数据直接发送到安全的支付处理器，而不需要经过CloudFlare的服务器。这是为保护敏感帐户信息而设计的，即使是在完全被具有完全权限的管理员破坏的情况下。最新消息（2012年6月4日，星期一，格林尼治标准时间1:40）：与谷歌合作，我们相信我们已经发现了允许黑客访问我的个人Gmail帐户的漏洞，正是这个漏洞引发了这一系列事件。这似乎涉及到美国电话电报公司（AT&T）的系统遭到破坏，破坏了带外验证。结果是，如果攻击者知道你的电话号码，而你的电话号码被列为一种可能的恢复你的谷歌帐户的方法，那么，充其量，你的谷歌帐户可能只和你的语音信箱密码一样安全。在这种情况下，我们认为AT&T受到了威胁，可能是通过对其支持人员进行社会工程，使得黑客甚至可以绕过PIN的安全性。我们已经删除了所有的电话号码作为授权的谷歌帐户恢复方法。我们正在跟进AT&T以获得更多细节。最新消息（2012年6月7日星期四，格林尼治标准时间1:30）：我们对美国电话电报公司的系统如何被规避有了更清晰的了解。6月1日上午，AT&T的客户支持接到一个黑客冒充我的电话。AT&T的日志显示，黑客无法回答该帐户的官方安全问题，但客户支持代理用我的社会安全号码的最后四位数字验证了该帐户。奇怪的是，这个帐户是一个公司帐户，不应该包含我的SSN。如果黑客拥有CloudFlare的EIN，根据AT&T的政策，这不足以验证帐户。正如高级客户支持经理在阅读日志时所说，"这很奇怪。这很奇怪。"黑客要求将语音信箱重定向到电话号码（347）291-1346。由控制的固定电话或VoIP线路带宽网. 随后，黑客就可以欺骗谷歌的语音认证系统，把账户恢复密码留在我的语音信箱上。AT&T的欺诈和犯罪调查研究小组正在继续调查。与此同时，我们已经为AT&T账户增加了额外的安全性。虽然这不是一个很好的广告选项，但企业和个人可以添加一个4-20位的密码，以限制对帐户的所有更改，除非密码是已知的。如果您对该选项感兴趣，则需要填写AT&T提供的表格。第一级客户服务代理无法添加密码，而且许多代理似乎不知道该选项。如果您打电话来添加密码，请询问主管并跟进以确认密码已正确添加。最后，我很高兴地报告，截至昨晚，谷歌似乎已经从Gmail帐户恢复过程中删除了语音验证选项。考虑到重定向语音邮件有多容易，语音呼叫不应被视为安全的带外信道。虽然AT&T向我保证没有办法重定向短信，但我们已经删除了任何依赖移动提供商网络的验证通道。相反，我们的双因素认证使用谷歌认证程序，这是免费的，可以安装在大多数智能手机上。这确保了有一个完全的带外认证系统，不会通过一个潜在的不安全的运营商的网络。最新消息（2012年6月26日，星期二，格林尼治标准时间21:40）：联邦调查局似乎已经逮捕了大部分，如果不是全部，参与袭击的个人。