Cloudflareは攻撃だと誤検知した場合にIPアドレスは保存され、それが共有される可能性がありそう

「HTTP/3対応をカスタムドメインのWebアプリに無償でする方法」をきっかけに、1.1.1.1やWarpなどを提供しているずっと気になっていたCloudflareを知るために、Cloudflare提供のサービスを利用し始めた。

なにの話か

Cloudflareはセキュリティ/プライバシーに配慮する。例えばセキュリティのために_cfduidを付与するが、「_cfduidクッキーのプライバシーへの配慮」であげられる用途でしか使っていないとされている。IPアドレスを単方向のハッシュ化している。

だが、攻撃だと検知した場合にIPアドレスは保存されそれが共有された。本当の攻撃なら良いかもしれないが、誤検知だった場合正常なリクエストを送ったユーザーのIPアドレスも生で保存され共有される恐れがあると思う。

攻撃のログからIPアドレスが確認できる

2020/3/22現在をCloudflareを通してHTTP/3対応や高速化のためのキャッシュなどを利用している。

そこの管理画面でCloudflareが攻撃されたと検知したログを見ることができた。よくあるPHPという前提で攻撃してくるものだと思われる。

https://gyazo.com/5a6f57f0f9d69972a72066387656173c

このログで気になったのがIPアドレスを保存したりしないと主張している印象があるCloudflareがIPアドレスを管理画面のログに残しているところだった。Cloudflare内のサーバーだけにとどめて保存されるのは想像はついていたが、それが管理者画面にも共有されるとは思っていなかった。マスクしているIPアドレスは管理画面ではっきりと確認できる。

もし、Cloudflareが攻撃だと誤検知した場合、正常なリクエストも管理画面を通じて共有されるのではないかと思った。またCloudflareのプログラムのミスで正常リクエストがログに保存されてしまう可能性もある。論理条件式の単純なミスなど十分可能性はある（マーフィーの法則）。

またユーザーエージェントも保存・共有されている。近年問題にもなっているがユーザーエージェントの解像度はとても高い。

やはり、あるところからセキュリティとプライバシーはトレードオフになるところがあると思う。プライバシーを尊重しすぎると、攻撃から守ることが難しくなりセキュリティを向上できない可能性がある。