La storia di Cloudflare, da startup a realtà da cui dipende Internet

Durante la giornata del 18 novembre una parte consistente di Internet ha registrato malfunzionamenti a causa di problemi tecnici riconducibili a Cloudflare. Un blackout che rilancia i temi della centralità della rete e della sua solidità.

Inoltre, i trascorsi di Cloudflare dimostrano quanto sia difficile mantenere una posizione neutrale nel gestire l’architettura di internet.

Due aspetti che possono essere ricostruiti ripercorrendo la storia di Cloudflare.

La storia di Cloudflare

Nata nel 2009 a San Francisco per volontà di Matthew Prince, Lee Holloway e Michelle Zatlyn, Cloudflare si è dimostrata fino dagli albori una lama a doppio taglio urtando la propria ragione d’essere che, come dichiarato dai fondatori, è quella di creare un’internet migliore.

Di fatto, Cloudflare è un’evoluzione dell’esperimento Project Honey Pot creato nel 2004 da Prince e Holloway con lo scopo di permettere a chiunque avesse un sito web di controllare in che modo gli spammer fanno incetta di indirizzi email. Un esperimento attorno al quale si è sviluppata una comunità frizzante che ha proposto con insistenza al duo di non limitarsi a monitorare gli spammer ma di fare qualcosa per fermarli.

Da qui la nascita di Cloudflare che, semplificando, protegge e accelera siti web costituendo una sorta di scudo tra server e utenti, migliorando la sicurezza e le performance delle esperienze online.

A partire dal 2014 Cloudflare ha progressivamente introdotto nuovi servizi e tecnologie appannaggio di tutti, come Universal SSL che protegge il traffico web e il resolver DNS gratuito 1.1.1.1 (il DNS è un servizio che traduce i nomi delle risorse web in indirizzi IP quindi, per esempio, traduce google.com in 142.250.74.206, informazione essenziale affinché un sito web venga raggiunto).

Cloudflare offre anche protezione contro gli attacchi DDoS, offensive che mirano a neutralizzare server e siti web inoltrando una quantità ingestibile di richieste e, parallelamente, fornisce altri strumenti di sicurezza, oltre a strumenti per creare, distribuire e gestire applicazioni web.

Cloudflare e le polemiche

Nel 2011 Cloudflare ha cominciato a guadagnare quote significative di mercato ed è inciampata involontariamente nella prima grande polemica quando il collettivo di criminal hacker LulzSec ha usato i servizi Cloudflare per difendersi da attacchi che hanno minato la stabilità del proprio sito web.

In quell’occasione, il Ceo di Cloudflare Matthew Prince ha dribblato le polemiche sostenendo che l’azienda non vuole in nessun modo fare censura e che blocca i propri clienti solo a fronte di comportamenti illegali. Nel caso specifico, il sito del collettivo LulzSec non rappresentava una minaccia, non diffondendo file malevoli, non diffondendo fakenews o pubblicando dati esfiltrati alle proprie vittime nel cui elenco, tra le altre, è annoverata anche la CIA.

Con il passare degli anni la situazione nel suo insieme si è fatta più intricata. Non solo Cloudflare è stata accusata di prestare i propri servizi a gruppi online dediti alla persecuzione di minoranze e allo stalking, ma è finita nelle maglie di altri contenziosi.

Anche in Italia Cloudflare è stata al centro delle polemiche. Nel 2024 il Tribunale di Milano ha imposto all’azienda californiana di interrompere il supporto tecnico a una rete di siti coinvolti nella diffusione illecita di contenuti sportivi.

Il peso di Cloudflare

La missione con cui l’azienda vuole fare di Internet un posto migliore, tuttavia, non è solo retorica.

Tra i tanti episodi nei quali Cloudflare ha svolto un ruolo cruciale figurano la difesa fornita alle istituzioni Ucraine prese di mira da attacchi DDoS e intrusioni durante l’invasione russa e anche un ruolo di spicco nell’avere bloccato una serie di attacchi rivolti a un provider di servizi internet il cui nome non è stato mai rivelato, riuscendo così a sventare una delle più grandi incursioni mai sferrate dal cyber crimine.

Questo peso però è distribuito su i due piatti della bilancia perché, se da una parte il ruolo di Cloudflare è quello di rendere Internet un posto più sicuro, riesce anche a oscurarlo parzialmente quando, come è successo il 18 novembre, incappa in problemi tecnici.

Infatti, il 20% dei siti web globali ricorre in diversa misura ai servizi offerti da Cloudflare che, con questi numeri, diventa un punto critico di Internet. Con l’evoluzione delle minacce e delle tecnologie, l’azienda subisce le frizioni causate dalla necessità di resilienza e di responsabilità.

Il blackout di Internet

Il 18 novembre, a partire dalle 12:20 italiane, molti siti e servizi sono risultati irraggiungibili in gran parte del mondo. Tra questi X (Twitter), ChatGpt, Spotify, Microsoft Teams, Zoom e altri ancora.

Cloudflare ha comunicato immediatamente di non essere vittima di un attacco informatico, riconducendo il problema a una modifica dei permessi di un database che ha causato la generazione di dati duplicati facendo raddoppiare le dimensioni del “feature file”, un file che contiene le regole e gli elementi utili all’identificazione del traffico web sospetto.

Tale file ha raggiunto limiti non gestibili dal software che lo elabora e, una volta distribuito lungo la rete Cloudflare, c’è stato un crash nei sistemi che gestiscono il traffico.

Alle 15:42 Cloudflare ha comunicato di avere implementato una fix per correggere il problema che è poi gradualmente rientrato.

Resta il punto cruciale dell’intera faccenda: l’errore di una singola entità rischia di causare danni a tutta la rete e prende a spallate ogni richiamo alla sovranità digitale decantata da governi e continenti.

La centralità e la geopolitica

Il blackout di ieri ha reso irraggiungibili anche alcuni servizi legati allo scambio di criptovalute. La lezione è chiara: la decentralizzazione alla base delle monete digitali corre sul filo della centralizzazione di Internet. Un ossimoro che mostra la vulnerabilità di Internet.

In uno scenario geopolitico, l’infrastruttura gestita da Cloudflare può avere un peso specifico sulla stabilità finanziaria e, non di meno, le frizioni internazionali tra superpotenze tecnologiche ed economiche giocano ruoli fondamentali. Cloudflare è un’azienda statunitense e lo sono anche altre organizzazioni che erogano, almeno in parte, i medesimi servizi: tra queste Google, Oracle, Amazon Web Services e Microsoft.

Di fatto, poche aziende, in gran parte americane, controllano la Rete. Quanto tutto ciò contribuisce a creare piena fiducia nell’infrastruttura globale di Internet se il “guardiano” batte una sola bandiera? E quai pressioni possono esercitare altri Paesi per ottenere parte di questo controllo?

Quale lezione per le imprese

Imprese e organizzazioni in genere devono per forza di cose avere un piano B. Ognuna, infatti, dovrebbe avere piena contezza dei provider e dei fornitori di servizi digitali a cui si appoggia, di come garantiscono la continuità operativa e di come corrono ai ripari quando viene messa in cris.

Occorre una diversificazione, ovvero l’implementazione di soluzioni alternative da attivare in caso di necessità e da testare con periodicità perché un blackout può non risolversi in una manciata di ore e, talvolta, anche lassi di tempo relativamente brevi possono avere conseguenze gravi.