أعلن مطورو منصة Matrix للمراسلة اللامركزية عن إغلاق طارئ لخوادم Matrix.org وRiot.im (العميل الرئيسي لـ Matrix) بسبب اختراق البنية التحتية للمشروع. وحدث الانقطاع الأول الليلة الماضية، وبعد ذلك تمت استعادة الخوادم وإعادة بناء التطبيقات من مصادر مرجعية. ولكن منذ دقائق قليلة، تم اختراق الخوادم للمرة الثانية.
نشر المهاجمون على الصفحة الرئيسية للمشروع معلومات مفصلة حول تكوين الخادم وبيانات حول وجود قاعدة بيانات تحتوي على تجزئات لما يقرب من خمسة ملايين ونصف من مستخدمي Matrix. كدليل على ذلك، فإن كلمة المرور الخاصة بقائد مشروع Matrix متاحة للجمهور. يتم نشر رمز الموقع المعدل في مستودع المهاجمين على GitHub (وليس في مستودع المصفوفة الرسمي). التفاصيل حول الاختراق الثاني ليست متاحة بعد.
بعد الاختراق الأول، نشر فريق Matrix تقريرًا يشير إلى أن الاختراق تم من خلال ثغرة أمنية في نظام التكامل المستمر Jenkins غير المحدث. بعد الوصول إلى خادم Jenkins، اعترض المهاجمون مفاتيح SSH وتمكنوا من الوصول إلى خوادم البنية التحتية الأخرى. وذكر أن الكود المصدري والحزم لم تتأثر بالهجوم. ولم يؤثر الهجوم أيضًا على خوادم Modular.im. لكن المهاجمين تمكنوا من الوصول إلى نظام إدارة قواعد البيانات الرئيسي، والذي يحتوي، من بين أشياء أخرى، على رسائل غير مشفرة ورموز الوصول وتجزئة كلمة المرور.
تم توجيه جميع المستخدمين لتغيير كلمات المرور الخاصة بهم. ولكن في عملية تغيير كلمات المرور في عميل Riot الرئيسي، واجه المستخدمون اختفاء الملفات التي تحتوي على نسخ احتياطية من المفاتيح لاستعادة المراسلات المشفرة وعدم القدرة على الوصول إلى سجل الرسائل السابقة.
دعونا نتذكر أن منصة تنظيم الاتصالات اللامركزية Matrix يتم تقديمها كمشروع يستخدم معايير مفتوحة ويولي اهتمامًا كبيرًا لضمان أمان وخصوصية المستخدمين. يوفر Matrix تشفيرًا شاملاً استنادًا إلى خوارزمية Signal المثبتة، ويدعم البحث وعرضًا غير محدود لسجل المراسلات، ويمكن استخدامه لنقل الملفات وإرسال الإشعارات وتقييم تواجد المطور عبر الإنترنت وتنظيم المؤتمرات عن بعد وإجراء مكالمات صوتية ومرئية. كما أنه يدعم الميزات المتقدمة مثل إشعارات الكتابة، وتأكيد القراءة، وإشعارات الدفع، والبحث من جانب الخادم، ومزامنة سجل العميل وحالته، وخيارات المعرفات المتنوعة (البريد الإلكتروني، ورقم الهاتف، وحساب Facebook، وما إلى ذلك).
المصدر: opennet.ru