Разработчиците на платформата за децентрализирана размяна на съобщения Matrix обявиха за спешно отключване на сървърите Matrix.org и Riot.im (основният клиент на Matrix) поради хакерска атака върху инфраструктурата на проекта. Първото отключване се състоя вчера вечерта, след което работата на сървърите беше възстановена, а приложенията преработени от еталонните изходни кодове. Но преди няколко минути сървърите бяха компрометирани втори път.
Атакуващите публикуваха на главната страница на проекта подробни данни за конфигурации на сървъра и информация за наличието на база данни с хешове на почти пет и половина милиона потребители на Matrix. Като доказателство в публичен достъп е публикуван хеш на паролата на ръководителя на проекта Matrix. Промененият код на сайта е поставен в хранилището на атакуващите в GitHub (не в официалното хранилище на matrix). Подробности за второто хакване все още липсват.
След първото хакване екипът на Matrix публикува доклад, в който е посочено, че хакването е станало чрез уязвимост в неподновената система за непрекъсната интеграция Jenkins. След получаване на достъп до сървър с Jenkins атакуващите са прихванали SSH ключовете и са получили възможност за достъп до други сървъри на инфраструктурата. Заявено е, че изходният код и пакетите не са били засегнати в резултат на атаката. Атаката също не е засегнала сървърите на Modular.im. Но атакуващите са получили достъп до основната база данни, в която се съдържат, в частност, незашифровани съобщения, токени за достъп и хешове на пароли.
На всички потребители беше предписано да сменят паролите си. Но по време на смяната на паролите в основния клиент Riot потребителите се сблъскаха с изчезването на файловете с резервни копия на ключовете за възстановяване на криптираната кореспонденция и невъзможността да получат достъп до историята с предишните съобщения.
Напомняме, че платформата за организиране на децентрализирани комуникации Matrix се представя като проект, който използва отворени стандарти и обръща значително внимание на осигуряването на безопасност и конфиденциалност на потребителите. Matrix предлага крайно (end-to-end) криптиране, основано на проверен алгоритъм Signal, позволява търсене и неограничен достъп до историята на разговорите, може да се използва за пренос на файлове, изпращане на уведомления, оценка на присъствието на разработчика онлайн, организиране на телеконференции и извършване на гласови и видео обаждания. Поддържат се и разширени функции като уведомление за въвеждане на текст, потвърждение за прочит, push-уведомления и търсене на страната на сървъра, синхронизация на историята и състоянието на клиентите, както и различни опции за идентификация (имейл, телефонен номер, акаунт във Facebook и т.н.).
Източник: opennet.ru
