Vývojáři platformy pro decentralizovanou výměnu zpráv Matrix oznámili urgentní odstavení serverů Matrix.org a Riot.im (hlavní klient Matrix) v důsledku hacku infrastruktury projektu. První odstavení proběhlo včera večer, poté byla práce serverů obnovena a aplikace přebudovány z referenčních zdrojových kódů. Ale před několika minutami byly servery poprvé zkompromitovány.
Útočníci umístili na hlavní stránku projektu podrobné informace o konfigurace serveru a údaje o vlastnictví databáze s hašovanými hesly téměř pěti a půl milionu uživatelů Matrix. Jako důkaz byl veřejně zveřejněn haš hesla lídra projektu Matrix. Pozměněný kód webu je umístěn v repozitáři útočníků na GitHubu (ne v oficiálním repozitáři matrix). Podrobnosti o druhém hacku zatím chybí.
Po prvním hacku byl týmem Matrix zveřejněn report, ve kterém se uvádí, že hack byl proveden prostřednictvím zranitelnosti v neaktualizovaném systému kontinuální integrace Jenkins. Po získání přístupu k serveru Jenkins útočníci zachytili SSH klíče a získali možnost přístupu k dalším serverům infrastruktury. Bylo uvedeno, že zdrojový kód a balíčky nebyly v důsledku útoku poškozeny. Útok se také netýkal serverů Modular.im. Ale útočníci získali přístup k hlavnímu DBMS, ve kterém jsou umístěny mimo jiné nezašifrované zprávy, přístupové tokeny a haše hesel.
Všem uživatelům bylo nařízeno změnit hesla. Ale při procesu změny hesel v hlavním klientu Riot se uživatelé setkali s problémem ztráty souborů s záložními klíči pro obnovení šifrované korespondence a nemožností přístupu k historii předchozích zpráv.
Připomínáme, že platforma pro organizaci decentralizovaných komunikací Matrix je prezentována jako projekt, který používá otevřené standardy a klade velký důraz na zajištění bezpečnosti a soukromí uživatelů. Matrix poskytuje koncové (end-to-end) šifrování na základě ověřeného algoritmu Signal, podporuje vyhledávání a neomezený přístup k historii konverzací, může být využit pro přenos souborů, odesílání upozornění, hodnocení přítomnosti vývojáře online, organizaci videokonferencí a uskutečňování hlasových a video hovorů. Podporovány jsou také rozšířené funkce, jako je oznámení o psaní, potvrzení přečtení, push upozornění a vyhledávání na straně serveru, synchronizace historie a stavu klientů, různé varianty identifikátorů (email, telefonní číslo, účet na Facebooku atd.).
Zdroj: opennet.ru
