Die Entwickler der Plattform für dezentralisierte Nachrichtenübermittlung Matrix haben die dringende Abschaltung der Server Matrix.org und Riot.im (Hauptclient von Matrix) aufgrund eines Angriffs auf die Infrastruktur des Projekts angekündigt. Die erste Abschaltung fand gestern Abend statt, nach der die Server wiederhergestellt und die Anwendungen aus den Referenz-Quelltexten neu zusammengestellt wurden. Doch vor wenigen Minuten wurden die Server ein zweites Mal kompromittiert.
Die Angreifer veröffentlichten auf der Hauptseite des Projekts detaillierte Informationen über Serverkonfiguration hinzugefügt. und Daten darüber, dass sie eine Datenbank mit Hashes von fast fünfeinhalb Millionen Matrix-Nutzern besitzen. Als Beweis wurde ein Passwort-Hash des Projektleiters von Matrix öffentlich zugänglich gemacht. Der veränderte Code der Webseite wurde im Repository der Angreifer auf GitHub hochgeladen (nicht im offiziellen Repository von matrix). Details zum zweiten Hack sind derzeit nicht bekannt.
Nach dem ersten Hack veröffentlichte das Team von Matrix einen Bericht, in dem angegeben wurde, dass der Hack durch eine Sicherheitsanfälligkeit in einem nicht aktualisierten Jenkins-System für Continuous Integration erfolgt war. Nach dem Zugriff auf zu einem Server Jenkins erlangten die Angreifer die Kontrolle über die SSH-Schlüssel und konnten auf andere Server der Infrastruktur zugreifen. Es wurde erklärt, dass Quellcode und Pakete durch den Angriff nicht betroffen waren. Der Angriff hatte auch keine Auswirkungen auf die Server von Modular.im. Allerdings erhielten die Angreifer Zugang zur Hauptdatenbank, in der unter anderem unverschlüsselte Nachrichten, Zugriffstoken und Passwort-Hashes gespeichert sind.
Allen Benutzern wurde geraten, ihre Passwörter zu ändern. Beim Ändern der Passwörter im Hauptclient Riot stießen die Benutzer jedoch auf das Problem, dass Dateien mit Sicherungskopien der Schlüssel zum Wiederherstellen der verschlüsselten Nachrichten verschwunden waren und sie keinen Zugriff auf die Historie früherer Nachrichten hatten.
Wir erinnern daran, dass die Plattform für die Organisation dezentraler Kommunikation Matrix als ein Projekt präsentiert wird, das offene Standards verwendet und großen Wert auf die Sicherheit und den Datenschutz der Benutzer legt. Matrix bietet Ende-zu-Ende-Verschlüsselung auf der Grundlage des bewährten Signal-Algorithmus, unterstützt die Suche und unbegrenzte Einsichtnahme in den Nachrichtenverlauf, kann zum Austausch von Dateien, zum Versenden von Benachrichtigungen, zur Bewertung der Online-Präsenz von Entwicklern, zur Organisation von Videokonferenzen sowie für Sprach- und Videoanrufe verwendet werden. Es werden auch erweiterte Funktionen wie Benachrichtigung über die Eingabe von Text, Lesebestätigungen, Push-Benachrichtigungen und serverseitige Suche, Synchronisierung des Verlaufs und des Status von Clients sowie verschiedene Identifikationsmöglichkeiten (E-Mail, Telefonnummer, Facebook-Konto usw.) unterstützt.
Quelle: opennet.ru
