Entwickler der dezentralen Messaging-Plattform Matrix über Notabschaltung von Servern и (Hauptkunde von Matrix) aufgrund von Hackerangriffen auf die Projektinfrastruktur. Gestern Abend kam es zum ersten Ausfall, danach waren die Server nicht mehr erreichbar , und die Anwendungen werden aus Referenzquellen neu erstellt. Aber vor ein paar Minuten waren die Server da zweites Mal.
Angreifer auf der hauptsache detaillierte Informationen zur Serverkonfiguration und Daten zum Vorhandensein einer Datenbank mit Hashes von fast fünfeinhalb Millionen Matrix-Benutzern. Als Beweis ist der Passwort-Hash des Leiters des Matrix-Projekts öffentlich zugänglich. Site-Code geändert im GitHub-Repository der Angreifer (nicht im offiziellen Matrix-Repository). Details zum bisherigen zweiten Hack .
Nach dem ersten Hack durch das Matrix-Team wurde es veröffentlicht , was darauf hindeutet, dass der Hack durch eine Schwachstelle im nicht aktualisierten Jenkins Continuous Integration System begangen wurde. Nachdem sie Zugriff auf den Jenkins-Server erlangt hatten, fingen die Angreifer die SSH-Schlüssel ab und konnten auf andere Infrastrukturserver zugreifen. Es wurde angegeben, dass der Quellcode und die Pakete von dem Angriff nicht betroffen seien. Der Angriff hatte auch keine Auswirkungen auf die Modular.im-Server. Doch die Angreifer verschafften sich Zugriff auf das Haupt-DBMS, das unter anderem unverschlüsselte Nachrichten, Zugriffstoken und Passwort-Hashes enthält.
Alle Benutzer wurden angewiesen, ihre Passwörter zu ändern. Aber während des Prozesses zum Ändern von Passwörtern im Haupt-Riot-Client können Benutzer mit dem Verlust von Dateien mit Sicherungskopien von Schlüsseln zur Wiederherstellung verschlüsselter Korrespondenz und der Unfähigkeit, auf den Verlauf früherer Nachrichten zuzugreifen.
Wir möchten Sie daran erinnern, dass es sich um eine Plattform zur Organisation dezentraler Kommunikation handelt wird als Projekt präsentiert, das offene Standards verwendet und großen Wert auf die Gewährleistung der Sicherheit und Privatsphäre der Benutzer legt. Matrix bietet eine Ende-zu-Ende-Verschlüsselung basierend auf einem eigenen Protokoll, einschließlich des Double Ratchet-Algorithmus (wird auch als Teil des Signalprotokolls verwendet), unterstützt die Suche und unbegrenzte Anzeige des Korrespondenzverlaufs und kann zum Übertragen von Dateien, zum Senden von Benachrichtigungen und zum Auswerten verwendet werden Online-Präsenz des Entwicklers, Organisation von Telefonkonferenzen, Durchführung von Sprach- und Videoanrufen. Es unterstützt auch erweiterte Funktionen wie Tippbenachrichtigungen, Lesebestätigungen, Push-Benachrichtigungen und serverseitige Suche, Synchronisierung von Client-Verlauf und -Status sowie verschiedene Identifizierungsoptionen (E-Mail, Telefonnummer, Facebook-Konto usw.).
Supplement: Fortsetzung mit einer Beschreibung des zweiten Hacks, Informationen über den Verlust von PGP-Schlüsseln und einem Überblick über die Sicherheitsprobleme, die zu dem Hack führten.
Quelleopennet.ru
[: En]Entwickler der dezentralen Messaging-Plattform Matrix über Notabschaltung von Servern и (Hauptkunde von Matrix) aufgrund von Hackerangriffen auf die Projektinfrastruktur. Gestern Abend kam es zum ersten Ausfall, danach waren die Server nicht mehr erreichbar , und die Anwendungen werden aus Referenzquellen neu erstellt. Aber vor ein paar Minuten waren die Server da zweites Mal.
Angreifer auf der hauptsache detaillierte Informationen zur Serverkonfiguration und Daten zum Vorhandensein einer Datenbank mit Hashes von fast fünfeinhalb Millionen Matrix-Benutzern. Als Beweis ist der Passwort-Hash des Leiters des Matrix-Projekts öffentlich zugänglich. Site-Code geändert im GitHub-Repository der Angreifer (nicht im offiziellen Matrix-Repository). Details zum bisherigen zweiten Hack .
Nach dem ersten Hack durch das Matrix-Team wurde es veröffentlicht , was darauf hindeutet, dass der Hack durch eine Schwachstelle im nicht aktualisierten Jenkins Continuous Integration System begangen wurde. Nachdem sie Zugriff auf den Jenkins-Server erlangt hatten, fingen die Angreifer die SSH-Schlüssel ab und konnten auf andere Infrastrukturserver zugreifen. Es wurde angegeben, dass der Quellcode und die Pakete von dem Angriff nicht betroffen seien. Der Angriff hatte auch keine Auswirkungen auf die Modular.im-Server. Doch die Angreifer verschafften sich Zugriff auf das Haupt-DBMS, das unter anderem unverschlüsselte Nachrichten, Zugriffstoken und Passwort-Hashes enthält.
Alle Benutzer wurden angewiesen, ihre Passwörter zu ändern. Aber während des Prozesses zum Ändern von Passwörtern im Haupt-Riot-Client können Benutzer mit dem Verlust von Dateien mit Sicherungskopien von Schlüsseln zur Wiederherstellung verschlüsselter Korrespondenz und der Unfähigkeit, auf den Verlauf früherer Nachrichten zuzugreifen.
Wir möchten Sie daran erinnern, dass es sich um eine Plattform zur Organisation dezentraler Kommunikation handelt wird als Projekt präsentiert, das offene Standards verwendet und großen Wert auf die Gewährleistung der Sicherheit und Privatsphäre der Benutzer legt. Matrix bietet eine Ende-zu-Ende-Verschlüsselung basierend auf einem eigenen Protokoll, einschließlich des Double Ratchet-Algorithmus (wird auch als Teil des Signalprotokolls verwendet), unterstützt die Suche und unbegrenzte Anzeige des Korrespondenzverlaufs und kann zum Übertragen von Dateien, zum Senden von Benachrichtigungen und zum Auswerten verwendet werden Online-Präsenz des Entwicklers, Organisation von Telefonkonferenzen, Durchführung von Sprach- und Videoanrufen. Es unterstützt auch erweiterte Funktionen wie Tippbenachrichtigungen, Lesebestätigungen, Push-Benachrichtigungen und serverseitige Suche, Synchronisierung von Client-Verlauf und -Status sowie verschiedene Identifizierungsoptionen (E-Mail, Telefonnummer, Facebook-Konto usw.).
Supplement: Fortsetzung mit einer Beschreibung des zweiten Hacks, Informationen über den Verlust von PGP-Schlüsseln und einem Überblick über die Sicherheitsprobleme, die zu dem Hack führten.
Source: opennet.ru
[:]