Der Administrator des Jabber-Servers jabber.ru (xmpp.ru) stellte einen Angriff auf die Entschl\u00fcsselung des Nutzerverkehrs (MITM) fest, der \u00fcber einen Zeitraum von 90 Tagen bis 6 Monaten in den Netzwerken der deutschen Hosting-Anbieter Hetzner und Linode durchgef\u00fchrt wurde, auf denen der Projektserver und unterst\u00fctzende VPS-Umgebungen gehostet werden. Der Angriff wurde durch die Umleitung des Verkehrs zu einem Transitknoten organisiert, der das TLS-Zertifikat f\u00fcr XMPP-Verbindungen manipuliert, die mit der Erweiterung STARTTLS verschl\u00fcsselt sind. <\/p>\n
Der Angriff wurde aufgrund eines Fehlers seiner Organisatoren bemerkt, die es vers\u00e4umt hatten, das TLS-Zertifikat, das f\u00fcr die Manipulation verwendet wurde, zu verl\u00e4ngern. Am 16. Oktober erhielt der Administrator von jabber.ru beim Versuch, sich mit dem Dienst zu verbinden, eine Fehlermeldung aufgrund eines abgelaufenen Zertifikats, jedoch war das auf dem Server gespeicherte Zertifikat nicht abgelaufen. Schlie\u00dflich stellte sich heraus, dass das vom Client empfangene Zertifikat sich vom vom Server gesendeten Zertifikat unterscheidet. Das erste gef\u00e4lschte TLS-Zertifikat<\/a> wurde am 18. April 2023 \u00fcber den Service Let's Encrypt erhalten, bei dem der Angreifer, der in der Lage war, den Datenverkehr abzufangen, den Zugang zu den Websites jabber.ru und xmpp.ru best\u00e4tigen konnte. <\/p>\n Zun\u00e4chst entstand der Verdacht auf eine Kompromittierung des Projektservers und eine Manipulation auf dessen Seite. Der durchgef\u00fchrte Audit ergab jedoch keine Anzeichen eines Hacks. Dabei wurde im Serverprotokoll ein kurzfristiges Abschalten und Einschalten der Netzwerkschnittstelle festgestellt (NIC Link is Down\/NIC Link is Up), das am 18. Juli um 12:58 Uhr stattfand und auf Manipulationen bei der Verbindung des Servers mit dem Switch hindeuten k\u00f6nnte. Bemerkenswert ist, dass zwei gef\u00e4lschte TLS-Zertifikate nur wenige Minuten zuvor generiert wurden \u2013 am 18. Juli um 12:49 Uhr und 12:38 Uhr. <\/p>\n Dar\u00fcber hinaus fand die Manipulation nicht nur im Netzwerk des Anbieters Hetzner statt, auf dem der Hauptserver gehostet wird, sondern auch im Netzwerk des Anbieters Linode, in dem die VPS-Umgebungen mit unterst\u00fctzenden Proxy-Servern gehostet wurden, die den Verkehr von anderen Adressen umleiten. Indirekt wurde festgestellt, dass der Verkehr auf den Netzwerkport 5222 (XMPP STARTTLS) in den Netzwerken beider Anbieter \u00fcber einen zus\u00e4tzlichen Host umgeleitet wird, was den Verdacht n\u00e4hrte, dass der Angriff von jemandem durchgef\u00fchrt wurde, der Zugang zur Infrastruktur der Anbieter hat. <\/p>\n Theoretisch konnte die Umstellung ab dem 18. April (Datum der Erstellung des ersten gef\u00e4lschten Zertifikats f\u00fcr jabber.ru) erfolgen, aber best\u00e4tigte F\u00e4lle von Zertifikats\u00e4nderungen wurden nur zwischen dem 21. Juli und dem 19. Oktober festgestellt. W\u00e4hrend dieser gesamten Zeit kann der verschl\u00fcsselte Datenverkehr mit jabber.ru und xmpp.ru als kompromittiert betrachtet werden. Die Umstellungen wurden nach Beginn der Ermittlungen, Durchf\u00fchrung von Tests und der Anfrage am 18. Oktober an den Support der Anbieter Hetzner und Linode eingestellt. Ein zus\u00e4tzlicher \u00dcbergang bei der Paketweiterleitung, die an Port 5222 eines der Server<\/a> in Linode gesendet wird, ist auch heute noch zu beobachten, aber das Zertifikat wird jetzt nicht mehr ersetzt. <\/p>\n Es wird vermutet, dass der Angriff mit Wissen der Anbieter auf Anforderung der Strafverfolgungsbeh\u00f6rden, aufgrund eines Hacks der Infrastruktur beider Anbieter oder durch einen Mitarbeiter, der Zugang zu beiden Anbietern hatte, durchgef\u00fchrt wurde. Mit der M\u00f6glichkeit, XMPP-Traffic abzufangen und zu modifizieren, h\u00e4tte der Angreifer Zugang zu allen mit den Konten verbundenen Daten erhalten k\u00f6nnen, wie z. B. der auf dem Server gespeicherten Nachrichtenhistorie, und h\u00e4tte Nachrichten im Namen anderer senden und \u00c4nderungen an fremden Nachrichten vornehmen k\u00f6nnen. Nachrichten, die mit End-to-End-Verschl\u00fcsselung (OMEMO, OTR oder PGP) gesendet werden, gelten als nicht kompromittiert, wenn die Verschl\u00fcsselungsschl\u00fcssel von den Benutzern auf beiden Seiten der Verbindung best\u00e4tigt werden. Benutzern von jabber.ru wird empfohlen, ihre Zugangspassw\u00f6rter zu \u00e4ndern und die Schl\u00fcssel OMEMO und PGP in ihren PEP-Speichern auf m\u00f6gliche Manipulationen zu \u00fcberpr\u00fcfen. \u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 VPS-\u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0439 \u0443\u0437\u0435\u043b, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0439 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f XMPP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0448\u0438\u0444\u0440\u0443\u0435\u043c\u044b\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f STARTTLS. \u0410\u0442\u0430\u043a\u0430 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111010","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Abfangen des verschl\u00fcsselten Traffics von jabber.ru und xmpp.ru festgestellt | ProHoster","description":"Der Administrator des Jabber-Servers jabber.ru (xmpp.ru) hat einen Angriff auf die Entschl\u00fcsselung des Benutzer-Traffics (MITM) festgestellt, der \u00fcber einen Zeitraum von 90 Tagen bis zu 6 Monaten in den Netzwerken der deutschen Hosting-Anbieter Hetzner und Linode durchgef\u00fchrt wurde.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 jabber.ru \u0438 xmpp.ru | ProHoster","og:description":"\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-20T19:10:22+00:00","article:modified_time":"2023-10-20T19:10:22+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111010","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-08 21:02:30","updated":"2026-02-09 16:51:31","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=111010"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010\/revisions"}],"predecessor-version":[{"id":158943,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/111010\/revisions\/158943"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=111010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=111010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=111010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"