Desarrolladores de la plataforma de mensajería descentralizada Matrix sobre el cierre de emergencia de los servidores и (principal cliente de Matrix) debido al hackeo de la infraestructura del proyecto. La primera interrupción se produjo anoche, tras la cual los servidores dejaron de estar disponibles. y las aplicaciones se reconstruyen a partir de fuentes de referencia. Pero hace unos minutos los servidores estaban segunda vez.
Atacantes en lo principal información detallada sobre la configuración del servidor y datos sobre la presencia de una base de datos con hashes de casi cinco millones y medio de usuarios de Matrix. Como prueba, el hash de la contraseña del líder del proyecto Matrix está disponible públicamente. Código de sitio cambiado en el repositorio de GitHub de los atacantes (no en el repositorio de matriz oficial). Detalles sobre el segundo hack hasta ahora .
Después del primer hack del equipo de Matrix, se publicó , lo que indica que el hack se cometió a través de una vulnerabilidad en el sistema de integración continua Jenkins no actualizado. Después de obtener acceso al servidor Jenkins, los atacantes interceptaron las claves SSH y pudieron acceder a otros servidores de infraestructura. Se afirmó que el código fuente y los paquetes no se vieron afectados por el ataque. El ataque tampoco afectó a los servidores de Modular.im. Pero los atacantes obtuvieron acceso al DBMS principal, que contiene, entre otras cosas, mensajes no cifrados, tokens de acceso y hashes de contraseñas.
Todos los usuarios recibieron instrucciones de cambiar sus contraseñas. Pero durante el proceso de cambio de contraseñas en el cliente principal de Riot, los usuarios con la pérdida de archivos con copias de seguridad de claves para restaurar la correspondencia cifrada y la imposibilidad de acceder al historial de mensajes pasados.
Le recordamos que la plataforma para organizar comunicaciones descentralizadas se presenta como un proyecto que utiliza estándares abiertos y presta gran atención a garantizar la seguridad y privacidad de los usuarios. Matrix proporciona cifrado de extremo a extremo basado en su propio protocolo, incluido el algoritmo Double Ratchet (también utilizado como parte del protocolo Signal), admite búsqueda y visualización ilimitada del historial de correspondencia, se puede utilizar para transferir archivos, enviar notificaciones, evaluar presencia del desarrollador en línea, organización de teleconferencias, realización de llamadas de voz y video. También admite funciones avanzadas como notificaciones de escritura, confirmación de lectura, notificaciones automáticas y búsqueda del lado del servidor, sincronización del historial y estado del cliente, varias opciones de identificador (correo electrónico, número de teléfono, cuenta de Facebook, etc.).
Suplemento: Continuó con una descripción del segundo hack, información sobre la filtración de claves PGP y una descripción general de los problemas de seguridad que llevaron al hack.
fuenteopennet.ru
Desarrolladores de la plataforma de mensajería descentralizada Matrix sobre el cierre de emergencia de los servidores и (principal cliente de Matrix) debido al hackeo de la infraestructura del proyecto. La primera interrupción se produjo anoche, tras la cual los servidores dejaron de estar disponibles. y las aplicaciones se reconstruyen a partir de fuentes de referencia. Pero hace unos minutos los servidores estaban segunda vez.
Atacantes en lo principal información detallada sobre la configuración del servidor y datos sobre la presencia de una base de datos con hashes de casi cinco millones y medio de usuarios de Matrix. Como prueba, el hash de la contraseña del líder del proyecto Matrix está disponible públicamente. Código de sitio cambiado en el repositorio de GitHub de los atacantes (no en el repositorio de matriz oficial). Detalles sobre el segundo hack hasta ahora .
Después del primer hack del equipo de Matrix, se publicó , lo que indica que el hack se cometió a través de una vulnerabilidad en el sistema de integración continua Jenkins no actualizado. Después de obtener acceso al servidor Jenkins, los atacantes interceptaron las claves SSH y pudieron acceder a otros servidores de infraestructura. Se afirmó que el código fuente y los paquetes no se vieron afectados por el ataque. El ataque tampoco afectó a los servidores de Modular.im. Pero los atacantes obtuvieron acceso al DBMS principal, que contiene, entre otras cosas, mensajes no cifrados, tokens de acceso y hashes de contraseñas.
Todos los usuarios recibieron instrucciones de cambiar sus contraseñas. Pero durante el proceso de cambio de contraseñas en el cliente principal de Riot, los usuarios con la pérdida de archivos con copias de seguridad de claves para restaurar la correspondencia cifrada y la imposibilidad de acceder al historial de mensajes pasados.
Le recordamos que la plataforma para organizar comunicaciones descentralizadas se presenta como un proyecto que utiliza estándares abiertos y presta gran atención a garantizar la seguridad y privacidad de los usuarios. Matrix proporciona cifrado de extremo a extremo basado en su propio protocolo, incluido el algoritmo Double Ratchet (también utilizado como parte del protocolo Signal), admite búsqueda y visualización ilimitada del historial de correspondencia, se puede utilizar para transferir archivos, enviar notificaciones, evaluar presencia del desarrollador en línea, organización de teleconferencias, realización de llamadas de voz y video. También admite funciones avanzadas como notificaciones de escritura, confirmación de lectura, notificaciones automáticas y búsqueda del lado del servidor, sincronización del historial y estado del cliente, varias opciones de identificador (correo electrónico, número de teléfono, cuenta de Facebook, etc.).
Suplemento: Continuó con una descripción del segundo hack, información sobre la filtración de claves PGP y una descripción general de los problemas de seguridad que llevaron al hack.
Fuente: opennet.ru
[:]