matrix.org infrastruktuuri häkkimine

Matrixi, detsentraliseeritud sõnumside platvormi arendajad, kuulutasid välja Matrix.org ja Riot.im (peamine Matrixi klient) serverite hädaseiskamise seoses projekti infrastruktuuri häkkimisega. Esimene seiskamine toimus eile õhtul, pärast mida taastati serverite töö ja rakendused uuendati originaalallikatest. Kuid paar minutit tagasi said serverid taas kompromiteerituks.

Ründajad postitasid projekti peavalehele üksikasjalikud andmed serveri seadistused ja teavet nende valduses oleva andmebaasi kohta, mis sisaldab peaaegu viie ja poole miljoni Matrixi kasutaja hash'e. Tõendina on avalikult kätte saadud Matrixi projekti juhi parooli hash. Muudetud veebileht on saadaval ründajate GitHubi hoidlas (mitte Matrixi ametlikus hoidlas). Teise häkkimise üksikasjad on endiselt puudunud.

Pärast esimest häkkimist avaldas Matrixi meeskond aruande, kus öeldi, et häkkimine toimus vananenud pideva integreerimise Jenkins süsteemi haavatavuse kaudu. Pärast juurdepääsu saamist serverile Jenkinsilt hankisid ründajad SSH võtmed ja said juurdepääsu teiste infrastruktuuri serveritele. Teatati, et lähtekood ja paketid ei kannatanud rünnaku tõttu. Rünnak ei mõjutanud ka Modular.im servereid. Kuid ründajad said juurdepääsu peamise andmebaasi SUBD, kus asuvad sealhulgas mittekrüptitud sõnumid, juurdepääsu tokenid ja paroolide hash'id.

Kõikidele kasutajatele anti korraldus paroolid vahetada. Kuid paroolide vahetamise protsessis peamiselt cliendi Riot said kasutajad silmitsi seista võtmete taastamise varukoopiafailide kadumisega ja ei saanud juurdepääsu varasemate sõnumite ajaloole.

Tuletame meelde, et detsentraalsed kommunikatsioonid Matrix platvormi tutvustatakse projektina, mis kasutab avatud standardeid ja pöörab suurt tähelepanu kasutajate turvalisusele ja privaatsusele. Matrix pakub lõpp-punktide (end-to-end) krüpteerimist usaldusväärse Signaali algoritmi alusel, toetab otsingut ja piiramatu sõnumite ajalooga vaatamist, võib kasutada failide edastamiseks, teavituste saatmiseks, arendaja kohaloleku hindamiseks, telekonverentside korraldamiseks, häälte ja videokõnede tegemiseks. Samuti toetatakse selliseid laiendatud funktsioone nagu teksti sisestamise teavitamine, lugemise kinnitamine, push-teavitused ja serveripoolne otsing, ajalugu ja klientide oleku sünkroniseerimine, erinevad identifikaatori valikud (e-kiri, telefoninumber, Facebooki konto jne).

Allikas: opennet.ru