matrix.org infrastruktuuri ründamine

Matrixi, detsentraliseeritud sõnumivahetuse platvormi arendajad, teatasid Matrix.org ja Riot.im (Matrixi põhiklient) serverite hädaseiskamisest seoses projekti infrastruktuuri häkkimisega. Esimene hädaseiskamine toimus eile õhtul, pärast mida serverite töö taastati ja rakendused uuendati originaalsete allikaid kasutades. Kuid paar minutit tagasi kompromiteeriti serverid teist korda.

Ründajad avaldasid projekti peamisel lehel üksikasjalikud andmed serveri konfiguratsiooni ning teavet nende valduses olevate andmebaaside kohta, mis sisaldavad peaaegu viie ja poole miljoni Matrixi kasutaja häshe. Tõendina on avalikustatud Matrixi projekti juhi paroolihäsh. Muudetud veebileht on ründajate GitHubi hoidlas (mitte ametlikus matrixi hoidlas). Teise häkkimise kohta puuduvad hetkel üksikasjad.

Pärast esimest häkkimist avaldas Matrixi meeskond aruande, kus öeldi, et häkkimine toimus aegunud Jenkins'i pideva integreerimise süsteemi haavatavuse tõttu. Juurdepääsu saades serveri Jenkins'ile, ründajad haarasid SSH võtmed ja said võimaluse juurdepääsuks teistele infrastruktuuri serveritele. Rääkisime, et lähtekood ja paketid ei saanud rünnaku käigus kahjustada. Rünnak ei mõjutanud ka Modular.im servereid. Kuid ründajad said juurdepääsu põhise andmebaasile, kuhu on salvestatud sealhulgas krüptimata sõnumid, juurdepääsu tokenid ja paroolihäshid.

Kõigile kasutajatele on soovitatud parooli vahetada. Kuid parooli vahetamise protsessis põhikliendis Riot kogesid kasutajad probleeme varukoopiaid sisaldavate failide kaotamisega, mis olid vajalikud krüpteeritud vestluste taastamiseks, ning ei pääsenud ligi varasemate sõnumite ajaloole.

Tulet meenutatud, et platvormi deentsentraliseeritud suhtluse korraldamiseks Matrix esitatakse projektina, mis kasutab avatud standardeid ja pöörab suurt tähelepanu kasutajate turvalisusele ja privaatsusele. Matrix tagab lõpp-lõpuni krüptimise, mis põhineb tõestatud Signali algoritmil, toetab otsingut ja piiramatu pääsu vestluste ajaloole, mida saab kasutada failide edastamiseks, teate saatmiseks, arendaja kohaloleku hindamiseks internetis, konverentside korraldamiseks, hääl- ja videokõnede tegemiseks. Toetatakse ka laiendatud funktsioone, nagu tekstisisestuse teavitamine, lugemise kinnitamine, push-teavitused ja serveripoolne otsing, ajaloode ja kliendiseisundi sünkroonimine, eri tüüpi identifikaatorid (email, telefoninumber, Facebooki konto jne).

Allikas: opennet.ru