Les développeurs de la plateforme de messagerie décentralisée Matrix ont annoncé la déconnexion d'urgence des serveurs Matrix.org et Riot.im (le client principal de Matrix) en raison d'une violation de l'infrastructure du projet. La première déconnexion a eu lieu hier soir, après quoi le fonctionnement des serveurs a été rétabli et les applications ont été reconstruites à partir des sources de référence. Cependant, il y a quelques minutes, les serveurs ont été compromis une seconde fois.
Les attaquants ont publié sur la page d'accueil du projet des informations détaillées sur configuration du serveur et des données sur la possession d'une base de données contenant les hachages de près de cinq millions et demi d'utilisateurs de Matrix. Comme preuve, un hachage du mot de passe du leader du projet Matrix a été rendu public. Le code modifié du site a été placé dans le dépôt des attaquants sur GitHub (pas dans le dépôt officiel de matrix). Les détails de la deuxième violation sont pour l'instant absents.
Après la première violation, l'équipe de Matrix a publié un rapport indiquant que le piratage avait été effectué via une vulnérabilité dans un système d'intégration continue Jenkins non mis à jour. Après avoir obtenu l'accès à serveur Jenkins, les attaquants ont intercepté les clés SSH et ont réussi à accéder à d'autres serveurs de l'infrastructure. Il a été déclaré que le code source et les paquets n'avaient pas été touchés par l'attaque. L'attaque n'a également pas affecté les serveurs de Modular.im. Cependant, les attaquants ont eu accès à la base de données principale, qui contient notamment des messages non chiffrés, des jetons d'accès et des hachages de mots de passe.
Tous les utilisateurs ont reçu l'instruction de changer leurs mots de passe. Cependant, lors du changement de mots de passe dans le client principal Riot, les utilisateurs ont rencontré des problèmes avec la perte de fichiers de sauvegarde des clés pour récupérer des messages chiffrés et l'impossibilité d'accéder à l'historique des messages précédents.
Rappelons que la plateforme d'organisation de communications décentralisées Matrix est présentée comme un projet utilisant des normes ouvertes et accordant une grande importance à la sécurité et à la confidentialité des utilisateurs. Matrix assure un chiffrement de bout en bout basé sur l'algorithme Signal éprouvé, prend en charge la recherche et l'affichage illimité de l'historique des messages, peut être utilisé pour le transfert de fichiers, l'envoi de notifications, l'évaluation de la présence des développeurs en ligne, l'organisation de téléconférences, et pour passer des appels vocaux et vidéo. Des fonctionnalités avancées telles que la notification de saisie, la confirmation de lecture, les notifications push et la recherche côté serveur, la synchronisation de l'historique et de l'état des clients, ainsi que divers types d'identifiants (email, numéro de téléphone, compte Facebook, etc.) sont également prises en charge.
Source : opennet.ru
