બીજા મેટ્રિક્સ હેક વિશે વિગતો. પ્રોજેક્ટ GPG કી સાથે ચેડાં થયાં

[:ru]

પ્રકાશિત новые વિગતો વિકેન્દ્રિત મેસેજિંગ પ્લેટફોર્મ મેટ્રિક્સના ઇન્ફ્રાસ્ટ્રક્ચરના હેકિંગ વિશે, જેના વિશે અહેવાલ સવારમાં. સમસ્યારૂપ કડી જેના દ્વારા હુમલાખોરો ઘૂસ્યા તે જેનકિન્સ સતત એકીકરણ સિસ્ટમ હતી, જે 13 માર્ચે હેક કરવામાં આવી હતી. તે પછી, જેનકિન્સ સર્વર પર, SSH એજન્ટ દ્વારા રીડાયરેક્ટ કરાયેલા એક એડમિનિસ્ટ્રેટરનું લોગિન અટકાવવામાં આવ્યું અને 4 એપ્રિલના રોજ હુમલાખોરોએ અન્ય ઈન્ફ્રાસ્ટ્રક્ચર સર્વર્સની ઍક્સેસ મેળવી.

બીજા હુમલા દરમિયાન, પ્રથમ હુમલા દરમિયાન અટકાવવામાં આવેલ Cloudflare સામગ્રી વિતરણ સિસ્ટમ API ની કીનો ઉપયોગ કરીને, DNS પરિમાણો બદલીને matrix.org વેબસાઇટને બીજા સર્વર (matrixnotorg.github.io) પર રીડાયરેક્ટ કરવામાં આવી હતી. પ્રથમ હેક પછી સર્વરની સામગ્રીઓનું પુનઃનિર્માણ કરતી વખતે, મેટ્રિક્સ એડમિનિસ્ટ્રેટર્સે ફક્ત નવી વ્યક્તિગત કીઝ અપડેટ કરી અને Cloudflare પર કી અપડેટ કરવાનું ચૂકી ગયા.

બીજા હુમલા દરમિયાન, મેટ્રિક્સ સર્વર્સ અસ્પૃશ્ય રહ્યા; ફેરફારો ફક્ત DNS માં સરનામાંને બદલવા સુધી મર્યાદિત હતા. જો વપરાશકર્તાએ પહેલા હુમલા પછી પાસવર્ડ બદલી નાખ્યો હોય, તો બીજી વાર તેને બદલવાની જરૂર નથી. પરંતુ જો પાસવર્ડ હજુ સુધી બદલાયો નથી, તો તેને શક્ય તેટલી વહેલી તકે અપડેટ કરવાની જરૂર છે, કારણ કે પાસવર્ડ હેશ સાથેના ડેટાબેઝના લીકની પુષ્ટિ થઈ છે. જ્યારે તમે આગલી વખતે લોગ ઇન કરો ત્યારે ફરજિયાત પાસવર્ડ રીસેટ પ્રક્રિયા શરૂ કરવાની વર્તમાન યોજના છે.

પાસવર્ડ્સ લીક ​​થવા ઉપરાંત, એ પણ પુષ્ટિ કરવામાં આવી છે કે ડેબિયન સિનેપ્સ રિપોઝીટરી અને રાયોટ/વેબ રીલીઝમાં પેકેજો માટે ડિજિટલ સિગ્નેચર જનરેટ કરવા માટે વપરાતી GPG કી હુમલાખોરોના હાથમાં આવી ગઈ છે. કીઓ પાસવર્ડથી સુરક્ષિત હતી. આ સમયે કીઓ પહેલેથી જ રદ કરવામાં આવી છે. ચાવીઓ 4 એપ્રિલના રોજ અટકાવવામાં આવી હતી, ત્યારથી કોઈ સિનેપ્સ અપડેટ્સ રિલીઝ કરવામાં આવ્યા નથી, પરંતુ Riot/Web ક્લાયન્ટ 1.0.7 રિલીઝ કરવામાં આવ્યું હતું (પ્રારંભિક તપાસ દર્શાવે છે કે તેની સાથે ચેડા કરવામાં આવ્યો નથી).

હુમલાખોરે GitHub પર હુમલાની વિગતો અને સુરક્ષા વધારવા માટેની ટીપ્સ સાથે શ્રેણીબદ્ધ અહેવાલો પોસ્ટ કર્યા હતા, પરંતુ તે કાઢી નાખવામાં આવ્યા હતા. જો કે, આર્કાઇવ કરેલા અહેવાલો સાચવેલ.
ઉદાહરણ તરીકે, હુમલાખોરે જાણ કરી હતી કે મેટ્રિક્સ વિકાસકર્તાઓએ જોઈએ ઉપયોગ કરો દ્વિ-પરિબળ પ્રમાણીકરણ અથવા ઓછામાં ઓછું SSH એજન્ટ રીડાયરેક્શન ("ForwardAgent yes") નો ઉપયોગ ન કરવો, તો ઇન્ફ્રાસ્ટ્રક્ચરમાં પ્રવેશ અવરોધિત કરવામાં આવશે. વિકાસકર્તાઓને માત્ર જરૂરી વિશેષાધિકારો આપીને હુમલાની વૃદ્ધિને અટકાવી શકાય છે. સંપૂર્ણ રૂટ એક્સેસ બધા સર્વર્સ પર.

વધુમાં, પ્રોડક્શન સર્વર્સ પર ડિજિટલ હસ્તાક્ષર બનાવવા માટે કી સ્ટોર કરવાની પ્રથાની ટીકા કરવામાં આવી હતી; આવા હેતુઓ માટે એક અલગ અલગ હોસ્ટની ફાળવણી કરવી જોઈએ. હજુ પણ હુમલો કરી રહ્યો છે અહેવાલ, કે જો મેટ્રિક્સ ડેવલપર્સે નિયમિતપણે લોગ્સનું ઓડિટ કર્યું હોત અને વિસંગતતાઓનું વિશ્લેષણ કર્યું હોત, તો તેઓએ શરૂઆતમાં હેકના નિશાનો જોયા હોત (સીઆઈ હેક એક મહિના માટે શોધાયેલ નથી). બીજી સમસ્યા હતી Git માં બધી રૂપરેખાંકન ફાઇલોને સંગ્રહિત કરવી, જેણે અન્ય યજમાનોની સેટિંગ્સનું મૂલ્યાંકન કરવાનું શક્ય બનાવ્યું જો તેમાંથી એક હેક કરવામાં આવી હોય. ઇન્ફ્રાસ્ટ્રક્ચર સર્વર્સ પર SSH દ્વારા ઍક્સેસ ન હતી સુરક્ષિત આંતરિક નેટવર્ક સુધી મર્યાદિત, જેણે કોઈપણ બાહ્ય સરનામાંથી તેમની સાથે જોડાવાનું શક્ય બનાવ્યું.

સોર્સopennet.ru

[: en]

પ્રકાશિત новые વિગતો વિકેન્દ્રિત મેસેજિંગ પ્લેટફોર્મ મેટ્રિક્સના ઇન્ફ્રાસ્ટ્રક્ચરના હેકિંગ વિશે, જેના વિશે અહેવાલ સવારમાં. સમસ્યારૂપ કડી જેના દ્વારા હુમલાખોરો ઘૂસ્યા તે જેનકિન્સ સતત એકીકરણ સિસ્ટમ હતી, જે 13 માર્ચે હેક કરવામાં આવી હતી. તે પછી, જેનકિન્સ સર્વર પર, SSH એજન્ટ દ્વારા રીડાયરેક્ટ કરાયેલા એક એડમિનિસ્ટ્રેટરનું લોગિન અટકાવવામાં આવ્યું અને 4 એપ્રિલના રોજ હુમલાખોરોએ અન્ય ઈન્ફ્રાસ્ટ્રક્ચર સર્વર્સની ઍક્સેસ મેળવી.

બીજા હુમલા દરમિયાન, પ્રથમ હુમલા દરમિયાન અટકાવવામાં આવેલ Cloudflare સામગ્રી વિતરણ સિસ્ટમ API ની કીનો ઉપયોગ કરીને, DNS પરિમાણો બદલીને matrix.org વેબસાઇટને બીજા સર્વર (matrixnotorg.github.io) પર રીડાયરેક્ટ કરવામાં આવી હતી. પ્રથમ હેક પછી સર્વરની સામગ્રીઓનું પુનઃનિર્માણ કરતી વખતે, મેટ્રિક્સ એડમિનિસ્ટ્રેટર્સે ફક્ત નવી વ્યક્તિગત કીઝ અપડેટ કરી અને Cloudflare પર કી અપડેટ કરવાનું ચૂકી ગયા.

બીજા હુમલા દરમિયાન, મેટ્રિક્સ સર્વર્સ અસ્પૃશ્ય રહ્યા; ફેરફારો ફક્ત DNS માં સરનામાંને બદલવા સુધી મર્યાદિત હતા. જો વપરાશકર્તાએ પહેલા હુમલા પછી પાસવર્ડ બદલી નાખ્યો હોય, તો બીજી વાર તેને બદલવાની જરૂર નથી. પરંતુ જો પાસવર્ડ હજુ સુધી બદલાયો નથી, તો તેને શક્ય તેટલી વહેલી તકે અપડેટ કરવાની જરૂર છે, કારણ કે પાસવર્ડ હેશ સાથેના ડેટાબેઝના લીકની પુષ્ટિ થઈ છે. જ્યારે તમે આગલી વખતે લોગ ઇન કરો ત્યારે ફરજિયાત પાસવર્ડ રીસેટ પ્રક્રિયા શરૂ કરવાની વર્તમાન યોજના છે.

પાસવર્ડ્સ લીક ​​થવા ઉપરાંત, એ પણ પુષ્ટિ કરવામાં આવી છે કે ડેબિયન સિનેપ્સ રિપોઝીટરી અને રાયોટ/વેબ રીલીઝમાં પેકેજો માટે ડિજિટલ સિગ્નેચર જનરેટ કરવા માટે વપરાતી GPG કી હુમલાખોરોના હાથમાં આવી ગઈ છે. કીઓ પાસવર્ડથી સુરક્ષિત હતી. આ સમયે કીઓ પહેલેથી જ રદ કરવામાં આવી છે. ચાવીઓ 4 એપ્રિલના રોજ અટકાવવામાં આવી હતી, ત્યારથી કોઈ સિનેપ્સ અપડેટ્સ રિલીઝ કરવામાં આવ્યા નથી, પરંતુ Riot/Web ક્લાયન્ટ 1.0.7 રિલીઝ કરવામાં આવ્યું હતું (પ્રારંભિક તપાસ દર્શાવે છે કે તેની સાથે ચેડા કરવામાં આવ્યો નથી).

હુમલાખોરે GitHub પર હુમલાની વિગતો અને સુરક્ષા વધારવા માટેની ટીપ્સ સાથે શ્રેણીબદ્ધ અહેવાલો પોસ્ટ કર્યા હતા, પરંતુ તે કાઢી નાખવામાં આવ્યા હતા. જો કે, આર્કાઇવ કરેલા અહેવાલો સાચવેલ.
ઉદાહરણ તરીકે, હુમલાખોરે જાણ કરી હતી કે મેટ્રિક્સ વિકાસકર્તાઓએ જોઈએ ઉપયોગ કરો દ્વિ-પરિબળ પ્રમાણીકરણ અથવા ઓછામાં ઓછું SSH એજન્ટ રીડાયરેક્શન ("ForwardAgent yes") નો ઉપયોગ ન કરવો, તો ઇન્ફ્રાસ્ટ્રક્ચરમાં પ્રવેશ અવરોધિત કરવામાં આવશે. વિકાસકર્તાઓને માત્ર જરૂરી વિશેષાધિકારો આપીને હુમલાની વૃદ્ધિને અટકાવી શકાય છે. સંપૂર્ણ રૂટ એક્સેસ બધા સર્વર્સ પર.

વધુમાં, પ્રોડક્શન સર્વર્સ પર ડિજિટલ હસ્તાક્ષર બનાવવા માટે કી સ્ટોર કરવાની પ્રથાની ટીકા કરવામાં આવી હતી; આવા હેતુઓ માટે એક અલગ અલગ હોસ્ટની ફાળવણી કરવી જોઈએ. હજુ પણ હુમલો કરી રહ્યો છે અહેવાલ, કે જો મેટ્રિક્સ ડેવલપર્સે નિયમિતપણે લોગ્સનું ઓડિટ કર્યું હોત અને વિસંગતતાઓનું વિશ્લેષણ કર્યું હોત, તો તેઓએ શરૂઆતમાં હેકના નિશાનો જોયા હોત (સીઆઈ હેક એક મહિના માટે શોધાયેલ નથી). બીજી સમસ્યા હતી Git માં બધી રૂપરેખાંકન ફાઇલોને સંગ્રહિત કરવી, જેણે અન્ય યજમાનોની સેટિંગ્સનું મૂલ્યાંકન કરવાનું શક્ય બનાવ્યું જો તેમાંથી એક હેક કરવામાં આવી હોય. ઇન્ફ્રાસ્ટ્રક્ચર સર્વર્સ પર SSH દ્વારા ઍક્સેસ ન હતી સુરક્ષિત આંતરિક નેટવર્ક સુધી મર્યાદિત, જેણે કોઈપણ બાહ્ય સરનામાંથી તેમની સાથે જોડાવાનું શક્ય બનાવ્યું.

સોર્સ: opennet.ru

[:]