दूसरे मैट्रिक्स हैक के बारे में विवरण। प्रोजेक्ट GPG कुंजी से समझौता किया गया

[:आरयू]

प्रकाशित новые विवरण विकेंद्रीकृत मैसेजिंग प्लेटफॉर्म मैट्रिक्स के बुनियादी ढांचे की हैकिंग के बारे में, जिसके बारे में सूचना सुबह में। जिस समस्याग्रस्त लिंक के माध्यम से हमलावर घुसे वह जेनकिंस सतत एकीकरण प्रणाली थी, जिसे 13 मार्च को हैक कर लिया गया था। फिर, जेनकिंस सर्वर पर, एक एसएसएच एजेंट द्वारा पुनर्निर्देशित प्रशासकों में से एक का लॉगिन इंटरसेप्ट किया गया था, और 4 अप्रैल को, हमलावरों ने अन्य बुनियादी ढांचे सर्वर तक पहुंच प्राप्त की।

दूसरे हमले के दौरान, पहले हमले के दौरान इंटरसेप्ट किए गए क्लाउडफ्लेयर कंटेंट डिलीवरी सिस्टम एपीआई की कुंजी का उपयोग करके DNS पैरामीटर को बदलकर मैट्रिक्स.org वेबसाइट को दूसरे सर्वर (matrixnotorg.github.io) पर रीडायरेक्ट किया गया था। पहली हैक के बाद सर्वर की सामग्री का पुनर्निर्माण करते समय, मैट्रिक्स प्रशासकों ने केवल नई व्यक्तिगत कुंजियाँ अपडेट कीं और क्लाउडफ़ेयर की कुंजी अपडेट करने से चूक गए।

दूसरे हमले के दौरान, मैट्रिक्स सर्वर अछूते रहे; परिवर्तन केवल DNS में पते बदलने तक ही सीमित थे। यदि उपयोगकर्ता पहले हमले के बाद पहले ही पासवर्ड बदल चुका है, तो उसे दूसरी बार बदलने की कोई आवश्यकता नहीं है। लेकिन अगर पासवर्ड अभी तक नहीं बदला गया है, तो इसे जल्द से जल्द अपडेट करने की जरूरत है, क्योंकि पासवर्ड हैश वाले डेटाबेस के लीक होने की पुष्टि हो गई है। वर्तमान योजना अगली बार लॉग इन करने पर जबरन पासवर्ड रीसेट प्रक्रिया शुरू करने की है।

पासवर्ड के लीक होने के अलावा, यह भी पुष्टि की गई है कि डेबियन सिनैप्स रिपॉजिटरी और रायट/वेब रिलीज़ में पैकेजों के लिए डिजिटल हस्ताक्षर उत्पन्न करने के लिए उपयोग की जाने वाली जीपीजी कुंजी हमलावरों के हाथों में पड़ गई है। चाबियाँ पासवर्ड से सुरक्षित थीं। इस समय कुंजियाँ पहले ही निरस्त कर दी गई हैं। कुंजियों को 4 अप्रैल को इंटरसेप्ट किया गया था, तब से कोई सिनैप्स अपडेट जारी नहीं किया गया है, लेकिन दंगा/वेब क्लाइंट 1.0.7 जारी किया गया था (प्रारंभिक जांच से पता चला कि इससे समझौता नहीं किया गया था)।

हमलावर ने हमले के विवरण और सुरक्षा बढ़ाने के सुझावों के साथ GitHub पर रिपोर्टों की एक श्रृंखला पोस्ट की, लेकिन उन्हें हटा दिया गया। हालाँकि, संग्रहीत रिपोर्ट संरक्षित.
उदाहरण के लिए, हमलावर ने बताया कि मैट्रिक्स डेवलपर्स को ऐसा करना चाहिए उपयोग करने के लिए दो-कारक प्रमाणीकरण या कम से कम एसएसएच एजेंट पुनर्निर्देशन ("फॉरवर्डएजेंट हां") का उपयोग नहीं कर रहे हैं, तो बुनियादी ढांचे में प्रवेश अवरुद्ध हो जाएगा। डेवलपर्स को केवल आवश्यक विशेषाधिकार देकर भी हमले को बढ़ने से रोका जा सकता है पूर्ण रूट पहुंच सभी सर्वर पर.

इसके अतिरिक्त, उत्पादन सर्वर पर डिजिटल हस्ताक्षर बनाने के लिए कुंजी संग्रहीत करने की प्रथा की आलोचना की गई; ऐसे उद्देश्यों के लिए एक अलग पृथक होस्ट आवंटित किया जाना चाहिए। अभी भी हमला कर रहे हैं сообщил, कि यदि मैट्रिक्स डेवलपर्स ने नियमित रूप से लॉग का ऑडिट किया होता और विसंगतियों का विश्लेषण किया होता, तो उन्हें हैक के निशान पहले ही नजर आ जाते (सीआई हैक एक महीने तक पता नहीं चला)। दूसरी मुसीबत यह था Git में सभी कॉन्फ़िगरेशन फ़ाइलों को संग्रहीत करना, जिससे उनमें से एक के हैक होने पर अन्य होस्ट की सेटिंग्स का मूल्यांकन करना संभव हो गया। एसएसएच के माध्यम से इंफ्रास्ट्रक्चर सर्वर तक पहुंच नहीं था एक सुरक्षित आंतरिक नेटवर्क तक सीमित, जिससे किसी भी बाहरी पते से उनसे जुड़ना संभव हो गया।

स्रोतopennet.ru

[: en]

प्रकाशित новые विवरण विकेंद्रीकृत मैसेजिंग प्लेटफॉर्म मैट्रिक्स के बुनियादी ढांचे की हैकिंग के बारे में, जिसके बारे में सूचना सुबह में। जिस समस्याग्रस्त लिंक के माध्यम से हमलावर घुसे वह जेनकिंस सतत एकीकरण प्रणाली थी, जिसे 13 मार्च को हैक कर लिया गया था। फिर, जेनकिंस सर्वर पर, एक एसएसएच एजेंट द्वारा पुनर्निर्देशित प्रशासकों में से एक का लॉगिन इंटरसेप्ट किया गया था, और 4 अप्रैल को, हमलावरों ने अन्य बुनियादी ढांचे सर्वर तक पहुंच प्राप्त की।

दूसरे हमले के दौरान, पहले हमले के दौरान इंटरसेप्ट किए गए क्लाउडफ्लेयर कंटेंट डिलीवरी सिस्टम एपीआई की कुंजी का उपयोग करके DNS पैरामीटर को बदलकर मैट्रिक्स.org वेबसाइट को दूसरे सर्वर (matrixnotorg.github.io) पर रीडायरेक्ट किया गया था। पहली हैक के बाद सर्वर की सामग्री का पुनर्निर्माण करते समय, मैट्रिक्स प्रशासकों ने केवल नई व्यक्तिगत कुंजियाँ अपडेट कीं और क्लाउडफ़ेयर की कुंजी अपडेट करने से चूक गए।

दूसरे हमले के दौरान, मैट्रिक्स सर्वर अछूते रहे; परिवर्तन केवल DNS में पते बदलने तक ही सीमित थे। यदि उपयोगकर्ता पहले हमले के बाद पहले ही पासवर्ड बदल चुका है, तो उसे दूसरी बार बदलने की कोई आवश्यकता नहीं है। लेकिन अगर पासवर्ड अभी तक नहीं बदला गया है, तो इसे जल्द से जल्द अपडेट करने की जरूरत है, क्योंकि पासवर्ड हैश वाले डेटाबेस के लीक होने की पुष्टि हो गई है। वर्तमान योजना अगली बार लॉग इन करने पर जबरन पासवर्ड रीसेट प्रक्रिया शुरू करने की है।

पासवर्ड के लीक होने के अलावा, यह भी पुष्टि की गई है कि डेबियन सिनैप्स रिपॉजिटरी और रायट/वेब रिलीज़ में पैकेजों के लिए डिजिटल हस्ताक्षर उत्पन्न करने के लिए उपयोग की जाने वाली जीपीजी कुंजी हमलावरों के हाथों में पड़ गई है। चाबियाँ पासवर्ड से सुरक्षित थीं। इस समय कुंजियाँ पहले ही निरस्त कर दी गई हैं। कुंजियों को 4 अप्रैल को इंटरसेप्ट किया गया था, तब से कोई सिनैप्स अपडेट जारी नहीं किया गया है, लेकिन दंगा/वेब क्लाइंट 1.0.7 जारी किया गया था (प्रारंभिक जांच से पता चला कि इससे समझौता नहीं किया गया था)।

हमलावर ने हमले के विवरण और सुरक्षा बढ़ाने के सुझावों के साथ GitHub पर रिपोर्टों की एक श्रृंखला पोस्ट की, लेकिन उन्हें हटा दिया गया। हालाँकि, संग्रहीत रिपोर्ट संरक्षित.
उदाहरण के लिए, हमलावर ने बताया कि मैट्रिक्स डेवलपर्स को ऐसा करना चाहिए उपयोग करने के लिए दो-कारक प्रमाणीकरण या कम से कम एसएसएच एजेंट पुनर्निर्देशन ("फॉरवर्डएजेंट हां") का उपयोग नहीं कर रहे हैं, तो बुनियादी ढांचे में प्रवेश अवरुद्ध हो जाएगा। डेवलपर्स को केवल आवश्यक विशेषाधिकार देकर भी हमले को बढ़ने से रोका जा सकता है पूर्ण रूट पहुंच सभी सर्वर पर.

इसके अतिरिक्त, उत्पादन सर्वर पर डिजिटल हस्ताक्षर बनाने के लिए कुंजी संग्रहीत करने की प्रथा की आलोचना की गई; ऐसे उद्देश्यों के लिए एक अलग पृथक होस्ट आवंटित किया जाना चाहिए। अभी भी हमला कर रहे हैं сообщил, कि यदि मैट्रिक्स डेवलपर्स ने नियमित रूप से लॉग का ऑडिट किया होता और विसंगतियों का विश्लेषण किया होता, तो उन्हें हैक के निशान पहले ही नजर आ जाते (सीआई हैक एक महीने तक पता नहीं चला)। दूसरी मुसीबत यह था Git में सभी कॉन्फ़िगरेशन फ़ाइलों को संग्रहीत करना, जिससे उनमें से एक के हैक होने पर अन्य होस्ट की सेटिंग्स का मूल्यांकन करना संभव हो गया। एसएसएच के माध्यम से इंफ्रास्ट्रक्चर सर्वर तक पहुंच नहीं था एक सुरक्षित आंतरिक नेटवर्क तक सीमित, जिससे किसी भी बाहरी पते से उनसे जुड़ना संभव हो गया।

स्रोत: opennet.ru

[]