Razvojni tim platforme za decentraliziranu razmjenu poruka Matrix objavio je hitno isključivanje poslužitelja Matrix.org i Riot.im (glavni klijent Matrix) zbog hakiranja infrastrukture projekta. Prvo isključivanje dogodilo se sinoć, nakon čega je rad poslužitelja obnovljen, a aplikacije rekonstrukcione iz referentnih izvora. No, nekoliko minuta iza toga, poslužitelji su ponovno kompromitirani.
Napadači su na glavnoj stranici projekta objavili detaljne informacije o konfiguracije servera i podatke o postojanju baze podataka s heširanim lozinkama gotovo pet i pol milijuna korisnika Matrix. Kao dokaz, javno je objavljen heš lozinke vođe projekta Matrix. Izmijenjeni kod web stranice objavljen je u spremištu napadača na GitHubu (ne u službenom spremištu matrix). Detalji o drugom hakiranju još su uvijek nedostupni.
Nakon prvog hakiranja, tim Matrix objavio je izvještaj u kojem je navedeno da je hakiranje izvršeno putem ranjivosti u ne ažuriranom sustavu za kontinuiranu integraciju Jenkins. Nakon što su dobili pristup poslužitelju s Jenkins-a, napadači su presretnuli SSH ključeve i dobili mogućnost pristupa drugim poslužiteljima infrastrukture. Navodi se da kod i paketi nisu oštećeni tijekom napada. Napad također nije zahvatio poslužitelje Modular.im. No, napadači su dobili pristup glavnoj bazi podataka, u kojoj se nalaze, između ostalog, nešifrirane poruke, tokeni pristupa i heševi lozinki.
Sv svim korisnicima naloženo je da promijene lozinke. No, tijekom promjene lozinki u glavnom klijentu Riot, korisnici su se susreli s nestankom datoteka s rezervnim kopijama ključeva za oporavak šifriranih poruka i nemogućnošću pristupa povijesti prethodnih poruka.
Podsjećamo da se platforma za organizaciju decentralizirane komunikacije Matrix predstavlja kao projekt koji koristi otvorene standarde i pridaje veliku pažnju sigurnosti i privatnosti korisnika. Matrix osigurava end-to-end enkripciju baziranu na provjerenom algoritmu Signal, podržava pretraživanje i neograničen pristup povijesti razgovora, može se koristiti za prijenos datoteka, slanje obavijesti, praćenje prisutnosti developera online, organizaciju videokonferencija te obavljanje glasovnih i video poziva. Također su podržane i napredne mogućnosti poput obavijesti o tipkanju, potvrde o čitanju, push obavijesti i pretraživanja na strani poslužitelja, sinkronizacija povijesti i stanja klijenata, te razne vrste identifikacija (email, telefonski broj, korisnički račun na Facebooku i slično).
Izvor: opennet.ru
