A Matrix decentralizált üzenetküldő platform fejlesztői sürgős leállítást jelentettek be a Matrix.org és a Riot.im (a Matrix fő kliens) szerverei számára, mivel a projekt infrastruktúráját hackelték. Az első leállítás tegnap este történt, majd a szerverek működését helyreállították, és az alkalmazásokat az eredeti forráskódokból újraépítették. De néhány perccel ezelőtt a szervereket másodszor is kompromittálták.
A támadók a projekt főoldalán részletes információkat tettek közzé a szerver konfigurációja és adatokat arról, hogy birtokukban van közel öt és fél millió Matrix felhasználó jelszóhash-e. Bizonyítékul a Matrix projekt vezetőjének jelszavának hash-jét nyilvánosan elérhetővé tették. A weboldal módosított kódja a támadók GitHub-on lévő repository-jában található (nem a hivatalos matrix repository-ban). A második hackelés részletei jelenleg hiányoznak.
Az első hackelés után a Matrix csapata egy jelentést tett közzé, amelyben megállapították, hogy a hackelés egy frissítetlen Jenkins folyamatos integrációs rendszer sérülékenységén keresztül történt. Miután hozzáfértek a szerverhez Jenkinshez, a támadók átvehették az SSH kulcsokat, és hozzáférést nyertek más infrastruktúra szerverekhez. Azt állították, hogy a forráskód és a csomagok nem sérültek meg a támadás során. A Modular.im szervereket is érintetlenül hagyták. De a támadók hozzáfértek a fő DB-hez, amely tartalmazza többek között a titkosítatlan üzeneteket, hozzáférési tokeneket és jelszóhash-eket.
Minden felhasználónak meg kellett változtatnia a jelszavát. De a jelszóváltoztatás során a fő Riot kliensben a felhasználók szembesültek azzal, hogy eltűntek a titkosított üzenetek helyreállításához szükséges kulcsok biztonsági másolatának fájljai, és nem tudták elérni a korábbi üzenetek történetét.
Emlékeztetünk, hogy a decentralizált kommunikációs platform, a Matrix, mint olyan projekt, amely nyílt szabványokat használ és nagy figyelmet fordít a felhasználók biztonságára és magánéletére, számos lehetőséget kínál. A Matrix végponttól végpontig tartó titkosítást biztosít a bizonyított Signal algoritmus alapján, támogatja az üzenetek keresését és korlátlan visszanézését, fájlok átvitelére, értesítések küldésére, fejlesztők online jelenlétének figyelésére, távkonferenciák lebonyolítására és hang- vagy videohívások kezdeményezésére is használható. Továbbá olyan fejlett funkciókat is támogat, mint a gépelési értesítések, olvasási visszaigazolások, push-értesítések és szerveroldali keresés, az üzenetek és felhasználói állapotok szinkronizálása, különféle azonosító lehetőségek (email, telefon szám, Facebook fiók stb.).
Forrás: opennet.ru
