Gli sviluppatori della piattaforma di messaggistica decentralizzata Matrix hanno annunciato lo spegnimento urgente dei server di Matrix.org e Riot.im (il client principale di Matrix) a causa di un attacco alla loro infrastruttura. La prima interruzione si è verificata ieri sera, dopo di che i server sono stati ripristinati e le applicazioni ricostruite dai codici sorgente di riferimento. Ma pochi minuti fa, i server sono stati compromessi per la seconda volta.
Gli attaccanti hanno pubblicato sulla homepage del progetto informazioni dettagliate su configurazione del server e dati sulla disponibilità di un database con le password hash di quasi cinque milioni e mezzo di utenti di Matrix. Come prova, è stata pubblicata in chiaro la hash della password del leader del progetto Matrix. Il codice del sito modificato è stato pubblicato nel repository degli attaccanti su GitHub (non nel repository ufficiale di matrix). Attualmente non ci sono dettagli sul secondo attacco.
Dopo il primo attacco, il team di Matrix ha pubblicato un rapporto in cui viene indicato che l'attacco è stato effettuato attraverso una vulnerabilità in un sistema di integrazione continua Jenkins non aggiornato. Dopo aver ottenuto accesso a server Jenkins, gli attaccanti hanno intercettato le chiavi SSH e ottenuto la possibilità di accedere ad altri server dell'infrastruttura. È stato dichiarato che il codice sorgente e i pacchetti non sono stati danneggiati a causa dell'attacco. L'attacco non ha influito nemmeno sui server di Modular.im. Tuttavia, gli attaccanti hanno ottenuto accesso al database principale, che contiene anche messaggi non criptati, token di accesso e hash delle password.
A tutti gli utenti è stato ordinato di cambiare le proprie password. Tuttavia, durante il processo di cambiamento delle password nel client principale Riot, gli utenti hanno riscontrato la scomparsa di file di backup delle chiavi per il ripristino della corrispondenza crittografata e l'impossibilità di accedere alla cronologia dei messaggi passati.
Ricordiamo che la piattaforma per l'organizzazione di comunicazioni decentralizzate Matrix è presentata come un progetto che utilizza standard aperti e presta particolare attenzione alla sicurezza e alla privacy degli utenti. Matrix offre crittografia end-to-end basata su un algoritmo verificato Signal, supporta la ricerca e la visualizzazione illimitata della cronologia delle conversazioni, può essere utilizzata per il trasferimento di file, l'invio di notifiche, la valutazione della presenza online degli sviluppatori, l'organizzazione di videoconferenze e la realizzazione di chiamate vocali e video. Sono supportate anche funzionalità avanzate come la notifica della digitazione, la conferma di lettura, le notifiche push e la ricerca lato server, la sincronizzazione della cronologia e dello stato dei client, diverse varianti di identificatori (email, numero di telefono, account Facebook, ecc.).
Fonte: opennet.ru
