Gli sviluppatori della piattaforma di messaggistica decentralizzata Matrix hanno annunciato una disattivazione urgente dei server Matrix.org e Riot.im (il client principale di Matrix) a causa di un attacco alla loro infrastruttura. La prima disattivazione si è verificata ieri sera, dopo di che i server sono stati riattivati e le applicazioni ricostruite dai codici sorgente di riferimento. Ma pochi minuti fa i server sono stati compromessi per la seconda volta.
Gli aggressori hanno pubblicato sulla homepage del progetto informazioni dettagliate su configurazione del server e dati relativi alla loro detenzione di un database contenente hash di quasi cinque milioni e mezzo di utenti Matrix. Come prova, è stato reso pubblico l'hash della password del leader del progetto Matrix. Il codice modificato del sito è stato caricato nel repository degli aggressori su GitHub (non nel repository ufficiale di matrix). Al momento non ci sono ulteriori dettagli sulla seconda violazione.
Dopo la prima violazione, il team di Matrix ha pubblicato un rapporto che indica che l'accesso è stato ottenuto attraverso una vulnerabilità nel sistema di integrazione continua Jenkins non aggiornato. Una volta ottenuto l'accesso a server da Jenkins, gli aggressori hanno intercettato le chiavi SSH, ottenendo così accesso ad altri server dell'infrastruttura. È stato dichiarato che il codice sorgente e i pacchetti non hanno subito danni durante l'attacco. L'attacco non ha interessato i server di Modular.im. Tuttavia, gli aggressori hanno avuto accesso al database principale, che include anche messaggi non cifrati, token di accesso e hash delle password.
Tutti gli utenti sono stati invitati a cambiare le proprie password. Tuttavia, durante il processo di cambio password nel client principale Riot, gli utenti hanno riscontrato la scomparsa di file di backup delle chiavi necessarie per il ripristino delle conversazioni criptate e l'impossibilità di accedere alla cronologia dei messaggi passati.
Ricordiamo che la piattaforma per la comunicazione decentralizzata Matrix è presentata come un progetto che utilizza standard aperti e presta particolare attenzione alla sicurezza e alla privacy degli utenti. Matrix offre crittografia end-to-end basata su un algoritmo verificato Signal, supporta la ricerca e la visualizzazione illimitata della cronologia delle conversazioni, può essere utilizzata per la trasmissione di file, invio di notifiche, valutazione della presenza online degli sviluppatori, organizzazione di videoconferenze e effettuazione di chiamate vocali e video. Sono supportate anche funzionalità avanzate come le notifiche di digitazione, la conferma di lettura, le notifiche push e la ricerca lato server, la sincronizzazione della cronologia e dello stato dei client, varie opzioni di identificazione (email, numero di telefono, account Facebook, ecc.).
Fonte: opennet.ru
