פרטים על הפריצה השנייה של מטריקס. מפתחות GPG של פרויקט נפרצו

[:he]

יצא לאור новые את הפרטים על הפריצה לתשתית של פלטפורמת המסרים המבוזרת Matrix, עליה דיווח בבוקר. הקישור הבעייתי דרכו חדרו התוקפים היה מערכת האינטגרציה הרציפה של Jenkins, שנפרצה ב-13 במרץ. לאחר מכן, בשרת Jenkins, יורטה הכניסה של אחד המנהלים, שהופנה על ידי סוכן SSH, וב-4 באפריל, התוקפים קיבלו גישה לשרתי תשתית אחרים.

במהלך המתקפה השנייה, אתר matrix.org הופנה לשרת אחר (matrixnotorg.github.io) על ידי שינוי פרמטרי ה-DNS, תוך שימוש במפתח ל-API של מערכת אספקת התוכן של Cloudflare שיירט במהלך ההתקפה הראשונה. בעת בנייה מחדש של תוכן השרתים לאחר הפריצה הראשונה, מנהלי מטריקס עדכנו רק מפתחות אישיים חדשים והחמיצו את עדכון המפתח ל-Cloudflare.

במהלך המתקפה השנייה, שרתי המטריקס נותרו ללא פגע; השינויים הוגבלו רק להחלפת כתובות ב-DNS. אם המשתמש כבר שינה את הסיסמה לאחר ההתקפה הראשונה, אין צורך לשנות אותה פעם שנייה. אבל אם הסיסמה עדיין לא שונתה, יש לעדכן אותה בהקדם האפשרי, מכיוון שאושרה דליפת מסד הנתונים עם גיבוב סיסמא. התוכנית הנוכחית היא להתחיל תהליך איפוס סיסמה כפוי בפעם הבאה שתתחבר.

בנוסף לדליפה של סיסמאות, אושר גם שמפתחות GPG המשמשים ליצירת חתימות דיגיטליות עבור חבילות במאגר Debian Synapse וגרסאות Riot/Web נפלו לידי התוקפים. המפתחות היו מוגנים בסיסמה. המפתחות כבר בוטלו בשלב זה. המפתחות יורטו ב-4 באפריל, מאז לא שוחררו עדכוני Synapse, אבל לקוח Riot/Web 1.0.7 שוחרר (בדיקה ראשונית הראתה שהוא לא נפגע).

התוקף פרסם סדרה של דיווחים ב-GitHub עם פרטים על המתקפה וטיפים להגברת ההגנה, אך הם נמחקו. עם זאת, הדיווחים בארכיון שרד.
לדוגמה, התוקף דיווח שמפתחי מטריקס צריכים לעשות זאת שימוש אימות דו-גורמי או לפחות לא באמצעות ניתוב מחדש של סוכן SSH ("ForwardAgent כן"), אז החדירה לתשתית תיחסם. את ההסלמה של המתקפה ניתן לעצור גם על ידי מתן למפתחים רק את ההרשאות הנדרשות, במקום גישה מלאה לשורש בכל השרתים.

בנוסף, נמתחה ביקורת על הפרקטיקה של אחסון מפתחות ליצירת חתימות דיגיטליות בשרתי ייצור; יש להקצות מארח מבודד נפרד למטרות כאלה. עדיין תוקף сообщил, שאם מפתחי Matrix היו מבקרים באופן קבוע יומנים ומנתחים חריגות, הם היו מבחינים בעקבות של פריצה בשלב מוקדם (פריצת ה-CI לא זוהתה במשך חודש). בעיה נוספת זה היה אחסון כל קבצי התצורה ב-Git, מה שאפשר להעריך את ההגדרות של מארחים אחרים אם אחד מהם נפרץ. גישה דרך SSH לשרתי תשתית לא היה מוגבל לרשת פנימית מאובטחת, שאפשרה להתחבר אליהם מכל כתובת חיצונית.

מקורOpenNet.ru

[: he]

יצא לאור новые את הפרטים על הפריצה לתשתית של פלטפורמת המסרים המבוזרת Matrix, עליה דיווח בבוקר. הקישור הבעייתי דרכו חדרו התוקפים היה מערכת האינטגרציה הרציפה של Jenkins, שנפרצה ב-13 במרץ. לאחר מכן, בשרת Jenkins, יורטה הכניסה של אחד המנהלים, שהופנה על ידי סוכן SSH, וב-4 באפריל, התוקפים קיבלו גישה לשרתי תשתית אחרים.

במהלך המתקפה השנייה, אתר matrix.org הופנה לשרת אחר (matrixnotorg.github.io) על ידי שינוי פרמטרי ה-DNS, תוך שימוש במפתח ל-API של מערכת אספקת התוכן של Cloudflare שיירט במהלך ההתקפה הראשונה. בעת בנייה מחדש של תוכן השרתים לאחר הפריצה הראשונה, מנהלי מטריקס עדכנו רק מפתחות אישיים חדשים והחמיצו את עדכון המפתח ל-Cloudflare.

במהלך המתקפה השנייה, שרתי המטריקס נותרו ללא פגע; השינויים הוגבלו רק להחלפת כתובות ב-DNS. אם המשתמש כבר שינה את הסיסמה לאחר ההתקפה הראשונה, אין צורך לשנות אותה פעם שנייה. אבל אם הסיסמה עדיין לא שונתה, יש לעדכן אותה בהקדם האפשרי, מכיוון שאושרה דליפת מסד הנתונים עם גיבוב סיסמא. התוכנית הנוכחית היא להתחיל תהליך איפוס סיסמה כפוי בפעם הבאה שתתחבר.

בנוסף לדליפה של סיסמאות, אושר גם שמפתחות GPG המשמשים ליצירת חתימות דיגיטליות עבור חבילות במאגר Debian Synapse וגרסאות Riot/Web נפלו לידי התוקפים. המפתחות היו מוגנים בסיסמה. המפתחות כבר בוטלו בשלב זה. המפתחות יורטו ב-4 באפריל, מאז לא שוחררו עדכוני Synapse, אבל לקוח Riot/Web 1.0.7 שוחרר (בדיקה ראשונית הראתה שהוא לא נפגע).

התוקף פרסם סדרה של דיווחים ב-GitHub עם פרטים על המתקפה וטיפים להגברת ההגנה, אך הם נמחקו. עם זאת, הדיווחים בארכיון שרד.
לדוגמה, התוקף דיווח שמפתחי מטריקס צריכים לעשות זאת שימוש אימות דו-גורמי או לפחות לא באמצעות ניתוב מחדש של סוכן SSH ("ForwardAgent כן"), אז החדירה לתשתית תיחסם. את ההסלמה של המתקפה ניתן לעצור גם על ידי מתן למפתחים רק את ההרשאות הנדרשות, במקום גישה מלאה לשורש בכל השרתים.

בנוסף, נמתחה ביקורת על הפרקטיקה של אחסון מפתחות ליצירת חתימות דיגיטליות בשרתי ייצור; יש להקצות מארח מבודד נפרד למטרות כאלה. עדיין תוקף сообщил, שאם מפתחי Matrix היו מבקרים באופן קבוע יומנים ומנתחים חריגות, הם היו מבחינים בעקבות של פריצה בשלב מוקדם (פריצת ה-CI לא זוהתה במשך חודש). בעיה נוספת זה היה אחסון כל קבצי התצורה ב-Git, מה שאפשר להעריך את ההגדרות של מארחים אחרים אם אחד מהם נפרץ. גישה דרך SSH לשרתי תשתית לא היה מוגבל לרשת פנימית מאובטחת, שאפשרה להתחבר אליהם מכל כתובת חיצונית.

מקור: OpenNet.ru

[:]