פריצה לתשתית matrix.org

מפתחי הפלטפורמה להעברת הודעות מבוזרת Matrix הודיעו על השבתת חירום של השרתים Matrix.org ו- Riot.im (הלקוח הראשי של Matrix) עקב פריצה לתשתית הפרויקט. ההפסקה הראשונה התרחשה אמש, ולאחריה שוחזרו השרתים והאפליקציות נבנו מחדש ממקורות ייחוס. אבל לפני כמה דקות השרתים נפגעו בפעם השנייה.

התוקפים פרסמו בעמוד הראשי של הפרויקט מידע מפורט על תצורת השרת ונתונים על נוכחות של מסד נתונים עם גיבוב של כמעט חמישה וחצי מיליון משתמשי מטריקס. כראיה, ה-hash של הסיסמה של מנהיג פרויקט מטריקס זמין לציבור. קוד האתר שהשתנה מתפרסם במאגר התוקפים ב-GitHub (לא במאגר המטריצות הרשמי). פרטים על הפריצה השנייה עדיין לא זמינים.

לאחר הפריצה הראשונה, צוות מטריקס פרסם דוח המצביע על כך שהפריצה בוצעה באמצעות פגיעות במערכת האינטגרציה הרציפה של Jenkins הבלתי מעודכנת. לאחר שקיבלו גישה לשרת Jenkins, התוקפים יירטו את מפתחות ה-SSH והצליחו לגשת לשרתי תשתית אחרים. נמסר כי קוד המקור והחבילות לא הושפעו מהתקיפה. המתקפה גם לא השפיעה על שרתי Modular.im. אבל התוקפים קיבלו גישה ל-DBMS הראשי, שמכיל, בין היתר, הודעות לא מוצפנות, אסימוני גישה ו-hash של סיסמאות.

כל המשתמשים קיבלו הוראה לשנות את הסיסמאות שלהם. אך בתהליך של שינוי סיסמאות בלקוח הראשי של Riot, המשתמשים התמודדו עם היעלמותם של קבצים עם עותקי גיבוי של מפתחות לשחזור התכתבויות מוצפנות וחוסר יכולת לגשת להיסטוריה של הודעות קודמות.

נזכיר כי הפלטפורמה לארגון תקשורת מבוזרת מטריקס מוצגת כפרויקט המשתמש בסטנדרטים פתוחים ומקדיש תשומת לב רבה להבטחת האבטחה והפרטיות של המשתמשים. מטריקס מספקת הצפנה מקצה לקצה המבוססת על אלגוריתם האותות המוכח, תומכת בחיפוש וצפייה בלתי מוגבלת בהיסטוריית התכתבויות, יכולה לשמש להעברת קבצים, לשלוח התראות, להעריך את הנוכחות המקוונת של המפתח, לארגן שיחות ועידה טלפוניות, לבצע שיחות קוליות ווידאו. הוא תומך גם בתכונות מתקדמות כמו הקלדת הודעות, אישור קריאה, הודעות דחיפה וחיפוש בצד השרת, סנכרון היסטוריית וסטטוס הלקוח, אפשרויות זיהוי שונות (אימייל, מספר טלפון, חשבון פייסבוק וכו').

מקור: OpenNet.ru