פריצה לתשתית matrix.org

[:he]

מפתחים של פלטפורמת ההודעות המבוזרות מטריקס הוכרז לגבי כיבוי חירום של שרתים matrix.org и Riot.im (הלקוח הראשי של מטריקס) עקב פריצה לתשתית הפרויקט. ההפסקה הראשונה התרחשה אמש, ולאחר מכן השרתים לא היו זמינים מְשׁוּחזָר, והיישומים נבנים מחדש ממקורות עזר. אבל לפני כמה דקות השרתים היו נפגע פעם שנייה.

תוקפים מוּצָב בעיקר עמוד הפרויקט מידע מפורט על תצורת השרת ונתונים על נוכחות של מסד נתונים עם גיבוב של כמעט חמישה וחצי מיליון משתמשי מטריקס. כראיה, ה-hash של הסיסמה של מנהיג פרויקט מטריקס זמין לציבור. קוד האתר שונה פורסם במאגר GitHub של התוקפים (לא במאגר המטריצות הרשמי). פרטים על הפריצה השנייה עד כה נעדר.

לאחר הפריצה הראשונה של צוות מטריקס, הוא פורסם להגיש תלונה, מה שמצביע על כך שהפריצה בוצעה באמצעות פגיעות במערכת האינטגרציה הרציפה של Jenkins הבלתי מעודכנת. לאחר שקיבלו גישה לשרת Jenkins, התוקפים יירטו את מפתחות ה-SSH והצליחו לגשת לשרתי תשתית אחרים. נמסר כי קוד המקור והחבילות לא הושפעו מהתקיפה. המתקפה גם לא השפיעה על שרתי Modular.im. אבל התוקפים קיבלו גישה ל-DBMS הראשי, שמכיל, בין היתר, הודעות לא מוצפנות, אסימוני גישה ו-hash של סיסמאות.

כל המשתמשים קיבלו הוראה לשנות את הסיסמאות שלהם. אבל במהלך תהליך של שינוי סיסמאות בלקוח Riot הראשי, משתמשים מתמודד עם אובדן קבצים עם עותקי גיבוי של מפתחות לשחזור התכתבויות מוצפנות וחוסר יכולת לגשת להיסטוריה של הודעות קודמות.

נזכיר לכם שהפלטפורמה לארגון תקשורת מבוזרת מַטרִיצָה מוצג כפרויקט העושה שימוש בסטנדרטים פתוחים ומקדיש תשומת לב רבה להבטחת האבטחה והפרטיות של המשתמשים. מטריקס מספקת הצפנה מקצה לקצה המבוססת על פרוטוקול משלה, כולל אלגוריתם Double Ratchet (המשמש גם כחלק מפרוטוקול Signal), תומך בחיפוש וצפייה בלתי מוגבלת בהיסטוריית התכתבויות, ניתן להשתמש בו להעברת קבצים, שליחת הודעות, הערכה נוכחות של המפתח באינטרנט, ארגון ועידות טלפוניות, ביצוע שיחות קול ווידאו. הוא תומך גם בתכונות מתקדמות כגון הקלדת הודעות, אישור קריאה, הודעות דחיפה וחיפוש בצד השרת, סנכרון היסטוריית וסטטוס הלקוח, אפשרויות זיהוי שונות (אימייל, מספר טלפון, חשבון פייסבוק וכו').

תוספת: Опубликовано המשיך עם תיאור הפריצה השנייה, מידע על דליפה של מפתחות PGP וסקירה של בעיות האבטחה שהובילו לפריצה.

מקורOpenNet.ru

[: he]

מפתחים של פלטפורמת ההודעות המבוזרות מטריקס הוכרז לגבי כיבוי חירום של שרתים matrix.org и Riot.im (הלקוח הראשי של מטריקס) עקב פריצה לתשתית הפרויקט. ההפסקה הראשונה התרחשה אמש, ולאחר מכן השרתים לא היו זמינים מְשׁוּחזָר, והיישומים נבנים מחדש ממקורות עזר. אבל לפני כמה דקות השרתים היו נפגע פעם שנייה.

תוקפים מוּצָב בעיקר עמוד הפרויקט מידע מפורט על תצורת השרת ונתונים על נוכחות של מסד נתונים עם גיבוב של כמעט חמישה וחצי מיליון משתמשי מטריקס. כראיה, ה-hash של הסיסמה של מנהיג פרויקט מטריקס זמין לציבור. קוד האתר שונה פורסם במאגר GitHub של התוקפים (לא במאגר המטריצות הרשמי). פרטים על הפריצה השנייה עד כה נעדר.

לאחר הפריצה הראשונה של צוות מטריקס, הוא פורסם להגיש תלונה, מה שמצביע על כך שהפריצה בוצעה באמצעות פגיעות במערכת האינטגרציה הרציפה של Jenkins הבלתי מעודכנת. לאחר שקיבלו גישה לשרת Jenkins, התוקפים יירטו את מפתחות ה-SSH והצליחו לגשת לשרתי תשתית אחרים. נמסר כי קוד המקור והחבילות לא הושפעו מהתקיפה. המתקפה גם לא השפיעה על שרתי Modular.im. אבל התוקפים קיבלו גישה ל-DBMS הראשי, שמכיל, בין היתר, הודעות לא מוצפנות, אסימוני גישה ו-hash של סיסמאות.

כל המשתמשים קיבלו הוראה לשנות את הסיסמאות שלהם. אבל במהלך תהליך של שינוי סיסמאות בלקוח Riot הראשי, משתמשים מתמודד עם אובדן קבצים עם עותקי גיבוי של מפתחות לשחזור התכתבויות מוצפנות וחוסר יכולת לגשת להיסטוריה של הודעות קודמות.

נזכיר לכם שהפלטפורמה לארגון תקשורת מבוזרת מַטרִיצָה מוצג כפרויקט העושה שימוש בסטנדרטים פתוחים ומקדיש תשומת לב רבה להבטחת האבטחה והפרטיות של המשתמשים. מטריקס מספקת הצפנה מקצה לקצה המבוססת על פרוטוקול משלה, כולל אלגוריתם Double Ratchet (המשמש גם כחלק מפרוטוקול Signal), תומך בחיפוש וצפייה בלתי מוגבלת בהיסטוריית התכתבויות, ניתן להשתמש בו להעברת קבצים, שליחת הודעות, הערכה נוכחות של המפתח באינטרנט, ארגון ועידות טלפוניות, ביצוע שיחות קול ווידאו. הוא תומך גם בתכונות מתקדמות כגון הקלדת הודעות, אישור קריאה, הודעות דחיפה וחיפוש בצד השרת, סנכרון היסטוריית וסטטוס הלקוח, אפשרויות זיהוי שונות (אימייל, מספר טלפון, חשבון פייסבוק וכו').

תוספת: Опубликовано המשיך עם תיאור הפריצה השנייה, מידע על דליפה של מפתחות PGP וסקירה של בעיות האבטחה שהובילו לפריצה.

מקור: OpenNet.ru

[:]