Infrastruktur hacking matrix.org

[:ru]

Pangembang platform olahpesen desentralisasi Matrix diumumake babagan mati darurat server matrix.org и Kerusuhan.im (Klien utama Matrix) amarga peretasan infrastruktur proyek. Pemadaman pisanan kedadeyan ing wayah wengi, sawise server ora kasedhiya dibalèkaké, lan aplikasi dibangun maneh saka sumber referensi. Nanging sawetara menit kepungkur server padha kompromi kaping pindho.

Panyerang diselehake ing utama kaca proyek informasi rinci babagan konfigurasi server lan data ing ngarsane database karo hashes meh limang lan setengah yuta pangguna Matrix. Minangka bukti, hash sandi saka pimpinan proyek Matrix kasedhiya kanggo umum. Kode situs diganti dikirim ing repositori GitHub penyerang (ora ana ing repositori matriks resmi). Rincian babagan hack kapindho nganti saiki ora ana.

Sawise hack pisanan dening tim Matrix, iki diterbitake laporan, sing nuduhake yen hack kasebut ditindakake liwat kerentanan ing sistem integrasi terus-terusan Jenkins sing durung dianyari. Sawise entuk akses menyang server Jenkins, para panyerang nyegat tombol SSH lan bisa ngakses server infrastruktur liyane. Disebutake yen kode sumber lan paket ora kena pengaruh serangan kasebut. Serangan kasebut uga ora mengaruhi server Modular.im. Nanging panyerang entuk akses menyang DBMS utama, sing ngemot, antara liya, pesen sing ora dienkripsi, token akses lan hash sandhi.

Kabeh pangguna didhawuhi ngganti tembung sandhi. Nanging sajrone proses ngganti tembung sandhi ing klien Riot utama, pangguna ngadhepi kanthi mundhut file kanthi salinan serep kunci kanggo mulihake korespondensi sing dienkripsi lan ora bisa ngakses riwayat pesen sing kepungkur.

Ayo kita ngelingake sampeyan yen platform kanggo ngatur komunikasi desentralisasi Matrix ditampilake minangka proyek sing nggunakake standar mbukak lan menehi perhatian gedhe kanggo njamin keamanan lan privasi pangguna. Matrix nyedhiyakake enkripsi end-to-end adhedhasar protokol dhewe, kalebu algoritma Double Ratchet (uga digunakake minangka bagéan saka protokol Sinyal), ndhukung panelusuran lan ndeleng tanpa wates riwayat korespondensi, bisa digunakake kanggo nransfer file, ngirim kabar, ngevaluasi ngarsane pangembang online, ngatur teleconferences, nelpon swara lan video. Uga ndhukung fitur canggih kayata kabar ngetik, konfirmasi maca, kabar push lan telusuran sisih server, sinkronisasi riwayat lan status klien, macem-macem pilihan pengenal (email, nomer telpon, akun Facebook, lsp).

Tambahan: Diterbitake ing terus karo gambaran saka hack kapindho, informasi bab bocor tombol PGP, lan ringkesan masalah keamanan sing mimpin kanggo hack.

Sumberopennet.ru

[: en]

Pangembang platform olahpesen desentralisasi Matrix diumumake babagan mati darurat server matrix.org и Kerusuhan.im (Klien utama Matrix) amarga peretasan infrastruktur proyek. Pemadaman pisanan kedadeyan ing wayah wengi, sawise server ora kasedhiya dibalèkaké, lan aplikasi dibangun maneh saka sumber referensi. Nanging sawetara menit kepungkur server padha kompromi kaping pindho.

Panyerang diselehake ing utama kaca proyek informasi rinci babagan konfigurasi server lan data ing ngarsane database karo hashes meh limang lan setengah yuta pangguna Matrix. Minangka bukti, hash sandi saka pimpinan proyek Matrix kasedhiya kanggo umum. Kode situs diganti dikirim ing repositori GitHub penyerang (ora ana ing repositori matriks resmi). Rincian babagan hack kapindho nganti saiki ora ana.

Sawise hack pisanan dening tim Matrix, iki diterbitake laporan, sing nuduhake yen hack kasebut ditindakake liwat kerentanan ing sistem integrasi terus-terusan Jenkins sing durung dianyari. Sawise entuk akses menyang server Jenkins, para panyerang nyegat tombol SSH lan bisa ngakses server infrastruktur liyane. Disebutake yen kode sumber lan paket ora kena pengaruh serangan kasebut. Serangan kasebut uga ora mengaruhi server Modular.im. Nanging panyerang entuk akses menyang DBMS utama, sing ngemot, antara liya, pesen sing ora dienkripsi, token akses lan hash sandhi.

Kabeh pangguna didhawuhi ngganti tembung sandhi. Nanging sajrone proses ngganti tembung sandhi ing klien Riot utama, pangguna ngadhepi kanthi mundhut file kanthi salinan serep kunci kanggo mulihake korespondensi sing dienkripsi lan ora bisa ngakses riwayat pesen sing kepungkur.

Ayo kita ngelingake sampeyan yen platform kanggo ngatur komunikasi desentralisasi Matrix ditampilake minangka proyek sing nggunakake standar mbukak lan menehi perhatian gedhe kanggo njamin keamanan lan privasi pangguna. Matrix nyedhiyakake enkripsi end-to-end adhedhasar protokol dhewe, kalebu algoritma Double Ratchet (uga digunakake minangka bagéan saka protokol Sinyal), ndhukung panelusuran lan ndeleng tanpa wates riwayat korespondensi, bisa digunakake kanggo nransfer file, ngirim kabar, ngevaluasi ngarsane pangembang online, ngatur teleconferences, nelpon swara lan video. Uga ndhukung fitur canggih kayata kabar ngetik, konfirmasi maca, kabar push lan telusuran sisih server, sinkronisasi riwayat lan status klien, macem-macem pilihan pengenal (email, nomer telpon, akun Facebook, lsp).

Tambahan: Diterbitake ing terus karo gambaran saka hack kapindho, informasi bab bocor tombol PGP, lan ringkesan masalah keamanan sing mimpin kanggo hack.

Source: opennet.ru

[:]