두 번째 매트릭스 해킹에 대한 세부정보입니다. 프로젝트 GPG 키가 손상됨

[:루]

게시됨 новые 세부 사항 분산 메시징 플랫폼인 Matrix의 인프라 해킹에 대해 보고 된 아침에. 공격자가 침투한 문제 링크는 지난 13월 4일 해킹된 젠킨스 지속적 통합 시스템(Jenkins Continuous Integration System)이었다. 이후 젠킨스 서버에서는 SSH 에이전트에 의해 리디렉션된 관리자 중 한 명의 로그인이 가로채졌고, XNUMX월 XNUMX일 공격자들은 다른 인프라 서버에 접근할 수 있게 됐다.

두 번째 공격에서는 첫 번째 공격에서 가로채는 Cloudflare 콘텐츠 전달 시스템 API의 키를 사용하여 DNS 매개변수를 변경함으로써 matrix.org 웹사이트가 다른 서버(matrixnotorg.github.io)로 리디렉션되었습니다. 첫 번째 해킹 이후 서버 콘텐츠를 재구축할 때 Matrix 관리자는 새 개인 키만 업데이트하고 Cloudflare에 대한 키 업데이트를 놓쳤습니다.

두 번째 공격 동안 Matrix 서버는 그대로 유지되었으며 변경 사항은 DNS의 주소 교체로만 제한되었습니다. 사용자가 첫 번째 공격 이후 이미 비밀번호를 변경한 경우 두 번째로 비밀번호를 변경할 필요가 없습니다. 하지만 아직 비밀번호가 변경되지 않은 경우 비밀번호 해시가 포함된 데이터베이스 유출이 확인되었으므로 최대한 빨리 업데이트해야 합니다. 현재 계획은 다음에 로그인할 때 강제 비밀번호 재설정 프로세스를 시작하는 것입니다.

비밀번호 유출 외에도 Debian Synapse 저장소 및 Riot/Web 릴리스의 패키지에 대한 디지털 서명을 생성하는 데 사용된 GPG 키가 공격자의 손에 들어간 것으로 확인되었습니다. 열쇠는 비밀번호로 보호되어 있었습니다. 현재 키는 이미 취소되었습니다. 키는 4월 1.0.7일에 가로채졌으며 그 이후로는 Synapse 업데이트가 출시되지 않았지만 Riot/Web 클라이언트 XNUMX이 출시되었습니다(예비 점검 결과 손상되지 않은 것으로 나타났습니다).

공격자는 공격에 대한 세부 정보와 보호 강화를 위한 팁이 포함된 일련의 보고서를 GitHub에 게시했지만 삭제되었습니다. 그러나 보관된 보고서는 보존 된.
예를 들어, 공격자는 Matrix 개발자가 다음을 수행해야 한다고 보고했습니다. 사용 XNUMX단계 인증을 사용하거나 적어도 SSH 에이전트 리디렉션을 사용하지 않는 경우("ForwardAgent yes") 인프라에 대한 침투가 차단됩니다. 개발자에게 필요한 권한만 부여하는 것이 아니라 공격의 확대를 막을 수도 있습니다. 전체 루트 액세스 모든 서버에서.

또한 프로덕션 서버에서 디지털 서명을 생성하기 위해 키를 저장하는 관행이 비판을 받았는데, 이러한 목적을 위해서는 별도의 격리된 호스트를 할당해야 합니다. 여전히 공격 중 сообщил, Matrix 개발자가 정기적으로 로그를 감사하고 이상 현상을 분석했다면 해킹의 흔적을 조기에 발견했을 것입니다(CI 해킹은 한 달 동안 감지되지 않았습니다). 또 다른 문제 있었다 모든 구성 파일을 Git에 저장하여 다른 호스트 중 하나가 해킹된 경우 다른 호스트의 설정을 평가할 수 있습니다. SSH를 통해 인프라 서버에 액세스 아니었다. 안전한 내부 네트워크로 제한되어 있어 어떤 외부 주소에서도 연결할 수 있습니다.

출처opennet.ru

[EN]

게시됨 новые 세부 사항 분산 메시징 플랫폼인 Matrix의 인프라 해킹에 대해 보고 된 아침에. 공격자가 침투한 문제 링크는 지난 13월 4일 해킹된 젠킨스 지속적 통합 시스템(Jenkins Continuous Integration System)이었다. 이후 젠킨스 서버에서는 SSH 에이전트에 의해 리디렉션된 관리자 중 한 명의 로그인이 가로채졌고, XNUMX월 XNUMX일 공격자들은 다른 인프라 서버에 접근할 수 있게 됐다.

두 번째 공격에서는 첫 번째 공격에서 가로채는 Cloudflare 콘텐츠 전달 시스템 API의 키를 사용하여 DNS 매개변수를 변경함으로써 matrix.org 웹사이트가 다른 서버(matrixnotorg.github.io)로 리디렉션되었습니다. 첫 번째 해킹 이후 서버 콘텐츠를 재구축할 때 Matrix 관리자는 새 개인 키만 업데이트하고 Cloudflare에 대한 키 업데이트를 놓쳤습니다.

두 번째 공격 동안 Matrix 서버는 그대로 유지되었으며 변경 사항은 DNS의 주소 교체로만 제한되었습니다. 사용자가 첫 번째 공격 이후 이미 비밀번호를 변경한 경우 두 번째로 비밀번호를 변경할 필요가 없습니다. 하지만 아직 비밀번호가 변경되지 않은 경우 비밀번호 해시가 포함된 데이터베이스 유출이 확인되었으므로 최대한 빨리 업데이트해야 합니다. 현재 계획은 다음에 로그인할 때 강제 비밀번호 재설정 프로세스를 시작하는 것입니다.

비밀번호 유출 외에도 Debian Synapse 저장소 및 Riot/Web 릴리스의 패키지에 대한 디지털 서명을 생성하는 데 사용된 GPG 키가 공격자의 손에 들어간 것으로 확인되었습니다. 열쇠는 비밀번호로 보호되어 있었습니다. 현재 키는 이미 취소되었습니다. 키는 4월 1.0.7일에 가로채졌으며 그 이후로는 Synapse 업데이트가 출시되지 않았지만 Riot/Web 클라이언트 XNUMX이 출시되었습니다(예비 점검 결과 손상되지 않은 것으로 나타났습니다).

공격자는 공격에 대한 세부 정보와 보호 강화를 위한 팁이 포함된 일련의 보고서를 GitHub에 게시했지만 삭제되었습니다. 그러나 보관된 보고서는 보존 된.
예를 들어, 공격자는 Matrix 개발자가 다음을 수행해야 한다고 보고했습니다. 사용 XNUMX단계 인증을 사용하거나 적어도 SSH 에이전트 리디렉션을 사용하지 않는 경우("ForwardAgent yes") 인프라에 대한 침투가 차단됩니다. 개발자에게 필요한 권한만 부여하는 것이 아니라 공격의 확대를 막을 수도 있습니다. 전체 루트 액세스 모든 서버에서.

또한 프로덕션 서버에서 디지털 서명을 생성하기 위해 키를 저장하는 관행이 비판을 받았는데, 이러한 목적을 위해서는 별도의 격리된 호스트를 할당해야 합니다. 여전히 공격 중 сообщил, Matrix 개발자가 정기적으로 로그를 감사하고 이상 현상을 분석했다면 해킹의 흔적을 조기에 발견했을 것입니다(CI 해킹은 한 달 동안 감지되지 않았습니다). 또 다른 문제 있었다 모든 구성 파일을 Git에 저장하여 다른 호스트 중 하나가 해킹된 경우 다른 호스트의 설정을 평가할 수 있습니다. SSH를 통해 인프라 서버에 액세스 아니었다. 안전한 내부 네트워크로 제한되어 있어 어떤 외부 주소에서도 연결할 수 있습니다.

출처 : opennet.ru

[:]