Matrix.org 인프라 해킹

분산 메시징 플랫폼 개발자인 Matrix는 프로젝트 인프라 해킹으로 인해 Matrix.org 및 Riot.im 서버(Matrix의 주요 클라이언트)의 긴급 종료를 발표했습니다. 지난 밤에 첫 번째 중단이 발생했으며 그 후 서버가 복원되고 참조 소스에서 애플리케이션이 다시 구축되었습니다. 그러나 몇 분 전에 서버가 두 번째로 손상되었습니다.

공격자는 프로젝트 메인 페이지에 서버 구성에 대한 자세한 정보와 거의 XNUMX만 명의 Matrix 사용자 해시가 포함된 데이터베이스 존재에 대한 데이터를 게시했습니다. 증거로 Matrix 프로젝트 리더의 비밀번호 해시가 공개적으로 제공됩니다. 수정된 사이트 코드는 GitHub의 공격자 저장소(공식 매트릭스 저장소가 아님)에 게시됩니다. 두 번째 해킹에 대한 세부정보는 아직 제공되지 않습니다.

첫 번째 해킹 이후 Matrix 팀은 업데이트되지 않은 Jenkins 지속적 통합 시스템의 취약점을 통해 해킹이 이루어졌다는 보고서를 발표했습니다. 공격자는 Jenkins 서버에 액세스한 후 SSH 키를 가로채 다른 인프라 서버에 액세스할 수 있었습니다. 소스코드와 패키지는 공격에 영향을 받지 않은 것으로 알려졌다. 이 공격은 Modular.im 서버에도 영향을 미치지 않았습니다. 그러나 공격자는 무엇보다도 암호화되지 않은 메시지, 액세스 토큰 및 비밀번호 해시를 포함하는 기본 DBMS에 대한 액세스 권한을 얻었습니다.

모든 사용자에게 비밀번호를 변경하라는 지시가 전달되었습니다. 그러나 기본 Riot 클라이언트에서 비밀번호를 변경하는 과정에서 사용자는 암호화된 통신 복원을 위한 키의 백업 복사본이 포함된 파일이 사라지고 과거 메시지 기록에 액세스할 수 없는 문제에 직면했습니다.

분산형 통신 매트릭스를 구성하기 위한 플랫폼은 개방형 표준을 사용하고 사용자의 보안 및 개인 정보 보호에 큰 관심을 기울이는 프로젝트로 제시된다는 점을 상기해 보겠습니다. Matrix는 검증된 Signal 알고리즘을 기반으로 하는 엔드투엔드 암호화를 제공하고, 서신 기록의 검색 및 무제한 보기를 지원하며, 파일 전송, 알림 보내기, 개발자의 온라인 존재 평가, 원격 회의 구성, 음성 및 영상 통화에 사용할 수 있습니다. 또한 입력 알림, 읽음 확인, 푸시 알림 및 서버 측 검색, 클라이언트 기록 및 상태 동기화, 다양한 식별자 옵션(이메일, 전화번호, Facebook 계정 등)과 같은 고급 기능을 지원합니다.

출처 : opennet.ru