Matrix.org 인프라 해킹

[:루]

Matrix 분산형 메시징 플랫폼의 개발자 발표하다 서버 긴급 정지에 대해 matrix.org и 라이엇.임 (Matrix의 주요 클라이언트) 프로젝트 인프라 해킹으로 인해. 어젯밤에 첫 번째 중단이 발생했으며 이후 서버를 사용할 수 없었습니다. 복원, 애플리케이션은 참조 소스에서 다시 빌드됩니다. 하지만 몇 분 전에 서버가 타협 두번째.

공격자 배치하다 메인에 스트래니체 프로텍터 서버 구성에 대한 자세한 정보와 약 XNUMX만 명의 Matrix 사용자 해시가 포함된 데이터베이스 존재에 대한 데이터입니다. 증거로 Matrix 프로젝트 리더의 비밀번호 해시가 공개적으로 제공됩니다. 변경된 사이트 코드 게시됨 공격자의 GitHub 저장소(공식 매트릭스 저장소가 아님)에 있습니다. 지금까지의 두 번째 해킹에 대한 세부정보 은 없습니다.

Matrix 팀의 첫 번째 해킹 이후에 게시되었습니다. 보고이는 업데이트되지 않은 Jenkins 지속적 통합 시스템의 취약점을 통해 해킹이 이루어졌음을 나타냅니다. 공격자는 Jenkins 서버에 액세스한 후 SSH 키를 가로채 다른 인프라 서버에 액세스할 수 있었습니다. 소스코드와 패키지는 공격에 영향을 받지 않은 것으로 알려졌다. 이 공격은 Modular.im 서버에도 영향을 미치지 않았습니다. 그러나 공격자는 무엇보다도 암호화되지 않은 메시지, 액세스 토큰 및 비밀번호 해시를 포함하는 기본 DBMS에 대한 액세스 권한을 얻었습니다.

모든 사용자에게 비밀번호를 변경하라는 지시가 전달되었습니다. 하지만 기본 Riot 클라이언트에서 비밀번호를 변경하는 과정에서 사용자는 충돌 한 암호화된 통신 복원을 위한 키 백업 복사본이 포함된 파일이 손실되고 과거 메시지 기록에 액세스할 수 없습니다.

분산형 커뮤니케이션을 구성하기 위한 플랫폼은 다음과 같습니다. 매트릭스 개방형 표준을 사용하고 사용자의 보안과 개인 정보 보호에 큰 관심을 기울이는 프로젝트로 제시됩니다. Matrix는 Double Ratchet 알고리즘(Signal 프로토콜의 일부로도 사용됨)을 포함한 자체 프로토콜을 기반으로 종단 간 암호화를 제공하고, 검색 및 통신 기록 무제한 보기를 지원하며, 파일 전송, 알림 보내기, 평가에 사용할 수 있습니다. 개발자의 온라인 존재, 원격 회의 구성, 음성 및 영상 통화. 또한 입력 알림, 읽음 확인, 푸시 알림 및 서버 측 검색, 클라이언트 기록 및 상태 동기화, 다양한 식별자 옵션(이메일, 전화번호, Facebook 계정 등)과 같은 고급 기능을 지원합니다.

추가 : Опубликовано 계속해서 두 번째 해킹에 대한 설명, PGP 키 유출에 대한 정보, 해킹을 초래한 보안 문제에 대한 개요를 설명했습니다.

출처opennet.ru

[EN]

Matrix 분산형 메시징 플랫폼의 개발자 발표하다 서버 긴급 정지에 대해 matrix.org и 라이엇.임 (Matrix의 주요 클라이언트) 프로젝트 인프라 해킹으로 인해. 어젯밤에 첫 번째 중단이 발생했으며 이후 서버를 사용할 수 없었습니다. 복원, 애플리케이션은 참조 소스에서 다시 빌드됩니다. 하지만 몇 분 전에 서버가 타협 두번째.

공격자 배치하다 메인에 스트래니체 프로텍터 서버 구성에 대한 자세한 정보와 약 XNUMX만 명의 Matrix 사용자 해시가 포함된 데이터베이스 존재에 대한 데이터입니다. 증거로 Matrix 프로젝트 리더의 비밀번호 해시가 공개적으로 제공됩니다. 변경된 사이트 코드 게시됨 공격자의 GitHub 저장소(공식 매트릭스 저장소가 아님)에 있습니다. 지금까지의 두 번째 해킹에 대한 세부정보 은 없습니다.

Matrix 팀의 첫 번째 해킹 이후에 게시되었습니다. 보고이는 업데이트되지 않은 Jenkins 지속적 통합 시스템의 취약점을 통해 해킹이 이루어졌음을 나타냅니다. 공격자는 Jenkins 서버에 액세스한 후 SSH 키를 가로채 다른 인프라 서버에 액세스할 수 있었습니다. 소스코드와 패키지는 공격에 영향을 받지 않은 것으로 알려졌다. 이 공격은 Modular.im 서버에도 영향을 미치지 않았습니다. 그러나 공격자는 무엇보다도 암호화되지 않은 메시지, 액세스 토큰 및 비밀번호 해시를 포함하는 기본 DBMS에 대한 액세스 권한을 얻었습니다.

모든 사용자에게 비밀번호를 변경하라는 지시가 전달되었습니다. 하지만 기본 Riot 클라이언트에서 비밀번호를 변경하는 과정에서 사용자는 충돌 한 암호화된 통신 복원을 위한 키 백업 복사본이 포함된 파일이 손실되고 과거 메시지 기록에 액세스할 수 없습니다.

분산형 커뮤니케이션을 구성하기 위한 플랫폼은 다음과 같습니다. 매트릭스 개방형 표준을 사용하고 사용자의 보안과 개인 정보 보호에 큰 관심을 기울이는 프로젝트로 제시됩니다. Matrix는 Double Ratchet 알고리즘(Signal 프로토콜의 일부로도 사용됨)을 포함한 자체 프로토콜을 기반으로 종단 간 암호화를 제공하고, 검색 및 통신 기록 무제한 보기를 지원하며, 파일 전송, 알림 보내기, 평가에 사용할 수 있습니다. 개발자의 온라인 존재, 원격 회의 구성, 음성 및 영상 통화. 또한 입력 알림, 읽음 확인, 푸시 알림 및 서버 측 검색, 클라이언트 기록 및 상태 동기화, 다양한 식별자 옵션(이메일, 전화번호, Facebook 계정 등)과 같은 고급 기능을 지원합니다.

추가 : Опубликовано 계속해서 두 번째 해킹에 대한 설명, PGP 키 유출에 대한 정보, 해킹을 초래한 보안 문제에 대한 개요를 설명했습니다.

출처 : opennet.ru

[:]