ລາຍລະອຽດກ່ຽວກັບການ hack Matrix ທີສອງ. ກະແຈໂຄງການ GPG ຖືກທໍາລາຍ

[:en]

ຈັດພີມມາ новые ລາຍລະອຽດ ກ່ຽວກັບການແຮັກຂອງໂຄງສ້າງພື້ນຖານຂອງແພລະຕະຟອມການສົ່ງຂໍ້ຄວາມແບບກະຈາຍ Matrix, ກ່ຽວກັບເລື່ອງນັ້ນ ລາຍງານມາ ໃນ​ຕອນ​ເຊົ້າ. ການເຊື່ອມຕໍ່ທີ່ມີບັນຫາທີ່ຜູ້ໂຈມຕີເຈາະເຂົ້າໄປໃນລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງຂອງ Jenkins, ເຊິ່ງໄດ້ຖືກ hacked ໃນວັນທີ 13 ມີນາ. ຫຼັງຈາກນັ້ນ, ໃນເຊີບເວີ Jenkins, ການເຂົ້າສູ່ລະບົບຂອງຜູ້ບໍລິຫານຫນຶ່ງ, ຖືກໂອນໂດຍຕົວແທນ SSH, ໄດ້ຖືກຂັດຂວາງ, ແລະໃນວັນທີ 4 ເດືອນເມສາ, ຜູ້ໂຈມຕີໄດ້ຮັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍພື້ນຖານໂຄງລ່າງອື່ນໆ.

ໃນລະຫວ່າງການໂຈມຕີຄັ້ງທີສອງ, ເວັບໄຊທ໌ matrix.org ໄດ້ຖືກໂອນໄປຫາເຄື່ອງແມ່ຂ່າຍອື່ນ (matrixnotorg.github.io) ໂດຍການປ່ຽນແປງພາລາມິເຕີ DNS, ການນໍາໃຊ້ກຸນແຈຂອງລະບົບການຈັດສົ່ງເນື້ອຫາ Cloudflare API ທີ່ຂັດຂວາງໃນລະຫວ່າງການໂຈມຕີຄັ້ງທໍາອິດ. ເມື່ອສ້າງເນື້ອຫາຂອງເຊີບເວີຄືນໃຫມ່ຫຼັງຈາກການ hack ຄັ້ງທໍາອິດ, ຜູ້ບໍລິຫານ Matrix ພຽງແຕ່ອັບເດດກະແຈສ່ວນຕົວໃຫມ່ແລະພາດການອັບເດດລະຫັດກັບ Cloudflare.

ໃນລະຫວ່າງການໂຈມຕີຄັ້ງທີສອງ, ເຊີບເວີ Matrix ຍັງບໍ່ຖືກແຕະຕ້ອງ; ຖ້າຜູ້ໃຊ້ໄດ້ປ່ຽນລະຫັດຜ່ານແລ້ວຫຼັງຈາກການໂຈມຕີຄັ້ງທໍາອິດ, ມັນບໍ່ຈໍາເປັນຕ້ອງປ່ຽນເປັນຄັ້ງທີສອງ. ແຕ່ຖ້າຫາກວ່າລະຫັດຜ່ານຍັງບໍ່ທັນໄດ້ມີການປ່ຽນແປງ, ມັນຈໍາເປັນຕ້ອງໄດ້ປັບປຸງໄວເທົ່າທີ່ເປັນໄປໄດ້, ນັບຕັ້ງແຕ່ການຮົ່ວໄຫລຂອງຖານຂໍ້ມູນທີ່ມີ hashes ລະຫັດຜ່ານໄດ້ຖືກຢືນຢັນ. ແຜນການປະຈຸບັນແມ່ນເພື່ອເລີ່ມຕົ້ນຂະບວນການປ່ຽນລະຫັດຜ່ານທີ່ຖືກບັງຄັບໃນຄັ້ງຕໍ່ໄປທີ່ທ່ານເຂົ້າສູ່ລະບົບ.

ນອກເຫນືອຈາກການຮົ່ວໄຫລຂອງລະຫັດຜ່ານ, ມັນຍັງໄດ້ຮັບການຢືນຢັນວ່າກະແຈ GPG ທີ່ໃຊ້ເພື່ອສ້າງລາຍເຊັນດິຈິຕອນສໍາລັບແພັກເກັດຢູ່ໃນບ່ອນເກັບມ້ຽນ Debian Synapse ແລະການປ່ອຍ Riot / Web ໄດ້ຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ. ກະແຈຖືກປ້ອງກັນດ້ວຍລະຫັດຜ່ານ. ກະແຈໄດ້ຖືກຖອນຄືນແລ້ວໃນເວລານີ້. ລະຫັດໄດ້ຖືກຂັດຂວາງໃນວັນທີ 4 ເດືອນເມສາ, ນັບຕັ້ງແຕ່ນັ້ນມາບໍ່ມີການອັບເດດ Synapse, ແຕ່ Riot / Web client 1.0.7 ໄດ້ຖືກປ່ອຍອອກມາ (ການກວດສອບເບື້ອງຕົ້ນສະແດງໃຫ້ເຫັນວ່າມັນບໍ່ໄດ້ຖືກທໍາລາຍ).

ຜູ້ໂຈມຕີໄດ້ເຜີຍແຜ່ບົດລາຍງານກ່ຽວກັບ GitHub ທີ່ມີລາຍລະອຽດຂອງການໂຈມຕີແລະຄໍາແນະນໍາສໍາລັບການເພີ່ມທະວີການປົກປ້ອງ, ແຕ່ພວກມັນຖືກລຶບຖິ້ມ. ຢ່າງໃດກໍຕາມ, ບົດລາຍງານທີ່ເກັບໄວ້ ຮັກສາໄວ້.
ຕົວຢ່າງ, ຜູ້ໂຈມຕີໄດ້ລາຍງານວ່າຜູ້ພັດທະນາ Matrix ຄວນ ໃຊ້ ການພິສູດຢືນຢັນສອງປັດໃຈ ຫຼືຢ່າງໜ້ອຍບໍ່ໃຊ້ການປ່ຽນເສັ້ນທາງຕົວແທນ SSH (“ForwardAgent yes”), ຫຼັງຈາກນັ້ນການເຈາະເຂົ້າໄປໃນໂຄງສ້າງພື້ນຖານຈະຖືກບລັອກ. ການເພີ່ມຂື້ນຂອງການໂຈມຕີຍັງສາມາດຖືກຢຸດໂດຍການໃຫ້ຜູ້ພັດທະນາພຽງແຕ່ສິດທິພິເສດທີ່ຈໍາເປັນ, ແທນທີ່ຈະ ການເຂົ້າເຖິງຮາກເຕັມ ໃນເຄື່ອງແມ່ຂ່າຍທັງຫມົດ.

ນອກຈາກນັ້ນ, ການປະຕິບັດການເກັບຮັກສາລະຫັດສໍາລັບການສ້າງລາຍເຊັນດິຈິຕອນໃນເຄື່ອງແມ່ຂ່າຍການຜະລິດໄດ້ຖືກວິພາກວິຈານເປັນເຈົ້າພາບທີ່ແຍກຕ່າງຫາກທີ່ແຍກຕ່າງຫາກຄວນຖືກຈັດສັນເພື່ອຈຸດປະສົງດັ່ງກ່າວ. ຍັງ​ໂຈມ​ຕີ ລາຍງານມາ, ວ່າຖ້າຜູ້ພັດທະນາ Matrix ໄດ້ກວດສອບບັນທຶກຢ່າງເປັນປົກກະຕິແລະວິເຄາະຄວາມຜິດປົກກະຕິ, ພວກເຂົາຈະສັງເກດເຫັນຮ່ອງຮອຍຂອງການ hack ໃນຕອນຕົ້ນ (ການ hack CI ບໍ່ໄດ້ກວດພົບເປັນເວລາຫນຶ່ງເດືອນ). ບັນຫາອື່ນ ມັນແມ່ນ ການເກັບຮັກສາໄຟລ໌ການຕັ້ງຄ່າທັງຫມົດໃນ Git, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະເມີນການຕັ້ງຄ່າຂອງໂຮດອື່ນຖ້າຫນຶ່ງໃນພວກມັນຖືກແຮັກ. ການເຂົ້າເຖິງຜ່ານ SSH ກັບເຄື່ອງແມ່ຂ່າຍໂຄງສ້າງພື້ນຖານ ບໍ່ແມ່ນ ຈໍາກັດກັບເຄືອຂ່າຍພາຍໃນທີ່ປອດໄພ, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເຊື່ອມຕໍ່ກັບພວກເຂົາຈາກທີ່ຢູ່ພາຍນອກໃດໆ.

ແຫຼ່ງຂໍ້ມູນopennet.ru

[En]

ຈັດພີມມາ новые ລາຍລະອຽດ ກ່ຽວກັບການແຮັກຂອງໂຄງສ້າງພື້ນຖານຂອງແພລະຕະຟອມການສົ່ງຂໍ້ຄວາມແບບກະຈາຍ Matrix, ກ່ຽວກັບເລື່ອງນັ້ນ ລາຍງານມາ ໃນ​ຕອນ​ເຊົ້າ. ການເຊື່ອມຕໍ່ທີ່ມີບັນຫາທີ່ຜູ້ໂຈມຕີເຈາະເຂົ້າໄປໃນລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງຂອງ Jenkins, ເຊິ່ງໄດ້ຖືກ hacked ໃນວັນທີ 13 ມີນາ. ຫຼັງຈາກນັ້ນ, ໃນເຊີບເວີ Jenkins, ການເຂົ້າສູ່ລະບົບຂອງຜູ້ບໍລິຫານຫນຶ່ງ, ຖືກໂອນໂດຍຕົວແທນ SSH, ໄດ້ຖືກຂັດຂວາງ, ແລະໃນວັນທີ 4 ເດືອນເມສາ, ຜູ້ໂຈມຕີໄດ້ຮັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍພື້ນຖານໂຄງລ່າງອື່ນໆ.

ໃນລະຫວ່າງການໂຈມຕີຄັ້ງທີສອງ, ເວັບໄຊທ໌ matrix.org ໄດ້ຖືກໂອນໄປຫາເຄື່ອງແມ່ຂ່າຍອື່ນ (matrixnotorg.github.io) ໂດຍການປ່ຽນແປງພາລາມິເຕີ DNS, ການນໍາໃຊ້ກຸນແຈຂອງລະບົບການຈັດສົ່ງເນື້ອຫາ Cloudflare API ທີ່ຂັດຂວາງໃນລະຫວ່າງການໂຈມຕີຄັ້ງທໍາອິດ. ເມື່ອສ້າງເນື້ອຫາຂອງເຊີບເວີຄືນໃຫມ່ຫຼັງຈາກການ hack ຄັ້ງທໍາອິດ, ຜູ້ບໍລິຫານ Matrix ພຽງແຕ່ອັບເດດກະແຈສ່ວນຕົວໃຫມ່ແລະພາດການອັບເດດລະຫັດກັບ Cloudflare.

ໃນລະຫວ່າງການໂຈມຕີຄັ້ງທີສອງ, ເຊີບເວີ Matrix ຍັງບໍ່ຖືກແຕະຕ້ອງ; ຖ້າຜູ້ໃຊ້ໄດ້ປ່ຽນລະຫັດຜ່ານແລ້ວຫຼັງຈາກການໂຈມຕີຄັ້ງທໍາອິດ, ມັນບໍ່ຈໍາເປັນຕ້ອງປ່ຽນເປັນຄັ້ງທີສອງ. ແຕ່ຖ້າຫາກວ່າລະຫັດຜ່ານຍັງບໍ່ທັນໄດ້ມີການປ່ຽນແປງ, ມັນຈໍາເປັນຕ້ອງໄດ້ປັບປຸງໄວເທົ່າທີ່ເປັນໄປໄດ້, ນັບຕັ້ງແຕ່ການຮົ່ວໄຫລຂອງຖານຂໍ້ມູນທີ່ມີ hashes ລະຫັດຜ່ານໄດ້ຖືກຢືນຢັນ. ແຜນການປະຈຸບັນແມ່ນເພື່ອເລີ່ມຕົ້ນຂະບວນການປ່ຽນລະຫັດຜ່ານທີ່ຖືກບັງຄັບໃນຄັ້ງຕໍ່ໄປທີ່ທ່ານເຂົ້າສູ່ລະບົບ.

ນອກເຫນືອຈາກການຮົ່ວໄຫລຂອງລະຫັດຜ່ານ, ມັນຍັງໄດ້ຮັບການຢືນຢັນວ່າກະແຈ GPG ທີ່ໃຊ້ເພື່ອສ້າງລາຍເຊັນດິຈິຕອນສໍາລັບແພັກເກັດຢູ່ໃນບ່ອນເກັບມ້ຽນ Debian Synapse ແລະການປ່ອຍ Riot / Web ໄດ້ຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ. ກະແຈຖືກປ້ອງກັນດ້ວຍລະຫັດຜ່ານ. ກະແຈໄດ້ຖືກຖອນຄືນແລ້ວໃນເວລານີ້. ລະຫັດໄດ້ຖືກຂັດຂວາງໃນວັນທີ 4 ເດືອນເມສາ, ນັບຕັ້ງແຕ່ນັ້ນມາບໍ່ມີການອັບເດດ Synapse, ແຕ່ Riot / Web client 1.0.7 ໄດ້ຖືກປ່ອຍອອກມາ (ການກວດສອບເບື້ອງຕົ້ນສະແດງໃຫ້ເຫັນວ່າມັນບໍ່ໄດ້ຖືກທໍາລາຍ).

ຜູ້ໂຈມຕີໄດ້ເຜີຍແຜ່ບົດລາຍງານກ່ຽວກັບ GitHub ທີ່ມີລາຍລະອຽດຂອງການໂຈມຕີແລະຄໍາແນະນໍາສໍາລັບການເພີ່ມທະວີການປົກປ້ອງ, ແຕ່ພວກມັນຖືກລຶບຖິ້ມ. ຢ່າງໃດກໍຕາມ, ບົດລາຍງານທີ່ເກັບໄວ້ ຮັກສາໄວ້.
ຕົວຢ່າງ, ຜູ້ໂຈມຕີໄດ້ລາຍງານວ່າຜູ້ພັດທະນາ Matrix ຄວນ ໃຊ້ ການພິສູດຢືນຢັນສອງປັດໃຈ ຫຼືຢ່າງໜ້ອຍບໍ່ໃຊ້ການປ່ຽນເສັ້ນທາງຕົວແທນ SSH (“ForwardAgent yes”), ຫຼັງຈາກນັ້ນການເຈາະເຂົ້າໄປໃນໂຄງສ້າງພື້ນຖານຈະຖືກບລັອກ. ການເພີ່ມຂື້ນຂອງການໂຈມຕີຍັງສາມາດຖືກຢຸດໂດຍການໃຫ້ຜູ້ພັດທະນາພຽງແຕ່ສິດທິພິເສດທີ່ຈໍາເປັນ, ແທນທີ່ຈະ ການເຂົ້າເຖິງຮາກເຕັມ ໃນເຄື່ອງແມ່ຂ່າຍທັງຫມົດ.

ນອກຈາກນັ້ນ, ການປະຕິບັດການເກັບຮັກສາລະຫັດສໍາລັບການສ້າງລາຍເຊັນດິຈິຕອນໃນເຄື່ອງແມ່ຂ່າຍການຜະລິດໄດ້ຖືກວິພາກວິຈານເປັນເຈົ້າພາບທີ່ແຍກຕ່າງຫາກທີ່ແຍກຕ່າງຫາກຄວນຖືກຈັດສັນເພື່ອຈຸດປະສົງດັ່ງກ່າວ. ຍັງ​ໂຈມ​ຕີ ລາຍງານມາ, ວ່າຖ້າຜູ້ພັດທະນາ Matrix ໄດ້ກວດສອບບັນທຶກຢ່າງເປັນປົກກະຕິແລະວິເຄາະຄວາມຜິດປົກກະຕິ, ພວກເຂົາຈະສັງເກດເຫັນຮ່ອງຮອຍຂອງການ hack ໃນຕອນຕົ້ນ (ການ hack CI ບໍ່ໄດ້ກວດພົບເປັນເວລາຫນຶ່ງເດືອນ). ບັນຫາອື່ນ ມັນແມ່ນ ການເກັບຮັກສາໄຟລ໌ການຕັ້ງຄ່າທັງຫມົດໃນ Git, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະເມີນການຕັ້ງຄ່າຂອງໂຮດອື່ນຖ້າຫນຶ່ງໃນພວກມັນຖືກແຮັກ. ການເຂົ້າເຖິງຜ່ານ SSH ກັບເຄື່ອງແມ່ຂ່າຍໂຄງສ້າງພື້ນຖານ ບໍ່ແມ່ນ ຈໍາກັດກັບເຄືອຂ່າຍພາຍໃນທີ່ປອດໄພ, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເຊື່ອມຕໍ່ກັບພວກເຂົາຈາກທີ່ຢູ່ພາຍນອກໃດໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru

[:]