ການແຮັກໂຄງລ່າງພື້ນຖານ matrix.org

[:en]

ຜູ້ພັດທະນາແພລະຕະຟອມການສົ່ງຂໍ້ຄວາມແບບແບ່ງແຍກ Matrix ປະ​ກາດ ກ່ຽວກັບການປິດເຊີບເວີສຸກເສີນ matrix.org и Riot.im (ລູກຄ້າຫຼັກຂອງ Matrix) ເນື່ອງຈາກການ hack ໂຄງລ່າງພື້ນຖານຂອງໂຄງການ. ການຢຸດງານຄັ້ງທຳອິດໄດ້ເກີດຂຶ້ນໃນຄືນທີ່ຜ່ານມາ, ຫລັງຈາກນັ້ນເຊີບເວີບໍ່ສາມາດໃຊ້ໄດ້ ຟື້ນຟູ, ແລະຄໍາຮ້ອງສະຫມັກໄດ້ຖືກສ້າງໃຫມ່ຈາກແຫຼ່ງອ້າງອີງ. ແຕ່ສອງສາມນາທີກ່ອນຫນ້ານີ້ເຄື່ອງແມ່ຂ່າຍແມ່ນ ບຸກລຸກ ຄັ້ງທີສອງ.

ຜູ້ໂຈມຕີ ວາງໄວ້ ສຸດຕົ້ນຕໍ ຫນ້າໂຄງການ ຂໍ້​ມູນ​ລະ​ອຽດ​ກ່ຽວ​ກັບ​ການ​ຕັ້ງ​ຄ່າ​ຂອງ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ແລະ​ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ການ​ມີ​ຖານ​ຂໍ້​ມູນ​ທີ່​ມີ hashes ຂອງ​ເກືອບ​ຫ້າ​ແລະ​ເຄິ່ງ​ລ້ານ​ຜູ້​ຊົມ​ໃຊ້ Matrix​. ເປັນຫຼັກຖານ, hash ລະຫັດຜ່ານຂອງຜູ້ນໍາຂອງໂຄງການ Matrix ແມ່ນມີຢູ່ໃນສາທາລະນະ. ປ່ຽນລະຫັດເວັບໄຊ ປະກາດ ຢູ່ໃນບ່ອນເກັບມ້ຽນ GitHub ຂອງຜູ້ໂຈມຕີ (ບໍ່ແມ່ນຢູ່ໃນບ່ອນເກັບມ້ຽນ matrix ຢ່າງເປັນທາງການ). ລາຍລະອຽດກ່ຽວກັບການ hack ທີສອງມາເຖິງຕອນນັ້ນ ຫາຍ.

ຫຼັງຈາກການ hack ຄັ້ງທໍາອິດໂດຍທີມງານ Matrix, ມັນໄດ້ຖືກຈັດພີມມາ ລາຍງານ, ເຊິ່ງຊີ້ໃຫ້ເຫັນວ່າການ hack ໄດ້ຖືກປະຕິບັດໂດຍຜ່ານຊ່ອງໂຫວ່ໃນລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງຂອງ Jenkins ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງ. ຫຼັງຈາກເຂົ້າເຖິງເຊີບເວີ Jenkins, ຜູ້ໂຈມຕີໄດ້ຂັດຂວາງກະແຈ SSH ແລະສາມາດເຂົ້າເຖິງເຊີບເວີໂຄງສ້າງພື້ນຖານອື່ນໆ. ມັນໄດ້ຖືກລະບຸໄວ້ວ່າລະຫັດແຫຼ່ງແລະຊຸດບໍ່ໄດ້ຮັບຜົນກະທົບຈາກການໂຈມຕີ. ການໂຈມຕີຍັງບໍ່ມີຜົນຕໍ່ເຊີບເວີ Modular.im. ແຕ່ຜູ້ໂຈມຕີໄດ້ຮັບການເຂົ້າເຖິງ DBMS ຕົ້ນຕໍ, ເຊິ່ງປະກອບມີ, ໃນບັນດາສິ່ງອື່ນໆ, ຂໍ້ຄວາມທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ, ການເຂົ້າເຖິງ tokens ແລະລະຫັດລັບ.

ຜູ້ໃຊ້ທັງໝົດໄດ້ຖືກແນະນຳໃຫ້ປ່ຽນລະຫັດຜ່ານຂອງເຂົາເຈົ້າ. ແຕ່ໃນລະຫວ່າງຂະບວນການປ່ຽນລະຫັດຜ່ານຢູ່ໃນລູກຄ້າ Riot ຕົ້ນຕໍ, ຜູ້ໃຊ້ ປະເຊີນຫນ້າ ກັບການສູນເສຍໄຟລ໌ທີ່ມີສໍາເນົາສໍາຮອງຂອງກະແຈສໍາລັບການຟື້ນຟູການຕິດຕໍ່ທີ່ເຂົ້າລະຫັດລັບແລະການບໍ່ສາມາດເຂົ້າເຖິງປະຫວັດຂອງຂໍ້ຄວາມທີ່ຜ່ານມາ.

ໃຫ້ພວກເຮົາເຕືອນທ່ານວ່າແພລະຕະຟອມສໍາລັບການຈັດຕັ້ງການສື່ສານແບບກະຈາຍ ມາຕຣິກເບື້ອງ ຖືກນໍາສະເຫນີເປັນໂຄງການທີ່ໃຊ້ມາດຕະຖານເປີດແລະເອົາໃຈໃສ່ຢ່າງໃຫຍ່ຫຼວງຕໍ່ການຮັບປະກັນຄວາມປອດໄພແລະຄວາມເປັນສ່ວນຕົວຂອງຜູ້ໃຊ້. Matrix ສະຫນອງການເຂົ້າລະຫັດແບບ end-to-end ໂດຍອີງໃສ່ໂປໂຕຄອນຂອງຕົນເອງ, ລວມທັງ Double Ratchet algorithm (ຍັງໃຊ້ເປັນສ່ວນຫນຶ່ງຂອງ Signal protocol), ສະຫນັບສະຫນູນການຊອກຫາແລະການເບິ່ງບໍ່ຈໍາກັດຂອງປະຫວັດການຕິດຕໍ່, ສາມາດນໍາໃຊ້ເພື່ອໂອນໄຟລ໌, ສົ່ງການແຈ້ງເຕືອນ, ປະເມີນ. ການປະກົດຕົວຂອງຜູ້ພັດທະນາອອນໄລນ໌, ການຈັດກອງປະຊຸມທາງໂທລະສັບ, ການໂທສຽງແລະວິດີໂອ. ມັນຍັງສະຫນັບສະຫນູນຄຸນນະສົມບັດແບບພິເສດເຊັ່ນ: ການແຈ້ງເຕືອນການພິມ, ອ່ານການຢືນຢັນ, ຊຸກຍູ້ການແຈ້ງເຕືອນແລະການຊອກຫາຂ້າງເຊີຟເວີ, synchronization ຂອງປະຫວັດລູກຄ້າແລະສະຖານະພາບ, ທາງເລືອກຕົວລະບຸຕ່າງໆ (ອີເມລ໌, ເບີໂທລະສັບ, ບັນຊີ Facebook, ແລະອື່ນໆ).

ເພີ່ມເຕີມ: ເຜີຍແຜ່ໃນ ສືບຕໍ່ດ້ວຍຄໍາອະທິບາຍກ່ຽວກັບການ hack ທີສອງ, ຂໍ້ມູນກ່ຽວກັບການຮົ່ວໄຫລຂອງກະແຈ PGP, ແລະສະພາບລວມຂອງບັນຫາຄວາມປອດໄພທີ່ນໍາໄປສູ່ການ hack ໄດ້.

ແຫຼ່ງຂໍ້ມູນopennet.ru

[En]

ຜູ້ພັດທະນາແພລະຕະຟອມການສົ່ງຂໍ້ຄວາມແບບແບ່ງແຍກ Matrix ປະ​ກາດ ກ່ຽວກັບການປິດເຊີບເວີສຸກເສີນ matrix.org и Riot.im (ລູກຄ້າຫຼັກຂອງ Matrix) ເນື່ອງຈາກການ hack ໂຄງລ່າງພື້ນຖານຂອງໂຄງການ. ການຢຸດງານຄັ້ງທຳອິດໄດ້ເກີດຂຶ້ນໃນຄືນທີ່ຜ່ານມາ, ຫລັງຈາກນັ້ນເຊີບເວີບໍ່ສາມາດໃຊ້ໄດ້ ຟື້ນຟູ, ແລະຄໍາຮ້ອງສະຫມັກໄດ້ຖືກສ້າງໃຫມ່ຈາກແຫຼ່ງອ້າງອີງ. ແຕ່ສອງສາມນາທີກ່ອນຫນ້ານີ້ເຄື່ອງແມ່ຂ່າຍແມ່ນ ບຸກລຸກ ຄັ້ງທີສອງ.

ຜູ້ໂຈມຕີ ວາງໄວ້ ສຸດຕົ້ນຕໍ ຫນ້າໂຄງການ ຂໍ້​ມູນ​ລະ​ອຽດ​ກ່ຽວ​ກັບ​ການ​ຕັ້ງ​ຄ່າ​ຂອງ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ແລະ​ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ການ​ມີ​ຖານ​ຂໍ້​ມູນ​ທີ່​ມີ hashes ຂອງ​ເກືອບ​ຫ້າ​ແລະ​ເຄິ່ງ​ລ້ານ​ຜູ້​ຊົມ​ໃຊ້ Matrix​. ເປັນຫຼັກຖານ, hash ລະຫັດຜ່ານຂອງຜູ້ນໍາຂອງໂຄງການ Matrix ແມ່ນມີຢູ່ໃນສາທາລະນະ. ປ່ຽນລະຫັດເວັບໄຊ ປະກາດ ຢູ່ໃນບ່ອນເກັບມ້ຽນ GitHub ຂອງຜູ້ໂຈມຕີ (ບໍ່ແມ່ນຢູ່ໃນບ່ອນເກັບມ້ຽນ matrix ຢ່າງເປັນທາງການ). ລາຍລະອຽດກ່ຽວກັບການ hack ທີສອງມາເຖິງຕອນນັ້ນ ຫາຍ.

ຫຼັງຈາກການ hack ຄັ້ງທໍາອິດໂດຍທີມງານ Matrix, ມັນໄດ້ຖືກຈັດພີມມາ ລາຍງານ, ເຊິ່ງຊີ້ໃຫ້ເຫັນວ່າການ hack ໄດ້ຖືກປະຕິບັດໂດຍຜ່ານຊ່ອງໂຫວ່ໃນລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງຂອງ Jenkins ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງ. ຫຼັງຈາກເຂົ້າເຖິງເຊີບເວີ Jenkins, ຜູ້ໂຈມຕີໄດ້ຂັດຂວາງກະແຈ SSH ແລະສາມາດເຂົ້າເຖິງເຊີບເວີໂຄງສ້າງພື້ນຖານອື່ນໆ. ມັນໄດ້ຖືກລະບຸໄວ້ວ່າລະຫັດແຫຼ່ງແລະຊຸດບໍ່ໄດ້ຮັບຜົນກະທົບຈາກການໂຈມຕີ. ການໂຈມຕີຍັງບໍ່ມີຜົນຕໍ່ເຊີບເວີ Modular.im. ແຕ່ຜູ້ໂຈມຕີໄດ້ຮັບການເຂົ້າເຖິງ DBMS ຕົ້ນຕໍ, ເຊິ່ງປະກອບມີ, ໃນບັນດາສິ່ງອື່ນໆ, ຂໍ້ຄວາມທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ, ການເຂົ້າເຖິງ tokens ແລະລະຫັດລັບ.

ຜູ້ໃຊ້ທັງໝົດໄດ້ຖືກແນະນຳໃຫ້ປ່ຽນລະຫັດຜ່ານຂອງເຂົາເຈົ້າ. ແຕ່ໃນລະຫວ່າງຂະບວນການປ່ຽນລະຫັດຜ່ານຢູ່ໃນລູກຄ້າ Riot ຕົ້ນຕໍ, ຜູ້ໃຊ້ ປະເຊີນຫນ້າ ກັບການສູນເສຍໄຟລ໌ທີ່ມີສໍາເນົາສໍາຮອງຂອງກະແຈສໍາລັບການຟື້ນຟູການຕິດຕໍ່ທີ່ເຂົ້າລະຫັດລັບແລະການບໍ່ສາມາດເຂົ້າເຖິງປະຫວັດຂອງຂໍ້ຄວາມທີ່ຜ່ານມາ.

ໃຫ້ພວກເຮົາເຕືອນທ່ານວ່າແພລະຕະຟອມສໍາລັບການຈັດຕັ້ງການສື່ສານແບບກະຈາຍ ມາຕຣິກເບື້ອງ ຖືກນໍາສະເຫນີເປັນໂຄງການທີ່ໃຊ້ມາດຕະຖານເປີດແລະເອົາໃຈໃສ່ຢ່າງໃຫຍ່ຫຼວງຕໍ່ການຮັບປະກັນຄວາມປອດໄພແລະຄວາມເປັນສ່ວນຕົວຂອງຜູ້ໃຊ້. Matrix ສະຫນອງການເຂົ້າລະຫັດແບບ end-to-end ໂດຍອີງໃສ່ໂປໂຕຄອນຂອງຕົນເອງ, ລວມທັງ Double Ratchet algorithm (ຍັງໃຊ້ເປັນສ່ວນຫນຶ່ງຂອງ Signal protocol), ສະຫນັບສະຫນູນການຊອກຫາແລະການເບິ່ງບໍ່ຈໍາກັດຂອງປະຫວັດການຕິດຕໍ່, ສາມາດນໍາໃຊ້ເພື່ອໂອນໄຟລ໌, ສົ່ງການແຈ້ງເຕືອນ, ປະເມີນ. ການປະກົດຕົວຂອງຜູ້ພັດທະນາອອນໄລນ໌, ການຈັດກອງປະຊຸມທາງໂທລະສັບ, ການໂທສຽງແລະວິດີໂອ. ມັນຍັງສະຫນັບສະຫນູນຄຸນນະສົມບັດແບບພິເສດເຊັ່ນ: ການແຈ້ງເຕືອນການພິມ, ອ່ານການຢືນຢັນ, ຊຸກຍູ້ການແຈ້ງເຕືອນແລະການຊອກຫາຂ້າງເຊີຟເວີ, synchronization ຂອງປະຫວັດລູກຄ້າແລະສະຖານະພາບ, ທາງເລືອກຕົວລະບຸຕ່າງໆ (ອີເມລ໌, ເບີໂທລະສັບ, ບັນຊີ Facebook, ແລະອື່ນໆ).

ເພີ່ມເຕີມ: ເຜີຍແຜ່ໃນ ສືບຕໍ່ດ້ວຍຄໍາອະທິບາຍກ່ຽວກັບການ hack ທີສອງ, ຂໍ້ມູນກ່ຽວກັບການຮົ່ວໄຫລຂອງກະແຈ PGP, ແລະສະພາບລວມຂອງບັນຫາຄວາມປອດໄພທີ່ນໍາໄປສູ່ການ hack ໄດ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru

[:]