Matrix.org infrastruktūras pārkāpšana

Matrix decentralizētā ziņojumapmaiņas platformas izstrādātāji paziņoja par steidzamu Matrix.org un Riot.im (galvenais Matrix klients) serveru izslēgšanu, reaģējot uz projekta infrastruktūras uzlaušanu. Pirmais izslēgšanas gadījums notika vakar vakarā, pēc kura serveru darbība tika atjaunota, un lietotnes tika pārveidotas no standarta avota kodiem. Tomēr pirms dažām minūtēm serveri tika kompromitēti otro reizi.

Uzbrucēji publicēja projekta galvenajā lapā detalizētu informāciju par servera konfigurāciju un dati par to, ka viņiem ir datu bāze ar gandrīz pieciem ar pusmiljoniem Matrix lietotāju hash. Kā pierādījums publiskajā pieejamībā tika ievietots Matrix projekta vadītāja parole hash. Modificētais vietnes kods ir pieejams uzbrucēju GitHub repozitorijā (nevis oficiālajā matrix repozitorijā). Sīkāka informācija par otro uzlaušanu vēl nav pieejama.

Pēc pirmā uzlaušanas Matrix komanda publicēja ziņojumu, kurā norādīts, ka uzlaušana tika veikta caur neaizsargātību neaktualizētā Jenkins nepārtrauktās integrācijas sistēmā. Pēc piekļuves iegūšanas serverim no Jenkins uzbrucēji pārņēma SSH atslēgas un ieguva piekļuvi citiem infrastruktūras serveriem. Tika paziņots, ka kods un pakotnes netika bojātas uzbrukuma rezultātā. Uzbrukums arī neaizskāra Modular.im serverus. Tomēr uzbrucēji ieguva piekļuvi galvenajai datu bāzei, kurā ir ne tikai nešifrēti ziņojumi, bet arī piekļuves kodi un paroles hashi.

Visiem lietotājiem tika norādīts mainīt paroles. Tomēr paroles maiņas procesā galvenajā klientā Riot lietotāji saskārās ar problēmām, kad izzuda failu rezerves kopijas, kas nepieciešamas, lai atjaunotu šifrēto saraksti, un piekļuve iepriekšējo ziņojumu vēsturei kļuva neiespējama.

Atgādinām, ka decentralizētu komunikāciju platforma Matrix tiek pasniegta kā projekts, kas izmanto atvērtos standartus un pievērš lielu uzmanību lietotāju drošībai un privātumam. Matrix nodrošina galējo (end-to-end) šifrēšanu, pamatojoties uz pārbaudītu Signal algoritmu, atbalsta meklēšanu un neierobežotu sarakstes vēstures skatīšanu, var tikt izmantota failu pārsūtīšanai, paziņojumu nosūtīšanai, izstrādātāja klātbūtnes novērtēšanai tiešsaistē, tālruņu konferences organizēšanai, balss un video zvanu veikšanai. Tāpat tiek atbalstītas arī tādas paplašinātas iespējas kā teksta ievades paziņojums, lasīšanas apstiprinājums, push paziņojumi un meklēšana servera pusē, vēstures un klientu stāvokļa sinhronizācija, dažādi identifikatori (e-pasts, tālruņa numurs, Facebook konts utt.).

Avots: opennet.lv