Хакерска инфраструктура matrix.org

[:ru]

Програмери на децентрализираната платформа за пораки Matrix објавија за итно исклучување на серверите Матрикс.org и Немири.im (главниот клиент на Матрикс) поради хакирање на проектната инфраструктура. Првиот прекин се случи синоќа, по што серверите беа недостапни обновен, а апликациите се повторно изградени од референтни извори. Но, пред неколку минути серверите беа компромитиран втор пат.

Напаѓачите објавено на главниот страница на проектот детални информации за конфигурацијата на серверот и податоци за присуство на база на податоци со хашови од речиси пет и пол милиони корисници на Matrix. Како доказ, хашот на лозинката на лидерот на проектот Матрикс е јавно достапен. Променет код на страницата објавено во складиштето GitHub на напаѓачите (не во официјалното складиште со матрица). Детали за второто хакирање досега отсутен.

По првото хакирање од страна на тимот на Матрикс, беше објавено извештај, што укажува дека хакирањето е извршено преку ранливост во неапдејтираниот систем за континуирана интеграција Џенкинс. Откако добиле пристап до серверот Џенкинс, напаѓачите ги пресретнале SSH клучевите и можеле да пристапат до други инфраструктурни сервери. Беше наведено дека изворниот код и пакетите не биле погодени од нападот. Нападот исто така не влијаеше на серверите на Modular.im. Но, напаѓачите добија пристап до главниот DBMS, кој содржи, меѓу другото, нешифрирани пораки, токени за пристап и хашови на лозинки.

Сите корисници добија инструкции да ги променат своите лозинки. Но, за време на процесот на промена на лозинките во главниот клиент на Riot, корисниците соочени со губење на датотеки со резервни копии на клучеви за враќање на шифрирана кореспонденција и неможност за пристап до историјата на минатите пораки.

Да потсетиме дека платформата за организирање децентрализирани комуникации Матрица е претставен како проект кој користи отворени стандарди и посветува големо внимание на обезбедување на безбедноста и приватноста на корисниците. Matrix обезбедува шифрирање од крај до крај врз основа на сопствен протокол, вклучувајќи го и алгоритмот Double Ratchet (исто така се користи како дел од протоколот сигнал), поддржува пребарување и неограничено гледање на историјата на кореспонденција, може да се користи за пренос на датотеки, испраќање известувања, проценка присуство на инвеститорот онлајн, организирање телеконференции, остварување гласовни и видео повици. Исто така, поддржува напредни функции како што се пишување известувања, потврда за читање, притисни известувања и пребарување од страна на серверот, синхронизација на историјата и статусот на клиентот, различни опции за идентификатор (е-пошта, телефонски број, сметка на Facebook итн.).

Додавање: Опубликовано продолжи со опис на вториот хак, информации за протекување на PGP клучеви и преглед на безбедносните проблеми што доведоа до хакирањето.

Изворopennet.ru

[EN]

Програмери на децентрализираната платформа за пораки Matrix објавија за итно исклучување на серверите Матрикс.org и Немири.im (главниот клиент на Матрикс) поради хакирање на проектната инфраструктура. Првиот прекин се случи синоќа, по што серверите беа недостапни обновен, а апликациите се повторно изградени од референтни извори. Но, пред неколку минути серверите беа компромитиран втор пат.

Напаѓачите објавено на главниот страница на проектот детални информации за конфигурацијата на серверот и податоци за присуство на база на податоци со хашови од речиси пет и пол милиони корисници на Matrix. Како доказ, хашот на лозинката на лидерот на проектот Матрикс е јавно достапен. Променет код на страницата објавено во складиштето GitHub на напаѓачите (не во официјалното складиште со матрица). Детали за второто хакирање досега отсутен.

По првото хакирање од страна на тимот на Матрикс, беше објавено извештај, што укажува дека хакирањето е извршено преку ранливост во неапдејтираниот систем за континуирана интеграција Џенкинс. Откако добиле пристап до серверот Џенкинс, напаѓачите ги пресретнале SSH клучевите и можеле да пристапат до други инфраструктурни сервери. Беше наведено дека изворниот код и пакетите не биле погодени од нападот. Нападот исто така не влијаеше на серверите на Modular.im. Но, напаѓачите добија пристап до главниот DBMS, кој содржи, меѓу другото, нешифрирани пораки, токени за пристап и хашови на лозинки.

Сите корисници добија инструкции да ги променат своите лозинки. Но, за време на процесот на промена на лозинките во главниот клиент на Riot, корисниците соочени со губење на датотеки со резервни копии на клучеви за враќање на шифрирана кореспонденција и неможност за пристап до историјата на минатите пораки.

Да потсетиме дека платформата за организирање децентрализирани комуникации Матрица е претставен како проект кој користи отворени стандарди и посветува големо внимание на обезбедување на безбедноста и приватноста на корисниците. Matrix обезбедува шифрирање од крај до крај врз основа на сопствен протокол, вклучувајќи го и алгоритмот Double Ratchet (исто така се користи како дел од протоколот сигнал), поддржува пребарување и неограничено гледање на историјата на кореспонденција, може да се користи за пренос на датотеки, испраќање известувања, проценка присуство на инвеститорот онлајн, организирање телеконференции, остварување гласовни и видео повици. Исто така, поддржува напредни функции како што се пишување известувања, потврда за читање, притисни известувања и пребарување од страна на серверот, синхронизација на историјата и статусот на клиентот, различни опции за идентификатор (е-пошта, телефонски број, сметка на Facebook итн.).

Додавање: Опубликовано продолжи со опис на вториот хак, информации за протекување на PGP клучеви и преглед на безбедносните проблеми што доведоа до хакирањето.

Извор: opennet.ru

[:]