दुसऱ्या मॅट्रिक्स हॅकबद्दल तपशील. प्रोजेक्ट GPG की तडजोड केली

[:ru]

प्रकाशित новые तपशील विकेंद्रित मेसेजिंग प्लॅटफॉर्म मॅट्रिक्सच्या पायाभूत सुविधांच्या हॅकिंगबद्दल, ज्याबद्दल नोंदवले सकाळी. समस्याप्रधान दुवा ज्याद्वारे हल्लेखोरांनी प्रवेश केला तो म्हणजे जेनकिन्स सतत एकत्रीकरण प्रणाली, जी 13 मार्च रोजी हॅक झाली. त्यानंतर, जेनकिन्स सर्व्हरवर, एका प्रशासकाचे लॉगिन, एका SSH एजंटने पुनर्निर्देशित केले, ते रोखले गेले आणि 4 एप्रिल रोजी, हल्लेखोरांनी इतर पायाभूत सुविधा सर्व्हरवर प्रवेश मिळवला.

दुसऱ्या हल्ल्यादरम्यान, पहिल्या हल्ल्यादरम्यान रोखलेल्या क्लाउडफ्लेअर सामग्री वितरण प्रणाली API ची की वापरून, DNS पॅरामीटर्स बदलून matrix.org वेबसाइट दुसर्‍या सर्व्हरवर (matrixnotorg.github.io) पुनर्निर्देशित केली गेली. पहिल्या हॅकनंतर सर्व्हरची सामग्री पुन्हा तयार करताना, मॅट्रिक्स प्रशासकांनी फक्त नवीन वैयक्तिक की अद्यतनित केल्या आणि क्लाउडफ्लेअरची की अद्यतनित करणे चुकवले.

दुसऱ्या हल्ल्यादरम्यान, मॅट्रिक्स सर्व्हर अस्पर्शित राहिले; बदल केवळ DNS मधील पत्ते बदलण्यापुरते मर्यादित होते. जर वापरकर्त्याने पहिल्या हल्ल्यानंतर आधीच पासवर्ड बदलला असेल, तर तो दुसऱ्यांदा बदलण्याची गरज नाही. परंतु पासवर्ड अद्याप बदलला नसल्यास, तो शक्य तितक्या लवकर अपडेट करणे आवश्यक आहे, कारण पासवर्ड हॅशसह डेटाबेस लीक झाल्याची पुष्टी झाली आहे. तुम्ही पुढील वेळी लॉग इन कराल तेव्हा सक्तीने पासवर्ड रीसेट करण्याची प्रक्रिया सुरू करण्याची सध्याची योजना आहे.

पासवर्ड लीक होण्याव्यतिरिक्त, हे देखील पुष्टी करण्यात आली आहे की डेबियन सिनॅप्स रिपॉजिटरी आणि दंगल/वेब रिलीझमधील पॅकेजेससाठी डिजिटल स्वाक्षरी तयार करण्यासाठी वापरल्या जाणार्‍या GPG की हल्लेखोरांच्या हाती लागल्या आहेत. की पासवर्ड संरक्षित होत्या. यावेळी की आधीच मागे घेण्यात आल्या आहेत. 4 एप्रिल रोजी कळा रोखल्या गेल्या, तेव्हापासून कोणतेही Synapse अद्यतने जारी केली गेली नाहीत, परंतु Riot/Web क्लायंट 1.0.7 रिलीझ केले गेले (प्राथमिक तपासणीत असे दिसून आले की त्यात तडजोड झाली नाही).

हल्लेखोराने GitHub वर हल्ल्याचे तपशील आणि संरक्षण वाढवण्याच्या टिपांसह अहवालांची मालिका पोस्ट केली, परंतु ते हटविण्यात आले. तथापि, संग्रहित अहवाल संरक्षित.
उदाहरणार्थ, आक्रमणकर्त्याने नोंदवले की मॅट्रिक्स विकसकांनी केले पाहिजे वापरा द्वि-घटक प्रमाणीकरण किंवा किमान SSH एजंट रीडायरेक्शन ("फॉरवर्डएजंट होय") न वापरल्यास, पायाभूत सुविधांमध्ये प्रवेश अवरोधित केला जाईल. विकासकांना केवळ आवश्यक विशेषाधिकार देऊन हल्ल्याची वाढ थांबविली जाऊ शकते, त्याऐवजी पूर्ण रूट प्रवेश सर्व सर्व्हरवर.

याव्यतिरिक्त, उत्पादन सर्व्हरवर डिजिटल स्वाक्षरी तयार करण्यासाठी की संचयित करण्याच्या पद्धतीवर टीका केली गेली; अशा हेतूंसाठी स्वतंत्र पृथक् होस्ट वाटप केले जावे. तरीही हल्ला करत आहे नोंदवले, की जर मॅट्रिक्स डेव्हलपर्सनी नियमितपणे लॉग ऑडिट केले असते आणि विसंगतींचे विश्लेषण केले असते, तर त्यांना हॅकचे ट्रेस लवकर दिसले असते (सीआय हॅक एका महिन्यासाठी सापडला नाही). दुसरी समस्या होते Git मध्ये सर्व कॉन्फिगरेशन फाइल्स संचयित करणे, ज्यामुळे इतर होस्टच्या सेटिंग्जचे मूल्यांकन करणे शक्य झाले जर त्यापैकी एक हॅक झाली असेल. इन्फ्रास्ट्रक्चर सर्व्हरवर SSH द्वारे प्रवेश नव्हते सुरक्षित अंतर्गत नेटवर्कपर्यंत मर्यादित, ज्यामुळे कोणत्याही बाह्य पत्त्यावरून त्यांच्याशी कनेक्ट करणे शक्य झाले.

स्त्रोतopennet.ru

[: इं]

प्रकाशित новые तपशील विकेंद्रित मेसेजिंग प्लॅटफॉर्म मॅट्रिक्सच्या पायाभूत सुविधांच्या हॅकिंगबद्दल, ज्याबद्दल नोंदवले सकाळी. समस्याप्रधान दुवा ज्याद्वारे हल्लेखोरांनी प्रवेश केला तो म्हणजे जेनकिन्स सतत एकत्रीकरण प्रणाली, जी 13 मार्च रोजी हॅक झाली. त्यानंतर, जेनकिन्स सर्व्हरवर, एका प्रशासकाचे लॉगिन, एका SSH एजंटने पुनर्निर्देशित केले, ते रोखले गेले आणि 4 एप्रिल रोजी, हल्लेखोरांनी इतर पायाभूत सुविधा सर्व्हरवर प्रवेश मिळवला.

दुसऱ्या हल्ल्यादरम्यान, पहिल्या हल्ल्यादरम्यान रोखलेल्या क्लाउडफ्लेअर सामग्री वितरण प्रणाली API ची की वापरून, DNS पॅरामीटर्स बदलून matrix.org वेबसाइट दुसर्‍या सर्व्हरवर (matrixnotorg.github.io) पुनर्निर्देशित केली गेली. पहिल्या हॅकनंतर सर्व्हरची सामग्री पुन्हा तयार करताना, मॅट्रिक्स प्रशासकांनी फक्त नवीन वैयक्तिक की अद्यतनित केल्या आणि क्लाउडफ्लेअरची की अद्यतनित करणे चुकवले.

दुसऱ्या हल्ल्यादरम्यान, मॅट्रिक्स सर्व्हर अस्पर्शित राहिले; बदल केवळ DNS मधील पत्ते बदलण्यापुरते मर्यादित होते. जर वापरकर्त्याने पहिल्या हल्ल्यानंतर आधीच पासवर्ड बदलला असेल, तर तो दुसऱ्यांदा बदलण्याची गरज नाही. परंतु पासवर्ड अद्याप बदलला नसल्यास, तो शक्य तितक्या लवकर अपडेट करणे आवश्यक आहे, कारण पासवर्ड हॅशसह डेटाबेस लीक झाल्याची पुष्टी झाली आहे. तुम्ही पुढील वेळी लॉग इन कराल तेव्हा सक्तीने पासवर्ड रीसेट करण्याची प्रक्रिया सुरू करण्याची सध्याची योजना आहे.

पासवर्ड लीक होण्याव्यतिरिक्त, हे देखील पुष्टी करण्यात आली आहे की डेबियन सिनॅप्स रिपॉजिटरी आणि दंगल/वेब रिलीझमधील पॅकेजेससाठी डिजिटल स्वाक्षरी तयार करण्यासाठी वापरल्या जाणार्‍या GPG की हल्लेखोरांच्या हाती लागल्या आहेत. की पासवर्ड संरक्षित होत्या. यावेळी की आधीच मागे घेण्यात आल्या आहेत. 4 एप्रिल रोजी कळा रोखल्या गेल्या, तेव्हापासून कोणतेही Synapse अद्यतने जारी केली गेली नाहीत, परंतु Riot/Web क्लायंट 1.0.7 रिलीझ केले गेले (प्राथमिक तपासणीत असे दिसून आले की त्यात तडजोड झाली नाही).

हल्लेखोराने GitHub वर हल्ल्याचे तपशील आणि संरक्षण वाढवण्याच्या टिपांसह अहवालांची मालिका पोस्ट केली, परंतु ते हटविण्यात आले. तथापि, संग्रहित अहवाल संरक्षित.
उदाहरणार्थ, आक्रमणकर्त्याने नोंदवले की मॅट्रिक्स विकसकांनी केले पाहिजे वापरा द्वि-घटक प्रमाणीकरण किंवा किमान SSH एजंट रीडायरेक्शन ("फॉरवर्डएजंट होय") न वापरल्यास, पायाभूत सुविधांमध्ये प्रवेश अवरोधित केला जाईल. विकासकांना केवळ आवश्यक विशेषाधिकार देऊन हल्ल्याची वाढ थांबविली जाऊ शकते, त्याऐवजी पूर्ण रूट प्रवेश सर्व सर्व्हरवर.

याव्यतिरिक्त, उत्पादन सर्व्हरवर डिजिटल स्वाक्षरी तयार करण्यासाठी की संचयित करण्याच्या पद्धतीवर टीका केली गेली; अशा हेतूंसाठी स्वतंत्र पृथक् होस्ट वाटप केले जावे. तरीही हल्ला करत आहे नोंदवले, की जर मॅट्रिक्स डेव्हलपर्सनी नियमितपणे लॉग ऑडिट केले असते आणि विसंगतींचे विश्लेषण केले असते, तर त्यांना हॅकचे ट्रेस लवकर दिसले असते (सीआय हॅक एका महिन्यासाठी सापडला नाही). दुसरी समस्या होते Git मध्ये सर्व कॉन्फिगरेशन फाइल्स संचयित करणे, ज्यामुळे इतर होस्टच्या सेटिंग्जचे मूल्यांकन करणे शक्य झाले जर त्यापैकी एक हॅक झाली असेल. इन्फ्रास्ट्रक्चर सर्व्हरवर SSH द्वारे प्रवेश नव्हते सुरक्षित अंतर्गत नेटवर्कपर्यंत मर्यादित, ज्यामुळे कोणत्याही बाह्य पत्त्यावरून त्यांच्याशी कनेक्ट करणे शक्य झाले.

स्त्रोत: opennet.ru

[:]