दोस्रो म्याट्रिक्स ह्याकको बारेमा विवरण। परियोजना GPG कुञ्जीहरू सम्झौता गरियो

[:en]

प्रकाशित новые विवरण म्याट्रिक्स विकेन्द्रीकृत सन्देश प्लेटफर्मको पूर्वाधार ह्याक गर्ने बारे, जसको बारेमा रिपोर्ट गरियो बिहानी पख। समस्याग्रस्त लिङ्क जसको माध्यमबाट आक्रमणकारीहरूले प्रवेश गरे, जेन्किन्स निरन्तर एकीकरण प्रणाली थियो, जुन मार्च 13 मा ह्याक गरिएको थियो। त्यसपछि, जेन्किन्सको साथ सर्भरमा, SSH एजेन्टद्वारा पुन: निर्देशित प्रशासकहरू मध्ये एकको लगइन रोकियो, र अप्रिल 4 मा, आक्रमणकारीहरूले अन्य पूर्वाधार सर्भरहरूमा पहुँच प्राप्त गरे।

दोस्रो आक्रमणको क्रममा, matrix.org साइटलाई DNS सेटिङहरू परिवर्तन गरेर अर्को सर्भर (matrixnotorg.github.io) मा रिडिरेक्ट गरिएको थियो, पहिलो आक्रमणको बेला अवरोध गरिएको Cloudflare सामग्री वितरण प्रणाली API को कुञ्जी प्रयोग गरेर। पहिलो ह्याक पछि सर्भरको सामग्री पुन: निर्माण गर्दा, म्याट्रिक्स प्रशासकहरूले नयाँ व्यक्तिगत कुञ्जीहरू मात्र अपडेट गरे र Cloudflare मा कुञ्जी अद्यावधिक गर्न छुटे।

दोस्रो आक्रमणको समयमा, म्याट्रिक्स सर्भरहरू अछुतो रहे, परिवर्तनहरू केवल DNS मा ठेगानाहरूको प्रतिस्थापनमा सीमित थिए। यदि प्रयोगकर्ताले पहिलो आक्रमण पछि पासवर्ड परिवर्तन गरिसकेका छन् भने, दोस्रो पटक परिवर्तन गर्न आवश्यक छैन। तर यदि पासवर्ड अझै परिवर्तन गरिएको छैन भने, यसलाई सकेसम्म चाँडो अद्यावधिक गर्नुपर्छ, किनकि पासवर्ड ह्यासहरूसँग डाटाबेसको चुहावट पुष्टि भएको छ। हामी हाल अर्को लगइनमा पासवर्ड रिसेट प्रक्रिया बलियो बनाउने योजनामा ​​छौं।

पासवर्ड चुहावटको अतिरिक्त, Debian Synapse भण्डार र Riot/Web रिलीजहरूमा प्याकेजहरूको लागि डिजिटल हस्ताक्षरहरू उत्पन्न गर्न प्रयोग गरिने GPG कुञ्जीहरू पनि आक्रमणकारीहरूको हातमा परेको पुष्टि भएको छ। कुञ्जीहरू पासवर्ड सुरक्षित थिए। हाल, कुञ्जीहरू पहिले नै रद्द गरिएको छ। कुञ्जीहरू अप्रिल 4 मा रोकिएका थिए, त्यसबेलादेखि कुनै पनि Synapse अद्यावधिकहरू जारी गरिएको छैन, तर त्यहाँ Riot/Web 1.0.7 क्लाइन्टको रिलीज भएको थियो (एक प्रारम्भिक जाँचले देखाएको छ कि यो सम्झौता गरिएको थिएन)।

आक्रमणकारीले GitHub मा आक्रमणको विवरण र सुरक्षा बढाउनका लागि सुझावहरूको साथ रिपोर्टहरूको श्रृंखला पोस्ट गर्यो, तर ती हटाइएका छन्। यद्यपि, अभिलेखित रिपोर्टहरू बाँचे.
उदाहरणका लागि, क्र्याकरले रिपोर्ट गरेको छ कि म्याट्रिक्सका विकासकर्ताहरू हुनुपर्छ प्रयोग गर्नुहोस् दुई-कारक प्रमाणीकरण, वा कम्तिमा SSH एजेन्ट पुनर्निर्देशन ("ForwardAgent yes") को प्रयोग नगर्ने, त्यसपछि पूर्वाधारमा प्रवेश अवरुद्ध हुनेछ। विकासकर्ताहरूलाई आवश्यक विशेषाधिकारहरू मात्र दिएर आक्रमणको वृद्धिलाई रोक्न सकिन्छ, सट्टा पूर्ण रूट पहुँच सबै सर्भरहरूमा।

थप रूपमा, उत्पादन सर्भरहरूमा डिजिटल हस्ताक्षरहरू सिर्जना गर्न कुञ्जीहरू भण्डारण गर्ने अभ्यासको आलोचना गरिएको छ; त्यस्ता उद्देश्यहरूको लागि, छुट्टै पृथक होस्ट आवंटित गरिनु पर्छ। अझै हमला गरिरहेकै छ रिपोर्ट गरियोकि यदि म्याट्रिक्स विकासकर्ताहरूले लगहरू नियमित रूपमा लेखापरीक्षण गरे र विसंगतिहरू विश्लेषण गरे भने, तिनीहरूले प्रारम्भिक चरणमा ह्याकको ट्रेसहरू देखेका थिए (सीआई ह्याक पूरै महिनाको लागि बेवास्ता भयो)। अर्को समस्या यो थियो Git मा सबै कन्फिगरेसन फाइलहरू भण्डारण गर्दै, जसले अन्य होस्टहरूको सेटिङहरू मूल्याङ्कन गर्न सम्भव बनायो जब तिनीहरू मध्ये एक ह्याक भयो। पूर्वाधार सर्भरहरूमा SSH पहुँच थिएन एक सुरक्षित आन्तरिक नेटवर्कमा सीमित, जसले तपाईंलाई कुनै पनि बाह्य ठेगानाबाट उनीहरूसँग जडान गर्न अनुमति दियो।

स्रोतopennet.ru

[एन]

प्रकाशित новые विवरण म्याट्रिक्स विकेन्द्रीकृत सन्देश प्लेटफर्मको पूर्वाधार ह्याक गर्ने बारे, जसको बारेमा रिपोर्ट गरियो बिहानी पख। समस्याग्रस्त लिङ्क जसको माध्यमबाट आक्रमणकारीहरूले प्रवेश गरे, जेन्किन्स निरन्तर एकीकरण प्रणाली थियो, जुन मार्च 13 मा ह्याक गरिएको थियो। त्यसपछि, जेन्किन्सको साथ सर्भरमा, SSH एजेन्टद्वारा पुन: निर्देशित प्रशासकहरू मध्ये एकको लगइन रोकियो, र अप्रिल 4 मा, आक्रमणकारीहरूले अन्य पूर्वाधार सर्भरहरूमा पहुँच प्राप्त गरे।

दोस्रो आक्रमणको क्रममा, matrix.org साइटलाई DNS सेटिङहरू परिवर्तन गरेर अर्को सर्भर (matrixnotorg.github.io) मा रिडिरेक्ट गरिएको थियो, पहिलो आक्रमणको बेला अवरोध गरिएको Cloudflare सामग्री वितरण प्रणाली API को कुञ्जी प्रयोग गरेर। पहिलो ह्याक पछि सर्भरको सामग्री पुन: निर्माण गर्दा, म्याट्रिक्स प्रशासकहरूले नयाँ व्यक्तिगत कुञ्जीहरू मात्र अपडेट गरे र Cloudflare मा कुञ्जी अद्यावधिक गर्न छुटे।

दोस्रो आक्रमणको समयमा, म्याट्रिक्स सर्भरहरू अछुतो रहे, परिवर्तनहरू केवल DNS मा ठेगानाहरूको प्रतिस्थापनमा सीमित थिए। यदि प्रयोगकर्ताले पहिलो आक्रमण पछि पासवर्ड परिवर्तन गरिसकेका छन् भने, दोस्रो पटक परिवर्तन गर्न आवश्यक छैन। तर यदि पासवर्ड अझै परिवर्तन गरिएको छैन भने, यसलाई सकेसम्म चाँडो अद्यावधिक गर्नुपर्छ, किनकि पासवर्ड ह्यासहरूसँग डाटाबेसको चुहावट पुष्टि भएको छ। हामी हाल अर्को लगइनमा पासवर्ड रिसेट प्रक्रिया बलियो बनाउने योजनामा ​​छौं।

पासवर्ड चुहावटको अतिरिक्त, Debian Synapse भण्डार र Riot/Web रिलीजहरूमा प्याकेजहरूको लागि डिजिटल हस्ताक्षरहरू उत्पन्न गर्न प्रयोग गरिने GPG कुञ्जीहरू पनि आक्रमणकारीहरूको हातमा परेको पुष्टि भएको छ। कुञ्जीहरू पासवर्ड सुरक्षित थिए। हाल, कुञ्जीहरू पहिले नै रद्द गरिएको छ। कुञ्जीहरू अप्रिल 4 मा रोकिएका थिए, त्यसबेलादेखि कुनै पनि Synapse अद्यावधिकहरू जारी गरिएको छैन, तर त्यहाँ Riot/Web 1.0.7 क्लाइन्टको रिलीज भएको थियो (एक प्रारम्भिक जाँचले देखाएको छ कि यो सम्झौता गरिएको थिएन)।

आक्रमणकारीले GitHub मा आक्रमणको विवरण र सुरक्षा बढाउनका लागि सुझावहरूको साथ रिपोर्टहरूको श्रृंखला पोस्ट गर्यो, तर ती हटाइएका छन्। यद्यपि, अभिलेखित रिपोर्टहरू बाँचे.
उदाहरणका लागि, क्र्याकरले रिपोर्ट गरेको छ कि म्याट्रिक्सका विकासकर्ताहरू हुनुपर्छ प्रयोग गर्नुहोस् दुई-कारक प्रमाणीकरण, वा कम्तिमा SSH एजेन्ट पुनर्निर्देशन ("ForwardAgent yes") को प्रयोग नगर्ने, त्यसपछि पूर्वाधारमा प्रवेश अवरुद्ध हुनेछ। विकासकर्ताहरूलाई आवश्यक विशेषाधिकारहरू मात्र दिएर आक्रमणको वृद्धिलाई रोक्न सकिन्छ, सट्टा पूर्ण रूट पहुँच सबै सर्भरहरूमा।

थप रूपमा, उत्पादन सर्भरहरूमा डिजिटल हस्ताक्षरहरू सिर्जना गर्न कुञ्जीहरू भण्डारण गर्ने अभ्यासको आलोचना गरिएको छ; त्यस्ता उद्देश्यहरूको लागि, छुट्टै पृथक होस्ट आवंटित गरिनु पर्छ। अझै हमला गरिरहेकै छ रिपोर्ट गरियोकि यदि म्याट्रिक्स विकासकर्ताहरूले लगहरू नियमित रूपमा लेखापरीक्षण गरे र विसंगतिहरू विश्लेषण गरे भने, तिनीहरूले प्रारम्भिक चरणमा ह्याकको ट्रेसहरू देखेका थिए (सीआई ह्याक पूरै महिनाको लागि बेवास्ता भयो)। अर्को समस्या यो थियो Git मा सबै कन्फिगरेसन फाइलहरू भण्डारण गर्दै, जसले अन्य होस्टहरूको सेटिङहरू मूल्याङ्कन गर्न सम्भव बनायो जब तिनीहरू मध्ये एक ह्याक भयो। पूर्वाधार सर्भरहरूमा SSH पहुँच थिएन एक सुरक्षित आन्तरिक नेटवर्कमा सीमित, जसले तपाईंलाई कुनै पनि बाह्य ठेगानाबाट उनीहरूसँग जडान गर्न अनुमति दियो।

स्रोत: opennet.ru

[:]