De ontwikkelaars van het platform voor gedecentraliseerde berichtenuitwisseling Matrix hebben een noodstop aangekondigd voor de servers van Matrix.org en Riot.im (de belangrijkste client van Matrix) vanwege een hack van de infrastructuur van het project. De eerste stop gebeurde gisteravond, waarna de servers weer operationeel waren en de applicaties opnieuw werden opgebouwd uit de referentie-bronbestanden. Maar enkele minuten geleden werden de servers voor de tweede keer gecompromitteerd.
De aanvallers hebben gedetailleerde informatie geplaatst op de homepage van het project over de serverconfiguratie en gegevens over het bezit van een database met hashes van bijna vijf en een half miljoen gebruikers van Matrix. Als bewijs is de hash van het wachtwoord van de leider van het Matrix-project openbaar gemaakt. De gemodificeerde code van de website is geplaatst in de repository van de aanvallers op GitHub (niet in de officiƫle repository van matrix). Details over de tweede hack zijn nog niet beschikbaar.
Na de eerste hack heeft het team van Matrix een rapport gepubliceerd waarin staat dat de hack plaatsvond via een kwetsbaarheid in een verouderd Jenkins-continuĆÆteitsintegratiesysteem. Na toegang te hebben gekregen tot de server met Jenkins hebben de aanvallers SSH-sleutels onderschept en kregen toegang tot andere servers in de infrastructuur. Er werd verklaard dat de broncode en pakketten niet zijn aangetast als gevolg van de aanval. De aanval heeft ook de servers van Modular.im niet beĆÆnvloed. Maar de aanvallers kregen toegang tot de belangrijkste relationele database, waarin onder andere onversleutelde berichten, toegangstokens en hashes van wachtwoorden zijn opgeslagen.
Alle gebruikers werd opgedragen hun wachtwoorden te wijzigen. Maar tijdens het wijzigen van wachtwoorden in de belangrijkste client Riot kwamen gebruikers problemen tegen met het verdwijnen van bestanden met back-ups van sleutels voor het herstellen van versleutelde berichten en het ontbreken van toegang tot de geschiedenis van eerdere berichten.
Laten we herinneren dat het platform voor het organiseren van gedecentraliseerde communicatie Matrix wordt gepresenteerd als een project dat gebruikmaakt van open standaarden en veel aandacht besteedt aan de waarborging van de veiligheid en privacy van gebruikers. Matrix biedt end-to-end encryptie op basis van het beproefde Signal-algoritme, ondersteunt het doorzoeken en onbeperkt bekijken van chatgeschiedenis, kan worden gebruikt voor het verzenden van bestanden, het versturen van meldingen, het beoordelen van de online aanwezigheid van de ontwikkelaar, het organiseren van teleconferenties en het voeren van spraak- en videogesprekken. Ook worden er geavanceerde functies ondersteund zoals tekstinvoermeldingen, leesbevestigingen, pushmeldingen en server-side zoekopdrachten, synchronisatie van geschiedenis en status van clients, en verschillende varianten van identificatie (e-mail, telefoonnummer, Facebook-account, enz.).
Bron: opennet.ru
