Utviklerne av plattformen for desentralisert melding Matrix kunngjorde en nødstenging av serverne Matrix.org og Riot.im (hovedklienten til Matrix) på grunn av hacking av prosjektinfrastrukturen. Det første strømbruddet fant sted i går kveld, hvoretter serverne ble gjenopprettet og applikasjonene gjenoppbygd fra referansekilder. Men for noen minutter siden ble serverne kompromittert for andre gang.
Angriperne la ut på hovedsiden til prosjektet detaljert informasjon om serverkonfigurasjonen og data om tilstedeværelsen av en database med hashes for nesten fem og en halv million Matrix-brukere. Som bevis er passordhashen til lederen av Matrix-prosjektet offentlig tilgjengelig. Den endrede nettstedskoden legges ut i angripernes depot på GitHub (ikke i det offisielle matriselageret). Detaljer om det andre hacket er ennå ikke tilgjengelig.
Etter det første hacket publiserte Matrix-teamet en rapport som indikerte at hacket ble begått gjennom en sårbarhet i det uoppdaterte Jenkins kontinuerlige integrasjonssystemet. Etter å ha fått tilgang til Jenkins-serveren, fanget angriperne SSH-nøklene og fikk tilgang til andre infrastrukturservere. Det ble opplyst at kildekoden og pakkene ikke ble påvirket av angrepet. Angrepet påvirket heller ikke Modular.im-serverne. Men angriperne fikk tilgang til hoved-DBMS, som blant annet inneholder ukrypterte meldinger, tilgangstokener og passord-hash.
Alle brukere ble bedt om å endre passord. Men i prosessen med å endre passord i hovedklienten til Riot, ble brukere møtt med forsvinningen av filer med sikkerhetskopier av nøkler for å gjenopprette kryptert korrespondanse og manglende evne til å få tilgang til historien til tidligere meldinger.
La oss huske at plattformen for organisering av desentralisert kommunikasjon Matrix presenteres som et prosjekt som bruker åpne standarder og legger stor vekt på å sikre brukernes sikkerhet og personvern. Matrix gir ende-til-ende-kryptering basert på den velprøvde signalalgoritmen, støtter søk og ubegrenset visning av korrespondansehistorikk, kan brukes til å overføre filer, sende varsler, vurdere utviklerens online tilstedeværelse, organisere telekonferanser, foreta tale- og videosamtaler. Den støtter også avanserte funksjoner som å skrive varsler, lesebekreftelse, push-varslinger og søk på serversiden, synkronisering av klienthistorikk og -status, ulike identifikasjonsalternativer (e-post, telefonnummer, Facebook-konto, etc.).
Kilde: opennet.ru