ਦੂਜੇ ਮੈਟ੍ਰਿਕਸ ਹੈਕ ਬਾਰੇ ਵੇਰਵੇ। ਪ੍ਰੋਜੈਕਟ GPG ਕੁੰਜੀਆਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ

[:ru]

ਪ੍ਰਕਾਸ਼ਿਤ новые ਵੇਰਵੇ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਮੈਸੇਜਿੰਗ ਪਲੇਟਫਾਰਮ ਮੈਟਰਿਕਸ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਹੈਕਿੰਗ ਬਾਰੇ, ਜਿਸ ਬਾਰੇ ਰਿਪੋਰਟ ਕੀਤੀ ਸਵੇਰੇ ਵਿੱਚ. ਸਮੱਸਿਆ ਵਾਲਾ ਲਿੰਕ ਜਿਸ ਰਾਹੀਂ ਹਮਲਾਵਰ ਦਾਖਲ ਹੋਏ, ਉਹ ਸੀ ਜੇਨਕਿੰਸ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ, ਜਿਸ ਨੂੰ 13 ਮਾਰਚ ਨੂੰ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਫਿਰ, ਜੇਨਕਿੰਸ ਸਰਵਰ 'ਤੇ, ਇੱਕ ਪ੍ਰਸ਼ਾਸਕ ਦਾ ਲੌਗਇਨ, ਇੱਕ SSH ਏਜੰਟ ਦੁਆਰਾ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ, ਨੂੰ ਰੋਕਿਆ ਗਿਆ, ਅਤੇ 4 ਅਪ੍ਰੈਲ ਨੂੰ, ਹਮਲਾਵਰਾਂ ਨੇ ਹੋਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਰਵਰਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ।

ਦੂਜੇ ਹਮਲੇ ਦੌਰਾਨ, matrix.org ਵੈੱਬਸਾਈਟ ਨੂੰ ਪਹਿਲੇ ਹਮਲੇ ਦੌਰਾਨ ਰੋਕੇ ਗਏ Cloudflare ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਸਿਸਟਮ API ਦੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, DNS ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਬਦਲ ਕੇ ਕਿਸੇ ਹੋਰ ਸਰਵਰ (matrixnotorg.github.io) 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਪਹਿਲੇ ਹੈਕ ਤੋਂ ਬਾਅਦ ਸਰਵਰਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਵੇਲੇ, ਮੈਟ੍ਰਿਕਸ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੇ ਸਿਰਫ਼ ਨਵੀਆਂ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਅਤੇ Cloudflare ਦੀ ਕੁੰਜੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਖੁੰਝ ਗਏ।

ਦੂਜੇ ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਮੈਟ੍ਰਿਕਸ ਸਰਵਰ ਅਛੂਤੇ ਰਹੇ; ਤਬਦੀਲੀਆਂ ਸਿਰਫ DNS ਵਿੱਚ ਪਤਿਆਂ ਨੂੰ ਬਦਲਣ ਤੱਕ ਸੀਮਿਤ ਸਨ। ਜੇਕਰ ਯੂਜ਼ਰ ਨੇ ਪਹਿਲੇ ਹਮਲੇ ਤੋਂ ਬਾਅਦ ਹੀ ਪਾਸਵਰਡ ਬਦਲ ਲਿਆ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਦੂਜੀ ਵਾਰ ਬਦਲਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਪਰ ਜੇਕਰ ਪਾਸਵਰਡ ਅਜੇ ਤੱਕ ਨਹੀਂ ਬਦਲਿਆ ਗਿਆ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਜਲਦੀ ਤੋਂ ਜਲਦੀ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਕਿਉਂਕਿ ਪਾਸਵਰਡ ਹੈਸ਼ ਵਾਲੇ ਡੇਟਾਬੇਸ ਦੇ ਲੀਕ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ। ਮੌਜੂਦਾ ਯੋਜਨਾ ਅਗਲੀ ਵਾਰ ਲੌਗਇਨ ਕਰਨ 'ਤੇ ਜ਼ਬਰਦਸਤੀ ਪਾਸਵਰਡ ਰੀਸੈਟ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਹੈ।

ਪਾਸਵਰਡਾਂ ਦੇ ਲੀਕ ਹੋਣ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਵੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ ਕਿ ਡੇਬੀਅਨ ਸਿਨੈਪਸ ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਦੰਗਾ/ਵੈੱਬ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਲਈ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ GPG ਕੁੰਜੀਆਂ ਹਮਲਾਵਰਾਂ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਆ ਗਈਆਂ ਹਨ। ਕੁੰਜੀਆਂ ਪਾਸਵਰਡ ਨਾਲ ਸੁਰੱਖਿਅਤ ਸਨ। ਕੁੰਜੀਆਂ ਇਸ ਸਮੇਂ ਪਹਿਲਾਂ ਹੀ ਰੱਦ ਕੀਤੀਆਂ ਜਾ ਚੁੱਕੀਆਂ ਹਨ। ਕੁੰਜੀਆਂ ਨੂੰ 4 ਅਪ੍ਰੈਲ ਨੂੰ ਰੋਕਿਆ ਗਿਆ ਸੀ, ਉਦੋਂ ਤੋਂ ਕੋਈ ਵੀ Synapse ਅੱਪਡੇਟ ਜਾਰੀ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ Riot/Web ਕਲਾਇੰਟ 1.0.7 ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ (ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਜਾਂਚ ਨੇ ਦਿਖਾਇਆ ਕਿ ਇਸ ਨਾਲ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ)।

ਹਮਲਾਵਰ ਨੇ ਹਮਲੇ ਦੇ ਵੇਰਵਿਆਂ ਅਤੇ ਸੁਰੱਖਿਆ ਵਧਾਉਣ ਦੇ ਸੁਝਾਵਾਂ ਦੇ ਨਾਲ GitHub 'ਤੇ ਰਿਪੋਰਟਾਂ ਦੀ ਇੱਕ ਲੜੀ ਪੋਸਟ ਕੀਤੀ, ਪਰ ਉਹਨਾਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ ਗਿਆ। ਹਾਲਾਂਕਿ, ਆਰਕਾਈਵਡ ਰਿਪੋਰਟਾਂ ਸੁਰੱਖਿਅਤ.
ਉਦਾਹਰਨ ਲਈ, ਹਮਲਾਵਰ ਨੇ ਰਿਪੋਰਟ ਕੀਤੀ ਕਿ ਮੈਟ੍ਰਿਕਸ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਚਾਹੀਦਾ ਹੈ ਵਰਤੋਂ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂ ਘੱਟੋ-ਘੱਟ SSH ਏਜੰਟ ਰੀਡਾਇਰੈਕਸ਼ਨ ("ForwardAgent yes") ਦੀ ਵਰਤੋਂ ਨਾ ਕਰਨ, ਤਾਂ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਜਾਵੇਗਾ। ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਸਿਰਫ ਲੋੜੀਂਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੇ ਕੇ ਹਮਲੇ ਦੇ ਵਾਧੇ ਨੂੰ ਰੋਕਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਪੂਰੀ ਰੂਟ ਪਹੁੰਚ ਸਾਰੇ ਸਰਵਰਾਂ 'ਤੇ.

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਪ੍ਰੋਡਕਸ਼ਨ ਸਰਵਰਾਂ 'ਤੇ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਕੁੰਜੀਆਂ ਨੂੰ ਸਟੋਰ ਕਰਨ ਦੇ ਅਭਿਆਸ ਦੀ ਆਲੋਚਨਾ ਕੀਤੀ ਗਈ ਸੀ; ਅਜਿਹੇ ਉਦੇਸ਼ਾਂ ਲਈ ਇੱਕ ਵੱਖਰਾ ਅਲੱਗ ਹੋਸਟ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਜੇ ਵੀ ਹਮਲਾ ਕਰ ਰਿਹਾ ਹੈ ਰਿਪੋਰਟ ਕੀਤੀ, ਕਿ ਜੇਕਰ ਮੈਟ੍ਰਿਕਸ ਡਿਵੈਲਪਰਾਂ ਨੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਲੌਗਸ ਦਾ ਆਡਿਟ ਕੀਤਾ ਹੁੰਦਾ ਅਤੇ ਵਿਗਾੜਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਹੁੰਦਾ, ਤਾਂ ਉਹਨਾਂ ਨੇ ਛੇਤੀ ਹੀ ਹੈਕ ਦੇ ਨਿਸ਼ਾਨ ਦੇਖੇ ਹੋਣਗੇ (ਸੀਆਈ ਹੈਕ ਇੱਕ ਮਹੀਨੇ ਲਈ ਅਣਡਿੱਠ ਕੀਤਾ ਗਿਆ ਸੀ)। ਇੱਕ ਹੋਰ ਸਮੱਸਿਆ ਇਹ ਸੀ Git ਵਿੱਚ ਸਾਰੀਆਂ ਸੰਰਚਨਾ ਫਾਈਲਾਂ ਨੂੰ ਸਟੋਰ ਕਰਨਾ, ਜਿਸ ਨਾਲ ਦੂਜੇ ਮੇਜ਼ਬਾਨਾਂ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਹੈ ਜੇਕਰ ਉਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਰਵਰਾਂ ਤੱਕ SSH ਰਾਹੀਂ ਪਹੁੰਚ ਨਹੀਂ ਸੀ ਇੱਕ ਸੁਰੱਖਿਅਤ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਤੱਕ ਸੀਮਿਤ ਹੈ, ਜਿਸ ਨਾਲ ਕਿਸੇ ਵੀ ਬਾਹਰੀ ਪਤੇ ਤੋਂ ਉਹਨਾਂ ਨਾਲ ਜੁੜਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਹੈ।

ਸਰੋਤopennet.ru

[: en]

ਪ੍ਰਕਾਸ਼ਿਤ новые ਵੇਰਵੇ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਮੈਸੇਜਿੰਗ ਪਲੇਟਫਾਰਮ ਮੈਟਰਿਕਸ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਹੈਕਿੰਗ ਬਾਰੇ, ਜਿਸ ਬਾਰੇ ਰਿਪੋਰਟ ਕੀਤੀ ਸਵੇਰੇ ਵਿੱਚ. ਸਮੱਸਿਆ ਵਾਲਾ ਲਿੰਕ ਜਿਸ ਰਾਹੀਂ ਹਮਲਾਵਰ ਦਾਖਲ ਹੋਏ, ਉਹ ਸੀ ਜੇਨਕਿੰਸ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ, ਜਿਸ ਨੂੰ 13 ਮਾਰਚ ਨੂੰ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਫਿਰ, ਜੇਨਕਿੰਸ ਸਰਵਰ 'ਤੇ, ਇੱਕ ਪ੍ਰਸ਼ਾਸਕ ਦਾ ਲੌਗਇਨ, ਇੱਕ SSH ਏਜੰਟ ਦੁਆਰਾ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ, ਨੂੰ ਰੋਕਿਆ ਗਿਆ, ਅਤੇ 4 ਅਪ੍ਰੈਲ ਨੂੰ, ਹਮਲਾਵਰਾਂ ਨੇ ਹੋਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਰਵਰਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ।

ਦੂਜੇ ਹਮਲੇ ਦੌਰਾਨ, matrix.org ਵੈੱਬਸਾਈਟ ਨੂੰ ਪਹਿਲੇ ਹਮਲੇ ਦੌਰਾਨ ਰੋਕੇ ਗਏ Cloudflare ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਸਿਸਟਮ API ਦੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, DNS ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਬਦਲ ਕੇ ਕਿਸੇ ਹੋਰ ਸਰਵਰ (matrixnotorg.github.io) 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਪਹਿਲੇ ਹੈਕ ਤੋਂ ਬਾਅਦ ਸਰਵਰਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਵੇਲੇ, ਮੈਟ੍ਰਿਕਸ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੇ ਸਿਰਫ਼ ਨਵੀਆਂ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਅਤੇ Cloudflare ਦੀ ਕੁੰਜੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਖੁੰਝ ਗਏ।

ਦੂਜੇ ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਮੈਟ੍ਰਿਕਸ ਸਰਵਰ ਅਛੂਤੇ ਰਹੇ; ਤਬਦੀਲੀਆਂ ਸਿਰਫ DNS ਵਿੱਚ ਪਤਿਆਂ ਨੂੰ ਬਦਲਣ ਤੱਕ ਸੀਮਿਤ ਸਨ। ਜੇਕਰ ਯੂਜ਼ਰ ਨੇ ਪਹਿਲੇ ਹਮਲੇ ਤੋਂ ਬਾਅਦ ਹੀ ਪਾਸਵਰਡ ਬਦਲ ਲਿਆ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਦੂਜੀ ਵਾਰ ਬਦਲਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਪਰ ਜੇਕਰ ਪਾਸਵਰਡ ਅਜੇ ਤੱਕ ਨਹੀਂ ਬਦਲਿਆ ਗਿਆ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਜਲਦੀ ਤੋਂ ਜਲਦੀ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਕਿਉਂਕਿ ਪਾਸਵਰਡ ਹੈਸ਼ ਵਾਲੇ ਡੇਟਾਬੇਸ ਦੇ ਲੀਕ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ। ਮੌਜੂਦਾ ਯੋਜਨਾ ਅਗਲੀ ਵਾਰ ਲੌਗਇਨ ਕਰਨ 'ਤੇ ਜ਼ਬਰਦਸਤੀ ਪਾਸਵਰਡ ਰੀਸੈਟ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਹੈ।

ਪਾਸਵਰਡਾਂ ਦੇ ਲੀਕ ਹੋਣ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਵੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ ਕਿ ਡੇਬੀਅਨ ਸਿਨੈਪਸ ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਦੰਗਾ/ਵੈੱਬ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਲਈ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ GPG ਕੁੰਜੀਆਂ ਹਮਲਾਵਰਾਂ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਆ ਗਈਆਂ ਹਨ। ਕੁੰਜੀਆਂ ਪਾਸਵਰਡ ਨਾਲ ਸੁਰੱਖਿਅਤ ਸਨ। ਕੁੰਜੀਆਂ ਇਸ ਸਮੇਂ ਪਹਿਲਾਂ ਹੀ ਰੱਦ ਕੀਤੀਆਂ ਜਾ ਚੁੱਕੀਆਂ ਹਨ। ਕੁੰਜੀਆਂ ਨੂੰ 4 ਅਪ੍ਰੈਲ ਨੂੰ ਰੋਕਿਆ ਗਿਆ ਸੀ, ਉਦੋਂ ਤੋਂ ਕੋਈ ਵੀ Synapse ਅੱਪਡੇਟ ਜਾਰੀ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ Riot/Web ਕਲਾਇੰਟ 1.0.7 ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ (ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਜਾਂਚ ਨੇ ਦਿਖਾਇਆ ਕਿ ਇਸ ਨਾਲ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ)।

ਹਮਲਾਵਰ ਨੇ ਹਮਲੇ ਦੇ ਵੇਰਵਿਆਂ ਅਤੇ ਸੁਰੱਖਿਆ ਵਧਾਉਣ ਦੇ ਸੁਝਾਵਾਂ ਦੇ ਨਾਲ GitHub 'ਤੇ ਰਿਪੋਰਟਾਂ ਦੀ ਇੱਕ ਲੜੀ ਪੋਸਟ ਕੀਤੀ, ਪਰ ਉਹਨਾਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ ਗਿਆ। ਹਾਲਾਂਕਿ, ਆਰਕਾਈਵਡ ਰਿਪੋਰਟਾਂ ਸੁਰੱਖਿਅਤ.
ਉਦਾਹਰਨ ਲਈ, ਹਮਲਾਵਰ ਨੇ ਰਿਪੋਰਟ ਕੀਤੀ ਕਿ ਮੈਟ੍ਰਿਕਸ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਚਾਹੀਦਾ ਹੈ ਵਰਤੋਂ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂ ਘੱਟੋ-ਘੱਟ SSH ਏਜੰਟ ਰੀਡਾਇਰੈਕਸ਼ਨ ("ForwardAgent yes") ਦੀ ਵਰਤੋਂ ਨਾ ਕਰਨ, ਤਾਂ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਜਾਵੇਗਾ। ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਸਿਰਫ ਲੋੜੀਂਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੇ ਕੇ ਹਮਲੇ ਦੇ ਵਾਧੇ ਨੂੰ ਰੋਕਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਪੂਰੀ ਰੂਟ ਪਹੁੰਚ ਸਾਰੇ ਸਰਵਰਾਂ 'ਤੇ.

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਪ੍ਰੋਡਕਸ਼ਨ ਸਰਵਰਾਂ 'ਤੇ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਕੁੰਜੀਆਂ ਨੂੰ ਸਟੋਰ ਕਰਨ ਦੇ ਅਭਿਆਸ ਦੀ ਆਲੋਚਨਾ ਕੀਤੀ ਗਈ ਸੀ; ਅਜਿਹੇ ਉਦੇਸ਼ਾਂ ਲਈ ਇੱਕ ਵੱਖਰਾ ਅਲੱਗ ਹੋਸਟ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਜੇ ਵੀ ਹਮਲਾ ਕਰ ਰਿਹਾ ਹੈ ਰਿਪੋਰਟ ਕੀਤੀ, ਕਿ ਜੇਕਰ ਮੈਟ੍ਰਿਕਸ ਡਿਵੈਲਪਰਾਂ ਨੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਲੌਗਸ ਦਾ ਆਡਿਟ ਕੀਤਾ ਹੁੰਦਾ ਅਤੇ ਵਿਗਾੜਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਹੁੰਦਾ, ਤਾਂ ਉਹਨਾਂ ਨੇ ਛੇਤੀ ਹੀ ਹੈਕ ਦੇ ਨਿਸ਼ਾਨ ਦੇਖੇ ਹੋਣਗੇ (ਸੀਆਈ ਹੈਕ ਇੱਕ ਮਹੀਨੇ ਲਈ ਅਣਡਿੱਠ ਕੀਤਾ ਗਿਆ ਸੀ)। ਇੱਕ ਹੋਰ ਸਮੱਸਿਆ ਇਹ ਸੀ Git ਵਿੱਚ ਸਾਰੀਆਂ ਸੰਰਚਨਾ ਫਾਈਲਾਂ ਨੂੰ ਸਟੋਰ ਕਰਨਾ, ਜਿਸ ਨਾਲ ਦੂਜੇ ਮੇਜ਼ਬਾਨਾਂ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਹੈ ਜੇਕਰ ਉਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਰਵਰਾਂ ਤੱਕ SSH ਰਾਹੀਂ ਪਹੁੰਚ ਨਹੀਂ ਸੀ ਇੱਕ ਸੁਰੱਖਿਅਤ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਤੱਕ ਸੀਮਿਤ ਹੈ, ਜਿਸ ਨਾਲ ਕਿਸੇ ਵੀ ਬਾਹਰੀ ਪਤੇ ਤੋਂ ਉਹਨਾਂ ਨਾਲ ਜੁੜਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru

[:]