Twórcy zdecentralizowanej platformy przesyłania wiadomości Matrix o awaryjnym wyłączeniu serwerów и (główny klient Matrix) w związku z włamaniem do infrastruktury projektu. Pierwsza awaria miała miejsce wczoraj w nocy, po której serwery przestały działać , a aplikacje są odbudowywane ze źródeł referencyjnych. Ale kilka minut temu serwery były drugi raz.
Atakujący na głównym szczegółowe informacje o konfiguracji serwera oraz dane o obecności bazy danych zawierającej hasze prawie pięciu i pół miliona użytkowników Matrixa. Jako dowód, skrót hasła lidera projektu Matrix jest publicznie dostępny. Zmieniony kod witryny w repozytorium GitHub atakującego (nie w oficjalnym repozytorium matrix). Szczegóły dotyczące drugiego hackowania jak dotąd .
Po pierwszym hackowaniu przez zespół Matrix został opublikowany , co wskazuje, że włamanie zostało dokonane poprzez lukę w niezaktualizowanym systemie ciągłej integracji Jenkins. Po uzyskaniu dostępu do serwera Jenkins napastnicy przechwycili klucze SSH i uzyskali dostęp do innych serwerów infrastruktury. Stwierdzono, że atak nie miał wpływu na kod źródłowy i pakiety. Atak nie wpłynął również na serwery Modular.im. Jednak napastnicy uzyskali dostęp do głównego systemu DBMS, który zawiera między innymi niezaszyfrowane wiadomości, tokeny dostępu i skróty haseł.
Wszystkim użytkownikom polecono zmianę haseł. Jednak podczas zmiany haseł w głównym kliencie Riot użytkownicy z utratą plików z kopiami zapasowymi kluczy do przywracania zaszyfrowanej korespondencji i brakiem możliwości dostępu do historii przeszłych wiadomości.
Przypomnijmy, że platforma do organizowania zdecentralizowanej komunikacji prezentowany jest jako projekt wykorzystujący otwarte standardy i przywiązujący dużą wagę do zapewnienia bezpieczeństwa i prywatności użytkowników. Matrix zapewnia kompleksowe szyfrowanie w oparciu o własny protokół, w tym algorytm Double Ratchet (wykorzystywany również w ramach protokołu Signal), umożliwia wyszukiwanie i nieograniczone przeglądanie historii korespondencji, może służyć do przesyłania plików, wysyłania powiadomień, oceny obecność dewelopera w Internecie, organizowanie telekonferencji, prowadzenie rozmów głosowych i wideo. Obsługuje również zaawansowane funkcje, takie jak powiadomienia o wpisaniu tekstu, potwierdzenie przeczytania, powiadomienia push i wyszukiwanie po stronie serwera, synchronizacja historii i statusu klienta, różne opcje identyfikatora (e-mail, numer telefonu, konto na Facebooku itp.).
Dodanie: kontynuował opis drugiego włamania, informacje o wycieku kluczy PGP oraz przegląd problemów bezpieczeństwa, które doprowadziły do włamania.
źródłoopennet.ru
[Pl]Twórcy zdecentralizowanej platformy przesyłania wiadomości Matrix o awaryjnym wyłączeniu serwerów и (główny klient Matrix) w związku z włamaniem do infrastruktury projektu. Pierwsza awaria miała miejsce wczoraj w nocy, po której serwery przestały działać , a aplikacje są odbudowywane ze źródeł referencyjnych. Ale kilka minut temu serwery były drugi raz.
Atakujący na głównym szczegółowe informacje o konfiguracji serwera oraz dane o obecności bazy danych zawierającej hasze prawie pięciu i pół miliona użytkowników Matrixa. Jako dowód, skrót hasła lidera projektu Matrix jest publicznie dostępny. Zmieniony kod witryny w repozytorium GitHub atakującego (nie w oficjalnym repozytorium matrix). Szczegóły dotyczące drugiego hackowania jak dotąd .
Po pierwszym hackowaniu przez zespół Matrix został opublikowany , co wskazuje, że włamanie zostało dokonane poprzez lukę w niezaktualizowanym systemie ciągłej integracji Jenkins. Po uzyskaniu dostępu do serwera Jenkins napastnicy przechwycili klucze SSH i uzyskali dostęp do innych serwerów infrastruktury. Stwierdzono, że atak nie miał wpływu na kod źródłowy i pakiety. Atak nie wpłynął również na serwery Modular.im. Jednak napastnicy uzyskali dostęp do głównego systemu DBMS, który zawiera między innymi niezaszyfrowane wiadomości, tokeny dostępu i skróty haseł.
Wszystkim użytkownikom polecono zmianę haseł. Jednak podczas zmiany haseł w głównym kliencie Riot użytkownicy z utratą plików z kopiami zapasowymi kluczy do przywracania zaszyfrowanej korespondencji i brakiem możliwości dostępu do historii przeszłych wiadomości.
Przypomnijmy, że platforma do organizowania zdecentralizowanej komunikacji prezentowany jest jako projekt wykorzystujący otwarte standardy i przywiązujący dużą wagę do zapewnienia bezpieczeństwa i prywatności użytkowników. Matrix zapewnia kompleksowe szyfrowanie w oparciu o własny protokół, w tym algorytm Double Ratchet (wykorzystywany również w ramach protokołu Signal), umożliwia wyszukiwanie i nieograniczone przeglądanie historii korespondencji, może służyć do przesyłania plików, wysyłania powiadomień, oceny obecność dewelopera w Internecie, organizowanie telekonferencji, prowadzenie rozmów głosowych i wideo. Obsługuje również zaawansowane funkcje, takie jak powiadomienia o wpisaniu tekstu, potwierdzenie przeczytania, powiadomienia push i wyszukiwanie po stronie serwera, synchronizacja historii i statusu klienta, różne opcje identyfikatora (e-mail, numer telefonu, konto na Facebooku itp.).
Dodanie: kontynuował opis drugiego włamania, informacje o wycieku kluczy PGP oraz przegląd problemów bezpieczeństwa, które doprowadziły do włamania.
Źródło: opennet.ru
[:]