Os desenvolvedores da plataforma de mensagens descentralizadas Matrix anunciaram uma interrupção de emergência nos servidores Matrix.org e Riot.im (o cliente principal do Matrix) devido a uma violação da infraestrutura do projeto. A primeira interrupção ocorreu na noite passada, após a qual o funcionamento dos servidores foi restaurado e os aplicativos foram recompilados a partir dos códigos-fonte padrão. No entanto, alguns minutos atrás, os servidores foram comprometidos pela segunda vez.
Os atacantes divulgaram na página principal do projeto informações detalhadas sobre configurações do servidor e dados sobre a posse de um banco de dados contendo hashes de quase cinco milhões e meio de usuários do Matrix. Como prova, foi disponibilizado um hash da senha do líder do projeto Matrix. O código alterado do site foi colocado no repositório dos atacantes no GitHub (não no repositório oficial do matrix). Detalhes sobre a segunda violação ainda estão ausentes.
Após a primeira violação, a equipe do Matrix publicou um relatório onde constava que a invasão foi realizada por meio de uma vulnerabilidade em um sistema de integração contínua Jenkins que não havia sido atualizado. Após obter acesso a servidor o Jenkins, os atacantes interceptaram as chaves SSH e conseguiram acessar outros servidores da infraestrutura. Foi declarado que o código-fonte e os pacotes não foram afetados pela ataque. O ataque também não afetou os servidores da Modular.im. Contudo, os atacantes obtiveram acesso ao banco de dados principal, que contém, entre outros, mensagens não criptografadas, tokens de acesso e hashes de senhas.
Todos os usuários foram instruídos a mudar suas senhas. No entanto, durante o processo de troca de senhas no cliente principal Riot, os usuários enfrentaram a perda de arquivos de backup das chaves para recuperar as mensagens criptografadas e a impossibilidade de acessar o histórico das mensagens anteriores.
Lembramos que a plataforma para organizar comunicações descentralizadas Matrix é apresentada como um projeto que utiliza padrões abertos e dá grande importância à segurança e privacidade dos usuários. O Matrix oferece criptografia de ponta a ponta baseada no algoritmo Signal comprovado, suporta busca e visualização ilimitada do histórico de mensagens, pode ser usado para transferência de arquivos, envio de notificações, avaliação da presença do desenvolvedor online, organização de videoconferências, realização de chamadas de voz e vídeo. Também são suportadas funções avançadas como notificação de digitação, confirmação de leitura, notificações push e busca do lado do servidor, sincronização de histórico e estado dos clientes, várias opções de identificação (email, número de telefone, conta no Facebook, etc.).
Fonte: opennet.ru
