Dezvoltatorii platformei de mesagerie descentralizată Matrix au anunțat oprirea de urgență a serverelor Matrix.org și Riot.im (clientul principal Matrix) din cauza unei breșe de securitate în infrastructura proiectului. Prima oprire a avut loc ieri seară, după care funcționarea serverelor a fost restabilită, iar aplicațiile au fost recompilate din codul sursă standard. Totuși, cu câteva minute în urmă, serverele au fost compromise pentru a doua oară.
Atacatorii au plasat pe pagina principală a proiectului informații detaliate despre al configurației serverului și datele privind existența unei baze de date cu hash-uri pentru aproape cinci milioane și jumătate de utilizatori Matrix. Ca dovadă, a fost postat public hash-ul parolei liderului proiectului Matrix. Codul modificat al site-ului a fost publicat în depozitul atacatorilor de pe GitHub (nu în depozitul oficial matrix). Detalii despre a doua breșă de securitate lipsesc în prezent.
După prima breșă, echipa Matrix a publicat un raport în care se menționează că atacul a fost realizat printr-o vulnerabilitate în sistemul de integrare continuă Jenkins, care nu fusese actualizat. După obținerea accesului la server sistemul Jenkins, atacatorii au interceptat cheile SSH și au obținut acces la alte servere din infrastructură. S-a declarat că codul sursă și pachetele nu au fost afectate în urma atacului. Atacul nu a avut impact asupra serverelor Modular.im. Însă atacatorii au obținut acces la baza de date principală, care conține inclusiv mesaje necriptate, token-uri de acces și hash-uri ale parolilor.
Toți utilizatorii au fost instruiți să își schimbe parolele. Însă, în timpul schimbării parolilor în clientul principal Riot, utilizatorii s-au confruntat cu dispariția fișierelor de rezervă ale cheilor pentru recuperarea mesajelor criptate și imposibilitatea de a accesa istoricul mesajelor anterioare.
Amintim că platforma pentru organizarea comunicărilor descentralizate Matrix se prezintă ca un proiect care utilizează standarde deschise și acordă o mare atenție asigurării securității și confidențialității utilizatorilor. Matrix oferă criptare end-to-end bazată pe algoritmul testat Signal, susține căutarea și vizualizarea nelimitată a istoriei conversațiilor, putând fi utilizat pentru transferul fișierelor, trimiterea de notificări, evaluarea prezenței dezvoltatorului online, organizarea videoconferințelor și efectuarea apelurilor vocale și video. De asemenea, sunt suportate funcționalități avansate precum notificarea despre introducerea de text, confirmarea citirii, notificările push și căutarea pe server, sincronizarea istoriei și stării clienților, diverse opțiuni de identificare (email, număr de telefon, cont de Facebook etc.).
Sursa: opennet.ro
