Hakerski napad na infrastrukturu matrix.org

Razvijalci platforme za decentralizirano razmjenjivanje poruka Matrix objavili su hitno isključenje servera Matrix.org i Riot.im (glavni klijent Matrix) zbog hakiranja infrastrukture projekta. Prvo isključenje dogodilo se sinoć, nakon čega je rad servera obnovljen, a aplikacije rekonstruirane iz referentnih izvora. Međutim, prije nekoliko minuta serveri su ponovo kompromitovani.

Napadači su na glavnoj stranici projekta objavili detaljne informacije o konfiguracije strežnika i podatke o postojanju njihove baze podataka s hash-ovima skoro pet i po miliona korisnika Matrixa. Kao dokaz, u javnom pristupu objavljen je hash lozinke vođe projekta Matrix. Izmijenjeni kod stranice postavljen je u repozitorij napadača na GitHubu (ne u službenom repozitoriju matrix). Detalji o drugom hakiranju su trenutno nedostupni.

Nakon prvog hakiranja, tim Matrix je objavio izvještaj u kojem se navodi da je hakiranje izvršeno zbog ranjivosti u neaktualnom sistemu kontinuirane integracije Jenkins. Nakon što su dobili pristup strežniku sa Jenkinsa, napadači su preuzeli SSH ključeve i stekli mogućnost pristupa drugim serverima infrastrukture. Navedeno je da izvorni kod i paketi nisu pretrpjeli štetu tokom napada. Napad takođe nije uticao na servere Modular.im. Međutim, napadači su dobili pristup glavnoj SDB-u, u kojem se nalaze, između ostalog, nešifrirane poruke, tokeni za pristup i hash-ovi lozinki.

Svima korisnicima je naloženo da promijene lozinke. Međutim, tokom promjene lozinki u glavnom klijentu Riot, korisnici su se susreli s nestankom datoteka sa sigurnosnim kopijama ključeva za obnavljanje šifrirane prepiske i nemogućnošću pristupa historiji prethodnih poruka.

Spomnimo, da se platforma za organizacijo decentraliziranih komunikacij Matrix predstavlja kot projekt, ki uporablja odprte standarde ter namenja veliko pozornosti zagotavljanju varnosti in zasebnosti uporabnikov. Matrix omogoča končno (end-to-end) šifriranje na podlagi preverjenega algoritma Signal, podpira iskanje in neomejeno ogledovanje zgodovine klepetanja, uporablja se lahko za prenos datotek, pošiljanje obvestil, ocenjevanje prisotnosti razvijalcev na spletu, organizacijo video konferenc ter izvajanje glasovnih in video klicev. Podpirajo se tudi napredne funkcionalnosti, kot so obvestila o vnosu besedila, potrditev branja, push obvestila in iskanje na strani strežnika, sinhronizacija zgodovine in stanja strank, različne možnosti identifikacij (e-pošta, telefonska številka, račun na Facebooku itd.).

Izvor: opennet.ru