I le taimi o le osofaʻiga lona lua, na toe faʻafeiloaʻi le upega tafaʻilagi a le matrix.org i se isi server (matrixnotorg.github.io) e ala i le suia o faʻamaufaʻailoga DNS, faʻaaoga le ki i le Cloudflare content delivery system API na taofia i le taimi muamua o le osofaʻiga. Pe a toe fausia mea o loʻo i totonu o 'auʻaunaga pe a maeʻa le taʻavale muamua, naʻo le pule a le Matrix na faʻafouina ki fou a le tagata lava ia ma misia le faʻafouina o le ki i Cloudflare.
В ходе второй атаки серверы Matrix остались нетронутыми, изменения ограничились только заменой адресов в DNS. В случае если пользователь уже сменил пароль после первой атаки, второй раз его менять не нужно. Но если пароль до сих пор не изменён, его нужно обновить как можно скорее, так как утечка базы с хэшами паролей подтверждена. В настоящий момент планируется инициировать процесс принудительного сброса пароля при следующем входе.
Кроме утечки паролей также подтверждено попадание в руки атаковавших GPG-ключей, используемых для формирования цифровых подписей пакетов в Debian-репозитории Synapse и релизов Riot/Web. Ключи были защищены паролем. В настоящий момент ключи уже отозваны. Ключи были перехвачены 4 апреля, с тех пор обновлений Synapse не выпускалось, но был релиз клиента Riot/Web 1.0.7 (предварительная проверка показала, что он не был скомпрометирован).
Атакующий разместил на GitHub серию отчётов с подробностями атаки и советами по увеличению защиты, но они были удалены. Тем не менее, в архиве отчёты
Например, взломщик сообщил, что разработчикам Matrix следовало
Дополнительно раскритикована практика хранения ключей для создания цифровых подписей на рабочих серверах, для подобных целей следовало бы выделить отдельный изолированный хост. Ещё атакующий
Punaoaopennet.ru
[: en]I le taimi o le osofaʻiga lona lua, na toe faʻafeiloaʻi le upega tafaʻilagi a le matrix.org i se isi server (matrixnotorg.github.io) e ala i le suia o faʻamaufaʻailoga DNS, faʻaaoga le ki i le Cloudflare content delivery system API na taofia i le taimi muamua o le osofaʻiga. Pe a toe fausia mea o loʻo i totonu o 'auʻaunaga pe a maeʻa le taʻavale muamua, naʻo le pule a le Matrix na faʻafouina ki fou a le tagata lava ia ma misia le faʻafouina o le ki i Cloudflare.
В ходе второй атаки серверы Matrix остались нетронутыми, изменения ограничились только заменой адресов в DNS. В случае если пользователь уже сменил пароль после первой атаки, второй раз его менять не нужно. Но если пароль до сих пор не изменён, его нужно обновить как можно скорее, так как утечка базы с хэшами паролей подтверждена. В настоящий момент планируется инициировать процесс принудительного сброса пароля при следующем входе.
Кроме утечки паролей также подтверждено попадание в руки атаковавших GPG-ключей, используемых для формирования цифровых подписей пакетов в Debian-репозитории Synapse и релизов Riot/Web. Ключи были защищены паролем. В настоящий момент ключи уже отозваны. Ключи были перехвачены 4 апреля, с тех пор обновлений Synapse не выпускалось, но был релиз клиента Riot/Web 1.0.7 (предварительная проверка показала, что он не был скомпрометирован).
Атакующий разместил на GitHub серию отчётов с подробностями атаки и советами по увеличению защиты, но они были удалены. Тем не менее, в архиве отчёты
Например, взломщик сообщил, что разработчикам Matrix следовало
Дополнительно раскритикована практика хранения ключей для создания цифровых подписей на рабочих серверах, для подобных целей следовало бы выделить отдельный изолированный хост. Ещё атакующий
puna: opennet.ru
[:]