Utvecklarna av plattformen för decentraliserad meddelandeutbyte Matrix har meddelat att de har stÀngt ner servrarna Matrix.org och Riot.im (huvudklienten för Matrix) pÄ grund av en hackning av projektets infrastruktur. Den första nedstÀngningen intrÀffade igÄr kvÀll, efter vilken servrarna ÄterstÀlldes och apparna rekonstruerades frÄn referens kÀllkoder. Men för nÄgra minuter sedan blev servrarna komprometterade igen.
Angriparna publicerade detaljerad information om pÄ projektets huvudsida serverkonfigurationen och data som visar att de har en databas med hashar frÄn nÀstan fem och ett halvt miljoner anvÀndare av Matrix. Som bevis publicerades en hash av lösenordet för projektledaren för Matrix offentligt. Den Àndrade koden för webbplatsen har lagts i angriparnas repository pÄ GitHub (inte i det officiella repositoryt för matrix). Detaljer om den andra hackningen saknas för tillfÀllet.
Efter den första hackningen publicerade Matrix laget en rapport som angav att hackningen utfördes genom en sÄrbarhet i det icke uppdaterade systemet för kontinuerlig integration Jenkins. Efter att ha fÄtt tillgÄng till servern Jenkins fÄngade angriparna SSH-nycklar och fick möjlighet att fÄ tillgÄng till andra servrar i infrastrukturen. Det har rapporterats att kÀllkoden och paketen inte skadades som en följd av attacken. Attacken pÄverkade inte heller servrarna Modular.im. Men angriparna fick Ätkomst till den primÀra databasen, dÀr bland annat okrypterade meddelanden, Ätkomsttokens och hashade lösenord finns.
Alla anvÀndare fick instruktioner att byta lösenord. Men under processen att byta lösenord i huvudsak klienten Riot stötte anvÀndarna pÄ att filer med sÀkerhetskopior av nycklar för att ÄterstÀlla krypterade meddelanden försvann och de kunde inte fÄ tillgÄng till historiken med tidigare meddelanden.
Vi pÄminner om att plattformen för decentraliserad kommunikation, Matrix, presenterar sig som ett projekt som anvÀnder öppna standarder och lÀgger stor vikt vid att sÀkerstÀlla anvÀndarens sÀkerhet och integritet. Matrix tillhandahÄller end-to-end-kryptering baserat pÄ den beprövade Signal-algoritmen, stöder sökning och obegrÀnsad visning av chattloggar, kan anvÀndas för filöverföring, aviseringar, nÀrvarovÀrdering av utvecklare online, organisering av telekonferenser samt genomförande av röst- och videosamtal. Utökade funktioner som avisering om skrivande, lÀskvittnen, push-notiser och serverbaserad sökning, historik- och status-synkronisering för klienter samt olika identifieringsalternativ (e-post, telefonnummer, Facebook-konto, osv.) stöds ocksÄ.
KĂ€lla: opennet.ru
