Matrix merkezi olmayan mesajlaşma platformunun geliştiricileri sunucuların acil olarak kapatılması hakkında и (Matrix'in ana müşterisi) proje altyapısının hacklenmesi nedeniyle. İlk kesinti dün gece yaşandı ve sonrasında sunucular kullanılamaz hale geldi. ve uygulamalar referans kaynaklarından yeniden oluşturulmuştur. Ancak birkaç dakika önce sunucular ikinci kez.
saldırganlar ana sayfada sunucu konfigürasyonu hakkında ayrıntılı bilgi ve neredeyse beş buçuk milyon Matrix kullanıcısının hash'lerine sahip bir veritabanının varlığına ilişkin veriler. Kanıt olarak, Matrix projesi liderinin şifre karması kamuya açıktır. Site kodu değiştirildi saldırganların GitHub deposunda (resmi matris deposunda değil). Şu ana kadar gerçekleşen ikinci hackle ilgili ayrıntılar .
Matrix ekibinin gerçekleştirdiği ilk hacklemenin ardından yayımlandı Bu, saldırının güncellenmemiş Jenkins sürekli entegrasyon sistemindeki bir güvenlik açığı nedeniyle gerçekleştirildiğini gösteriyor. Saldırganlar, Jenkins sunucusuna erişim sağladıktan sonra SSH anahtarlarını ele geçirdi ve diğer altyapı sunucularına erişmeyi başardı. Kaynak kodu ve paketlerin saldırıdan etkilenmediği belirtildi. Saldırı Modular.im sunucularını da etkilemedi. Ancak saldırganlar, diğer şeylerin yanı sıra şifrelenmemiş mesajları, erişim belirteçlerini ve şifre karmalarını içeren ana DBMS'ye erişim sağladı.
Tüm kullanıcılara şifrelerini değiştirmeleri talimatı verildi. Ancak ana Riot istemcisindeki şifreleri değiştirme işlemi sırasında kullanıcılar şifrelenmiş yazışmaları geri yüklemek için anahtarların yedek kopyalarına sahip dosyaların kaybı ve geçmiş mesajların geçmişine erişilememesi.
Merkezi olmayan iletişimin organize edilmesine yönelik platformun açık standartlar kullanan, kullanıcıların güvenliğinin ve gizliliğinin sağlanmasına büyük önem veren bir proje olarak sunuluyor. Matrix, Double Ratchet algoritması (Signal protokolünün bir parçası olarak da kullanılır) dahil olmak üzere kendi protokolüne dayalı uçtan uca şifreleme sağlar, yazışma geçmişini aramayı ve sınırsız görüntülemeyi destekler, dosyaları aktarmak, bildirim göndermek, değerlendirmek için kullanılabilir geliştiricinin çevrimiçi varlığı, telekonferanslar düzenleme, sesli ve görüntülü aramalar yapma. Ayrıca yazma bildirimleri, okuma onayı, anlık bildirimler ve sunucu tarafı arama, müşteri geçmişi ve durumunun senkronizasyonu, çeşitli tanımlayıcı seçenekler (e-posta, telefon numarası, Facebook hesabı vb.) gibi gelişmiş özellikleri de destekler.
Ek: ikinci hack'in açıklaması, PGP anahtarlarının sızdırılmasıyla ilgili bilgiler ve hack'e yol açan güvenlik sorunlarına genel bir bakışla devam etti.
Kaynakopennet.ru
[En]Matrix merkezi olmayan mesajlaşma platformunun geliştiricileri sunucuların acil olarak kapatılması hakkında и (Matrix'in ana müşterisi) proje altyapısının hacklenmesi nedeniyle. İlk kesinti dün gece yaşandı ve sonrasında sunucular kullanılamaz hale geldi. ve uygulamalar referans kaynaklarından yeniden oluşturulmuştur. Ancak birkaç dakika önce sunucular ikinci kez.
saldırganlar ana sayfada sunucu konfigürasyonu hakkında ayrıntılı bilgi ve neredeyse beş buçuk milyon Matrix kullanıcısının hash'lerine sahip bir veritabanının varlığına ilişkin veriler. Kanıt olarak, Matrix projesi liderinin şifre karması kamuya açıktır. Site kodu değiştirildi saldırganların GitHub deposunda (resmi matris deposunda değil). Şu ana kadar gerçekleşen ikinci hackle ilgili ayrıntılar .
Matrix ekibinin gerçekleştirdiği ilk hacklemenin ardından yayımlandı Bu, saldırının güncellenmemiş Jenkins sürekli entegrasyon sistemindeki bir güvenlik açığı nedeniyle gerçekleştirildiğini gösteriyor. Saldırganlar, Jenkins sunucusuna erişim sağladıktan sonra SSH anahtarlarını ele geçirdi ve diğer altyapı sunucularına erişmeyi başardı. Kaynak kodu ve paketlerin saldırıdan etkilenmediği belirtildi. Saldırı Modular.im sunucularını da etkilemedi. Ancak saldırganlar, diğer şeylerin yanı sıra şifrelenmemiş mesajları, erişim belirteçlerini ve şifre karmalarını içeren ana DBMS'ye erişim sağladı.
Tüm kullanıcılara şifrelerini değiştirmeleri talimatı verildi. Ancak ana Riot istemcisindeki şifreleri değiştirme işlemi sırasında kullanıcılar şifrelenmiş yazışmaları geri yüklemek için anahtarların yedek kopyalarına sahip dosyaların kaybı ve geçmiş mesajların geçmişine erişilememesi.
Merkezi olmayan iletişimin organize edilmesine yönelik platformun açık standartlar kullanan, kullanıcıların güvenliğinin ve gizliliğinin sağlanmasına büyük önem veren bir proje olarak sunuluyor. Matrix, Double Ratchet algoritması (Signal protokolünün bir parçası olarak da kullanılır) dahil olmak üzere kendi protokolüne dayalı uçtan uca şifreleme sağlar, yazışma geçmişini aramayı ve sınırsız görüntülemeyi destekler, dosyaları aktarmak, bildirim göndermek, değerlendirmek için kullanılabilir geliştiricinin çevrimiçi varlığı, telekonferanslar düzenleme, sesli ve görüntülü aramalar yapma. Ayrıca yazma bildirimleri, okuma onayı, anlık bildirimler ve sunucu tarafı arama, müşteri geçmişi ve durumunun senkronizasyonu, çeşitli tanımlayıcı seçenekler (e-posta, telefon numarası, Facebook hesabı vb.) gibi gelişmiş özellikleri de destekler.
Ek: ikinci hack'in açıklaması, PGP anahtarlarının sızdırılmasıyla ilgili bilgiler ve hack'e yol açan güvenlik sorunlarına genel bir bakışla devam etti.
Kaynak: opennet.ru
[:]