kò sí nipa gige sakasaka ti awọn amayederun ti ipilẹ fifiranšẹ ti a ti sọ di mimọ Matrix, nipa eyiti ni aro. Ọna asopọ iṣoro nipasẹ eyiti awọn ikọlu wọ inu ni eto iṣọpọ lemọlemọfún Jenkins, eyiti o ti gepa ni Oṣu Kẹta Ọjọ 13. Lẹhinna, lori olupin Jenkins, iwọle ti ọkan ninu awọn alakoso, ti o darí nipasẹ aṣoju SSH kan, ni idilọwọ, ati ni Oṣu Kẹrin Ọjọ 4, awọn ikọlu naa ni iraye si awọn olupin amayederun miiran.
Lakoko ikọlu keji, oju opo wẹẹbu matrix.org ni a darí si olupin miiran (matrixnotorg.github.io) nipa yiyipada awọn paramita DNS, lilo bọtini si eto ifijiṣẹ akoonu akoonu Cloudflare API intercepted lakoko ikọlu akọkọ. Nigbati atunko awọn akoonu ti awọn olupin lẹhin gige akọkọ, awọn alabojuto Matrix ṣe imudojuiwọn awọn bọtini ti ara ẹni tuntun nikan ati padanu mimudojuiwọn bọtini si Cloudflare.
Lakoko ikọlu keji, awọn olupin Matrix ko fọwọkan; awọn ayipada ni opin nikan si rirọpo awọn adirẹsi ni DNS. Ti olumulo ba ti yi ọrọ igbaniwọle pada tẹlẹ lẹhin ikọlu akọkọ, ko si iwulo lati yi pada ni akoko keji. Ṣugbọn ti ọrọ igbaniwọle ko ba ti yipada, o nilo lati ni imudojuiwọn ni kete bi o ti ṣee, nitori jijo data pẹlu awọn hashes ọrọ igbaniwọle ti jẹrisi. Eto lọwọlọwọ ni lati pilẹṣẹ ilana atunto ọrọ igbaniwọle fi agbara mu nigbamii ti o wọle.
Ni afikun si jijo ti awọn ọrọ igbaniwọle, o tun ti jẹrisi pe awọn bọtini GPG ti a lo lati ṣe ipilẹṣẹ awọn ibuwọlu oni nọmba fun awọn idii ni ibi ipamọ Debian Synapse ati awọn idasilẹ Riot/Web ti ṣubu si ọwọ awọn ikọlu naa. Awọn bọtini ni aabo ọrọigbaniwọle. Awọn bọtini ti a ti fagile tẹlẹ ni akoko yii. Awọn bọtini ti wa ni idilọwọ ni Oṣu Kẹrin Ọjọ 4, lati igba naa ko si awọn imudojuiwọn Synapse ti a ti tu silẹ, ṣugbọn olubara Riot/Web 1.0.7 ti tu silẹ (ṣayẹwo alakoko fihan pe ko ṣe adehun).
Olukọni naa fi awọn iroyin lọpọlọpọ sori GitHub pẹlu awọn alaye ti ikọlu ati awọn imọran fun jijẹ aabo, ṣugbọn wọn paarẹ. Sibẹsibẹ, awọn iroyin ti o ti fipamọ .
Fun apẹẹrẹ, ikọlu naa royin pe awọn olupilẹṣẹ Matrix yẹ Ijeri ifosiwewe meji tabi o kere ju kii ṣe lilo atunṣe aṣoju SSH (“ForwardAgent bẹẹni”), lẹhinna titẹ sii sinu awọn amayederun yoo dina. Ilọsiwaju ikọlu naa tun le da duro nipa fifun awọn olupilẹṣẹ nikan awọn anfani pataki, kuku ju lori gbogbo olupin.
Ni afikun, iṣe ti fifipamọ awọn bọtini fun ṣiṣẹda awọn ibuwọlu oni nọmba lori awọn olupin iṣelọpọ ni a ṣofintoto; ogun ti o ya sọtọ yẹ ki o pin fun iru awọn idi bẹẹ. Si tun kọlu , ti o ba ti Matrix Difelopa ti deede audited àkọọlẹ ati atupale asemase, won yoo ti woye awọn itọpa ti a gige ni kutukutu (awọn CI gige lọ lai ri fun osu kan). Iṣoro miiran titoju gbogbo awọn faili iṣeto ni Git, eyiti o jẹ ki o ṣee ṣe lati ṣe iṣiro awọn eto ti awọn ọmọ-ogun miiran ti ọkan ninu wọn ba ti gepa. Wiwọle nipasẹ SSH si awọn olupin amayederun ni opin si nẹtiwọki inu ti o ni aabo, eyiti o jẹ ki o ṣee ṣe lati sopọ si wọn lati eyikeyi adirẹsi ita.
Orisunopennet.ru
[: en]kò sí nipa gige sakasaka ti awọn amayederun ti ipilẹ fifiranšẹ ti a ti sọ di mimọ Matrix, nipa eyiti ni aro. Ọna asopọ iṣoro nipasẹ eyiti awọn ikọlu wọ inu ni eto iṣọpọ lemọlemọfún Jenkins, eyiti o ti gepa ni Oṣu Kẹta Ọjọ 13. Lẹhinna, lori olupin Jenkins, iwọle ti ọkan ninu awọn alakoso, ti o darí nipasẹ aṣoju SSH kan, ni idilọwọ, ati ni Oṣu Kẹrin Ọjọ 4, awọn ikọlu naa ni iraye si awọn olupin amayederun miiran.
Lakoko ikọlu keji, oju opo wẹẹbu matrix.org ni a darí si olupin miiran (matrixnotorg.github.io) nipa yiyipada awọn paramita DNS, lilo bọtini si eto ifijiṣẹ akoonu akoonu Cloudflare API intercepted lakoko ikọlu akọkọ. Nigbati atunko awọn akoonu ti awọn olupin lẹhin gige akọkọ, awọn alabojuto Matrix ṣe imudojuiwọn awọn bọtini ti ara ẹni tuntun nikan ati padanu mimudojuiwọn bọtini si Cloudflare.
Lakoko ikọlu keji, awọn olupin Matrix ko fọwọkan; awọn ayipada ni opin nikan si rirọpo awọn adirẹsi ni DNS. Ti olumulo ba ti yi ọrọ igbaniwọle pada tẹlẹ lẹhin ikọlu akọkọ, ko si iwulo lati yi pada ni akoko keji. Ṣugbọn ti ọrọ igbaniwọle ko ba ti yipada, o nilo lati ni imudojuiwọn ni kete bi o ti ṣee, nitori jijo data pẹlu awọn hashes ọrọ igbaniwọle ti jẹrisi. Eto lọwọlọwọ ni lati pilẹṣẹ ilana atunto ọrọ igbaniwọle fi agbara mu nigbamii ti o wọle.
Ni afikun si jijo ti awọn ọrọ igbaniwọle, o tun ti jẹrisi pe awọn bọtini GPG ti a lo lati ṣe ipilẹṣẹ awọn ibuwọlu oni nọmba fun awọn idii ni ibi ipamọ Debian Synapse ati awọn idasilẹ Riot/Web ti ṣubu si ọwọ awọn ikọlu naa. Awọn bọtini ni aabo ọrọigbaniwọle. Awọn bọtini ti a ti fagile tẹlẹ ni akoko yii. Awọn bọtini ti wa ni idilọwọ ni Oṣu Kẹrin Ọjọ 4, lati igba naa ko si awọn imudojuiwọn Synapse ti a ti tu silẹ, ṣugbọn olubara Riot/Web 1.0.7 ti tu silẹ (ṣayẹwo alakoko fihan pe ko ṣe adehun).
Olukọni naa fi awọn iroyin lọpọlọpọ sori GitHub pẹlu awọn alaye ti ikọlu ati awọn imọran fun jijẹ aabo, ṣugbọn wọn paarẹ. Sibẹsibẹ, awọn iroyin ti o ti fipamọ .
Fun apẹẹrẹ, ikọlu naa royin pe awọn olupilẹṣẹ Matrix yẹ Ijeri ifosiwewe meji tabi o kere ju kii ṣe lilo atunṣe aṣoju SSH (“ForwardAgent bẹẹni”), lẹhinna titẹ sii sinu awọn amayederun yoo dina. Ilọsiwaju ikọlu naa tun le da duro nipa fifun awọn olupilẹṣẹ nikan awọn anfani pataki, kuku ju lori gbogbo olupin.
Ni afikun, iṣe ti fifipamọ awọn bọtini fun ṣiṣẹda awọn ibuwọlu oni nọmba lori awọn olupin iṣelọpọ ni a ṣofintoto; ogun ti o ya sọtọ yẹ ki o pin fun iru awọn idi bẹẹ. Si tun kọlu , ti o ba ti Matrix Difelopa ti deede audited àkọọlẹ ati atupale asemase, won yoo ti woye awọn itọpa ti a gige ni kutukutu (awọn CI gige lọ lai ri fun osu kan). Iṣoro miiran titoju gbogbo awọn faili iṣeto ni Git, eyiti o jẹ ki o ṣee ṣe lati ṣe iṣiro awọn eto ti awọn ọmọ-ogun miiran ti ọkan ninu wọn ba ti gepa. Wiwọle nipasẹ SSH si awọn olupin amayederun ni opin si nẹtiwọki inu ti o ni aabo, eyiti o jẹ ki o ṣee ṣe lati sopọ si wọn lati eyikeyi adirẹsi ita.
orisun: opennet.ru
[:]