Suicide
12.04.2019, 23:11
Разработчики платформы для децентрализованного обмена сообщениями Matrix объявили (https://twitter.com/matrixdotorg/status/1116304867683905537) об экстренном отключении серверов Matrix.org (http://Matrix.org) и Riot.im (http://Riot.im) (основной клиент Matrix) в связи со взломом инфраструктуры проекта. Первое отключение состоялось вчера вечером, после чего работа серверов была восстановлена (https://twitter.com/matrixdotorg/status/1116517160187248640), а приложения пересобраны из эталонных исходных текстов. Но несколько минут назад серверы были скомпрометированы (https://twitter.com/matrixdotorg/status/1116593380102852608) второй раз.
Атакующие разместили (https://archive.md/SknNR) на главной странице проекта (https://matrix.org/) детальные сведения о конфигурации сервера и данные о наличии у них БД с хэшами почти пяти с половиной миллионов пользователей Matrix. В качестве доказательства в открытом доступе размещён хэш пароля лидера проекта Matrix. Изменённый код сайта размещён (https://github.com/matrixnotorg/matrixnotorg.github.io) в репозитории атакующих на GitHub (не в официальном репозитории matrix). Подробности о втором взломе пока отсутствуют (https://twitter.com/matrixdotorg).
После первого взлома командой Matrix был опубликован отчёт (https://archive.md/JlR6v), в котором указано, что взлом был совершён через уязвимость в необновлённой системе непрерывной интеграции Jenkins. После получения доступа к серверу с Jenkins атакующие перехватили ключи SSH и получили возможность доступа к другим серверам инфраструктуры. Было заявлено, что исходный код и пакеты не пострадали в результате атаки. Атака также не затронула серверы Modular.im. Но атакующие получили доступ к основной СУБД, в которой размещены в том числе незашифрованные сообщения, токены доступа и хэши паролей.
Всем пользователям было предписано сменить пароли. Но в процессе смены паролей в основном клиенте Riot пользователи столкнулись (https://github.com/vector-im/riot-web/issues/9434) с пропаданием файлов с резервными копиями ключей для восстановления шифрованной переписки и невозможности доступа к истории с прошлыми сообщениями.
Напомним, что платформа для организации децентрализованных коммуникаций Matrix (https://github.com/matrix-org) преподносится как проект, использующий открытые стандарты и уделяющий большое внимание обеспечению безопасности и приватности пользователей. Matrix обеспечивает сквозное (end-to-end) шифрование на базе собственного протокола, использующего в том числе алгоритм Double Ratchet (также используемого как часть протокола Signal), поддерживает поиск и неограниченный просмотр истории переписки, может использоваться для передачи файлов, отправки уведомлений, оценки присутствия разработчика в online, организации телеконференций, совершения голосовых и видео звонков. Поддерживаются также такие расширенные возможности как уведомление о наборе текста, подтверждение прочтения, push-уведомления и поиск на стороне сервера, синхронизация истории и состояния клиентов, различные варианты идентификаторов (email, номер телефона, учётная запись в Facebook и т.п.).
Дополнение: Опубликовано (https://www.opennet.ru/opennews/art.shtml?num=50502) продолжение с описанием второго взлома, информацией об утечке PGP-ключей и обзором проблем с безопасностью, которые привели к взлому.
12.04.2019
http://www.opennet.ru/opennews/art.shtml?num=50501
Атакующие разместили (https://archive.md/SknNR) на главной странице проекта (https://matrix.org/) детальные сведения о конфигурации сервера и данные о наличии у них БД с хэшами почти пяти с половиной миллионов пользователей Matrix. В качестве доказательства в открытом доступе размещён хэш пароля лидера проекта Matrix. Изменённый код сайта размещён (https://github.com/matrixnotorg/matrixnotorg.github.io) в репозитории атакующих на GitHub (не в официальном репозитории matrix). Подробности о втором взломе пока отсутствуют (https://twitter.com/matrixdotorg).
После первого взлома командой Matrix был опубликован отчёт (https://archive.md/JlR6v), в котором указано, что взлом был совершён через уязвимость в необновлённой системе непрерывной интеграции Jenkins. После получения доступа к серверу с Jenkins атакующие перехватили ключи SSH и получили возможность доступа к другим серверам инфраструктуры. Было заявлено, что исходный код и пакеты не пострадали в результате атаки. Атака также не затронула серверы Modular.im. Но атакующие получили доступ к основной СУБД, в которой размещены в том числе незашифрованные сообщения, токены доступа и хэши паролей.
Всем пользователям было предписано сменить пароли. Но в процессе смены паролей в основном клиенте Riot пользователи столкнулись (https://github.com/vector-im/riot-web/issues/9434) с пропаданием файлов с резервными копиями ключей для восстановления шифрованной переписки и невозможности доступа к истории с прошлыми сообщениями.
Напомним, что платформа для организации децентрализованных коммуникаций Matrix (https://github.com/matrix-org) преподносится как проект, использующий открытые стандарты и уделяющий большое внимание обеспечению безопасности и приватности пользователей. Matrix обеспечивает сквозное (end-to-end) шифрование на базе собственного протокола, использующего в том числе алгоритм Double Ratchet (также используемого как часть протокола Signal), поддерживает поиск и неограниченный просмотр истории переписки, может использоваться для передачи файлов, отправки уведомлений, оценки присутствия разработчика в online, организации телеконференций, совершения голосовых и видео звонков. Поддерживаются также такие расширенные возможности как уведомление о наборе текста, подтверждение прочтения, push-уведомления и поиск на стороне сервера, синхронизация истории и состояния клиентов, различные варианты идентификаторов (email, номер телефона, учётная запись в Facebook и т.п.).
Дополнение: Опубликовано (https://www.opennet.ru/opennews/art.shtml?num=50502) продолжение с описанием второго взлома, информацией об утечке PGP-ключей и обзором проблем с безопасностью, которые привели к взлому.
12.04.2019
http://www.opennet.ru/opennews/art.shtml?num=50501