Исходное сообщение
"Взлом инфраструктуры matrix.org" Отправлено opennews, 12-Апр-19 10:52
Разработчики платформы для  децентрализованного обмена сообщениями Matrix объявили (https://twitter.com/matrixdotorg/status/1116304867683905537) об экстренном отключении серверов Matrix.org (http://Matrix.org) и Riot.im (http://Riot.im) (основной клиент Matrix) в связи со взломом инфраструктуры проекта. Первое отключение сосоялось вчера вечером, после чего работа серверов была восстановлена (https://twitter.com/matrixdotorg/status/1116517160187248640), а приложения пересбораны из эталонных исходных текстов. Но несколько минут назад серверы были скомпрометированы (https://twitter.com/matrixdotorg/status/1116593380102852608) второй раз. Атакующие разместили (https://archive.md/SknNR) на главной странице проекта (https://matrix.org/) детальные сведения о конфигурации сервера и данные о наличии у них БД с хэшами почти пяти с половиной милинов пользователей Matrix. В качестве доказательства в открытом доступе размещён хэш пароля лидера проекта Matrix. После первого взлома командой Matrix был опубликован отчёт (https://archive.md/JlR6v), в котором указано, что взлом был совершён через уязвимость в необновлённой системе непрерывной интеграции Jenkins. Всем пользователям было предписано сменить пароли. Но в процессе смены паролей в основном клиенте Riot пользователи выявили (https://github.com/vector-im/riot-web/issues/9434) пропадание файлов с резервными копиями ключей для восстановления шифрованной переписки. Напомним, что платформа для организации децентрализованных коммуникаций Matrix (https://github.com/matrix-org) преподносится как  проект, использующий открытые стандарты и уделяющий большое внимание обеспечению безопасности и приватности пользователей. Matrix обеспечивает оконечное (end-to-end) шифрование на базе проверенного алгоритма Signal, поддерживает поиск и неограниченный просмотр истории переписки, может использоваться для передачи файлов, отправки уведомлений, оценки присутствия разработчика в online,  организации телеконференций, совершения голосовых и видео звонков. Поддерживаются также такие расширенные возможности как уведомление о наборе текста, подтверждение прочтения, push-уведомления и поиск на стороне сервера, синхронизация истории и состояния клиентов, различные варианты идентификаторов (email, номер телефона, учётная запись в Facebook и т.п.). URL: https://twitter.com/matrixdotorg/status/1116304867683905537 Новость: https://www.opennet.ru/opennews/art.shtml?num=50501