Власть, над которой безнаказанно глумятся, близка к гибели.

- Хочу такую работу как у Деда Мороза! Сутки через 364... ...

Проект по формированию базы поддерживаемого оборудования для BSD-систем
Mon, 25 May 2020 11:02:04 +0300

Линус Торвальдс перешёл с Intel на AMD на своей основной системе
Mon, 25 May 2020 10:14:10 +0300

70% проблем с безопасностью в Chromium вызваны ошибками при работе с памятью
Sun, 24 May 2020 13:12:50 +0300

Детские online-соревнования по Linux
Sat, 23 May 2020 23:37:04 +0300

Создатели WordPress инвестировали $4.6 млн в компанию, развивающую Matrix-клиент Riot
Fri, 22 May 2020 10:59:49 +0300

Патентное разбирательство против GNOME прекращено
Thu, 21 May 2020 18:51:53 +0300

Electronic Arts откроет код новой редакции игр Command & Conquer: Tiberian Dawn и Red Alert
Thu, 21 May 2020 10:14:54 +0300

Microsoft представил фреймворк MAUI, создав конфликт имён с проектами Maui и Maui Linux
Wed, 20 May 2020 10:25:54 +0300

Microsoft реализует в WSL доступ к GPU и запуск графических приложений Linux
Tue, 19 May 2020 18:37:17 +0300

Президент Microsoft признал, что ошибался в своём отношении к открытому ПО
Tue, 19 May 2020 09:08:49 +0300

В Firefox 84 намечено удаление кода для поддержки Adobe Flash
Sun, 17 May 2020 09:17:00 +0300

В ночные сборки Firefox внесены спорные изменения в интерфейс режима читателя
Sat, 16 May 2020 09:57:35 +0300

Mozilla отключила дополнительную аутентификацию для систем без мастер-пароля
Sat, 16 May 2020 09:09:46 +0300

Chrome начнёт блокировать ресурсоёмкую рекламу
Thu, 14 May 2020 20:26:07 +0300

Павел Дуров объявил о прекращении разработки блокчейн-платформы TON
Wed, 13 May 2020 09:41:49 +0300

Новости OPENNET
Новости

Опубликованы новые подробности про взлом инфраструктуры децентрализованной платформы обмена сообщениями Matrix, о котором сообщалось утром. Проблемным звеном, через которое проникли атакующие была система непрерывной интеграции Jenkins, которая была взломана ещё 13 марта. Затем на сервере c Jenkins был перехвачен перенаправленный SSH-агентом вход одного из администраторов и 4 апреля атакующие получили доступ к другим серверам инфраструктуры.

При второй атаке сайт matrix.org был перенаправлен на другой сервер (matrixnotorg.github.io) через изменение параметров DNS, используя перехваченный при первой атаке ключ к API системы доставки контента Сloudflare. При пересборке содержимого серверов после первого взлома администраторы Matrix обновили только новые персональные ключи и упустили обновление ключа к Сloudflare.

В ходе второй атаки серверы Matrix остались нетронутыми, изменения ограничились только заменой адресов в DNS. В случае если пользователь уже сменил пароль после первой атаки, второй раз его менять не нужно. Но если пароль до сих пор не изменён, его нужно обновить как можно скорее, так как утечка базы с хэшами паролей подтверждена. В настоящий момент планируется инициировать процесс принудительного сброса пароля при следующем входе.

Кроме утечки паролей также подтверждено попадание в руки атаковавших GPG-ключей, используемых для формирования цифровых подписей пакетов в Debian-репозитории Synapse и релизов Riot/Web. Ключи были защищены паролем. В настоящий момент ключи уже отозваны. Ключи были перехвачены 4 апреля, с тех пор обновлений Synapse не выпускалось, но был релиз клиента Riot/Web 1.0.7 (предварительная проверка показала, что он не был скомпрометирован).

Атакующий разместил на GitHub серию отчётов с подробностями атаки и советами по увеличению защиты, но они были удалены. Тем не менее, в архиве отчёты сохранились.

Например, взломщик сообщил, что разработчикам Matrix следовало использовать двухфакторную аутентификацию или хотя бы не использовать перенаправление SSH-агентом ("ForwardAgent yes"), тогда проникновение в инфраструктуру было бы блокировано. Эскалацию атаки также можно было остановить предоставляя разработчикам только необходимые привилегии, а не полный root-доступ на всех серверах.

Дополнительно раскритикована практика хранения ключей для создания цифровых подписей на рабочих серверах, для подобных целей следовало бы выделить отдельный изолированный хост. Ещё атакующий сообщил, что если бы разработчики Matrix регулярно проводили аудит логов и анализировали аномалии, они бы заметили следы взлома на раннем этапе (взлом CI оставался незамеченным целый месяц). Ещё одной проблемой было хранение всех файлов конфигурации в Git, что позволяло оценить настройки других хостов при взломе одного из них. Доступ по SSH к серверам инфраструктуры не был ограничен защищённой внутренней сетью, что позволяло подключиться к ним с любого внешнего адреса.

1.0028 77.8823 0.6645 71.5962

НОВОСТИ: Доступна переносимая версия OpenBGPD 6.7p0 Fri, 22 May 2020 23:50:44 +0300

Разработчики OpenBSD опубликовали выпуск переносимой редакции пакета маршрутизации OpenBGPD 6.7, который можно использовать в операционных системах, отличных от OpenBSD. Для обеспечения переносимости использованы части кода из проектов OpenNTPD, OpenSSH и LibreSSL. Кроме OpenBSD заявлена поддержка Linux и FreeBSD. Работа OpenBGPD протестирована в Debian 9, Ubuntu 14.04+ и FreeBSD 12.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome