ivan zlax

2019-04-12 11:44:44

ivan zlax

zlax@ussr.win

https://twitter.com/matrixdotorg/status/1116304867683905537

The developers of the platform for decentralized messaging Matrix have announced an emergency shutdown of the servers Matrix.org and Riot.im (the main client of the Matrix) in connection with the hacking of the project infrastructure. The first shutdown took place last night, after which the servers were restored, and the applications were reassembled from the source code. But later the servers were compromised a second time.

OpenNews.opennet.ru: Общая лента новостей wrote the following post Fri, 12 Apr 2019 10:38:07 +0300

Взлом инфраструктуры matrix.org
Взлом инфраструктуры matrix.org

Разработчики платформы для децентрализованного обмена сообщениями Matrix объявили об экстренном отключении серверов Matrix.org и Riot.im (основной клиент Matrix) в связи со взломом инфраструктуры проекта. Первое отключение состоялось вчера вечером, после чего работа серверов была восстановлена, а приложения пересобраны из эталонных исходных текстов. Но несколько минут назад серверы были скомпрометированы второй раз.

#im #infosec #matrix #matrixdotorg #opensource #property #software #technology

english russian

show all 32 comments

2019-04-12 20:26:14

Ognik

ognik@hubzilla.ru

Н-да. Тут клоны не помогут.))

2019-04-12 23:54:39

Max Kostikov

kostikov@tiksi.net

Max Kostikov wrote the following post Fri, 12 Apr 2019 20:24:55 +0300

"Я так хохотался" (с) свидетель Хачикян

Судя по опубликованным подробностям это чертовски "безопасный" мессенджер.

OpenNews: Взлом инфраструктуры matrix.org (новые подробности)

Напомним, что платформа для организации децентрализованных коммуникаций Matrix преподносится как проект, использующий открытые стандарты и уделяющий большое внимание обеспечению безопасности и приватности пользователей

#russian #lang_ru #security

2019-04-13 08:49:29

Светлана Лада

svetlana@hub.zilla.tech

@Max Kostikov В таких случаях может спасти только экспорт своего контента и обратная загрузка для восстановления в случае чего

2019-04-13 09:23:35

Дима Ржевский

dmitry77@hubzilla.ru

тут как я понимаю взломана инфраструктура разработки. Нужно перепрверить код, и скомпилировать программу заново. Как сервер так и клиент.
И надеяться что уже установленные программы не слили данные куда не надо.

2019-04-13 09:52:07

ivan zlax

zlax@ussr.win

Эх, жаль цензоры сначала отключили комментарии, а потом и вовсе удалили issues:

https://github.com/matrix-org/matrix.org/issues/created_by/matrixnotorg
Заметают следы.

Я, кстати, скажу что мне эта матрица сразу не понравилась, даже в матричный чат хабзиллы только через джаббер-транспорт ходил. @xrevan86 подтвердит мои регулярные претензии к этому протоколу в последние годы.

Поговаривают, что jenkins их подставил:
https://jenkins.io/security/advisory/2018-12-05/
Code execution through crafted URLs

2019-04-13 12:35:01

Max Kostikov

kostikov@tiksi.net

@ivan zlax Ну их так отпиарили наоборот, что неудивительно.
Репутацию надо нарабатывать годами, а просрать можно за день. Что мы и наблюдаем.

2019-04-13 12:44:48

Max Kostikov

kostikov@tiksi.net

тут как я понимаю взломана инфраструктура разработки

Хрен там. Серверы тоже взломаны и получен доступ к учётным записям, хэшам паролей, шифрованным и, внимание, нешифрованным сообщениям на серверах. Особенно порадовало наличие последних на "лучшем защищённом мессенджере".

2019-04-13 14:05:49

Дима Ржевский

dmitry77@hubzilla.ru

насколько я понимаю это же децентрализованный мессенджер? не все же сервера сломаны?

2019-04-13 14:10:03

ivan zlax

zlax@ussr.win

@Дима Ржевский учитывая прожорливость этого сервера, никто особо их не держал, а большинство пользователей использовали именно эти взломанные.
Да и после такого инцидента те, кто хостил самостоятельно - наверное, несколько раз подумают теперь стоит ли продолжать их хостить.

2019-04-14 18:10:31

Арматурыч

timeoff@fhtagn.org

2019-04-14 18:13:40

ivan zlax

zlax@ussr.win

@Арматурыч, они удалили issues - это нечестная реакция. Там содержалась ценная информация. Никакого плюса нет.

2019-04-14 18:23:42

Max Kostikov

kostikov@tiksi.net

Ну там ещё добрый хакер попался. Всё показал, рассказал и дал рекомендации. А могли бы быть более жёсткие варианты.

2019-04-15 16:42:44

ivan zlax

zlax@ussr.win

@spacedream@pod.disroot.org, использование нестандартного ядра не спасёт, если код серверного приложения скомпрометирован.

2019-04-19 12:28:02

ivan zlax

zlax@ussr.win

@spacedream@pod.disroot.org

я к тому что если у тебя есть доступ к бэкдору на всех машинах мира то просто глупо обсуждать какието защиты и тд.

Я в сказки не верю, не бывает универсального бэкдора для всех машин мира.

если захотят "взломать" то взломают, причём и без всякого взлома. не очевидно еще?

Взломай, попробуй. Давай для начала мой домашний сервер: http://212.12.18.114/

Не взломаешь - так это значит ты говоришь о том, о чём не имеешь никакого представления.

2019-04-20 09:44:32

ivan zlax

zlax@ussr.win

попыток взлома не обнаружено, значит ты говоришь о том, о чём не имеешь никакого представления

2019-04-20 09:49:19

Дима Ржевский

dmitry77@hubzilla.ru

А вдруг это не твой сервер а сервер банка (honeypot банка)? А за взлом банка могут пасадить.

2019-04-20 09:52:10

ivan zlax

zlax@ussr.win

@Дима Ржевский точно мойhttp://www.infosniper.net/index.php?ip_address=212.12.18.114

https://zlax.ussr.win/

2019-04-21 00:25:37

ivan zlax

zlax@ussr.win

@Дима Ржевский, я надеюсь, что хотя бы вы, Дмитрий, не один из этих, из "бывших хакеров" в этом треде.

2019-04-21 05:51:32

Дима Ржевский

dmitry77@hubzilla.ru

Нет, но я как то был на конференции где выступал представитель от центробанка и рассказывал про юридические последствия хаков, и просто тестов.

2019-04-21 09:26:40

Anatoly

ma1uta@hub.plyuk.rocks

А как тут ответить на конкретное сообщение?

Через браузер такая картина:

image

Через мобильное приложение получше:

https://hub.plyuk.rocks/cloud/ma1uta/Screenshot_20190421-091351_AndHub.png

Но все равно нет пункта "ответить на это сообщение".

2019-04-21 09:28:39

Anatoly

ma1uta@hub.plyuk.rocks

И одну картинку вставило с предпросмотром, а вторую как ссылку, хотя в обоих случаях вставлялось одинаково. Как сделать, чтобы нормально вставлялось?

2019-04-21 09:32:31

Anatoly

ma1uta@hub.plyuk.rocks

Ну и чтобы два раза не вставать. У ленте сыпятся сообщения от бота, хочу отписаться, в меню такого пункта нет, если нажать по нику, то открывается страница контакта?

2019-04-21 11:47:12

ivan zlax

zlax@ussr.win

@Anatoly

А как тут ответить на конкретное сообщение?
Через браузер такая картина:
Но все равно нет пункта "ответить на это сообщение".

В данный момент нет такой возможности. Все комментарии одной простынёй, комментируется изначальный пост, а не комментарии к комментариям.

И одну картинку вставило с предпросмотром, а вторую как ссылку, хотя в обоих случаях вставлялось одинаково. Как сделать, чтобы нормально вставлялось?

[url]https://image.png[/url] - если настройки поумолчанию.

Ну и чтобы два раза не вставать. У ленте сыпятся сообщения от бота, хочу отписаться, в меню такого пункта нет, если нажать по нику, то открывается страница контакта?

Надо навести курсор на юзерпик - появится белый равносторонний треугольник - вот на него нажать и там меню - Edit Connection

2019-04-22 05:58:50

Anatoly

ma1uta@hub.plyuk.rocks

Но ведь и пункта "процитировать" нет! Чтобы текст комментария скопировался в цитату и оставалось бы только написать ответ. Вот как ты процитировал мой текст? Не будешь же предлагать заниматься идиотизмом и копировать текст, дальше создавать теги для квоты и вставлять туда текст?!

Про настройки по-умолчанию не понял. Я в обоих случаях нажал на кнопку, чтобы добавить ссылку, ввел ссылку, и в одном случае появился предпросмотр, а во втором - нет.

У меня нет курсора в мобильном приложении/браузере, чтобы его куда-нибудь навести, как без курсора показать это меню?

2019-04-22 06:02:08

Anatoly

ma1uta@hub.plyuk.rocks

Последний пункт не актуален, надо нажать на аватарку, чтобы появилось это меню %)

2019-04-22 09:00:11

Ognik

ognik@hubzilla.ru

Но ведь и пункта "процитировать" нет! Чтобы текст комментария скопировался в цитату и оставалось бы только написать ответ. Вот как ты процитировал мой текст? Не будешь же предлагать заниматься идиотизмом и копировать текст, дальше создавать теги для квоты и вставлять туда текст?!

Про настройки по-умолчанию не понял. Я в обоих случаях нажал на кнопку, чтобы добавить ссылку, ввел ссылку, и в одном случае появился предпросмотр, а во втором - нет.

У меня нет курсора в мобильном приложении/браузере, чтобы его куда-нибудь навести, как без курсора показать это меню?

Я думаю, тут дело вот в чём. Когда вставляем ссылку на сайт через форму, и ссылку берём непосредственно из адресной строки браузера, форма обрабатывает её и выдает красивую картинку. Но не всегда. Наверное от того, как на самом сайте настройки установлены для отражения в строке. А вот, когда ссылку на сайт просто вставляем в форму уже скопированную откуда то, или повторно, то получается просто ссылка, без всяких выкрутасов. Еще зависит от узла хабзиллы. На Dahca/Hub, например, все сложнее, чем на хабзилла.ру.
А вот видео с Ютуба ссылку в любом виде обрабатывает - своё, родное, видимо для программы.))
По поводу цитаты. Да, здесь надо скопировать желаемый для цитирования текст, нажать под окошком кома кавычки и в между появившимися тегами вставить копитекст. Но это фигня, конечно, по сравнению с лентой комментариев.)) На других сайтах, чтобы цитата была видна, надо ввод нажимать по два раза, и еще раз - кнопку подтвердить. Так что, всё познвется в сравнении.))

2019-04-22 10:10:17

ivan zlax

zlax@ussr.win

@Anatoly

Вот как ты процитировал мой текст?

Copypaste.

Не будешь же предлагать заниматься идиотизмом и копировать текст, дальше создавать теги для квоты и вставлять туда текст?!

Выделяю предложение с вопросом или тезисом который собираюсь прокомментировать, копирую, вставляю в комментарий, нажимаю кнопку цитаты. Особо меня не напрягает. Мне так удобнее, чем получать цитату всего сообщения и удалять части или дробить её на более мелкие.

Про настройки по-умолчанию не понял. Я в обоих случаях нажал на кнопку, чтобы добавить ссылку, ввел ссылку, и в одном случае появился предпросмотр, а во втором - нет.

Попробуй вставить в сообщение вот этот текст:
[zmg]https://ussr.win/photo/d05f050329c7f5cb2cbf28e1aa8d222c-5[/zmg]

2019-04-23 19:04:03

Anatoly

ma1uta@hub.plyuk.rocks

Что там, по этой ссылке?

Есть же кнопка для вставки ссылок и речь про другое: я вставил две картинки через специально для этого сделанную кнопку, один раз вставилось с предпросмотром, второй нет. Как исключить рулетку, чтобы ссылки вставлялись одинаковым способом?

2019-04-23 19:06:18

Anatoly

ma1uta@hub.plyuk.rocks

Я думаю, тут дело вот в чём. Когда вставляем ссылку на сайт через форму, и ссылку берём непосредственно из адресной строки браузера, форма обрабатывает её и выдает красивую картинку. Но не всегда. Наверное от того, как на самом сайте настройки установлены для отражения в строке. А вот, когда ссылку на сайт просто вставляем в форму уже скопированную откуда то, или повторно, то получается просто ссылка, без всяких выкрутасов. Еще зависит от узла хабзиллы. На Dahca/Hub, например, все сложнее, чем на хабзилла.ру.

В обоих случаях выполнялась одна и та же последовательность дествий, а результат разный.

P.S.: офигенно, при цитировании ещё и с тегами можно всё поломать. Только что попытался сделать кучу движений и скопировать цитату, в итоге сначала в мобильной приложении andHub не хочет вставлять текст, а затем ещё затёрла скобку закрывающего тега. Пришлось через редактирование исправлять...

2019-04-23 19:10:19

Anatoly

ma1uta@hub.plyuk.rocks

И при цитировании же не упоминается автор оригинального сообщения, просто блеск.

2019-04-23 19:41:45

Max Kostikov

kostikov@tiksi.net

Есть же кнопка для вставки ссылок и речь про другое: я вставил две картинки через специально для этого сделанную кнопку, один раз вставилось с предпросмотром, второй нет. Как исключить рулетку, чтобы ссылки вставлялись одинаковым способом?

Ссылку и картинку? Картинки должны вставляться без проблем.
Ссылки могут обрабатываться как угодно в зависимости от того что отдаёт сайт. Процедура оформления заточена под типичное содержимое. Исправить эту ситуацию со стороны Hubzilla нельзя никак.
Более того гарантированной "красивой" вставки ссылок не обеспечивает никто, включая монстров типа Facebook.

2022-09-30 09:26:41

ivan zlax

zlax@ussr.win

OpenNews.opennet.ru: Общая лента новостей wrote the following post Thu, 29 Sep 2022 13:53:06 +0300

Критические уязвимости, компрометирующие сквозное шифрование во многих Matrix-клиентах

Критические уязвимости, компрометирующие сквозное шифрование во многих Matrix-клиентах

Разработчики платформы децентрализованных коммуникаций Matrix предупредили о выявлении критических уязвимостей в библиотеках matrix-js-sdk, matrix-ios-sdk и matrix-android-sdk2, позволяющих администраторам серверов выдавать себя за других пользователей и читать сообщения в чатах со сквозным шифрованием (E2EE). Уязвимости вызваны ошибками в отдельных реализациях протокола Matrix и не являются проблемами самого протокола. В настоящее время, проектом выпущены обновления проблемных SDK и части построенных на их основе клиентских приложений.

https://www.theregister.com/2022/09/28/matrix_encryption_flaws/