Взломана инфраструктура Matrix.org

Заботишься о приватности своей переписки — используешь Signal.

И в определенный момент обнаруживаешь всю свою переписку в открытом доступе из-за очередного XSS в сраном электроне. Нафиг-нафиг, лучше уж XMPP.

Печально, конечно. Федеративные мессенжеры нужны, жаль что инфраструктура самого популярного сервера дырявая.

То ли дело исполнение произвольного кода через SQL-инъекцию https://www.cvedetails.com/cve/CVE-2012-2086/ или даже без неё https://www.cvedetails.com/cve/CVE-2008-6393/

Федеративные мессенджеры не нужны, так как не могут обеспечить приватность переписки.

Как показал этот взлом, могут. Вся шифрованная переписка осталась шифрованной даже после полной компроментации сервера.

Те же яйца, только в профиль. XSS или SQL-инъекция - какая разница, если всё равно можно remote code execution делать?

Ну а то, что большинство сообщений зашифрованы не были и неизвестно кто получил к ним доступ — это так, мелочи. Тольковыиграли, как показал этот взлом.

Ставить на домашнем или своем корпоративном сервачке самосборный jabber и тихо в своем кругу общаться.

А со внешними людьми и шифроваться не от кого :)

Не шифрует сообщения

приватность

Жду примера мессенджера, в котором нешифрованные сообщения остаются полностью приватными

Те же яйца, только в профиль. XSS или SQL-инъекция - какая разница, если всё равно можно remote code execution делать?

О чем и речь. Ошибки и уязвимости бывают в любом софте.

Вот только некоторый софт концептуально несовместим с приватностью и вектор атак на него гораздо шире. Для массовой слежки в таком случае и атаковать особо ничего не нужно, раз бóльшая часть переписки и так в открытом виде передается и/или хранится.

В приватном мессенджере не бывает нешифрованных сообщений.

жаль что инфраструктура самого популярного сервера дырявая

XMPP имеет сейчас пользователей в 10 раз больше чем у матрицы. Матрица не популярная в торе и у безопасников.

Вы предлагаете IRC-каналы тоже шифровать? Не нужно пихать шифрование куда не надо, потом легко потерять важные данные вместе с ключиком. У меня на матриксе вся личная переписка шифрованная, так что пусть хоть жёсткие диски из matrix.org вытаскивают, а для публичных чятиков и так сойдет.

* Самого популярного сервера matrix

Как показал этот взлом, могут. Вся шифрованная переписка осталась шифрованной даже после полной компроментации сервера.

По доброй воле хакера. Хакер мог без проблем компроментировать веб-версию риота и дешифровать всю сеть матрицы. Он это не сделал лишь по лени.

Мы не можем знать наверняка, что он этого не сделал.

Тролл-мод

* Самого популярного сервера matrix

Единственного популярного сервера матрицы

Федеративная модель матрицы не выдерживает критики. Сервера просто не пригодны для федерации (слишком дорого содержать большой сервер). Да и вся матрица существует лишь пока есть один центр, потом будет много форков, которые будут несовместимы с друг другом. То есть все что втирают разработчики матрицы это бред, для дойки денег с наивных инвесторов.

Мы не можем знать наверняка, что он этого не сделал.

Хакер написал с аккаунта на гитхабе, аккаунта матрицы, что он не делал это) Смешно и не очень)

. У меня на матриксе вся личная переписка шифрованная, так что пусть хоть жёсткие диски из matrix.org вытаскивают, а для публичных чятиков и так сойдет.

Если твой собеседник ползовался веб версией, то можно сказать у тебя нет шифрования вообще. В веб версии можно переть ключи

Это где они такое говорят? Хочется почитать

В веб версиях шифрование не нужно, так ка это понижает безопасность. Пихать везде шифрование это глупый и опасный путь, который создает лишь мнимую безопасность вместо реальной

Ого! Спасибо, не знал. Поменьше энтузиазма к матрице теперь. Хорошо, что хоть сам через Riot ничего не делал.

Посмотри в issue на гитхабе. Разрабы матрицы удаляют там коменты со словами хакера, но их заново пересоздают пользователи матрицы.

У приватных мессенджеров не бывает веб-версий.

Мнимую безопасность создают мессенджеры вроде Телеграма, которые всюду пиарятся как приватные и зашифрованные, а на деле лишь вводят пользователей в заблуждение и хранят абсолютное большинство сообщений плейнтекстом.

ну, какбэ дыра в дженкинсе, а заголовок про матрикс. что к чему?

да нет. не вопрос создать веб клиент. просто приватность организуется на уровне канала, а не на уровне макакоподелий.

В приватном мессенджере не бывает нешифрованных сообщений. [2]

Дыру в дженкинсе использовали для взлома инфраструктуры матрикс.

И правильно сделано, что взломана, по-другому до этих пидорасов не достучишься, никоим другим способом не получишь ответ на простой, казалось бы, вопрос: чем не устраивает жаббир? Потереть за жизнь — работает, потереть за вещества, заказать безопасно и т.п. — работает, пользуйтесь, что еще? А ничего больше и не нужно ведь.

дыру в дженкинсе можно использовать для чего угодно. при чём тут матрикс?

Матрикс тут при том, что его инфраструктуру компроментировали. В чём именно была уязвимость – не так важно, она в свежей версии уже закрыта.

так матрикс опенсорсен. чего там компрометировать? те, кому нужна безопасность, публичные сервера не юзают.

так матрикс опенсорсен. чего там компрометировать? те, кому нужна безопасность, публичные сервера не юзают.

Просто по факту Матрица себя заявляет как децентрализованный мессенджер, но в реальности все сидят на одном сервере и клиенте. Теперь взломали казалось бы всего лишь один сервер, а получается так что взлом охватил всю сеть. Даже тот кто не сидел на матрикс.орг, ощутил взлом если его контакты был на том сервере Не все имеют время или возможности поднимать свои сервер, да и сама структура матрицы не способствует поднятию публичных серверов.

Админы говорят про 10 гб памяти на серверах с 50 юсеров, это бешенные деньги. Публичные серверы могут поднять лишь у кого большой кошелек и он мать тереза. Донаты такие не соберешь.

В XMPP поднять может любой школьник, сэкономя на завтраках. На впс по паре долларов гоняют сервера с тысячими людей и даже особо успешные умудрятся ловить проффит на донатах. Поэтому XMPP серверов тысячи и примерно одинаковые по размеру.

Другая вещь которая не способствует децентрализации в матрице, то что официальный клиент по-умолчанию выставляет сервер матрикс.орг. Админы жалутся что поднимают сервер матрица, а люди которых пригласили все равно уходят на матрикс.орг

В этоге получается нет заявленной разрабами децентрализаций, а только фикция.

Существует предположение что сама матрица стала децентрализованной, лишь потому что у разрабов стало нехватать денег на поддержание сервера. Ну вот и они выбрали этакую маркетинговую модель.

Сейчас чаты в матрице практически пустые, по два человека, но в них показывают тысячи людей, которые туда раз зашли и вообще левых людей с транспортов.У инвесторов был инфаркт, если они узнали реальную статистику в чатах.

Даже само название выбрано для хайпа. Для ассоциаций с фильмом. Бизнес модель разработчиков матрицы, разводить лохов-инвесторов на деньги. По сути они не чего выдающиего не сделали, кроме того что засунули страницы чатов со звонками в хромиум. Электрон из коробки поддерживает все эти фичи, если только немножко допилить, а вот с самой серверной часть и протоколом разрабы облажались по-полной.

Кстати разрабы матрицы вполне могут использовать и XMPP сервера для Риота, но они не делают это для того чтобы не потерять деньги от инвесторов. Небольшой допил XMPP клиентов и сервера, сделает матрицу в XMPP за пару месяцев и с меньшими денежными затратами.

Но они будут никогда это делать, так как сейчас они разработчики волшебного, уникального, подконтрольного велосепеда, а так они будут просто никому ненужные херы с горы. Им невыгодна реальная децентрализация

ну какбэ он не децентрализованный совсем. он федеративный. или как там оно обзывается. сервера там всё равно есть. а что кто-то не хочет поднимать свой сервер - это не проблема мессенджера. сервер открыт, бери и пользуйся.

у матрикса проблема не в протоколе, а в реализации. сервер у них так обозначен, как «демонстрационная реализация». написан он на говне. то есть, на пистоне, емнип. ну и чего ожидать от пистона? естессна, десять гигов - не предел жручести для столь тупого язычка. напиши то же самое на сишечке и будет десять метров. это не значит, что xmpp крут. просто xmpp писали ещё те, кто писал на сишечке. отсюда и профит.

Prosody написан на lua. Это не подходящий язык для написания подобных серверов, но тем не менее даже prosody может выдержать несколько тысяч соедений без особых затрат. Протокол матрицы создан хипстерами. Они включают в него все модные фичи, не заботясь о маштабируемости. Федерация это не только модно и круто, но и высокие нагрузки.

Представим что количество серверов матрицы выросло до пары десятков тысяч и они все не с того, не с сего начинают стучаться на твой «приватный» сервер и заваливать его спамом. XMPP и почтовые сервера готовы к таким нагрузкам и ситуация бональная. В матрице получаем отказ в обслуживании.

я читала протокол матрицы. ничего особо сложного в нём нет. ни для реализации, ни для потребления ресурсов. сервер на луа для «нескольких тысяч соединений» - ты эти сказки для нубов оставь :)

внезапно, приватный сервер может быть защищён и никто левый в него не стучится. а от обычного дидоса никто не защищён. до уровня приложений есть куча уровней, на которых фильтруется трафик. само приложение чаще всего вообще не способно бороться с такими атаками.

https://juick.com/vt/2935155

СЯУ, что оказывается в протоколе Matrix официальный Riot-клиент долбит сервер GET-запросами по 10 раз в секунду. Действительно, чего это у них сервер плохо работает? Совершенно непонятно!

клиент так написан. и что? в протоколе вовсе не обязательно долбить. я пока в телекоме работала - насмотрелась дурных клиентов, которые засирают AP своей безумной активностью. таких очень и очень много. но протоколы тут ни при чём.

и снова я повторю о фильтрации трафика.

внезапно, приватный сервер может быть защищён и никто левый в него не стучится.

Достучится, если открыта федерация

а от обычного дидоса никто не защищён

Это не дудос, а обычная ситуация со спамом и флудом в XMPP

сервер на луа для «нескольких тысяч соединений» - ты эти сказки для нубов оставь :)

CryptoCat использует просоди. После того как его использовал сноуден, на него налетели несколько тысяч человек Жуйка тоже работает на просоди. Yax.im примерно 1500 в онлайне, трашсервер и т.д Даже на луа все работает

CryptoCat использует просоди. После того как его использовал сноуден, на него налетели несколько тысяч человек

Они заявляли о 80 000 человек в онлайне на Prosody

так федерация не нужна же. если ты хочешь приватности - какая, нах, федерация? тут либо то, либо другое. хотя если захотеть - можно и на уровне федерации сделать соединение по клиентским сертификатам и будет распределённая защищённая сеть.

я не знаю ничего из того, что ты понаписал. мне без разницы, как оно работает и работает ли вообще. я тебе объясняю, что это не проблемы протокола. это проблемы реализации и настройки сети.

Они заявляли о 80 000 человек в онлайне на Prosody

Как им это удалось непонятно, но пара тысяч человек на Prosody вполне влезут и не будут использовать тонны мегабайт рамы и CPU

так федерация не нужна же. если ты хочешь приватности - какая, нах, федерация?

Как будешь контактировать с тем у кого другой сервер?

тут либо то, либо другое. хотя если захотеть - можно и на уровне федерации сделать соединение по клиентским сертификатам и будет распределённая защищённая сеть.

Обмениваться сертификатами серверов перед добавления контакта. Юзерофрендли. Не защищай этот матричный велосепед) Это бесполезно

никак. на то она и безопасность.

я не защищаю. я просто развеиваю твои заблуждения насчёт протоколов.

никак. на то она и безопасность.

Проще использовать XMPP

с точки зрения программирования не проще. точно так же. собственно, особой разницы нет. но в xmpp данные чуть жирнее: там много лишней информации в тегах и xml вообще всегда геморно обрабатывать.

По заявлению matrix.org, репозитории и их Docker Hub не скомпрометированы.

Да ладно...

Эскалацию атаки также можно было остановить предоставляя разработчикам только необходимые привилегии, а не полный root-доступ на всех серверах.

Разрабы неизлечимо больны! RIP matri

Когда они уже серваки блин запустят?! Хоть свой поднимай.

Пользуясь случаем, спрошу. Почему народ не поднимает серваки Wire? Сделали же уже возможность самому запустить продакшен сервер даже почти с отвязкой от амазона. И вообще почему вайр непопулярен? Потому что там публичных чатов с тысячами людей нет, наверное? А так то все шифровано, отличные клиенты на мобилку