https://www.opennet.me/openforum/vsluhforumID3/117102.html Опубликованы (https://matrix.org/blog/2019/04/11/security-incident/) новые подробности (https://github.com/matrix-org/matrix.org/issues/created_by/matrixnotorg) про взлом инфраструктуры децентрализованной платформы обмена сообщениями Matrix, о котором сообщалось (https://www.opennet.ru/opennews/art.shtml?num=50501) утром. Проблемным звеном, через которое проникли атакующие была система непрерывной интеграции Jenkins, которая была взломана ещё 13 марта. Затем на сервере c Jenkins был перехвачен перенаправленный SSH-агентом вход одного из администраторов и 4 апреля атакующие получили доступ к другим серверам инфраструктуры.<br><br><br> При второй атаке сайт matrix.org был перенаправлен на другой сервер (matrixnotorg.github.io) через изменение параметров DNS, используя перехваченный при первой атаке ключ к API системы доставки контента Сloudflare. При пересборке содержимого серверов после первого взлома администраторы Matrix обновили только новые персональные ключи и упустили обновление ключа к Сloudflare. <br><br><br>В https://www.opennet.me/openforum/vsluhforumID3/117102.html#75 Sat, 18 Dec 2021 12:43:36 GMT Все утекли.<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#74 Sat, 18 Dec 2021 12:42:48 GMT Вот это взрыв из прошлого, понимаю&#8230;<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#73 Fri, 17 Sep 2021 16:29:46 GMT Ааа... а я то думал, зачем гит нужен...<br>Смузи-стайл воодружать систему контроля версий, вместо perl/bash скрипта и diff-а?<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#72 Tue, 14 Sep 2021 14:23:37 GMT Ну и чем svn и FreeBSD мешает работать вашим разработчикам?<br><br>&gt;Ответ гугла на это &#8212; концепция SRE, когда инфраструктурой рулят полуразработчики, которые не воюют с разрабами, а понимают их боль, но и не забивают и на безопасность при этом. SRE в числе самых высокооплачиваемых ребят, по последнему опросу на StackOverflow (дороже почти всех разработчиков).<br><br>Гугл это триллионная мегакорпорация ответ которой мало подходит остальным, и темболее среднему и малому бизнесу и уж тем более небольшому сообществу.<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#71 Tue, 14 Sep 2021 14:20:06 GMT &gt;Ну и учтите еще что это в изрядной степени community проект, а такие вообще сложно удержать под контролем. <br><br>Особенно если разворачивать в нем системы предназначенные для кровавого энтерпрайза.<br><br>Чтобы держать под контролем ненужно сущности плодить с которыми совладать не можешь.<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#70 Tue, 14 Sep 2021 13:54:45 GMT &gt;всегда конфиги лежат в Гит, так и должно быть. <br><br>65wat?<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#69 Tue, 14 Sep 2021 13:52:12 GMT &gt;Но если пароль до сих пор не изменён, его нужно обновить как можно скорее, так как утечка базы с хэшами паролей подтверждена.<br>&gt;взлом инфраструктуры децентрализованной платформывзлом инфраструктуры децентрализованной платформы<br><br>Так чьи пароли утекли, разработчиков?<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#68 Wed, 17 Apr 2019 14:53:19 GMT &gt; Правильно! Передайте все ключи сотовым операторам сразу! :) <br><br>U2F, FIDO\WebAuthn уже давно поддерживается в Хроме и ФФ, остальные браузеры на подходе (даже Сафари). Было бы желание.<br> https://www.opennet.me/openforum/vsluhforumID3/117102.html#67 Tue, 16 Apr 2019 11:03:45 GMT Проблема в том, что разработчикам надо работать, а если (например, ожегшись на молоке) назначают рулить системой какого-нибудь упоротого сисадмина, который знает только "не пущать", то начинается как раз: svn, freebsd, ещё какая-нибудь экзотика из 90-х (времён, когда у админа ещё стоял), а всего остального он не знает, и запрещает как небезопасное.<br><br>Ответ гугла на это &#8212; концепция SRE, когда инфраструктурой рулят полуразработчики, которые не воюют с разрабами, а понимают их боль, но и не забивают и на безопасность при этом. SRE в числе самых высокооплачиваемых ребят, по последнему опросу на StackOverflow (дороже почти всех разработчиков).<br>