Car-tech

האקרים מפצחים שני שרתי פיתוח של FreBSD Project

שוסטר ושוסטר עונה 3: טביעת אצבע, הנס כריסטיאן אנדרסן והמלט

שוסטר ושוסטר עונה 3: טביעת אצבע, הנס כריסטיאן אנדרסן והמלט
Anonim

האקרים סיכנו שני שרתים המשמשים את פרויקט FreeBSD לבניית חבילות תוכנה של צד שלישי. כל מי שהתקין חבילות כאלה מאז 19 בספטמבר צריך להתקין מחדש את המכונות שלהם, כך מזהיר צוות האבטחה של הפרויקט.

פריצות על שתי מכונות בתוך אשכול FreeBSD.org התגלו ב -11 בנובמבר. "המכונות המושפעות נלקחו באופן לא מקוון לניתוח, כמו כן, חלק גדול ממכונות התשתית שנותרו נלקחו גם למצב לא מקוון כאמצעי זהירות", דיווחה הודעה שפורסמה ברשימת התפוצה של ההודעות הציבוריות של הפרויקט.

שני השרתים שנפגעו פעלו צמתים לתשתית המורשת של צד שלישי בבניית תשתית החבילה, נכתב בפרויקט FreeBSD באתר היועצים שפורסם באתר האינטרנט שלה. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

המקרה השפיע רק על האוסף של חבילות תוכנה של צד שלישי המופצות על-ידי הפרוייקט ולא על-ידי רכיבי הבסיס של מערכת ההפעלה, כגון הקרנל, ספריות המערכת, המהדר או כלי שורת הפקודה הליבה.

צוות האבטחה של FreeBSD סבור שהפורצים זכו לגישה אל את השרתים באמצעות מפתח אימות SSH לגיטימי נגנב מפתח, ולא על ידי ניצול פגיעות במערכת ההפעלה.

למרות שהצוות לא מצא שום עדות של thi rd-party חבילות התוכנה להיות שונה על ידי האקרים, הם לא יכולים להוציא מכלל אפשרות זו.

"לצערנו אנחנו לא יכולים להבטיח את שלמות החבילות הזמינות עבור ההתקנה בין 19 ספטמבר 2012 ו 11 נובמבר 2012, או של כל היציאות שנאספו מן העצים שהושגו באמצעות כל אמצעי אחר מאשר דרך svn.freebsd.org או אחד המראות שלה ", אמר הצוות. "למרות שאין לנו שום ראיות לכך שכל חבלה התרחשה ומאמינה שההפרעה הזו אינה סבירה, עלינו להמליץ ​​לך לשקול התקנה מחדש של כל מחשב מאפס, באמצעות מקורות מהימנים".

החבילה שקובעת כיום זמינה עבור כל גרסאות FreeBSD אושרה אף אחת מהן לא שונתה בשום אופן, לדברי הצוות. כתוצאה מהאירוע, פרויקט FreeBSD מתכנן להאיץ את תהליך הפחתת שירותי ההפצה מדור קודם, כמו אלה המבוססים על CVSup, לטובת מערכת החתרנות החזקה יותר. הייעוץ כולל מספר המלצות לגבי הכלים שמשתמשים ומפתחים צריכים להשתמש בהם עבור עדכונים, העתקת קוד מקור והפצה בינארית חתומה.

אין זו הפעם הראשונה שפרויקט תוכנה בקוד פתוח חייב להתמודד עם חדירה בגלל אימות SSH שנמצא בסיכון מפתחות. באוגוסט 2009, פרויקט אפאצ'י נאלץ לסגור את שרתי האינטרנט והראי העיקריים שלו לאחר שגילה שהאקרים השתמשו במפתח SSH המשויך לחשבון גיבוי אוטומטי כדי להעלות ולבצע קוד זדוני על חלק מהשרתים. תזכורת לבבית לכך שרשת היא רק חזקה כמו החוליה החלשה שלה ", אמר פול דאקלין, ראש הטכנולוגיה לאסיה פסיפיק אצל ספקית האנטי-וירוס סופוס. "בפרט, לעולם אל תשכח כי האבטחה של המערכות הפנימיות שלך עשוי בהחלט להיות טוב יותר מאשר האבטחה של כל מערכות חיצוניות שממנה אתה מקבל גישה מרחוק - בין אם אלה שרתים, מחשבים ניידים או אפילו התקנים ניידים."