Hackers hadden toegang tot FreeBSD-infrastructuur
Hackers hebben vanaf september toegang gehad tot de infrastructuur van het FreeBSD-project door het lekken van een ssh-sleutel, zo is afgelopen week ontdekt. Twee machines voor de distributie van FreeBSD-packages van derde partijen zijn getroffen.
Het gaat om twee machines binnen de FreeBSD-infrastructuur, die vanaf 19 september binnengedrongen werden, schrijft de organisatie achter het opensourceproject. De hack werd afgelopen zondag pas opgemerkt. De waarschijnlijke oorzaak zou niet bij een kwetsbaar systeem of exploit liggen, maar bij het lekken van een ssh-sleutel van een ontwikkelaar die rechtmatig toegang had tot de systemen.
De beveiligingsmanager van FreeBSD.org benadrukt dat de veiligheid van de basis van het besturingssysteem, waarvan de ontwikkeling door de FreeBSD-community geschiedt, niet in het geding is. De systemen zouden alleen gebruikt worden voor het opbouwen en de distributie van third party-packages die met het OS meegeleverd worden. Voor de integriteit van packages die geïnstalleerd konden worden tussen 19 september en 11 november kan de organisatie niet instaan, hoewel analyse geen onregelmatigheden aan het licht heeft gebracht.
De beheerders van het FreeBSD-project hebben zodra de hack bekend werd de systemen offline gehaald en geverifieerd dat er niet met de base gerommeld is. Aangeraden wordt verouderde update-mechanismes niet meer te gebruiken en alles wat in de genoemde periode bijgewerkt is als verdacht te beschouwen.
Reacties (23)
Voor altijd is een allemachtig lange tijd. Ik zou zeggen, totdat eventueel gecompromiteerde packages hersteld zijn....die FreeBSD voor altijd onveilig maken.
Wel een erg vervelend lek voor een systeem dat zo'n goede naam heeft, want er zullen ongetwijfeld weer onnadenkende types zijn die dit aangrijpen als bewijs dat BSD niet veilig is. Wat natuurlijk onzinnig is.
Het feit dat er geen onregelmatigheden zijn gevonden en dat het zo lang absoluut niet opgevallen lijkt te zijn, doet me vermoeden dat er niet veel met de rechten op de server is gedaan. Misschien zelfs niets. Jammer dat je dan toch voor alle zekerheid die tijd moet spenderen om mogelijk verdachte pakketten te vervangen.
Sinds wanneer is het lekken van een ssh-key een hack ?
Altijd al? Of denk je soms dat die key op een publieke website stond?Beste Tweakers,
Sinds wanneer is het lekken van een ssh-key een hack ?
Gelukkig zegt het nieuwsbericht het dan ook goed: "Hacker had toegang tot..." ipv het foute "... is gehackt"
Het is blijft een hack.
Blijft natuurlijk erg slordig.
Als je hem niet hebt gelekt dan ben je gehackt en is men zo in het bezit van de sleutel gekomen.
Al betekent het orgineel heel wat anders, maar goed..
(oops, had reply op d1ng moeten zijn)
[Reactie gewijzigd door joppybt op zaterdag 17 november 2012 15:49]
heeft verder 0 gevolgen voor mensen die hun ports collectie via portsnap of subversion binnenhalen sinds voor 19 september, gelukkig maar.
de csup methode is al een tijdje deprecated.
Het bemachtigen van de ssh-key zelf zou natuurlijk wel middels een hack kunnen zijn, maar dat is nog onduidelijk. 'Lekken' klinkt toch wat anders als 'hacken'.
Dus dat is puur giswerk.
Heb ik het net even helemaal gehad met linux (tja, what's in my name ...) en op de achtergrond loopt nu een PC-BSD installatie (third party FreeBSD)
Kon geen beter moment bedenken als ik het zo bekijk
Hoop dat ze hun huiswerk goed gedaan hebben en dat ze alle trees afgelopen hebben op eigenaardigheden, ze melden dat ze het gedaan hebben, we gaan het meemaken.
Overigens de basis van JunOS is free BSD. Niet te hopen dat er inderdaad Juniper routers... oh well de toekomst zal het uitwijzen
Op dit item kan niet meer gereageerd worden.
Populair: Tablets Samsung Websites en communities Mobiele telefoons Google Sony Microsoft Games Politiek en recht Consoles
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
