URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 121602
[ Назад ]

Исходное сообщение
"Взлом сборочного сервера и компрометация репозиториев сообщества Libretro, развивающего RetroArch"

Отправлено opennews , 17-Авг-20 11:08 
Сообщество Libretro, занимающееся разработкой эмулятора игровых консолей RetroArch и дистрибутива для создания игровых консолей Lakka, предупредило о взломе элементов инфраструктуры проекта и вандализме в репозиториях. Злоумышленники смогли получить доступ к сборочному серверу (buildbot) и репозиториям на GitHub...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53558


Содержание

Сообщения в этом обсуждении
"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 11:08 
Собаки. Ничего святого.

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено EuPhobos , 17-Авг-20 11:16 
Наверняка это происки Нинтенды )

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено scor , 17-Авг-20 11:26 
> He gained access to our Libretro organization on Github impersonating a very trusted member of the team

Ну да, это точно Нинтенда своим знаменитым 26-м кадром заставила этого типа отключить 2fa и пошарить свой пароль, закоммитив его в какой-нибудь публичный репозиторий.:)

> a very trusted member

Какие мемберы, такой и траст.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Anonymus , 17-Авг-20 13:12 
Sega же!
Genesis does! Nintendo't :-).

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 18:08 
> Sega же!

Dendy же!


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено InuYasha , 18-Авг-20 11:37 
Nintendont и Slony - самые анальные из всех копирастов. :-/

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено svsd_val , 17-Авг-20 11:28 
И чем он им не угодил ? О_о

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 13:01 
> Сообщество Libretro
> эмулятора игровых консолей RetroArch

Разве не просто гуй (сомнительной полезности), надстройка для эмуляторов?

А libretro - апи (а не сообщество), прослойка между гуйем и эмулями. Не?


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Ан О Ним , 17-Авг-20 13:07 
Девляпс, макинтош (ой нет - макбук), причёсочка... Пофиксил код правкой конфига запуска кода.

Желчь и сарказм. :))))))


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Вкусная водочка , 17-Авг-20 13:40 
> воспользовавшись учётной записью одного из доверенных участников проекта

С вероятностью 146% он Windows-пользователь.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 14:30 
Лол. Чёрный самопиар

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено муу , 17-Авг-20 14:44 
Репы на гитхабе уже восстановили.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 15:07 
Деньги и не нужны достаточно настройки копировать затирая старые.
Все настройки должны быть отделены от архивов исходников. Или игнорировать архивы и папки от копирования.

100% у них там была файлопомойка. Купят сервер и будут терабайты каждый день бэкап копировать.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 16:34 
>Основной проблемой с которой проект столкнулся после инцидента стало отсутствие автоматизированного процесса резервного копирования

haha, classic


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 17-Авг-20 17:22 
"Плачевная ситуация со сборочным сервером и репозиториями сообщества"

Вот как надо было озаглавить.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Корец , 17-Авг-20 17:34 
И смысл? Что они этим сказать-то хотели?

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 17-Авг-20 19:08 
"хакер ссыт во все солонки..."

Что бы он этим сказать хотел?

Вероятно, что ресурсы, тратимые государствами на разрушение интернета и борьбу за всякие dmca - было бы крайне неплохо потратить вместо этого на отлов и показательные порки подобных деятелей, причем ничего кроме желания для этого не надо (они и так нарушают вполне давно существующие законы пачками), да и изловить не особо сложно.

Но, к сожалению, имеем что имеем.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено InuYasha , 18-Авг-20 11:40 
имхо, аналогия неуместна.

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено ну разумеется , 18-Авг-20 13:12 
неуместна. Срочно-срочно внедрите 2fa и скан документов прежде чем предоставлять доступ к репо всего лишь эмулятора игрушкоконсоли.

Посетители столовой с ужасом находят, что, чтобы насыпать соли, они должны подойти к официанту, предьявить паспорт, получить специальный 8-значный одноразовый код к солонке. Для получения перца процедуру следует повторить.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено jeejay , 17-Авг-20 20:56 
Скорее всего сами не ожидали, что получат доступ. Запаниковали и не придумали ничего лучше.

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено MT , 17-Авг-20 22:44 
GitHub уже ответил, что восстановить репозитории не сможет:

https://twitter.com/libretro/status/1295181352426516480

Но, конечно, локальные-то копии репозиториев у разработчиков наверняка есть, просто потребуется ручная работа.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 18-Авг-20 01:40 
>локальные-то копии репозиториев у разработчиков наверняка есть

ну, как бы...
>Последняя резервная копия сервера buildbot была сделана несколько месяцев назад


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено MT , 18-Авг-20 03:16 
_Локальные_ (не резервные) копии _репозиториев_ (не сборочного сервера).

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено nebularia , 18-Авг-20 05:57 
Есть же всякие GHTorrent на такой случай

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Al , 18-Авг-20 06:26 
Жалко их, очень полезный проект. Не думаю, что они могли кому-то помешать, разве что личная неприязнь и желание подгадить кому-то из разработчиков. Иначе просто удалять файлы не стали.

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 18-Авг-20 08:00 
> Не думаю, что они могли кому-то помешать, разве что личная неприязнь и желание подгадить

обычное детишко развлекалось. Сейчас довольное ест мороженку, смотрит прон.

Оно не просто удалило, умеет пользоваться гитом, и думает про себя что охрененно крутое.

А когда случается чудо и те, кому и положено бороться с подростковой преступностью, все же слегка чешутся, дверь выносит ФБР и недоросль ВНЕЗАПНО оказывается во вполне настоящей камере (как это произошло с любителями похакать твиттер) - "как же так?! Я же просто развлекался!/Я же демонстрировал уязвимость! За что?! Сами-виноваты!" - но на судью это почему-то не производит хорошего впечатления.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 18-Авг-20 14:06 
Если жалко, вот навскидку три варианта
1. Дай денег на инфраструктуру резервного копирования и восстановления
2. Предоставь свои сервер и т.д. для резервного копирования
3. Найди того кто выделит ресурсы для огранизации резервного копирования, либо даст денег на это.

А так...
Мне тоже всех жалко! Но яблоко сам скушаю.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Al , 18-Авг-20 06:37 
По моему, если люди дорожат своим проектом или просто ценными данными, то они не должны забывать о правиле 321. Можно было просто написать скрипт, который бекапит репозиторий. Что с ними не так?!

"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 18-Авг-20 08:06 
Если дорожат и очень ценными - то да.

А если люди вместо "дорожения" что-то полезное для себя или окружающих делают в свое свободное время - они вполне могут не иметь ни времени, ни желания страдать фигней, ни лишних денег на аренду еще одного сервера для бэкапов. Нашлось у кого-то лишних пол-часа и халявный диск - скопировали себе под стол. Не нашлось следующие два месяца - ну, значит, переживем.

Кстати, похоже, у шитхапа ТОЖЕ нет бэкапов, да?

Ентерпрайс, все дела...


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено n00by , 18-Авг-20 14:26 
> Кстати, похоже, у шитхапа ТОЖЕ нет бэкапов, да?

Есть же в Арктике https://opennet.ru/53383-archive
как минимум, на картинке.

> Ентерпрайс, все дела...


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 18-Авг-20 16:19 
>> Кстати, похоже, у шитхапа ТОЖЕ нет бэкапов, да?
> Есть же в Арктике https://opennet.ru/53383-archive
> как минимум, на картинке.

да, херня какая-то, кстати, получается с этим архивом ;-)


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено n00by , 18-Авг-20 17:38 
>>> Кстати, похоже, у шитхапа ТОЖЕ нет бэкапов, да?
>> Есть же в Арктике https://opennet.ru/53383-archive
>> как минимум, на картинке.
> да, херня какая-то, кстати, получается с этим архивом ;-)

Таким образом проявляется некий мотив, зачем надо было ломать и удалять безобидный репозиторий, о котором обязательно напишут в новостях по всему миру. То есть это мог быть не обязательно детишко.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 18-Авг-20 14:30 
> А если люди вместо "дорожения" что-то полезное для себя или окружающих делают в свое свободное время - они вполне могут не иметь ни времени, ни желания страдать фигней

Конечно люди могут делать это "что-то" так как хотят. Но нечего тогда жаловаться на результат.
То что ты называешь "страдать фигней" - это всякие разные правила дорожного движения, техника безопасности и т.д. и т.д.
Просто в IT нарушение этих правил не приводит к каким либо значимым последствиям.
Ну пожурят чуток на работе за незаблокированный экран, ну удалят какие-то программы о которых большинство людей никогда не знало и не узнает. Кому от этого плохо? Да никому. Никто от этого ни умрет, ни родится, ни калекой станет, ни голодать не будет.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 18-Авг-20 16:18 
> То что ты называешь "страдать фигней" - это всякие разные правила дорожного движения

Нет. В понятных тебе аналогиях: необходимость тщательно запирая дверь, все равно не выпускать свою машину из поля зрения, пока торопливо давишься в придорожкой кафешке - ничего не имеет общего с "правилами движения".

Только с неработой тех, кто по должности обязан бороться со злом, но предпочитает, как обычно, если не возглавить, то хотя бы примкнуть.

> Просто в IT нарушение этих правил не приводит к каким либо значимым последствиям.

а вот пацанчики, ломанувшие твиттер Обамы ради мелкого гешефтика - почему-то теперь так не думают.
Хотя, казалось бы, никто не умер.

Кстати, если у тебя тачку отжать - ты тоже не умрешь, и с голоду вряд ли подохнешь. Если не будешь выеживаться - то даже и калекой не станешь.


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено Аноним , 18-Авг-20 16:28 
>>они попытались очистить содержимое репозиториев через помещение пустого __начального__ коммита.

Это как? Я ещё пойму если они просто пустой коммит залили, но почему он начальный?


"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено пох. , 18-Авг-20 19:47 
>>>они попытались очистить содержимое репозиториев через помещение пустого __начального__ коммита.
> Это как? Я ещё пойму если они просто пустой коммит залили, но

и как просто пустой комит чему-то напакостит?

> почему он начальный?

потому что историю удалили. forced push.



"Взлом сборочного сервера и компрометация репозиториев сообще..."
Отправлено mos87 , 19-Авг-20 04:29 
нездоровая тяга к полуторапиксельному дерьму из 1500 одинаковых уровней

вообще соснольщина это нездорово. минздрав предупреждает!