Хакеры получили доступ к базе данных OVH.com

[gramilla]

Это очень плохо. Спасибо за информацию т.к. OVH не делало рассылку. Сменил все пароли.

[elve]

Делали рассылку вчера ночью. Я сразу после письма поменял пароли.

[EminH]

Я не получал (правда сервер не в Канаде)

Теперь к фильтрации по ip и доступа по паролю, добавился USB токен YubiKey

хорошо бы и для пользователей внедрить 2fa

[Ethiopian]

Астрологи объявили неделю взломов? Не здоровая какая-то тенденция.

[bockra]

астрологи объявили подготовку к Defcon

[amarao]

Что значит «не забрали ssh-ключи с сервера»? Подразумевается «не удалили ssh-ключи с сервера»?

А на кой ляд его туды подкладывают?

[Tranced]

Честно признаюсь, не знаю. Но в официальном источнике присутствует такая фраза:

As for the server delivery system in Canada, the risk we have identified is that if the client had not withdrawn our SSH key from the server, the hacker could connect from your system and retrieve the password stored in the .p file.

[amarao]

Очевидно, что речь идёт про ~/.ssh/authorized_keys. И его можно только «удалить», «устранить», «очистить» и т.д., но никак не «забрать».

Кстати, пропустили критическое «our», то есть «ssh-ключ от сервиса». Без этого можно только гадать чей ключ там надо было потереть.

[Tranced]

Вот чёрт, это критическое «our» я и не мог увидеть до вашего комментария. Исправился, спасибо!

[amarao]

Это всё равно не снимает вопрос на кой ляд его туды подкладывают. (Как человек, занимающийся чем-то примерно похожим, могу сказать, что мы ключ «подкладываем», но это публичный ключ пользователя, который он явно указал, и у нас нет и быть не может соотв. закрытого ключа).

Нафига они этот ключ клали, да ещё его закрытую часть где-то у себя хранили?

[intnzy]

Нафига они этот ключ клали, да ещё его закрытую часть где-то у себя хранили?

«бэкдор» для техподдержки? так сказать, на всякий случай.

[inkvizitor68sl]

Бэкдор же. «Что вы мне тут дали, куда сайт класть!!!111». Это же OVH, там много серверов арендовано людьми, которые про putty никогда не слышали (не говоря уж про openssh клиент нативный).

[opium]

Нет речь идет о пароле который устанавливают при установке os на сервер, его можно посмотреть в панели управления вроде как.
Ключи они там никакие не ложат.
Но в целом уязвимость такого же уровня.

[timukas]

Почему "inviting them to change their password" переведено как "были разосланы письма с новыми паролями для доступа к серверу"?

[Tranced]

Потому что в следующем абзаце присутствует фраза "An email will be sent today with the new password" и относится к канадским клиентам.
А "inviting them to change their password" это "всем клиентам рекомендуется сменить свои пароли".

[d00kie]

Не… смешно… я знаю я всех уже достал с багами в Struts2 во всех топиках — developer.apple.com, qiwi.ru. Но просто OVH.com имеет Struts2 для одного из сервисов с аутентификацией какой-то… И он не патченный. Прям щас может любой желающий получить шелл там…