Jeg har på nuværende tidspunkt ingen grund til at tro at Feddit.dk er påvirket, men det er muligt at indhold fra andre instanser er påvirket. Det havde blandt andet noget at gøre med custom emojier, hvilket Feddit.dk endnu ikke bruger.
Jeg har pga. generel forsigtighed roteret den hemmelige nøgle Feddit.dk bruger. Det betyder at i bliver logget ud og skal logge ind igen. Muligvis skal i også slette alle cookies fra Feddit.dk i jeres browser. I Firefox (både desktop og Android) skal i klikke på hængelås-ikonet og så trykke “Clear cookies and site data”.
Vær ikke overrasket hvis Feddit.dk går ned i noget tid i løbet af dagen, hvis jeg skal opdatere til en nyere version der forhindrer denne sikkerhedsfejl.
Tak til @leds for at gøre mig opmærksom på situationen.
You must log in or register to comment.
Tak for info. Så forstår jeg bedre at jeg ikke kunne logge på igen.
Og husk nu den gamle lærdom om ikke at bruge samme password mere end et sted. Brug i stedet en passwordmanager.
Godt råd. Som resultat af det her hackerangreb har jeg lige brugt et par eftermiddage på at få flyttet alle mine konti over i en password manager, og det er altså en lettelse endelig at få det gjort. Det var virkelig en øjenåbner, hvor mange konti jeg egentlig havde, og hvor let det sikkert havde været at kompromitere mange af dem.
Jeg har brug for gode råd til at overtale venner og familie. Jeg har venner der stædigt benægter password manager, da de påstår at de er gode nok til at bruge forskellige kode.
Kan tydeligt huske hvor svær jeg selv var at overtale, og er ikke selv sikker på hvad der fik mig overtalt. Det viste sig så at jeg i ekstra høj grad trængte til det. Jeg har pr. d.d. 384 gemte logins tilbage i firefox, som er dem jeg ikke har migreret til min password manager. Bevares, en del af dem er nok lokale kontrolpaner, men en god sjat er tjenester som er lukket ned eller jeg ikke bruger længere.
Jeg har en ven, der ligeledes har været svær at overtale til at bruge Git i sin kodeprojekter, da han jo havde clipboard.
Som man siger, You can lead a horse to water, but you can’t make it drink.
Eller som på dansk, du kan lede hesten til truget men du kan ikke tvinge den til at drikke :)
De danske udtryk klinger bare bedre
Tjek deres email på “have i been pwnd”. Hvis de faktisk har bare ét enkelt password der er lækket, og de får det vist, så kan forskrækkelsen være nok til, at de i det mindste vil overveje at gøre noget ved deres sikkerhed. Rigtig mange forstår ikke implikationerne ved datalæk. “Ja, de har min kode til hestenettet, og hva så?” - Ja nu har de koden og mailen dertil. Måske også en fødselsdato som der kan genereres nye kodeforsøg. Et kælenavn også? Lad os tjekke på andre lækkede lister og se om der er match. Dét var der - med samme kode, bare med nye cifre eller andre tegn. Og på dette læk var en adresse, lad os matche andre lister for læk der indeholder adressen osv.
Jeg tror også folk forstiller sig en hacker-man, der sidder og angriber DIG som person. “Hvorfor skulle de dog det? Jeg har intet at skjule”. Men det er i virkeligheden bots, og tit MEGET simple scripts som laver disse tjek tusinde gange på et sekund. Hvis der bliver bygges en stærk profil af dig, kan den enten bruges til at sælge til hackere, eller hvis man er så uheldig, at der også var kreditkort oplysninger i profilen, tømme ens bankkonto ud i intetheden (crypto), hvor banken måske ikke kan redde én.
2FA er bedre at få preached til familien først. OG FOR GUDS SKYLD IKKE GOOGLES ELLER MICROSOFTS LORT. Vælg noget der helst er offline, med crypteret backup til icloud eller google drive, hvis det er nemmere for dem. Password managers kan være en stor ting at sætte sig ind i, for ikke-tekniske. “2FA er jo ligesom det der nemID/MitID vi allerede bruger”.
Nogen, der kan forklare nærmere, hvilke konsekvenser dette kan have for de ramte instanser? I bedste/værste tilfælde?
I bedste tilfælde kommer der en opdatering hurtigt der fikser det og alle ramte instanser opdaterer og fjerner det indhold der blev lavet af hackerne. Og alle brugere skal logge ind igen og så sker der ikke mere ved det.
Værste tilfælde… altså det kan jo i værste fald gå meget galt. Hvis en admin bliver hacket kan de slette al data. Forhåbentlig vil der være backups dog, men hvis man snakker om værste tilfælde så er de jo også væk. Men det virker overordentlig usandsynligt.
Det var også primært ifht. hackede admin accounts, jeg ikke var helt sikker på, hvor meget rod de egentlig kunne lave på instansen. Men du har ret i, at de selvfølgelig bare kan ‘nuke’ det hele - og så afhænger det jo alene af, hvor god man har været til backups.
Tak for uddybning.
Jeg kan umiddelbart ikke logge ind igen i browseren, samme problem på lemmy.world
Jeg kunne logge ud og ind igen på Connect, og det er jo nok det vigtigste.
Prøv at slette dine cookies/sidedata, jeg havde samme problem på min telefon.
I Firefox (både desktop og Android) skal i klikke på hængelås-ikonet og så trykke “Clear cookies and site data”.
Virker - tak!
Jeg havde også nogle problemer fra Android app’en Jerboa (stod som Anonymous, kunne ikke kommentere…)
Det hjalp for mig at trykke ‘Sign out’ indtil knappen ikke længere blev vist og derefter logge ind igen. Dette tog 3-4 tryk for mig, selvom jeg kun var logget ind på to instanser 🙃
Lite mer detaljerad förklaring: Det här har inte med custom emojier att göra. När du skriver en kommentar kan du
göraformatteringstricks medMarkdown, men Markdown-parseren som Lemmy använder konverterar inte innehållet till plaintext när den lagras i databasen, vilket gör det möjligt att gömma körbara skript i en kommentar.Hackaren länkade bilder i kommentarerna vars alternativtext innehåller skriptet som stjäl autentiseringsnyckeln av användare som laddar kommentaren. Med den metoden fick hackaren tillgång till en av adminernas konton och la till bilden med skriptet i lemmy.world:s sidebar, så alla inloggade användare skulle få sin nyckel stulen (eftersom sidebaren laddas på varje sida).
Admin kan lägga till
script-src 'self' 'nonce-$RANDOM'till instansens Content Security Policy på proxyservern för att blockera körbara skript på sidan.Så vidt jeg forstår har det noget med custom emojier at gøre, fordi de bruger en specialiseret markdown-rendering, som desværre har denne sikkerhedsbrist. Normalt markdown rendering skulle være okay.
Removed by mod
Ja, men det er så vidt jeg forstår kun custom emojis der bruger den markdown-renderer og det er kun hvis det er lokale custom emojis - custom emojis fra andre instanser skulle ikke være et problem, så vidt jeg kan se.
Beklager, men jeg sletter altså lige din kommentar da jeg ikke vil have instruktioner eller linket til den side stående.
Ingen fara, jag postade bilden eftersom skriptet är dolt (det visas bara de första få tecken men jag kan förstå hur andra skulle kunna klura ut tricket här då det finns andra bilder med hela skriptet inuti). Det är samma Markdown-renderen med stöd för custom emojier som används i alla textfält på Lemmy. Alla fält som visar text på 0.18-instanser och senare är sårbara för attacken om det inte införs en Content Security Policy som blockerar körbara skript.
Det är samma Markdown-renderen med stöd för custom emojier som används i alla textfält på Lemmy.
Jo, men igen, den bruges aldrig på Feddit.dk siden vi ikke har nogen custom emojis endnu :). Så den sårbare kode røres aldrig. Det er hvad jeg selv forstår og hvad andre admins jeg snakker med har fortalt mig.
Utvecklaren själv tvivlar på att det ska vara endast emojis. Skärmavbilden nedan visar att det inte är en emoji utan en inbäddad bild.
Och finns det något hemligt nätverk av Lemmy-admins? På Matrix?
Ja matrix og nej det er ikke hemmeligt på nogen måde https://join-lemmy.org/contact
Nogen der kender til et bug bounty program på Lemmy?
Ikke noget jeg kender til. Spørgsmålet er vel også om den skulle betales af udviklerne eller enkelte instanser. Men måske udviklerne giver bedst mening. Men altså. Det er jo ikke for-profit. Hvis man finder en fejl synes jeg da bare man bør rette den.
helt enig, men de har et budget, hvor det kunne give mening. Desværre er det jo sådan at ikke alle er lige godhjertede, og talentet nogle gange findes hos det modsatte team. Ville helt klart mene det ville lægge hos udviklerne, med mindre sikkerhedsfejlen er instans-specifik
