Niebezpiecznik

W styczniu i w lutym zwykle ruszają rekrutacje na studia zaczynające się od semestru letniego. Postanowiliśmy to uczcić kolejnym, szóstym już przeglądem wpadek uczelni wyższych związanych z bezpieczeństwem i ochroną danych. Podtrzymujemy to o czym pisaliśmy w każdym odcinku tego cyklu do tej pory — uczelniane systemy wydają się zbyt duże i zbyt zróżnicowane, a niekiedy po prostu przestarzałe aby zapewnić im szczelność (to pewnie wina doktorantów, którzy w końcu znaleźli sobie lepiej płatne posady i opuścili swoje Alma Mater ;).

W najnowszym odcinku wpadki zaliczyły się m.in.:

• Wojskowa Akademia Techniczna
• Uniwersytet Technologiczno-Humanistyczny w Radomiu
• Uniwersytet Gdański
• Politechnika Warszawska
• Uniwersytet Pedagogiczny w Krakowie.
• Uczelnia Łazarskiego
• Uniwersytet Ekonomiczny we Wrocławiu.
• Uniwersytet Warszawski

A także prześwietlamy korespondencję szkoleniową między COI a Urzędem Miasta w Poznaniu i opisujemy wyciek danych “studentów” firmy szkoleniowej Luqam.

Admin z WAT dostawał kopię poczty

Nasz Czytelnik – nazwijmy go Amadeusz – studiuje na WAT. Pewnego razu wydrukował sobie pewne dokumenty i wysłał je na swoją studencką skrzynkę w domenie @student.wat.edu.pl. Jakże się zdziwił, gdy otrzymał odpowiedź automatyczną z adresu pewnego administratora

Dziękuję za wiadomość. Do dnia ‪06 stycznia‬ jestem poza biurem, z ograniczonym dostępem do poczty.

Oczywiście Amadeusz nic do tego pracownika nie wysyłał. Co zatem się stało? Czy jakieś maile lądują na skrzynce administratora bo ustawił filtry podsłuchujące pocztę studentów? A może — o zgrozo — “mirroruje” wszystkie e-maile jak leci?

Domyślaliśmy się odpowiedzi, ale najprościej było spytać o sprawę Ewę Jankiewicz, rzeczniczkę uczelni. Pani Ewa potwierdziła nasze przypuszczenia. Studenci WAT mają konta w chmurze Microsoftu – Office 365. Ta chmura ma ochronę antyspamową, która została skonfigurowana w taki oto sposób.

Jak zapewne się domyślacie, wiadomość z dużym załącznikiem została uznana za spam.

– Logi systemu pocztowego nie wskazują na inną aktywność w podanym przez Pana redaktora temacie. Z uwagi na brak możliwości wpływania bezpośredniego na mechanizmy klasyfikujące wiadomości jako spam w chmurze Microsoft, pierwsza z opcji (wysyłanie kopii wiadomości) została wyłączona – powiedziała nam Ewa Jankiewicz.

W tej sytuacji administrator nie miał wpływu na to jaką pocztę przejmie. Wszystko zależało od wspomnianych mechanizmów kwalifikujących. Mamy nadzieję, że studenci byli naprawdę ostrożni z tymi dużymi załącznikami :-)

Prywatne serwisy — problemu ciąg dalszy

W poprzednim odcinku uczelnianych wpadek pisaliśmy o “prywatnych” serwisach tworzonych przez wykładowców, do których niestety trafiają dane studentów, nie zawsze za ich zgodą. I znów dowiedzieliśmy się, że pewien wykładowca Uniwersytetu Technologiczno-Humanistycznego z Radomia zamieszczał na swojej stronie protokoły zaliczenia z przedmiotów. W ogólnodostępnych PDF-ach znalazły się nazwiska, numery albumów i informacje o ocenach kilkudziesięciu osób.

Zauważcie, że celowo napisaliśmy “pewien wykładowca”. Tak naprawdę mielibyśmy prawo wymienić tego wykładowcę z nazwiska i nie byłoby to naruszeniem żadnych zasad ochrony danych. Uważamy jednak, że wystarczy wskazanie tego zachowania jako niewłaściwego i na tym poprzestaniemy.

Czy wykładowca postąpił właściwie publikując protokoły? Może miał na to zgodę studentów lub było to zgodne z zasadami panującymi na uczelni? Oczywiście spytaliśmy. Odpowiedział nam  Inspektor Ochrony Danych UTH Michał Czyżewicz.

Informuję, że działanie Wykładowcy nie jest zgodne z Naszą polityką bezpieczeństwa, wskazany plik został usunięty ze strony ponadto Wykładowca został pouczony i upomniany w sprawie stosowania obowiązującej na Naszej Uczelni polityki bezpieczeństwa

Studenci się zgodzili, ale uczelnia nie

Pewien wykładowca Uniwersystetu Gdańskiego postanowił publikować wyniki egzaminów na swojej stronie. Znów PDF z nazwiskami, numerami albumów i ocenami ujrzały światło dzienne. Oto jeden z nich.

Na nasze pytania skierowane do uczelni odpowiedziała Pani Monika Rogo z biura rzecznika prasowego i co ciekawe… tym razem wykładowca miał zgodę studentów na publikację. Mimo to uczelnia poprosiła o usunięcie danych.

Dane z ocenami i nazwiskami studentów Uniwersytetu Gdańskiego ukazały się na prywatnej stronie pracownika uczelni. Pracownik wytłumaczył publikację danych uprzednią ustną zgodą studentów. Zgodnie z procedurami Uniwersytetu Gdańskiego i rozporządzeniem o ochronie danych osobowych (RODO) takie działania są nieprawidłowe. Informacje te zostały przekazane dzisiaj pracownikowi, który natychmiast usunął dane ze swojej prywatnej strony. Uczelnia wdroży kolejne działania przypominające o zakazie umieszczania tego typu danych na ogólnie dostępnych stronach. Uniwersytet Gdański posiada na swojej stronie tzw. Portal Studenta, w którym publikowane oceny są widoczne tylko dla danej osoby i tylko jej dotyczą.

W razie ewentualnych kolejnych analogicznych sytuacji uprzejmie prosimy o przesyłanie maili dodatkowo również do Biura Ochrony Informacji Niejawnych i Danych Osobowych Uniwersytetu Gdańskiego na adres: poin(at)ug.edu.pl. Przyspieszy to wdrożenie koniecznych procedur na uczelni.

My również uważamy, że dane należało usunąć. Dlaczego? Bo w podobnych sytuacjach student może czuć się przymuszony do zgody na opublikowanie jego danych, co również stawia pod znakiem zapytania dobrowolność zgody. Docierały do nas zresztą sygnały, że niektórzy z wykładowców-bohaterów naszego cyklu krytykują nasze publikacje i sugerują studentom, że nadmierna dbałość o swoje dane jest czymś niemądrym. Będziemy tu brutalni, ale bycie specjalistą w jakiejś dziedzinie akademickiej, jakkolwiek jest godne szacunku, nie zawsze idzie w parze z rozsądkiem jeśli chodzi o bezpieczeństwo IT. Czasem trzeba, no wiecie, zmienić granice całkowania, żeby dojść do dobrych wyników.

Numer dowodu jako hasło?

Systemy biblioteczne to klasyka gatunku, pierwszy chłopiec do bicia w naszych zestawieniach uczelnianych. Otrzymaliśmy od jednego z Czytelników kolejny mail w tej sprawie.

Jestem studentem Uniwersytetu Pedagogicznego w Krakowie i tam w bibliotece aby się zalogować trzeba nr studenta a hasłem jest nr dowodu osobistego. Moje pytanie po co biblioteka ma znać mój nr dowodu jako hasło?  W przypadku ataku na BG UP nie powołane osoby dostały by mój nr dowodu osobistego.

Wielokrotnie już pisaliśmy, że numery z różnych ewidencji nie powinny być loginami ani hasłami. Z dwóch powodów. Po pierwsze najlepiej jest, gdy login i hasło nie ma żadnego związku z osobą, która go używa. Po drugie – wyciek loginów czy haseł nie powinien się stać jednocześnie wyciekiem numerów dowodów. Zasugerowaliśmy uczelni, że naszym zdaniem ta praktyka nie jest dobra i należałoby ją poprawić. Uczelnia odpisała nam, że nie widzi dużego problemu, ale weźmie sugestie pod uwagę (poniżej fragment odpowiedzi przesłanej przez  rzeczniczkę Dorotę Rojek-Koryznę).

Zakres wymaganych danych do logowania do systemu bibliotecznego nie stanowi nadmiernego przetwarzania danych osobowych, zwłaszcza, że użytkownik ma możliwość ich ograniczenia poprzez zmianę hasła (…) Dziękujemy za przesłane uwagi i zainteresowanie tematem. Dbanie o bezpieczeństwo danych to ciągły proces, podczas którego każda informacja, zgłoszenie, sugestia prowadzi do pewnych refleksji O ile w danym przypadku nie możemy potwierdzić obaw wyrażonych w Pana e-mailu, o tyle możemy zapewnić, że przedmiotowy postulat będzie brany pod uwagę podczas ewentualnych modyfikacji systemowych.

Na stołecznej politechnice bez zmian!

Bożydar (imię zmienione) podesłał nam zdjęcie obrazujące “standardowy sposób wywieszania wyników na wydziale Inżynierii Lądowej PW”.

Dobrych wyników gratulujemy! Uczelnie wzywamy na egzamin poprawkowy.

Wyszukaj sobie studenta

Od Czytelnika dowiedzieliśmy się, że Uczelnia Łazarskiego ma platformę LDL, która po zalogowanie daje dostęp do listy wszystkich studentów, pracowników w połączeniu z kierunkiem studiów i rokiem. Dodatkowo po wejściu na forum istnieje  możliwość przeglądania składu wszystkich grup (w tym pracowniczych). W wirtualnej uczelni również jest wyszukiwarka studentów. Niby wymaga ona pełnego nazwiska, ale po wpisaniu  kawałka nazwiska też zwraca dane.

Różnorakie wyszukiwarki studentów to również klasyczny problem na uczelniach. W tym przypadku zrzuty robią wrażenie.

Reprezentująca uczelnię Marta Rogalska obiecała nam komentarz w tej sprawie w dniu… 23 maja. Do tej pory nie dostaliśmy.

Jednostkowy incydent, ale sprawdzili uważnie

Nasza Czytelniczka studiująca na Uniwersytecie Ekonomicznym we Wrocławiu zalogowała się do systemu USOS, niestety na konto pewnego pana Bartosza. Nazwisko też się nie zgadzało. Wyglądało to bardzo niepokojąco. Czyżby USOS mieszał sesje w trakcie sesji? Hehe, rozumiecie? Sesje w sesji. To śmieszne było!

Władze uczelni zareagowały na nasze zgłoszenie bardzo szybko. Wkrótce odpowiedział nam Jacek Styś, uczelniany Inspektor Ochrony Danych.

Po przeprowadzeniu analizy przypadku razem  z administratorami systemów wynika, że faktycznie konto p. [tu nazwisko] w usosweb omyłkowo zostało połączone z kontem p. [tu nazwisko Bartosza] w taki sposób, że po logowaniu poprzez CAS za pomocą poświadczeń użytkownika [nazwa użytkownika] i otwarciu strony usosweb wyświetlany był profil użytkownika [nazwa użytkownika-Bartosza].

Odwrotna sytuacja nie zachodziła, do konta [///] w usosweb nie miał nikt dostępu, gdyż jej identyfikator nie był nikomu przypisany (a zamiast jej własnego przypisany był identyfikator p. [///]).

Wygląda na to, że był to jednostkowy incydent  wynikający  z faktu, że obie te osoby brały udział w tej samej rekrutacji na studia 3 stopnia i podczas zakładania kont wystąpił błąd przydzielania identyfikatorów.

Przy okazji zleciłem przeprowadzenie audytu pozostałych kont w systemie usosweb pod kątem zaistniałej sytuacji, aby sprawdzić czy podobny problem nie występuje w przypadku innych kont, ale wygląda na to, że sprawa dotyczyła tylko  tego jednego konta.  Nie ma więc tutaj sytuacji wycieku danych na szerszą skalę, jedynie miało miejsce chwilowe uzyskanie dostępu przez do danych p. [///] (ale jedynie tych przechowywanych w usosweb).

Cieszymy się, ze tak uważnie to sprawdzono. Pełny profesjonalizm.

Torrenty na Uniwersytecie Warszawskim

Na stronie pewnych studiów podyplomowych na UW znajdowała się interesująca treść.

To mało prawdopodobne, że UW postanowił stać się alternatywą dla The Pirate Bay więc daliśmy uczelni znać. Rzeczniczka przekierowała sprawę do pani Justyny Kaczorowskiej z agencji Su4ma, a pani Justyna przyznała, że wcześniej było włamanie na stronę.

Tak, wiemy już o tym, że strony studiów podyplomowych padły ofiarą ataku przez kogoś z zewnątrz. Pomimo haseł i zabezpieczeń strony (domyślamy się, że doszło do tego w jakiś sposób przez konto admin) zostały wstrzyknięte obce wpisy i linki do pobierania różnych nielegalnych rzeczy.

W chwili obecnej usuwamy te zainfekowane wpisy i czyścimy cała bazę danych, zmieniliśmy już hasła i uruchomiliśmy dodatkowe zabezpieczeni witryny przed takiego typu włamaniami. Proces czyszczenia jeszcze niestety trochę trwa, bo mamy aż 19 stron studiów podyplomowych, ale sukcesywnie wszystkie niepożądane treści zostaną w całości usunięte. Bardzo dziękuję za czujność.

Dzień później dostaliśmy kolejną wiadomość w tej sprawie, tym razem od kierownika Ośrodka Komputerowego Wydziału Zarządzania UW, pana Marka Mossakowskiego.

Po przeprowadzonej analizie, ustalono że niepożądane posty znalazły się w serwisie podyplomowe.wz.uw.edu.pl z powodu wykorzystania podatności WordPress’a na zawirusowanie skryptem WPCoreSys.php. Artykuł opisujący podobny atak: http://sarn.phamornsuwana.com/wpcoresys-dolly-hack/
Serwis został oczyszczony z obcych wpisów. Podjęto również kroki w celu lepszego zabezpieczenia serwisu.

Dziwne treści na stronach uczelni to też klasyczny problem. Zdarzają się także ciekawsze anomalie, np. koparki kryptowalut.

Prowokacja?

Wypada nam odnotować, że nie wszystkie wasze zgłoszenia się potwierdzają. Przykładowo pewien Czytelnik podesłał nam poniższe zdjęcie z informacją, że doszło do wycieku “danych tysięcy studentów wraz ze zdjęciami, PESEL-ami, numerami dowodów i adresami”.

Hę!

Rzecznik prasowy uczelni – Joanna Orłowska – zaprzeczyła autentyczności doniesienia. Jej zdaniem sprawa dotyczyła uczelnianej platformy e-learningowej, na której w godz. 11.50-14.30 wyświetlano inny komunikat.

Treść komunikatu mogła zostać zmieniona w przeglądarce użytkownika za pomocą funkcji developerskich i przesłana do Państwa. Na platformie elearningowej nie przechowujemy danych, o których Pan pisze (tj. adres, nr PESEL czy nr dowodu), a zatem nie może być mowy o ich wycieku. W naszej opinii mamy  w tym przypadku do czynienia z prowokacją – stwierdziła Joanna Orłowska w e-mailu do redakcji Niebezpiecznika.

Dostajemy do was również inne sygnały, które ostatecznie okazują się mniej groźne np. informacje o wyciekach danych osób, z którymi uczelnia zawierała umowy. To są w istocie informacje publiczne, które powinny wisieć online tam gdzie wiszą i tam gdzie je znajdujecie. Choć z tego “wpisu nie będzie” to nie mamy z tym problemu. Nie chcemy też zniechęcać Was do sygnalizowania nam problemów. Ba, bardzo doceniamy każde zgłoszenie. Piszcie zawsze, gdy coś wygląda podejrzanie lub czujecie, że jakaś praktyka (nawet zgodna z prawem) jest naganna. My z chęcią sprawdzamy każdy cynk.

COI szkoli

Szkolenia to może nie to samo co studia, ale w naszym uczelnianym cyklu zahaczaliśmy już o szkoły średnie i inne formy edukacji. Może więc warto przyjrzeć się szkoleniom wewnątrzfirmowym? Jeden z Czytelników podesłał nam kopię maila w sprawie szkolenia, którego do COI wysłał ktoś z Urzędu Miasta w Poznaniu.

Mail doczekał się odpowiedzi.

Urzędnikom radzimy, by zapoznali się z menedżerami haseł i aby nigdy nie korzystali z tych samych haseł w różnych miejscach.

Przyszły audytor wypatrzył problem

W tematykę szkoleniową wpisuje się także inne, poważniejsze zgłoszenie. Dotyczyło ono firmy Luqam, która organizuje szkolenia m.in. dla audytorów bezpieczeństwa informacji ISO 27001. Nasz Czytelnik – zapewne przyszły audytor – dostrzegł, że połączenie ze stroną nie było szyfrowane, a dane uczestników dało się zobaczyć poprzez manipulowanie adresem w postaci http://www.szkolenia.luqam.com/zobacz.php?id=8342.

Dostępne dane obejmowały nazwiska, adresy, e-maile, numery telefonów i informacje o uczelni, na której dana osoba studiuje. Na szczęście firma Luqam szybko zareagowała na nasze zgłoszenie. Prezes Łukasz Ekiert odpisał nam tak:

W trybie korekcyjnym osunęliśmy stronę i powołaliśmy tryb zastępczy do wykonywania zapisów.

Sytuacja uruchamia  w naszym systemie zarządzania procedurę incydentu bezpieczeństwa do której planujemy i wdrażamy działania korygujące w nieporozumieniu z właściwymi organami nadzorczymi.

Z drugiej arony jestem w chwili obecnej w trackie wdrażania systemu ERP z modułem szkolenia zaprojektowanym z uwzględnieniem wymagań przepisów i rozwiązań zapewniających bezpieczeństwo. Nie mniej jednak jak pokazuje praktyka niezależnie od auditow dotychczas prowadzonych rozwiązania nie zawsze są w pełni sprawne i bezpieczne.

Saga trwa…

Ten tekst prezentuje tylko małą część znanych nam problemów z ochroną danych na uczelniach i w placówkach oświatowych. Usuwanie skutków innych znanych nam problemów jest w toku, dlatego nie opisaliśmy ich w tym odcinku. Ale wrócimy do nich na pewno — materiału jest na co najmniej dwa kolejne artykuły :)

Jeśli po raz pierwszy czytasz nasz przegląd uczelnianych wpadek, zachęcamy do przejrzenia poprzednich odcinków:

1. Wyciek 11 000 CV studentów z Uniwersytetu Wrocławskiego i sposób na usunięcie niektórych studentów Politechniki Warszawskiej z egzaminów. Czyli polskie uczelnie na bakier z bezpieczeństwem
2. Wpadki polskich uczelni cz. II. Wycieki danych studentów i wykładowców, dziury w systemach itd.
3. Wpadki polskich uczelni cz. III. Ujawnienie danych studentów, niska świadomość bezpieczeństwa pośród wykładowców i kopanie kryptowalut
4. Wyszukiwarki studentów, publiczna lista usterek i niebezpieczne punkty ksero, czyli uczelnianych wpadek cz. IV
5. “Prywatne” serwisy wykładowców z danymi osobowymi, czyli uczelnianych wpadek część V

Już po raz szósty dziękujemy Wam, Drodzy Czytelnicy, za stałe nadsyłanie “uczelnianych kwiatków”. Niech Wam egzaminator na sesji wynagrodzi, a piwo tanim będzie!

Jeśli coś nam podesłałeś, a nie widzisz tego w tym artykule, to oznacza, że możemy być jeszcze w trakcie wyjaśniania sprawy, czekamy na załatanie problemu, albo z innych powodów musieliśmy odłożyć publikację. Nie martw się jednak, ten cykl będzie trwał i trwał… A jeśli nam czegoś nie podesłałeś, to na co czekasz? Rozejrzyj się po uczelni, jesteśmy pewni, że coś znajdziesz i czekamy na kontakt :)