[update-20240221] "Feltörhették a KRÉTA-t, a diákok adatai is kiszivároghattak"

Vagy csak nincs előre installálva az alusapka, és okosabban használja a szociális médiát?

Akkor várom azokat a tényeket, amelyek segítenek naivságom megszütetésében.

Aha, aha.. Véletlenül most került terítékre.

tanárhergelés

azt a leborult szivarvéget.. 

Akkor másképp tegyük fel a kérdést: Miért van a PM-nek kiemelt, nem esetileg aktivált teljes támogatói hozzáférése az éles rendszerhez?

Mar ott hibazik az egesz, hogy egy - egy embert god mode -val ruhazunk fel.

Azokból az infókból indulok ki, amit az újságíró leírt. Ha kiderült, hogy egy embert szedtek rá, akkor nem írom a cikk címébe, hogy a rendszert törték meg.

Bízom benne, hogy érted a különbséget.

Szerintem Trey simán megvédi ezt is.

Bot úgysem próbálkozik "And"-al se " and and " -al, se " a and nd"-al ennyire nem komplex lények. 

Felhasználók jelentős része az MFA-val védett szolgáltatást azon a telefonon nyitja meg, ahol a token elérhető.

Egyébként API is lehetett a támadási felületet vagy bármi, semmilyen releváns információt nem közöltek róla.

Trey azt mondja, hogy nem az e-krétát törték meg csak volt egy kretén aki szeret kattintgatni és ennek a kreténnek mindenhez is joga volt és ezt úgy sem sikerült kivédeni , hogy ott van pénz

Abban egyetértek, hogy a feltörték az krvára nem ugyan az, mint hogy illetéktelenül hozzáfértek.

Attól pedig, hogy van pénz lóvéra, okosabbak sajnos(?) nem lesznek. sehol. Én is láttam már nemy egy rendszert, ahol nagyfőnöknek god mod járt, mert hát 'ő a főnök'. Ez szimpla hülyeség.

Hülyeség ellen pedig egyetlen rendszer sem véd, mindegy mennyi pénzt költesz rá.

Szerintem.

Ja, ilyen specifikus baromságot egy tanár magától nem talál ki, főleg nem küld ki a szülőknek. Legalábbis remélem.

Ahhoz neked kell bizonyitanod, hogy hanyagul kezelték.

Azok a szülők, akik érintve voltak.

Igen, "szeretem" azt a hozzáállást, hogy ha a "kisember" hibázik, akkor a hibáját kenjük valami másra (kormány, állam, NISZ, faszomtuggya' mire), nehogy egyszer ki legyen mondva: igen, hibázott.

Értem ennek a pszichológiáját (ilyen velünk is bármikor megtörténhet, jó ha van arra precedens, hogy ilyenkor majd a személytelen izé elvitte a balhét), csak akkor lássuk azt is, hogy ezért tartunk itt. Mert itt soha, senki nem felelős semmiért, itt mindig más a hülye mindig. 🤷‍♂️

Nekem a "Ki beszélt az Ellenségnek?" tetszik nagyon, le sem tagadhatnák, hogy ők is a közbeszversenyszféra része. :)

uhh... hát ezek rendesen besétáltak a f*szerdőbe.

Feltették a forráskódot. Múltkor páran szétakadtak a másik állami cucc indulásánál a stacktracen (a sokadik kibertámadás volt éppen) amiben félig magyar elnevezések voltak... Nekik javaslom a xanaxot ennek a megnyitása előtt... :-D

Én meg erre azt mondom, hogy úgy van megcsinálva az üzemeltetés részéről, ahogy kérik. Ha a felelős IT Sec. vezetőn át tud menni az a kérés, hogy

• a fejlesztés szerint egy régi, sérült PHP verzión kell hagyni a foo rendszert, mert csak azzal működik, akkor az üzemeltetés azon hagyja
• ha a vezérigazgató/whatever azt kéri, hogy neki ne legyen 2FA beállítva, mert egy lusta geci és nem fog ezzel szívni, akkor nem lesz neki beállítva

ugyanis, nem az üzemeltetés felelőssége ez, hanem az IT sec. vezetőé. Adja írásba, aztán úgy lesz beállítva, ahogy kéri. Ha meg bazmeg van, akkor tartja a hátát.

Szerinted mi még nem futottunk bele olyanba, hogy enforce-ova volt egy biztonsági funkció (természetesen előzetesen tájékoztatva az érintetteket, akik szokás szerint basztak elolvasni), majd utána, amikor a beállítás effektív életbe lépett, jött a lebaszás, hogy hogy képzeljük azt, hogy akadályozzuk a kollégáikat a munkavégzésben, azonnal állítsuk vissza? Majd, mondtuk, hogy oké, de ennek ez meg ez a biztonsági vonzata, konzultálja meg ezt a CISO-val, majd 10 perc múlva ott volt a "papír", hogy engedélyezve?

Innentől kezdve az üzemeltetést mennyire kell, hogy érdekelje, hogy valaki tökön akarja szúrni magát? Igenis, ragaszkodni kell ahhoz, hogy ha nem a rendszert törték meg, akkor kimondjuk, hogy kit/mit. Mert nem mindegy, hogy ki viszi a balhét.

Akkor te áruld már el mi köze van a projekt manager M365-ös accountjának egy fejlesztési rendszerhez?

Miről beszélsz? Egy általános példa volt. 

Tényleg nem a RENDSZER a probléma, hanem a felhasználó?

Igen, egyrészt a felhasználó, másrészt az IT sec. vezető:

https://hup.hu/comment/2848579#comment-2848579

De attól a probléma maga, hogy egy bármilyen előképzettséggel rendelkező informatikai vezetőnek egy ekkora bevételű cégnél ilyen felállást egy percig nem szabadna hogy megtűrjön.

Egy ideális világba, willy:

https://hup.hu/comment/2848579#comment-2848579

De a legnagyobb kérdés, most mi van? Kussolás.

 Én ebbe a részébe nem folytam itt bele. Ne csapongjunk. Maradjunk a témánál.

Szerintem ironia volt, amire valaszoltal...

Persze. Teljesen publikusan elerheto. Tartalmazza a kreta forraskodjat is. Csak megfelelo sorrendben kell egymas utan irni.

A mai napig fáj, bár már 22 éves a projekt.
Tényleg érdekelne még valakit?

A történet valahol 1998 nyarán kezdődik, amikor az első sulinetes rendszergazda tábor került megrendezésre. Ott még az iskoláknak eléggé csenevész volt a sávszélességük és rendszergazdaként is rengeteg olyan feladathoz kérték a megoldást az iskolán belül, amit egy célszoftver pillanatok alatt előállított volna. Ekkor fogant meg bennem az ötlet, hogy ezt valahogy digitalizálni kellene. A projekt ekkor elindult C++ Qt alapon: az adatbázis lokális az iskola szempontjából, de lehetőség van központi statiszikai adatok lekérésére, stb. Már itt megjelent az, hogy a szülőket és a tanárokat is bevonjuk az iskola életébe: a szülő kapjon emailt, ha hiányzik a gyerek, illetve az akkor népszerű érettségi tételsorokból kiindulva lett volna benne egy óravázlat, hogy a gyerek akkor is tudja, hogy mi volt az óra anyaga és házi feladata, ha éppen hiányzott. Erre még épült volna pár szociológiai modul, amivel az egyes problémás gyerekeket lehetett volna meghatározni (itt minden gyerek 10 gyereket jelölhetett volna mint jó fej meg 10-et mint rosszfej és ebből az adatbázisból a klikkesedések és problémás egyedek kiemelkedtek volna) (Ja meg órarend generálás)

1999-es rendszergazda táborra már kész tervvel érkeztem. Az esti tábortűz mellett előadtam, hogy tuti jó rendszer lesz, GPL-es, Windowson és Linuxon is fog futni. S előadtam, hogy hogyan kell elképzelni ezt a működés közben (minimális POC már volt ekkor) . Mondtam 3 példát: A (szülő ott ül a fürdőkádban és láthatja, hogy progresszál a gyerek) B és C. Az elképzelések nagy sikert arattak, a többiek mondták, hogy go. Pénz nincs az iskolájuknál, de egy ilyen dolog segítene.

2000-ben ismét rendszergazda tábor, de egy nagy cég megjelenik. Azt mondja, hogy kitalálták, hogyan lehetne a mi életünket könnyebbé tenni. S akkor mond is rá három példát: A (szülő ott ül a fürdőkádban és láthatja, hogy progresszál a gyerek) B és C. Gyakorlatilag szó szerint visszahallottam azt, amit egy évvel korábban mondtam. 

A projekttel küzdöttem tovább, de a következő rendszergazda táboroknál egyértelmű lett, hogy itt szabályozással és jogalkotással lesz az én projektem ellehetetlenítve, nem is érdemes küzdeni. A projektet átformáltam, lett belőle szakdolgozat amit eredményesen megvédtem.

Ami igazán zavar, hogy ha odajöttek volna hozzám, hogy öcsipók, érdekel ez a projekt, kilóra megveszünk és nekünk lefejlesztheted, akkor nagy eséllyel azonnal igent mondtam volna. Az ötlet jó volt és sokkal jobban illeszkedett az iskolai infrába és logikába, mint ami végül is jött helyette, ráadásul a decentralizáltsága miatt a rendelkezésre állása jobb is lett volna, mint ami helyette jött. Ez utóbbi emlékeim szerint nagyon sok éven keresztül problémás volt a sávszélesség miatt (lassú volt vagy nem elérhető).

A projektről maradt néhány screenshot: https://nebulon.hu/ss/
(S mielőtt szétszedtek: ez egy közel 20 éves projekt. Akkor még SQL támogatás sem volt a Qt-ban :D. Szóval easy, please ...)
 

Detto. Csak 2000-ben.

Nekem is hasonló időben volt egy intranetes e-naplóm használatban Pannonhalmán, a papyrus. Az elsők közt voltunk, akik az érettségi anyakönyvet is ezzel nyomtattuk, illetve félévkor grafikonokkal és szöveggel ("dicsértek" is a kollégák) ellátott bizit küldtünk ki. :-) De a tanári fogadónap szervezésekor vagy a buszos hazautazás szervezésekor, illetve osztálykép-rendeléskor is hasznos volt.

(Lesson learned: a session kezelésre figyelni kell erősen. Egy lelkiismeretes kollégám 60 percnél tovább töltött ki egy osztályhoz szöveges értékeléseket, majd pedig elszállt a session.)

Jah, csak nehogy olyan legyen, mint hogy Ed Sheerant minden héten bepereli valami kis zenészecske, hogy az ő zenéjét lopta el, Sheeran meg sorra nyeri ellenük a pereket. :D