Flere trusler udsendt via Aula-konti

Nu kender jeg ikke Aula, men er det virkeligt muligt, at logge ind og sende en besked på vejne af en anden bruger anonymt? Eller hvordan er det foregået?

Men det er vel som det også var med Skoleintra - defult password sendt ud til alle elever - dem der ikke ændrer har det samme passwords. Det er en af de fælder de kan have gjort. Men så længe de ikke kører 2faktor login mm - evt med en APP på tlf eller lign - så er det jo kun en email og kode der validerer brugeren.

Et simpelt lille scripts - gætter dette password indenfor kort tid

Nu kender jeg ikke Aula, men er det virkeligt muligt, at logge ind og sende en besked på vejne af en anden bruger anonymt?

Ja, selvfølgelig. Det er jo bare brugernavn og password, har man de to, kan man logge ind som om man er den person.

Ligesom alle mulige andre konti, vi har rundt omkring.

Ah ok, jeg gik ud fra, der skulle bruges nemid eller noget to-faktor til login. Det er da ret bekymrende.

Aula benytter UNI-login som er den nationale løsning for entydig identifikation af personer i uddannelsessystemet.

Elevernes bruger id og adgangskode er ikke sammensat af en default algoritme men er faktisk rimelig komplekse, så i det pågældende tilfælde må disse være blevet afluret på en eller anden vis.

Men det er vel som det også var med Skoleintra - defult password sendt ud til alle elever - dem der ikke ændrer har det samme passwords. Det er en af de fælder de kan have gjort.

Nej. Prøv at gætte igen

Overskriften nævner at der er udsendt flere trusler via Aula-konti, men i artiklen står der at truslen i Thisted er sendt ud via an hacket Aula konto OG længere nede via iMessage...

»Truslen var sendt fra en 13-årig elevs profil på skolens intranet, Aula. Den indledende efterforskning peger dog på, at det ikke er den 13-årige selv, der har sendt beskeden,« oplyste Midt- og Vestjyllands Politi i en pressemeddelelse udsendt i går om truslen mod skolen i Thisted.

Hvad Thisted-sagen angår, så fortalte TV 2 Nyhederne i samarbejde med TV Midtvest historien om, hvordan en bombetrussel mod skolen i Thisted var blevet udsendt via Aula.

og

Denne trussel blev udsendt via Apples beskedtjeneste, iMessage. Den 13-årige har ikke en iPhone, oplyser DR, og derudover sad han til afhøring hos politiet, mens han skulle have sendt truslen.

DR skriver det samme i deres artikel.

Hvad er op og ned? Kan Aula nu sende beskeder via iMessage eller har flere journalister hos DR og Version2 misforstået sagen eller blot kopieret hinandens artikler uden at tjekke fakta?

Hvad er op og ned?

Det er jo lige det - med den sidste trussel der er kommet, så lader det til at der er tale om tre uafhængige trusler, eller benyttede profiler.

Men det finder vores fantastisk IT kyndige politi jo nok ud af, og ellers beder de vel Netcompany hjælpe dem med at lave røgslør ^^^^^ finde sandheden.

Elevernes bruger id og adgangskode er ikke sammensat af en default algoritme men er faktisk rimelig komplekse, så i det pågældende tilfælde må disse være blevet afluret på en eller anden vis.

For 10 år siden da min datter begyndte med IT i skolen, hang der en liste med alle elevernes passwords i klassen, så de bare kunne gå der op og se det hvis de havde glemt det.

Der opfordres heller ikke til at skifte password, men at koden er den samme hele skoletiden og derefter. Det sikrer at de kan huske password, men det er vist ikke helt up to security.

Måske der skulle lidt mere IT sikkerhed på skoleskemaet. F.eks. hvordan laver jeg et sikkert password og husker det.

Hvad er op og ned?

https://nyheder.tv2.dk/samfund/2019-11-20-aula-misbruges-til-at-sende-tr...

Der er tale om mindst ni skoler i Jylland, der har modtaget trusler via Aula.

Der begynder at tegne sig et mønster, og vist ikke til Aulas fordel.

For 10 år siden da min datter begyndte med IT i skolen, hang der en liste med alle elevernes passwords i klassen, så de bare kunne gå der op og se det hvis de havde glemt det.

Det er min opfattelse, at sikkerheden omkring elevernes uni-login er meget løsagtig. Jeg har set sedler med elevernes login ligge på borde og katedre flere gange.

Vi fik udleveret en seddel af skolen med brugernavn/pw samt besked på, at vores barn skulle øve sig i at huske det.

• Jeg gætter på skolen stadig har en kopi, såfremt det glemmes (6-7 årige og voksne kan have svært ved at huske en 8-cifret abritrært sammensat kode af bostaver og tal). Det er jo smart til når der skal laves fx trivselsundersøgelser.

Jeg har selvsagt lavet password om og pt. er det kun mig der kender det, men på et tidspunkt bliver det nok desværre nødvendigt, at videregive det til min søn så han kan følge undervisningen m.v.

Der begynder at tegne sig et mønster, og vist ikke til Aulas fordel.

Helt enig. Hvis man antager at en elev-konto er begrænset til kun at kunne oprette besker (og trusler) til elevens respektive skole, og der er tale om en gerningsmand, så må vedkommende enten have skaffet sig adgang til minimum 9 forskellige UniLogin konti tilknyttet forskellige skoler, ellers må der være et hul i UniLogin eller Aula.....

Det er min opfattelse, at sikkerheden omkring elevernes uni-login er meget løsagtig. Jeg har set sedler med elevernes login ligge på borde og katedre flere gange.

Løsagtig er ikke ordet, der er nul sikkerhed. Da min datter i første klasse skulle deltage i trivselsundersøgelsen, der fik forældrene at vide at de ikke skulle ændre deres barns kodeord til uni-login, da lærerne jo ellers ikke kunne hjælpe dem med at logge ind. Og da de fik udleveret Chromebooks, der blev Google kontoen oprettet med samme brugernavn og kodeord som deres uni-login.

Men det er jo hvad man kan forvente når man forlanger at 7-8 årige skal bruge de digitale platforme.

Jeg lavede et foredrag om digitalt selvforsvar i Coding Pirates Viborg (7-15 år) for et par uger siden, og hvis stikprøven matcher populationen nogenlunde, så er det eneste overraskende, at forgængeren ElevIntra ikke blev misbrugt i samme omfang. Her er et udpluk af piraternes 'krigsberetninger':

• Ingen havde skiftet koden til deres Uni-Login siden udlevering
• De fleste brugte samme kode flere steder
• På flere skoler havde læreren lige en liste med elevernes brugere/kodeord
• På en skole skulle man have fat i en specifik voksen for at skifte kode
• Alle havde mistet adgang til en konto (dog ikke Uni-Login), oftest som følge af dårlig sikkerhed

Når det står sådan til, så overrasker det da ingen at det står galt til. De pågældende skoler tilbyder garanteret også mail-adresser til eleverne, hvor brugernavn matcher Uni-Login. Den mail har eleven så anvendt ét eller andet sted, hvor (samme) kode er anvendt, og så har vi balladen. iMessage kan forklares af, at eleven har brugt sin skole-mail som login (og igen samme kode).

Alt i alt, så kan det næppe overraske nogen, kun at det ikke er sket før.

Der har ikke været ret megen "støj" omkring Aula indtil nu. Af et højrisikoprojekt at være, er det meget, meget dygtigt gjort.

Det kan så være, at disse episoder viser en "hul" eet eller andet sted - og det håber jeg bliver klarlagt og oplyst.

It-sikkerhed er naturligvis ekstremt vigtigt, og jeg HÅBER KFC's observation herover en en meget enlig, gammel, svale. Jeg håber at enhver, som ser åbenlyse brud på god skik råber MEGET HØJT. Hvordan skal vores børn / børnebørn ellers lære det ? Skift af elev-password mindst hver 3. måned - de sædvanlige ferier - må da være et pædagoisk minimum ?

lad os holde fast i at få sagen belyst !

Skift af elev-password mindst hver 3. måned - de sædvanlige ferier - må da være et pædagoisk minimum ?

Skift af password giver ikke højere sikkerhed, det er langt vigtigere at lære at have unikke passwords til hver konto, og at holde passwords private.

Det kan så være, at disse episoder viser en "hul" eet eller andet sted - og det håber jeg bliver klarlagt og oplyst.

Sådan som når alle andre projekter går galt, eller når politiet lukker Sjælland helt ned, uden man får noget at vide.

Jeg er ret bange for at det sidste vi som borgere får er oplysning.

Jeg har lige læst en (desværre under vanlig standard) krimi af Donato Carrisi som hed Pigen i tågen.

Som sagt var handlingen så som så, men der var en meget interessant pointe i forbindelse med hele opklaringsarbejdet, nemlig hvis bare det lykkes at finde en skyldig, så er man glad - sandheden er der ingen der interesserer sig for.

Så mon ikke det her ender på sædvanlig vis med at man finder en "hacker", og så er der jo ingen yderligere grund til selvransagelse - og man skal i hvert fald ikke dele erfaringerne med det omkringliggende samfund, så alle kan blive klogere.

Der er vi så uenige - idet det efter min opfattelse afhænger af "miljøet".

• i et arbejdsmiljø er det mindre sandsynligt at dele passwords - med mindre der er tale om "fælles ressourcer"; døren til printerrummet er et eksempel, men der kan sikkert findes system-ækvivalenter.
• i et skole- eller studiemiljø er det givet vis langt mere sandsynligt, at der sker en deling ("har lige flemt, kan jeg låne ?"). Et skift vil naturligvis "tynde ud" blandt lånerne. Desuden argumenterede jeg for den pædagogiske betydning, som alle læsere her på siden sikkert kan digte en historie om. På samme måde som børn deler andre ting, er det naturligt at dele it-systemadgang - indtil de forstår alvoren.

Så du vil simpelthen lære dem at skifte passwords regelmæssigt fordi de deler deres login oplysninger, i stedet for at lære dem ikke at dele deres login oplysninger?

Hvorfor kan börnene ikke, for eksempel, logge ind med en key-fob eller et chip-kort ala Rejsekortet? Så login fungerer som en dörnögle, hvilket en 4-årig kan forstå!

Ikke noget at taste, ikke noget at huske/glemme/skrive ned, og man kan have lige så lange og komplekse 'tokens' man gider at plage en krypto-CPU med for ingen ser dem.

Man laver det der er billigt og det 'man plejer at göre' og så kan en hel masse mennesker bruge meget tid på forklare börn og skolelärere om hvordan de skal administere passwords (held med det), og på den måde holde nogle 'hjul i gang' som ikke behöver at findes.

Det mener jeg er for dårligt.

Overskriften nævner at der er udsendt flere trusler via Aula-konti, men i artiklen står der at truslen i Thisted er sendt ud via an hacket Aula konto OG længere nede via iMessage...

Ifølge TV2 så taler politiet om hackede internet-profiler. Overfor DR omtaler politiet sagen for en hacking-sag. Vi har præciceret teksten, så der ikke står, at det er en konto, men internet-profiler, der - ifølge TV2 og politiet - er blevet hacket . Vi forventer i øvrigt at bringe en snarlig opdatering med kommentar fra Aula-leverandøren Kombit. Jakob - V2.

Min erfaring med unilogin er at struktur mellem bruger og password er ret simpel. Kan være der er forskel fra skole til skole.

Men lad os sige det sådan, at når jeg kender den ene tvillings password - så kan jeg ret nemt regne ud hvad hans brors password er. Og da lillebror startede i skole 4 år efter - så kunne man også forudsige hans.

Brugernavnet er faktisk sværere at gætte end kodeordet. Der er trods alt 4 rimelig random tegn.

Om det er standard på alle skoler eller et lag af "brugervenlighed" for 0. klasser på vores skole skal jeg ikke udtale mig om.

Og nu hvor de går i 6. klasse - så skal der ikke så meget fantasi til for at gætte en klassekammerats login. Og nok slet ikke hvis man gik i 9. klasse og begyndte at interessere sig for hvordan IT sikkerhed hang sammen.

Og det er som sådan ikke en svaghed i Aula - men som flere påpeger ovenfor, en svaghed i process omkring uddeling af Uni login.

Og hvordan får du det til at virke med en bred palette af smartphones, tablets, laptops, desktops etc. fra forskellige mærker, kvaliteter og årgange?

Nej, ikke helt sådan.

Jeg ville skifte passwords regelmæssigt i et forsøg på at lige ud i de delte passwords. Som andre har nævnt, så "lever" en UNI-konto måske hele barnets minimum 10-årige folkeskole-tid.

Jeg ville motivere skiftet med en god fortælling om beskyttelse af personlige oplysninger og alt andet. Historien skulle tilpasses efter klassetrin, måske analogi til at kigge gennem nøglehul eller ind i et omklædningsrum på eet niveau, analogi med at stjæle penge på en bankkonto på et andet, analogi med at fortælle sine dybeste hemmeligheder (sikkert mest 8-9 klasse) om kærrester.

Jeg er, for andre miljøer, enig i, at at godt stærkt password - på mere end 8 tegn (uden æøå og specialtegn) som i gamle dage - er BEDRE end hyppige skift, som hos mange udarter til >navnXX<, hvor XX er månedsnummer. Så hellere første linie fra yndlingssangen.

Skal vi ikke stoppe her ?

Jo vi stopper her.

Og så lige en lille opfordring til at du fremover benytter reply funktionen i stedet for @ i emnefeltet.

Der er som altid et trade-off mellem bekvemmelighed og sikkerhed, og i en lærers hverdag vælges den løsning der gør at man kan komme hurtigt videre. Mange elever har heller ikke nogen fornuftig praksis ift. password og deler gladeligt login med klassekammerater. Enig i at en tidlig indsats ift. basal password management er vejen frem.

Der er et nyt Unilogin [https://viden.stil.dk/display/OFFSKOLELOGIN/Unilogin] på vej til februar, så sikkerheden bliver skærpet en smule.

Og de forskellige typer af adgangskodetyper afhængig af klassetrin https://viden.stil.dk/display/OFFSKOLELOGIN/Adgangskodepolitik.

Da min datter i første klasse skulle deltage i trivselsundersøgelsen, der fik forældrene at vide at de ikke skulle ændre deres barns kodeord til uni-login, da lærerne jo ellers ikke kunne hjælpe dem med at logge ind.

Haha ... og lige her gav du den mest sikre måde, hvorpå man kan forhindre, at ens poder deltager i trivselsundersøgelsen.

Fantastisk! ?

Jeg er forælder til en elev på en af de ramte skoler (Klarup skole). Og jeg kan bekræfte lærerne har skrevet min søns brugernavn og password (unilogin) op i hans lektiemappe, så han altid let kan finde det.

Det samme gælder login til Google.

IT sikkerhed er bøvlet i hverdagen, så derfor benytter lærerne sådanne tiltag.

Haha ... og lige her gav du den mest sikre måde, hvorpå man kan forhindre, at ens poder deltager i trivselsundersøgelsen.

Det tror jeg desværre ikke du skal satse på. Skolen kan nulstille uni-login koden, eller de kan få eleven til at lave trivselsundersøgelsen på papir i stedet. Jeg tror bare de meldte det ud for at undgå for meget besvær med de små poder.

Om det er standard på alle skoler eller et lag af "brugervenlighed" for 0. klasser på vores skole skal jeg ikke udtale mig om.

Som også skrevet andetsteds. Hvad er det for nogle funktioner, som gør at 0. klasse skal bruge Aula ?

Hvad er det for nogle funktioner, som gør at 0. klasse skal bruge Aula ?

Ikke nødvendigvis. Men det er eksempelvis der lektiebogen befinder sig, og der kan godt være børn, som bliver opdraget til at være selvhjulpne og selv slå op i lektiebogen med eget login.

Men det er eksempelvis der lektiebogen befinder sig,

Som vel ikke behøver at ligge bag et login ?

Som vel ikke behøver at ligge bag et login ?

Narh, men jeg tænker læreren kan give individuelle lektier for. Men det kunne naturligvis løses.

Ikke nødvendigvis. Men det er eksempelvis der lektiebogen befinder sig, og der kan godt være børn, som bliver opdraget til at være selvhjulpne og selv slå op i lektiebogen med eget login.

Øhhhh?

Da jeg for mange herrens år siden gik i første (ikke nulte) klasse, der lærte vi at skrive sirlige a'er (plus resten af alfabetet), læse Søren og Mette, samt lægge to og to sammen.

Jeg er ret så sikker på at mine sproglige færdigheder den gang ikke var på et niveau så jeg kunne læse hvad der stod i en lektiebog.