Systemen HvA en UvA lekten data 600.000 studenten
Een student heeft een beveiligingslek in de studentinformatiesystemen (SIS) van de Hogeschool van Amsterdam (HvA) en Universiteit van Amsterdam (UvA) ontdekt, waardoor hij toegang tot de gegevens van ruim 600.000 studenten had, waaronder namen, telefoonnummers en foto's.
Via het SIS kunnen studenten zich voor lessen en examens inschrijven. Student Nelson Berg ontdekte de problemen toen hij zichzelf voor een examen inschreef, zo laat hij op de website van zijn eigen bedrijf weten. In de broncode vond hij een deel van het studentinformatiesysteem dat niet langer werd gebruikt, waardoor hij de namen en nummers van alle studenten kon oproepen. Daarnaast ontdekte hij een tweede probleem dat hij de gegevens van studenten en personeel kon benaderen door de parameter van het studentnummer te wijzigen.
Bij de HvA ging het om 385.000 namen en studentennummers, 200.000 telefoonnummers en 130.000 foto's van studenten die toegankelijk waren. Via het studentinformatiesysteem van de UvA kon Berg 237.000 namen, 131.000 telefoonnummers en 63.000 foto's van studenten benaderen. De student informeerde de HvA en UvA op 17 mei. Een dag later werden de problemen verholpen.
Systeem altijd al zo lek als een mandje geweest.
Verder staan er nu plaatjes op de hacker z'n site met leesbare namen en andere gegevens van studenten.
Wat is gebeurt met de gedownloade gegevens? Wie gaat verwijdering controleren?
Verder: is er melding gedaan bij de Autoriteit Persoonsgegevens?
Stap 1 daar kan ik nog wel inkomen, want dat laat de omvang van het lek zien. Voor stap 2 en 3 zou een kleine subset van deze data (1%) voldoende zijn.
Dit klinkt toch meer als iemand die wilde kijken hoe ver hij kon gaan en uiteindelijk toch maar besloot een sort responsible disclosure te doen.
Wat niet aangekaart is dat de UvA een hoog aangeschreven ICT opleiding heeft. Dat de eigen systemen niet goed onderzocht worden is iets wat lijkt op dat "de kranen lekken bij de loodgieter". Hetkan ook aangeven dat de interne ICT geen sterke band heeft met de ICT studie.
https://www.ncsc.nl/actueel/nieuwsberichten/leidraad-responsible-disclosure.html
bijv.
• De melder zal niet op onevenredige wijze handelen:
• door een kwetsbaarheid verder uit te nutten dan noodzakelijk is om
de kwetsbaarheid vast te stellen.
• door gegevens van het systeem te kopiëren, te wijzigen of te
verwijderen. Een alternatief hiervoor is het maken van een directory
listing van een systeem
• door herhaaldelijk toegang tot het systeem te verkrijgen of de toegang
te delen met anderen.
• door gebruik te maken van het zogeheten “bruteforcen” van toegang
tot systemen, daarbij is immers geen sprake van een kwetsbaarheid,
maar alleen van het herhaaldelijk proberen van wachtwoorden.
De ethische hacker download niets zonder toestemming. Wij hebben ook een paar meldingen gehad van lekken waarbij het voldoende was om op het lek te wijzen zonder gegevens te downloaden. Waar dat wel noodzakelijk was om het lek aan te tonen, is dat vaak met medeweten gedaan van een derde wiens gegevens zijn gedownload.
Student A denkt een lek te hebben ontdekt. Hij weet het niet zeker. Hij vraagt student B of hij zijn gegevens op mag vragen via het lek. Als student B toestemming geeft, doet A het. Dat is het bewijs dat nodig is en op basis waarvan A de responsible disclosure melding doet.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
