Dat inleverdatums verschoven worden snap ik nog (deels). Je zou het namelijk ook op papier kunnen laten inleveren :-)
Maar goed, dat is anno 2020 blijkbaar niet meer mogelijk.

Maar, waarom moeten ook de tentamens verschoven worden?
Wat is daar de onderbouwing voor?

Eh ?
Citrix bug was toch opgelost ?
Ze hebben patches uitgerolled, zover ik heb gehoord via een familielid die bij een overheid werkt die Citrix weer online heeft gezet...

De patches zijn niet sluitend en niet voor alle versies, het advies is vooralsnog de servers uit te laten. Sommige organisaties nemen het risico voor lief.

https://tweakers.net/nieuws/162482/citrix-brengt-patch-uit-voor-sommige-kwetsbare-adcs-en-gateway.html

Dikke kans dat studenten beide gebruiken of nodig hebben voor de genoemde zaken. Als jij je opdracht op een schoolsysteem hebt staan en daar niet meer bij kunt valt er niet zoveel in te leveren.

De patch heeft niet op alle versies het gewenste effect gehad. Of wel zelfs met de workaround was je al die tijd nog vatbaar.
Patch installeren dan leuk maar het kan zijn dat je systeem dan al vatbaar is en mogelijk blijft.
Ook is het dan zaak om te gaan kijken wat er vanuit het systeem nog meer in gang is gezet binnen het interne netwerk.
Heel begrijpelijk dus dat sommige instanties/bedrijven er voor kiezen om zaken goed te onderzoeken.

En wat heeft dit met het maken van een tentamen van doen?
Dat is leren van stof (zelf, thuis), en het schriftelijk beantwoorden van vragen (In een lokaal/zaal van Inholland)

Met een beetje fantasie valt het nodige te verzinnen. Tentamens die digitaal gemaakt worden, presentie- en administratiesystemen die niet werken, studenten die zich niet kunnen inschrijven binnen de aangegeven termijnen, noem maar op. De wereld is niet meer wat deze 30 jaar geleden was.

De communicatie bij InHolland kan ook beter. Boven staan alleen twee linkjes naar aan Facebook pagina. Bij verstandige mensen is Facebook geblokkeerd. Dus heb je niets aan die info. Ik hoop dat ze ook op een privacy vriendelijke manier richting hun studenten communiceren.

Hun website is niet uit de lucht. Maar daar is geen info te vinden. In elk geval niet onder het hoofdstuk "Laatste nieuws".

Patches (responder policies) zijn WEL voldoende, hiermee had je voldoende bescherming tegen momenteel alle exploits. Echter op 3 versies werkte de responder policies niet, wegens een bug in die versies, waarbij de responders niet goed werkte.
Dat lag niet aan de responder policies, maar een andere bug.

Je zou eigenlijk ook gewoon altijd de laatste versie moeten draaien van de ADC. Dat was nu een probleem bij de responder policy op 3 versies.

Voornamelijk is het NCSC een slecht advies gaf en geeft. Wel bijzonder dat eigenlijk alleen de Nederlandse overheid dit afvies geeft.

Als je gewoon de responder policy in december geïmplementeerd had, had je nu gewoon rustig kunnen slapen.

Er is voornamelijk veel paniek voetbal. Vandaag hier ook de hele dag mee bezig geweest.

Wat ikzelf eerlijk gezegd veel erger vind is het feit dat veel schoolsystemen afhankelijk zijn van *Merk X*[1] en niet zelf hebben gekeken FOSS alternatieven.

[1] Iin dit geval Citrix

Is er hier wel iemand, die begrijpt dat het probleem zat in het van buiten inloggen in het schoolnetwerk? Binnen het netwerk is EN was alles bereikbaar!!

Dat viel mij ook op. 'Houd sociale media in de gaten' is natuurlijk om te huilen, maar dat is wel meer in dit dossier.

Waar haal je vandaan dat ze dat niet geëvalueerd hebben?

Als het wel werkt maar in sommige gevallen toch niet, dan werkt het in die gevallen dus gewoon niet en is je omgeving lek. De patches zijn dus niet sluitend, door welke omweg dat ook komt.

Veel Hogescholen waaronder waarschijnlijk Citrix voor het afnemen van tentamens. Dit wordt als veilig beschouwd.

".. Als je gewoon de responder policy in december geïmplementeerd had, had je nu gewoon rustig kunnen slapen .."
Eens.

".. Als het wel werkt maar in sommige gevallen toch niet, dan werkt het in die gevallen dus gewoon niet en is je omgeving lek. De patches zijn dus niet sluitend, door welke omweg dat ook komt .."
Nee, dat klopt niet.
De Citrix "mitigation steps" zijn afdoende voor alle versies, maar niet voor Citrix ADC and Citrix Gateway Release 12.1 build 50.28, het advies is om deze oude uitgave eerst te updaten naar een recentere versie, en dan alsnog de "mitigation steps" te volgen.
https://support.citrix.com/article/CTX269189
Kanttekening: de titel "Vulnerability still exists after mitigation steps for CVE-2019-19781 applied" is wel te algemeen vind ik, en de snelle lezer wordt er misschien door op het verkeerde been gezet, want dit geldt alleen voor de genoemde versie 12.1 build 50.28

".. Voornamelijk is het NCSC een slecht advies gaf en geeft .."
Dat is eerder besproken:
https://www.security.nl/posting/640272/Nog+14_000+Citrix-servers+kwetsbaar+voor+aanvallen

"Tintin and Milou" is ook hier de bron van deze bewering, die niet is onderbouwd:
".. Ik denk dat het advies van de NCSC juist de hoofd redenen was voor al het paniek voetbal. Het advies daar was gewoon van hele slechte kwaliteit en ook incorrect .."

@ Tintin and Milou: Welk advies bedoel je hiermee?
https://www.ncsc.nl/actueel/advisory?id=NCSC%2D2019%2D0979
Sinds 18-12-2019 zijn er meerdere updates gepubliceerd op 24-12, 06-01, 09-01 ...
We zijn het denk ik eens dat het NCSC met de eerste waarschuwing van 18-12-2019 precies heeft gedaan wat het moest doen, namelijk tijdig waarschuwen.

Citaat uit dit artikel ("Nog 14.000 Citrix-servers kwetsbaar voor aanvallen"):
"Als u de mitigerende maatregelen van Citrix niet of pas na 9 januari 2020 heeft toegepast, kunt u er redelijkerwijs van uitgaan dat uw systeem is gecompromitteerd vanwege het bekend worden van publieke exploits", zo laat het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie weten. Op 10 januari waren nog 115.000 Citrix-servers kwetsbaar voor aanvallen. Deze organisaties krijgen het advies om een herstelplan op te stellen."

Dat is toch helemaal correct? Als je Citrix-netscaler na het bekend worden van een exploit-code op 9 januari niet door de aanbevolen mitigerende maatregel was beschermd, heeft deze Citrix-netscaler sinds 9 januari dus open gestaan voor aanvallers.

Dat dit besef leidt tot paniek bij beheerders (en bestuurders) die na 9 januari de aanbevolen mitigerende maatregel (nog steeds) niet hebben doorgevoerd, kan je toch niet het NCSC verwijten?