Ze zijn goed bezig.

The Matrix

De school lijkt het te snappen. Nu de overheden nog. Hulde!

Hey, dat is goed nieuws! Ook maar gauw op Nederlandse scholen gaan gebruiken, nu worden kinderen vaak gedwongen om Whats-app te installeren op straffe van uitsluiting.

Wow ... dat zouden meer scholen "moeten" doen.
En niet alleen scholen,maar ook alle andere bedrijven en instellingen die privacy waarderen.

Alle bedrijven en instellingen en scholen die privacy waarderen zouden dit nu "kunnen" doen.
De bal ligt letterlijk voor het doel.

Wat hebben ze voor ELO electronische leeromgeving op deze school? Misschien de Duitse variant op de closed-source ItsLearning en Magister, of misschien de open-source Moodle??
https://nl.wikipedia.org/wiki/Elektronische_leeromgeving

Wir betreiben unsere eigene Matrix Instanz auf einem eigenen Server in unserem Schulgebäude.

Lovenswaardig initiatief maar ik zie alweer een niet redundant server in een bezemkast draaien met een niet encrypted OS daarop. Dit alles onderhouden door de congierge die dit als bijbaantje heeft.

Te gek voor woorden dat de overheid dit toloreerd.

De meeste scholen hebben een redelijk IT budget. Kans is groot dat het gehost wordt bij een cloud provider die veel onderwijs sponsort.

Wanneer ze in staat zijn om een eigen fork te ontwikkelen, lijkt het mij waarschijnlijk, dat ze ook in staat zijn om veilig beheer uit te voeren. Of ze dat doen is dan natuurlijk weer niet bekend, maar aangezien ze op veiligheid ingaan, zou dat ook deel van het plan (moeten) zijn.

Wat bedoelt u precies? De overheid werkt al jaren met eigen chatdiensten en eigen private servers hiervoor. Blijkbaar wordt u niet gehinderd door enige kennis m.b.t. overheidsinstellingen en hun communicatie methodieken.

Ik zal even de vertaling doen:
We draaien onze eigen Matrix applicatie op een eigen server in ons schoolgebouw.

Ik doe even de aanname dat hun schoolgebouw niet in de cloud staat ... ;-)

U noemt geen voorbeelden van "eigen chatdiensten en eigen private servers"? Dat ik enthousiast ben over het initiatief van deze Hermannschule heeft een geschiedenis:

Minister Henk Kamp, minister van Defensie in de kabinetten Balkenende I,II,III (en tijdelijk ook Rutte III), en minister van Economische Zaken in Rutte II, gebruikte Gmail voor vertrouwelijke stukken:
https://www.security.nl/posting/470643/OM%3A+Gmail-account+minister+Kamp+gehackt+via+phishing

Maar dat was ook de periode waarin er in Groningen nog 55 (!!) miljard kuub aardgas werd opgepompt en er vooral heel veel langdurig onderzoek werd opgestart. Kamp voelde zich erg gebonden aan allerlei contracten, en was bang dat "de mensen in de kou komen te zitten". "Windmolens draaien op subsidie" volgens zijn chef.

Opvolger Ank Bijleveld (Defensie Rutte III) maakte wel gebruik van "moderne communicatiemiddelen" zoals Zoom (en bracht vrolijk via Twitter de inlogcode in beeld) [/sarcasm].
https://www.security.nl/posting/679326#posting679600
"Minister maakt excuses voor delen van foto met deel pincode EU-overleg", woensdag 25 november 2020.

Er is zelfs een recent onderzoek van de Rekenkamer:
https://www.security.nl/posting/704123/Rekenkamer%3A+informatiebeveiliging+Rijksoverheid+nog+niet+op+orde
Dat overzicht zou toch alleen maar "groene vinkjes" moeten weergeven? Of is de Rekenkamer te kritisch?

https://www.rekenkamer.nl/actueel/nieuws/2021/05/19/informatiebeveiliging-rijk-nog-niet-op-orde

Volgens mij is de laatste zin in de alinea een beetje krom "In plaats daarvan forkte het de op Matrix-gebaseerde messenger FluffyChat en draaide die vervolgens op een eigen server." . Fluffy (of de fork daarvan) is een client en draait dus niet op een server. Waarschijnlijk bedoeld men hier dat ze een eigen Matrix server, in dit geval Synapse draaien en met de Fluffy fork daar naar toe connecten.

Ik vind het wel een dikke pluim voor wat deze school / ontwikkelaar heeft gedaan. Vooral naast wat al in het artikel is vermeld dat er ook netjes terug is gecontributed aan de open source community. De fork van de client staat op https://gitlab.com/hermanncoders/hermannpost en daar is ook weer dankbaar vermelding gemaakt van andere gebruikte resources. Ook heeft de school de voice messages in de fork gemaakt, en zo te zien is dat inmiddels ook in de oorspronkelijke Fluffy client opgenomen.
Dat is hoe vrije open source in mijn optiek mooi floreren. Hopelijk geeft deze persoon ook wat lessen over deze methodiek aan de studenten.

Ik heb wel een paar vraagtekens bij de manier van security en privacy implementatie. Zo staat er in het originele artikel https://hermannschule.de/hermannpost.html "

1) In unserem Client haben wir an mehreren Stellen auch die Sichtbarkeit von personenbezogenen Daten zusätzlich eingeschränkt. So ist Kindern und Eltern nicht möglich, auf Informationen anderer NutzerInnen in den Gruppeninformationen zuzugreifen. Ebenfalls haben wir „state messages“, die oft personenbezogene Informationen beinhalten (z.B. „XYZ hat den Raum betreten/verlassen/das Avatar geändert“), in unserem Client ausgeblendet, was nicht nur dem Datenschutz zugutekommt, sondern auch die Barrierefreiheit erhöht (weniger Text hilft, sich auf die bedeutsamen Inhalte zu konzentrieren)."

Echter als je het aan de client kant afschermt en de client vervolgens open source hebt staan zou vermoed ik een slimme scholier daar weer een fork van kunnen maken, de weergave weer inschakelen en vervolgens met hun server connecten om de data wel te zien.

2) "Die Anmeldung in Matrix ist ein vergleichsweise aufwändiger Vorgang, bei dem Servername, Matrix-ID und (ein idealerweise langes) Passwort eingegeben werden muss. Dies stellt eine Hürde, die für unsere NutzerInnen schwer zu bewältigen ist. Um dieses Anmeldeverfahren zu vereinfachen, haben wir die Anmeldedaten in einem „QR-Schlüssel“ versteckt und mit einer PIN-Nummer ergänzt, die vom / von der NutzerIn eingegeben werden muss. So vereinfachen wir den Anmeldeprozess und ermöglichen gleichzeitig die Nutzung von einem langen, sicheren Passwort, ohne dass der/die Nutzer sich mit der Eingabe mit der Tastatur quälen muss. Die zusätzlich erforderliche PIN verhindert, dass sich Unbefugte allein mit dem QR-Code (oder eine Kopie) anmelden können."

Makkelijk wel. Maar wie aan de QR code kan komen zoals de kopie, kan vermoed ik relatief snel brute forcen?!

Ps. off-topic... ligt het aan mij of ben ik de enige die het vervelend vind dat security.nl anno 2022 niet mobiel geschikt is?

Ik vind het slecht dat als je een server neerzet de database enkele 100MB's is wanneer er maar een paar test accounts actief zijn. Zelfde geldt voor de disk space. Waarom wordt xmpp niet gewoon gebruikt?? Ik zie nog niet echt de meerwaarde van matrix