Slo-Tech - Množičen prehod na delo in učenje od doma, kar terja uporabo programov za videokonference, vsak dan razkrije kakšno ranljivost v tej programski opremi. V tem množičnem testiranju prednjači Zoom, v katerem so po včerajšnjem razkritju, da šifriranje v resnici ni tako trdno, kot bi verjeli iz oglasov, sedaj našli še dve precej bolj praktični luknji.
Zaradi težave v nastavitvah Company Directory se lahko zgodi, da osebni podatki uporabnikov Zooma (elektronski naslov in fotografija) pridejo v roke nepooblaščenim osebam. Omenjena funkcija omogoča enostavno iskanje ljudi, ki se prijavo z elektronskim naslovom, ki pripada isti domeni, če je ta od nekega podjetja. Toda nekaterim uporabnikom se je to zgodilo, tudi ko so se prijavili z domačimi elektronskimi naslovi, kjer se običajno uporablja domena ponudnika dostopa do interneta ali ponudnika elektronskega predala. Nenadoma so se znašli v skupinah več tisoč uporabnikov, kjer so vsi videli osebne podatke drug drugega.
Napaka je na nek način razumljiva. Zoom pozna glavne ponudnike elektronskih predalov (npr. Google, Yahoo ali Hotmail), kakšnih bolj eksotičnih pa ne. V tem primeru predpostavi, da gre za zaposlene v istem podjetju, ki se lahko spoznajo med seboj. Takim prikaže imena, naslove, sliko in omogoči videoklic. V konkretnem primeru je šlo za domene xs4all.nl, dds.nl in quicknet.nl, ki pripadajo nizozemskim ponudnikom dostopa do interneta, ki nudijo tudi elektronske predale.
Druga ranljivost pa je morebiti še resnejša, saj omogoča krajo prijavnih podatkov za operacijski sistem. Če napadalec v besedilnem pogovoru žrtvi pošlje poseben niz, lahko povzroči precej škode. Ker program avtomatično pretvarja nize, ki so lahko naslov, v hiperpovezave, se lahko na tak način podtakne povezavo, ki pošlje zgoščeno vrednost NTLM, ki jo napadalec prestreže in uporabil. V praksi to pomeni, da lahko na nekaterih omrežjih napadalci s klikom uporabnika na povezavo dobijo podatke za dostop do sistema in mrežnih virov (pass-the-hash attack). Napad deluje le na Windows prek vrat 445.
Pri nas bodo imeli razredno uro (OŠ) preko Zooma. Pošljem mail razredniku, kjer ga opozorim na varnostne težave Zooma in mu predlagam slovenski sistem. Pa dobim nazaj odgovor, da bodo v primeru težav naslednjič uporabili moj predlog (očitno me žal ni razumel, kaj mu želim sporočiti). Na faksu pa uporabljajo: Teams, webex, youtube life
There are a lot of inaccurate things in this article:
1) "Zoom will send the Windows usernames and the corresponding NTLM hashes to the address contained in the link" -- No, Windows will send it (not Zoom) and it is a NetNTLM hash which is not usable unless cracked.
2) "Attackers can then use the credentials to access shared network resources, such as Outlook servers and storage devices." -- No, they have to crack the NetNTLM hash into cleartext before its useable.
3) "That leaves the networks open to so-called pass-the-hash attacks that don't require a cracking technique to convert the hash to its corresponding plain-text password." -- PtH is when you're passing pure NTLM hashes to a system. In the case here, the only hash passing possible would be a relay attack against a domain-joined system. This is highly unlikely unless SMB signing is disabled and either a domain-joined system has SMB exposed to the Internet or you're on the same LAN as other domain-joined systems.
4) "Immediately below, the NTLM hash appears, although Hickey redacted most of it in the image he posted." -- It's the NetNTLMv2 hash which must be cracked.
5) "But it's hardly a given that this egress will be closed on many Zoom users' networks." -- Actually, its very likely that 445 will be blocked outbound by ISP's on home networks.
6) That makes it more likely that port 445 is open, either because of an oversight or because the port is needed to connect to enterprise resources. -- This just doesn't make sense. It's generally open based on the network a system is connected to. Connecting to enterprise resources will usually only require ports like 445 to be open on the resource, not the host.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Na sinovi šoli uporabljajo vse živo, skratka zmeda vsak učielj dela po svoje.Uporabljajo Discord, e-Asistant, šolsko spletno učilnico, Google doc, Moodle in pa ta Zoom
Na sinovi šoli uporabljajo vse živo, skratka zmeda vsak učielj dela po svoje.Uporabljajo Discord, e-Asistant, šolsko spletno učilnico, Google doc, Moodle in pa ta Zoom
Vsak se je znasel po svoje, vecina se jih ni. Arnes, akademiki pa čakajo... (ops neke videokonference na flashu so reklamirali, ne vem iz katerega leta je to) Da bo konec korone, da lahko mal zadremajo, in do naslednjega virusa, ko bo spet kriv hardware. Ucitelji se bodo pa spet znasli, vecina tako kot sedaj(PDFji,pa naj se ucenci sami ucijo oz jim naj starsi preverijo, kaj so se naucili)
Tole učenje na daljavo v večini primerov ni niti U od učenja...
Ne bo držalo! Ministrica je rekla, da eučenje poteka odlično, torej poteka odlično. Kdo pa smo mi, da ne bomo verjeli ministrici. Ki celo "iz stroke" prihaja!
Zoom je barabin, ostali (ms,google,...) pa tudi. Zakaj so se tolk na zoom spravli, na teams pa ne? :) Osebno sem pa pricakoval od Arnesa, da postavijo kaksen Nextcloud, Jitsi integracijo, .... Samo so velika pricakovanja, ce imajo sami s sabo probleme, postavljajo nove streznike, clustering ne vem zakaj nimajo nastimano, tudi ne vem, koliko kapacitet imajo,...
Veliko bolje dati alternativo, kot pa napast ucitelje, ki niso toliko teh. podkovani. Ampak... bo Arnes to lahko požrl? (in politicno, ker so kao Akademiki, in niso prislo do iste resitve, in če so sposobni to furat prek svojih servejev)
Na Gimnaziji Bežigrad uporabljajo Zoom in Teams. Izgledalo je, kot da so bili učitelji prepuščeni sami sebi, da se 'znajdejo'. Prvi so pričeli eksperimentirati na Teams, drugi na Zoom.
Vse skupaj pa so 'zagnali' prejšnji teden, pred tem so uporabljali le mail in Moodle za izmenjavo nalog in navodil. Prve 'poskusne konference' so že opravili, tako da se bodo stvari počasi ustalile vsaj pri nekaterih predmetih. Pri drugih pa niti nekih poskusnih variant še niso imeli in še vedno gre po sistemu 'poglejte si ppt-je, v knjigi predelajte od str. do str.'.
Toda če smo realni, ni vsak predmet enako priročen za telekonference. Zgodovino že lahko profesor naklada, geografijo, literaturo,... Malo bolj problematično pa postane pri slovnici, matematiki, fiziki,... predmetih, kjer je prikaz na tabli izrednega pomena. Učitelj v karanteni pač nima na voljo table, da bi pisal po njej, navadne spletne kamere pa tudi niso najbolj optimalne. Redko kateri učitelj se bo znašel in izdelal nekakšno stojalo za kamero, da bi predvajal pisanje na list papirja,.....
Kar se tiče Zoom-a je kar nekaj (nepotrebne?) panike, po drugi strani pa tudi (nepotrebnih!) nerodnosti. Že 31.3. se je vedelo, da se dogaja, da nepridipravi vpadajo v odprte konference, pa je šele včeraj prvi učitelj link do konference zaščitil z geslom, pred tem gesel za dostop do konferenc sploh niso uporabljali. Upam, da bodo tudi drugi učitelji sledili zgledu.
Pod črto: večina učiteljev je vse kaj drugega, kot na dopustu. Je pa vse skupaj za njih novo in še precej tipajo, kako se znajti z tehnologijo - pri tem pa so eni bolj talentirani, drugi malo manj. Toda za večino se res ne da reči, da se nebi trudili v okviru svojih zmožnosti.
Kako je pa na drugih šolah, pa res nebi vedel. Že tako so ponekod težave že pri oskrbi učencev z računalniki in internetnimi povezavami. Marsikdo nima spletno kamero in skener, pa mora nekoliko improvizirati (npr. slikati opravljeno nalogo z mobitelom,...). Mislim pa, da bodo stvari vsak dan postajale bolj 'uporabne'. Tisti učitelj, ki niti naslednji teden še ne bo imel vsaj 'poskusne' konference, bo znal biti deležen kritik tako učencev, kot staršev.
Istočasno, ko je vse več teh konferenc, pa imam občutek, da bo vse skupaj znalo postati nekoliko anarhično. Namesto da bi imel razred na Zoom svoj konferenčni link, ima vsak učitelj svojega. Tako si potem moraš voditi evidenco kdaj bo kateri učitelj imel svojo uro, pri tem pa še linka ne smeš zamešati. Če se že uporablja deljene koledarje, bi lahko učitelji v njih vpisovali kdaj bodo imeli konference, skupaj z linko do njih... Drobnarije, otroške bolezni,.... lih dobro se bodo navadili in optimizirali zadeve, pa bo konec karantene (ali pa šolskega leta?).
Po svoje pa je res škoda, da Arnes ni imel pripravljenega 'paketa', ki bi ga lahko učitelji pograbili prvi dan. Tudi ne vem, koliko je ministrstvo za šolstvo kaj pomagalo šolam. Verjetno so šli kar po logiki 'saj imate vse šole svoje informatike, naj vam oni pokažejo, kaj je treba'. No, če potem vsak od njih nekaj po svoje štrika, potem lahko pride od šole do šole do precejšne neenakosti v pristopu do te problematike.
Pričujoče sporočilo je (lahko) oglasno sporočilo
- četudi na prvi pogled ni prepoznavno kot tako.
(Zdaj me pa obtožite prikritega oglaševanja, če morete!)
PS: ustavimokorono.si ima zelo slab ranking na iskalnikih. Sem iskal "ustavimo korona virus" na google, bing in yandex in te strani ni niti na peti strani zadetkov.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Objava tega članka in predvsem vsebinski pristop je pa nacionalna katastrofa in vrhunsko neodgovornost s strani avtorja.
Prosim avtorje, da se zavedajo dejanskega stanja v Sloveniji in so konstruktivni namesto senzacionalistični destruktorji. Kar se tiče "učenja na daljavo" je treba imeti v mislih za osnovne šole:
- da večinoma z redkimi izjemami kot je nekdo rekel, to ni niti U od učenja na daljavo, temveč so PDF navodila za UČENJE NA DOMU.
- Šolstvo je zagonilo mastne mastne milijone evropskega denarja za razvoj e- gradiv, pa od tega nimate enega delovnega zvezka priznanaga na nacionalnem nivoju, po katerem lahko učenec dela. Izjema je nekaj šol, kjer so v Moodlu pripravili gradiva. Ni pa MOodle učilnice na nacionalnem nivoju dostopnem za vse šole. Gledano z vrha vlada popolna anarhija.
- Za IKT opremo je v šolstvo vrženo milione in milijone in vsa dobra ali odlična oprema, ki leži po šolah jim ne pomaga nič v tej krizi. Le redke šole so v nekriznih časih VSEM učencem uredile dostope bodisi preko Arnesa, 365 ali Google platforme.
- Ko gre za izbiro platforme je v šolstvu totalna anarhija. Na eno strani Arnes s svojo infrastrukturo in oblačnimi storitvami, na drugi vdor Office 365 in Google Classrom in na tretji prosti IT strelci z odprtokodnimi rešitvami. Vsak seveda pameten po svoje.
- Ob vsej anarhiji pri dostopu do vsebin in izboru platform imate po šolah še črkobralske ravantelje, ki ne spijo če ni izpolnjen 1001 formular in evidenca, navodila ministrstva, in "bog moj dragi a dam za mašo, da ne pride inšpekcija". Ob črkobralskih ravnateljih dodajte še nepoučene IT Skrbnike po osnovnih šolah, kjer ima po moji oceni ustrezno znanje manj kot 10% IT jevcem po OŠ.
- Na vse to dodajte še grožnjo GDPR in vse skupaj seštejte in gledano z nacionalnega vidika imate tretji teden pouka NA DOMU totalno anarhijo po sistemu "znajdi se kakor se veš in znaš".
Back to ZOOM. Posledica tega nedoraslega članka je, da danes letijo okrožnice po šolah s prepovedjo ZOOMa, ki so ga marsikje odlično uporabili za namen šolanja. In priporočilo je seveda v stilu ne jejte več kruha, mogoče je koronavirus na njem.
NAJMANJ kar bi od avtorja pričakoval, da na koncu članka poda tehtno priporočilo o uporabi / neuporabi ZOOMa oziroma priporočilo za varnejšo rabo ( npr. uporabljate gesla... itd..).
Lepo prosim vse avtorje člankov, da se zavedate svoje odgovornosti v teh časih in strokovnim člankom dodate tudi alinejo za laike.
Imate v mislih tudi učence, ki tretji teden v socialni izolaciji po cele dneve gledajo PDF navodila in se psokusšajo učiti. in to PDF navodila, ki so v prvem tednu imela nekaj alinej, sedaj pa po 2x A4 list navodil ali poln Gdrive za posamezen predmet. Marsikater učenec ima socialne izolacije poln kufer in je "socializacija" preko videokonferenc zelo dragocena.
... Malo bolj problematično pa postane pri slovnici, matematiki, fiziki,... predmetih, kjer je prikaz na tabli izrednega pomena. Učitelj v karanteni pač nima na voljo table, da bi pisal po njej, navadne spletne kamere pa tudi niso najbolj optimalne. Redko kateri učitelj se bo znašel in izdelal nekakšno stojalo za kamero, da bi predvajal pisanje na list papirja,.....
Huh? Teams in Zoom imata whiteboard. Fino je imeti touch ekran ali pero, gre pa tudi brez tega.
Objava tega članka in predvsem vsebinski pristop je pa nacionalna katastrofa in vrhunsko neodgovornost s strani avtorja.
Prosim avtorje, da se zavedajo dejanskega stanja v Sloveniji in so konstruktivni namesto senzacionalistični destruktorji. Kar se tiče "učenja na daljavo" je treba imeti v mislih za osnovne šole:
- da večinoma z redkimi izjemami kot je nekdo rekel, to ni niti U od učenja na daljavo, temveč so PDF navodila za UČENJE NA DOMU.
- Šolstvo je zagonilo mastne mastne milijone evropskega denarja za razvoj e- gradiv, pa od tega nimate enega delovnega zvezka priznanaga na nacionalnem nivoju, po katerem lahko učenec dela. Izjema je nekaj šol, kjer so v Moodlu pripravili gradiva. Ni pa MOodle učilnice na nacionalnem nivoju dostopnem za vse šole. Gledano z vrha vlada popolna anarhija.
- Za IKT opremo je v šolstvo vrženo milione in milijone in vsa dobra ali odlična oprema, ki leži po šolah jim ne pomaga nič v tej krizi. Le redke šole so v nekriznih časih VSEM učencem uredile dostope bodisi preko Arnesa, 365 ali Google platforme.
- Ko gre za izbiro platforme je v šolstvu totalna anarhija. Na eno strani Arnes s svojo infrastrukturo in oblačnimi storitvami, na drugi vdor Office 365 in Google Classrom in na tretji prosti IT strelci z odprtokodnimi rešitvami. Vsak seveda pameten po svoje.
- Ob vsej anarhiji pri dostopu do vsebin in izboru platform imate po šolah še črkobralske ravantelje, ki ne spijo če ni izpolnjen 1001 formular in evidenca, navodila ministrstva, in "bog moj dragi a dam za mašo, da ne pride inšpekcija". Ob črkobralskih ravnateljih dodajte še nepoučene IT Skrbnike po osnovnih šolah, kjer ima po moji oceni ustrezno znanje manj kot 10% IT jevcem po OŠ.
- Na vse to dodajte še grožnjo GDPR in vse skupaj seštejte in gledano z nacionalnega vidika imate tretji teden pouka NA DOMU totalno anarhijo po sistemu "znajdi se kakor se veš in znaš".
Back to ZOOM. Posledica tega nedoraslega članka je, da danes letijo okrožnice po šolah s prepovedjo ZOOMa, ki so ga marsikje odlično uporabili za namen šolanja. In priporočilo je seveda v stilu ne jejte več kruha, mogoče je koronavirus na njem.
NAJMANJ kar bi od avtorja pričakoval, da na koncu članka poda tehtno priporočilo o uporabi / neuporabi ZOOMa oziroma priporočilo za varnejšo rabo ( npr. uporabljate gesla... itd..).
Lepo prosim vse avtorje člankov, da se zavedate svoje odgovornosti v teh časih in strokovnim člankom dodate tudi alinejo za laike.
Učitelji bi morali imeti službene prenosnike in dockinge, da bi v službi in doma delali brez težav, na velikih monitorjih in s tipkovnicami in miškami kot se zagre.
V prenosnikih so tudi kamere. Če jih že nimajo samostojno.
In moreli bi imeti Wacom @ Wikipedia tablice, kot jih imajo pri Khanu, pa zdi se mi, da tudi pri Astri.
SI-CERT 2020-04 / Odpravljene ranljivosti Zoom videokonferenčnega sistema 02.04.2020
Povzetek Varnostne ranljivosti Zoom so odpravljene z različico 4.6.9, izdano 2. aprila.
Zoom je ena od široko uporabljanih videokonferenčnih platform. 1. aprila 2020 so bile odkrite varnostne ranljivosti odjemalcev za Windows in macOS operacijska sistema, ki omogočajo krajo gesel, nepooblaščen dostop do kamere in mikrofona ali pridobitev skrbniških pravic na računalniku.
Prva objava: 1. april 2020. Zadnja posodobitev: 2. april 2020.
NAJMANJ kar bi od avtorja pričakoval, da na koncu članka poda tehtno priporočilo o uporabi / neuporabi ZOOMa oziroma priporočilo za varnejšo rabo ( npr. uporabljate gesla... itd..).
Lepo prosim vse avtorje člankov, da se zavedate svoje odgovornosti v teh časih in strokovnim člankom dodate tudi alinejo za laike.
Na kratko... učitelji so imeli na voljo čisto vse možnosti za e-učenje, pa tega niso izkoristili! Zdaj seveda stokajo... ampak to je tako kot če bi imel vojake, ministrstvo bi jim zagotovilo puške in topove, vojakom se pa ne bi dalo hoditi na vojaške vaje. In ko bi izbruhnila voja, bi jokali kako ni pušk in topov... SO! Samo uporabljati jih ne znajo. Ker jih niso uporabljali dokler je bil še čas za to.
Varnostne ranljivosti Zoom so odpravljene z različico 4.6.9, izdano 2. aprila.
Zoom je ena od široko uporabljanih videokonferenčnih platform. 1. aprila 2020 so bile odkrite varnostne ranljivosti odjemalcev za Windows in macOS operacijska sistema, ki omogočajo krajo gesel, nepooblaščen dostop do kamere in mikrofona ali pridobitev skrbniških pravic na računalniku.
NI RES. Nekaj od tega je bilo res ranljivosti, nekaj je bilo pa NAMERNO VGRAJENIH FUNKCIJ s strani Zooma. Ki je, mimogrede, tudi prodajal podatke Facebooku, čeprav se je javno lagal, da tega ne počne. Zadeve so popravili šele, ko so jih razkrinkali!
Zdaj so menda zadeve popravili in nehali prodajat osebne podatke... menda.
Poglej kot IT jevec se popolnoma strinjam s tabo. Moja poanta je v tem, da mora avtor članka podati kontruktiven predloga ala "trenutno ne priporčamo uporabo" ali "priporočamo uporabo pod tem in tem pogojem".
Za IT jevce je luštno filozofirati o odprtih portih, DOS, UNC stealingu ipd.. Ampak bodimo konstruktivni.
Ne morem se strinjati bolj, da so šole in učitelji masovno zamujali priložnost, da to uredijo v zadnjih 5 letih, a se ŽAL dela z IT kot svinja z mehom v stilu, kdo nima dovolj predavanj ur bo urejal IT, saj zna prižgati računalnik.
Konstruktivno pa pomeni:
1. Učenci iz različnih razlogov ( učnih, socialne interakcije) nujno in ASAP potrebujejo video konferenčna srečanja. 2. Videokonfrenčna rešitev mora izpolnjevati naslednje pogoje:
- biti brezplačna vsaj pol ure dnevno z min. 30 uporabniki, - mora omogočati enostavno prijavo s single clik & pass ( pozabi uvedbo AAI logina, 365 prijav ali Google group za 800 otrok čez noč), - mora imeti solidno audio in video kvaliteto, - audio mora biti ok tudi, če govori več uporabnikov naenkrat, - nujno mora omogočati screenshare ali whiteboard, - chat za večje število uporabnikov, da ne vpijejo drug čez drugega, - osnovna varnost, - ugodna cena v primeru zakupa ( 10-20 €) mesečno, kolikor pokrijemo starši če treba.
Odločno pa zavračam logiko, da se najprej leta in leta ne dela nič, ko je pa kriza, se pa na hitro skupaj meče neprimerne rešitve. Do naslednje krize. Ko bo te krize konec, se pa spet ne bo spremenilo nič.
Razumem, da je sedaj krizna situacija in je treba zadeve na hitro rešiti. Ampak manjka en pomemben element.
Ljudi, ki so odgovorni za tole stanje je treba postaviti pred zid. (Ne zares, ampak virtualno).
Moja rešitev bi bila, da se vsem učiteljem zniža plače za 20%... ko se bodo zbunili, bi morala ministrica reči, OK, tisti, ki uporabljate Moodle oz. Arnesove Učilnice, ste nazaj na 100%. Tisti, ki ste pa Arnes Učilnice uporabljali že v preteklosti, boste imeli pa 120%.
Testiral sem VOx in ZOOM. VOX dela ok, le install Adobe dodatkov za screen share zna nagajati. Jitsi ima nekaj slabši video, nisem pa testiral kako dela share screen.
Je z učitelji podobno kot v zdravstu. Veliko herojev, delajo, kombinirajo, ustvarjajo. Veliko njih ima dela sedaj bistveno več, kot da imajo učence v razredu. Kar nekaj si jih pa tudi sonči. Zaradi obvladovanja tehnologije so v prednosti mlajši učitelji, starejšim je treba pomagat, tudi starši lahko velik naredimo.
Odgovornost: MŠŠ, Zavod za šolstvo in vodstva nekaterih šol, kjer ni bilo nič narejeno. Da ni gradiv na nacionalni ravni (npr. potrjeni delovni zvezki open source) MŠŠ v časih Zvera in ministrov pred njem. Luštno je bilo jadrat in pit teran, tri posvečene firme (K_ _ _ , M_ _ _ _, M _ _ _) so mastno kasirale EU sredstva, nekaj kapljic učiteljem na posamezni šoli, na nacionalni ravni pa katastrofa oziroma popolna odvisnost od komercialnih ponudnikov, ki so odprli " zaprta" gradiva (PDF like non printable). Skratka tudi tu nas tepe privatizacija izdaje gradiv, podobno kot bi nas popolna privatizacija zdravstva.
Zelo problematična je tudi nesamostojnost, vse se čaka na okrožnice, dovoljenja, odobritve, obrazce, forme, predpise iz vrha in veliko učiteljev se boji, da ne bodo sankcionirani zaradi samoiniciative.
