18.mars i år kunne vi i universitas lese om UiOs mangel på sikkerhet rundt personvern. UiO har brutt personopplysningsloven 3 ganger bare i år.
I kjølvannet av dette, bestemte jeg meg for å utforske litt mer av datasystemet til universitetet. Ting skulle vise seg å ligge vidt åpent. Mulig dere som studerer her vet om dette, dog, jeg vil tro de færreste av de ansatte vet dette.

Tre kjekke verktøy; firefox, en terminal og en filebrowser (nautilus etc). Linux er også en nødvendighet, enten ved å bruke en av skolens linuxterminaler, eller å koble seg til via SSH.

Man bruker først UiO sine nettsider for å finne brukernavnet til personen man vil sjekke filene til. Skriver man inn hele navnet til personen, vil man få opp informasjon som vist under.



Alternativt er det mulig å bruke en terminal, hvor man skriver "finger <navn på person>". Erfaringsmessig får man mer urelevante treff ved bruk av denne metoden.

Vel, deretter må man finne ut på hvilken partisjon og disk denne personen sitt hjemmeområde. Til dette bruker vi verktøyet "jbofh". I en terminal skriver man rett og slett "bofh", og verktøyet starter i terminalen. Skriv så "user info". Trykk enter, så skriv inn brukernavnet. Man vil da få opp nye opplysninger, som vist under.



Ved "Home:"-feltet står det hvor brukeren er lokalisert. Man åpner så filebrowseren, og skriver inn banen. Hvis denne brukeren er uheldig (eller bare uvitende), får man lesetilgang til hjemmeområdet. I dette tilfellet er brukeren uheldig, og sprer sin informasjon med alle studenter på UiO.



Som det kommer frem av bildet, er det ikke alle filene det er leserettigheter på, men de fleste er det. Og dette er en foreleser. For alt man vet kan både obligatoriske oppgaver og fasiter ligge her (eksamener får man vel tilsendt av ekstern partner?).

Hvis man bare vil utforske litt, kan man bare gå til / og lete seg frem derifra, f.eks. /mn/terra. "Problemet" da er en man av og til vil støte på tilfeller som vist under.



Partisjonen inneholder ingen disker. Dette er bare en illusjon, da diskene er skjult for oss andre. Men bruker vi igjen verktøyet bofh, kan man finne ut hva diskene heter ved å skrive "disk list", <enter>, deretter skrive inn partisjonsnavnet (i dette tilfellet terra). Diskene blir da listet opp slik som under (listen er lengre enn det bildet viser).



Master høres jo interessant ut. Skriv inn den ønskede banen i filebrowseren, f.eks. /mn/terra/master-u1.



4 av 8 masterstudenter deler hjemmeområdet sitt. Hvis man vil vite hva disse personene heter, kan man bare skrive user info i bofh. Alternativt skrive person info for å få opp fødselsdato i tillegg.

Ønsket bare å rette søkelyset mot den dårlige sikkerheten UiO har, hvor de lar det være opp til brukerne om de skal dele hjemmeområdet sitt eller ikke. Da jeg oppdaget dette, sjekket jeg rettighetene som var satt på mitt område. Og joda, det var leserettigheter for alle av UiOs brukere.

Dere som studerer på UiO burde ta en chmod 700 på hjemmeområdet deres!

Alt er visst blitt bullshit i det siste.

Hull i sikkerheten burde man nesten begynne og venne seg til, da flere og flere it admins rundt om kring blir ansatt fordi de vet hvordan de gjør en xp install og kan sette opp en dhcp server....

Du fikk ingen andre tilganger en lese?

Man skulle virkelig trodd at en skole som utdanner mastere i informatikk visste hvordan man setter opp default filrettigheter i linux. For det er jo ikke spesielt vanskelig, du må bare vite om det.

Nei, dette var jo ikke noe jeg tilegnet meg, men som er åpent for alle. Tror ikke jeg har kunnskaper nok til å skaffe med skriverettigheter, hvis ikke noen eksplisitt har satt skriverettigheter på sitt område. Men akkurat det er ikke noe mål i seg selv. Jeg ønsker ikke å ødelegge, bare formidle.

Første jeg gjorde var å sette rettighetene på mappa mi til 700 når jeg startet på UiO for ca. tre år siden. Ble selv overrasket at de pr. default deler mappene til brukeren. Tenkte ikke mer på det før jeg så dette innlegget her.

Amatørmessig mener nå jeg.

Først: morsomt navn på en komando Men jeg skjønner ikke hvorfor vanlige brukere har tilgang til den? I følge http://www.usit.uio.no/it/lita/cereb...ofh-basic.html så er jbofh et verktøy for IT avdelingen på bygget.

Det er jo åpenbart en svakhet i programmet deres at du ikke må taste inn passord på brukeren.

Jeg sjekket akkurat nå og på UiB så er alle brukermappene satt til 711. Jeg vet ikke helt hvorfor man har satt at alle har kjørerettigheter på kontoen? Kan dere se noen god grunn til at kontoene er 711 og ikke 700?

Har du sendt en forespørsel til IT avdelingen på UIB om hvorfor alle har lese tilgang til alle brukerene?

At dei er 711 vil sei at andre kan cd'e til katalogen, og ha den som pwd.

Kort eksempel:
At andre kan ha katalogen som PWD og at dei kan cd'e til den er ikkje et sikkerhetshull, og gjer at en del verktøy fungerer en tanke bedre (konqueror t.d liker bedre 711 enn 700).

Kort sagt, execute bit på en dir vil sei at du kan cd'e til den.

Det er skremmende at en hvilken som helst bruker har tilgang til verktøy som jbofh. Det er der hovedproblemet ligger, no?

Nja, egentlig ikke. Eneste jeg bruker dette verktøyet til er å lokalisere hvor en bruker har sitt hjemmeområde. Admins og andre lignende grupper som over over laveregradsstudenter i hierarkiet, har tilgang på andre ting i bofh. Dette være endre utskriftskvote, legge til brukere osvosv.

Selv bruker jeg bare bofh for å sjekke hvor mange utskrifter jeg har tilgjengelig Men jeg er forsåvidt enig i at studenter ikke trenger å ha tilgang til dette verktøyet. Utskriftskvote kan man sjekke via http.

Synes det er greit å sjekke slike ting over ssh også.

Bruker selv midssh for å sjekke mail og utskriftskvote, og i noen tilfelle skriver ut.

Fungerer utmerket.

Jeg var bare ikke klar over at det faktisk hadde noen betydning for programmer man kjører.

Forøvrig skrev jeg feil i posten over. Har du spurt IT avdelingen på uio hvorfor mappene er 755 og ikke 700 / 711 ?

Google er en fin ting, får listet hele folders på brukerområder, samt noen adminsteder..

Link1

Link2

Ja, mulig du er inne på noe goophy. Men jeg har selv bare gitt leserettigheter til www_docs, ikke hele hjemmeområdet. Still, hjemmekatalogen min var lesbar for alle. Jeg nekter å tro at så mange IT-studenter gjør slik med hensikt.

Det er også poenget med 711 som uib bruker. 700 vil nekte tilgang til katalogen og alle underkataloger, mens 711 vil gi tilgang til underkataloger som en har lesetilgang til.

Altså:
du vil sjå foobar/foo dersom foobar har 011 eller bedre, og du har leserettigheter i foo
Du vil ikkje sjå foobar/foo om foobar er 700.

Drittet du linker til er jo ikke relevant med saken i det hele tatt. Dokumentene du finner der skal ikke skjules for allmennheten. Grunnen til at de er "funnet" er fordi mappene er spesifisert slik at de ikke indekseres av Google o.l. Kan være litt uheldig med Google Cache hvis man laster opp feil i noen minutter.

Det er der du tar feil, erfaringsmessig så er skolen som utdanner folk i informatikk elendige selv på å opprettholde det dem lærer vekk.