43Tesseracts
2017-11-23 03:22:56 UTC
Jestem rodzicem, który ma konto rodzica w moim lokalnym okręgu szkolnym, dzięki czemu mogę zalogować się na ich stronie internetowej, aby zobaczyć oceny mojego dziecka itp.
Kliknąłem przycisk „Nie pamiętam hasła”, a moje hasło zostało wysłane do mnie w postaci zwykłego tekstu. Zaniepokoiło mnie to, więc wysłałem e-mail do dyrektora, w tym kilka linków z dołu tej strony. Oto odpowiedź, którą otrzymałem od działu IT organizacji:
Hasła nadrzędne nie są przechowywane w postaci zwykłego tekstu. Są zaszyfrowane. Nie jest to szyfrowanie jednokierunkowe, ale szyfrowanie dwukierunkowe. W ten sposób system może je przedstawić w wiadomości e-mail za pośrednictwem Ariande's Narzędzie CoolSpool.
Ze względów pomocniczych hasło rodzica jest widoczne dla niektórych pracowników, dopóki rodzic nie zaloguje się pomyślnie 3 razy. Następnie żaden personel nie może zobaczyć tego hasła. Jednak jest ono przechowywane w takiej sposób, w jaki system może odesłać go z powrotem na zweryfikowany adres e-mail. W przyszłości po 3 pomyślnych logowaniach rodzica, jeśli zapomną o r hasło, na ich zweryfikowane konto e-mail zostanie wysłany link do zresetowania hasła, ta zmiana jest w toku.
Czy to wyjaśnienie uzasadnia wysłanie hasła w postaci zwykłego tekstu pocztą e-mail i czy moje hasła są nimi bezpieczne?
Jeśli nie, jakie odniesienia lub zasoby mogę im odpowiedzieć?
*Umiesz liczyć?Możesz liczyć na siebie! * Nie używaj ponownie haseł, używaj menedżera haseł.
Nie czytając więcej niż w tytule pytania, mogłem odpowiedzieć „Nie” i mieć 99,999% pewności, że mam rację.Firmy i organizacje, których głównym celem jest komunikacja internetowa, mylą się.Trudno oczekiwać, że niedofinansowany okręg szkolny, którego cel w istnieniu jest zupełnie inny i wykorzystuje jedynie komunikację elektroniczną jako łatwo dostępną wygodę, zrozumie subtelności bezpieczeństwa.Prawdziwym pytaniem nie jest „czy oni”, ale „dlaczego i jak nie są”.
Fakt, że informatyk popełnił 2 literówki w nazwie jednego tytułu oprogramowania, jest równie wymowny, jak fakt, że otrzymałeś swoje hasło pocztą ...
Krikey!To Cool Spools to IBM!Może szkołom brakuje pieniędzy i wiedzy, ale dlatego korzystają z usług dostawców.Nie ma na to usprawiedliwienia.Żaden.
„hasło rodzica jest widoczne dla niektórych pracowników” - korzystanie z menedżera haseł i uważność na to, co umieszczasz na platformie, nawet w tym nie pomaga.Twoje hasło jest znane innym stronom, dlatego możesz podszyć się pod Ciebie
Fakt, że pracownicy widzą hasła w każdych okolicznościach, jest naprawdę niepokojący, biorąc pod uwagę, ile osób używa jednego hasła do wszystkiego.Czy użytkownicy są o tym powiadamiani podczas rejestracji?
Te komentarze z działu IT nie tylko potwierdzają Twoje obawy, ale także ujawniają poważne dodatkowe wady: pozwalają pracownikom zobaczyć Twoje hasło - mam na myśli DLACZEGO? !!Nie ma też uzasadnionego powodu.Nie zdziwiłbym się, gdyby to naruszyło jakiś przepis, do którego mieli się stosować.
Ta strona nie jest tematem, ale zakładając, że ma zastosowanie prawo federalne Stanów Zjednoczonych, fakt, że „hasło rodzica jest widoczne dla niektórych pracowników” oznacza, że ten system nie jest w stanie wykryć nielegalnego [FERPA] (https://www2.ed.gov/policy/gen/guid/fpco/brochures/parents.html) dostęp do chronionych danych edukacyjnych i danych osobowych wspomnianego personelu.
Wyraźnie dużo o tym myśleli i otrzymywali złe odpowiedzi.Byłbym bardziej wyrozumiały, gdyby po prostu zbyt wiele o tym nie myśleli (edukacja dzieci, a nie bezpieczeństwo w Internecie, powinna być ich celem).Ponieważ tak dużo o tym myśleli i nadal FUBARed, muszę założyć, że są równie źli w pedagogice.Zapomnij o haśle.Uczysz teraz w domu.
@emory School Board personel IT! = Kadra nauczycielska
@Blorgbeard: Korzystanie z menedżera haseł zdecydowanie pomaga, gdy hasło jest widoczne dla personelu witryny.Ponieważ używasz menedżera haseł, ma on hasło do witryny pochodzące z klucza głównego i pęku kluczy, a nie hasło główne.Więc nie pomoże im to w dostępie do innych kont.Jasne, możliwe jest posiadanie setek lub tysięcy unikalnych haseł do witryny bez menedżera haseł, ale jest to całkowicie niepraktyczne.Tak więc rzeczywisty efekt dostępu pracowników do haseł i nieużywania menedżera haseł polega na tym, że uczą się hasła, które jest ponownie używane w niektórych grupach witryn.
Warto zauważyć: bezpieczeństwo i użyteczność często stanowią równowagę.W tym przypadku wygląda na to, że są skłonni być dość niepewni w zamian za wysoką użyteczność.W przypadku szkoły może to być uzasadnione.
@EricTowers zakładając, że coś takiego jest nawet w systemie.Jakie jest ryzyko?Co może zrobić ktoś, kto zna Twoje hasło?Widzisz jego oceny?Zdobądź numery kart kredytowych?Przenieść ubezpieczenie zdrowotne swojego dziecka na jego dziecko?Zmienić listę leków / alergików?Wyciągnąć swoje dziecko z klasy i dostarczyć go strasznemu facetowi w furgonetce?Wiele haseł nie chroni nic wartościowego.
@EricTowers: Nie śledzę.Czy „niektórzy pracownicy” nie widzą również ocen uczniów?Czy „niektórzy pracownicy” często nie muszą wprowadzać ocen do systemów online?Czy nie mogą być po prostu upoważnieni do robienia tego, co robią, ponieważ jest to część ich pracy i prawny wymóg nieujawniania informacji?Jak dojść do wniosku, że jest to koniecznie naruszenie FERPA?
@Mehrdad: Nie.Powinieneś uważniej przeczytać.Dodatkowo robisz założenia dotyczące równości zestawu pracowników, którzy mogą zobaczyć hasła, oraz zestawu pracowników, którzy mogą zobaczyć * wszystkie * rekordy.Wydaje się również, że nie rozumiesz zakresu i głębokości wymagań prawnych związanych z FERPA.
@EricTowers: Zakładałem, że masz na myśli, że brak możliwości wykrycia nielegalnego dostępu jest naruszeniem FERPA, ale jeśli nie, to jest to jeszcze mniejszy problem.Chodzi o to, że nie rozumiem, na czym polega problem z FERPA.Dlaczego te zbiory zasadniczo nie mogą się przecinać?„Określony personel” może również zmienić hasło rodzica, zalogować się jako ten rodzic, a następnie zmienić je z powrotem.Jeśli myślisz „ale to będzie widoczne w dziennikach”, to w porządku, przeglądanie haseł przez personel może równie łatwo wywołać flagi we wspomnianych dziennikach.Teraz zamiast wyśmiewać mój brak wiedzy prawniczej i na tym poprzestać, bardziej pomocne byłoby wyjaśnienie rzeczy.
@Mehrdad: Tylko dlatego, że członkowie szkolnego działu IT są upoważnieni do wglądu do hasła rodziców, nie oznacza, że są upoważnieni do podszywania się pod nich w celu uzyskania dostępu do rekordów.Oczywiście nie ma sposobu, aby wykryć nieautoryzowane użycie takich danych uwierzytelniających.Chciałabym żyć w twoim wyimaginowanym świecie, do którego każdy ma dostęp, ale nikt by go nie nadużywał.
@EricTowers: Czy w ogóle czytasz to, co piszę?Gdzie * ktokolwiek * z nas kiedykolwiek powiedział, że * ktokolwiek * jest lub powinien być * „upoważniony do podszywania się” * kimkolwiek?Miałeś problem z tym, że dział IT był w stanie zobaczyć hasła, powiedziałem, że to nie jest problem, ponieważ nawet jeśli nie mogliby, mogli zmienić hasła i zmienić je z powrotem.Oba z nich mogą być zabronione w tych samych okolicznościach i oba mogą wywoływać flagi w dziennikach (lub nie) w podobny sposób.A jeśli w jednym nie wystarczy zakaz, w drugim nie wystarczy.Czy w ogóle zamierzasz zrozumieć, co próbuję powiedzieć…?
@Mehrdad: Wydaje się, że nie chcesz zrozumieć, co oznacza „niezdolny do wykrycia nielegalnego dostępu do FERPA”.Dlaczego miałbym się bardziej niż ty starać, żeby cię zrozumieć?
@mickeyf "... trudno oczekiwać, że zrozumie subtelności bezpieczeństwa."Przepraszam, ale takie podejście jest częścią problemu.Kiedy robisz cokolwiek z danymi użytkownika, zrozumienie bezpieczeństwa jest tylko częścią bycia niekompetentnym.Kropka.To nie jest nawet takie subtelne;to tylko przelotna znajomość zagadnień.