Öppna Skolplattformen polisanmäls av Stockholms stad

Permalänk
Hedersmedlem
Skrivet av Ferrat:

Nu har jag inte koll på hur ösp funkar men är det inte så att för att få tillgång till datan måste man som förälder, elev etc logga in?
Det ösp faktiskt gör är att tillhandahålla ett interface, bara för att du laddar ner ösp får du inte tillgång till någon data?
Föräldrar som loggar in har all rätt att göra det och rätt till datan de använder, har svårt att se hur ösp då kan anses begå intrång.

Rent teoretiskt så finns det ju en befogad oro, det kan komma ut en uppdatering till ÖSP som skickar kopior på all data applikationen kommer åt till en bra server i utlandet någonstans.

Samma skulle ju dock kunna gälla vilken alternativ webbläsare, webbläsartillägg, eller skum mobilapp som helst, så det känns som att även om denna oro är befogad är den inte tillräcklig för att stoppa tredjepartsappar på det sättet.

Permalänk
Medlem

Kommer inte hända någonting med polisanmälan. Bara en avskräckningstaktik.

Visa signatur

|ASUS Z170-A||6700K@4.6Ghz||Corsair H50 Scythe GT 1450RPM PnP||16GB Crucial DDR4 2133Mhz@2800Mhz||MSI RTX 3070||Crucial P3 2TB||Corsair HX 1050W||Fractal Design - Define R2 Black Pearl|Citera för svar
Fotoblogg: PlanetStockholm

Permalänk
Medlem
Skrivet av pv2b:

Rent teoretiskt så finns det ju en befogad oro, det kan komma ut en uppdatering till ÖSP som skickar kopior på all data applikationen kommer åt till en bra server i utlandet någonstans.

Samma skulle ju dock kunna gälla vilken alternativ webbläsare eller skum mobilapp som helst, så det känns som att även om denna oro är befogad är den inte tillräcklig för att stoppa tredjepartsappar på det sättet.

Fast med den logiken, alla kan begå brott så grip alla och dessutom påvisat att mobiler skickar massa data redan utanför landet och så vilket iaf bör vara större oro över.

Visa signatur

"One is always considered mad, when one discovers something that others cannot grasp."
- Ed Wood

Permalänk
Medlem

Så jävla idiotiskt att dom anmäler utvecklaren istället för att fixa sitt skit.

Permalänk
Medlem
Skrivet av pv2b:

Rent teoretiskt så finns det ju en befogad oro, det kan komma ut en uppdatering till ÖSP som skickar kopior på all data applikationen kommer åt till en bra server i utlandet någonstans.

Samma skulle ju dock kunna gälla vilken alternativ webbläsare, webbläsartillägg, eller skum mobilapp som helst, så det känns som att även om denna oro är befogad är den inte tillräcklig för att stoppa tredjepartsappar på det sättet.

De hade väl tidigare ett upplägg där de faktiskt agerade proxy, vilket var ett större problem ur det perspektivet. Vad jag förstår har den logiken flyttats in i själva appen.

Sedan är väl frågan om det t.ex. finns någon typ av "app secret" eller liknande, och om den isf är plockad ur den "riktiga" appen. Isf vore väl det en möjlig grund för att det faktiskt skulle vara ett intrång.

Visa signatur

Desktop: Ryzen 5800X3D || MSI X570S Edge Max Wifi || Sapphire Pulse RX 7900 XTX || Gskill Trident Z 3600 64GB || Kingston KC3000 2TB || Samsung 970 EVO Plus 2TB || Samsung 960 Pro 1TB || Fractal Torrent || Asus PG42UQ 4K OLED
Proxmox server: Ryzen 5900X || Asrock Rack X570D4I-2T || Kingston 64GB ECC || WD Red SN700 1TB || Blandning av WD Red / Seagate Ironwolf för lagring || Fractal Node 304

Permalänk
Medlem
Skrivet av pv2b:

Att ta fram en lista på API:er är inte att gå in i någons hus, det är snarare mer att ta bilder från utsidan av huset. Vilket (att ta bilder, alltså) man får göra så länge det inte är ett skyddsobjekt.

Off topic: Du får fota skyddsobjekt så mycket du vill så länge som det inte finns ett avbildningsförbud vilket är tillägg. Utan detta tillägg får du fota bäst du vill. Ta våra stora flygplatser som exempel (Arlanda, Landvetter, osv.). De är skyddsobjekt men det fotades (medan det fortfarande fanns resenärer) hundratals foton varje dag av glada resenärer och deras öl.
Dock kan det finns delar av ett skyddsobjekt som har avbildningsförbud även om man generellt tillåter det.

Permalänk
Hedersmedlem
Skrivet av Ferrat:

Fast med den logiken, alla kan begå brott så grip alla och dessutom påvisat att mobiler skickar massa data redan utanför landet och så.

Jo, det är ju exakt det jag skriver också.

Permalänk
Hedersmedlem
Skrivet av Svantesson666:

Off topic: Du får fota skyddsobjekt så mycket du vill så länge som det inte finns ett avbildningsförbud vilket är tillägg. Utan detta tillägg får du fota bäst du vill. Ta våra stora flygplatser som exempel (Arlanda, Landvetter, osv.). De är skyddsobjekt men det fotades (medan det fortfarande fanns resenärer) hundratals foton varje dag av glada resenärer och deras öl.
Dock kan det finns delar av ett skyddsobjekt som har avbildningsförbud även om man generellt tillåter det.

Jag får korrigera mitt inlägg helt enkelt. Tack!

Permalänk
Medlem
Skrivet av pv2b:

Jo, det är ju exakt det jag skriver också.

Ser det inte som befogad oro att anta att alla kan begå brott, det skulle jag klassa som paranoid.

Visa signatur

"One is always considered mad, when one discovers something that others cannot grasp."
- Ed Wood

Permalänk
Medlem

Jösses vilka IT-analfabeter. Inte konstigt konsultfirmor kan ta ut miljardbelopp från offentlig sektor.

Visa signatur

Intel i7 6700K @ 4,4 Ghz | MSI Z170 KRAIT GAMING 3X | be quiet! Dark Rock 4 | 16 GB Kingston HyperX Fury 2133 Mhz | Asus RTX 3060 OC | PNY XLR8 CS3030 500 GB | Samsung 860 QVO 1 TB

Permalänk
Hedersmedlem
Skrivet av Ferrat:

Ser det inte som befogad oro att anta att alla kan begå brott, det skulle jag klassa som paranoid.

Att anta att ingen kommer begå brott skulle jag klassa som naivt.

Det finns ju så klart en mellanväg, vilket är vad jag förespråkar. Ja, det kan hända att ÖSP får någon uppdatering som bör stjäla information, men då får man hantera det där och då, man kan inte förbjuda detta i förväg bara för att detta KAN hända, eftersom ett sådant förbud inte står i proportion till risken.

Permalänk
Medlem

Jag tycker att tjänstemannaansvaret ska återinföras. Synd att de tog bort det.

Visa signatur

FD define r4 vitt// ASUS ROG Strix B550-F Gaming (Wi-Fi) II + Corsair 32GB (2x16GB) DDR4 3600MHz CL16 Vengeance RGB RT Svart// Ryzen 7 5700X 3.4 GHz + Corsair iCUE H100i RGB PRO XT// Sapphire RX5600XT Pulse// AOC 27G2UG4 IPS 144Hz// Win11 på wd_black sn850x 1tb// Corsair RM750x// MATTA: SWECLOCKERS 90cm// Corsair Dark Core RGB PRO Wireless // Google pixel 8 Pro// HyperX Cloud II

Permalänk
Medlem
Skrivet av pv2b:

Var får du den formuleringen från? Den står inte i artikeln någonstans.

Står i nyheten som tweeten screenshotar https://twitter.com/oppnaskolplatt/status/1382687285175549959...

Citat:

Den öppna skolplattformen har först muntligt och sedan skriftligt bett om lov för att hämta data från Stockholms stads öppna API. Båda gångerna har svaret blivit nej.

– Får man hämta datan utan tillåtelse, bara för att det ligger öppet? Där ligger konflikten, säger Lena Holmdahl.

Visa signatur

FormD T1 || i9 10850K || MSI MEG Z490i UNIFY || Nvidia RTX3080FE || 32GB G.SKILL Trident Z Neo 3600MHz CL16 || WD SN550 1TB && Kingston Fury Renegade 2TB|| Corsair SF750 Platinum
Dell S2721DGFA|HP Omen 34C
BenQ W1300 | Yamaha RX-A830 | Playstation 3

Permalänk
Medlem

Nu är jag inte helt insatt i detta, men även om de har öppna API:er så behöver man väl ändå någon sorts inloggning för att komma åt informationen? Eller ligger allt öppet? Jag tänker mig att om jag skickar iväg ett POST request utan någon data med login och lösen så borde den väl avvisa requesten?

Jag nyttjar exempelvis Telias API för att få tillgång Telia Play i min programvara, men där kommer jag inte undan inloggningen.

Visa signatur

AMD 7800X3D | ASUS TUF X670E-PLUS | Corsair Vengeance DDR5 32GB EXPO | ASUS TUF 4090 OC 24GB |
Noctua NH-U12A | Corsair 4000D | Corsair AX1200W | Steelseries Apex 7 | Steelseries Sensei Ten | ASUS VG35VQ

https://github.com/Mariusz89B

Permalänk
Hedersmedlem
Skrivet av ChipZ:

Aha men det är ju en groda, då påstår ju staden att deras api är öppet, men fortfarande inte tillåtet att använda.

Permalänk
Hedersmedlem
Skrivet av M89:

Nu är jag inte helt insatt i detta, men även om de har öppna API:er så behöver man väl ändå någon sorts inloggning för att komma åt informationen? Eller ligger allt öppet? Jag tänker mig att om jag skickar iväg ett POST request utan någon data med login och lösen så borde den väl avvisa requesten?

Jag nyttjar exempelvis Telias API för att få tillgång Telia Play i min programvara, men där kommer jag inte undan inloggningen.

Precis så är det. Framgår av artikeln och tidigare kommentarer

Permalänk
Medlem
Skrivet av pv2b:

Att anta att ingen kommer begå brott skulle jag klassa som naivt.

Det finns ju så klart en mellanväg, vilket är vad jag förespråkar. Ja, det kan hända att ÖSP får någon uppdatering som bör stjäla information, men då får man hantera det där och då, man kan inte förbjuda detta i förväg bara för att detta KAN hända, eftersom ett sådant förbud inte står i proportion till risken.

Jag sa inte att ingen begår brott?

Ja om något sker så hanterar man det där och då ja, när har jag sagt annat? Du hävdade att det var en befogad oro att anta att ÖSP skulle stjäla data, det var det uttalande jag inte höll med om och poängterade att med den logiken kan man isf gripa alla. Om din granne är jägare och har vapen hemma är det befogad oro att anta att han kommer mörda dig? Nej, inte om han inte gjort något som talar för det. Om du ser det som befogat är det paranoia om det inte finns grund för det, att säga att det är paranoia är inte samma sak som att säga att ingen med ett jaktvapen någonsin har mördat någon.

Visa signatur

"One is always considered mad, when one discovers something that others cannot grasp."
- Ed Wood

Permalänk
Medlem
Skrivet av pv2b:

Precis så är det. Framgår av artikeln och tidigare kommentarer

Ok då förstår jag. Men då är ju informationen på sätt och vis skyddad. Om man nu använder sig utav ett personligt konto. Vilket isåfall borde vara ett icke problem?

Visa signatur

AMD 7800X3D | ASUS TUF X670E-PLUS | Corsair Vengeance DDR5 32GB EXPO | ASUS TUF 4090 OC 24GB |
Noctua NH-U12A | Corsair 4000D | Corsair AX1200W | Steelseries Apex 7 | Steelseries Sensei Ten | ASUS VG35VQ

https://github.com/Mariusz89B

Permalänk
Medlem

Kasst API om "fel" personer har tillgång.

Permalänk
Avstängd
Skrivet av GLaDER:

Det här är så tråkigt

Men jag undrar om "APIerna finns på nätet" räcker i rätten. Tänker ex. på att det är olagligt att gå in i någons hus, även om huset är olåst. Kan samma tänk tillämpas här? Stockholm Stad får rätt eftersom de inte uttryckligen gett lov för andra att använda deras API?

En aningen bättre liknelse, dock långsökt, är att användarna, alltså föräldrarna, har fått en nyckel till huset och en bil att köra dem fram till huset med. Denna bilen var dock kass så några föräldrar fixade en annan bil som man kunde använda att köra fram till huset med för att sen använda sin nyckel för att komma in. Nu försöker husägaren stämma denna biltillverkare för att de olovligen har gett sig själva åtkomst till huset

Permalänk
Hedersmedlem
Skrivet av Ferrat:

Jag sa inte att ingen begår brott?

Ja om något sker så hanterar man det där och då ja, när har jag sagt annat? Du hävdade att det var en befogad oro att anta att ÖSP skulle stjäla data, det var det uttalande jag inte höll med om och poängterade att med den logiken kan man isf gripa alla. Om din granne är jägare och har vapen hemma är det befogad oro att anta att han kommer mörda dig? Nej, inte om han inte gjort något som talar för det. Om du ser det som befogat är det paranoia om det inte finns grund för det, att säga att det är paranoia är inte samma sak som att säga att ingen med ett jaktvapen någonsin har mördat någon.

Alltså, det här är en helt meningslös diskussion. Du och jag håller fullständigt med varandra.

Det finns en befogad oro med att ge folk tillgång till vapen, därför har vi en tillståndsprocess för att kunna få vapen, man måste avlägga jägarexamen etc.

Jag tror det du hänger upp dig på är att du tror att jag menar att det är rimligt att vara konstant orolig/stressad/oroad av att något KAN hända hela tiden, det är sjukligt. Det är inte samma som att det finns en "befogad oro".

Permalänk
Medlem
Skrivet av infigo:

Passar på att länka in podavsnittet här också. Var en kommentar i den andra nyheten av detta. Släng gärna med den i nyheten också

https://kodsnack.se/410/

Jag vill bara trycka på hur bra den här är för att få insikt i både det aktuella problemet, men även förstå i allmänhet hur jävla korkade svensk förvaltning kan vara.

Visa signatur

Asus B550E-Gaming / Ryzen 5900X stock / Corsair Vengeance 32GB 3600 MHz CL18 /
ASUS TUF 4080 Gaming OC / Samsung 980 PRO 2TB PCI-Ev4 + 2TB WD Black NVME PCI-Ev3 / Corsair RM850x v2 / Acer Predator XB273UGX 1440p 270 Hz G-Sync / Phantek P500A / Arctic Cooling LF II 240mm / Evo 4 / Sennheiser IE 300 / Rode NT1-A
Synology 1621+ 6*16 / 1513+ 5*8 / LG CX 65" / XBox Series X
Ownit > Bahnhof

Permalänk
Hedersmedlem
Skrivet av M89:

Ok då förstår jag. Men då är ju informationen på sätt och vis skyddad. Om man nu använder sig utav ett personligt konto. Vilket isåfall borde vara ett icke problem?

Ja, så länge ÖSP-appen gör det den utger sig för att göra. (Och det finns ingen anledning att tro att den inte gör det...)

Permalänk
Medlem

Så nu ska det tas upp i tingsrätten, och de är ungefär på samma IT-nivå som byråkraterna... Eller ännu värre, de kallar in IT-expertis! Och varifrån kommer de? Troligen stockholm stad

Visa signatur

Processor: Motorola 68000 | Klockfrekvens: 7,09 Mhz (PAL) | Minne: 256 kB ROM / 512 kB RAM | Bussbredd: 24 bit | Joystick: Tac2 | Operativsystem: Amiga OS 1.3

Permalänk
Medlem
Skrivet av pv2b:

Alltså, det här är en helt meningslös diskussion. Du och jag håller fullständigt med varandra.

Det finns en befogad oro med att ge folk tillgång till vapen, därför har vi en tillståndsprocess för att kunna få vapen, man måste avlägga jägarexamen etc.

Jag tror det du hänger upp dig på är att du tror att jag menar att det är rimligt att vara konstant orolig/stressad/oroad av att något KAN hända hela tiden, det är sjukligt. Det är inte samma som att det finns en "befogad oro".

Jag är helt med dig där, men du hävdade en befogad oro gällande ÖSP, det är specifikt. Likt grannen som då redan har ett vapen och visat att den inte skjutit dig. Oron isf är hur APIet är uppbyggt m.m. då bör inte heller lösningen vara att ge sig på den som eventuellt kan men inte har visat någon intention att agera så som du är orolig för.

Precis som vapenlicenser är menade för att se till att vapen inte används av fel personer men att polisen inte gick runt och grep alla som hade vapen sedan innan licenser var kravat om de inte misskött sig, därav har vi genom åren haft saker som vapenamnestier etc när övergången sedan är klar men man har medvetet inte anklagat de som bara haft en bössa hemma för att missbruka den.

Befogad oro för intrång i systemet för undermålig uppbyggnad är rimligt.
Befogad oro för att ÖSP ska sälja datan eller liknande (dessutom open source), ej rimligt.

Visa signatur

"One is always considered mad, when one discovers something that others cannot grasp."
- Ed Wood

Permalänk
Medlem

Att de saknar kunskap och kompetens var redan utan tvivel redan bevisat när de lanserade Skolplattformen. Trots att den blivit "bättre" är den ur användarsynpunkt (även lärarna hatar den) ett rent, ursäkta utrycket, clusterf*ck

Permalänk
Hedersmedlem
Skrivet av Ferrat:

Jag är helt med dig där, men du hävdade en befogad oro gällande ÖSP, det är specifikt. Likt grannen som då redan har ett vapen och visat att den inte skjutit dig. Oron isf är hur APIet är uppbyggt m.m. då bör inte heller lösningen vara att ge sig på den som eventuellt kan men inte har visat någon intention att agera så som du är orolig för.

Precis som vapenlicenser är menade för att se till att vapen inte används av fel personer men att polisen inte gick runt och grep alla som hade vapen sedan innan licenser var kravat om de inte misskött sig, därav har vi genom åren haft saker som vapenamnestier etc när övergången sedan är klar men man har medvetet inte anklagat de som bara haft en bössa hemma för att missbruka den.

Befogad oro för intrång i systemet för undermålig uppbyggnad är rimligt.
Befogad oro för att ÖSP ska sälja datan eller liknande (dessutom open source), ej rimligt.

Absolut.

Det jag menar är att när man först får höra talas om något som ÖSP så är det befogat att man är orolig som utgångsläge, och att man sedan tar reda på vem ÖSP är, vad de gör, etc. Till och med Stockholms Stad förstår att de inte behandlar något data, och att vårdnadshavare därför inte behöver vara oroliga, efter man väl undersökt vad det handlar om. Så långt är det rätt rimligt.

Det orimliga ligger i att fortsätta motarbeta ÖSP när man väl vet att det de pysslar med är harmlöst.

Permalänk

För att vara djävulens advokat och förstå Stockholm Stad i det här:

De relevanta API:erna är förvisso publika men kräver autentisering mot BankID. En webb- eller mobil-app som bygger på sådana API:er behöver hantera sessionen på något sätt. Dvs även om inga personuppgifter lagras i appen så behöver sessionen skapas och finnas tillgänglig på något vis.

I det här fallet har utvecklarna (såvitt jag förstår) valt att lagra sessionen i själva appen: https://www.npmjs.com/package/@skolplattformen/embedded-api.

EDIT: Förtydliga ovan, sessionshantering är INTE inbyggd i webbläsaren / mobilens operativsystem. Utvecklarna har fortfarande utformat sessionshanteringen, det jag menade är att den kör i appen och ex. inte via en proxy vilket den gjorde tidigare.

Jag känner inte till vilka 'attack vectors' en sådan lösning har, men poängen är att exakt hur sessionen hanteras och därmed säkerhetsfrågan ligger helt och hållet i utvecklarnas händer.

EDIT2: Många verkar ha missat poängen ovan. Att ÖSP "bara visar" datan och att det inte finns någon säkerhetsrisk är helt och hållet fel. Alla appar har attack vektorer och i det här fallet har koden som exekverar tillgång till användarens personuppgifter och session.

Med hänsyn till att sessionen har åtkomst till känsliga personuppgifter, behöver man ställa sig följande frågor; ifall utvecklare ska ha rätt att (1) Utveckla, (2) Distribuera och (3) Ta betalt för sådana appar.

Min åsikt är att man ska ha rätt att utveckla en sådan app, men att distribuera och ta betalt innebär en säkerhetsrisk för samhället och förlitar sig på att b.la. datainspektionen är med på noterna.

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

För att vara djävulens advokat och förstå Stockholm Stad i det här:

De relevanta API:erna är förvisso publika men kräver autentisering. En webb- eller mobil-app som bygger på sådana API:er behöver hantera sessionen på något sätt. Dvs även om inga personuppgifter lagras i appen så finns sessionen tillgänglig på något vis.

I det här fallet har utvecklarna (såvitt jag förstår) valt att lagra sessionen i själva appen: https://www.npmjs.com/package/@skolplattformen/embedded-api

Jag känner inte till vilka 'attack vectors' en sådan lösning har, men poängen är att exakt hur sessionen hanteras och därmed säkerhetsfrågan ligger helt och hållet i utvecklarnas händer.

Med hänsyn till att sessionen har åtkomst till känsliga personuppgifter, behöver man ställa sig följande frågor; ifall utvecklare ska ha rätt att (1) Utveckla, (2) Distribuera och (3) Ta betalt för sådana appar.

Min åsikt är att man ska ha rätt att utveckla en sådan app, men att distribuera och ta betalt innebär en säkerhetsrisk för samhället och förlitar sig på att b.la. datainspektionen är med på noterna.

OK! Vilken myndighet vill du ska godkänna en webbläsare?

Permalänk

Det enklaste är att helt enkelt förbjuda distriburering av icke-godkända appar som hanterar känsliga uppgifter.

Alternativet är som jag antydda att Stockholm Stad kan välja att godkänna vissa appar. Om det annars ska vara fritt fram måste det först finnas ett fungerande system.