SURF en onderwijsinstellingen melden storing door ddos-aanval

Onderwijsinstellingen 'in voornamelijk het zuiden van Nederland' hebben momenteel beperkt tot geen netwerkverbinding vanwege een ddos-aanval bij SURF. Dat melden SURF en onderwijsinstelling Fontys. SURF zegt 'gedeeltelijk herstel' te zien.

Fontys schrijft last te hebben van een netwerkstoring die alle locaties van de onderwijsinstelling treft. Door de storing is het niet mogelijk om te verbinden met het netwerk van Fontys en werken de telefoons ook niet. Volgens deze onderwijsinstelling begon de storing dinsdagmiddag en is deze veroorzaakt door een ddos-aanval.

SURF bevestigde woensdagochtend dat er een storing is en gaf om 12.30 uur in een update aan dat deze 'gedeeltelijk' was opgelost. De ict-coöperatie zegt nog te onderzoeken hoe de rest van de storing kan worden opgelost.

SURF-dienst eduroam, die internet op onderwijsinstellingen verzorgt, meldt op een webpagina bij welke onderwijsinstellingen de storing zich voordoet. Deze pagina lijkt niet geheel compleet te zijn; zo heeft Fontys volgens deze website geen storing, net als Maastricht University. Volgens een tweaker heeft ook deze universiteit last van de netwerkproblemen, waardoor sites slecht tot niet bereikbaar zijn.

Reacties (60)

[CAPSLOCK2000]

SURF-dienst eduroam, die internet op onderwijsinstellingen verzorgt, meldt op een wegpagina bij welke onderwijsinstellingen de storing zich voordoet. Deze pagina lijkt niet geheel compleet te zijn; zo heeft Fontys volgens deze website geen storing, net als Maastricht University. Volgens een tweaker heeft ook deze universiteit last van de netwerkproblemen, waardoor sites slecht tot niet bereikbaar zijn.

Eduroam is decentraal opgezet. Iedere aangesloten organisatie regelt z'n eigen netwerk en geeft gebruikers van andere organisaties als gast toegang tot dat netwerk. Daarvoor moet je wel eerst inloggen op het systeem van je thuis-organisatie om te bewijzen wie je bent. Dat regelt het systeem grotendeels zelf op de achtergrond maar je hebt dus wel de servers van die andere organistaties nodig.

Daardoor kan het dat eduroam voor sommigen wel werkt en voor anderen niet, ook al zitten ze op hetzelfde netwerk.

[winwiz]

Als aanvulling het werkt bijna wereldwijd. https://eduroam.org/where/ Grote kans dat als je ergens in bijvoorbeeld USA in de buurt van een University rond loopt je plotseling WiFi via Eduroam hebt.

[fondacio]

Ook fijn: op de luchthavens van Genève, Oslo en Luxemburg werkt eduroam ook.

[kabouter428]

Op een paar in zweden werkt het ook

[macfreak1306]

Wij waren laatst in Zwitserland, en mijn abonnement heeft nog geen gratis roaming daar. Liepen langs een hogeschool, en ineens had ik WiFi hahaha. Ik wist wel dat het bestond, maar was toch wel grappig dat ik ineens allemaal notificaties binnen kreeg.

[Hoover]

Ja klopt. Dit gehad in New York en San Francisco. Kijk je voor de eerste keer wel raar op dat je ineens Wifi hebt

[meowmofo]

Er zit een federated authenticatie achter. Als die authenticatiedata over de zelfde verbinding loopt die een DDoS aanval te verwerken krijgt, dan kan het zijn dat de authenticaties voor een gebruiker die op een andere locatie zit, niet meer werken.

[tyk0]

Het kán idd decentraal zijn voor de eigen gebruikers maar "gasten" authenticatie verloopt wel via de eduroam servers.
Tegenwoordig wordt ook veel GetEduroam gebruikt waarbij de authenticatie niet meer on premise gebeurd maar door een externe inlog van bijv. een LAS/LIS oid.
Op basis daarvan krijgt de client een certificaat die ook gechecked wordt door de eduroam-server die dan weer weer antwoord naar je radius.

Ik zag vandaag (vanaf uurtje of 10) dat onze geteduroam gebruikers en gasten bijna allemaal timeouts kregen op de authenticatie(en dus geen authenticatie of zeer trage authenticatie). Het deel dat nog wel goed ging waren de gebruikers die (nog) geen geteduroam gebruiken, maar op basis van local AD account.

[cobis taba]

Mede daarom is die storingspagina van Eduroam geen goede indicatie voor problemen door deze DDOS-aanval.

[John Doos]

DIGID, Surf, TU Eindhoven, Rijnstate ziekenhuis.

Heftig weekje en het is pas woensdag.

[wildhagen]

TU/e lijkt op basis van de huidige (publiek) bekende informatie geen DDoS-attack te zijn. Daar is men immers het systeem/netwerk binnengekomen zover het nu bekend is, en dat gebeurt doorgaans niet bij een DDoS-attack.

Daarnaast is niet gezegd dat alles aan elkaar gerelateerd is. Het kan ook ongerelateerd zijn, elke dag zijn er zó enorm veel DDoS attacks over de hele wereld, slechts een kleine fractie ervan haalt het nieuws .

Er hoeft geen onderling verband te zijn tussen de diverse aanvallen. Het kán uiteraard wel, maar het is zeker niet automatisch zo.

[The Zep Man]

TU/e lijkt op basis van de huidige (publiek) bekende informatie geen DDoS-attack te zijn. Daar is men immers het systeem/netwerk binnengekomen zover het nu bekend is, en dat gebeurt doorgaans niet bij een DDoS-attack.

Een DDoS-aanval op één deel is een goede afleiding voor een hack op een ander onderdeel. Het één sluit het ander niet uit.

[Hoover]

Dat was exact ook mijn gedachten.
Tot nu toe komen er weinig technische details naar boven van wat daar gebeurd is.
De gemene deler hierin is SURF.

Een heel grote groep scholen werken samen met SURF, een van de instellingen die er gebruik van maakt, is gehackt. Wellicht was de hacker nog niet klaar met het verzamelen van data, maar ondertussen zijn ze van het netwerk gegooid omdat alles uitgeschakeld is. Dat platleggen gebeurd in overleg met mensen van SURF. Door SURF nu te Ddossen, moet de aandacht verschoven worden van TU/e naar SURF.
Hierdoor kan het zijn dat de daadwerkelijk lek onopgemerkt blijft.

[DonDaaf]

Da's opzich ook niet raar als het onderzoek nog loopt. Duidelijkheid verschaf je pas als je zelf ook een helder beeld hebt. Speculeren moet je voorkomen.

[Vibravis]

Ik denk dat John Doos bedoeld dat het allemaal wel heel veel begint te worden, ongeacht de aard van een aanval. Platleggen is platleggen en het begint alleen maar heftiger te worden helaas.

[John Doos]

Dat beweer ik ook niet

Ik geef alleen aan dat het een heftig weekje is voor deze 4 partijen, en dat het pas woensdag is.

[Hoover]

Klopt. Dat lijkt meer op een "traditionele" hack waarbij men op systemen probeert te komen.

TU/e gebruikt ook zaken van SURF. Wellicht is het een en ander aan elkaar gerelateerd.
Als je eenmaal in de systemen van SURF zit, zou het theoretisch mogelijk kunnen zijn om bij verschilende andere onderwijsinstellingen binnen te kunnen komen. Hier zijn de nodige maatregelen ook al genomen.

[Bor]

Daar is men immers het systeem/netwerk binnengekomen zover het nu bekend is, en dat gebeurt doorgaans niet bij een DDoS-attack.

Een DDoS wordt meer dan eens ingezet om iets anders te verhullen en de manschappen bezig te houden terwijl men op een andere manier toch probeert binnen te komen. Het is in de praktijk zowel een goede afleiding, een aanslag op je (human) resources en een effectief middel om zand in de ogen te strooien; hoe meer data, informatie en bronnen je hebt uit te zoeken hoe meer tijd dat kost.

[Reactie gewijzigd door Bor op 15 januari 2025 14:51]

[Kiswum]

Er lijkt inderdaad geen verband te zijn: Hier nog een nieuwe reactie van TUe:

Overigens heeft Surf, de ICT-coöperatie van onderwijs- en onderzoeksinstellingen in Nederland, vandaag te maken gehad met een andere cyberaanval, een DDoS-aanval. Mensen op de TU/e-campus ondervonden hinder van deze aanval, doordat het leidde tot haperingen in de wifi-verbinding.

https://www.tue.nl/nieuws/cyberaanval

[aleppink]

Ik wou precies hetzelfde zeggen. Toeval bestaat niet zeggen ze maar dit valt wel op.

Zou goed zijn als de bron van deze aanvallen achterhaald kan worden. wellicht geeft dat meer duidelijkheid.

[Hoover]

Dit lijkt me niet een scriptkiddy of student die niet blij is met zijn punt.
Zou me niets verbazen dat er gewezen gaat worden naar Rusland, Noord Korea of China.

TU/e maakt bv gebruik van het onderzoeksplatform van SURF. Als je daar op zit en je kunt de nieuwste onderzoeken inzien is dat heel waardevol voor bepaalde landen.

[YopY]

Helaas is dat moeilijk te achterhalen, maar ook heb ik het idee / gevoel (ongesubstantieerd verder) dat ze wel weten wie erachter zitten, maar ze er geen openbare ruchbaarheid aan geven. Sowieso voelt het alsof we al jaren in een "koude cijberoorlog" zitten, maar waar het bedrijfsleven de schade aan ondervind zonder dat er enige tegenaanvallen of escalaties komen. Zo ook met bijv. drones, inbraken en sabotage bij verschillende Europese infrastructuur; het valt me zwaar tegen dat er niet meer tegen gedaan wordt (voor zover wij kunnen zien), zoals bijvoorbeeld militaire bewaking. Ik vind dat ze gerust een mannetje met een drone sensor en een hagelgeweer bij de infrastructuur en militaire bases neer mogen zetten om drones neer te schieten, maakt niet uit van wie die is, het is een no-fly zone.

[Hoover]

Op de instelling waar ik werk zijn ook acties ondernomen de afgelopen dagen. Voor zover ik weet zijn we geen slachtoffer en zijn het alleen preventiemaatregelen, wat dat ook mag zijn. Echter normaal horen we(zeker mijn afdeling) vrij vlot wat er nu allemaal aan de hand is. Nu horen we amper wat. Zowel niet publiekelijk of vanuit de wandelgangen.

Of men weet het echt niet, of men mag het niet zeggen.
Mijn vermoeden gaat naar het laatste want bij het eerste hadden we anders al wel vernomen via de wandelgangen.

[Denzlhashington]

- dese reply was niet nuttig-

[Reactie gewijzigd door Denzlhashington op 15 januari 2025 14:13]

[Hoover]

Dat beweer ik nergens. Dit is een vermoeden wat ik heb dat dit geroepen gaat worden. Als er uberhaupt iets over naar buiten gaat komen.

[Denzlhashington]

Was een overhaaste comment mijnerzijds. Excuus. Met alle respect naar degenen die ermee bezig zijn.

[Hoover]

maakt niet uit
ik ben er zelf gelukkig niet mee bezig. Ondervind ook geen last van de problemen.
Maar sommige dingen die plaats zijn wel heel toevallig of vreemd.

[Mathijs Kok]

TU/e maakt bv gebruik van het onderzoeksplatform van SURF. Als je daar op zit en je kunt de nieuwste onderzoeken inzien is dat heel waardevol voor bepaalde landen.

Voor zover ik weet zijn al die dingen openbaar. Hoef je niet voor te hacken.

[Hoover]

https://www.telegraaf.nl/...stelen-onderzoeksgegevens

Toegegeven. De telegraaf.

[Reactie gewijzigd door Hoover op 15 januari 2025 14:31]

[RobbyTown]

Zeg dat wel. Geen idee als ze allemaal dezelfde hardware gebruiken? Dat het zo makkelijk lam is te leggen?

Wie weet volgen er nog meer. Bij Forti ook weer een hoge ontdekt.
https://www.security.nl/p...+in+FortiOS+en+FortiProxy

[Reactie gewijzigd door RobbyTown op 15 januari 2025 13:50]

[Mellow Jack]

TUe is geen DDOS want ze hebben zelf het netwerk down gebracht.
Dit is een DDOS, dat is redelijk hardware onafhankelijk
Je opmerking over forti OS is idd een dingetje. Maar de partijen die de admin interface beschikbaar stellen hebben een heel ander groot probleem

[ABC1234]

Klopt, en dan horen/lezen wij wat er in de media komt. Het gaat nog veel vaker mis zonder dat we iets horen.

[Livecrew011]

Vandaag is de Universiteit Groningen aan de beurt. Alles plat momenteel

[batlleTOPField3]

Ik werk bij een VO school met Eduroam, wij staan niet eens tussen de lijst met scholen die wel of geen storing hebben. Al hoor ik hier intern wel meldingen over traag internet.

[kroam]

Gebruiken jullie ook een Surf internetverbinding dan?

[batlleTOPField3]

Ja, die gebruiken wij inderdaad.

[cobis taba]

Ik vermoed dat je niet rechtstreeks een SURF verbinding afneemt, maar internet via die aparte stichting die er voor het VO tussenzit toch? Staat los van Eduroam trouwens, maar dat terzijde

[batlleTOPField3]

Klopt, er zit inderdaad nog een partij tussen.

[daredevil__2000]

Best bijzonder dat dit publiek gecommuniceerd wordt terwijl het naar de aangesloten instellingen is gecommuniceerd als TLP:AMBER.

[Kiswum]

Over welke informatie heb je het?

De sites waarop de storingen zichtbaar zijn, zijn publiekelijk te benaderen:

Fontys Hogeschool: https://www.fontys.nl/actueel/fontysbrede-netwerkstoring/
Surf: https://www.surf.nl/nieuws/netwerkstoring
En hun tijdelijke website: https://grotestoring.nl/

Summa College in Eindhoven had / heeft ook een storing en die hebben waarschijnlijk ook een verbinding via Surf.nl.

Wat de exacte status is kun je het beste aflezen op de gedeelde officiële pagina's.

[daredevil__2000]

Inmiddels staat het publiek op https://grotestoring.nl/ in een update van 13:40 vanuit SURF. Het Tweakers artikel is geplaatst om 13:20. Op dat moment was de informatie dat het om een DDoS aanval zou gaan alleen via het SCIRT netwerk gedeeld onder een TLP:Amber.

TLP:AMBER: geeft aan dat de informatie alleen gedeeld mag worden binnen de ontvangende organisatie of met diens klanten. Hierbij geldt het ‘‘need to know’-principe. De informatieverstrekker kan bij TLP:AMBER ook nog aanvullende beperkingen stellen.

Best bijzonder dus dat Fontys om 12:30 al publiek aan het communiceren is dat het een DDoS betreft.

[Reactie gewijzigd door daredevil__2000 op 15 januari 2025 15:33]

[tweazer]

Als toeschouwer blijf ik nieuwsgierig. Een DDoS qua bandbreedte moet enorm zijn: surfnet heeft vziw snelle verbindingen. Of het moet eoa reflection DDoS zijn, dan zou men de capaciteit van eoa bug kunnen misbruiken.
Ook kan een authenticatie systeem worden aangevallen, een storage oplossing. Vaag... Ondanks mijn nieuwsgierigheid snap ik ook dat berichtgevingen over de situatie voordat een oplossing geimplementeerd is ook vertragend of zelfs averechts kunnen werken..

[daredevil__2000]

Soms hoeft de bandbreedte van de aanvallende kant niet zo heel extreem te zijn. Het hangt vooral af van het soort DDoS aanval. SURF heeft niet alleen een mooie bandbreedte maar ook samenwerkingen met bijvoorbeeld NaWas. Dat de aanval meerdere instellingen tegelijk raakt en het de nodige tijd heeft gekost om de aanval af te weren geeft wel een beetje een indicatie van de omvang van de aanval.

[Martinez-]

In hoeverre kunnen we dit soort activiteiten los zien van het feit dat de Russen langs onze kust varen, Duitse watervoorzieningen willen saboteren en er Russische drones boven NAVO-landen gespot zijn?

Doorgaans komen dit soort aanvallen ook uit die hoek. In de publieke informatie zijn deze links niet te zien, maar lijkt me wel iets om beducht op te zijn.

Het lijkt erop dat kritische infrastructuur getest wordt op robuustheid.

[Reactie gewijzigd door Martinez- op 15 januari 2025 14:08]

[wildhagen]

Doorgaans komen dit soort aanvallen ook uit die hoek.

Sorry, maar dat is niet helemaal juist.

Natturlijk zullen de Russen ook wel DDoS attacks uitvoeren maar het is zeer zeker niet zo dat (bijna) alle DDoS-attacks door Russen worden uitgevoerd.

Die aanvallen worden door iedereen uitgevoerd, van zich vervelende scholieren (rond elke schoolvakantie zie je de DDoS attacks toenemen), via scriptkiddies, tot criminele groeperingen die geld willen zien tot staatsgerelateerde entiteiten.

Laten we eerst eens afwachten tot er mee duidelijkheid komt of het allemaal sowieso wel gerelateerd is voor we meteen weer met vingers naar deze of gene gaan zitten wijzen.

[Martinez-]

Ik leg alleen verbanden - je pakt er een zinnetje uit. Je bent aardig naïef als je je ogen sluit voor deze mogelijke verbanden.

Daarnaast is het ook een oprechte vraag. Ik vermoed namelijk niet dat we direct antwoorden gaan krijgen en dat het afgedaan wordt als: 'niet helemaal duidelijk is uit welke hoek deze aanvallen zijn'.

[david-v]

DigiD is ook weer aangevallen, dus het gaat vandaag weer door met DDOS aanvallen lijkt het.

[chaozz]

Er staat in de melding niets over een aanval. Waar haal je die informatie vandaan?

[david-v]

je moet op het bericht bovenaan klikken, dan opent een popup en staat het volgende:

Betreft:
BSNk, DigiD, DigiD Machtigen, Digipoort Financieel (WUS en FTP), Digipoort SBR Belastingdienst (WUS), machtigen en mededelen, Digipoort Sociaal en Financieel (WUS), MijnOverheid
Status:
Storing
Begin storing:
15 januari 2025 om 12:00 uur
Laatste update:
15 januari 2025 om 12:50 uur
Gevolg:
De dienst is minder, of niet beschikbaar
Door een nieuwe DDoS-aanval is een aantal Logius producten en diensten minder of niet beschikbaar.

[Valyx_]

Even op de storing klikken.

[robvandenhoogen]

Ik werk bij een VO school zonder Eduroam, maar wel met verbinding van Surf. Ook hier lagen we er +- 20 minuten uit.

[WybrenPC]

Hier op de Wageningen Universiteit ook tussen 11 en 12 last gehad van tergend trage downloadsnelheden en packet losses. Hoorde pas later dat er op de Universiteit Twente/Maastricht University ook een vertraagd eduroam was.

[Stouwdam]

Daar gaan we weer
zal het weer een DDOS zijn?

[sypie]

Ja, er zijn op dit moment weer 50 scholen die storing hebben. De school waar ik werk heeft op dit moment ook storing maar staat nog niet als storing geregistreerd op eduroam.nl

[Hoenens]

Het gaat weer door hoor.. systemen en alles zijn weer enorm traag vandaag. Day 2 of DD day?

[WoutervdHoorn]

Inderdaad, hier ook nog niet helemaal lekker helaas. Ben benieuwd.

[RSB]

Ja op onze universiteit ook enorm traag of werken niet. De kaartlezer van het koffieapparaat geen verbinding kan maken, geen koffie/thee voor mij


Edit; op mijn RIPE Probe op de universiteit is packet loss en verhoogde latency zichtbaar; https://ibb.co/NSx1NKY

[Reactie gewijzigd door RSB op 16 januari 2025 09:37]