Netwerk Radboud Universiteit gaf toegang tot privégegevens

Het netwerk van de Radboud Universiteit kampte met een beveiligingsprobleem. Iedereen met toegang tot het netwerk kon salarissen van medewerkers inzien. Ook de adressen van medewerkers en studenten waren toegankelijk.

De Radboud Universiteit heeft dat zelf naar buiten gebracht, maar wil verder weinig kwijt over het probleem. De universiteit geeft enkel aan dat studenten informatica het lek hebben ontdekt en dat het probleem inmiddels zou zijn verholpen.

Hoe de studenten de gevoelige informatie konden benaderen, wil een woordvoerder van de universiteit niet zeggen, enkel dat iemand 'zijn juiste weg moest zien te vinden'. Het beveiligingsprobleem deed zich voor op het interne netwerk van de universiteit; van buitenaf was het probleem niet te misbruiken.

Welke gegevens nog meer konden worden bekeken, naast salarissen, adressen en namen, is eveneens onduidelijk, net als de vraag van hoeveel mensen gegevens toegankelijk waren. Duidelijk is wel dat zowel informatie over studenten als over medewerkers kon worden benaderd. De informatie kon echter niet worden gewijzigd.

Reacties (15)

[Wassasin]

Een uitwijding op de interne nieuwssite: http://runieuws.nl/2011/12/09/informatielek-had-niet-mogen-gebeuren/.

[PietPuk.nl]

En dit is nieuws hoe? Er staat feitelijk vrij weinig in het bericht. Ik zie geen meerwaarde van dit soort berichtgeving. Het past wel in de tendens om alles wat met security en hacking te maken heeft op tweakers te posten de laatste tijd. Jammer. Had dan graag een uitgebreider artikel gezien. Dit heeft geen feitelijke inhoud en kan beter niet geplaatst worden.

[sambalbaj]

Tsja het heeft inhoudelijk eigenlijk het meeste weg van het persbericht van de Radboud Universiteit zelf. Iets wat de nieuwsberichten op Tweakers tegenwoordig wel vaker hebben: een bericht op basis van een persbericht van 1 partij zonder verdere verdieping.

Blijkbaar speelde het alleen bij Heyendaalnet, het interne gigabitnetwek op de campus zelf en niet verder bij het TeleMANN netwerk, dat ook oa de Hogeschool Arnhem-Nijmegen, overige onderwijs en non-profitdiensten en studentenwoningen (SSHN) van glasvezel voorziet in Nijmegen verbindt via het Surfnet glasvezelnetwerk.

Maar ook wat hier onder intern bedoeld wordt blijft onduidelijk omdat het netwerk ook via VPN@RU of via SurfSnel ADSL van InterNLnet benaderd kon worden.

[mrdemc]

Het heeft wel degelijk feitelijke inhoud. Het heeft echter geen technische inhoud, iets dat ik zelf (en jij neem ik aan ook, samen met vele andere tweakers) graag zouden zien.
In principe is het nieuws, en het is goed om te weten dat dit er was en dat er aan gewerkt wordt en ontdekt is, maar ik had liever inderdaad gezien dat er ook gedetaileerde informatie over de manier waarop dit toegankelijk werd gemaakt zou worden geplaatst. Dat geeft namelijk ook een soort leerstof mee aan de nieuwpost.

Verder vind ik het raar dat dit zo vrij toegankelijk was. Je maakt neem ik aan gebruik van Groep policies en dergelijke informatie zou moeten horen bij een map die onder de GP valt van een OU voor financiele administratie waardoor studenten en andere medewerkers dit soort inhoud niet eens te zien zouden moeten krijgen. Evenals bijv. het gebruik van ontdekken van netwerk apparaten in windows netwerk zou uit moeten staan standaard op elke pc en server. Het ip van de servers die je nodig hebt is namelijk al gewoon bekend, evenals de hostnaam.

[WoC]

Tsja, zou best een gevalletje GP kunnen zijn, maar het zou natuurlijk ook een openstaande website kunnen zijn waar docenten digitaal loonstrookjes kunnen downloaden, vakantiedagen kunnen opnemen of weet ik veel.
Helaas te weinig informatie dus in het artikel.

[Verwijderd]

Eens,

Vanochtend is mevrouw Janssen overgestoken terwijl zij slechts een keer had gekeken. Denk je eens in wat er allemaal had kunnen gebeuren.

Het is niet gebeurd. Zijn grote groepen ICT-ers en masse zielig aan het worden? Alleen met het vingertje wijzend naar anderen die - o jee - ergens een steekje hebben laten vallen. Wat henzelf, de autisten, natuurlijk noooooit zou overkomen.

Dit soort voorvallen heeft niet veel met ICT te maken en niet veel met security. Het is de moeite van het vermelden niet waard. Behalve dan aan de direct betrokkenen.

[Verwijderd]

Hmm, ik kon als student op de RUN 3 à 4 jaar geleden al via het intraweb gegevens achterhalen m.b.t. het personeelsbestand die niet voor ieders ogen bestemd was. Ik heb dat destijds bij het bestuur gemeld. Het zit dus nog steeds mis.

[Verwijderd]

zo te lezen waren ze er dus nog net op tijd bij, gezien het feit dat alleen op het interne netwerk de gegevens benaderbaar waren en dat het is ontdekt door Informatica studenten

[mjtdevries]

Ik zie niet in hoe die twee feiten je tot de conclusie brengen dat ze er "nog net op tijd bij waren"

Het kan net zo goed al een jaar zo hebben gestaan, maar nu werd het pas door studenten gerapporteerd en werd het gefixed.

[Verwijderd]

omdat op het moment dat er wel misbruik van zou zijn gemaakt denk ik dat het met de inmiddels standaart bombarie in de media gemeld zou zijn. aan de ingetogen toon van het artikel en het feit dat nergens vermeld staat dat er wel misbruikt van gemaakt zou zijn, denk ik dat er dus nog geen gegevens in de verkeerde handen zijn gevallen.

[Joost]

Dat is voorbarig, want het zou net zo goed wel kunnen zijn. Een groot deel van de beveiligingsproblemen komt nooit in de media, ook niet als ze wel zijn misbruikt - vaak gebeurt dat door criminelen, die er helemaal geen belang bij hebben om in de media te komen.

[Taghorn]

Er is nog geen bewijs/aanwijzingen dat er data gelekt is, betekent niet dat er geen studenten zijn die nu alle salarissen in handen hebben. Die kunnen ze altijd op een "handig" moment naar de media sturen...

Maar inderdaad, blijkbaar had je alleen lees rechten als je op het interne netwerk zat. De kans op grote schade is inderdaad klein. De universiteit speelt redelijk open kaart, dus de reputatie schade valt ook mee (beter dan via de media horen)

[Termi]

Waren zeker de salarissen van de top welke toch al openbaar gepubliceerd zijn .

[Xorgye]

Ziet er uit als een typisch gevalletje AD rechten niet goed ingesteld.

[Triton1986]

nja lekker dan kunnen medestudenten me cijfers zien