STiNE-Pressemitteilung-061026 - Versionsgeschichte

1steenfa: Bot: Kosmetische Änderungen

2012-06-08T16:55:23Z

Bot: Kosmetische Änderungen

← Nächstältere Version		Version vom 8. Juni 2012, 16:55 Uhr
Zeile 108:		Zeile 108:
	* [http://www.informatik.uni-hamburg.de/Fachschaft/2006/STiNE-Pressemitteilung-061026.pdf Pressemitteilung als PDF-Datei]		* [http://www.informatik.uni-hamburg.de/Fachschaft/2006/STiNE-Pressemitteilung-061026.pdf Pressemitteilung als PDF-Datei]

	[[Kategorie: Pressemitteilung]]		[[Kategorie:Pressemitteilung]]
	[[Kategorie: STiNE]]		[[Kategorie:STiNE]]

Roland Illig: +kat, -wiki

2008-02-03T08:43:33Z

+kat, -wiki

Roland Illig: Link korrigiert

2007-12-02T19:22:33Z

Link korrigiert

← Nächstältere Version		Version vom 2. Dezember 2007, 19:22 Uhr
Zeile 106:		Zeile 106:
	</pre>		</pre>

	[[STiNE-Pressemitteilung-061026.pdf\|Pressemitteilung als PDF-Datei]]		* [http://www.informatik.uni-hamburg.de/Fachschaft/2006/STiNE-Pressemitteilung-061026.pdf Pressemitteilung als PDF-Datei]

PatrickFey: 1 Versionen

2007-11-06T03:33:00Z

1 Versionen

← Nächstältere Version	Version vom 6. November 2007, 03:33 Uhr
(kein Unterschied)

fsrwiki_>Oddmuse Import: link fix

2007-11-06T03:32:08Z

link fix

← Nächstältere Version	Version vom 6. November 2007, 03:32 Uhr
(kein Unterschied)

PatrickFey: 2 Versionen

2007-11-06T03:27:31Z

2 Versionen

← Nächstältere Version	Version vom 6. November 2007, 03:27 Uhr
(kein Unterschied)

fsrwiki_>Oddmuse Import: link fix

2007-11-06T03:26:00Z

link fix

PatrickFey: Kosmetik fÃ¼r STiNE

2006-10-29T16:55:12Z

Kosmetik fÃ¼r STiNE

Neue Seite

<pre>
Der FSR Informatik, seinerseits die Vertretung der Hamburger
Informatikstudierenden, möchte zu mehreren in der Vergangenheit
geäußerten Behauptungen Stellung nehmen:

"STiNE ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)

Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in
STiNE bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch
rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir
glauben, dass bei einem geringeren Druck auf die Datenlotsen die
Sicherheitslücken noch später geschlossen worden wären.

Möglich waren folgende Dinge:

1. Lesen _aller_ Nachrichten, die jemals über STiNE verschickt wurden
(inklusive "gelöschter" Nachrichten)
2. Einsicht in die privaten Daten anderer Studenten.
3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme
des Zugangs möglich gewesen wäre.
4. Entwenden der gleichzeitig mit STiNE eingeführten studentischen
Email-Konten (vorname.nachname@studium.uni-hamburg.de)

Jeder Besitzer eines STiNE-Zugangs konnte diese Angriffe ausführen. Zum
Teil war nur eine simple Änderung der URL nötig.

"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:
das System STiNE ist von Anfang an in enger Abstimmung mit dem
Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)

Diese "enge Abstimmung" bedeutet: Die Datenlotsen schreiben
Spezifikationen, die dann von den Datenschutzbeauftragten durchgelesen
und kommentiert werden. Eine Überprüfung der Sicherheit der Software
findet nicht statt. Diese Aussage ist also im Zusammenhang mit
Implementationsfehlern völlig wertlos.

"Angriffe auf Systeme wie STiNE, die das Ziel haben, mögliche
Sicherheitslücken aufzuspüren, werden nur unter kontrollierten
Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen
Datenschutzbeauftragten vorgenommen." (ebd.)

Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"
aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,
dass Systeme wie STiNE ausgiebigst auf Fehler überprüft werden,
insbesondere wenn die Software einer großen Anzahl von Personen
zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den
Datenlotsen seitens des Fachbereiches Informatik rechtzeitig ein
vorheriger Test durch erfahrene Experten angeboten. Dieses Angebot wurde
jedoch nicht angenommen.

"Die im Abendblatt geäußerte Kritik des Datenschutz-Experten Prof. Klaus
Brunnstein am Sicherheitssystem von 'Stine' hält Sachse für
'übertrieben'. Wer Schwachstellen finde, sollte sie melden. Sachse: 'Wir
arbeiten ständig an der Perfektionierung des Systems.'"
(Berichterstattung Hamburger Abendblatt, 19.10.2006)

Dies ist unserer Meinung nach zu langsam, bzw. nicht rechtzeitig
geschehen. Nach Inbetriebnahme des Systems hätten keine
Sicherheitslücken mehr bestehen dürfen.

"Der Hamburger Datenschutzbeauftragte [...] sieht zwar einzelne Mängel,
'die unglücklich, aber aus datenschutzrechtlicher Sicht nicht verheerend
sind'." (Berichterstattung Hamburger Abendblatt, 19.10.2006)

Diese Einschätzung können wir in Hinblick auf die gefundenen
Sicherheitslücken nicht teilen. Die Möglichkeit, private Nachrichten und
personenbezogene Daten anderer Nutzer zu lesen, halten wir für
datenschutzrechtlich sehr verheerend. Ein schlimmeres Datenschutzproblem
hätte unserer Ansicht nach kaum bestehen können!

"Nach seiner Kenntnis sei es auch nur Informatikstudenten möglich, in
sensible Datenbereiche vorzustoßen, weil sie erweiterte
Zugriffsmöglichkeiten hätten. Dennoch müssten die Mängel sofort
abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)

Zum Entdecken und Ausnutzen der Sicherheitslücken in STiNE waren weder
Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse
notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen
des STiNE-Teams Zugang zu privaten Daten Anderer hätten.

Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller
universitärer Einrichtungen, Vorgängen und natürlich auch bei STiNE.
Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und
noch vor der Einführung entdeckt und behoben werden können. Viele große
und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich
besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die
Bereitstellung der Quelltexte von STiNE wäre auch für den
Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten
von STiNE profitieren und wertvolle Geldmittel einsparen könnten (Zur
Erinnerung: STiNE kostet einen siebenstelligen Betrag...).

Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht
sachgemäß und umfassend durchgeführt wurden. Anders ist die
katastrophale Startphase nicht zu erklären. Wer ein derartiges System
für die Universität Hamburg entwickelt, kann die Zahl der Nutzer grob
abschätzen. Dennoch haben die Datenlotsen ein Produkt abgeliefert, das
offensichtlich den abzusehenden Belastungen nicht Stand gehalten hat.
Um in Zukunft Fehler rechtzeitig erkennen und im Zweifelsfall auch
nachvollziehen zu können, ist es notwendig, dass Protokolle von
Sicherheits-, Funkionalitäts- und Barrierefreiheitstests zugänglich sind.

Bei Rückfragen stehen wir Ihnen gerne unter
fsr@informatik.uni-hamburg.de zur Verfügung.

Fachschaftsrat Informatik
</pre>

[[STiNE-Pressemitteilung-061026.pdf|Pressemitteilung als PDF-Datei]]

← Nächstältere Version		Version vom 3. Februar 2008, 08:43 Uhr
Zeile 4:		Zeile 4:
	geäußerten Behauptungen Stellung nehmen:		geäußerten Behauptungen Stellung nehmen:

	"[[STiNE]] ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)		"STiNE ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)

	Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in		Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in
	[[STiNE]] bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch		STiNE bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch
	rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir		rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir
	glauben, dass bei einem geringeren Druck auf die Datenlotsen die		glauben, dass bei einem geringeren Druck auf die Datenlotsen die
Zeile 14:		Zeile 14:
	Möglich waren folgende Dinge:		Möglich waren folgende Dinge:

	1. Lesen _aller_ Nachrichten, die jemals über [[STiNE]] verschickt wurden		1. Lesen _aller_ Nachrichten, die jemals über STiNE verschickt wurden
	(inklusive "gelöschter" Nachrichten)		(inklusive "gelöschter" Nachrichten)
	2. Einsicht in die privaten Daten anderer Studenten.		2. Einsicht in die privaten Daten anderer Studenten.
	3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme		3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme
	des Zugangs möglich gewesen wäre.		des Zugangs möglich gewesen wäre.
	4. Entwenden der gleichzeitig mit [[STiNE]] eingeführten studentischen		4. Entwenden der gleichzeitig mit STiNE eingeführten studentischen
	Email-Konten (vorname.nachname@studium.uni-hamburg.de)		Email-Konten (vorname.nachname@studium.uni-hamburg.de)

	Jeder Besitzer eines [[STiNE]]-Zugangs konnte diese Angriffe ausführen. Zum		Jeder Besitzer eines STiNE-Zugangs konnte diese Angriffe ausführen. Zum
	Teil war nur eine simple Änderung der URL nötig.		Teil war nur eine simple Änderung der URL nötig.

	"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:		"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:
	das System [[STiNE]] ist von Anfang an in enger Abstimmung mit dem		das System STiNE ist von Anfang an in enger Abstimmung mit dem
	Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)		Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)

Zeile 35:		Zeile 35:
	Implementationsfehlern völlig wertlos.		Implementationsfehlern völlig wertlos.

	"Angriffe auf Systeme wie [[STiNE]], die das Ziel haben, mögliche		"Angriffe auf Systeme wie STiNE, die das Ziel haben, mögliche
	Sicherheitslücken aufzuspüren, werden nur unter kontrollierten		Sicherheitslücken aufzuspüren, werden nur unter kontrollierten
	Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen		Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen
Zeile 42:		Zeile 42:
	Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"		Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"
	aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,		aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,
	dass Systeme wie [[STiNE]] ausgiebigst auf Fehler überprüft werden,		dass Systeme wie STiNE ausgiebigst auf Fehler überprüft werden,
	insbesondere wenn die Software einer großen Anzahl von Personen		insbesondere wenn die Software einer großen Anzahl von Personen
	zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den		zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den
Zeile 74:		Zeile 74:
	abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)		abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)

	Zum Entdecken und Ausnutzen der Sicherheitslücken in [[STiNE]] waren weder		Zum Entdecken und Ausnutzen der Sicherheitslücken in STiNE waren weder
	Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse		Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse
	notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen		notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen
	des [[STiNE]]-Teams Zugang zu privaten Daten Anderer hätten.		des STiNE-Teams Zugang zu privaten Daten Anderer hätten.

	Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller		Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller
	universitärer Einrichtungen, Vorgängen und natürlich auch bei [[STiNE]].		universitärer Einrichtungen, Vorgängen und natürlich auch bei STiNE.
	Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und		Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und
	noch vor der Einführung entdeckt und behoben werden können. Viele große		noch vor der Einführung entdeckt und behoben werden können. Viele große
	und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich		und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich
	besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die		besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die
	Bereitstellung der Quelltexte von [[STiNE]] wäre auch für den		Bereitstellung der Quelltexte von STiNE wäre auch für den
	Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten		Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten
	von [[STiNE]] profitieren und wertvolle Geldmittel einsparen könnten (Zur		von STiNE profitieren und wertvolle Geldmittel einsparen könnten (Zur
	Erinnerung: [[STiNE]] kostet einen siebenstelligen Betrag...).		Erinnerung: STiNE kostet einen siebenstelligen Betrag...).

	Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht		Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht
Zeile 107:		Zeile 107:

	* [http://www.informatik.uni-hamburg.de/Fachschaft/2006/STiNE-Pressemitteilung-061026.pdf Pressemitteilung als PDF-Datei]		* [http://www.informatik.uni-hamburg.de/Fachschaft/2006/STiNE-Pressemitteilung-061026.pdf Pressemitteilung als PDF-Datei]

			[[Kategorie: Pressemitteilung]]
			[[Kategorie: STiNE]]

← Nächstältere Version		Version vom 6. November 2007, 03:26 Uhr
Zeile 4:		Zeile 4:
	geäußerten Behauptungen Stellung nehmen:		geäußerten Behauptungen Stellung nehmen:

	"STiNE ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)		"[[STiNE]] ist sicher" (Pressemitteilung der Universität Hamburg, 17.10.06)

	Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in		Den Datenlotsen waren seit dem 10.10.06 mehrere Sicherheitslücken in
	STiNE bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch		[[STiNE]] bekannt. Diese wurden jedoch erst am 17.10.06 behoben; gerade noch
	rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir		rechtzeitig, um dem Bekanntwerden durch die Medien zuvorzukommen. Wir
	glauben, dass bei einem geringeren Druck auf die Datenlotsen die		glauben, dass bei einem geringeren Druck auf die Datenlotsen die
Zeile 14:		Zeile 14:
	Möglich waren folgende Dinge:		Möglich waren folgende Dinge:

	1. Lesen _aller_ Nachrichten, die jemals über STiNE verschickt wurden		1. Lesen _aller_ Nachrichten, die jemals über [[STiNE]] verschickt wurden
	(inklusive "gelöschter" Nachrichten)		(inklusive "gelöschter" Nachrichten)
	2. Einsicht in die privaten Daten anderer Studenten.		2. Einsicht in die privaten Daten anderer Studenten.
	3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme		3. Entwenden von Zugangskennung und -passwort, wodurch eine Übernahme
	des Zugangs möglich gewesen wäre.		des Zugangs möglich gewesen wäre.
	4. Entwenden der gleichzeitig mit STiNE eingeführten studentischen		4. Entwenden der gleichzeitig mit [[STiNE]] eingeführten studentischen
	Email-Konten (vorname.nachname@studium.uni-hamburg.de)		Email-Konten (vorname.nachname@studium.uni-hamburg.de)

	Jeder Besitzer eines STiNE-Zugangs konnte diese Angriffe ausführen. Zum		Jeder Besitzer eines [[STiNE]]-Zugangs konnte diese Angriffe ausführen. Zum
	Teil war nur eine simple Änderung der URL nötig.		Teil war nur eine simple Änderung der URL nötig.

	"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:		"In diesem Zusammenhang stellt die Universität Hamburg folgendes klar:
	das System STiNE ist von Anfang an in enger Abstimmung mit dem		das System [[STiNE]] ist von Anfang an in enger Abstimmung mit dem
	Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)		Hamburgischen Datenschutzbeauftragten entwickelt worden." (ebd.)

Zeile 35:		Zeile 35:
	Implementationsfehlern völlig wertlos.		Implementationsfehlern völlig wertlos.

	"Angriffe auf Systeme wie STiNE, die das Ziel haben, mögliche		"Angriffe auf Systeme wie [[STiNE]], die das Ziel haben, mögliche
	Sicherheitslücken aufzuspüren, werden nur unter kontrollierten		Sicherheitslücken aufzuspüren, werden nur unter kontrollierten
	Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen		Bedingungen und nur in Zusammenarbeit mit dem Hamburgischen
Zeile 42:		Zeile 42:
	Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"		Das Problem an Sicherheitslücken ist, dass sie auch von "den Bösen"
	aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,		aufgespürt und ausgenutzt werden können. Gerade deshalb ist es wichtig,
	dass Systeme wie STiNE ausgiebigst auf Fehler überprüft werden,		dass Systeme wie [[STiNE]] ausgiebigst auf Fehler überprüft werden,
	insbesondere wenn die Software einer großen Anzahl von Personen		insbesondere wenn die Software einer großen Anzahl von Personen
	zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den		zugänglich gemacht wird. Nach unserem Kenntnisstand wurde den
Zeile 74:		Zeile 74:
	abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)		abgestellt werden." (Berichterstattung Hamburger Abendblatt, 18.10.2006)

	Zum Entdecken und Ausnutzen der Sicherheitslücken in STiNE waren weder		Zum Entdecken und Ausnutzen der Sicherheitslücken in [[STiNE]] waren weder
	Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse		Informatiker-Sonderrechte noch tiefergehende Informatik-Kenntnisse
	notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen		notwendig. Es wäre zudem skandalös, wenn einige Studierende mit Wissen
	des STiNE-Teams Zugang zu privaten Daten Anderer hätten.		des [[STiNE]]-Teams Zugang zu privaten Daten Anderer hätten.

	Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller		Der Fachschaftsrat Informatik fordert Offenheit und Transparenz aller
	universitärer Einrichtungen, Vorgängen und natürlich auch bei STiNE.		universitärer Einrichtungen, Vorgängen und natürlich auch bei [[STiNE]].
	Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und		Wäre die Software quelloffen, hätten Sicherheitslücken von Beginn an und
	noch vor der Einführung entdeckt und behoben werden können. Viele große		noch vor der Einführung entdeckt und behoben werden können. Viele große
	und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich		und erfolgreiche Softwareprojekte sind frei oder offen und zeichnen sich
	besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die		besonders durch die zeitnahe Behebung von Sicherheitslücken aus. Die
	Bereitstellung der Quelltexte von STiNE wäre auch für den		Bereitstellung der Quelltexte von [[STiNE]] wäre auch für den
	Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten		Wissenschaftsstandort Deutschland lukrativ, da auch andere Universitäten
	von STiNE profitieren und wertvolle Geldmittel einsparen könnten (Zur		von [[STiNE]] profitieren und wertvolle Geldmittel einsparen könnten (Zur
	Erinnerung: STiNE kostet einen siebenstelligen Betrag...).		Erinnerung: [[STiNE]] kostet einen siebenstelligen Betrag...).

	Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht		Die Vergangenheit hat gezeigt, dass die Tests bei den Datenlotsen nicht