Öppna Skolplattformen polisanmäls av Stockholms stad

Permalänk
Medlem
Skrivet av Pepe Silvia:

I'm back förlåt, du har helt rätt i att ad hominem / personangrepp är en nivå ovanför skällsord. Som du antydde hade jag av misstag tolkat pyramiden som ett paraply.

Min poäng var iaf att om det finns experter som hävdar det ena och man påstår det andra, då behöver man på något sätt ge trovärdighet. Ex. kreditera sin expertis, referera till något trovärdigt eller ha ett starkt resonemang. KADs inlägg tycker jag gör det bra genom att referera, citera, samt ge tolkningsutrymme när det lämpar sig (ex. "jag tycker", "jag tror inte").

Jag tyckte det räckte att länka till dokumentet då det inte är jättelångt att läsa. Men för att ha något konkret kan jag citera sammanfattningen längst ner i dokumentet (det sista stycket):

> Det är i sammanhanget viktigt att betona att apptillverkarna i enlighet med offentlighet- och sekretesslagen fått ett avslagsbeslut då information om API:er och SDK omfattas av sekretess. Att apptillverkarna genom baklängeskonstruktion (reverse engineering) berett sig tillgång till uppgifterna och därefter publicerat stadens API:er tillsammans med appens kod på en offentlig plattform, Github. Agerandet har därmed inneburit att sekretessbelagd information har blivit röjd.

Det här är b.la. vad utredningen kom fram till, vi kan tycka att det är fel men de kan ändå ha juridisk grund särskilt med hänsyn till att dem har rådfrågat en juridisk avdelning. När jag tidigare sa "dogmatisk" menade jag att man måste vara ödmjuk för att man kan ha fel. I det avseendet reagerar jag på formuleringar som "ÖSP behöver inget tillstånd för att publicera appen", men hade inte reagerat på "Jag tycker inte att utredningen har rätt i att ÖSP behöver tillstånd för att publicera appen".

Ok, det där löste ganska många knutar i diskussionen för min del i alla fall. Om de endast släppt appen som sådan, men inte källkod eller dokumentation av baklängeskonstruerad API, hade problemet varit mindre. Men det leder samtidigt till nya frågor innebörden av sekretessbelagd information. Om information återskapas utan tillgång till den ursprungliga sekretessbelagda information är då spridning av återskapad information spridning av sekretessbelagd information.

Permalänk
Hedersmedlem
Skrivet av aliassund:

Ok, det där löste ganska många knutar i diskussionen för min del i alla fall. Om de endast släppt appen som sådan, men inte källkod eller dokumentation av baklängeskonstruerad API, hade problemet varit mindre. Men det leder samtidigt till nya frågor innebörden av sekretessbelagd information. Om information återskapas utan tillgång till den ursprungliga sekretessbelagda information är då spridning av återskapad information spridning av sekretessbelagd information.

Det är alltså inte Skolplattformens källkod de har släppt, utan ÖSP:s egna källkod.

Permalänk
Medlem
Skrivet av pv2b:

Det är alltså inte Skolplattformens källkod de har släppt, utan ÖSP:s egna källkod.

Japp, men den källkoden blir ju i praktiken en slags dokumentation av API:t, avsiktligt eller ej.

Permalänk
Hedersmedlem
Skrivet av aliassund:

Japp, men den källkoden blir ju i praktiken en slags dokumentation av API:t, avsiktligt eller ej.

Ungefär som Stockholms Skolplattforms egna frontend-kod alltså, som man kan få fram genom F12.

Permalänk
Medlem
Skrivet av pv2b:

Ungefär som Stockholms Skolplattforms egna frontend-kod alltså, som man kan få fram genom F12.

Ett fel rättfärdigar inte ett annat. Men oavsett, om frontend-koden verkligen är sådan (och detta kan jag absolut inget om) så har isåfall myndigheten själv röjt sekretessbelagd information.

Permalänk
Hedersmedlem
Skrivet av aliassund:

Ett fel rättfärdigar inte ett annat. Men oavsett, om frontend-koden verkligen är sådan (och detta kan jag absolut inget om) så har isåfall myndigheten själv röjt sekretessbelagd information.

Om man anser att publiceringen av ÖSP:s källkod är att röja sekretessbelagd information så innebär den tolkningen rent logiskt att man även måste stänga ner själva "vanliga" Skolplattformen.

Eller så är det så att informationen inte är sekretessbelagd, vilket enligt mig är en rimligare tolkning.

Permalänk
Medlem

Inb4 GET request blir olagligt

Visa signatur

Main: 5800X3D | Arctic Freezer III 360 | ROG STRIX B550-I | 32 GB DDR4@3600 MHz | Asus RTX 4080 Super TUF | Corsair RM850e | Fractal Design Define S

Permalänk
Medlem
Skrivet av pv2b:

Om man anser att publiceringen av ÖSP:s källkod är att röja sekretessbelagd information så innebär den tolkningen rent logiskt att man även måste stänga ner själva "vanliga" Skolplattformen.

Eller så är det så att informationen inte är sekretessbelagd, vilket enligt mig är en rimligare tolkning.

Oavsett utfall så är det här oerhört komiskt.

Permalänk
Skrivet av pv2b:

Jag hävdar att det inte krävs något tillstånd från Stockholms stad för att publicera en app, oavsett vad appen gör. [...] Sedan kan ju en sådan publicering vara brottslig eller liknande om den röjer information som täcks av sekretess, men det är då inte en fråga om att det saknas ett tillstånd, det är en annan fråga.

Jaha. Jo, det är en ickefråga. Kanske blev nåt missförstånd, jag menade så klart i kontexten av det här fallet och att känsliga personuppgifter hämtades från APIer trots avslag.

Edit: Kanske missförstod ändå... Om du menar att ÖSP publicerar koden samt distribuerar och tar betalt för sin app trots att de blev nekade av utbildningsnämnden. Då håller jag inte med dig.

Skrivet av pv2b:

Dessutom är hela konceptet med att man måste inge trovärdighet och visa expertis just själva defintionen av ad hominem, och därmed rätt förkastligt om man ska argumentera för att få fram en sanning.

Förskastligt? Jag sade att expertis är ett sätt. Ex. i rättegångar har man därför expertutlåtanden / sakkunniga vittnen, då tar man oftast inte in pizzabagare.

Finns väldigt många andra sätt att ge trovärdighet, b.la. hur man uttrycker sig och vad man grundar sina påståenden i. Känner att detta också är en icke-fråga.

Skrivet av pv2b:

Om vi pratar åsikter: Personligen tycker jag att det är larvigt att försöka sekretessbelägga ett API oavsett vad det hanterar. Det finns till full beskådning för vem som helst med en F12-knapp på tangentbordet och ett par ögon, och om en API-dokumentation gör att det är möjligt att få ut mer information än det ska, så är det API:et det är fel på, inte på att det är publikt dokumenterat.

Precis som att jag tycker att det är larvigt att det enligt lag är förbjudet att "avbilda" t.ex. Haga Slott p.g.a. skyddsobjekt med förbud mot avbildning, och därmed är olagligt att t.ex. måla en tavla med det slottet på, samtidigt som foton och planritningar på detta slott ligger uppe till allmän beskådan via Google Maps och Wikipedia. (I det här fallet finns det ju ett lagstöd för en sådan restriktion, dock.) Eller som att som i en video tidigare i tråden, där det rådde sekretess kring att BT Tower existerade i London, ungefär som att försöka sekretessbelägga att Kaknästornet finns.

Men för att återgå till ÖSP: Stockholms stads åsikt är så klart att det täcks av sekretess, medan ÖSP anser att det inte kan täckas av sekretess. Det är det hela fighten handlar om i ett nötskal. Har ÖSP publicerad sekretessklassad information eller ej? Personligen tycker jag att ÖSP:s argumentering i frågan är mycket rimligare. I stadens utredning saknas argumentation för att det är säkerhetsklassat helt. Man bara säger att det är så.

Själv kan jag förstå resonemanget om APIerna. Om nu APIer ska tvingas vara publika får de se till att först säkerhetsgranska samtliga APIer ordentligt. Vi är nog överens om att det inte ska ske med en medveten bekostnad på vår säkerhet/integritet (?)

Just i ÖSP-fallet tror jag att ÖSP eventuellt slipper straff men tvingas stänga ner. Bästa vore om parterna kommer överens om ett avtal, lite naivt dock i det här läget.

Varför tror jag inte att ÖSP kommer tillåtas finnas kvar utan ett avtal? Eftersom någon nisse då lika gärna kan publicera alla kända APIer som hanterar känsliga personuppgifter. Det blir också fritt fram att distribuera appar som hanterar känslig data så länge man har skrivit en policy att man absolut inte kommer släppa ut något. Då börjar Putin och Nalle Puh gnugga händerna

Fixade första citatet
Permalänk
Medlem
Skrivet av pv2b:

Ungefär som Stockholms Skolplattforms egna frontend-kod alltså, som man kan få fram genom F12.

Jag skulle anta att dom använder standard praxis där koden är minifierad och att dom inte tillhandahåller sourcemaps publikt.

Om dom inte gör detta så skulle det endast bero på inkompetens. Så ditt argument håller inte överhuvudtaget.

Jag tror överlag resonemanget kring det här APIet hade varit ett helt annat om det inte hade varit en app vi pratade om, utan en "klassisk" webbsida där backend hämtar all data och renderar sedan HTML som skickas tillbaka. Dvs ungefär som sweclockers webbplats fungerar.

Även i det fallet så kan man bygga en app där man parse:ar HTML för att få ut data. Själva sidornas struktur blir alltså ett slags API. Klart mer otillgängligt, men samma princip. Jag tror väldigt få hade resonerat som sådant att en HTML-sida som är bakom inloggning är ett "öppet API" till för allmän konsumtion.
Men rent praktiskt så är det rätt liten skillnad jämfört med APIet i fråga. Det är inte till för andras syften. Det har ingen öppen dokumentation.

Permalänk
Avstängd

Det är lite olika tankar kring vad ett öppet API är här och jag skulle säga att det beror på att det inte riktigt finns en bra definition. Som jag ser det så är deras API öppet även om dokumentationen inte är det, det är åtkomligt på nätet, vilket egentligen räcker för att det ska vara öppet, och kräver inte någon form av signerad applikation eller något för att man ska komma åt det.

Sen kan man diskutera om de behandlar personuppgifter eller ej, vilket också är en definitionsfråga förstås, men generellt så syftar personuppgiftslagen på behandling av andras personuppgifter, inte sina egna. Om jag har ett Excel-dokument med mitt och mina barns personnummer är det inte olagligt, men om jag lägger till någon annans personnummer är det det. Microsoft behandlar inte personuppgifterna i mitt Excel-dokument bara för att de har byggt Excel dock, trots att de i teorin skulle kunna samla in dessa uppgifter (om de faktiskt samlar in uppgifterna och lagrar dem blir det ett annat juridiskt läge däremot).

Många liknelser här är inte så bra, men det är förstås svårt att få till bra liknelser i den fysiska världen för något virtuellt. Det är inte som att ett hus har en öppen dörr eller något sånt, för användaren har ju blivit autentiserad så den har ju tillåtelse att komma åt uppgifterna, "dörrarna" är alltså "låsta" och användaren har fått en "nyckel" till "sin dörr". Jag skrev en liknelse högre upp i tråden som var ganska långsökt, men kanske inte helt hundra korrekt heller. Poängen är ganska enkel dock, användaren har bara åtkomst till den uppgifter hen ska ha åtkomst till oavsett vilken väg de tar fram till uppgifterna liksom. Skolan tillhandahåller ett API, även om de inte har publicerat det, och det är det som ger användaren åtkomst. Skolans appar och webbtjänster är alltså inte vad som ger åtkomst till informationen utan det är API:et, och de är inte hårt sammankopplade som det ser ut nu. De hade kunnat stänga sitt API, bara ge åtkomst till deras egna signerade appar och webbsidor, vilket hade kopplat ihop deras gränssnitt med API:et till en helhet, men det har de inte gjort.

Permalänk
Medlem
Skrivet av snajk:

Det är lite olika tankar kring vad ett öppet API är här och jag skulle säga att det beror på att det inte riktigt finns en bra definition. Som jag ser det så är deras API öppet även om dokumentationen inte är det, det är åtkomligt på nätet, vilket egentligen räcker för att det ska vara öppet, och kräver inte någon form av signerad applikation eller något för att man ska komma åt det.

Långsökt och fullkomligt poänglös definition. I princip ingen kompetent utvecklare hade hållit med om den definitionen.

Skrivet av snajk:

Sen kan man diskutera om de behandlar personuppgifter eller ej, vilket också är en definitionsfråga förstås, men generellt så syftar personuppgiftslagen på behandling av andras personuppgifter, inte sina egna. Om jag har ett Excel-dokument med mitt och mina barns personnummer är det inte olagligt, men om jag lägger till någon annans personnummer är det det. Microsoft behandlar inte personuppgifterna i mitt Excel-dokument bara för att de har byggt Excel dock, trots att de i teorin skulle kunna samla in dessa uppgifter (om de faktiskt samlar in uppgifterna och lagrar dem blir det ett annat juridiskt läge däremot).

Enligt GDPR så behandlar både APIet och dess konsumenter personuppgifter. Det behövs inte ens diskuteras. PUL spelar mindre roll än GDPR här.

Permalänk
Medlem
Skrivet av Nemcue:

Långsökt och fullkomligt poänglös definition. I princip ingen kompetent utvecklare hade hållit med om den definitionen.

Dåligt argument och bygger på falska premisser. Som utvecklare i över tio år så håller jag med honom. Vi kan nu kalla varandra inkompetenta om det är på det planet debatten ska hållas. Argumentera för din sak istället för att hänfalla till argument som bygger på auktoritet. Det är en dålig argumentationsteknik.

Skrivet av Nemcue:

Enligt GDPR så behandlar både APIet och dess konsumenter personuppgifter. Det behövs inte ens diskuteras. PUL spelar mindre roll än GDPR här.

Intressant påstående. Var i GDPR kan vi läsa detta?

Permalänk
Medlem
Skrivet av Nucky:

Hastigt skrivet. Men folk har ju gjort det här på forumet. Man har skapat skript och dylikt om hur sidan önskas att bete sig i funktion samt färgmässigt och annat ändrat hur kod skall bete sig etc. Dom nyttjar någon plugin som då ersätter originalkod osv i olika sekvenser.

Varje gång Sweclockers uppdaterade sida orsakade man problem för dem. Inte har Geeks polisanmält dessa användare för ändringarna.

Samma tillvägagångssätt - Med skript etc. skulle ÖSP kunna erbjuda till folk att implementera i sina webbläsare för att underlätta livet för dem.

Ska vi polisanmäla alla som laddar hem ett specifikt plugin för detta specifika ändamål?

Inte jämförbart. Tex Better Sweclockers är ju inte skapat för att dra in pengar, och skulle nu Geeks ha ett problem med det och be skaparen att ta bort det så gissar jag att det skulle tas bort.

Sen, vad som hävdades var att Stockholms Stad fick skylla sig själva då de gjorde informationen publik, men den informationen är ju lika publik som sweclockers, det mesta är publikt men vissa funktioner och vissa information kräver att jag har konto och är inloggad. Det innebär ju inte att det är rätt för mig att skapa en app som tankar hem materialet från sweclockers, bygger om designen, och slänger upp egen reklam.

Permalänk
Avstängd
Skrivet av Nemcue:

Långsökt och fullkomligt poänglös definition. I princip ingen kompetent utvecklare hade hållit med om den definitionen.

Så... vad är din definition av ett öppet API då? Om öppet och åtkomligt för alla inte räcker.

Citat:

Enligt GDPR så behandlar både APIet och dess konsumenter personuppgifter. Det behövs inte ens diskuteras. PUL spelar mindre roll än GDPR här.

I så fall borde en webbläsare som man använder för att få åtkomst till personuppgifter också falla under samma regler, och det gör den inte, så jag skulle säga att du har fel.

Permalänk
Hedersmedlem
Skrivet av Nemcue:

Jag skulle anta att dom använder standard praxis där koden är minifierad och att dom inte tillhandahåller sourcemaps publikt.

Om dom inte gör detta så skulle det endast bero på inkompetens. Så ditt argument håller inte överhuvudtaget.

Jag tror överlag resonemanget kring det här APIet hade varit ett helt annat om det inte hade varit en app vi pratade om, utan en "klassisk" webbsida där backend hämtar all data och renderar sedan HTML som skickas tillbaka. Dvs ungefär som sweclockers webbplats fungerar.

Även i det fallet så kan man bygga en app där man parse:ar HTML för att få ut data. Själva sidornas struktur blir alltså ett slags API. Klart mer otillgängligt, men samma princip. Jag tror väldigt få hade resonerat som sådant att en HTML-sida som är bakom inloggning är ett "öppet API" till för allmän konsumtion.
Men rent praktiskt så är det rätt liten skillnad jämfört med APIet i fråga. Det är inte till för andras syften. Det har ingen öppen dokumentation.

Jo, exakt. Precis så, jag förstår inte varför alla hänger upp sig på detta.

Det finns ju gott om tjänster som använder web scraping för att hämta ut data från en webbsida för att presentera den på ett annat sätt. Google Search är ett exempel. Prisjakt är ett annat. Båda omtyckta tjänster som tillför värde för användarna. Ingen påstår att "web scraping" är att hacka en webbsida eller att strukturen för en webbsida är sekretessbelagd, eftersom det är absurdt.

I grund och botten är det bara en annan sorts web scraping att anropa ett API, med enda skillnaden att det är lite enklare att läsa ut information från ett API än från en hemsida, eftersom informationen redan är avsedd att vara maskinläsbar.

En viktig skillnad, innan vi drar för stora växlar på jämförelser med Google Search och Prisjakt, är att Google Search och Prisjakt skrapar information som är publikt tillgänglig, sparar den och sedan återpublicerar den, medan ÖSP inte ens gör så mycket, de skrapar bara informationen och visar den direkt på skärmen för den som skrapar den, vilket är slutanvändaren som är behörig för datat, inte ÖSP. Bara det att datat ligger bakom en inloggning betyder inte att det plötsligt är förbjudet att bygga en scraper.

Det är inte heller någon (förutom, ironiskt nog, Stockholms stad i sin rapport) som påstår att API:t är öppet, och heller påstår att det är tänkt att tredje parter ska använda det. Bara för att det inte är avsikten, betyder inte det att det är förbjudet. Den som gör något som någon inte tänkt är inte automatiskt en brottsling, utan kan lika gärna vara en innovatör.

Det är ändå endast behöriga användare som anropar API:et genom Öppna Skolplattformen, och de får endast ut det data som de själva har rätt till. ÖSP kan å sin sida inte förvänta sig att API:t är stabilt eftersom de inte har något avtal om API med staden, men jag har svårt att se var det kontroversiella finns.

Angående minifiering: Minifiering är inte en säkerhetsåtgärd. Minifiering är ett sätt att minimera hur stor javascript-koden är för att optimera hur snabbt den laddas in, och ett relativt gratis sätt att få mer prestanda. Det är inte särskilt svårt att av-minifiera kod. Man får jobba lite när man läser igenom koden, byta namn på variabler, etc, men i slutändan så är där samma information, bara i ett mindre läsbart format.

Permalänk
Hedersmedlem
Skrivet av filbunke:

Det innebär ju inte att det är rätt för mig att skapa en app som tankar hem materialet från sweclockers, bygger om designen, och slänger upp egen reklam.

Det där är en gråzon, skulle jag säga. Det är nog väldigt få här som skulle påstå att det är fel i alla lägen att köra en adblocker. Om någon skulle göra en betalklient för Sweclockers med inbyggt adblock, som i gratisutförandet lade in egna annonser, så skulle det möjligen vara fulspel, men jag har svårt att se hur det skulle vara olagligt. Det är bara en kombination av två grejer: Adblock på en websida = lagligt. Lägga in egna annonser = också lagligt. Väldigt få skulle hur som helst använda den klienten om den inte var mycket bättre än Sweclockers egna mobilsida.

D.v.s. ditt argument kommer helt från moral. Och där är jag beredd att hålla med om att det kanske är omoraliskt att göra det du beskriver. (Skulle behöva se det specifika fallet för att vara säker.)

Men vari ligger det egentligen det omoraliska i att skapa en app där vårdnadshavare får se sina barns uppgifter på ett smidigare sätt än Skolplattformens officiella klient?

Permalänk
Skrivet av snajk:

Sen kan man diskutera om de behandlar personuppgifter eller ej, vilket också är en definitionsfråga förstås, men generellt så syftar personuppgiftslagen på behandling av andras personuppgifter, inte sina egna. Om jag har ett Excel-dokument med mitt och mina barns personnummer är det inte olagligt, men om jag lägger till någon annans personnummer är det det. Microsoft behandlar inte personuppgifterna i mitt Excel-dokument bara för att de har byggt Excel dock, trots att de i teorin skulle kunna samla in dessa uppgifter (om de faktiskt samlar in uppgifterna och lagrar dem blir det ett annat juridiskt läge däremot).

Många liknelser här är inte så bra, men det är förstås svårt att få till bra liknelser i den fysiska världen för något virtuellt. Det är inte som att ett hus har en öppen dörr eller något sånt, för användaren har ju blivit autentiserad så den har ju tillåtelse att komma åt uppgifterna, "dörrarna" är alltså "låsta" och användaren har fått en "nyckel" till "sin dörr". Jag skrev en liknelse högre upp i tråden som var ganska långsökt, men kanske inte helt hundra korrekt heller. Poängen är ganska enkel dock, användaren har bara åtkomst till den uppgifter hen ska ha åtkomst till oavsett vilken väg de tar fram till uppgifterna liksom. Skolan tillhandahåller ett API, även om de inte har publicerat det, och det är det som ger användaren åtkomst. Skolans appar och webbtjänster är alltså inte vad som ger åtkomst till informationen utan det är API:et, och de är inte hårt sammankopplade som det ser ut nu. De hade kunnat stänga sitt API, bara ge åtkomst till deras egna signerade appar och webbsidor, vilket hade kopplat ihop deras gränssnitt med API:et till en helhet, men det har de inte gjort.

Kul med liknelser! Jag tycker dock vissa detaljer är viktiga att få med, har utökat liknelsen:

Begrepp / Förkortningar
Dörren = Skolplattformens API
Nyckeln = Session för APIet (autentiseras med BankID)
Målet = Användarens personuppgifter (ligger bakom Dörren)
A = Användaren
S = Skolplattformen / Stockholm Stad
Ö = Öppna skolplattformen / No free beer HB

Premisser
A har medgett att Ö får bära på Nyckeln.
A har medgett att Ö får bära på Målet.

Scenariot
A vill komma åt Målet och väljer att använda Ö.
Ö ber A hämta nyckeln (logga in med BankID).
Ö hämtar Målet med Nyckeln.
Ö presenterar Målet för A.

Ansvar i scenariot ovan
S har ansvar för Dörrens säkerhet.
S har ansvar för Målets säkerhet bakom Dörren.
Ö har ansvar för att Nyckeln hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).
Ö har ansvar för att Målet hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).

Efter att ha läst ÖSP källkoden tycker jag att ovan är en representativ bild som ändå är hyfsat lätt att förstå.
Notera att ansvaret är baserat på scenariot och oberoende av implementationsdetaljerna. Även om Skolplattformens API vore 100% säkert frånsäger det inte deras ansvar. När det dyker upp en säkerhetsbrist i APIet så bär Skolplattformen ansvaret, precis på samma sätt som No free beer HB bär ansvaret för säkerheten i Öppna skolplattformen.

Permalänk
Hedersmedlem

Jag kan inte det här.
Men jag undrar lite i vilken utsträckning man får göra en egen produkt baserat på någon annans produkt i botten.

Skulle jag exempelvis kunna starta swehackers.com som egentligen bara är ett skal där allt underliggande egentligen är sweclockers.com databaser? Alltså egen look på siten och så, men inloggning och allt innehåll hämtas från sweclockers?

Eller att sätta upp söderbäcks aktiehandelssite som egentligen helt bygger på avanzas lösning i grunden. Jag har bara ett eget skal som hämtar in avanzas funktioner, inloggningar och alltihop. Bygga hela sin lösning på att ta någon annans backend om man klurar ut deras APIer.
Jag gissar på att man inte får göra så hur som helst. Men jag vet inte var gränserna går här. Det är väldans luddigt.

För det är väl lite så jag upplever att öppna skolplattformen gjort. Byggt en egen app som de tar betalt för - helt baserat på en annan instans databaser och heletslösning.

Eller så är det inte alls samma. Vad är då de stora skillnaderna i så fall?

Visa signatur

🎮 → Node 304 • Ryzen 5 2600 + Nh-D14 • Gainward RTX 2070 • 32GB DDR4 • MSI B450I Gaming Plus AC
🖥️ → Acer Nitro XV273K Pbmiipphzx • 🥽 → VR: Samsung HMD Odyssey+
🎧 → Steelseries arctic 7 2019
🖱️ → Logitech g603 | ⌨️ → Logitech MX Keys
💻 → Lenovo Yoga slim 7 pro 14" Oled

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Kul med liknelser! Jag tycker dock vissa detaljer är viktiga att få med, har utökat liknelsen:

Begrepp / Förkortningar
Dörren = Skolplattformens API
Nyckeln = Session för APIet (autentiseras med BankID)
Målet = Användarens personuppgifter (ligger bakom Dörren)
A = Användaren
S = Skolplattformen / Stockholm Stad
Ö = Öppna skolplattformen / No free beer HB

Scenariot
A vill komma åt Målet och väljer att använda Ö.
Ö ber A hämta nyckeln (logga in med BankID).
A har medgett att Ö får bära på Nyckeln som har hämtats.
Ö hämtar Målet med Nyckeln.
A har medgett att Ö får bära på Målet.
Ö presenterar Målet för A.

Ansvar i scenariot ovan
S har ansvar för att Dörren ska vara säker.
S har ansvar för hur Målet lagras bakom Dörren.
Ö har ansvar för att Nyckeln hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).
Ö har ansvar för att Målet hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).

Efter att ha läst källkoden tycker jag att ovan är en representativ bild som ändå är hyfsat lätt att förstå.
Notera att ansvaret är baserat på scenariot och oberoende av implementationsdetaljerna. Även om Skolplattformens API vore 100% säkert frånsäger det inte deras ansvar. När det dyker upp en säkerhetsbrist i APIet så bär Skolplattformen ansvaret, precis på samma sätt som No free beer HB bär ansvaret för säkerheten i Öppna skolplattformen.

Det är ju absurdt, det skulle betyda att Skolplattformen skulle bära ett ansvar om det fanns en bugg i webbläsaren som användaren använder har ett säkerhetshål, eller om operativsystemet användaren kör är hackat, dåligt underhållt.

Ponera en förälder som använder en opatchad Windows XP-burk för att gå in i Skolplattformen och hämta ut information om sina barn, som sedan stjäls av en hackare som hackat förälderns maskin. Är detta verkligen Skolplattformens ansvar? Jag kan inte se hur det kan vara det, konsekvenserna skulle bli helt absurda, och det hade varit omöjligt att tillhandahålla några tjänster över huvud taget.

Ansvaret för datasäkerheten vilar därför på de parter som har behörig åtkomst till datat, nämligen Stockholms stad, och vårdnadshavarna. Här är det upp till vårdnadshavaren att göra en bedömning om de tycker att deras datasäkerhet är tillräckligt skyddad genom att använda ÖSP.

Permalänk
Hedersmedlem
Skrivet av Söderbäck:

Jag kan inte det här.
Men jag undrar lite i vilken utsträckning man får göra en egen produkt baserat på någon annans produkt i botten.

Skulle jag exempelvis kunna starta swehackers.com som egentligen bara är ett skal där allt underliggande egentligen är sweclockers.com databaser? Alltså egen look på siten och så, men inloggning och allt innehåll hämtas från sweclockers?

Det finns gott om siter som gör exakt detta. Tänker inte nämna några namn, men den här typen av "forumaggregatorer" hittar man ofta är man försöker googla efter mer obskyra problem...

Det är svinigt som fan, men det är så vitt jag vet inte olagligt.

Skrivet av Söderbäck:

Eller att sätta upp söderbäcks aktiehandelssite som egentligen helt bygger på avanzas lösning i grunden. Jag har bara ett eget skal som hämtar in avanzas funktioner, inloggningar och alltihop. Bygga hela sin lösning på att ta någon annans backend om man klurar ut deras APIer.
Jag gissar på att man inte får göra så hur som helst - eller?

Om scenariot är ett tredjepartsskal kring Avanza skulle jag gissa på att Avanza skulle vara rätt nöjda med det. De skulle få courtage på alla affärer, och skulle inte behöva kundtjänstkostnaden på samma sätt. Snacka om att plocka russinen ur kakan.

Jag hade övervägt använda ett tredjepartsskal för Avanza faktiskt, deras hemsida är rätt hemsk och svårt att hitta i. Men det hade så klart varit en säkerhetsavvägning, känns lite risky.

Har svårt att se vari det olagliga skulle finnas där, om detta Avanza-skal funkade på samma sätt som ÖSP gör.

Skrivet av Söderbäck:

För det är väl lite så jag upplever att öppna skolplattformen gjort. Byggt en egen app som de tar betalt för - helt baserat på en annan instans databaser och heletslösning.

Eller så är det inte alls samma. Vad är då de stora skillnaderna i så fall?

Jo, det är precis det de gjort. De har byggt en alternativ frontend till Skolplattformen. Som de tar betalt för. (Inte konstigare än ett mobilskal egentligen... alltså en plastpryl som man sätter runt mobilen.) De påstår ju dock inte att de gjort något annat än just det.

Permalänk
Skrivet av pv2b:

Det är ju absurdt, det skulle betyda att Skolplattformen skulle bära ett ansvar om det fanns en bugg i webbläsaren som användaren använder har ett säkerhetshål, eller om operativsystemet användaren kör är hackat, dåligt underhållt.

Ponera en förälder som använder en opatchad Windows XP-burk för att gå in i Skolplattformen och hämta ut information om sina barn, som sedan stjäls av en hackare som hackat förälderns maskin. Är detta verkligen Skolplattformens ansvar? Jag kan inte se hur det kan vara det, konsekvenserna skulle bli helt absurda, och det hade varit omöjligt att tillhandahålla några tjänster över huvud taget.

Ansvaret för datasäkerheten vilar därför på de parter som har behörig åtkomst till datat, nämligen Stockholms stad, och vårdnadshavarna. Här är det upp till vårdnadshavaren att göra en bedömning om de tycker att deras datasäkerhet är tillräckligt skyddad genom att använda ÖSP.

Det är dina exempel som är absurda. Användaren väljer själv vilken webbläsare / operativsystem som ska köras. Skolplattformen erbjuder inget sådant och ansvarar endast för den kod dem tillhandahåller...

Du verkar ha tappat kontext helt och hållet. Om jag använder en app som läcker mina personuppgifter ligger inte ansvaret på mig. Juste, jag glömde att detta gäller ÖSP så det är klart att användaren bär ansvaret

Permalänk
Medlem
Skrivet av Pepe Silvia:

Kul med liknelser! Jag tycker dock vissa detaljer är viktiga att få med, har utökat liknelsen:

Begrepp / Förkortningar
Dörren = Skolplattformens API
Nyckeln = Session för APIet (autentiseras med BankID)
Målet = Användarens personuppgifter (ligger bakom Dörren)
A = Användaren
S = Skolplattformen / Stockholm Stad
Ö = Öppna skolplattformen / No free beer HB

Premisser
A har medgett att Ö får bära på Nyckeln.
A har medgett att Ö får bära på Målet.

Scenariot
A vill komma åt Målet och väljer att använda Ö.
Ö ber A hämta nyckeln (logga in med BankID).
Ö hämtar Målet med Nyckeln.
Ö presenterar Målet för A.

Ansvar i scenariot ovan
S har ansvar för Dörrens säkerhet.
S har ansvar för Målets säkerhet bakom Dörren.
Ö har ansvar för att Nyckeln hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).
Ö har ansvar för att Målet hanteras på ett lagligt och säkert sätt (i appen, när det väl har hämtats).

Efter att ha läst ÖSP källkoden tycker jag att ovan är en representativ bild som ändå är hyfsat lätt att förstå.
Notera att ansvaret är baserat på scenariot och oberoende av implementationsdetaljerna. Även om Skolplattformens API vore 100% säkert frånsäger det inte deras ansvar. När det dyker upp en säkerhetsbrist i APIet så bär Skolplattformen ansvaret, precis på samma sätt som No free beer HB bär ansvaret för säkerheten i Öppna skolplattformen.

Exakt detta! Om det finns personuppgifter tillgängliga som inte ÖSP ska ha tillgång till är det ju stadens api som släpper ut för mycket

Permalänk
Medlem
Skrivet av Söderbäck:

Jag kan inte det här.
Men jag undrar lite i vilken utsträckning man får göra en egen produkt baserat på någon annans produkt i botten.

Skulle jag exempelvis kunna starta swehackers.com som egentligen bara är ett skal där allt underliggande egentligen är sweclockers.com databaser? Alltså egen look på siten och så, men inloggning och allt innehåll hämtas från sweclockers?

Eller att sätta upp söderbäcks aktiehandelssite som egentligen helt bygger på avanzas lösning i grunden. Jag har bara ett eget skal som hämtar in avanzas funktioner, inloggningar och alltihop. Bygga hela sin lösning på att ta någon annans backend om man klurar ut deras APIer.
Jag gissar på att man inte får göra så hur som helst. Men jag vet inte var gränserna går här. Det är väldans luddigt.

För det är väl lite så jag upplever att öppna skolplattformen gjort. Byggt en egen app som de tar betalt för - helt baserat på en annan instans databaser och heletslösning.

Eller så är det inte alls samma. Vad är då de stora skillnaderna i så fall?

Ditt exempel med Avanza är ju helt okej att göra, men användaren behöver ju då ha giltig inloggning där och transaktionerna får de ju betalt för...

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Användaren väljer själv vilken webbläsare / operativsystem som ska köras.

Håller med. (I det här fallet väljer användaren att använda Öppna Skolplattformen som sin "webbläsare".)

Skrivet av Pepe Silvia:

Skolplattformen erbjuder inget sådant och ansvarar för den kod dem tillhandahåller...

Håller med. Skolplattformen ansvarar för deras egna backend och deras egna frontend. De ansvarar inte för andra komponenter i lösningen, t.ex. slutanvändarens operativsystem, webbläsare, eller alternativ frontendklient.

Skrivet av Pepe Silvia:

Om jag använder en app som läcker mina personuppgifter, visst fan är det apputvecklarna som har ansvaret och inte jag?

Du får gärna hänvisa till ett rättsfall där ett säkerhetshål i en programvara installerad hos en kund lett till att programtillverkaren fått ta ansvar för skadorna. Vem stämmer jag om min server som kör Linux blir hackad p.g.a. en bugg i Apache? Eller om min mailserver blir hackad av Kina p.g.a. ett säkerhetshål i Microsoft Exchange?

Eller om mina semesterbilder blir krypterade p.g.a. en säkerhetsbugg i min dator...

Permalänk
Medlem

Tänker inte ägna mig mer åt den här diskussionen.

Slutsummering för mig:
Jag tycker inte utvecklarna för ÖSP har rätt, eller har gjort rätt för sig. Skulle inte bli förvånad om dom i bästa fall tvingas stänga ner sin app helt och hållet. Jag har också full förståelse för Stockholms Stad handlande, även om hela den här situationen är ett härke som dom har försatt sig själva i och får varken dom eller inblandade konsulter att framstå som särskilt kompetenta.

Permalänk
Medlem
Skrivet av Pepe Silvia:

Det är dina exempel som är absurda. Användaren väljer själv vilken webbläsare / operativsystem som ska köras. Skolplattformen erbjuder inget sådant och ansvarar endast för den kod dem tillhandahåller...

Du verkar ha tappat kontext helt och hållet. Om jag använder en app som läcker mina personuppgifter ligger inte ansvaret på mig. Juste, jag glömde att detta gäller ÖSP så det är klart att användaren bär ansvaret

Stockholm Stads ansvar ligger i att validera att rätt användare får ut rätt information via APIet, vad användaren väljer att göra med sin information efter den är uthämtad är inte Stockholms Stads ansvar längre såklart. Utan upp till klienten och användaren och systemet det körs på. Användaren väljer ju alla dessa parametrar så så fort informationen är uthämtad är det ytterst användarens ansvar. Jag tar för givet att ÖSP inte sparar information utanför Stockholm Stads system, annars blir det snabbt mycket svårare att försvara

Permalänk
Medlem
Skrivet av Söderbäck:

Jag kan inte det här.
Men jag undrar lite i vilken utsträckning man får göra en egen produkt baserat på någon annans produkt i botten.

Skulle jag exempelvis kunna starta swehackers.com som egentligen bara är ett skal där allt underliggande egentligen är sweclockers.com databaser? Alltså egen look på siten och så, men inloggning och allt innehåll hämtas från sweclockers?

Eller att sätta upp söderbäcks aktiehandelssite som egentligen helt bygger på avanzas lösning i grunden. Jag har bara ett eget skal som hämtar in avanzas funktioner, inloggningar och alltihop. Bygga hela sin lösning på att ta någon annans backend om man klurar ut deras APIer.
Jag gissar på att man inte får göra så hur som helst. Men jag vet inte var gränserna går här. Det är väldans luddigt.

För det är väl lite så jag upplever att öppna skolplattformen gjort. Byggt en egen app som de tar betalt för - helt baserat på en annan instans databaser och heletslösning.

Eller så är det inte alls samma. Vad är då de stora skillnaderna i så fall?

Bra funderingar.

Följdfråga, det här skalet som tredjepart tillhandahåller mellan slutanvändare och dataförsörjaren, kan det göras helt transparent mot den som tillhandahåller datan?

Permalänk
Hedersmedlem
Skrivet av Olegh:

Bra funderingar.

Följdfråga, det här skalet som tredjepart tillhandahåller mellan slutanvändare och dataförsörjaren, kan det göras helt transparent mot den som tillhandahåller datan?

Rent teoretiskt, ja. Det går att köra en webbläsare i ett dolt fönster och sedan skrapa ut informationen ur dokumentobjektmodellen (DOM).

Det är sällan det enklaste sättet att implementera den här typen av program på. Hade jag behövt göra detta hade jag förmodligen tittat på Selenium.

Permalänk
Medlem
Skrivet av Pepe Silvia:

Det enklaste är att helt enkelt förbjuda distriburering av icke-godkända appar som hanterar känsliga uppgifter.

Alternativet är som jag antydda att Stockholm Stad kan välja att godkänna vissa appar. Om det annars ska vara fritt fram måste det först finnas ett fungerande system.

Om Stockholm stad byggde en fungerande app så skulle inte behovet för en app från tredjepart finnas. Så jag instämmer inte alls.