Öppna Skolplattformen polisanmäls av Stockholms stad

Permalänk
Medlem

Jisses, ännu mera skattepengar ut då... Känns som att ett samarbete hade varit allt att vinna, nu är det bara allt att förlora

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Det enklaste är att helt enkelt förbjuda distriburering av icke-godkända appar som hanterar känsliga uppgifter.

Som t.ex. en webbläsare alltså?

Permalänk
Medlem
Skrivet av pv2b:

OK! Vilken myndighet vill du ska godkänna en webbläsare?

Önskar också få veta detta.

Skrivet av Pepe Silvia:

Det enklaste är att helt enkelt förbjuda distriburering av icke-godkända appar som hanterar känsliga uppgifter.

Alternativet är som jag antydda att Stockholm Stad kan välja att godkänna vissa appar. Om det annars ska vara fritt fram måste det först finnas ett fungerande system.

Som jag förstått det är Öppna Skolplattformen ett "skal" som presenterat data precis på samma sätt som valfri webbläsare. Så vi kan sluta prata om Appar redan nu misstänker jag.

I övrigt - https://axbom.se/oppna-skolplattformen-stockholm/ - Extremt bra sammanfattande artikel om hela detta projekt fram till dagens datum

Visa signatur

Playstation 5 | Acer Nitro 4K 144 Hz XV282KKV | Razer Blade Laptop / 15,6" 144Hz / i7 10750H / 16GB / 512GB HD / RTX 2070

Permalänk
Hedersmedlem
Skrivet av pv2b:

OK! Vilken myndighet vill du ska godkänna en webbläsare?

Det enda rimliga svaret blir att stockholm stad måste upphandla en egen webbläsare.

Visa signatur

Det kan aldrig bli fel med mekanisk destruktion

Permalänk
Medlem
Skrivet av pv2b:

Som t.ex. en webbläsare alltså?

Precis, du kan inte förbjuda. Det är isåfall upp till utvecklaren att se till att man följer gällande lagar, och inte spara ner känsliga uppgifter i appen.

Visa signatur

AMD 7800X3D | ASUS TUF X670E-PLUS | Corsair Vengeance DDR5 32GB EXPO | ASUS TUF 4090 OC 24GB |
Noctua NH-U12A | Corsair 4000D | Corsair AX1200W | Steelseries Apex 7 | Steelseries Sensei Ten | ASUS VG35VQ

https://github.com/Mariusz89B

Permalänk
Hedersmedlem
Skrivet av Aphex:

Det enda rimliga svaret blir att stockholm stad måste upphandla en egen webbläsare.

oh dear

Permalänk
Skrivet av pv2b:

Som t.ex. en webbläsare alltså?

Jag är själv webbutvecklare och exakt HUR man implementerar sessionshantering är inte något som är "inbyggt" i webbläsaren.

Säkerhetsfrågan ligger fortfarande i utvecklarnas händer...

Permalänk
Medlem
Skrivet av Aphex:

Det enda rimliga svaret blir att stockholm stad måste upphandla en egen webbläsare.

Då blir det riktig pannkaka av allt.

Visa signatur

AMD 7800X3D | ASUS TUF X670E-PLUS | Corsair Vengeance DDR5 32GB EXPO | ASUS TUF 4090 OC 24GB |
Noctua NH-U12A | Corsair 4000D | Corsair AX1200W | Steelseries Apex 7 | Steelseries Sensei Ten | ASUS VG35VQ

https://github.com/Mariusz89B

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Jag är själv webbutvecklare och exakt HUR man implementerar sessionshantering är inte något som är "inbyggt" i webbläsaren.

Säkerhetsfrågan ligger fortfarande i utvecklarnas händer...

Jag är inte webbutvecklare men jag har rätt bra kunskap i hur webbapplikationer funkar.

En webbapplikation kan inte förlita sig på clientside-kod för att implementera säkerhet. Det en webbläsare ger dig är cookies (och liknande t.ex. LocalStorage), och Javascript.

T.ex. att implementera t.ex. en sessionslängd genom att säga att en cookie ska gå ut efter en viss tid är trasigt. Du måste ju ha en annan mekanism än "webbläsaren har lovat radera cookien inom X timmar" för att faktiskt säkerställa att en stulen cookie inte kan användas.

Kan du ge ett konkret exempel på en korrekt implementerad säkerhetsmekanism som skulle kunna sättas ur spel om man tillät en applikation som ÖSP?

Permalänk
Skrivet av pv2b:

Jag är inte webbutvecklare men jag har rätt bra kunskap i hur webbapplikationer funkar.

En webbapplikation kan inte förlita sig på clientside-kod för att implementera säkerhet. Det en webbläsare ger dig är cookies (och liknande t.ex. LocalStorage), och Javascript.

Du har halvt rätt. Backend (APIerna i det här fallet) måste vara säkra MEN det spelar ingen roll ifall frontend (appen) har säkerhetsluckor.

För att fånga sessionen i webbappar är det vanligaste XSS men det beror ju helt på hur sessionshanteringen är utformad. Vilket är min poäng. Icke-officiella appar är en säkerhetsrisk om det saknas strikta kontroller.

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Du har halvt rätt. Backend (APIerna i det här fallet) måste vara säkra MEN det spelar ingen roll ifall frontend (appen) har säkerhetsluckor.

För att fånga sessionen i webbappar är det vanligaste XSS men det beror ju helt på hur sessionshanteringen är utformad. Vilket är min poäng. Icke-officiella appar är en säkerhetsrisk om det saknas strikta kontroller.

Absolut, men då hamnar vi i en annan diskussion rent generellt, kring att man inte ska få utveckla applikationer som är osäkra. Vem ska bestämma vad som är säkert?

Permalänk
Medlem

Det skall gudarna veta att officiella appar kan vara bedrövliga, men vad är det specifikt med denna skolapp som upplevs vara bättre eller på vilket sätt den utvidgar värdefull funktionalitet; har vi till äventyrs någon förälder i regionen som kan sätta en teori på pränt om varför folk frivilligt betalar en slant för det ”efterlängtade alternativet”..?

Visa signatur

Citera för svar :)

Permalänk
Medlem
Visa signatur

..:: trickeh2k ::..
Windows 11 Pro - Ryzen 7 7800X3D - ASUS TUF B650-PLUS - Kingston FURY Beast DDR5 64GB CL36 - MSI MAG A850GL - MSI RTX 4080 VENTUS 3X OC - Acer Predator XB271HU - ASUS VG248QE - QPAD MK-85 (MX-Brown)/Logitech G PRO Wireless - Samsung 960 EVO 250GB, Samsung EVO 860 500GB, SanDisk Ultra II 480GB, Crucial MX500 1TB, Kingston KC3000 2TB - Steelseries Arctic 5 - Cooler Master Masterbox TD500 Mesh V2

Permalänk
Medlem

Vet inte om jag missat något här, men om jag förstår rätt så gör appen samma anrop som websidan, men man presenterar informationen på ett annat sätt? Hur som helst så undrar man hur Stockholms stads sida ser ut där vem som helst kan skapa en app som wrappar allt. Känns ju inte så säkert, men det betyder ju inte att vem som helst får använda deras API. Jag gissar att en app ganska enkelt skulle kunna "lyssna" på innehållet och skicka det vidare till en egen databas, eller har jag fel?

Tycker detta är ganska solklart. Bara för att något är tekniskt möjligt så blir det inte per automatik lagligt.

Permalänk
Skrivet av pv2b:

Absolut, men då hamnar vi i en annan diskussion rent generellt, kring att man inte ska få utveckla applikationer som är osäkra. Vem ska bestämma vad som är säkert?

Jag förstår inte hur min problemformulering är en annan diskussion. Citerar Stockholm Stads utredning:

> När det gäller No Free Beer HB [bolaget], som står bakom appen Öppna skolplattformen, så finns det i dagsläget inget avtalsförhållande med staden för den personuppgiftsbehandling som bolaget genomför.

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Jag förstår inte hur min problemformulering är en annan diskussion. Citerar Stockholm Stads utredning:

> När det gäller No Free Beer HB [bolaget], som står bakom appen Öppna skolplattformen, så finns det i dagsläget inget avtalsförhållande med staden för den personuppgiftsbehandling som bolaget genomför.

ÖSP behandlar inga personuppgifter, precis som att Chrome eller Firefox inte behandlar några personuppgifter.

Eller menar du att den sessionshantering som ÖSP-appen gör är att betrakta som behandling av personuppgifter?

Permalänk
Skrivet av CrazyDriver:

Vet inte om jag missat något här, men om jag förstår rätt så gör appen samma anrop som websidan, men man presenterar informationen på ett annat sätt? Hur som helst så undrar man hur Stockholms stads sida ser ut där vem som helst kan skapa en app som wrappar allt. Känns ju inte så säkert, men det betyder ju inte att vem som helst får använda deras API. Jag gissar att en app ganska enkelt skulle kunna "lyssna" på innehållet och skicka det vidare till en egen databas, eller har jag fel?

Tycker detta är ganska solklart. Bara för att något är tekniskt möjligt så blir det inte per automatik lagligt.

Du har rätt i att man kan lyssna på innehållet och skicka det vidare. En tidigare lösning som Öppna Skolplattformen hade utvecklat använde just detta med en proxy.

Såvitt jag förstår blev dock proxyn alldeles för komplicerat och en oroande attackvektor. Finns att avsnitt i kodsnack podcasten om just det: https://kodsnack.se/410/

Permalänk
Skrivet av pv2b:

ÖSP behandlar inga personuppgifter, precis som att Google eller Firefox inte behandlar några personuppgifter.

Eller menar du att den sessionshantering som ÖSP-appen gör är att betrakta som behandling av personuppgifter?

Ja precis, jag menar att sessionshanteringen bör ingå i detta.

Om ex. Google utvecklar en produkt med sessionshantering för användare som loggat in i BankID, då skulle jag absolut förutsätta att samma krav ställs på dem.

Permalänk
Hedersmedlem
Skrivet av Pepe Silvia:

Ja precis, jag menar att sessionshanteringen bör ingå i detta.

Om ex. Google utvecklar en produkt med sessionshantering för användare som loggat in i BankID, då skulle jag absolut förutsätta att samma krav ställs på dem.

OK, men eftersom det verkar vara "sessionshanteringen" som är relevant för dig, på vilket sätt skiljer sig ÖSP:s sessionshantering mot hur skolplattformen gör när man kör den i en vanlig webbläsare? Från dokumentationen du länkade till är det inte helt tydligt vad du hänger upp dig på.

Permalänk
Skrivet av pv2b:

på vilket sätt skiljer sig ÖSP:s sessionshantering mot hur skolplattformen gör när man kör den i en vanlig webbläsare?

Simpelt: Skolplattformen är en officiell / godkänd app av Stockholm Stad. ÖSP är inte det.

Spelar ingen roll exakt hur ÖSP har utformat sin sessionshantering. Om de inte är godkända ska de varken få distribuera eller ta betalt för sin app.

Varför dem inte är/blev godkända är en helt annan fråga.

Permalänk
Medlem

Jahopp, det här är onekligen ett krystat försök att försöka sätta munkavle på all kritik i ett desperat försök att rädda sitt eget rykte. Att en person kan programmera ihop något som fungerar bättre än något som upphandlats för en miljard++ kronor "får ju bara inte läcka ut, det är så skamligt"...

Börjar likna 1177-skandalen när samtalen låg inspelade på en öppen NAS. Det som var det faktiska bekymret var om Computer Sweden hade olovligen tillskansat sig åtkomst till (öppnat) mer filer än nödvändigt för att säkerställa hålets äkthet. Inte att de gick in på NASen till att börja med eftersom den de-facto låg helt öppen.

Juridiken kommer sannolikt/rimligen fokusera på samma sak här, att värdera huruvida informationen som Öppna Skolplattformen tar emot och behandlar är av olovlig regi eller inte. Olovligen skulle i det här fallet t.ex. vara att en förälder loggar in och (genom felaktigheter i APIet som programmet utnyttjar) kan läsa uppgifter om andra elever i klassen. Lite som @snajk var inne på med bilen till huset, att om Öppna Skolplattformen tillhandahåller endast de uppgifter som är den eleven tillhanda/ägs av eleven i fråga så har det inte skett olovligen och anklagelsen kommer därmed att falla på den bevekelsegrunden.

Permalänk
Medlem

Låt dom anmäla, leder ändå ingenvart. Finns inget avtal man behöver skriva på för att göra anrop till ett api, möjligen har föräldrarna gjort fel genom att ange sina uppgifter på en tredje part?

Permalänk
Medlem
Skrivet av Pepe Silvia:

Simpelt: Skolplattformen är en officiell / godkänd app av Stockholm Stad. ÖSP är inte det.

Spelar ingen roll exakt hur ÖSP har utformat sin sessionshantering. Om de inte är godkända ska de varken få distribuera eller ta betalt för sin app.

Varför dem inte är/blev godkända är en helt annan fråga.

Vilket juridiskt stöd finns det att stoppa detta, är det inte detta som är den centrala frågan?

Permalänk
Medlem
Skrivet av mrbrix:

Jag tycker att tjänstemannaansvaret ska återinföras. Synd att de tog bort det.

Hur tänker du att det ska fungera?
Vem är den ansvariga och vad är syftet med att ha det? Vad ska det motverka?

Permalänk
Skrivet av aliassund:

Vilket juridiskt stöd finns det att stoppa detta, är det inte detta som är den centrala frågan?

Rättsutredning som utmynnade i polisanmälan handlar om att ÖSP inte har ett avtal med Stockholm Stad. Juridiskt har jag ingen koll på detta, jag är mest intresserad av de tekniska och säkerhetsrelaterade frågorna.

Permalänk
Medlem
Skrivet av Pepe Silvia:

Simpelt: Skolplattformen är en officiell / godkänd app av Stockholm Stad. ÖSP är inte det.

Spelar ingen roll exakt hur ÖSP har utformat sin sessionshantering. Om de inte är godkända ska de varken få distribuera eller ta betalt för sin app.

Varför dem inte är/blev godkända är en helt annan fråga.

Vadå godkända? de använder ju exakt samma öppna api som den andra appen, om de vill låsa ner kan de ju kräva klientcert som bara deras app har eller andra saker?

Det är ju föräldrarna som väljer att använda sina uppgifter i ösp, möjligen är det ett fel, men ösp gör ju inget fel. Sparar inte data utanför, bara visar samma innehåll som vanliga sidan gör.

Att Stockholm Stad är odugliga är en helt annan fråga, men det går ganska enkelt att låsa ner ett API om man kontrollerar klienterna. Inte så lätt att göra en tredjepartsapp till uber till exempel, men det har ju funnits ett otal till reddit/twitter/facebook etc. Inget alls som är olagligt eller konstigt...

Permalänk
Skrivet av medbor:

Vadå godkända? de använder ju exakt samma öppna api som den andra appen, om de vill låsa ner kan de ju kräva klientcert som bara deras app har eller andra saker?

Det är ju föräldrarna som väljer att använda sina uppgifter i ösp, möjligen är det ett fel, men ösp gör ju inget fel. Sparar inte data utanför, bara visar samma innehåll som vanliga sidan gör.

Att Stockholm Stad är odugliga är en helt annan fråga, men det går ganska enkelt att låsa ner ett API om man kontrollerar klienterna. Inte så lätt att göra en tredjepartsapp till uber till exempel, men det har ju funnits ett otal till reddit/twitter/facebook etc. Inget alls som är olagligt eller konstigt...

Jag betraktar det inte som ett "öppet api" eftersom det finns krav på autentisering mot BankID. Samtidigt vet jag inte om/hur Skolplattformen har försökt förhindra anropen från ÖSP. Oavsett är problemformuleringen om det ska vara fritt fram att utveckla, distribuera och ta betalt för sådana appar med hänsyn till säkerhetsrisken för känsliga personuppgifter.

Permalänk
Medlem
Skrivet av Pepe Silvia:

Rättsutredning som utmynnade i polisanmälan handlar om att ÖSP inte har ett avtal med Stockholm Stad. Juridiskt har jag ingen koll på detta, jag är mest intresserad av de tekniska och säkerhetsrelaterade frågorna.

Fine, förståeligt, men jag hängde upp mig på "Om de inte är godkända ska de varken få distribuera eller ta betalt för sin app."

Permalänk
Medlem

Något helt annat än det som diskuterats här.

Jag tror ärligt talat inte att jag hade använt mitt BankID i en lösning som en litet företag som ÖSP utvecklat. Använder folk sitt BankID så godtyckligt? Lite saftigt att också att sno namnet Skolplattformen i sin egna lösning kan jag tycka.

Ska man göra en sådan här sak så ska man ha en tätare dialog med Stockholms Stad först.

Visa signatur

Windows 11 Pro | Intel i7 8700 | ASUS Prime Z370-P | Corsair 16GB 3000MHz | ASUS GTX 1080 | Fractal Design Define S | Corsair RM750x | Hyper 212 EVO

Permalänk
Skrivet av aliassund:

Fine, förståeligt, men jag hängde upp mig på "Om de inte är godkända ska de varken få distribuera eller ta betalt för sin app."

Det är min åsikt eftersom det gäller känsliga personuppgifter. Om du inte håller med, var drar du gränsen? Är det okej att vem som helst gör en icke-officiell/godkänd app för Skatteverket?

Jag har inget emot att det ska finnas godkända alternativ, men om det är fritt fram är jag rädd att det innebär en samhällsrisk. Om Stockholm Stad inte klarar av att göra en bra app får stockholmarna pressa på att dem iaf godkänner andra seriösa företag, ex. att Not Free Beer får utveckla ÖSP.