Bezpieczeństwo informatyczne w polskiej szkole. Prawda czy fikcja?

Postanowiłem napisać malutki felietonik zawierający moją własną dygresję na temat bezpieczeństwa informatycznego w polskiej szkole. Pozwolę sobie uzupełnić moją wypowiedzieć fragmentami autentycznych dialogów.

Obecnie jestem uczniem drugiej klasy technikum na kierunku (jak się nietrudno domyślić) technik informatyk. Z chwilą kiedy dostałem się do tej szkoły sądziłem iż świadomość (nauczycieli przedmiotów zawodowych) zagrożeń płynącą z globalnej sieci jest naprawdę spora. Jakież było moje zdziwienie kiedy tak się jednak nie stało. Powód? Opisze tutaj kilka zdarzeń, które utwierdziły mnie w tym, że bezpieczeństwo informatyczne w szkole to zupełna fikcja.

W mojej szkole znajdują się obecnie 4 pracownie komputerowe + 1 pracownia multimedialna (składak) + kilka komputerów w bibliotece. Każda z pracowni pracuje pod kontrolą Windows Server 2003 Small Business Edition, oczywiście z zainstalowanym kontrolerem AD + nie mniej "ciekawy" pakiet SBS Men. W pracowni, w której mam najwięcej zajęć (sieci komputerowe, programowanie), końcówki pracowały pod kontrolą systemu Windows Vista. Dodatkowo te komputery jako jedyne w szkole wyposażone były w technologie Intel PAT (Intel Platform Administration Technology – więcej informacji o tej platformie w linku)

Zdarzenie pierwsze

Pewnego dnia mając zajęcia właśnie w tej pracowni wyposażonej w technologie IPAT podłączyłem patchcordem mojego laptopa do gniazdka sieciowego i po paru chwilach mój firewall (Kaspersky Internet Security 7) wykrył próbę włamania do mojego komputera. Oczywiście natychmiast kliknąłem na szczegóły tego komunikatu i z przerażeniem stwierdziłem iż komputer atakujący mnie ma adres IP 192.168.28.1, czyli serwer tej pracowni(sic!). W ciągu kilku następnych minut firewall zablokował kolne próby włamania z kilku różnych końcówek. Za pomocą Google dowiedziałem się, że za ataki odpowiada robak sieciowy, który infekuje maszyny wykorzystując błędy w systemie Windows, na które oczywiście Microsoft już dawno temu wypuścił stosowną łatkę.

Za pomocą platformy IPAT można zdalnie zarządzać poszczególnymi końcówkami (włączanie, wyłączanie, podpinanie pod domenę, itd). Aby wejść po panelu administracyjnego wystarczyło wpisać w pasku adresu przeglądarki http://192.168.28.1/ipat3/ (Bez hasła, gdyż Pan Administrator źle skonfigurował IPAT'a) i można było szaleć do woli :‑)

Fragment pierwszego dialogu:

Ja: Panie [tutaj nazwisko] pana serwera mnie atakuje Nauczyciel: Co, jak to? Ja: No niech Pan zobaczy? (Pokazuje mu okienko z komunikatem programu KIS) Nauczyciel: Bardzo możliwe Michale, ostatnio podłączałem pod serwer pendrive, który przyniósł mi uczeń, bo chciał coś wydrukować i może coś tam wlazło.

Oprogramowanie na serwerze oczywiście nie było zaktualizowane, jak również nie było tam żadnego programu antywirusowego.

Zdarzenie drugie

W naszej innej pracowni pracującej już tym razem pod kontrolą leciwego już Windows XP, gdzie (o zgrozo) są przeglądarki Internet Explorer 6(sic!). W momencie kiedy pierwszy raz to zobaczyłem pomyślałem (Boże zabierz mnie z tego ciemnogrodu!).

Pewnego dnia na naszą lekcje niezapowiedziane przyszła polonistką z zapytaniem czy mogła by skorzystać z jednego z komputerów, gdyż musiała skorzystać z usługi płatności online. Nauczyciel prowadzący zgodził się i nauczycielka usiadła przy jednym z wolnych stanowisk. Oczywiście, skorzystała wtedy z IE6 (Brak zainstalowanych alternatywnych przeglądarek), na niezaktualizowanym i zainfekowanym systemie – myślę, że pozostawię to bez komentarza.

Zdarzenie trzecie

W innej pracowni w której mam przedmiot na nazwie – „Multimedia i Grafika komputerowa” serwer jest tak zainfekowany przez szkodliwe oprogramowanie, że przestał działać poprawiane serwer DHCP, więc konieczna była ręczna konfiguracja protokołu TCP/IP na każdej z końcówek. Na tych stanowiskach NIE MA hasła do lokalnych kont administracyjnych, tak więc na dyskach twardych tych komputerów można znaleźć dosłownie wszystko - gry, muzykę, filmy itp, czego oczywiście nauczyciel prowadzący nie kontroluje.

Formalnie szkoła zakupiła oprogramowanie antywirusowe (Kaspersky Anti-Virus 6), lecz niestety jest on najczęściej źle skonfigurowany, brak klucza licencyjnego lub jego ochrona w czasie rzeczywistym jest wyłączona.

Fragment drugiego dialogu

Ja: Czy nie powinniśmy zaktualizować tych końcówek? Nauczyciel: No, może, ale dużo by było z tym roboty!

Ten tekst powalił mnie na kolana. Po co chodzić od końcówki do końcówki ręcznie ją aktualizować, skoro jest narzędzie WSUS (Windows Server Update Services). Niestety administrator jak widać nie znał tego narzędzia.

Zdarzenie czwarte

W szkole znajduje się 5 Access Pointów. 3 w jednym budynku i 2 w drugim. Każdy uczeń może podłączyć się pod sieć jeśli zna hasło (abc1234567). Z Wi‑fi korzysta również Pani dyrektor. Wystarczy użyć pierwszego z brzegu skanera portów, który przeskanuje sieć i można bez problemu mieć dostęp do całej masy dokumentów takich jak wykaz nauczycieli (zawierający imię nazwisko, datę urodzenia, PESEL), listę uczniów pobierających stypendia i całą masę innych dokumentów.

Konkluzja

Bezpieczeństwo informatyczne w szkole to fikcja! Mówi się, że edukacja seksualna jest na bardzo niskim poziomie to co w takim razie powiedzieć o edukacji odnośnie bezpieczeństwa? Co zrobić, aby zmienić ten stan rzeczy?