Studentski zbor upozorava da su ugroženi podaci 15.000 studenata: Fakultet i tvrtka sve demantiraju

Studenti Filozofskog fakulteta Sveučilišta u Zagrebu (FFZG) upozoravaju na navodne 'kritične sigurnosne propuste' u sustavu molbi koji koriste svi njihovi studenti te posljedično na ugrozu osobnih podataka studenata. Kako kažu, te propuste prilikom pokušaja prijave u sustav nedavno je otkrio jedan student, a riječ je o sustavu eUniApp koji je razvila tvrtka SETMED, d.o.o.

Curenje podataka na FFZG-u?

Studentu se tijekom prijave na zaslonu pojavila greška iz koje je, tvrde iz Studentskog zbora ovog Fakulteta, vidljivo da poslužitelj pohranjuje lozinke korisnika, 'što je posebice opasno jer je sustav povezan i sa Studomatom i sustavom e-Građani'.

- Nakon više neuspješnih pokušaja dobivanja povratnih informacija od nadležnih fakultetskih službi, student je svoje pronalaske izložio na mailing listi Fakulteta. Nakon razmjene nekoliko privatnih mailova sa studentom, Uprava je na listu poslala službenu izjavu koja poriče da je do propusta došlo, specifično tvrdeći da sustav ne pohranjuje lozinke. Kolegin demantij izjave s priloženim dokazima zadržan je u moderaturi pod objašnjenjem da materijali koje prilaže mogu ugroziti podatke koji navodno nikad nisu bili ugroženi. Služba za kibernetičku sigurnost Fakulteta odobrila je slanje maila u kojem je student priložio stari enkripcijski ključ, međutim, dekan Domagoj Tončinić taj mail je osobno zadržao te isti i dalje nije dostupan fakultetskoj javnosti, objašnjavaju iz Zbora.

Direktorica SETMED-a Anita Gaković za srednja.hr potvrđuje da sustav eUniApp ne pohranjuje lozinke studenata te da fakulteti nemaju uvid u njih.

- Autentifikacija korisnika u potpunosti se odvija putem AAI@EduHr sustava. Time eUniApp nema pristup niti mogućnost pohrane korisničkih lozinki, već koristi siguran autentifikacijski mehanizam koji je izvan njegove nadležnosti. Također, fakulteti nemaju uvid u lozinke studenata. Lozinke se ne pohranjuju unutar eUniApp sustava, već isključivo unutar AAI@EduHr sustava, koji je tehnički i organizacijski odvojen te podliježe visokim sigurnosnim standardima. Time je onemogućen bilo kakav pristup lozinkama od strane fakulteta ili drugih korisnika sustava, pojašnjava Gaković.

O svemu razgovarali na Vijeću, studenti kažu da se prodekan 'izlanuo'?

Studenti dodaju da je dekan na sjednici Fakultetskog vijeća Filozofskog fakulteta 18. ožujka u početnim obavijestima istaknuo dva slučaja elektroničke pošte koje je osobno cenzurirao. Radilo se o pozivu na prosvjed protiv suradnje s izraelskim akademskim institucijama i o prethodno spomenutom demantiju Upravine izjave o sustavu molbi. Ovaj put, navode iz Zbora, obrazloženje je bilo da kolega nije imao dostatno civilan ton za propuštanje pošte.

- Prodekan za poslovanje Hrvoje Stančić proširio je napad na kolegu, optuživši ga za zlonamjerno sabotiranje sustava molbi i rada Fakulteta. Studentski predstavnik u odgovoru je istaknuo da kolega nije mogao znati za grešku prije no što je na nju naišao slučajno jer mu se u lozinki nalazila točka (upitom Studentskoj službi, student je saznao da sustav ne prihvaća posebne znakove u lozinkama). Prodekan Stančić zatim odgovara kako studentski predstavnik očigledno raspolaže s netočnim informacijama jer se u spomenutoj lozinki nije nalazila točka, već apostrof, što bi, njegovim riječima, dokazivalo namjeru testiranja sustava. Ključno je da student u pitanju niti u jednom od svojih mailova nije istaknuo svoju lozinku, niti specifičan znak zbog kojega je došlo do greške. Prodekan je dakle priznao da ne samo da sustav pohranjuje lozinke, već da je on osobno imao uvid u pristupne podatke za kolegin račun, opisuju iz Zbora.

Dodajmo da nam Gaković pak kaže da sustav ne ograničava korištenje znakova na tipkovnici prilikom unosa lozinke. Studenti, ističe, mogu koristiti standardni raspon znakova koji je podržan unutar AAI@EduHr autentifikacijskog sustava.

- Korištenje različitih znakova u lozinkama ne uzrokuje poteškoće u radu sustava. Budući da se autentifikacija odvija putem AAI@EduHr sustava, eUniApp ne obrađuje niti interpretira lozinke, već samo prosljeđuje zahtjev za prijavu, čime se eliminira mogućnost tehničkih pogrešaka povezanih s unosom znakova, tvrdi Gaković.

'Uprava je svjesno i javno počinila klevetu karaktera studenta'

Studenti dodaju da izražavaju oštru osudu opisanog postupanja s osobnim podacima studenata, cenzuru rasprave o situaciji i snažnu zabrinutost, ne samo za sigurnost podataka studenata FFZG-a, nego i osobnu sigurnost studenta koji je otkrio grešku.

- Uprava je svjesno i javno počinila klevetu karaktera studenta i to pred profesoricama i profesorima koji mu predaju na studiju. Time su prekršili etičke standarde akademske zajednice, ali i počinili kazneno djelo. Tvrdnja Uprave da je sa sigurnošću dokazala zlu namjeru studenta naprasna je neistina i još jedan u nizu pokušaja odricanja od odgovornosti u situacijama velike pravne osjetljivosti. Ta je namjera vidljiva iz činjenice da su tu optužbu iskoristili kao argument zašto nisu kontaktirali nadležnog DPO-a (data protection officer), niti Agenciju za zaštitu podataka, što su po zaprimanju prijave o potencijalnoj povredi osobnih podataka bili dužni napraviti, ističu iz Zbora.

Ured dekana FFZG-a: 'Studenti nemaju razloga za zabrinutost'

Iz Ureda dekana FFZG-a kažu nam da Agenciju za zaštitu podataka nisu kontaktirali zbog toga što nije došlo do curenja podataka.

- S obzirom na to da sustav ne pohranjuje lozinke, ne postoje podaci koji bi mogli iscuriti. Sustav molbi ne pohranjuje lozinke studenata. Pogreška koja se pojavila studentu prilikom prijave u sustav mogla se pojaviti jedino korištenjem određenog znaka. Nitko nema uvid u pristupne podatke korisnika. Studenti nemaju razloga za zabrinutost oko svojih podataka, poručili su iz Ureda dekana.

Da razloga za zabrinutost nema poručuje i Gaković.

- Studenti nemaju razloga za zabrinutost vezano uz sigurnost svojih podataka u kontekstu korištenja eUniApp sustava. Sustav je dizajniran na način da ne upravlja osjetljivim autentifikacijskim podacima, već se oslanja na postojeću, sigurnu i široko korištenu infrastrukturu AAI@EduHr sustava, zaključuje Gaković.

Zbor je dodao da isti sustav molbi koriste još neke sastavnice Sveučilišta u Zagrebu, među kojima navode Ekonomski (EFZG) i Pravni fakultet (PFZG). Kako kažu, to otvara mogućnost da su zbog korištenja navedenog sustava 'kompromitirani podaci preko 15.000 studenata Sveučilišta'. S EFZG-a potvrđuju navod o korištenju sustava, ali kažu da se do sad nisu susreli s nekim problemom.

- Ovim putem potvrđujem da naš Fakultet koristi navedeni sustav. Sustav uredno radi, sustav ne pohranjuje lozinke korisnika u čitljivom obliku niti omogućuje uvid u njih. Također, naši studenti do sada nisu ukazivali na navedeni problem, poručili su s EFZG-a.

S PFZG-a navode da u primjenu još uvijek nisu uveli sustav e-zamolbi eUniApp tvrtke SETMED. Istodobno, kažu, Fakultet koristi druge aplikacije istog pružatelja usluga, s kojima ima pozitivna iskustva.

- Kontinuirano pratimo učinke i moguće rizike digitalizacije te ćemo, prije uvođenja bilo kojeg sustava, osigurati njegovu potpunu usklađenost s važećim propisima, zaključuju s PFZG-a.