Oppilas paljasti koulun tietoturvaongelman – ensin kehut, sitten potkut

National Post -verkkosivujen mukaan ongelma koski Quebecin alueen oppilaitoksia ja kaikkiaan 250 000 opiskelijan henkilökohtaisia tietoja.

20-vuotias Ahmed Al-Khabaz kuului koulunsa ohjelmistokehityskerhoon. Hän oli kehittämässä koulunsa järjestelmiin liittyvää mobiilisovellusta, kun hän huomasi ystävänsä kanssa Omnivox-sovelluksessa huolimattomasti tehdyn koodin. Huolimaton koodi olisi mahdollistanut kenen tahansa järjestelmässä olevan henkilön tietojen nappaamisen pelkän perustason tietämyksen turvin.

– Minulla oli moraalinen velvollisuus tuoda asia oppilaitoksen tietoon ja auttaa ongelman korjaamisessa, ja niin teinkin. En piilotellut identiteettiäni asian yhteydessä mitenkään, sillä en tehnyt mielestäni mitään väärää, kommentoi Al-Khabaz.

Aluksi Al-Khabaz saikin kiitoksia löydöksestään, ja Omnivoxin kehittäneen Skytechin kerrottiin korjaavan asian pikaisesti.

Tilanne kuitenkin kääntyi päälaelleen parin päivän kuluttua. Al-Khabaz päätti nimittäin testata haavoittuvuuksien etsintään suunnitellun sovelluksen avulla, että oliko hänen löytämänsä tietoturva-aukko jo korjattu. Parin minuutin päästä hänen kotipuhelimensa soi.

– Puhelimessa oli Skytechin johtaja. Hän syytti minua verkkohyökkäyksestä. Pyysin anteeksi ja sanoin, että minä olin toinen henkilöistä, jotka olivat virheen löytäneet ja että olin vain varmistamassa, että ongelma on korjattu.

Skytechin johtajan mukaan Al-Khabazin toimet testata yhtiön sovellusta ilman lupaa ylittivät sallitun rajat.

Tämän jälkeen Dawson Collegen tietojenkäsittelylaitoksen opettajat äänestivät Al-Khabazin erottamisesta.

Al-Khabaz kritisoi päätöstä, koska hän ei mielestään saanut mahdollisuutta kertoa omaa kantaansa asiassa. Hän toteaa akateemisen uransa olevan nyt raunioina.

– Löysin vakavan ongelman, ja yritin auttaa sen korjaamisessa. Sen takia minut erotettiin koulusta, hän kritisoi.

National Post: Youth expelled from Montreal college after finding ‘sloppy coding’ that compromised security of 250,000 students personal data