Kako bi studentima i članovima akademske zajednice olakšali pristup internetu na različitim sveučilištima pod okriljem europske udruge akademskih i istraživačkih mreža (TERENA) pokrenut je, a kroz međunarodni projekt GÉANT i ostvaren, sustav eduroam (education roaming). Riječ je o usluzi koja je namijenjena studentima i drugim članovima akademske zajednica koja omogućuje povezivanje s internetom s različitih lokacija i uređaja korištenjem jedinstvenog elektroničkog identiteta.
Pročitajte i ovo
S obzirom na to da se ova usluga trenutačno koristi u više od 100 zemalja te na više od 3000 fakulteta i drugih institucija diljem svijeta, a njene usluge koriste stotine tisuća ljudi, jasno je koliko bi problema moglo nastati u slučaju nekakvog sigurnosnog propusta ili hakerskog napada na sustav eduroam.
Upravo na takav jedan propust upozorili su sigurnosni stručnjaci WizCasea čijim bi se iskorištavanjem hakeri mogli dokopati korisničkih imena i lozinki korisnika, čime bi potencijalno mogli dobiti pristup povjerljivim i osobnim podacima korisnika eduroama. Iz WizCasea objašnjavaju kako svaka institucija mora uložiti vlastite resurse kako bi eduroam mogao raditi te ne postoji određena osoba koja je na sveučilištima zadužena za održavanje sustava pa bi samo jedna pogrešna konfiguracija na ovom sustavu na sveučilištima mogla omogućiti iskorištavanje propusta i hakerski napad.
Sigurnosni stručnjaci WizCasea u testnom su okruženju napravili nekoliko scenarija napada na sustav te se pokazalo da je u većini slučajeva na sveučilištima s pogrešno konfiguriran mrežama moguće napraviti lažnu mrežu koju određeni mobilni uređaji neće moći razlikovati od stvarne eduroam mreže. Za mobilne uređaje koji rade na Androidu (čini se kako su u problemima samo Androidu, ne i Appleovi telefoni), povezivanjem s lažnim serverom njemu se, odnosno hakerima, šalju vjerodajnice potrebne za povezivanje s eduroam mrežom.
Pročitajte i ovo
Te vjerodajnice hakeri mogu iskorištavati na različite načine i pristupiti privatnim podacima korisnika, a posebno su opasni slučajevi u kojima korisnici koriste iste podatke i za druge servise jer bi hakeri s tim podacima mogli pristupiti i takvim servisima. Iz WizCasea kažu kako u ovom slučaju nije riječ o nekakvoj tehničkoj ranjivosti same eduroam mreže, već su problematične pogrešne konfiguracije koje su korisnicima dali administratori svakog sveučilišta.
Kao jedno od rješenja, iz ove kompanije preporučuju korisnicima da obavijeste administratore fakulteta oko ovog problema te da isključe automatsko povezivanje na eduroam mrežu kako se njihovi telefoni ne bi automatski povezali s lažnim serverima i tako hakerima dali podatke o korisničkom imenu i lozinki. Također, savjetuju brisanje pohranjenih vjerodajnica za eduroam mrežu iz postavki WiFija te instalaciju eduroamCAT-a, eduroamove aplikacija koja provjerava certifikate.
