Pishing a využití přihlašovacích údajů třetí strany

O phishing rozhodně nejde. Phishing se snaží podvodně získat přihlašovací údaje tím že se vydává za někoho jiného než ve skutečnosti je. Vaše stránka se za nikoho cizího nevydává a návštěvníky sama upozorňuje na to, že nejde o web BAKALARI a že jí předávají své přihlašovací údaje.

Jsem toho názoru, že nic nelegálního neděláte.

Z hlediska uživatele je méně bezpečné, když posílá údaje vám, než kdyby BAKALARI měli nějaký svůj autentikační server. Ale to záleží na jejich důvěře, zda vám údaje sdělí. On je trochu problém v tom, že ač mohou věřit tobě, tak problém nastane ve chvíli, kdy vám ty vaše stránky někdo potichu nabourá, jen nějakou dorbnou změnou v kódu si začne Vám předané údaje přeposílat a vy o tom nebudete mít ani tušení.


Závěrem. Z právního pohledu jste asi v pořádku, ovšem oba (bakalari i skola) vám můžou znepříjemnit život. Bakalari tím, že změní html stánek a tím rozbijí váš parser (což asi dělat nebudou) a nebo se vás budou snažit nějak detekovat a zablokovat. Nejjednodušší pro ně bude zablokovat IP vašeho serveru, takže byste je museli hodně rychle střídat (můžete mít jen nějakou proxy, kterou budete střídat a hlavní obsah bude stále na tom samém serveru). Škola Vám to může znepříjemnit zase jinak, oficiálně ne, ale oni si cestu najdou, víme jak to chodí. Proto ač jste vlastně nic neporušili bych jim ustoupil.

1) Myslím, že by měla stačit úplně obyčejná registrace. Vaše škola zajímá je Vaši školu. Nikde nejsou připravené tisíce lidí, kteří čekají jen na to, aby vám podvodně kazili anketu. Takže nějaké ověřování nejspíše nebude vůbec potřeba. A pokud by náhodou nějaký problém nastal, tak ho budete řešit až nastane.
2) Jednorázová distribuce 322 hesel zase až takový problém není. Navíc je to jednorázová akce, za rok to bude jen 30-60 (nevím kolik máte každý rok prváků). Navíc se to dá udělat opačně, jelikož je o vaši službu takový zájem, můžete lidi nechat, ať si heslo jednoduše vyzvednou u vás. Nikoho nemusíte nahánět, ten kdo bude mít zájem se prostě u vás o přestávce staví.
3) Pokud budete chtít zachovat propojení s BAKALARI, dá se to udělat šetrně, aby předání údajů proběhlo jen jednou. To přihlášení provedete jen jednou, při registraci. Při registraci tedy uživatel vyplní své jméno a heslo, které chce používat pro přihlášení do vašeho systému a jméno a heslo k bakalarum. Systém se přihlásí pomocí údajů k serveru bakalari a pokud se mu to povede, zaregistruje uživatele. Pak už se uživatel přihlašuje jen svými údaji k vašemu systému. Další kontaktování serveru bakalari je zbytečné, protože vít, že všichni uživatelé vašeho systému byli už na začátku ověřeni.

Dle mého (laického) názoru to trestné není, minimálně do doby než vám ředitel/správce sítě zakážou to dělat. Na vyhození ze školy ano, pokud bys to provozoval po jejich zákazu. Že jsou z toho ředitel a správce sítě na větvi je celkem pochopitelné, pokud by ta data byla zneužitá, můžou z toho mít problémy, i když jsou na vině studenti, kteří dali své heslo třetí osobě.

1) Jako student bych v takové anketě nehlasoval, protože bych nebyl ochotný dát ti přístup k mému účtu. Existuje-li nějaký dokument, který studenti podepisují při předání hesel, patrně tam bude i napsáno, že ho nesmí sdělit třetí osobě.

2) Rozumný způsob by byl rozeslat to studentům na mail, ideálně připravit šablonu, ve které se bude generovat nějaký token a domluvit se se správcem, jestli by to studentům rozeslal (aby nemusel dát z ruky jejich e-maily). Škola by mohla dodat seznam toho, kdo kde učí. Čekal bych, že nebudou smět dodělat k bakalářům nějaký vlastní modul, ale vyexportovat z toho systému data (jde-li to), to by snad mohli. To v případě, že by škola chtěla spolupracovat.
Pokud ne, zkusil bych se spolehnout na to, že studenti budou poctiví a udělal vlastní registraci,kde studenti zadají jméno a třídu. Řešil bych až případy, kdy se nějaký student registruje víckrát. Pokud by se někdo rozhodl to sabotovat, tak bych rozdával ve škole papírky s heslem.

RastyAmateur:
„Takže když by někdo vytvořil více účtů a snesl těžkou či vulgární kritiku, my to nijak nebudeme moci ovlivnit.“
To když by je podstatné. Nic takového vůbec nemusí nastat, ale dejme tomu. Jde o to, že systém s účty být anonymní nemusí. Můžeš vědět, kdo k jakému účtu patří, přesto odpovědi zůstanou anonymní.

RastyAmateur:
To jsme se si špatně pochopili. Myslel jsem tím, že jde navrhnout systém, kde část anonymní je a část ne. Jde to udělat tak, že víš kdo je majitelem jakého účtu, ale nevíš, jaký účet napíše jaký příspěvek. Nemyslel jsem tím to, že bys věděl, kdo píše jaká hodnocení a jen to na webu nezobrazoval. To by samozřejmě nemorální bylo.

Tak hoši, to jste po..... Vy jste si vlastně dovolili známkovat učitele, aniž by to věděli a souhlasili s tím. To je asi opravdový důvod toho humbuku kolem.

A teď vážně.
Pokud se na vše podívám jako programátor - výborný nápad, může působit jako phishing, ale pokud se podíváme na definici phishingu, muselo by se jednat o podvodné jednání za účelem vylákání přístupů. To je vyloučeno, protože jste uživatele informovali a on svobodně a dobrovolně vydal svá data. Asi by mělo být poznamenáno, že hesla nikde ve Vašem systému neukládáte. Pokud ano, tak to nedělejte, kdyby se Vám někdo dostal na data, to by pak byl průšvih.
Škoda, že Bakaláři nemají API - asi dlouho mít nebudou a pokud budou, tak neveřejné.

Myslím, že reset hesel byl naprosto zbytečný, stačilo uživatele informovat o Vašem systému a ti dotčení by si snadno změnili heslo sami - nejsou přece žádní leváci, a pokud by si ho nezměnili, tak jejich bezpečnostní díra.

Hlavní chybu vidím ale v tom, že jste to měli probrat s vedením školy, oni by to probrali na poradě a pak by Vám to zatrhli.
Já jako bývalý učitel bych se vůbec neobával nějakého hodnocení od žáků, naopak, vždy když jsem se dozvěděl nějakou negativní kritiku tak mě to někam posunulo.
Ale správně by bylo aby věděli jaké otázky budou kladeny, jaké odpovědi mají na výběr atd. atd.

Ale jak jsem napsal výše - nedovedu si představit, že by u pedagogického sboru na gymplu tohle prošlo. Pouze někteří by souhlasili. A těch by bylo méně než půlka.

HM, tak to jste dobře udělali. Tak proč potom ale takový humbuk kolem? Nechápu!