Die Universiteit se stelsels, en spesifiek die SUN-e-HR menslike hulpbronstelsel asook die portaal, was die afgelope week of twee onstabiel en die grootste deel van hierdie week buite aksie weens ‘n rekenaar sekuriteitsbedreiging – wat ‘n groot risiko op ons stelsels geplaas het. Die risiko is nou afgeweer en ons gee graag meer agtergrond:
Die oorsaak is die sogenaamde “Poodle man-in-the-middle vulnerability” (sien http://en.wikipedia.org/wiki/POODLE, https://securityblog.redhat.com/2014/10/20/can-ssl-3-0-be-fixed-an-analysis-of-the-poodle-attack/ ).
Dit is ‘n leemte in rekenaarstelsels wat dit blootstel aan inbrake. Dis in September 2014 in die VSA ontdek en van die eerste gevolge was dat Google hul Chrome webblaaiers en Mozille hul Firefox aangepas het om die verouderde SSL3 enkripsie, wat groot leemtes het, te onttrek .
Die direkte gevolg vir die Universiteit was dat Chrome en Firefox gebruikers nie meer die SUN-e–HR stelsel of portaal sou kon gebruik nie. Studente kon byvoorbeeld nie by hulle punte kom nie, en personeel nie verlof insleutel nie. Ons het geen beheer hieroor gehad nie. Chrome en Firefox is outomaties deur Google en Mozilla onderskeidelik aangepas.
Oracle het opgraderings (“patches”) vrygestel wat hulle deel van die risiko aanspreek. IT het in sulke gevalle nie ‘n keuse nie – ons moet dit installeer. Die risikos is te groot om dit nie te installeer. Gebruikers het op daardie stadium grootliks nie meer toegang tot die stelsels gehad nie (weens Chrome en Mozilla sonder SSL 3).
Die opgradering is eers op die ontwikkelingsomgewing getoets en daarna tydens ‘n geskeduleerde onderhoudsnaweek (6/7 Desember) op produksie uitgevoer. Die opgradering se installasie het goed verloop en is so deeglik as moontlik getoets voor die begin van die week.
Wat ons nie kon voorsien, is dat die Oracle opgradering Oracle se eie program kode en opstelling optimisasies sou breek – wat eers onder produksielas sigbaar geword het.
Die simptome was dat enige proses wat die Oracle login gebruik, gefaal het. IT se stelselpersoneel het nagte deurgewerk en met die hulp van Oracle die oorsaak probeer opspoor. Dit is eers op Donderdag 11 Desember geïdentifiseer en kon daarna binne 2 ure reggestel word.
Die impak van die opgradering was groter as verwag, op personeel, sowel as op studente. Sou die opgradering egter uitgestel word tot na die resestyd, sou die fout ‘n week voor registrasie sigbaar geword het en was dit ‘n veel groter krisis. Dit is egter nie meer moontlik om sulke werk in die resestyd te doen omdat die interafhanklikheid van stelsels ‘n groot span mense kort vir die installasie en toets; vanaf stelseladministrateurs tot gebruikers.
Vandag se rekenaarstelsels is aansienlik meer kompleks as ‘n dekade gelede. Die gevolg is dat foute onvermydelik voorkom.
Ons kan net na die beste van ons vermoëns rondom dit bestuur. Ons leer uit ons foute – en kommunikasie is kardinaal. IT gaan egter ook ‘n beter noodplan vir sulke gevalle ontwikkel.
Dankie vir die begrip en ondersteuning.
