eclass 沒有安全性的學校網絡系統

在很久之前我已經想打此一篇文章,想打的不是以為eclass是如何垃圾,是因為香港竟然找不到一個能完美配合教學用的學校網絡平臺,在最近再看到eclass那些code,簡直是粗糙的工程產品,但其卻用於全港百多間中小學校。

eclass 如何不好法?相信用過的人都會有不少怨言,其使用功能十分繁複,設計根本上不會考慮使用者感受,基本上只求有功能,不顧使用者體驗。

上圖是eclass登入後的介面,其實你可以見到,畫面其實還有很多空間,但其卻將字體縮到十分細,其次就是功能十分不明顯,例如電郵,資料庫用小小的圖標(icon)代替。試問版面沒有空間給你放置這些文字嗎? 受介面已經十分不易上手,更何況其他介面,教師怨聲連篇,若沒有看著說明書來做,幾乎無法入手,網頁也沒有在特定的頁面提供幫助(help)功能說明。

缺乏安全性

介面上的設計已經是一塌糊塗,看回數據庫,更是令人擔憂。筆者在無意間需要處理一個eclass的數據庫文件,要抽取用戶數據,但發現所有的用戶密碼完全沒有加密,即用plain text。我相信每一個本教人寫program 的書都會提到要將數據加密,確保即使數據庫被盜取,也不容易被人登入系統或使用用戶資料。除此此外,數據庫設計有存在好多數據沉積,部份資料會出現重複。在數據庫中在部份table都會出現UserPassword,試問你需要這些table做什麽用呢?如果這些table 用來儲存錯誤密碼,起碼都要加密數位吧?

若如你的學校的數據庫某日被黑客入侵,恭喜你,的全校的所有學生資料,家長資料,教師資料,校產資料將全部被人盜走,因為eclass是沒有將這些資料進行加密的,但此平臺卻放置了超級多個人資料。

只顧賺錢的公司

我最初以為只是一間學校的問題,後來聯絡了同行的朋友,發現其他學校都是一樣,證實幾乎所有學校的eclass資料沒有加密。聯絡了eclass叫他進行改進,用了一日時間,其將用戶密碼進行了md5加密,但卻失去了用戶找回密碼功能,那麼如何取回?又是管理員要做的事。每年都收一筆可觀的金錢錢,但用戶要求解決的問題卻未能解決,其答覆只能說下一個版本更新,但這個答覆沒有回到更新日期。

eclass 的賺錢是十分狠的,很多功能都沒有,你要功能就要買,但買了不合用,他并不會幫你改進,他們沒有確保改進後會好,這麼多年也不覺得eclass有任何改善過,管理員還是要分不同的平臺去管理。

加上eclass將源碼加密,學校是不能請其他公司進行開發其他功能,有壟斷意味,而且在保安上更令人擔憂。

eclass 為何這麼成功進入學校市場,我相信其實因缺乏市場檢查,沒有任何技術公司為其進行評測。學校管理者只聽其一面之詞就購買產品,但卻沒有學校對其進行施壓,現在的eclass就像是一隻毒品,你只要用上它,你就很難換其他平臺,因為你能難帶走資料。除非你的學校對自己的資料留有一個獨自的數據庫資料,否則日後的日子真的十分難行。

最後在此奉勸各位學校IT管理員,家長,學生,老師,不能100%相信eclass,特別是密碼,請不要用自己的銀行密碼作為eclass密碼,私人信息還是用電話,因為eclass的電郵也是沒有加密的,任何時候,都可以追查。

作者

rockfu

由小學年代已經沉迷電腦,喜歡分享電腦相關資訊。