Безопасность установки в классе

Детские компьютеры — не место для сюрпризов из интернета. В школьном режиме Trema IDE установка чего бы то ни было проходит через три рубежа защиты: проверенные источники, контрольные суммы и запрет стороннего кода при установке. Разберём каждый.

Рубеж 1. Только проверенные источники

Заводские источники пакетов — серверы Trema: каталог библиотек libraries.trema.ru и зеркало плат packages.trema.ru. Никаких случайных адресов из интернета. Список источников закрыт замком учителя — ученик не добавит «интересный сайт» в источники даже из любопытства. Всё, что приезжает на машины по пакету класса, идёт только по этим доверенным каналам.

Рубеж 2. Контрольные суммы

Каждый скачиваемый файл сверяется с цифровым отпечатком (контрольной суммой), опубликованным в каталоге. Файл повреждён или подменён по дороге — установка не пройдёт. Тот же принцип действует и на установщики самой программы: суммы SHA-256 публикуются на странице загрузки.

Рубеж 3. Запрет установочных скриптов

Тонкий момент, о котором редко говорят: некоторые пакеты при установке запускают собственные скрипты — код автора пакета. Дома это допустимо, в классе — риск. Поэтому в школьном режиме такие скрипты запрещены: пакеты распаковываются и работают, но чужой код на детских машинах не выполняется. Библиотеки от этого не страдают — а поверхность атаки схлопывается.

Плюс организационный контур

• Установка библиотек и плат — под PIN-кодом учителя; штатный способ пополнения машин — пакет класса из кабинета.
• Новые компьютеры попадают в класс только после ручного одобрения школой (см. «Подключение компьютеров»).
• Вход сотрудников в кабинет защищён двухфакторным подтверждением (см. «Сотрудники и роли»).

Что сказать системному администратору школы

Если в школе строгий контур: программе нужны исходящие соединения к доменам trema.ru (сайт, каталог библиотек, зеркало плат, облако). Ничего стороннего программа не качает; весь трафик — к нашим серверам в России. Для полностью изолированных классов есть офлайн-путь — см. «Класс без интернета».

Частые вопросы

Читайте также

• Одна версия на весь классУ всех компьютеров класса — согласованная версия программы: методичка совпадает с экранами.
• Подключение компьютеров: код и одобрениеКод группы действует ограниченное время, а финальное «да» каждому компьютеру говорит школа.
• Работы учеников в кабинете учителяСохранил ученик проект — работа уже у учителя: классы, сводки по детям, код каждой работы.
• Раздать программу классуЗаготовка урока у каждого ученика за минуту: из файла, из кода или из работы одного из детей.

• PIN учителя и замки