تسجيل المعلومات على الانترنت في دوسلدورف يجعل انطباعا سيئا

لم يكن من الواضح ما هي البيانات الشخصية قد تمر على مكتب التسجيل لمن. أنا بعد بعض البحوث على هذا الإجراء دفع القراصنة، الذي يدعو لك في الاعتراض على الكشف عن البيانات الخاصة بهم في مكتب التسجيل. مكاتب التسجيل توفر العديد من البيانات التي هي الآن كل شيء! يدفع الثمن. لا يمكن إلا أن هذا يمكن تجنبها عن طريق وجود تناقض.

وسوف ترسل بيانات من مكتب تسجيل ما يلي:

 الدولة سلطات، في حالة من مصلحة مشروعة في سياق المساعدة

هكذا على سبيل المثال، الشرطة والمدعين العامين، والمكاتب الإحصائية، الخ.

 وغيث

الاخوة، ونحن نعلم بالفعل جيدا.

 الأحزاب والجماعات من الناخبين وغيرها من مصادر في الترشيحات
 فيما يتعلق بالانتخابات البرلمانية والمحلية، § 35 para.1 MG NRW

للحصول على الحملة الإعلانية لامع جدا.

 إلى المطالبين والأحزاب في اتصال مع العرائض و
 مع الاستفتاءات والمواطنين أن تقرر، § 35 القسم 2 ملغ NRW

من أجل الحصول على لمعان عالية وسوف تساعدك على اتخاذ الاستفتاءات المتكررة.

 في طريق البحث الآلي على شبكة الإنترنت؛ § 34 Abs.1b MG NRW

هذه هي النقطة التي لم أكن معروفة بعد. يمكن أن يكون لها مدخل على الإنترنت
أي شخص يعرف بعض الخصائص المميزة للشخص بشكل تلقائي عبر الإنترنت
جمع المعلومات الاستخبارية. الاستعلام يكلف حاليا 4 € لكل سجل في دوسلدورف.

قانون تسجيل NRW يقول في هذه النقطة:

 § 34 Abs.1b MG NRW
 (1B) إذا كان من الممكن إجراء المكالمة ممكن من خلال شبكة الإنترنت، تأكد من أن إجراءات تقديم الطلبات وتوفير المعلومات ونقلها في شكل مشفرة.  وينبغي أن افتتاح الوصول معروفة علنا.  لا يسمح للدعوة إذا كان الفرد قد اعترض على هذا الشكل من أشكال تبادل المعلومات.  سلطة تسجيل ملاحظة على آخر شهر واحد قبل افتتاح الوصول إلى الإنترنت بواسطة إشعار عام على الحق في الاعتراض.  وعلاوة على ذلك، § 35 الفقرة 6، الجملة 2 ينطبق.

طعن في نقل البيانات من الممكن عن طريق ملء نموذج. لدوسلدورف، وهذا هو هنا: https://formulare.duesseldorf.de/forms/frm/7PRPfAZH5gQA8Ja8AkNGaH1rNpDcHR3 يمكن أن يتم تسليم هذا مجانا في المكاتب العامة. بعد ذلك، لا يستطيعون الحصول على الانترنت هو ممكن لامتلاك المزيد من البيانات. على ما يبدو، وتطلب بيانات من المدن الإقليمية المعنية والمقاطعات المنظمة.

عندما سألت (ودية للغاية) موظف المكتب الخلفي في اهلية قد،
لم أكن آسف لقول URL من الاستعلام المدخل. بحث سريع ثم قاد لي بسرعة إلى الموقع ولكن في مدينة دوسلدورف:

https://www.duesseldorf.de/emra/emra.jsp؟stadt=D FCsseldorf٪ ونوع المدينة =

وكان المدخل من الناحية الفنية مشكوك فيه جدا وأقل ما يقال الانطباع.
بادئ ذي بدء، لا يبدو أن هناك صورة التحقق أو ما شابه ذلك لإعطاء. استعلام أرض الواقع يبدو أن يكون من الممكن مع النصوص المناسبة.

وبالإضافة إلى ذلك، تمت الموافقة على الطلب على شبكة الإنترنت عن طريق الاستعلامات اختبار لي مع رسالة الخطأ قط لأنني لم تمكين ملفات تعريف الارتباط:

قرأت هذا ولكن بعد ذلك شك متزايد الكفاءة المهنية للتطبيق الذي يتيح الوصول إلى البيانات لجميع المواطنين من عروض المدينة. وينبغي أن يكون السيناريو لا يتلف إذا كانت الظروف لا وجود لها على الجهاز المستخدم (في هذه الحالة، وعدم لي من الكعكة). رسائل خطأ البرنامج النصي من ملقمات ويب التي يتم استخدامها للإنتاج ليست في تعطيل هو إهمال لأنها يمكن أن تكشف الكثير عن بيئة النظام المستخدم. وخصوصا عندما 1 التخطيط الاستراتيجي المشترك (كما في الصورة أعلاه)، اعتمادا على تكوين الخادم أيضا تعليقات من مبرمج وQuelltextschnippsel للحصول على. هنا كان على وظيفة قذرة. وينبغي على واجهة لبيانات شخصية لن يحدث.

اسمحوا لي الجلوس واستخدام الإصدار القط، الذي يظهر ايضا في رسالة الخطأ أدناه. (أباتشي Tomcat/6.0.24) وهذا هو نسخة قديمة من خادم الويب في 21/01/2010. الإصدار الحالي هو 6.0.33. الخادم لديه أربعة سجلات لا يتم تحديث إصدارات طويلة. إذا نظرتم الى نقاط الضعف التي تم إصلاحها في هذا الإصدار الأخير، فإن الأمر يزداد غير مريح. خادم الواضح انها ليست في أفضل حالة:

 http://tomcat.apache.org/security-6.html الثابتة في القط اباتشي 6.0.33 سراح 18 أغسطس 2011 متوسطة: نقاط ضعف عدة في HTTP مصادقة تلخيصية CVE-2011-1184 تم اكتشاف تنفيذ مصادقة تلخيصية HTTP لديها عدة لم يتم التحقق من عدم التحقق nonces خادم سمح لهجمات إعادة التشغيل التهم المناسبة الحاضرة العميل لم يتم التحقق من القيم qop لم التحقق من القيم المجال هو سر خادم الثابت ترميز إلى سلسلة معروفة ونتيجة لنقاط الضعف هذه هو أن المصادقة فقط DIGEST ما على النحو التالي: نقاط الضعف كما تأمين المصادقة الأساسية.  تم إصلاح هذا في مراجعة 1158180  وقد تم تحديد هذا من قبل فريق الأمن قط في 16 آذار 2011، وعلى الملأ في 26 سبتمبر 2011.  يؤثر: 6.0.0-6.0.32 منخفض: الكشف عن المعلومات CVE-2011-2204 عند استخدام قاعدة بيانات المستخدم الذاكرة (على أساس هر-users.xml) وإنشاء المستخدمين عبر جمك، استثناء أثناء عملية إنشاء المستخدم قد تؤدي إلى ظهور رسالة خطأ في العميل جمك التي تتضمن كلمة المرور الخاصة بالمستخدم.  ثم يتم كتابة هذه الرسالة خطأ إلى سجلات قط.  كلمات السر للمستخدم واضحة للمسؤولين مع وصول جمك و / أو المسؤولين مع حق الوصول للقراءة إلى الملف هر-users.xml.  ليس أن هؤلاء المستخدمين لا يكون لديك أذونات لكنها قادرة على قراءة ملفات السجل قد تكون قادرة على اكتشاف كلمة السر للمستخدم.  تم إصلاح هذا في مراجعة ال 1140071  وقد تم تحديد هذا من قبل جنوة بولينا في 14 يونيو 2011 وعلى الملأ في 27 حزيران 2011th  يؤثر: 6.0.0-6.0.32 منخفض: الكشف عن المعلومات CVE-2011-2526 القط يقدم الدعم لsendfile مع HTTP و HTTP NIO الموصلات في ابريل نيسان.  ويستخدم sendfile للمحتوى تلقائيا خدم عبر DefaultServlet والتطبيقات المنتشرة يجوز استخدامها مباشرة عبر شبكة الإنترنت طلب سمات الإعداد.  لم يتم التحقق من صحة هذه الصفات الطلب.  سمح هذا النقص في التحقق من صحة عندما يعمل تحت مدير الأمن، وتطبيق ويب الخبيثة لفعل واحد أو أكثر من الإجراءات التالية التي عادة ما يتم منعه مدير الأمن: ملفات العودة إلى المستخدمين أن مدير الأمن ينبغي أن لا يمكن الوصول إليها إنهاء (عن طريق حادث تحطم طائرة ) في JVM وبالإضافة إلى ذلك، هذه الثغرات لا تحدث إلا عندما تكون كافة التالية صحيحا: تستخدم تطبيقات ويب غير موثوق بها يتم استخدام مدير الأمن للحد من تطبيقات الويب غير الموثوق بها وNIO HTTP أو يستخدم HTTP أبريل موصل sendfile يتم تمكين للموصل (وهذا هو الافتراضي) هذا هو الثابت في مراجعة ال 1146703  وقد تم تحديد هذا من قبل فريق الأمن قط في 7 تموز 2011، وعلى الملأ في 13 تموز 2011th  يؤثر: 6.0.0-6.0.32 هام: الكشف عن المعلومات CVE-2011-2729 بسبب وجود خلل في قدرات رمز، jsvc (المجمع خدمة لينكس الذي هو جزء من مشروع الشيطان العموم) لا تسقط قدرات السماح للتطبيق للوصول إلى الملفات والدلائل التي يملكها المستخدم الخارق.  هذه الثغرة الأمنية فقط عند كل من يحدث التالية صحيحا: تم تصنيف القط يعمل على نظام التشغيل لينكس مع libcap jsvc المستخدم يستخدم المعلمة المتضررة القط الإصدارات التي يتم شحنها مع ملفات المصدر للjsvc التي تضمنت هذه الثغرة الأمنية.  تم إصلاح هذا في مراجعة 1153824  وقد تم تحديد هذا من قبل وايزمان ويلفريد في 20 تموز 2011 وعلى الملأ في 12 آب 2011.  يؤثر: 6.0.30-6.0.32 الثابتة في القط اباتشي 6.0.32 سراح 3 فبراير 2011 ملاحظة: تم إصلاح المشكلة التالية في الإفراج أباتشي 6.0.31 قط ولكن التصويت لصالح الافراج عن مرشح 6.0.31 لم تمر لا.  ولذلك، يجب على المستخدمين تنزيل 6.0.32 وعلى الرغم من الحصول على الإصدار الذي يتضمن إصلاح لهذه المشكلة، لا يتم تضمين الإصدار 6.0.31 في قائمة الإصدارات المتضررة.  المهم: إنكار النائية من الخدمة CVE-2011-0534 موصل NIO يوسع طلبها العازلة خط لا نهاية له أثناء معالجة.  ويمكن استخدام هذا السلوك عن الحرمان من الخدمة الهجوم باستخدام الطلب بعناية.  تم إصلاح هذا في 1066313th مراجعة  وقد تم تحديد هذا من قبل فريق الأمن قط في 27 يناير، 2011 ونشرت يوم 5 فبراير 2011.  يؤثر: 6.0.0-6.0.30 الثابتة في القط اباتشي 6.0.30 سراح 13 يناير 2011. دنيا: البرامج النصية عبر المواقع CVE-2011-0013 ويب إدارة HTML واجهة تطبيق البيانات التي عرضها وتحليلها وأسماء العرض، من دون تصفية.  ويمكن لتطبيق ويب ضار يؤدي تنفيذ البرنامج من قبل مستخدم الإدارية عند عرض صفحات مدير.  تم إصلاح هذا في مراجعة 1057270  وقد تم تحديد هذا من قبل فريق الأمن قط في 12 نوفمبر 2010، ونشرت يوم 5 فبراير 2011.  يؤثر: 6.0.0-6.0.29 متوسطة: البرامج النصية عبر المواقع CVE-2010-4172 التطبيق مدير المستخدمة للمستخدم توفير معلمات وorderBy الفرز مباشرة دون تصفية مما يسمح البرامج النصية عبر المواقع.  تم إصلاح هذا في مراجعة 1037779  لاول مرة هذا لفريق الأمن قط في 15 نوفمبر، 2010 وعلى الملأ في 22 نوفمبر 2010.  يؤثر: 6.0.12-6.0.29 دنيا: إذن ملف مدير الأمن تجاوز CVE 2010-3718 عندما يعمل تحت مدير الأمن، والوصول إلى نظام الملفات غير محدودة، ولكن يتم منح تطبيقات الويب أذونات القراءة / الكتابة إلى الدليل العمل.  ويستخدم هذا الدليل لمجموعة متنوعة من الملفات المؤقتة وملفات التحقيق وسيطة ولدت عند تجميع وحدات JSP للسيرفليتس.  تم تحديد موقع دليل العمل سمة ServletContect كان من المفترض أن تكون للقراءة فقط لتطبيقات الويب.  ومع ذلك، نتيجة لخطأ في الترميز، لم يتم تطبيق الإعداد للقراءة فقط.  لذلك، قد تطبيق ويب الخبيثة تعديل السمات قبل قط ينطبق أذونات الملف.  ويمكن استخدام هذه لمنح أذونات القراءة / الكتابة إلى أي منطقة على أي نظام ملفات تطبيق ويب الخبيثة قد يستغرق ثم الاستفادة منه.  هذا الضعف لا ينطبق إلا عندما تستضيف تطبيقات الويب من مصادر غير موثوق بها مثل فحص بيئات استضافة مشتركة.  تم إصلاح هذا في مراجعة 1022560  وقد اكتشف هذا من قبل فريق الأمن قط في 12 مايو عام 2010 ونشرت يوم 5 فبراير 2011.  يؤثر: 6.0.0-6.0.29 الثابتة في القط اباتشي 6.0.28 سراح 9 يوليو 2010 هام: الحرمان من الخدمة عن بعد ومعلومات ثغرة CVE-الكشف 2010-2227 تم العثور على ثغرات عدة في التعامل مع رأس "تحويل ترميز" حالت دون ذلك إعادة تدوير منطقة عازلة.  ويمكن لمهاجم بعيد يؤدي هذا الخلل التي من شأنها أن تتسبب في الطلبات اللاحقة لفشل و / أو لتسريب معلومات بين الطلبات.  والتخفيف من حدة هذا الخلل إذا القط هو وراء وكيل عكسي (اباتشي HTTPD 2.2 كما اختبرت)، والوكيل يجب أن نرفض ترميز نقل غير صالحة رأس.  تم إصلاح هذا في مراجعة ال 958977  لاول مرة هذا لفريق الأمن قط في 14 حزيران، 2010 وعلى الملأ في 9 يوليو 2010.  يؤثر: 6.0.0-6.0.27 ملاحظة: تم إصلاح المشكلة التالية في الإفراج أباتشي 6.0.27 قط ولكن التصويت لصالح الافراج عن مرشح 6.0.27 لم تمر لا.  ولذلك، يجب على المستخدمين تنزيل 6.0.28 وعلى الرغم من الحصول على الإصدار الذي يتضمن إصلاح لهذه المشكلة، لا يتم تضمين الإصدار 6.0.27 في قائمة الإصدارات المتضررة.  منخفض: الكشف عن المعلومات في رؤوس المصادقة CVE-2010-1157 رأس HTTP مصادقة WWW لBASIC ومصادقة تلخيصية يتضمن اسم المجال.  إذا كان   يتم تحديد عنصر في web.xml للتطبيق سيتم استخدامها.  ومع ذلك،   لم يتم تحديد بعد ذلك القط سوف تولد اسم المجال باستخدام رمز request.getServerName قصاصة () + "" + request.getServerPort ().  في بعض الحالات وهذا يمكن أن تكشف عن اسم المضيف المحلي أو عنوان IP لجهاز يشغل قط.  تم إصلاح هذا في مراجعة ال 936540  لاول مرة هذا لفريق الأمن قط في 31 مايو 2009 ونشرت يوم 21 أبريل 2010.  يؤثر: 6.0.0-6.0.26 

كل هذا غير مؤكد جدا، وأنه هو بالنسبة لي مثالا على خصوصية عمرا إرادة الدولة. ويتم بيع البيانات ويكاد يكون هناك أي شخص معروف. التنفيذ التقني يترك الكثير الى المستوى المطلوب، ويعمل على النظم التقنية للغاية التي هي معروفة ليكون هناك خلل وتحتاج إلى تحديث بشكل عاجل. ويبدو أيضا أن يكون الفحص النهائي وقبول المؤهلين في مشاريع تكنولوجيا المعلومات (المعروف لدى الدولة وعادة ما تكون مكلفة للغاية) لا تأخذ دائما مكان.

كما نقطة زائد فقط يمكن أن ألاحظ أن هناك يبدو أن هناك بوابة مركزية وطنية مع القراءة على الانترنت لجميع البيانات والتقارير. ثم فإننا بالتأكيد ليست بعيدة عن ما حدث مؤخرا للإسرائيليين .

أنا سعيد لأنني عقدت لي، ولكن اذا كان هناك من لا شيء مع الطاقة الجنائية والمعرفة التقنية يمكن أن تحدث لا يزال (مجاني) لي (والجميع)، وأعتقد أن ما لا يقل عن تساؤل. للوهلة الأولى، فإن النظام لا دوسلدورف صلابة ضد أي هجوم.