Online påmelding informasjon i Düsseldorf gjør dårlig inntrykk

Det var ikke klart hva personopplysninger kan passere på registrering kontoret til hvem. Jeg er ute etter noen undersøkelser på denne handlingen presset piratene, som kaller for deg å protestere mot offentliggjøring av sine data ved registrering kontoret. Mange registrering kontorer gi data som nå er alt! Pays. Dette kan bare unngås ved en selvmotsigelse.

Data fra registrering kontoret vil bli videresendt til:

 Statlige myndigheter, i tilfelle legitim interesse i sammenheng med bistand

Så for eksempel, politi, påtalemyndighet, statistiske kontorer osv.

 Den GEZ

Brødrene, vi allerede vet alt for godt.

 Partier, grupper av velgere og andre kilder til nominasjoner i
 Knyttet til stortingsvalg og lokalvalg, § 35 para.1 MG NRW

For å få ganske blanke kampanjen annonsering.

 til fordringshavere og fester i forbindelse med begjæringer og
 Med folkeavstemninger og borgere bestemme, § 35 pkt. 2 MG NRW

For å oppnå høyglans vil hjelpe deg med å få hyppige folkeavstemningene.

 i veien for automatiserte søk på internett, § 34 Abs.1b MG NRW

Det er det punktet at jeg ennå ikke var kjent. Kan ha en Internett-portal
noen som vet noen kjennetegn ved en person automatisk over Internett
Samle intelligens rapportering. Spørringen tiden koster € 4 per rekord i Düsseldorf.

Den registreringsloven NRW sier på dette punkt:

 § 34 Abs.1b MG NRW
 (1b) Hvis samtalen gjøres mulig gjennom Internett, sikre at søknadsprosedyrene og formidling av opplysninger gjennomført i kryptert form.  Åpningen av tilgang bør offentlig kjent.  En samtale er ikke tillatt dersom den enkelte har protestert mot denne formen for informasjonsutveksling.  Registreringsmyndigheten å merke senest én måned før åpningen av Internett gjennom offentlig kunngjøring på rett til å protestere.  Videre § 35 nr. 6, gjelder setning to.

En klage mot overføring av data er mulig ved å fylle ut et skjema. For Düsseldorf, er ​​dette her: https://formulare.duesseldorf.de/forms/frm/7PRPfAZH5gQA8Ja8AkNGaH1rNpDcHR3 Dette kan leveres gratis på offentlige kontorer. Deretter er ingen online tilgang mulig å eie mer data. Tilsynelatende dataene forespørsler fra de respektive regionale byer og fylker organisert.

Da jeg spurte den (veldig vennlige) tilbake kontorist i det sivile, kunne
Jeg var ikke lei å fortelle nettadressen til portalen spørringen. Et raskt søk deretter ledet meg raskt til stedet, men byen Düsseldorf:

https://www.duesseldorf.de/emra/emra.jsp?stadt=D% FCsseldorf & type = city

Portalen var teknisk svært tvilsom for å si det mildt inntrykk.
Først av alt, det synes ingen captcha eller lignende for å gi. En bakken spørring synes å være mulig med passende skript.

I tillegg vedtok webapplikasjon med min test spørringer med Tomcat feilmelding fordi jeg ikke hadde aktivert informasjonskapsler:

Jeg leste dette, men da stadig tviler profesjonaliteten til et program som gir tilgang til data for alle borgere av byens tilbud. Et skript bør ikke krasje dersom forholdene ikke eksisterer på brukerens maskin (i dette tilfellet min manglende cookie). Script feilmeldinger fra webservere som er i bruk i produksjon for ikke å deaktivere er uaktsom fordi det kan avsløre mye om systemet miljøet brukes. Spesielt når en jsp (som i skjermbildet ovenfor), avhengig av konfigurasjonen av serveren også kommentarer av programmereren og Quelltextschnippsel å få. Her var en slurvete jobb. På et grensesnitt til persondata skal ikke skje.

La meg sitte opp og bruke Tomcat versjon, som også vises i feilmeldingen nedenfor. (Apache Tomcat/6.0.24) Dette er en eldre versjon av webserveren 21.01.2010. Den gjeldende versjonen er 6.0.33. Serveren har fire registre lange versjoner ikke er oppdatert. Hvis du ser på sikkerhetsproblemene som ble løst i denne nyeste versjonen, og det får ubehagelig. Serveren er selvsagt ikke i den beste stand:

 http://tomcat.apache.org/security-6.html Fikset i Apache Tomcat 6.0.33 sluppet 18 august 2011 Moderat: flere svakheter i HTTP Digest-autentisering CVE-2011-1184 Gjennomføringen av HTTP DIGEST godkjenning ble oppdaget å ha flere Svakheter: omspillingsforsøk var tillatt server nonces ble ikke sjekket klientens nonce teller ikke ble sjekket qop verdier ble ikke sjekket overnaturlige verden verdier ble ikke sjekket serveren hemmeligheten ble hardkodet til en kjent streng Resultatet av disse svakhetene er at bare det DIGEST autentisering sikre som BASIC godkjenning.  Dette ble fikset i revisjon 1158180th  Dette ble identifisert av Tomcat sikkerheten teamet 16. mars 2011 og offentliggjort 26. september 2011.  Påvirker: 6.0.0-6.0.32 lav: avsløring av informasjon CVE-2011-2204 Ved bruk av Memory brukerdatabase (basert på tomcat-users.xml) og opprette brukere via JMX, et unntak under opprettelse prosessen kan utløse en feilmelding i Den JMX klient som inkluderer brukerens passord.  Denne feilmeldingen blir deretter skrevet til Tomcat loggene.  Brukerpassord er synlig for administratorer med JMX tilgang og / eller administratorer med lesetilgang til Tomcat-users.xml fil.  Ikke at disse brukerne har rettighetene, men er i stand til å lese loggfiler kan være i stand til å oppdage en brukers passord.  Dette ble fikset i revisjon 1140071 th  Dette ble identifisert av Polina Genova 14. juni 2011 og offentliggjort 27. juni 2011th  Påvirker: 6.0.0-6.0.32 lav: avsløring av informasjon CVE-2011-2526 Tomcat gir støtte for sendfile med HTTP og NIO HTTP kontakter i april.  sendfile brukes til innholdet automatisk servert via DefaultServlet og utplasserte programmer kan bruke det direkte via web innstillingen forespørsel attributter.  Disse egenskapene ble ikke validert forespørsel.  Når du kjører under en sikkerhetssjef, tillot denne mangelen på validering en ondsinnet web-applikasjon for å gjøre ett eller flere av følgende som normalt vil bli forhindret av en sikkerhet leder: retur filer til brukerne om at sikkerheten manager bør gjøre utilgjengelig avslutte (via en krasj ) JVM i tillegg, disse sikkerhetsproblemene bare oppstå når alle følgende er oppfylt: klarerte webapplikasjoner blir brukt Security Manager brukes til å begrense ikke-klarerte webapplikasjoner HTTP Nio eller HTTP april kontakten brukes sendfile er aktivert for kontakten (dette er standard) Dette ble fikset i revisjon 1146703 th  Dette ble identifisert av Tomcat sikkerhets team på 7 juli 2011 og offentliggjort 13. 2011th juli  Påvirker: 6.0.0-6.0.32 Viktig: avsløring av informasjon CVE-2011-2729 på grunn av en feil i koden evner, jsvc (tjenesten wrapper for Linux som er en del av Commons Daemon prosjektet) ikke slippe evner tillater bruk tilgang til filer og kataloger som eies av superbruker.  Dette sikkerhetsproblemet bare når alle OPPTRER følgende er oppfylt: Tomcat kjører på et Linux operativsystem ble utarbeidet med libcap jsvc-bruker parameteren brukes Berørte Tomcat versjoner leveres med kildefiler for jsvc som inkluderte dette sikkerhetsproblemet.  Dette ble fikset i revisjon 1153824th  Dette ble identifisert av Wilfried Weissmann 20. juli 2011 og offentliggjort 12. august 2011.  Påvirker: 6.0.30-6.0.32 Fikset i Apache Tomcat 6.0.32 lansert 03.02.2011 Merknad: Saken under var festet i Apache Tomcat 6.0.31 utgivelsen, men det stemmer for 6.0.31 utgivelsen kandidat ikke bestått.  Derfor må brukerne laste ned 6.0.32 Selv å få en versjon som inkluderer en løsning for dette problemet, er versjon 6.0.31 ikke inkludert i listen over berørte versjoner.  Viktig: ekstern tjenestenekt CVE-2011-0534 Den NIO kontakten utvider sin uendelige buffer anmodning linje under behandlingen.  At atferd kan brukes til en denial of service angrep med en nøye utformet forespørsel.  Dette ble fikset i revisjon 1066313th  Dette ble identifisert av Tomcat sikkerhets team på 27 januar 2011 og offentliggjort på 5 februar 2011.  Påvirker: 6.0.0-6.0.30 Fikset i Apache Tomcat 6.0.30 sluppet 13 januar 2011 Low: Cross-site scripting CVE-2011-0013 HTML Manager-webapplikasjon grensesnittet levert data vises, analysert som visningsnavn, uten filtrering.  En ondsinnet web-applikasjon kunne utløse skriptet kjøres av en administrativ bruker når en ser på leder sider.  Dette ble fikset i revisjon 1057270th  Dette ble identifisert av Tomcat Security Team 12. november 2010 og offentliggjort på 5 februar 2011.  Påvirker: 6.0.0-6.0.29 Moderat: Cross-site scripting CVE-2010-4172 The Manager brukes brukeren forutsatt parametere og sortere OrderBy direkte uten filtrering og dermed tillate cross-site scripting.  Dette ble fikset i revisjon 1037779th  Dette ble først rapportert til Tomcat sikkerheten teamet 15. november 2010 og offentliggjort den 22. Nov, 2010.  Påvirker: 6.0.12-6.0.29 Lav: Security Manager fil tillatelse omgå CVE 2010-3718 Når kjører under en sikkerhet leder, er tilgang til filsystemet begrenset, men webapplikasjoner blir gitt lese / skrive rettigheter til arbeidet katalogen.  Denne katalogen brukes til en rekke midlertidige filer etterforskes som de mellomliggende filer generert når kompilere JSP til servlets.  Plasseringen av arbeidet katalogen er angitt av en ServletContect attributt som er ment å være skrivebeskyttet til webapplikasjoner.  Men på grunn av en kodefeil, ble skrivebeskyttet innstilling ikke brukt.  Derfor kan en ondsinnet web-applikasjon endre attributtene før Tomcat Gjelder filtillatelsene.  Dette kan brukes til å gi lese / skrive rettigheter til et område på filsystemet som en ondsinnet web-applikasjon kan da dra nytte av.  Dette sikkerhetsproblemet er bare aktuelt når hosting webapplikasjoner fra ikke-klarerte kilder undersøkt så delte hosting miljøer.  Dette ble fikset i revisjon 1022560th  Dette ble oppdaget av Tomcat sikkerheten teamet 12. mai 2010 og offentliggjort på 5 februar 2011.  Påvirker: 6.0.0-6.0.29 Fikset i Apache Tomcat 6.0.28 lansert 09.07.2010 Viktig: Remote Denial of Service-og tilgjengeliggjøring av informasjon CVE-2010-2227 flere feil i håndteringen av "Transfer-Encoding 'header ble funnet forhindret at resirkulering av en buffer.  En ekstern angriper kan utløse denne feilen som ville føre etterfølgende forespørsler til å mislykkes og / eller å lekke informasjon mellom forespørsler.  Denne feilen er reduseres hvis Tomcat er bak en reverse proxy (Apache httpd 2.2 som testet) som fullmektigen skal avvise ugyldig overføringen koding header.  Dette ble fikset i revisjon 958977 th  Dette ble først rapportert til Tomcat sikkerheten teamet 14. juni 2010 og offentliggjort på 9 juli 2010.  Påvirker: 6.0.0-6.0.27 Merknad: Saken under var festet i Apache Tomcat 6.0.27 utgivelsen, men det stemmer for 6.0.27 utgivelsen kandidat ikke bestått.  Derfor må brukerne laste ned 6.0.28 Selv å få en versjon som inkluderer en løsning for dette problemet, er versjon 6.0.27 ikke inkludert i listen over berørte versjoner.  Lav: avsløring av informasjon i godkjenningshoder CVE-2010-1157 WWW-Verifisere HTTP header for grunnforskning og DIGEST godkjenning omfatter et rike navn.  Hvis en   element er angitt i web.xml for søknaden vil det bli brukt.  Men en   er ikke spesifisert da Tomcat vil generere rike navnet ved hjelp av kodebiten request.getServerName () + "" + request.getServerPort ().  I noen tilfeller kan dette utsette den lokale vertsnavnet eller IP-adressen til maskinen som kjører Tomcat.  Dette ble fikset i revisjon 936540 th  Dette ble først rapportert til Tomcat sikkerhets team på 31 mai 2009 og offentliggjort på den 21 april 2010.  Påvirker: 6.0.0-6.0.26 

Alt dette er svært usikkert, og det er for meg et eksempel på den levde personvernet vil av staten. Dataene er solgt og det er knapt noen kjent. Den tekniske gjennomføringen går mye å være ønsket og kjører på svært tekniske systemer som er kjent for å være defekt og må oppdateres snarest. Også synes å være en endelig inspeksjon og aksept kvalifisert i IT-prosjekter (kjent til staten er som regel ganske dyrt) ikke alltid skjer.

Som eneste pluss punkt kan jeg være oppmerksom på at det synes å være noen sentral landsdekkende portal med elektronisk lesing for alle rapportering data. Da ville vi absolutt ikke fjernt fra hva israelerne skjedde nylig .

Jeg er glad jeg har holdt meg, men hvis noen ikke er noe med kriminell energi og teknisk kunnskap kan fortsatt forekomme (gratis) til meg (og alle andre), synes jeg i hvert fall tvilsom. Ved første øyekast, den Düsseldorf systemet ikke herdet mot angrep.