Online informacje dotyczące rejestracji w Dusseldorfie sprawia złe wrażenie

Nie było jasne, jakie dane osobowe mogą przekazać w urzędzie meldunkowym do kogo. Jestem po niektóre badania na tej akcji pchnął piratów, który każe wam sprzeciwić się ujawnieniu ich danych w biurze meldunkowym. Wiele urzędów rejestracji dostarczyć danych, które teraz wszystko! Pays. To można uniknąć jedynie poprzez sprzeczności.

Dane z biura rejestracji zostaną przekazane do:

 Władze państwowe, w przypadku uzasadnionego interesu w kontekście pomocy

Tak na przykład, policjanci, prokuratorzy, urzędy statystyczne, itp.

 GEZ

Bracia, już wiemy aż za dobrze.

 Partie, grupy wyborców i innych źródeł nominacji w
 Odnoszące się do wyborów parlamentarnych i lokalnych, § 35 ust.1 MG NRW

Aby uzyskać ładny połysk kampanii reklamowej.

 dla wnioskodawców i stron w związku z petycjami i
 Z referendum i obywatele decydują, § 35 pkt 2 MG NRW

W celu uzyskania wysokiego połysku pomogą Ci częste referenda.

 w drodze zautomatyzowanego przeszukiwania w Internecie; § 34 Abs.1b MG NRW

To jest punkt, że nie było jeszcze znane. Może mieć portal internetowy
każdy, kto zna pewne cechy osoby automatycznie przez Internet
Zbierz raportów wywiadowczych. Zapytanie obecnie kosztuje 4 EUR za rekordem w Dusseldorfie.

Rejestracja Ustawa NRW mówi w tym momencie:

 § 34 Abs.1b MG NRW
 (1b) Jeśli połączenie jest możliwe za pośrednictwem internetu, zapewniają, że procedury składania wniosków i udzielanie informacji prowadzone w formie zaszyfrowanej.  Otwarcie dostępu powinny być publicznie znane.  Połączenie nie jest dozwolone, jeżeli osoba nie zgłosi sprzeciwu do tej formy wymiany informacji.  Organ rejestrujący zauważyć ostatni jeden miesiąc przed otwarciem dostępu do Internetu przez publiczne ogłoszenie o prawo wniesienia sprzeciwu.  Ponadto § 35 ustęp 6 zdanie 2 stosuje się.

Odwołanie od przekazywania danych jest możliwe poprzez wypełnienie formularza. Do Dusseldorfu, to jest tutaj: https://formulare.duesseldorf.de/forms/frm/7PRPfAZH5gQA8Ja8AkNGaH1rNpDcHR3 To mogą być dostarczane bezpłatnie w urzędach. Następnie, bez on-line jest możliwy dostęp do posiadania większej ilości danych. Najwyraźniej wnioski danych z danego miast regionalnych i powiatów zorganizowane.

Kiedy zapytałem (bardzo przyjazna) z powrotem urzędniczka w sprawach cywilnych, może
I nie było przykro powiedzieć URL portalu zapytania. Szybkie wyszukiwanie następnie zaprowadziła mnie szybko na miejsce ale miasto Düsseldorfu:

https://www.duesseldorf.de/emra/emra.jsp?stadt=D% FCsseldorf & type = miasto

Portal był technicznie bardzo wątpliwa co najmniej wrażenie.
Przede wszystkim, nie wydaje się captcha lub podobne dać. Zapytanie ziemi wydaje się być możliwe z odpowiednich skryptów.

Dodatkowo aplikacja internetowa zatwierdzony przez moich pytań testowych z komunikatem błędu Tomcat, bo nie pozwoliła cookie:

Czytałem to, ale potem coraz bardziej wątpić w profesjonalizm aplikacji, która umożliwia dostęp do danych wszystkich obywateli ofert miejskich. Skrypt nie powinien upaść, jeśli warunki nie istnieją na komputerze użytkownika (w tym przypadku, mój brak pliku cookie). Komunikaty o błędach skryptu z serwerów internetowych, które są w użytku produkcyjnego nie w celu dezaktywacji jest zaniedbanie , ponieważ może ujawnić się wiele o środowisku używanego systemu. Zwłaszcza gdy jeden JSP (jak na zrzucie ekranu powyżej), w zależności od konfiguracji serwera także uwagi programisty i Quelltextschnippsel dostać. Tutaj była niechlujna praca. Na interfejs do danych osobowych nie powinno się zdarzyć.

Pozwól mi usiąść i korzystać z wersji Tomcat, który również pojawia się komunikat o błędzie poniżej. (Apache Tomcat/6.0.24) To jest starsza wersja serwera WWW na 21/01/2010. Obecna wersja jest 6.0.33. Serwer zawiera cztery rejestry długie wersje nie są aktualizowane. Jeśli spojrzeć na luki, które zostały naprawione w najnowszej wersji, robi się nieswojo. Serwer nie jest oczywiście w najlepszym stanie:

 http://tomcat.apache.org/security-6.html Poprawiono w Apache Tomcat 6.0.33 wydany 18 sierpnia 2011 Umiarkowane: wiele słabości HTTP Digest uwierzytelniania CVE-2011-1184 Implementacja uwierzytelniania HTTP Digest odkryto mieć kilka Słabe strony: ataki replay zostały dopuszczone nonces serwera nie zostały sprawdzone liczy nonce klientów nie zostały sprawdzone wartości qop nie zostały sprawdzone wartości realmie nie były sprawdzane tajny serwer został ciężko kodowane do znanego łańcucha wynikiem tych słabości jest to, że tylko co Uwierzytelnianie szyfrowane jako bezpieczny jak uwierzytelnianie podstawowe.  Zostało to ustalone w wersji 1158180th  Uznano to zespół Tomcat bezpieczeństwa w dniu 16 marca 2011 r. i ogłoszone w dniu 26 września 2011.  Wpływa na: 6.0.0-6.0.32 niski: ujawnienie informacji CVE-2011-2204 Przy korzystaniu z bazy użytkowników pamięci (na podstawie tomcat-users.xml) i tworzenia użytkowników za pośrednictwem JMX wyjątek podczas procesu tworzenia użytkownika, może spowodować błąd w klient JMX, która zawiera hasło użytkownika.  Ten komunikat o błędzie jest następnie zapisywane w dziennikach Tomcat.  Hasła użytkowników są widoczne dla administratorów z dostępem JMX lub administratorom dostęp do odczytu do pliku tomcat-users.xml.  Nie dlatego, że ci użytkownicy mają uprawnienia, ale są w stanie odczytać pliki dziennika mogą być w stanie odkryć hasło użytkownika.  Ta została ustalona w nowelizacji 1,140,071 th  Ten został zidentyfikowany przez Polina Genova w dniu 14 czerwca 2011 i podane do publicznej wiadomości w dniu 27 czerwca 2011th  Wpływa na: 6.0.0-6.0.32 niski: ujawnienie CVE-2011-2526 Informacje Tomcat zapewnia wsparcie dla sendfile z HTTP i NIO HTTP złączami w kwietniu.  sendfile służy do zawartości automatycznie obsługiwane poprzez DefaultServlet i wdrażane aplikacje mogą z niego korzystać bezpośrednio poprzez atrybuty ustawień internetowych żądania.  Atrybuty te nie zostały zatwierdzone wniosku.  Podczas uruchamiania w menedżera bezpieczeństwa, to brak weryfikacji może złośliwa aplikacja internetowa zrobić jedno lub więcej z następujących czynności, które normalnie byłyby uniemożliwione przez menedżera zabezpieczeń: Pliki powrotu do użytkowników, kierownik bezpieczeństwa zapewniły niedostępne wypowiedzenia (przez katastrofy ) JVM Dodatkowo te luki występują tylko wtedy, gdy wszystkie następujące warunki są prawdziwe: Niezaufane aplikacje internetowe są wykorzystywane Security Manager służy do ograniczenia niezaufanych aplikacji internetowych HTTP NiO lub HTTP kwietnia złącze służy sendfile jest włączona do gniazda (w tym jest domyślnie) Zostało to ustalone w wersji 1.146.703 th  Uznano to zespół Tomcat bezpieczeństwa w dniu 7 lipca 2011 i podane do publicznej wiadomości w dniu 13 lipca 2011th  Wpływa na: 6.0.0-6.0.32 Ważne: ujawnienie informacji CVE-2011-dwa tysiące siedemset dwudziestudziewięciu z powodu błędu w funkcji kodu, jsvc (wrapper serwis dla Linuksa, który jest częścią Commons projektu demon) nie spadnie możliwości zgody na wniosek dostęp do plików i katalogów będących własnością administratora.  Luka ta tylko wtedy, gdy wszystkie ODBYWA są spełnione następujące warunki: Tomcat działa na systemie operacyjnym Linux został skompilowany z libcap jsvc użytkownika parametr służy zagrożonych wersji Tomcat dostarczone z plików źródłowych jsvc które obejmowały tę lukę.  Zostało to ustalone w wersji 1153824th  Ten został zidentyfikowany przez Wilfrieda Weissmanna w dniu 20 lipca 2011 i upublicznione w dniu 12 sierpnia 2011.  Wpływa na: 6.0.30-6.0.32 Poprawiono w Apache Tomcat 6.0.32 wydany 3 lutego 2011 UWAGA: Problem poniżej została ustalona w Apache Tomcat 6.0.31 wydaniu ale głosować na 6.0.31 Release Candidate nie został przyjęty.  Dlatego też użytkownicy muszą pobrać 6.0.32 Chociaż uzyskać wersję, która zawiera poprawkę dotyczącą tego problemu, wersja 6.0.31 nie zostanie umieszczone na liście dotkniętych wersjach.  Ważne: zdalny atak typu DoS CVE-2011-0534 NIO złącze rozszerza swoją linię żądania nieskończoność bufora podczas przetwarzania.  To zachowanie może być używany przez atak Denial of Service przy użyciu starannie spreparowane żądanie.  Zostało to ustalone w wersji 1066313th  Uznano to zespół Tomcat bezpieczeństwa w dniu 27 stycznia 2011 r. i ogłoszone w dniu 5 lut 2011.  Wpływa na: 6.0.0-6.0.30 Poprawiono w Apache Tomcat 6.0.30 wydany 13 stycznia, 2011 Low: Cross-site scripting CVE-2011-0013 HTML internetowej Kierownik Interfejs aplikacji dostarczone dane wyświetlane, analizowane jako nazwy wyświetlania, bez filtrowania.  Złośliwa aplikacja WWW może uruchomić wykonywanie skryptu administracyjny użytkownika podczas przeglądania stron menedżera.  Zostało to ustalone w wersji 1057270th  Uznano to zespół Tomcat bezpieczeństwa na 12 listopada 2010 i upublicznione w dniu 5 lut 2011.  Wpływa na: 6.0.0-6.0.29 umiarkowany: Cross-site scripting CVE-2010-+4.172 aplikacja Menedżer używany użytkownik warunkiem parametry i OrderBy sortowania bezpośrednio bez filtrowania co pozwala cross-site scripting.  Zostało to ustalone w wersji 1037779th  To była pierwsza zgłoszona do zespołu Tomcat bezpieczeństwa na 15 listopada 2010 r. i ogłoszone w dniu 22 listopada 2010.  Wpływa na: 6.0.12-6.0.29 Low: Kierownik uprawnienie zabezpieczeń plików ominąć CVE 2010-3718 Podczas uruchamiania w menedżera zabezpieczeń, dostęp do systemu plików jest ograniczona, ale aplikacje internetowe są przyznawane odczytu / zapisu do katalogu roboczego.  Katalog ten jest wykorzystywany do różnych plików tymczasowych badanych jako pośrednich plików generowanych podczas kompilacji JSP na serwlety.  Położenie katalogu roboczego jest określona przez ServletContect atrybut, który ma na celu być tylko do odczytu do aplikacji internetowych.  Jednakże, z powodu błędu kodowania, ustawienie tylko do odczytu nie została zastosowana.  Dlatego złośliwa aplikacja internetowa może zmodyfikować atrybuty przed Tomcat Stosuje uprawnienia do plików.  Może to być wykorzystywane do udzielania odczytu / zapisu do dowolnego obszaru na systemie plików złośliwa aplikacja internetowa może następnie wykorzystać.  Luka ta ma zastosowanie tylko gdy hosting aplikacji internetowych z niezaufanych źródeł badanych jako współdzielone środowiskach hostingowych.  Zostało to ustalone w wersji 1022560th  Ta została odkryta przez zespół Tomcat Bezpieczeństwa w dniu 12 maja 2010 i upublicznione w dniu 5 lut 2011.  Wpływa na: 6.0.0-6.0.29 Poprawiono w Apache Tomcat 6.0.28 wydany 09 lipca 2010 Ważne: Remote Denial of Service i podatność ujawnienia informacji CVE-2010-2227 Kilka błędy w obsłudze The 'Transfer-Encoding' Nagłówek znaleziono zapobiegać że recykling buforze.  Zdalnemu napastnikowi może wywołać tę lukę mogącego spowodować kolejne żądania nie powiedzie się i / lub wyciek informacji pomiędzy żądaniami.  Ta wada jest ograniczone jeśli Tomcat jest za reverse proxy (httpd Apache 2.2 jak testowane) jako pełnomocnik powinien odrzucić nieprawidłowy nagłówek kodowania transferu.  Ta została ustalona w nowelizacji 958,977 th  To była pierwsza zgłoszona do zespołu Tomcat bezpieczeństwa w dniu 14 czerwca 2010 r. i ogłoszone w dniu 9 lipca 2010.  Wpływa na: 6.0.0-6.0.27 Uwaga: problem poniżej została ustalona w Apache Tomcat 6.0.27 wydaniu ale głosować na 6.0.27 Release Candidate nie został przyjęty.  Dlatego też użytkownicy muszą pobrać 6.0.28 Chociaż uzyskać wersję, która zawiera poprawkę dotyczącą tego problemu, wersja 6.0.27 nie zostanie umieszczone na liście dotkniętych wersjach.  Niski: ujawnienie informacji w nagłówkach uwierzytelnienia CVE-2010-1157 WWW-Authenticate nagłówka HTTP dla Basic i autoryzacji digest zawiera nazwy obszaru.  Jeśli   Element jest określony w web.xml dla aplikacji będzie używany.  Jednakże,   nie jest podana, Tomcat wygeneruje nazwy obszaru przy Fragment kodu request.getServerName () + "" + request.getServerPort ().  W pewnych okolicznościach może to narazić lokalną nazwę hosta lub adres IP komputera z systemem Tomcat.  Ta została ustalona w nowelizacji 936,540 th  To była pierwsza zgłoszona do zespołu Tomcat bezpieczeństwa w dniu 31 maja 2009 i upublicznione w dniu 21 Kwi 2010.  Wpływa na: 6.0.0-6.0.26 

Wszystko to jest bardzo niepewne i to jest dla mnie przykładem przeżywanej prywatności woli państwa. Dane są sprzedawane i nie ma prawie każdy znany. Techniczna realizacja pozostawia wiele do życzenia, a działa na bardzo technicznych, które są znane być uszkodzone i muszą być aktualizowane w trybie pilnym. Wydaje się również końcowa kontrola i akceptacja kwalifikacje w projektach informatycznych (znany do państwa są zwykle dość drogie) nie zawsze mają miejsce.

Jako jedyny punkt plus mogę pamiętać, że wydaje się, że żadna centralna ogólnopolski portal z internetowym czytania dla wszystkich danych sprawozdawczych. Wtedy my na pewno nie daleko od tego, co Izraelczycy się niedawno .

Cieszę się, że już trzymał mnie, ale jeśli ktoś nie jest czymś, z karnego energii i wiedzy technicznej może nadal występować (za darmo) dla mnie (i wszyscy inni), myślę, że co najmniej wątpliwa. Na pierwszy rzut oka nie system Düsseldorf utwardzona przed atakiem.