Olimpo Informatico

[Zeus News]

Leggi l'articolo Pubblicati 500mila codici fiscali e targhe auto lombarde
Grave vulnerabilità sul sito della Regione Lombarda consente di visualizzare i dati di chi ha pagato il bollo auto negli ultimi tre anni.



(Fai clic sull'immagine per visualizzarla ingrandita)

Segnala un refuso

[pentolino]

sarebbe bastato fare un link più "criptico", per esempio aggiungendo un ulteriore parametro con il valore di un token casuale generato alla creazione del record ed avresti ottenuto semplicità e ragionevole riservatezza. Esempio:
Invece di:
http://sitobucato/paginabucata?idTransazione=1000
rendere obbligatorio un secondo parametro:
http://sitobucato/paginabucata?idTransazione=1000&codice=codice_generato_a_caso_in_creazione

Il link sembra sia stato coscientemente messo in zona pubblica, sarebbe bastato che il servizio fosse stato fatto da gente un minimo competente (a me come irrobustire il servizio è venuto in mente in pochi secondi) e non avremmo questo problema; ma si sa come sarà stato aggiudicato l'appalto...

Piuttosto non credo che l'utente che ha pubblicato il link sia perseguibile, in quanto ha pubblicato un indirizzo che era già pubblico, senza peraltro mettere la parte di link che serviva per vedere effettivamente qualcosa; l'eventuale responsabilità sta in chi si fa un bot e scarica tutto l'archivio, o sbaglio? Non mi pare che si possa parlare nemmeno di "vulnerabilità", sembra proprio che sia così by design

Edit: in effetti non era il link indicato qua ad essere criminoso, ma quello dove un utente dice di avere uploadato un archivio completo:
link

[Gummy Bear]

ladri in galera e ricettatori fuori?
Oddio, tutte le opinioni sono rispettabili.

[colemar]

Chiamare "dati personali" una ricevuta di pagamento del bollo auto mi pare un po' eccessivo. Di recente la cultura della privacy sconfina sempre più spesso nella paranoia.

Che cavolo ci posso fare di tanto malvagio con queste informazioni?

Questo tipo di informazione ha ben poco valore per il curiosone casuale, mentre i soggetti che vi hanno interesse (es. investigatori privati) ci possono arrivare facilmente con altri mezzi.

La prossima volta che andate dal macellaio a comprare carne di maiale mettetevi un passamontagna, si sa mai che vi possa vedere un fondamentalista musulmano...

[{ViR}]

Ma non è che non hanno protetto, perché si tratta di dati comunque pubblici (mi pare lo siano quelli del PRA - Pubblico Registro Automobilistico, e lo stesso il codice fiscale. Un po' come le liste elettorali, dove non si capisce perché devono essere in vista oltre nome, cognome e data di nascita -che già quest'ultima qualcuno, donne ma non solo, non vorrebbe fosse così visibile- ma anche dove uno abita, lo stato civile (serve per votare?) e la professione (idem?) )

La ricevuta di pagamento in sé, se uno ha pagato o meno, in effetti saranno fattacci suoi ...

[{ViR}]

Perché "Ricettatore", Gummy Bear?! Quindi se io dico che un altro sta facendo un reato (ad es. sta rubando) o anche solo segnalo un problema pericoloso (es. un marciapiede con una spaccatura in cui qualcuno può inciampare) sarei un ricettatore?

[MaXXX eternal tiare]

wow

Ok c'è il biasimo di chi si è scaricato come pare sia scritto su reddit tutti i file ok così si passa da vittime a carnefice...però.... è un errore grosso come hanno scritto su, by design ma evitabile con un pò di buonsenso.. non è un exploit o che....

Averlo segnalato a infogroup se sono veramente loro ad occuparsenen ed essere ignorati... bè fa arrabbiare... il problema è sempre li..

è successo per il bollo auto ma se fosse successo per un servizio più importante??????????????

è il principio e non penso che sia paranoia voler essere tutelati anche per una generica ricevuta di bollo auto... sono dati riservati "almeno in teoria" al pra, aci e varie... se no perchè non fare un registro pubblico????

non sono dati sensibilissimi ma sono cmq dati personali, saranno fatti mie se ho pagato il bollo o no

[colemar]

No cari, se avete pagato il bollo auto o meno non è un fatto personale ma un fatto pubblico. Infatti il bollo è una tassa, e se tu circoli senza averla pagata stai compiendo una evasione fiscale, quindi stai aggravando i miei oneri fiscali.
Quindi non che si debbano mettere in piazza queste cose, ma nemmeno si dovrebbe pretendere che siano private cioè inconoscibili.

[MaXXX eternal tiare]

@Colemar

Sono atti pubblici a chi di dovere ovviamente altrimenti sarebbero consultabili a tutti i cittadini pubblicamente.

se per ipotesi tizio non ha pagato il bollo o lo paga in ritardo ovvio che è registrato e lo deve sapere l'aci o chi per essa ma non è un dato pubblico a tutti i cittadini come che so le aste provinciali.

[colemar]

@MaXXX

Vi ricordate il mondo dei nostri nonni?
Era difficile nascondere qualsiasi cosa, e questo perché il concetto di comunità era molto più forte di oggi. Certo, questo poteva rendere la vita grama a qualcuno perché a volte la gente "giudica" senza pietà.
Al contrario oggi tutti pretendono che ognuno "si faccia i fatti propri", l'individualismo impera e ladri e disonesti si mescolando allegramente ai cittadini onesti, anzi, se non rubi almeno un po', sei uno stupido.

[rinolt]