AJPES kot najbolj transparentni državni organ javno objavil vse svoje registre

BlaY0 je 9. feb 2017 ob 22:35 izjavil:

matijadmin je 9. feb 2017 ob 15:48 izjavil:

Sodisce najpogosteje potrebuje crp za potrebe vrocanja in prived, ajpes pa v sodnih postopkih omogoca sodiscem iskanje delezev po fizicnih ali pravnih osebah (za potrebe sodnih postopkov).

Zdaj mi je jasno, zakaj sodišča nikoli ne najdejo ljudi, ki bi jim bilo treba nekaj vročiti ali jih privesti... imajo svoj kvazi CRP, ki ga očitno 1x na mesec sinhronizirajo z originalnim MNZ-jevim. Povprečen čas za menjavo prebivališča prek e-uprave je 3 dni... to pomeni, da si ti lahko že 5x (ali večkrat) zamenjal naslov, medtem ko ima sodišče še vedno tvoj prvi naslov...

... ma kje to je že ZF; ti sodišču dejansko pisno sporočiš tvoj novi naslov in ti sodišče kljub temu pošilja ves čas na starega in potem na koncu pribijejo sodbo na tablo in se delejajo neumne (in nato izgubijo na ESČP) ...

BlaY0 je 9. feb 2017 ob 22:35 izjavil:

matijadmin je 9. feb 2017 ob 15:48 izjavil:

Sodisce najpogosteje potrebuje crp za potrebe vrocanja in prived, ajpes pa v sodnih postopkih omogoca sodiscem iskanje delezev po fizicnih ali pravnih osebah (za potrebe sodnih postopkov).

Zdaj mi je jasno, zakaj sodišča nikoli ne najdejo ljudi, ki bi jim bilo treba nekaj vročiti ali jih privesti... imajo svoj kvazi CRP, ki ga očitno 1x na mesec sinhronizirajo z originalnim MNZ-jevim. Povprečen čas za menjavo prebivališča prek e-uprave je 3 dni... to pomeni, da si ti lahko že 5x (ali večkrat) zamenjal naslov, medtem ko ima sodišče še vedno tvoj prvi naslov...

Ene dest let nazaj je to indeed bil problem. Pol so to bolj pogosto osveževali. Sicer pa privedbe tako ali tako izvaja Policija, ki ima 'pristni' CRP.

dronyx je 10. feb 2017 ob 08:03 izjavil:

Če res obstaja več kopij CRP ali kdo ve, kakšne so za to v ZVOP sploh zakonske podlage? Jaz razumem, da lahko daš v upravljanje tvojo zbirko osebnih podatkov nekemu drugemu pogodbenemu obdelovalcu. Če ima pa nekdo zakonsko podlago za vpogled v zbirko osebnih podatkov, ti mu daš pa kopijo cele baze pa se po moje to ne šteje kot pogodbena obdelava.

Ej, govorimo o državnih organih. Vse si pomutil. Njihovo delo urejajo posebni zakoni, v ZVOP pa je za to podlaga vsaj v 8. in 9. členu, nadalje se mi ji dalo brati.

matijadmin je 10. feb 2017 ob 09:10 izjavil:

Ej, govorimo o državnih organih. Vse si pomutil. Njihovo delo urejajo posebni zakoni, v ZVOP pa je za to podlaga vsaj v 8. in 9. členu, nadalje se mi ji dalo brati.

Recimo da si ti nek državni organ ki vodiš zbirko osebnih podatkov o par tisoč fizičnih osebah in imaš v zakonu podlago, da lahko dostopaš do CRP, ker moraš recimo preverjati pravilnost teh podatkov. S tem po moje ti nikakor ne pridobiš pravice, da k sebi prekopiraš celoten CRP z dvema milijonoma fizičnih oseb.

da imaš pravico do kopije CRP.

Kaj pa je v tem registru, da je takšna tajnost, da jo lahko vidi samo 100 posvečenih? A so notri celi dosjeji, al kaj?

Pa pazit je treba, da ne postanemo policijska država.

Tajnost podatkov pomeni poseganje v človekove pravice, da je seznanjen s stanjem v okolici. Transparenstnost je potrebno dosledno izvajati.

o+ nevone

Vrste osebnih podatkov v CRP: Enotna matična številka občana (EMŠO), kraj rojstva, ime in priimek, državljanstvo, prebivališče in vrsta prebivališča, zakonski stan, volilna pravica, EMŠO (matere, očeta, zakonca in otrok), identifikatorji za povezovanje z administrativnimi zbirkami podatkov v upravljanju javnega sektorja, datumi in podatki o dogodkih, spremembah in popravkih.

Edit: torej med ostalim vsi tvoji naslovi (ker se hrani zgodovina) + povezava z vsemi družinskimi člani.

BlaY0 je 10. feb 2017 ob 11:35 izjavil:

matijadmin je 10. feb 2017 ob 07:41 izjavil:

BlaY0 je 9. feb 2017 ob 22:35 izjavil:

matijadmin je 9. feb 2017 ob 15:48 izjavil:

Sodisce najpogosteje potrebuje crp za potrebe vrocanja in prived, ajpes pa v sodnih postopkih omogoca sodiscem iskanje delezev po fizicnih ali pravnih osebah (za potrebe sodnih postopkov).

Zdaj mi je jasno, zakaj sodišča nikoli ne najdejo ljudi, ki bi jim bilo treba nekaj vročiti ali jih privesti... imajo svoj kvazi CRP, ki ga očitno 1x na mesec sinhronizirajo z originalnim MNZ-jevim. Povprečen čas za menjavo prebivališča prek e-uprave je 3 dni... to pomeni, da si ti lahko že 5x (ali večkrat) zamenjal naslov, medtem ko ima sodišče še vedno tvoj prvi naslov...

Ene dest let nazaj je to indeed bil problem. Pol so to bolj pogosto osveževali. Sicer pa privedbe tako ali tako izvaja Policija, ki ima 'pristni' CRP.

Ne ne, je kar še vedno tako, ni se dosti spremenilo... iz meseca v mesec imaš primere ko nekoga iščejo, ta se jim pa spretno in čisto legalno izmika s tem, da spreminja začasno/stalno prebivališče ter naslov za vročanje.

Ko sem jaz šel od tam, so to imeli urejeno. Pika. Če ne znajo vsak dan vpogledati, pa je druga zgodba.

Strojepiske in vpisničarke, ki to počnejo so iste. Ne verjamem, sploh pa, ker privedbe opravlja policija in njih tepe podobna nadloga. Imajo izvorni CRP na voljo. Nekoc je to bil razlog, ja. Danes pa ne vec. Kje tici zajec, nisem raziskoval.

estons je 9. feb 2017 ob 11:01 izjavil:

SQL injection je dobesedno na prvem mestu OWASP Top 10. Se sprašujem, kdo jim je delal varnostni pregled. (Sicer, to bi se verjetno dalo dobit kot podatek javnega značaja?)

Morda so delali ISO27001 compliance review. Kar je zelo koristno za sistematično obvladovanja informacijske varnosti, a to pač ni pen testing. Eno brez drugega pač ni dovolj.

Čisto malo pa si nestrpen kolega, pojdiva počasi:

a) AJPES ima svoje poslanstvo in zakonsko zapovedane naloge. Te niso niti slučajno brezvezne ali nekoristne.
b) AJPES podatke, ki jih zbira (tudi v javnih knjigah kot je npr. PRS), potrebuje za to, da te zadolžitve opravlja. Z izjemo podatkov v CRP, ki jih ne zbira, a potrebuje pri svojem delu.
c) Ja, odgovarjal bo (kazensko) le storilec, če ga bodo odkrili. Odškodninsko morda, nikakor pa nujno, tudi AJPES.
d) Samo vidik varnosti bodo morali nehati zanemarjati, pa bo. A je tako težko samo to, brez kazanja lastne nevroze in zafrustriranosti, artikulirati?

konspirator> To je vedel že pred dumpom.
konspirator> bizi.si, cranberry po Slo.

Ne, ni.

Horejšio je 10. feb 2017 ob 23:59 izjavil:

Matej spremljam vaše delo. In mi je jasno, da brez težav odkrijete napake v sistemu. Ta članek vam pa res ni v korist. Namesto, da bi pomagali zakriti luknje, ste jih javno objavili. Ni to OK.

Luknje so bile zakrpane pred objavo.

PaX_MaN je 11. feb 2017 ob 00:03 izjavil:

matijadmin je 10. feb 2017 ob 21:28 izjavil:

a) AJPES ima svoje poslanstvo in zakonsko zapovedane naloge. Te niso niti slučajno brezvezne ali nekoristne.

Tako so brezvezne in nekoristne, da se jih nočeta niti dotaknit ne FURS, ne Policija.

Okej, vsi naročajo razne sisbone, gvine ipd., izpisek iz javne knjige, če veš, kaj to je pa? Pa še el. podpisan je in je bil med prvim, da ti ni blo potrebno viset na sodišču v SRG in plačat gakse.

@Matthai: no, tudi responsible disclosure ni kar neka improvizacija, ampak (kot samo ime pravi), zahteva določeno odgovornost. Pravila se postavijo zato, da je zaščiten prijavitelj in da upravljalec/proizvajalec/razvijalec pristane na sodelovanje. Sicer gre za starejši IETF Draft, ki pa je po moje še vedno čisto aktualen:

https://tools.ietf.org/id/draft-christe...

Ti (ali pa Slo-Tech) se je torej našel v vlogi koordinatorja, ki ima prav tako nekatere obveznosti (vabim k branju drafta prav vse, ki se navdušujejo nad neodvisnim preiskovanjem ranljivosti in etičnim hekanjem). Preveri, katere avtorji navajajo in se skupaj z "uredništvom Slo-Tech" prevprašajte, ali ste navedena priporočila izpolnili. V IETF draftu je recimo tudi jasno opredeljeno, da mora prijavitelj (ali koordinator) uskladiti objavo ranljivosti skupaj s skrbnikom/razvijalcem.

Po koncu vsega skupaj bo zelo zanimivo preveriti tako ustreznost ukrepov na strani AJPES, vsekakor pa tudi ukrepe na strani anonimnega prijavitelja in koordinatorja. Pa tudi seveda na strani SI-CERT. Transparentnost za vse. :)

GBX je 11. feb 2017 ob 12:08 izjavil:

@Matthai: no, tudi responsible disclosure ni kar neka improvizacija, ampak (kot samo ime pravi), zahteva določeno odgovornost. Pravila se postavijo zato, da je zaščiten prijavitelj in da upravljalec/proizvajalec/razvijalec pristane na sodelovanje. Sicer gre za starejši IETF Draft, ki pa je po moje še vedno čisto aktualen:

https://tools.ietf.org/id/draft-christe...

Ti (ali pa Slo-Tech) se je torej našel v vlogi koordinatorja, ki ima prav tako nekatere obveznosti (vabim k branju drafta prav vse, ki se navdušujejo nad neodvisnim preiskovanjem ranljivosti in etičnim hekanjem). Preveri, katere avtorji navajajo in se skupaj z "uredništvom Slo-Tech" prevprašajte, ali ste navedena priporočila izpolnili. V IETF draftu je recimo tudi jasno opredeljeno, da mora prijavitelj (ali koordinator) uskladiti objavo ranljivosti skupaj s skrbnikom/razvijalcem.

Po koncu vsega skupaj bo zelo zanimivo preveriti tako ustreznost ukrepov na strani AJPES, vsekakor pa tudi ukrepe na strani anonimnega prijavitelja in koordinatorja. Pa tudi seveda na strani SI-CERT. Transparentnost za vse. :)

Sankcije nespoštovanja nekega osnutka (seveda, je dobrodošel) so kakšne? Da bo g. Božič rekel: "O, ti, ti, ti!" Uskladitev je (terminsko in nenazadnje tudi moralno) zelo širok, raztegljiv in predvsem nategljiv pojem. Dam primer, koliko časa je Ornig opozarjal organe o ranljivostih? Nič se ni zgodilo, ker je sistemsko Policija odpovedala in, ker so prevladali parcialni interesi, ki s korupcijo močno težijo to isto Policijo. Koliko dolgo bi moral Ornig potem 'usklajevati'? Saj poznamo globalno znan primer, kako so morali drugi Microsoft prisiliti prav z nepotrpežljivostjo pri usklajevanju pred objavo, da je svoje (slabe) prakse spremenil.

Medij je po mojem osebnem prepričanju zelo svoboden pri objavi (tehtanju, kaj je za družbo (predvsem dolgoročno) bolje in, kako se pravica do obveščenosti udari ob morebitne pravice drugih, oz. dolžnosti medija samega - nekaj sodne prakse imamo; nikakor tu nimam v mislih objave os. podatkov ali kaj podobno neetičnega, da ne boste tega razumeli v skrajnosti) ter njegovo vlogo koordinatorja moramo posledično razumeti zelo omejeno (da da možnost preprečiti najhuje - in v tem primeru je bilo tako).

Sankcije nespoštovanja nekega osnutka (seveda, je dobrodošel) so kakšne? Da bo g. Božič rekel: "O, ti, ti, ti!"

Saj sem tukaj, ni potrebe po sarkazmu tretje osebe. ;) Seveda IETF drafti niso zakoni in ne nosijo sankcij. Tu so zato, da se strokovna javnost uskladi okoli dobrih praks in najde skupni jezik. Gre za samoregulacijo interneta, ki je nosila velik del hitrega razvoja interneta, od katerega smo vsi imeli koristi. Še vedno so pomemben instrument urejanja delovanja interneta.

Uskladitev je (terminsko in nenazadnje tudi moralno) zelo širok, raztegljiv in predvsem nategljiv pojem.

Hja, vsaka stvar je raztegljiva do neke mere (dokler recimo ne poči). In tudi različni ljudje imamo različno raztegljive pojme o tem, kaj je prav in kaj ne. Neka skupna pravila, ki jih pripravi strokovna javnost, nam pomagajo pri tem, da določimo sami sebi neke okvirje za definiranje teh pojmov. To prvenstveno koristi nam samim, da ne tavamo sem in tja nevedoč, kaj je recimo "usklajevanje". Še enkrat - ne gre za zakonik, gre za priporočila. Poleg sankcij je pomemben družbeni element tudi lastna želja delovati strokovno in korektno.

Dam primer, koliko časa je Ornig opozarjal organe o ranljivostih? Nič se ni zgodilo, ker je sistemsko Policija odpovedala in, ker so prevladali parcialni interesi, ki s korupcijo močno težijo to isto Policijo. Koliko dolgo bi moral Ornig potem 'usklajevati'? Saj poznamo globalno znan primer, kako so morali drugi Microsoft prisiliti prav z nepotrpežljivostjo pri usklajevanju pred objavo, da je svoje (slabe) prakse spremenil.

Iščimo krivce tam, kjer se dogajajo kršitve. (1) Je AJPES kriv za reagiranje policije v primeru Ornig? (2) Je prijavitelj opozarjal AJPES, pa se ni nič zgodilo? (3) Je AJPES kriv, da se je leta nazaj Microsoft obnašal ignorantsko? Lahko izpelješ, da čeprav ne drži ne (1), ne (2) in ne (3), vnaprej veš, da jih je treba javno kaznovati z mestoma pretenciozno objavo, ki meša druge slabe prakse in jih lepi zraven k AJPES?

Medij je po mojem osebnem prepričanju zelo svoboden pri objavi

Vsekakor. Nihče ne zahteva umika te objave. Mi pa imamo na drugi strani svobodo si ustvariti svoje mnenje o ravnanju medija in njegovi strokovni drži. Poleg tega je medij tu prevzel vlogo koordinatorja razkrivanja ranljivosti in bi rekel, da je to že lahko konflikt interesov. Če medij objavi trditev, ki ni resnična, je na to opozorjen, pa popravka sam od sebe ne objavi, si spet lahko mislimo svoje. Imam sicer možnost zahteve uradnega popravka, a nisem želel s tem opletati. Zanimivo je tudi vprašanje, zakaj ni Slo-Tech tudi neposredno obvestil SI-CERT? Mimo tega pa je tu še kredibilnost medija, ki bi lahko sam poskrbel zato, da so trditve v novici preverjene. Če medij navaja domneve o ranljivosti, ki jih sam ni preveril (prijavitelj pa tudi ni tega navedel), potem si seveda jaz lahko ustvarim svoje lastno mnenje o strokovnem nivoju medija ali avtorja novice (in medijski drži).

Kakorkoli. Dobra plat te objave je, da bo vsaj nekaj ljudi začelo malo brskati in brati o responsible disclosure (in mimogrede "kaj je to zaen blesav draft, jaz pravim, da je vse raztegljivo" se mi ne zdi ravno dober pristop). Na koncu bomo mogoče prišli do nekega konsenza strokovne javnosti, kaj to je in kakšna so pravila (in BTW "strokovna javnost" je veliko, veliko širši pojem, kot samo Slo-Tech). Ta pravila so nenazadnje narejena tudi zato, da ščitijo prijavitelja znotraj nekih ustaljenih procesov. Ker če tega nimamo, se hitro stvari zbanalizirajo na kršitve 143. in 221. člena KZ. Ampak, it takes two to tango, pravijo. :)

@Gorazd: Jaz še vedno ne razumem, kako točno ste kot notranjeorganizacijska enota ARNESa tukaj kaj bolj zainteresirani kot gasilsko društvo Spodnji Duplek (njih tudi nismo obveščali). Vedel je upravljalec strani, vedel je njihov zunanji izvajalec (do objave sta tudi oba potrdila, da so ranljivosti odpravljene -- kar jim mi seveda verjamemo) in vedel je nadzorni organ iz tega področja (ki je ukrepal). Sedaj kje točno se tu prepoznaš sam ... mi prosim pojasni.

Pa če slučajno veš, da sta upravljalec in izvajalec "prirejala" dejansko stanje (beri lagala), ko sta izjavila, da so ranljivosti odpravljene, bi me pa seveda tudi zanimalo. Sploh ker je stran še vedno dosegljiva? Ali to pomeni, da po tvojih podatkih AJPES še vedno javno objavlja kup osebnih podatkov, to ve, vendar ne ukrepa?

@Gorazd: Jaz še vedno ne razumem, kako točno ste kot notranjeorganizacijska enota ARNESa tukaj kaj bolj zainteresirani kot gasilsko društvo Spodnji Duplek (njih tudi nismo obveščali). Vedel je upravljalec strani, vedel je njihov zunanji izvajalec (do objave sta tudi oba potrdila, da so ranljivosti odpravljene -- kar jim mi seveda verjamemo) in vedel je nadzorni organ iz tega področja (ki je ukrepal). Sedaj kje točno se tu prepoznaš sam ... mi prosim pojasni.

Se hecaš, ne? :) https://cert.si/si/o-centru/ Daj pojasni, prosim. Praviš torej, da je SI-CERT irelevanten v tem primeru in da nismo "zainteresirani naslovniki" za tovrstne primere?

To bo super izpadlo v kakšni prezentaciji. :)

Pa če slučajno veš, da sta upravljalec in izvajalec "prirejala" dejansko stanje (beri lagala), ko sta izjavila, da so ranljivosti odpravljene, bi me pa seveda tudi zanimalo. Sploh ker je stran še vedno dosegljiva? Ali to pomeni, da po tvojih podatkih AJPES še vedno javno objavlja kup osebnih podatkov, to ve, vendar ne ukrepa?

Najprej smo irelevantni, potem te pa zanima, kaj bomo našli v preiskavi? Ne skrbi, po potrebi bomo obvestili pristojne institucije, če bo potrebno tudi javnost in medije, v skladu z našimi postopki.

Primoz je 11. feb 2017 ob 14:33 izjavil:

Jaz upam, da boste obvestili pristojne institucije. Sedaj v preiskavo vas je pač povabil zraven informacijski pooblaščenec (ki je pristojna inštitucija -- za razliko od vas). In ker ste bili včeraj tam, zagotovo razpolagate z več informacijami od mene.

Tam vidim, da imate neko pogodbo z vlado in MJU o zagotavljanju nekih storitev. Če je vaš naročnik čutil potrebo, da potrebuje vaše storitve, vas je zagotovo kontaktiral.

Lahko zadnja dva odgovora smatram kot uradno stališče uredništva medija Slo-Tech?

Ne vidim nobenega stališča Slo-Techa izraženega. Samo moje neznanje. Ko bom želel uradna stališča objavljat, jih boš videl v obliki novic in člankov. Ampak, če se motim, se z veseljem pustim izobrazit.

Pač raje kot nekoga, ki twitta kako "heka" razne poštne predale ( https://slo-tech.com/novice/t677856 ), obvestiš neposredno izvajalca in nadzorni organ. Glede na to, da je izvajalec v pol ure odpravil napako in da je enako zjutraj pred objavo potrdil tudi direktor informatike upravljalca, res ni bilo nobenega razloga, da bi vpletali še koga tretjega.
Imeli pa smo težave s kontaktiranjem nekaterih drugih pristojnih državnih organov. Kar smo tudi napisali.

darkolord> Misliš podlage, da bi jih moral obvestiti, ali da bi jih lahko obvestil?

Da bi jih smel obvestiti. Načeloma si lahko delno odgovoren za posledice, če namenoma in na neodgovoren način izdaš varnostno ranljivost in s tem povzročiš večjo nevarnost, kot je prej obstajala.

Primoz je 11. feb 2017 ob 14:49 izjavil:

Imeli pa smo težave s kontaktiranjem nekaterih drugih pristojnih državnih organov. Kar smo tudi napisali.

Fair enough. Me je pač zanimalo, da je nekako "on the record". Daj mi prosim odgovori še glede uredništva (je ali ni) in ali ste medij (da ali ne).

Primoz je 11. feb 2017 ob 14:59 izjavil:

Preberi si 115. člen ZMed.

Ja, sem prebral. Mi ne moreš odgovoriti ti, ali je Slo-Tech medij, ima uredništvo, če je, kdo je urednik in kje je zapisan ta podatek (če je). Mislim, čisto enostavno.

@GBX

(1) Akademska in raziskovalna mreža Slovenije (v nadaljnjem besedilu: Arnes) je javni zavod za
razvoj, organizacijo in vodenje enotnega izobraževalnega in raziskovalnega telekomunikacijskega
omrežja v Republiki Sloveniji ter mednarodno zastopanje Republike Slovenije za zagotavljanje
strokovnega in tehničnega povezovanja s sorodnimi telekomunikacijskimi omrežji v tujini.

Having said that ... že leta 2011 in še nekajkrat po tistem se je balinalo z enim in istim predlogom: ustanovitev dejanskega SI-CERT. Kar ima ARNES je sicer dober približek, ni pa to organizacijsko ptava stvar. Prvič zato ne, ker ARNES te dejavnosti v statutu nima, drugič pa zato, ker ta dejavnost presega običajne okvirje akademskega omrežja in si zasluži dobršno mero samostojnosti. Tudi takšne, da vodja SI-CERT organizacijsko ne bo podrejen direktorju omrežja ali sistema, ki je lahko predmet napada ali zlorabe.

Prostovoljstvo je sicer fino, ampak čas je za profesionalizacijo, mar ne? Potem boš lahko napisal 'pristojne službe' in na seznamu našel tudi slovenski CERT.

Lahko pa vsi malo razmislimo, kdaj volonterstvo postane škodljivo. Morda v trenutku, ko se na njega začno vsi zanašati, direktor ARNES pa oddelek ukine, ker se financiranje zmanjša in te dejavnosti ni v statutu.

Sicer pa bodo stvari verjetno v nekaj letih tako ali drugače postavljene na svoje mesto. Direktiva NIS je avgusta lani stopila v veljavo in ura za vzpostavitev dejanskega in ne samooklicanega CSIRT že teče. Prav zanima me, kdo bo prvi predstojnik. Kandidatov izgleda ne manjka.