Menéame: comentarios [1481090]

#42 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

serverdebian — Fri, 30 Dec 2011 11:05:09 +0000

¿Y cuanto no habrán pagado por dicha aplicación?
Si fuera su dinero rodarían cabezas

» autor: serverdebian

#41 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--256953-- — Wed, 28 Dec 2011 11:17:48 +0000

[Usuario deshabilitado]

» autor: --256953--

#40 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--256953-- — Wed, 28 Dec 2011 11:10:08 +0000

[Usuario deshabilitado]

» autor: --256953--

#39 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

fernandoar — Wed, 28 Dec 2011 10:09:10 +0000

Desafortunadamente los parados no importan a nadie

» autor: fernandoar

#38 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

kadmon — Wed, 28 Dec 2011 09:57:55 +0000

#27 Creo que tus dudas ya han sido resueltas en los comentarios posteriores. De todas formas, está bien no creérselo todo pero tampoco hay por qué no creer nada. Todo lo que logramos comprobar se ajusta a lo que denuncian, entonces es lógico que si se llegó a denunciar, todo lo demás también sea cierto.

#30 ¿en qué dirección exactamente? me imagino que en la de 29

#36 Pero por lo que veo, este no es un sistema de usuario/contraseña donde la persona se haya olvidado de cambiar su clave sino un simple formulario donde se pide expresamente DNI, Dígito de control y teléfono sin que tú tengas la posibilidad de cambiar nada. El DNI es relativamente fácil de conseguir, yo quise probar con una persona y no pude porque no sé su teléfono actual, el DNI lo busqué en google y lo conseguí de unas listas en PDF de la Xunta de cuando se presentó a oposiciones (de paso también vi en donde había sido admitido/rechazado, qué notas sacó en distintas pruebas, etc, vamos, la privacidad brilla por su ausencia)

» autor: kadmon

#37 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

sam2001 — Wed, 28 Dec 2011 09:43:21 +0000

#35 el asunto fue denunciado ante la AEPD y la AEPD dijo que todo estaba bien, así que "saberlo" lo sabían que estaba así.

» autor: sam2001

#36 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--256953-- — Wed, 28 Dec 2011 08:34:11 +0000

[Usuario deshabilitado]

» autor: --256953--

#35 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

jaz1 — Wed, 28 Dec 2011 01:04:01 +0000

#34 seguro que ni lo sabia quien lo tenia que saber por eso no hicieron nada hasta verlo corriendo por la web

» autor: jaz1

#34 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

miguelcr — Tue, 27 Dec 2011 22:35:15 +0000

Hola gente, soy Miguel Ángel Criado, el autor del artículo. No suelo comentar mis noticias que tengo la suerte de que lleguen a Meneame. Creo que los comentarios cobran una vida independiente de la noticia. Pero sólo quería decir, en especial a #10 #12 #27 que la información no es errónea. Cuando escribí el artículo, la dirección llevaba a un portal donde sólo se exigía a) DNIe o certificado digital o b) Datos de contraste, los mencionados núm. de tlf y el NIF, además del dígito de control. Tampoco había limitación de intentos (comprobado con tres personas cercanas a mí, las tres en paro). Así que la gente del Ministerio ha debido de hacer una chapuza deprisa y corriendo para taparlo. Si, gracias al efecto meneame, se ha conseguido que lo arreglen, pues yo me doy por satisfechos. No es de recibo que a la putada de estar sin trabajo, tengan que soportar que sus datos anden por ahí.

» autor: miguelcr

#33 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--231265-- — Tue, 27 Dec 2011 22:14:59 +0000

#19 Yo tengo dos cuentas en el mismo banco y tienen dígitos de control distintos. Se calcula en base al número de la cuenta:

www.luciano.es/utiles/ccc.htm

» autor: --231265--

#32 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--4659-- — Tue, 27 Dec 2011 22:11:02 +0000

#27 nunca he estado parado, así que no se si eso que sale es lo que le sale a todo el mundo o depende de quien sea sale una cosa o otra. O directamente, es otra dirección web la que da el problema.

» autor: --4659--

#31 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

karamba — Tue, 27 Dec 2011 22:04:47 +0000

un fallo un fallo.....

» autor: karamba

#30 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

manualmenara — Tue, 27 Dec 2011 22:04:29 +0000

#29 confirmado acabo de ver todos mis datos!!

» autor: manualmenara

#29 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

humitsec — Tue, 27 Dec 2011 21:32:31 +0000

#27 Quizás no han querido publicar toda la información, pues acabo de comprobar que se puede acceder a otros servicios del sistema usando el mismo principio. Por ejemplo:

sede.sepe.gob.es/DServiciosPrestanetWEB/TipoDatosContrasteAction.do

da acceso a certificados de situación, de prestación actual, de importes por periodo y de importes anuales.

Otro tipo de consultas, sin embargo, requieren DNIe, certificado digital o usuario/contraseña del sistema.

#23 No tengo ni idea de qué es ese certificado.

» autor: humitsec

#28 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--259638-- — Tue, 27 Dec 2011 21:05:03 +0000

#25 Eso sería si los procesos de selección fueran un poco profesionales. La mayoría de las veces no lo son.

Te cuento un caso que me contaron: en una determinada empresa eliminaban todos los candidatos con nombres compuestos. Es porque los hispanoamericanos suelen tener nombres compuestos y así se los quitaban de encima.

» autor: --259638--

#27 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--5160-- — Tue, 27 Dec 2011 20:58:57 +0000

#18 y #20 ¿Y una vez dentro que se supone que consigues? La noticia dice: ver su domicilio, cuenta corriente donde cobra prestaciones sociales, cuantía y otros datos sobre las prestaciones, y otra serie de datos, y eso es FALSO.
Solo permite solicitar un certificado de bonificaciones que enviarán por correo a la dirección que tiene de ti el servicio de empleo.

» autor: --5160--

#26 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

fayser — Tue, 27 Dec 2011 20:39:14 +0000

¿Es que ya no hay informáticos en la Seguridad Social...?

» autor: fayser

#25 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--66487-- — Tue, 27 Dec 2011 20:29:48 +0000

#14 informáticos que hagan las cosas bien no encontraras fácilmente en el paro.

» autor: --66487--

#24 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

GuitarWorker — Tue, 27 Dec 2011 20:20:57 +0000

Al fin cuantas posibilidades hay

» autor: GuitarWorker

#23 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

kadmon — Tue, 27 Dec 2011 20:17:50 +0000

#20 Es verdad, creí que al menos te bloqueaban por IP y ni probé a recargar la página.

He entrado en mi cuenta en cinco minutos a mano, haces un script y entras en cinco segundos.

#22 ¿De qué va ese certificado de bonificaciones?

» autor: kadmon

#22 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

humitsec — Tue, 27 Dec 2011 20:07:02 +0000

NO EXISTE LÍMITE REAL DE INTENTOS

Como apunta #20, accediendo directamente al formulario se sigue permitiendo realizar la consulta. En una prueba realizada hace un momento he tardado menos de cinco minutos en acceder a mano a unos datos al azar.

Así pues, cabe suponer que no se realiza ni filtrado por IP ni por cookies, ni ningún otro tipo de control real.

Eso sí, una vez dentro sólo se muestra la opción de obtener un certificado de bonificaciones, que según se indica se remitirá por correo postal.

» autor: humitsec

#21 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

AndyG — Tue, 27 Dec 2011 19:37:29 +0000

Hace tiempo mis compañeros de trabajo descubrieron por casualidad una vulneración que permitía acceder a los datos fiscales de cualquier español sabiendo unos pocos datos de antemano. No he comprobado si se corrigió aquello, pero visto lo visto parece que siguen manteniendo el mismo nivel de seguridad en la administración electrónica.

Y luego nos preguntamos por qué van las cosas tán mal...

» autor: AndyG

#20 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--4659-- — Tue, 27 Dec 2011 19:33:42 +0000

#17 no, es un fallo como un piano. El limite de 2 intentos solo es si haces click en volver... si recargas la pagina del formulario, vuelves a tener 2 intentos. No hace falta ni cambiar la IP como dice #15 o #18.

A mano, en 10 min haces las 100 posibilidades.

» autor: --4659--

#19 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--6883-- — Tue, 27 Dec 2011 19:33:31 +0000

#16 ¿99 posibilidades?
Hasta la fecha no he tenido ninguna cuenta cuyo dígito de control no fuese 17.

» autor: --6883--

#18 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

kadmon — Tue, 27 Dec 2011 19:30:54 +0000

#17 Son sólo 100 posibilidades con dos intentos por cada ip. Como yo tengo ip dinámica, cada vez que apago y enciendo el router tengo una ip nueva. Apagar, encender y volver a sincronizar me lleva 1min 14seg, siempre el mismo tiempo pero vamos a ser generosos y pongamos 1min 16seg. 100 posibilidades con dos intentos por ip cada 1min 16seg nos sale a (100/2)* 76seg = 3800 seg = 63.33 minutos.

Es decir, en 63.33 minutos habré probado las 100 posibilidades y entrado. Si a eso le sumas que nunca es necesario probar todas las combinaciones y que existen proxys para evitar tener que apagar y encender el router, haz cálculos y verás como estamos ante un gran agujero de seguridad.

» autor: kadmon

#17 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--5160-- — Tue, 27 Dec 2011 19:23:56 +0000

Erronea como un piano. Hay que tener los números de control de la cuenta corriente (100 posibilidades) y sólo hay dos intentos.

» autor: --5160--

#16 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--231265-- — Tue, 27 Dec 2011 19:18:11 +0000

Pide el dígito de control de la cuenta corriente como campo obligatorio, vale que son 99 posibilidades, pero no sale así como así a la primera...

» autor: --231265--

#15 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

kadmon — Tue, 27 Dec 2011 19:17:58 +0000

#10 y #12 No sé como era antes, quizás eso lo pidan ahora y no antes. De todas formas eso no es suficiente, apagad el router y volved a encenderlo para cambiar de IP y tendréis otra vez dos intentos. Es cuestión de paciencia... o de crear un script que lo haga por ti, lo cierto es que en menos de una hora entras y eso es un "bug" del copón.

#16 No sale tan así pero ten en cuenta que si es viable a mano sin demasiada dificultad, que lo es, con un script puedes robar unos cuantos datos y si a eso le sumamos proxys...

» autor: kadmon

#14 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--259638-- — Tue, 27 Dec 2011 19:15:47 +0000

Que vergüenza: tanta gente en paro y no encuentran a nadie para que corrija eso.

» autor: --259638--

#13 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--220283-- — Tue, 27 Dec 2011 19:14:53 +0000

[Usuario deshabilitado]

» autor: --220283--

#12 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

topecb — Tue, 27 Dec 2011 19:14:46 +0000

"Los datos introducidos no son correctos. No se permiten más intentos."

Pues si pruebas 2 veces y ya te dice eso... tampoco es demasiado bug

» autor: topecb

#11 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

ttl — Tue, 27 Dec 2011 19:13:58 +0000

#9 Lo malo del juzgado, aparte del laargo tiempo hasta que se obligue a corregirlo, es que la multa encima la pagaremos entre todos

» autor: ttl

#10 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

natrix — Tue, 27 Dec 2011 19:10:24 +0000

Los datos introducidos no son correctos. No se permiten más intentos.

¿Errónea?

¿Alguien lo ha comprobado?

Y volviendo atrás:

SRVE0255E: No se ha definido un WebGroup/Host virtual para manejar /CertBonificacionWEB/ActionIntroduceIdentificacionInternet.do.

SRVE0255E: No se ha definido un WebGroup/Host virtual para manejar www.sepe.es:80.

» autor: natrix

#9 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--298798-- — Tue, 27 Dec 2011 19:07:49 +0000

#4 Ya te digo, o si no directamente al juzgado más cercano con la Ley de Protección de Datos en la mano. A ver si lo corrigen o no lo corrigen..

» autor: --298798--

#8 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--153225-- — Tue, 27 Dec 2011 19:01:05 +0000

[Usuario deshabilitado]

» autor: --153225--

#7 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--101538-- — Tue, 27 Dec 2011 18:49:32 +0000

#4 _{"no será corregido" pues nada hoy me paso la tarde comentándolo en loss irc anonymous,}haber_{si se corrige o no.}

» autor: --101538--

#6 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--23023-- — Tue, 27 Dec 2011 18:37:20 +0000

si, funciona... es solo tener la paciencia de probar 99 numeros... lo demas lo sabes si medio conoces a alguien cercano...

» autor: --23023--

#5 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--285709-- — Tue, 27 Dec 2011 18:18:14 +0000

EDIT

» autor: --285709--

#4 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

Azotainas — Tue, 27 Dec 2011 17:47:26 +0000

"no será corregido" pues nada hoy me paso la tarde comentándolo en loss irc anonymous, haber si se corrige o no.

» autor: Azotainas

#3 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

Maestro_Jedi — Tue, 27 Dec 2011 14:43:53 +0000

A la AEPD le gusta esto.

» autor: Maestro_Jedi

#2 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--90701-- — Tue, 27 Dec 2011 10:11:42 +0000

y aquí la url en cuestión

www.sepe.es/DPrestanetWeb/jsp/AutDatosContraste.jsp?aplicacion=sdc&

» autor: --90701--

#1 Un fallo de seguridad permite acceder a datos personales de parados fácilmente

--294871-- — Tue, 27 Dec 2011 09:23:21 +0000

Ya se sabe...no es un fallo, es una "feature"

» autor: --294871--