Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Paulas_Papa — Tue, 26 Jul 2011 14:28:48 GMT

Unseren - denke ich - nur mit unrealistischen Beträgen. Dem hat man einfach ein Komplettpaket mit Familie, Wohnort und vollständiger Freiheit geschnürt. Dafür ist er in der Hacker- und Auditorenszene ein vielgeachteter Guru. Als "gemeiner" Entwickler ist er falsch eingesetzt, im Review hat er die hundertfache Produktivität.

mfg
lukas

Re(7): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

alx — Tue, 26 Jul 2011 13:13:41 GMT

http://www.rechnungshof.gv.at/fileadmin/downloads/2007/berichte/teilberichte/bund/Bund_2007_06/Bund_2007_06_1.pdf

Seite zwei ganz unten im PDF.

ALexander

Re(3): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Sonic The Hedgehog — Tue, 26 Jul 2011 05:02:57 GMT

thx

Re(3): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

sir_clive — Mon, 25 Jul 2011 20:00:20 GMT

Einer der BESTEN aller Zeiten! "Little Bobby Tables, we call him"

Re(3): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

ZombyKillah — Mon, 25 Jul 2011 16:36:51 GMT

GENIALE ERKLÄRUNG!!!

Re(6): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

alx — Mon, 25 Jul 2011 15:13:28 GMT

Weil sich ja alle ans Vergaberecht halten.

ALexander

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

japh — Mon, 25 Jul 2011 14:51:01 GMT

http://xkcd.com/327/

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

mjy@geizhals.at — Mon, 25 Jul 2011 14:40:47 GMT

wöcha sicherheits loch is auf der seitn?

Der Hinweis in den Medien war "' OR '1'='1" oder so, das klingt also so als hätte man das einfach an einen URL-Parameter anhängen können um ein SQL-statement zu modifizieren, z.B.

URL: .../script?user=xyz
wird zu
SELECT * from foo where ID='xyz'

URL: .../script?user=123%27%20OR%20%271%27%3D%271
wird zu
SELECT * from foo where ID='xyz' OR '1'='1'

Dadurch wird dann die komplette table "foo" ausgegeben(?) statt eines Users.

(die %XX sind Zeichen, die in URLs escaped werden müssen - Hex-Codes)

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

mjy@geizhals.at — Mon, 25 Jul 2011 14:40:47 GMT

wöcha sicherheits loch is auf der seitn?

Der Hinweis in den Medien war "' OR '1'='1" oder so, das klingt also so als hätte man das einfach an einen URL-Parameter anhängen können um ein SQL-statement zu modifizieren, z.B.

URL: .../script?user=xyz
wird zu
SELECT * from foo where ID='xyz'

URL: .../script?user=xyz%27%20OR%20%271%27%3D%271
wird zu
SELECT * from foo where ID='xyz' OR '1'='1'

Dadurch wird dann die komplette table "foo" ausgegeben(?) statt eines Users.

(die %XX sind Zeichen, die in URLs escaped werden müssen - Hex-Codes)

Re(6): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

mjy@geizhals.at — Mon, 25 Jul 2011 14:35:28 GMT

Einfach irgendeine Hinterhofbude um's doppelte Salär einer angesehenen Firma spielt's auch nimmer.

Weil?

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Mon, 25 Jul 2011 14:25:23 GMT

Auf der Seite vom GIS? War anfällig für'ne SQL-injection.

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Mon, 25 Jul 2011 14:24:41 GMT

Najo, da sind die Vergabekriterien auch nimmer so lasch wie sie mal waren. Einfach irgendeine Hinterhofbude um's doppelte Salär einer angesehenen Firma spielt's auch nimmer.

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

alx — Mon, 25 Jul 2011 13:34:48 GMT

Schlimm ist ja nur die Kombination aus überstdurschnittlichem Geld unterdurschnittlichster Leistung...

ALexander

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

alx — Mon, 25 Jul 2011 13:34:48 GMT

Schlimm ist ja nur die Kombination aus überstdurschnittlichem Geld bei unterstdurschnittlicher Leistung...

ALexander

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

alx — Mon, 25 Jul 2011 13:34:48 GMT

Schlimm ist ja nur die Kombination aus überstdurschnittlichem Geld unterstdurschnittlicher Leistung...

ALexander

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

bigboss007 — Mon, 25 Jul 2011 12:59:12 GMT

wöcha sicherheits loch is auf der seitn?

jetzt gor kans mehr weils komplett off is

Re(4): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

mjy@geizhals.at — Mon, 25 Jul 2011 11:12:08 GMT

zwei Möglichkeiten. Entweder, sie haben's einfach nie auditieren lassen oder sie haben, die haben auch entsprechendes angemerkt und die GIS hat's halt nicht oder schlecht umgesetzt.

Es sind noch viel mehr Möglichkeiten theoretisch denkbar, ist immerhin ein quasi-staatliches Unternehmen und in solchen Kreisen soll es ja bösartigen Gerüchten zufolge vorkommen, dass Aufträge vergeben werden, deren eigentlicher Zweck nicht die Bereitstellung einer den Kosten entsprechenden Leistung ist.

Aber Korruption, Freunderlwirtschaft gibt es ja in Österreich kaum mehr.

Re(4): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

mjy@geizhals.at — Mon, 25 Jul 2011 11:12:08 GMT

zwei Möglichkeiten. Entweder, sie haben's einfach nie auditieren lassen oder sie haben, die haben auch entsprechendes angemerkt und die GIS hat's halt nicht oder schlecht umgesetzt.

Es sind noch viel mehr Möglichkeiten theoretisch denkbar, ist immerhin ein quasi-staatliches Unternehmen und in solchen Kreisen soll es ja bösartigen Gerüchten zufolge vorkommen, dass Aufträge vergeben werden, deren eigentlicher Zweck nicht die Bereitstellung einer den Kosten entpsrechenden Leistung ist.

Aber Korruption, Freunderlwirtschaft gibt es ja in Österreich kaum mehr.

Re: Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Sonic The Hedgehog — Mon, 25 Jul 2011 07:54:13 GMT

blede frog vielleicht:
wöcha sicherheits loch is auf der seitn?

Re(8): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Ozon — Sun, 24 Jul 2011 20:05:35 GMT

Erzäääähl...

Re(8): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

blitzfreak — Sun, 24 Jul 2011 19:54:57 GMT

die da wären?

Re(8): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

kombipaket — Sun, 24 Jul 2011 12:52:09 GMT

Beispiele ???

Re(7): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sun, 24 Jul 2011 12:46:06 GMT

Auch gegen All-Ins gibt's Verteidigungsstrategien.

Re(6): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

kombipaket — Sun, 24 Jul 2011 11:42:54 GMT

Also so wirklich super sind die mir bekannten Auditoren nicht bezahlt... Deren Stundenlohn ist gar nicht mehr so fein, wenn man sie mit All-In-Verträgen beglückt...

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sun, 24 Jul 2011 11:24:21 GMT

Na blöd wär er.

Denk mal nach: Auf der einen Seite wird er (recht gut) dafür bezahlt, etwas zu auditieren und seinem Gegenüber zu sagen was er tun sollte. Auf der anderen Seite kriegt er die Vorgaben und muss sie, oft gegen den Willen des Rests in der Firma, umsetzen.

Re(4): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

kombipaket — Sun, 24 Jul 2011 11:22:41 GMT

Mal etwas oT: Mit wieviel Geld kann man denn so den typischen Auditor motivieren, seinen Brötchengeber (und sein Aufgabengebiet) zu wechseln ? Oder steigt in der Regel niemand von den Auditoren zu gemeinen Entwicklungstätigkeiten ab ?

Re(3): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sun, 24 Jul 2011 11:17:30 GMT

Najo, im Endeffekt gibt's meiner Meinung nach da zwei Möglichkeiten. Entweder, sie haben's einfach nie auditieren lassen oder sie haben, die haben auch entsprechendes angemerkt und die GIS hat's halt nicht oder schlecht umgesetzt.

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

kombipaket — Sun, 24 Jul 2011 06:18:19 GMT

Obwohl ich mir bei keinem davon vorstellen kann so ein Loch zu übersehen.

Das ist ja genau der Punkt. Die paar Auditoren, die ich bisher im Real Life kennenlernte - waren (bis auf eine Ausnahme) aber _wirklich_ extrem gut... Ich habe meinen Chef ja schon bekniet, auch unmoralisch hohe Abwerbeangebote an solche zu erstellen... Weil ich - zu meiner Schande - gestehen muss, dass wohl einer dieser Auditoren vom qualitativen Output locker 3 Mitarbeiter von uns ersetzt.

Meine Vermutung geht auch dorthin, dass die Masse der Auditoren auch nicht happy damit ist, wenn man ihnen ein paar Tage Zeit und ein Komplettsystem zum Testen gibt, dabei einen zu schubladisierenden Bericht erstellen und dann zum nächsten Kunden kommen.... Und manche sich evtl. wirklich mal überlegen können, zum Software Engineer abzusteigen.

Dieses Loch bei der GIS hingegen... Passt nicht so in mein bisheriges Bild von Auditoren . Drum hätte mich ja die Firma interessiert, die das durchführte - sowie der Name des "Täters" .

Re(10): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Wizard51 — Sat, 23 Jul 2011 22:32:57 GMT

Nachdem besagter CFO/CIO mein Auftraggeber war, gab es leider nur die Wahl zwischen mitspielen oder Auftrag verlieren.

Re(9): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sat, 23 Jul 2011 22:25:06 GMT

Das ist für mich noch kein Grund den Schnabel zu halten. Mit dem Typen hab ich nix zu schaffen und ggf. gefällt's Deinem Auftraggeber wenn er dem HQ-Heinzi eins reinwürgen kann.

Re(8): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Wizard51 — Sat, 23 Jul 2011 22:21:11 GMT

Nein, ich hab mich unter anderem um deren IT gekümmert. Auditor war jemand von deren HQ.

Re(7): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sat, 23 Jul 2011 22:17:21 GMT

Häh? Nochmal, Du bist als Consultent dort gewesen und hast es durchnicken sollen ... obwohl Du eigentlich dort warst um festzustellen ob das jetzt Mist ist oder Sinn hat? Welchen Sinn soll das denn haben?

Re(6): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Wizard51 — Sat, 23 Jul 2011 22:14:35 GMT

Noch schlimmer: ich durfte bei einem Kunden als externer Consultant neben dem Finanzchef (und in Zweitfunktion auch CIO) sitzen und den Deppen für ihn machen, der alles abnickt.

Das war so erniedrigend

Re(5): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sat, 23 Jul 2011 22:12:23 GMT

Was meinst wem das noch auf die Eier geht? Und dann darfst dortsitzen und brav nicken weil der Cheffe hat ja viel Geld hingelegt für den Murks und... najo, den willst nicht beim Obercheffe blöd dastehen lassen.

Also sitzt dort und kaust langsam aber sicher Deine Unterlippe durch weil Du ständig draufbeißt.

Re(4): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Wizard51 — Sat, 23 Jul 2011 22:09:31 GMT

Ich hab Audits bei Kunden miterlebt, da stellts mir heute noch die Zehennägel hochkant. Was die oft unter einem IT Audit verstehen hat Computerführerscheinniveau

Re(3): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sat, 23 Jul 2011 22:07:01 GMT

Nessus, was sonst? Dort drückt er auf start und anschließend auf Bericht drucken, liefert das ab und erklärt vollmundig dass er auditiert hat.

Allerdings sind nicht alle so professionell, muss man schon gestehen.

Re(2): Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Wizard51 — Sat, 23 Jul 2011 21:58:14 GMT

wenn's nur nach üblichem Compliance-Müll auditiert haben

Und jetzt überleg mal, was der durchschnittliche BWLer/Wirtschaftsinformatiker in seinem erlenten Fundus hat?

Re: Kriegt man eigentlich raus, wer die GIS auditiert hat ?

Fly — Sat, 23 Jul 2011 21:50:33 GMT

Naja, SO viele gibt's hier in Österreich ja nicht. Obwohl ich mir bei keinem davon vorstellen kann so ein Loch zu übersehen.

Obwohl, wenn's nur nach üblichem Compliance-Müll auditiert haben... Najo.

Kriegt man eigentlich raus, wer die GIS auditiert hat ?

kombipaket — Sat, 23 Jul 2011 20:12:02 GMT

Ich mein, man findet ja noch im google cache
http://webcache.googleusercontent.com/search?q=cache:Z3ONu7Z2CSMJ:https://meinkonto.orf-gis.at/wfRegistrationMsg.aspx%3Fmode%3Dsecurity+datenschutz+orf+gis+at&cd=4&hl=de&ct=clnk&client=iceweasel-a&source=www.google.com

Sicherheit und Datenschutz

Wir wissen Ihr Vertrauen zu schätzen und wenden äußerste Sorgfalt und höchste Sicherheitsstandards an, um Ihre persönlichen Daten vor unbefugten Zugriffen zu schützen. Ihre persönlichen Daten und Ihre Angaben zur Zahlungsabwicklung sind durch technische Sicherheitssysteme geschützt. Dies sowohl beim Transfer der Daten als auch bei der Speicherung auf unseren Servern.

Ich gehe mal davon aus, dass irgendein Sicherheitsunternehmen bezahlt wurde, die zu auditieren... Welches könnte das gewesen sein ?