Je suis désolé pour mon manque de connaissances dans ce domaine.

Vous ne devriez pas l'être.

Est-ce une pratique universellement approuvée pour les universités d'exposer le nom et l'adresse des étudiants?

Comme indiqué dans les commentaires, cela dépend de vos lois et réglementations locales. Vous devriez certainement le vérifier une fois. Mais la façon dont vous décrivez l'application (changer l'URL pour obtenir les détails, y compris le résultat), cela ressemble à un bogue, qui devrait certainement être signalé.

Est-ce une pratique universellement approuvée pour les universités qu'une sécurité solide liée au nom et à l'adresse n'est pas importante?

Non, que ce soit une université ou une grande multinationale ou une petite entreprise, ou votre propre compte personnel, la sécurité est TOUJOURS importante.

Est-ce une attaque sévère et dois-je la leur signaler? Ou il peut être simplement ignoré?

Oui, vous devez le signaler à l'université, dès que possible. Il ne faut pas l'ignorer.

EDIT: Comme indiqué dans les commentaires, certaines universités autorisent la publication des adresses des étudiants.

Il s'agit d'une vulnérabilité, la façon dont ils ont utilisé des nombres devinables séquencés pour accéder aux enregistrements est une classe de vulnérabilité appelée Insecure Direct Object Reference et est présentée dans le Top 10 de l'OWASP ( https://www.owasp.org /index.php/Top_10_2013-A4-Insecure_Direct_Object_References)

Selon l'endroit où vous vivez dans le monde, l'université peut enfreindre les lois sur la protection des données. À tout le moins, il s'agit d'un mauvais contrôle des données et d'une violation de votre vie privée, vous devriez certainement leur en parler.

Étant donné que l'université se trouve au Royaume-Uni, il s'agit presque certainement d'une violation de la DPA 1998. Autrement dit, il ne s’agit pas uniquement d’un problème de «sécurité».

L’adresse du domicile d’un étudiant compterait certainement comme des «données personnelles» au sens de la loi. Le fait que vous puissiez récupérer les données de cette manière est, j'en suis très sûr, une violation du principe 7, et probablement aussi 6 et 8). Les principes sont que les données personnelles doivent être

1. traitées loyalement et licitement;
2. traitées à des fins limitées;
3. adéquates , pertinent et non excessif;
4. précis;
5. non conservé plus longtemps que nécessaire;
6. traité conformément aux droits des utilisateurs;
7. sécurisé; et
8. non transférés hors de l'EEE.

Le fait que vous ayez dû très pirater légèrement ceci pour obtenir les informations ne change pas choses: cela signifie que ce n'est pas sécurisé. Le principe 7, dans son intégralité, est «Des mesures techniques et organisationnelles appropriées doivent être prises contre le traitement non autorisé ou illégal des données personnelles et contre la perte ou la destruction accidentelle ou l'endommagement des données personnelles.»

Un dernier degré la classification compterait comme des données publiques, en ce sens qu'une partie de votre contrat avec l'université consiste à dire aux gens que vous avez obtenu votre diplôme. Les marques internes / intermédiaires ne compteraient probablement pas comme des données publiques (et cela signifie «probablement» qu’il faudrait un argument positif selon lequel elles sont considérées comme publiques, avant qu’il ne soit acceptable de les rendre disponibles de cette manière).

L'université devrait avoir un bureau / un officier de la DPA qui deviendra balistique lorsque vous leur rapporterez cela (et je pense que vous devriez le faire), et devrait être en mesure de faire appliquer des pressions très élevées pour changer cela. Ils ne semblent pas faire beaucoup de bruit en réponse à votre rapport, mais j'espère qu'ils prendront des mesures immédiates en interne. S'ils ne le réparent pas rapidement (ou peut-être même si vous ne voyez pas de preuves immédiates qu'ils l'ont fait), alors un rapport à l'ICO, comme suggéré par le commentaire de @ daiscog, serait approprié.

En ce qui concerne la question de signaler cela de manière anonyme, vous pouvez si vous le souhaitez, mais j'espère que cela n'a pas d'importance, et que le bureau du DP serait suffisamment discret ( c'est vraiment leur problème, pas le vôtre). S'il y avait un retour, je suis sûr que l'ICO serait extrêmement intéressée d'en entendre parler.

Je suis en fait le responsable du DP dans notre département universitaire (Royaume-Uni) , et je sais comment le bureau du DP de l'université ou moi-même réagirions en entendant cela.

(J'ai initialement publié ceci sous forme de commentaire, mais après réflexion, je l'ai développé en réponse)

Il est possible que ce soit intentionnel et non considéré comme une fuite d'informations sensibles. Si vous deviez consulter les répertoires en ligne, MIT, CMU, Stanford, et tout autre, je pense à tous les répertoires des étudiants et du personnel.

Les universités des États-Unis sont généralement plus préoccupées par la FERPA, qui protège les dossiers scolaires des étudiants.

Les "informations d'annuaire" telles que le nom, l'adresse, le statut d'inscription et les dates ne sont pas protégées par défaut. Voici une bonne liste de ce qui est considéré comme une information d'annuaire et qui peut être révélé au public. La stipulation pertinente se lit comme suit:

Les informations de l'annuaire d'un étudiant peuvent être communiquées à un demandeur, en dehors de l'Université, à moins que l'étudiant ne demande spécifiquement que les informations de l'annuaire ne soient pas divulguées.

Si j'étais vous, je chercherais une politique de confidentialité avant de contacter l'université. C'est probablement intentionnel. Votre université a probablement une clause d'exclusion pour protéger les informations de votre annuaire.

De plus, la plupart des sites Web ont leurs répertoires sur des listes à ne pas explorer afin que vos enregistrements ne soient pas en ligne sur les moteurs de recherche. Vous pouvez consulter le robots.txt.

Cela étant dit, les notes ne doivent jamais être divulguées. Dans la pratique, dans un cas rare de FERPA, les notes se réfèrent à des notes de lettres / relevés de notes et non à des notes de classe individuelles qui sont parfois considérées comme des "notes du professeur".

Bien qu'une réponse ait été acceptée et que Priyank et Iain aient tous deux fait valoir quelques bons points, je pense qu'il vaut la peine de se demander s'il s'agit de données sensibles de manière plus approfondie.

Tout d'abord, il y a quelque chose d'une différence entre les résultats d'examen (en général, un étudiant aura de nombreux examens au cours de ses études) et les qualifications (c'est-à-dire l'attribution finale par l'établissement). Il est donc également possible de déduire si un individu est actuellement étudiant.

Cette information ouvre la porte à toutes sortes de phishing ciblé - des personnes se faisant passer pour un fournisseur de prêt étudiant, offrant un refinancement ou se faisant passer pour un officiel organisations d'anciens élèves.

C'est également un excellent atout pour la fraude d'identité. Bien que je n’ai jamais rencontré de question souhait-c’était à deux facteurs sur l’enseignement supérieur («Quelle était notre première école» semble encore courant), une telle facilité faciliterait les demandes d’emploi / de crédit frauduleuses .

Par conséquent, la question de savoir si cela relève de la politique de confidentialité de l'organisation ou de la réglementation locale est sans objet: cela constitue un manquement au devoir de diligence des fournisseurs envers leurs étudiants / diplômés.

Mais le revers de la médaille est qu'il me semble fou que la seule façon de prouver mes diplômes à quelqu'un qui le demande (par exemple un employeur potentiel) est de leur montrer un bout de papier (relativement facile à simuler). Mais j'imagine que la plupart des gens qui liront ceci seraient capables de trouver des solutions simples et efficaces pour révéler ces informations en toute sécurité.

Personnellement, je suis surtout préoccupé par le fait que le système révèle l ' ID d'inscription des étudiants.

Je ne sais pas comment les choses se passent dans votre université, mais à l'époque où j'étais étudiant, nous avons écrit le RI sur nos feuilles de réponses aux examens afin que les évaluateurs ne sachent pas qui était qui.

Dans votre université, les évaluateurs peuvent rechercher qui est qui et c'est, à mon avis, une grave faille de sécurité.

Si les informations sur les notes des élèves permettent d'identifier personnellement un individu, c'est presque certainement un problème. Si d'un autre côté, tout ce que vous pouvez voir sont les grades associés à un individu inconnu, c'est-à-dire associés à un certain nombre, mais que vous ne pouvez pas déterminer précisément qui ce nombre représente, alors cela ne peut pas être considéré comme un problème de sécurité car on pourrait soutenir que les données ont été anonymisées . Beaucoup dépend de la législation en vigueur sur la protection de la vie privée (très probablement la législation du Royaume-Uni, mais cela peut être affecté par le pays où les données sont hébergées / localisées et les politiques de confidentialité de l'établissement. Par exemple, les étudiants peuvent être tenus d'accepter d'autoriser leur résultat les données sont rendues publiques dans le cadre des conditions générales d'inscription. Cependant, cela est peu probable.

La plupart des pays ont une législation sur la confidentialité qui détermine ce qui est considéré comme des informations privées ou personnelles et, dans certains cas, imposent des responsabilités supplémentaires à l'hébergement organisation en ce qui concerne le niveau d'autorisation qu'ils doivent obtenir de la personne pour rendre les données publiques et les mesures à prendre en cas de divulgation accidentelle ou de violation de données par une sorte de défaillance de sécurité. Par exemple, aux États-Unis, si une entreprise a un incident où des données personnelles est délibérément ou accidentellement compromise et que les données ont des implications financières possibles, telles que l'exposition des détails de la carte de crédit, le l'organisation est tenue de fournir des services de surveillance du crédit aux personnes concernées pendant un certain temps. Certains pays ont également une législation obligatoire sur le signalement et la notification des violations de données, qui oblige l'organisation à informer les individus et souvent une autorité centrale lorsque les données ont été compromises.

Malheureusement, les gouvernements ont eu du mal à élaborer une législation claire et cohérente relative à la confidentialité et à maintenir une législation capable de suivre le rythme de la technologie. Il existe des différences significatives entre les pays avec un accent et des objectifs différents. Par exemple, les États-Unis ont des politiques considérables en matière de confidentialité et de déclaration obligatoire, mais ils ont également une législation relative à la sécurité intérieure et à la lutte contre le terrorisme qui, selon certains, compromet la confidentialité des données personnelles. L'Allemagne et un certain nombre d'autres pays européens ont adopté une législation stricte pour protéger la vie privée. L'Australie a relativement récemment mis à jour sa législation sur la protection de la vie privée, mais a du mal à introduire une législation obligatoire sur le signalement des violations de données, etc.

D'après votre description, je soupçonne que vous avez effectivement découvert une vulnérabilité à l'accès aux données et que vous devriez presque certainement la signaler à l'Université. Malheureusement, il n'est pas toujours facile de savoir comment signaler de tels problèmes. Le premier endroit à vérifier serait d'examiner la politique de confidentialité de l'organisation. Il est également probable que le Royaume-Uni dispose d'une autorité centrale, comme un médiateur de la protection de la vie privée, à qui vous pourriez également signaler ce problème.

Vous devez également savoir que vous devez faire preuve de prudence lorsque vous accédez à ces données, en particulier en utilisant la technique de manipulation d'URL que vous avez décrite ou fournissant des détails spécifiques sur la façon d'accéder aux données. Dans certains pays, on pourrait faire valoir que vous avez enfreint la loi et que vous pourriez être accusé de «piratage». Le rythme des changements techniques, combiné à un manque de compréhension au sein des systèmes législatif et judiciaire, a conduit à une législation mal rédigée et à une interprétation juridique de cette législation. Il y a eu un certain nombre de cas où des individus ont été accusés d'avoir rendu public les vulnérabilités d'accès aux données. Bien que de telles accusations ne donnent généralement pas lieu à une condamnation, il vaut mieux éviter les tracas potentiels que ce type d'accusation entraîne.

En effet. Surtout si l'université accepte de garder ces informations privées, cela pourrait être une énorme violation de leurs propres politiques.

Aux États-Unis, le simple fait d'écrire un simple script qui gratte de telles informations peut vous donner une phrase de 3,5 ans. Si l'université n'avait pas l'intention de rendre cette information publique, elle sera considérée comme une vulnérabilité.