Przepraszam za brak wiedzy w tej sprawie.

Nie powinieneś.

Czy jest to powszechnie uznana praktyka czy uniwersytety mają ujawniać nazwiska i adresy studentów?

Jak wskazano w komentarzach, zależy to od lokalnych praw i przepisów. Na pewno powinieneś to raz sprawdzić. Ale sposób, w jaki opisujesz aplikację (zmieniając adres URL, aby uzyskać szczegółowe informacje, w tym wynik), brzmi jak błąd, który z pewnością powinien zostać zgłoszony.

Czy jest to powszechnie zatwierdzona praktyka dla uniwersytetów że silne zabezpieczenia związane z imieniem i nazwiskiem i adresem nie są ważne?

Nie, czy to uniwersytet, duża korporacja międzynarodowa, małe przedsiębiorstwo, czy Twoje osobiste konto, bezpieczeństwo jest ZAWSZE ważne.

Czy to poważny atak i czy muszę im to zgłosić? Czy można go po prostu zignorować?

Tak, musisz jak najszybciej zgłosić to na uniwersytecie. Nie należy tego ignorować.

EDYCJA: Jak wskazano w komentarzach, jest kilka uniwersytetów, które pozwalają na upublicznianie adresów studentów.

Jest to luka w zabezpieczeniach, sposób, w jaki wykorzystali sekwencjonowane zgadywalne liczby, aby uzyskać dostęp do rekordów, jest klasą podatności zwaną Insecure Direct Object Reference i jest opisywana na liście OWASP Top 10 ( https://www.owasp.org /index.php/Top_10_2013-A4-Insecure_Direct_Object_References)

W zależności od tego, gdzie na świecie mieszkasz, uniwersytet może naruszać przepisy o ochronie danych. Przynajmniej jest to słaba kontrola danych i narusza twoją prywatność, z pewnością powinieneś im o tym powiedzieć.

Ponieważ uniwersytet znajduje się w Wielkiej Brytanii, jest to prawie na pewno naruszenie DPA 1998. Oznacza to, że nie jest to wyłącznie kwestia „bezpieczeństwa”.

Adres zamieszkania ucznia z pewnością liczyłby się jako „dane osobowe” w rozumieniu ustawy. Fakt, że możesz odzyskać dane w ten sposób, jest, jestem bardzo pewien, naruszeniem zasady 7, a prawdopodobnie także 6 i 8). Zgodnie z zasadą dane osobowe muszą być

1. przetwarzane rzetelnie i zgodnie z prawem;
2. przetwarzane w ograniczonych celach;
3. adekwatne , odpowiednie i nie nadmierne;
4. dokładne;
5. nie przechowywane dłużej niż jest to konieczne;
6. przetwarzane zgodnie z prawami użytkowników;
7. bezpieczny; i
8. nie zostały przeniesione poza EOG.

Fakt, że musiałeś bardzo zhakować to, aby uzyskać informacje, nie zmienia się rzeczy: oznacza to, że nie jest to bezpieczne. Zasada 7 w całości brzmi: „Należy podjąć odpowiednie środki techniczne i organizacyjne przeciwko niedozwolonemu lub niezgodnemu z prawem przetwarzaniu danych osobowych oraz przypadkowej utracie, zniszczeniu lub uszkodzeniu danych osobowych”.

Ostatni stopień klasyfikacja liczyłaby się jako dane publiczne, w tym sensie, że częścią umowy z uniwersytetem jest powiedzenie ludziom, że ukończyłeś szkołę. Oceny wewnętrzne / pośrednie prawdopodobnie nie liczyłyby się jako dane publiczne (a „prawdopodobnie” oznacza, że ​​musiałby istnieć pozytywny argument, że zostały one uznane za publiczne, zanim będzie można je udostępnić w ten sposób).

Uczelnia powinna mieć biuro / oficera DPA, który podejmie działania balistyczne, gdy im to zgłosisz (i myślę, że powinieneś), i powinien być w stanie uzyskać presję na bardzo wysokie stanowisko, aby to zmienić. Może wydawać się, że nie robią dużego zamieszania w odpowiedzi na pańskie sprawozdanie, ale mam nadzieję, że natychmiast podejmą wewnętrzne działania. Jeśli nie naprawią tego szybko (a może nawet jeśli nie widzisz natychmiastowych dowodów , że to zrobili), zgłoś do ICO, zgodnie z sugestią według komentarza @ daiscog, byłoby właściwe.

Jeśli chodzi o kwestię zgłaszania tego anonimowo, możesz, jeśli chcesz, ale mam nadzieję, że to nie będzie miało znaczenia i że DP Office będzie odpowiednio dyskretne ( to w dużej mierze ich problem, a nie twój). Gdyby nastąpił jakikolwiek powrót, jestem pewien, że ICO byłaby bardzo zainteresowana, gdyby się o tym dowiedział.

W rzeczywistości jestem oficerem DP na naszym (brytyjskim) wydziale uniwersyteckim , i wiem, jak ja lub biuro DP uniwersytetu zareagowalibyśmy na wiadomość o tym.

(Pierwotnie zamieściłem to jako komentarz, ale po refleksji rozszerzyłem go na odpowiedź)

Możliwe, że jest to zgodne z projektem i nie jest uważane za wyciek poufnych informacji. Gdyby spojrzeć na internetowe katalogi, MIT, CMU, Stanford i inne, myślę, że wszystkie publicznie wymieniają katalogi studentów i pracowników.

Uniwersytety w Stanach Zjednoczonych są generalnie bardziej zaniepokojone FERPA, która chroni dane dotyczące edukacji studentów.

„Informacje z katalogu”, takie jak imię i nazwisko, adres, stan rejestracji i daty, nie są domyślnie chronione. Tutaj jest dobra lista tego, co kwalifikuje się jako informacje katalogowe i może zostać ujawnione opinii publicznej. Odpowiednie zastrzeżenie brzmi:

Informacje z katalogu studenta mogą zostać udostępnione pytającemu poza Uniwersytetem, chyba że student wyraźnie zażąda, aby informacje z katalogu nie zostały ujawnione.

Na twoim miejscu rozglądałbym się za polityką prywatności przed skontaktowaniem się z uniwersytetem. Prawdopodobnie jest to zamierzone. Twoja uczelnia prawdopodobnie ma klauzulę rezygnacji, aby chronić informacje z katalogu.

Ponadto większość witryn ma swoje katalogi na listach do indeksowania, więc Twoje rekordy nie są dostępne online w wyszukiwarkach. Możesz sprawdzić plik robots.txt.

Biorąc to pod uwagę, oceny nigdy nie powinny być ujawniane. W praktyce, w rzadkim przypadku FERPA, oceny odnoszą się do ocen listowych / transkrypcyjnych, a nie do indywidualnych ocen w klasie, które czasami są uważane za „notatki wykładowcy”.

Chociaż odpowiedź została zaakceptowana i zarówno Priyank, jak i Iain przedstawiają kilka dobrych punktów, myślę, że warto przyjrzeć się dokładniej pytaniu, czy są to dane wrażliwe.

Po pierwsze, jest coś różnicy między wynikami egzaminów (zazwyczaj student będzie miał wiele egzaminów w trakcie studiów) a kwalifikacjami (tj. ostatecznym nadaniem przez uczelnię). Można więc wywnioskować, czy dana osoba jest obecnie studentem.

Te informacje otwierają drzwi dla wszelkiego rodzaju ukierunkowanego phishingu - osób udających pożyczkę studencką, oferujących refinansowanie lub udających oficjalnych organizacje absolwentów.

Jest to również wielki atut w przypadku fałszowania tożsamości. Chociaż nigdy nie spotkałem się z pytaniem, które chciałbym mieć dwa czynniki dotyczące szkolnictwa wyższego („Jaka była nasza pierwsza szkoła” nadal wydaje się powszechne), taka usługa ułatwiłaby oszukańcze wnioski o pracę / kredyt .

W związku z tym pytanie, czy jest to objęte polityką prywatności organizacji, czy lokalnymi przepisami, jest dyskusyjne: stanowi zaniedbanie obowiązku opieki nad studentami / absolwentami przez dostawców.

Ale z drugiej strony wydaje mi się szalone, że jedynym sposobem, w jaki mogę udowodnić komuś, kto o to pyta (np. Potencjalnemu pracodawcy), jakie mam stopnie naukowe, jest pokazanie mu kawałka papieru (stosunkowo łatwy do sfałszowania). Ale wyobrażam sobie, że większość ludzi, którzy to czytają, byłaby w stanie wymyślić proste, skuteczne sposoby bezpiecznego ujawnienia takich informacji.

Osobiście najbardziej martwi mnie to, że system ujawnia identyfikator rejestracji uczniów.

Nie wiem, jak się sprawy mają na waszej uczelni, ale jako student pisaliśmy RI na arkuszach odpowiedzi egzaminacyjnych, żeby oceniający nie wiedzieli, kto jest kim.

Na twoim uniwersytecie oceniający mogą sprawdzić, kto jest kim i jest to moim zdaniem poważne naruszenie bezpieczeństwa.

Jeśli informacje o ocenach uczniów pozwalają na osobistą identyfikację osoby, jest to prawie na pewno problem. Jeśli z drugiej strony widzisz tylko stopnie związane z jakąś nieznaną osobą, tj. Związane z jakąś liczbą, ale nie możesz dokładnie określić, kogo ta liczba reprezentuje, to może nie być traktowane jako kwestia bezpieczeństwa, ponieważ można argumentować, że dane zostały zanonimizowane . Wiele zależy od obowiązującego prawa dotyczącego prywatności (najprawdopodobniej ustawodawstwa Wielkiej Brytanii, ale może na to wpłynąć kraj, w którym dane są przechowywane / zlokalizowane, oraz polityka prywatności instytucji. Na przykład studenci mogą być zobowiązani do wyrażenia zgody na udostępnienie wyników) dane są udostępniane publicznie w ramach warunków rejestracji. Jest to jednak mało prawdopodobne.

W większości krajów obowiązują przepisy dotyczące prywatności, które określają, co jest uważane za dane prywatne lub osobowe, aw niektórych przypadkach nakładają dodatkowe obowiązki na hosting organizacji w odniesieniu do poziomu uprawnień, jakie muszą uzyskać od osoby fizycznej, aby upublicznić dane i jakie działania muszą podjąć, jeśli dane zostaną przypadkowo ujawnione lub naruszone w wyniku pewnego rodzaju naruszenia bezpieczeństwa. Na przykład w USA, jeśli firma ma incydent, w którym dane osobowe są celowo lub przypadkowo narażone na szwank, a dane mogą mieć skutki finansowe, takie jak ujawnienie szczegółów karty kredytowej, organizacja jest zobowiązana do zapewnienia usług monitorowania kredytów osobom, których to dotyczy, przez określony czas. W niektórych krajach obowiązują również przepisy dotyczące zgłaszania i powiadamiania o naruszeniach danych, które wymagają od organizacji powiadamiania osób fizycznych i często organu centralnego o naruszeniu danych.

Niestety, rządy miały trudności z opracowaniem jasnego i spójnego ustawodawstwa dotyczącego prywatności i utrzymania ustawodawstwo, które jest w stanie nadążyć za technologią. Między krajami istnieją znaczne różnice z różnym naciskiem i celami. Na przykład Stany Zjednoczone mają znaczne polityki dotyczące prywatności i obowiązkowego zgłaszania, ale mają również przepisy dotyczące bezpieczeństwa wewnętrznego i zwalczania terroryzmu, które według niektórych zagrażają prywatności danych osobowych. Niemcy i wiele innych krajów europejskich ma różne surowe przepisy dotyczące ochrony prywatności. Australia stosunkowo niedawno zaktualizowała przepisy dotyczące prywatności, ale ma trudności z wprowadzeniem obowiązkowych przepisów dotyczących zgłaszania naruszeń danych itp.

Z twojego opisu podejrzewam, że rzeczywiście odkryłeś lukę w dostępie do danych i prawie na pewno powinieneś zgłosić to Uniwersytetowi. Niestety, nie zawsze łatwo jest dowiedzieć się, jak zgłosić takie problemy. Pierwszym miejscem do sprawdzenia byłoby przyjrzenie się polityce prywatności organizacji. Jest również prawdopodobne, że w Wielkiej Brytanii istnieje organ centralny, taki jak osoba zajmująca się ochroną prywatności, której możesz również zgłosić ten problem.

Należy również pamiętać, że należy zachować ostrożność podczas uzyskiwania dostępu do tych danych, zwłaszcza opisaną przez Ciebie technikę manipulowania adresami URL lub podanie szczegółowych informacji dotyczących sposobu uzyskiwania dostępu do danych. W niektórych krajach można argumentować, że złamałeś prawo i możesz zostać oskarżony o „włamanie”. Tempo zmian technicznych w połączeniu z brakiem zrozumienia w ramach systemów prawnych i sądowych doprowadziło do powstania niektórych źle opracowanych przepisów i interpretacji prawnej tych przepisów. Odnotowano szereg przypadków, w których osoby zostały oskarżone o publikowanie informacji o lukach w dostępie do danych. Chociaż takie oskarżenia zwykle nie prowadzą do skazania, najlepiej unikać potencjalnych kłopotów, jakie niosą ze sobą tego rodzaju oskarżenia.

Rzeczywiście. Zwłaszcza jeśli uniwersytet zgodzi się zachować takie informacje w tajemnicy, może to być poważne naruszenie ich własnych zasad.

W Stanach Zjednoczonych samo napisanie prostego scenariusza, który usunie takie informacje, może dać ci 3,5 roku wyroku. Jeśli uniwersytet nie zamierzał upublicznić tych informacji, zostanie to uznane za lukę.