Dzień Zaduszny z internetowym lokalizatorem

Zarząd Cmentarzy Komunalnych w Krakowie jest zakładem budżetowym, powstałym w maju 1992 roku z przekształcenia Miejskiego Przedsiębiorstwa Usług Komunalnych. Taki Zarząd służy do realizacji szeregu zadań, które wynikają z szeregu ustaw, rozporządzeń, uchwał... Krakowski Zarząd ma np. "Lokalizator internetowy", który "obejmuje wszystkie cmentarze komunalne w Krakowie, z wyjątkiem części Cmentarza Rakowickiego, gdzie trwają prace inwentaryzacyjne". Jeden z czytelników podzielił się dziś ze mną swoimi uwagami dotyczącymi tego lokalizatora...

Zanim oddam głos czytelnikowi, to wcześniej podlinkuję stronę internetową zarówno samego Zarządu Cmentarzy Komunalnych w Krakowie, jak i lokalizatora. A dla lepszego zrozumienia listu, który cytuję poniżej, warto jeszcze podlinkować tekst "Nie można przełamać czegoś, co nie istnieje" - polski wyrok w sprawie SQL Injection, bo trochę o SQL Injection, ale także o zamówieniach informatycznych dla szeroko pojętej administracji publicznej będzie w liście:

Krakowski Zarząd Cmentarzy Komunalnych ma swoją stronę. No i dobrze. Na stronie jest lokalizator grobów - nawet lepiej, w końcu na dużych nekropoliach kwater jest tak wiele, że nadawane im z przyzwyczajenia oznaczenia w numeracji rzymskiej zamieniają się w olbrzymie ciągi znaków (LXXXVIII na przykład), stąd taka wyszukiwarka staje się nieodzowna.

Kiedyś w ZCK Kraków była sobie fajna, działająca wyszukiwarka. Dziś wchodzę na stronę i... nie mogę nikogo znaleźć. Hmmm... może przenieśli? Jakaś ekshumacja masowa czy coś... Ale grobu mojej babci także nie ma, mimo że wczoraj zapalałem na nim znicz...

Kiełkująca hipoteza znalazła potwierdzenie w momencie, gdy postanowiłem poszukać grobu ojca mego kolegi. Pan ów nosił dość popularne w Polsce nazwisko "Zając". Tym razem zamiast lakonicznego "brak danych" serwer odpisał mi iż wystąpił "Uncaught exception", oraz że klauzula WHERE zapytania sql ma postać między innymi "and deceased_sex = 'm' and deceased_name = 'zajÄ?c'". No cóż - nie dziwię się że takiej sieczki serwer nie znalazł...

Pamiętając sprawę z luksusowymi samochodami i ich stroną, zrobiłem kilka testów, między innymi wprowadzając znak ' (apostrof), który jest podstawą do robienia wszelkiego rodzaju sql-injection, ale występuje też w nazwiskach osób mających polskie obywatelstwo. Akurat to działało poprawnie i sqlinjection by się tak zrobić nie dało. Ufff. Niemniej jednak serwis jest jednym wielkim bublem. Zrobionym za pieniądze podatników.

I tu następuje clue programu:
Skoro serwis został wdrożony, należy domniemywać, że ktoś (nie znany mi z nazwiska urzędnik zapewne) podpisał protokół odbioru. I tu się pojawia wątpliwość: skoro system "wywala" się na tak banalnej sprawie jak polskie znaki w imieniu lub nazwisku oraz skoro nie da się w nim znaleźć danych faktycznie istniejących grobów, to można wyciągnąć wniosek, że urzędnik podpisał odbiór systemu zupełnie nie sprawdzając czy system działa. Mówiąc wprost: urząd totalnie olał sprawę. Jakoś mi się pałęta po głowie, że to się chyba nazywa "niedopełnienie obowiązków" i jest przestępstwem... Czy więc ja, który to "wykryłem" nie mam teraz obowiązku udać się do prokuratury i poinformować ją o tym (bo jak tego nie zrobię to ukrywam fakt zaistnienia przestępstwa?)?

To jednak nie wszystko: pytanie można rozszerzyć (i dlatego piszę Pana): czy jako obywatele, my wszyscy, widząc RAŻĄCE przypadki brakoróbstwa w tworzonych za publiczne pieniądze systemach informatycznych nie jesteśmy zobowiązani do informowania prokuratury o przekraczaniu przez urzędników uprawnień? I to na skalę masową? Nie jestem prawnikiem (tylko informatykiem) i jedynie staram się zachować jakąś logikę wywodu, ale wnioski do których dochodzę są właściwie przerażające...

Pozdrawiam