Zus\u00e4tzlich kann aber auch f\u00fcr den Fall zu langweiliger Matrikelnummern Abhilfe geboten werden. Matrikel 14585 zu langweilig? 16384 schon vergeben? Wie w\u00e4re es mit 31337 oder 65536? Auch hier sorgt die gut durchdachte Verifikation f\u00fcr eine nie geahnte Plausibilit\u00e4tspr\u00fcfung.<\/p>\n
Wer nun aber denkt, dass man sich beliebig g\u00fcltige Bescheinigungen ausstellen kann, liegt etwas falsch, denn zumindest in diesem Punkt ist das System gelungen: Man ben\u00f6tigt zumindest ein Original seiner Bescheinigung, kann dann aber abgesehen vom Verifikationscode, Ausstelldatum, seinem Namen und dem G\u00fcltigkeitssemester eigentlich alles andere nach Belieben \u00e4ndern. Auch die nicht vorhandenen Sicherheitsmerkmale in der PDF \u00e4ndern hieran nicht viel, auch wenn man bestimmte Felder in der PDF realistisch belegen sollte. Bei der Gelegenheit kann man aber auch dem sekundengenauen Ausstellungszeitstempel Abhilfe schaffen.<\/p>\n
Wer sich zus\u00e4tzlich auch den Semesterbeitrag sparen m\u00f6chte, kann sich f\u00fcr einen kleinen Obolus eine der Hochschulseite nachempfundene Webpr\u00e4senz bauen, auf der er seine eigenen Codes generell als g\u00fcltig betrachtet. Dieser Angriff wird m\u00f6glich, da auf dem Dokument der Link f\u00fcr die Verifikation mit aufgedruckt ist und damit unter Kontrolle f\u00fcr eine Nachbearbeitung steht. W\u00e4re neben dem direkten Link auch ein ergooglebarer Klickpfad genannt, w\u00fcrde dieser Weg zumindest erschwert: Denn wer gibt schon 1000 Euro f\u00fcr SEO aus, um 200 Euro mehr BaF\u00f6G zu bekommen?<\/p>\n
Insgesamt ist das elektronische Ausstellen der Bescheinigungen ein durchaus zu begr\u00fc\u00dfender Fortschritt, wenn auch noch einige Kinderkrankheiten zu beheben sind.<\/p>\n
Anm.: Die hier beschriebenen Hacks wurdem dem Rechenzentrum bereits mitgeteilt und um Behebung gebeten (auch aus Datenschutz-Sicht). Mindestens die Verifizierbarkeit der Dokumente wurde seither schon stark verbesssert. Dieser Beitrag dient ausschlie\u00dflich der Dokumentation. Wer dies real einsetzt, kann sich einer Urkundenf\u00e4lschung bzw. Phishing strafbar machen.<\/strong><\/p>\n
![\"Flattr](\"http:\/\/blog.benny-baumann.de\/wp-content\/plugins\/flattr\/img\/flattr-badge-large.png\"){kind=icon}
<\/a><\/p>","protected":false},"excerpt":{"rendered":"