December 2011 - nexa - server-nexa.polito.it

Re: [nexa] [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them

by vecna ~= Claudio Agosti

Andrea Glorioso wrote: > Questo assumendo che la piattaforma principe per il cloud computing > rimanga il Web (uso il termine per semplificare). Ma a seconda del > tipo di cloud di cui parliamo - sempre per semplificare, mi riferisco > ala categorizzazione del NIST: IaaS, PaaS, SaaS - questo potrebbe > non essere una precondizione. Dunque l'ostacolo a cui ti riferisci, > ovvero l'utilizzo quasi obbligato di Javascript, potrebbe non essere poi > un ostacolo così tremendo. > > O sbaglio? no, non sbagli, l'ostacolo javascript non c'e' nei casi che consideri, ma manca, anche a livello di studio concettuale, tutta la parte lato client. Nelle simulazioni fatte dal ricercatore, non ha realizzato un client. Si limita a dire che l'homomorphic encryption pura è troppo pesante per un client, e quindi il suo sistema risolve questo limite. ma non l'ha sviluppato: la parte client è interamente simulata nel suo db-proxy. Puo' uscire una cosa dalla dubbia sicurezza: con key escrow integrato, con chiavi storate da terze parti, con software di decifratura fornito da chi ha anche i dati, etc. Un protocollo crittografico che sfrutti questo CryptoDB, non è neppure abbozzato. a meno di sorprese, *il prodotto è lontano*, o quantomeno un prodotto sicuro. Anche i giudizi sul fatto che la ricerca complessiva sia andata in una direzione consona agli utenti, è sospesa alle prossime release :) ciao, -- Claudio Agosti ~ vecna one of the many `random GlobaLeaks developer` http://www.delirandom.net

Dec. 20, 2011

Rapporto ISTAT sulle nuove tecnologie

by MANTELERO ALESSANDRO

Dal Rapporto ISTAT "Cittadini e nuove tecnologie" (20.12.11): "Il 41,7% delle famiglie dichiara di non possedere l’accesso a Internet perché non ha le competenze per utilizzarlo; il 26,7% considera Internet inutile e non interessante, il 12,7% non ha accesso a Internet da casa perché accede da un altro luogo, l’8,5% perché considera costosi gli strumenti necessari per connettersi e il 9,2% perché ritiene eccessivo il costo del collegamento." http://www.istat.it/it/files/2011/12/ICT-famiglie-2011.pdf?title=Cittadini+… -- Avv. Alessandro Mantelero, PhD Confirmed Assistant Professor http://staff.polito.it/alessandro.mantelero Department of Production Systems and Business Economics Politecnico di Torino Corso Duca degli Abruzzi, 24 10129 Torino - Italy

Dec. 20, 2011

Re: [nexa] [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them

by Andrea Glorioso

Ciao Vecna, grazie per i chiarimenti. Solo un'osservazione. 2011/12/20 vecna ~= Claudio Agosti <vecna(a)globaleaks.org> > Andrea Glorioso wrote: > > Se ne parla da un po' di tempo e dunque vorrei sapere dagli esperti: > > parliamo di tecnologia che si può mettere in "produzione" oggi, o è un > > (importante) passo avanti nella ricerca in materia? > > ciao Andrea, beh, non è che sono proprio esperto, ma stavo rispondendo > sull'argomento: > > 1) https://en.wikipedia.org/wiki/Homomorphic_encryption è un'importante > buzzword degli ultimi anni :) > > 2) in questo paper, non fa riferimento costante all'HE, perché la > ricerca è stata: realizzare un software compatibile con mysql (per > dimostrare l'ipotetica aggiunta della sicurezza con il solo cambio di > storage) utilizzando una serie di tecniche aggregate. il lavoro di > ricerca, piu' che crittografico matematico, è stato di integrazione e > implementazione. > > 3) fa riferimento ad una serie di schemi crittografici di riferimento, > in tutti il key management è un elemento essenziale, non trattato. > > 4) non fa riferimento alle implementazioni client non teoriche. > > il 3 e 4 sono il mio cruccio sulla possibile rapida implementazione. > > Supponiamo che un utente voglia migrare i suoi dati su di un cloud > protetto, deve necessariamente avere sul suo computer il software in > grado di gestire le chiavi, cifrare i dati prima dell'invio, decifrarli > alla ricezione. > > Questo, se lo si applica al web, richiede un'implementazione di > cifratura-decifratura nell'unico linguaggio interpretato, standard, > esebuile sui broweser: javascript. > Questo assumendo che la piattaforma principe per il cloud computing rimanga il Web (uso il termine per semplificare). Ma a seconda del tipo di cloud di cui parliamo - sempre per semplificare, mi riferisco ala categorizzazione del NIST: IaaS, PaaS, SaaS - questo potrebbe non essere una precondizione. Dunque l'ostacolo a cui ti riferisci, ovvero l'utilizzo quasi obbligato di Javascript, potrebbe non essere poi un ostacolo così tremendo. O sbaglio? Ciao, -- I speak only for myself. Sometimes I do not even agree with myself. Keep it in mind. Twitter: @andreaglorioso Facebook: https://www.facebook.com/andrea.glorioso LinkedIn: http://www.linkedin.com/profile/view?id=1749288&trk=tab_pro

Dec. 20, 2011

Re: [nexa] [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them

by vecna ~= Claudio Agosti

Andrea Glorioso wrote: > Se ne parla da un po' di tempo e dunque vorrei sapere dagli esperti: > parliamo di tecnologia che si può mettere in "produzione" oggi, o è un > (importante) passo avanti nella ricerca in materia? ciao Andrea, beh, non è che sono proprio esperto, ma stavo rispondendo sull'argomento: 1) https://en.wikipedia.org/wiki/Homomorphic_encryption è un'importante buzzword degli ultimi anni :) 2) in questo paper, non fa riferimento costante all'HE, perché la ricerca è stata: realizzare un software compatibile con mysql (per dimostrare l'ipotetica aggiunta della sicurezza con il solo cambio di storage) utilizzando una serie di tecniche aggregate. il lavoro di ricerca, piu' che crittografico matematico, è stato di integrazione e implementazione. 3) fa riferimento ad una serie di schemi crittografici di riferimento, in tutti il key management è un elemento essenziale, non trattato. 4) non fa riferimento alle implementazioni client non teoriche. il 3 e 4 sono il mio cruccio sulla possibile rapida implementazione. Supponiamo che un utente voglia migrare i suoi dati su di un cloud protetto, deve necessariamente avere sul suo computer il software in grado di gestire le chiavi, cifrare i dati prima dell'invio, decifrarli alla ricezione. Questo, se lo si applica al web, richiede un'implementazione di cifratura-decifratura nell'unico linguaggio interpretato, standard, esebuile sui broweser: javascript. javascript, negli ultimi anni uno dei vettori piu' frequenti di attacchi client side, un linguaggio che ha obbligato i produttori di browser a deformare lo standard, per dare compatibilità con gli errori piu' frequenti nei siti web. codice eseguito sulle tue pagine web, che puo' manipolare tutto l'I/O web che fai. e codice che ricevi, senza aver strumenti di verifica, autenticazione, certificazione, da parte del sito web al quale ti colleghi. pertanto, chi ci offre lo storage protetto è anche quello che ci da il codice per usarlo. ma se non ti stavi fidando di lui, come puoi fidarti del codice che ti da ? short answer alla tua domanda: è un importante passo, per i back-end.

Dec. 20, 2011

Re: [nexa] Riconoscimento facciale, controllo, opt-it

by vecna ~= Claudio Agosti

MANTELERO ALESSANDRO wrote: > l'articolo offre spunti interessanti che vanno oltre il tema specifico e > si aprono ai profili etici > > http://lettura.corriere.it/internet-ti-guarda-in-faccia/ ciao a tutti :) è il mio primo messaggio in lista, ho già visto dei volti noti. ho letto l'articolo, è molto vario, bello che corriere.it abbia contenuti simili, quoto la parte conclusiva: > Google è convinto che così facendo l’azienda saprà sottrarsi a qualunque > accusa di comportamento immorale: dopo tutto, la scelta finale spetta > sempre all’utente! Il vero crimine tuttavia non è impedire agli utenti > di scegliere, bensì contribuire a diffondere una tecnologia che, come > Google e Facebook ben sanno, potrebbe recare danni incalcolabili. La loro > più grande ipocrisia sta proprio nel fingere di non sapere come andrà > realmente a finire questa storia. senza contare, anche se l'opt-in dovesse divenire la prassi: . le foto sono comunque reperibili online, in modo massivo ed automatizzabile, e sono acquisibili per la creazione di database biometrici facciali (l'unica difesa, da un crawler che acquisce i volti, è pubblicare volti offuscati di default: implausibile) . quando un utente accetta la scansione dei dati biometrici, non la sta accettando "sul suo volto", ma "sulle sue foto", e ottimi articoli introduttivi come quello del corriere, mancano sempre dell'unica difesa che esiste nei social network: una rete sociale cosciente. Amici con la quale hai vissuto dei momenti personali, che abbiano a cuore la privacy quanto tu l'hai. perché su una rete di N persone, basta uno che "prova la nuova feature" per mandare a ramengo tutti gli scrupoli degli N-1 amici. volevo segnalarvi questo studio portato avanti da Alberto Camozzo, http://tagmenot.info/ ipotizzava un meccanismo di explicit opt-out usando un qrcode caratteristico da appendere in luoghi|magliette|oggetti, così da usare la foto stessa come vettore dell'opt-out. ciao, C

Dec. 20, 2011

Re: [nexa] [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them

by Andrea Glorioso

Se ne parla da un po' di tempo e dunque vorrei sapere dagli esperti: parliamo di tecnologia che si può mettere in "produzione" oggi, o è un (importante) passo avanti nella ricerca in materia? Ciao, grazie, Andrea On Tuesday, December 20, 2011, J.C. DE MARTIN <demartin(a)polito.it> wrote: > Per citare Lauren "potentially a very big deal" - penso, oltre al resto, a cloud computing. > JC > > > Begin forwarded message: > > From: Lauren Weinstein <lauren(a)vortex.com> > Date: 19 dicembre 2011 23:07:34 CET > To: nnsquad(a)nnsquad.org > Subject: [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them > > > Computing On Encrypted Databases Without Ever Decrypting Them > > http://j.mp/w0NLE3 (Forbes) > > "Now the Google- and Citigroup-funded work of three MIT scientists > holds the promise of solving that long-nagging issue in some of the > computing world's most common applications. CryptDB, a piece of > database software the researchers presented in a paper (PDF here) at > the Symposium on Operating System Principles in October, allows users > to send queries to an encrypted set of data and get almost any answer > they need from it without ever decrypting the stored information, a > trick that keeps the info safe from hackers, accidental loss and even > snooping administrators. And while it's not the first system to offer > that kind of magically flexible cryptography, it may be the first > practical one, taking a fraction of a second to produce an answer > where other systems that perform the same encrypted functions would > require thousands of years." > > - - - > > CryptDB: Protecting Condentiality with > Encrypted Query Processing > > http://j.mp/u1INfV (MIT [PDF]) > > "It works by executing SQL queries over encrypted data using a > collection of efcient SQL-aware encryption schemes. CryptDB can > also chain encryption keys to user passwords, so that a data item > can be decrypted only by using the password of one of the users > with access to that data. As a result, a database administrator > never gets access to decrypted data, and even if all servers are > compromised, an adversary cannot decrypt the data of any user who > is not logged in." > > - - - > > Potentially a *very* big deal. > > --Lauren-- > Lauren Weinstein (lauren(a)vortex.com) http://www.vortex.com/lauren > Co-Founder: People For Internet Responsibility: http://www.pfir.org > Founder: > - Network Neutrality Squad: http://www.nnsquad.org > - Global Coalition for Transparent Internet Performance: http://www.gctip.org > - PRIVACY Forum: http://www.vortex.com > Member: ACM Committee on Computers and Public Policy > Blog: http://lauren.vortex.com > Google+: http://vortex.com/g+lauren > Twitter: https://twitter.com/laurenweinstein > Tel: +1 (818) 225-2800 / Skype: vortex.com > > _______________________________________________ > nnsquad mailing list > http://lists.nnsquad.org/mailman/listinfo/nnsquad > > -- -- I speak only for myself. Sometimes I do not even agree with myself. Keep it in mind. Twitter: @andreaglorioso Facebook: https://www.facebook.com/andrea.glorioso LinkedIn: http://www.linkedin.com/profile/view?id=1749288&trk=tab_pro

Dec. 20, 2011

Fwd: [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them

by J.C. DE MARTIN

Per citare Lauren "potentially a very big deal" - penso, oltre al resto, a cloud computing. JC Begin forwarded message: > From: Lauren Weinstein <lauren(a)vortex.com> > Date: 19 dicembre 2011 23:07:34 CET > To: nnsquad(a)nnsquad.org > Subject: [ NNSquad ] Computing On Encrypted Databases Without Ever Decrypting Them > > > Computing On Encrypted Databases Without Ever Decrypting Them > > http://j.mp/w0NLE3 (Forbes) > > "Now the Google- and Citigroup-funded work of three MIT scientists > holds the promise of solving that long-nagging issue in some of the > computing world's most common applications. CryptDB, a piece of > database software the researchers presented in a paper (PDF here) at > the Symposium on Operating System Principles in October, allows users > to send queries to an encrypted set of data and get almost any answer > they need from it without ever decrypting the stored information, a > trick that keeps the info safe from hackers, accidental loss and even > snooping administrators. And while it's not the first system to offer > that kind of magically flexible cryptography, it may be the first > practical one, taking a fraction of a second to produce an answer > where other systems that perform the same encrypted functions would > require thousands of years." > > - - - > > CryptDB: Protecting Condentiality with > Encrypted Query Processing > > http://j.mp/u1INfV (MIT [PDF]) > > "It works by executing SQL queries over encrypted data using a > collection of efcient SQL-aware encryption schemes. CryptDB can > also chain encryption keys to user passwords, so that a data item > can be decrypted only by using the password of one of the users > with access to that data. As a result, a database administrator > never gets access to decrypted data, and even if all servers are > compromised, an adversary cannot decrypt the data of any user who > is not logged in." > > - - - > > Potentially a *very* big deal. > > --Lauren-- > Lauren Weinstein (lauren(a)vortex.com) http://www.vortex.com/lauren > Co-Founder: People For Internet Responsibility: http://www.pfir.org > Founder: > - Network Neutrality Squad: http://www.nnsquad.org > - Global Coalition for Transparent Internet Performance: http://www.gctip.org > - PRIVACY Forum: http://www.vortex.com > Member: ACM Committee on Computers and Public Policy > Blog: http://lauren.vortex.com > Google+: http://vortex.com/g+lauren > Twitter: https://twitter.com/laurenweinstein > Tel: +1 (818) 225-2800 / Skype: vortex.com > > _______________________________________________ > nnsquad mailing list > http://lists.nnsquad.org/mailman/listinfo/nnsquad >

Dec. 20, 2011

Riconoscimento facciale, controllo, opt-it

by MANTELERO ALESSANDRO

l'articolo offre spunti interessanti che vanno oltre il tema specifico e si aprono ai profili etici http://lettura.corriere.it/internet-ti-guarda-in-faccia/ -- Avv. Alessandro Mantelero, PhD Confirmed Assistant Professor http://staff.polito.it/alessandro.mantelero Department of Production Systems and Business Economics Politecnico di Torino Corso Duca degli Abruzzi, 24 10129 Torino - Italy

Dec. 19, 2011

Re: [nexa] ordinanza 337 2011

by Marcello Mustilli

Concordo. Inevitabilmente (date le circostanze) pilatesca. Marcello Mustilli Carlo Blengino ha scritto in data 18/12/2011 10:19: > Il realtà è una "non sentenza": la Corte prende la via breve > dell'inammissibilità della questione per irrilevanza nel caso concreto > (e tecnicamente ha ragione anche se l'accrocchio giuridico è un pò > delirante) > In sintesi: > L'editore e il proprietario della testata sono responsabili dei danni > insieme al giornalista che commette la diffamazione. > Questo principio si applica alla "stampa". > Per la legge del '47 "Sono considerate stampe o stampati, ai fini di > questa legge, tutte le riproduzioni tipografiche o comunque ottenute > con mezzi meccanici o fisico-chimici in qualsiasi modo destinate alla > pubblicazione". > Dunque la testata on line o i siti web non sono disciplinati da questa > legge e quella responsabilità solidale non può esser invocata. Fin qui > tutti d'accordo. > Il Tribunale chede alla Corte: siccome di fatto la situazione è > identica tra stampa e on line, c'è una disparità di trattamento: chi è > leso da un giornale può prender i soldi del risarcimento non solo dal > giornalista imprudente (o incapace e magari povero e incapiente) ma > anche da editore e proprietario. Chi viene diffamato on line no! > Questo contrasta col principio di uguaglianza. > La Corte dice: se anche noi ti dessimo ragione, dicendo che quella > norma è sbagliata e deve esser intesa come applicabile alle testate on > line (cosa che per altro a mio giudizio comunque la Corte non potrebbe > fare senza sostituirsi al legislatore), tu giudice non potresti > applicarla al caso che stai giudicando, perchè la nostra sentenza > "additiva" (cioè che aggiunge una responsabilità che prima non c'era) > vale solo dalla pronuncia in avanti e la responsabilità del > proprietario del sito nel tuo caso ovviamente sarebbe sorta prima, > dunque, la nostra pronuncia è irrilevante nel caso che stai trattando. > Poichè la nostra pronuncia, qualunque possa essere non ti sarebbe > utile, evita caro Tribunale di rompere le scatole con richieste che > non hanno rilevanza nel tuo caso. > Amen. > > > > > > Inviato da iPad2 > > > Il giorno 18/dic/2011, alle ore 09:31, "J.C. DE MARTIN" > <demartin(a)polito.it <mailto:demartin@polito.it>> ha scritto: > >> Grazie molte. >> >> Chi la può riassumere in maniera accessibile anche per non giuristi? >> >> juan carlos >> >> >> >> On 18/12/11 03:57, Valerio Lubello wrote: >>> Cari tutti, >>> segnalo importante ordinanza corte cost., >>> http://www.medialaws.eu/corte-costituzionale-ordinanaza-n-337-2011/ >>> >>> valerio >>> >>> >>> _______________________________________________ >>> nexa mailing list >>> nexa(a)server-nexa.polito.it >>> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Dec. 19, 2011

Rif: Causa (ma anche no) ed effetto!

by a.dicorinto＠uniroma1.it

Dec. 18, 2011