November 2016 - nexa - server-nexa.polito.it

Re: [nexa] Responsabilità dei software vendor in merito alle falle di sicurezza

by mutek＠riseup.net

On 30/11/2016 16:00, Fabio Pietrosanti (naif) - lists wrote: > > On 11/29/16 12:26 PM, Andrea Glorioso wrote: >> "Perché non si può uccidere l'innovazione." >> >> (Cose sentite da una decina d'anni a questa parte, quando appunto su a >> Bruxelles si cercava di ragionare su come assicurarsi che l'industria >> delle TIC fosse sostenibile. All'epoca, alcuni avevano già previsto ciò >> che oggi Bruce Schneier e altri vanno a dire al Congresso degli Stati >> Uniti, ovvero che Internet non è più solo foto di gattini, e per inciso >> non lo era nemmeno dieci anni fa quando Schneier & co dicevano cose un >> po' diverse di oggi.) >> >> Comunque io ero e resto convinto che (1) le responsabilità civili e >> penali, specialmente per dolo o colpa grave e/o per attività in cui è >> richiesta più della cura del "pater familias" (se è ancora questa la >> terminologia usata) non sono automaticamente obliterate da EULA >> fantasiose, e che (2) chi richiede software (che sia embedded o meno) >> per attività tipo gestire le turbine di una centrale nucleare, ha i >> soldi e le leve politiche per richiedere eccome al "vendor" l'assunzione >> di responsabilità precise in caso di malfunzionamento. Bisogna vedere se >> ne ha l'intelligenza e la volontà. > Ci vorrei aggiungere una riflessione che parte da questo tuo spunto. > > C'è software e software, ovvero ci sono software a rischio sistemico > (es: Internet Explorer, Chrome, Acrobat Reader, Mac OS X, etc) e > software che no (Impara a Cucinare 3.2, DisegnareGiardini 2.0) . > > Per il mondo delle banche la regolamentazione è stata differenziata fra > quelle a rischio sistemico (es: Unicredit) e quelle che no (es: Cassa > rurale di Cantù). > > Secondo questa riflessione, penso che debbano esserci delle > responsabilità ben definite, aldilà delle EULA, per i software vendor > che producono e distribuiscono software a rischio sistemico. > > Per rischio sistemico intendo una definizione, che può essere più o meno > articolata, di software diffusi su più dell'x% dei dispositivi in mano a > cittadini ed aziende (es: =>5% dei dispositivi?) . > > Per un software che è così ampiamente diffuso, avrebbe senso introdurre > dei criteri di responsabilità civile laddove vi siano delle falle di > sicurezza e come sia possibile risolvere queste falle (vedi: > impossibilità di aggiornare iPhone4 per il risolvere problemi di > sicurezza ad esempio). > > Ma questo lo dovrebbe fare "il legislatore"(c). > > Che ne dis? > se il kernel GNU/Linux fosse a rischio sistemico, sarebbe giusto rinegoziare tutto?(ed anche praticabile?) abbiamo bisogno di freak controllare la responsabilita di gnu.org per il middle layer GNU? Se un appliance FreeNAS ci distrugge i dati per i soliti motivi entropici con chi ce la prendiamo con iXsystems o con la FreeBSD foundation o con Oracle (per lo ZFS)? Forse uno spartiacque del tipo: mission critical vs tutto il resto dove il distributore è chiamato in causa a garante della catena e risponde in solido buone pensate salut

Nov. 30, 2016

Fwd: Intorno ai media - Seminario 6 dicembre - Ripensare il gioco. A partire da Jouer di Roberte Hamayon

by J.C. DE MARTIN

Ricevo e volentieri inoltro. juan carlos -------- Forwarded Message -------- Subject: Intorno ai media - Seminario 6 dicembre - Ripensare il gioco. A partire da Jouer di Roberte Hamayon Resent-Date: Wed, 30 Nov 2016 18:02:50 +0100 Resent-From: d004620(a)polito.it Date: Wed, 30 Nov 2016 18:02:44 +0100 From: Storia Dei Media DS <storiadeimedia.ds(a)unito.it> I docenti e i ricercatori in Storia e Teoria dei Media dell'Università di Torino vi invitano al prossimo seminario della serie “Intorno ai media – Scambi e discussioni”, dal titolo Ripensare il gioco A partire da /Jouer/ di Roberte Hamayon che si terrà *Martedì 6 dicembre 2016 - ore 9:30-13:00 Campus Luigi Einaudi, Lungo Dora Siena 100A, aula H2 Introduce *Peppino Ortoleva(Università di Torino, Dipartimento di Studi Umanistici) *Intervengono** *Roberte Hamayon (École pratique des hautes études, Parigi)* */Jouer. Che cosa sappiamo sul gioco/* *Paolo Bory (Università della Svizzera Italiana)* */Giocatori d’artificio. La narrazione del computer in 70 anni di sfide con l'umano/* *Riccardo Fassone (Università di Torino)* */Giochi seri e serious games/* Discussant *Lia Emilia Zola (Università di Torino)* * In allegato la locandina dell'evento

Nov. 30, 2016

Re: [nexa] Responsabilità dei software vendor in merito alle falle di sicurezza

by Fabio Pietrosanti (naif) - lists

On 11/29/16 12:26 PM, Andrea Glorioso wrote: > "Perché non si può uccidere l'innovazione." > > (Cose sentite da una decina d'anni a questa parte, quando appunto su a > Bruxelles si cercava di ragionare su come assicurarsi che l'industria > delle TIC fosse sostenibile. All'epoca, alcuni avevano già previsto ciò > che oggi Bruce Schneier e altri vanno a dire al Congresso degli Stati > Uniti, ovvero che Internet non è più solo foto di gattini, e per inciso > non lo era nemmeno dieci anni fa quando Schneier & co dicevano cose un > po' diverse di oggi.) > > Comunque io ero e resto convinto che (1) le responsabilità civili e > penali, specialmente per dolo o colpa grave e/o per attività in cui è > richiesta più della cura del "pater familias" (se è ancora questa la > terminologia usata) non sono automaticamente obliterate da EULA > fantasiose, e che (2) chi richiede software (che sia embedded o meno) > per attività tipo gestire le turbine di una centrale nucleare, ha i > soldi e le leve politiche per richiedere eccome al "vendor" l'assunzione > di responsabilità precise in caso di malfunzionamento. Bisogna vedere se > ne ha l'intelligenza e la volontà. Ci vorrei aggiungere una riflessione che parte da questo tuo spunto. C'è software e software, ovvero ci sono software a rischio sistemico (es: Internet Explorer, Chrome, Acrobat Reader, Mac OS X, etc) e software che no (Impara a Cucinare 3.2, DisegnareGiardini 2.0) . Per il mondo delle banche la regolamentazione è stata differenziata fra quelle a rischio sistemico (es: Unicredit) e quelle che no (es: Cassa rurale di Cantù). Secondo questa riflessione, penso che debbano esserci delle responsabilità ben definite, aldilà delle EULA, per i software vendor che producono e distribuiscono software a rischio sistemico. Per rischio sistemico intendo una definizione, che può essere più o meno articolata, di software diffusi su più dell'x% dei dispositivi in mano a cittadini ed aziende (es: =>5% dei dispositivi?) . Per un software che è così ampiamente diffuso, avrebbe senso introdurre dei criteri di responsabilità civile laddove vi siano delle falle di sicurezza e come sia possibile risolvere queste falle (vedi: impossibilità di aggiornare iPhone4 per il risolvere problemi di sicurezza ad esempio). Ma questo lo dovrebbe fare "il legislatore"(c). Che ne dis? Fabio

Nov. 30, 2016

8° Conferenza Annuale del Centro Nexa - 2 dicembre 2016

by Francesco Ruggiero

*REMINDER*: Vi ricordiamo che l'edizione 2016 della Conferenza Nexa sul tema: "*Internet delle cose: Inferno o paradiso?*" si svolgerà il *2 dicembre 2016* dalle ore 9.30 alle ore 13 presso la Sala "Luigi Ciminiera" del Dipartimento di Automatica e Informatica del Politecnico di Torino. Maggiori informazioni e il programma della conferenza sono disponibili sul sito del Centro Nexa su Internet & Società all'indirizzo: http://nexa.polito.it/conf2016. Registrazione obbligatoria all'indirizzo: http://nexa2016.eventbrite.com. Webcast live all'indirizzo: http://nexa.polito.it/upcoming-events. Cordiali saluti, Francesco Il giorno 23 novembre 2016 15:13, Francesco Ruggiero < francesco.ruggiero(a)polito.it> ha scritto: > > <http://nexa.polito.it/> > > *Conferenza Nexa su Internet & Società 2016* > > *Internet delle cose: Inferno o Paradiso?* > *2 dicembre 2016* > ------------------------------ > > > Sala Conferenze “Luigi Ciminiera” > <http://www.polito.it/ateneo/sedi/index.php?bl_id=TO_CIT11&fl_id=XP05&rm_id=…> > del Dipartimento di Automatica e informatica del Politecnico, Corso > Castelfidardo, Torino. > > Registrazione obbligatoria all'indirizzo: http://nexa2016.eventbrite.com > Twitter hashtag della conferenza: #nexa2016 > <https://twitter.com/search?q=%23nexa2016&src=typd> > > La conferenza è accreditata dal Consiglio dell’Ordine degli Avvocati di > Torino <http://www.ordineavvocatitorino.it/>. > La partecipazione è titolo per l'attribuzione di 3 crediti formativi. > > Abstract > > * Internet delle Cose: Inferno o Paradiso?* > “Internet delle cose” (dall’inglese Internet of Things, acronimo “IoT”) è > un'espressione coniata nel 1999 dal pioniere britannico della tecnologia > Kevin Ashton, e si riferisce a un'infrastruttura composta da miliardi di > beni fisici attrezzati di capacità computazionale e connettività alla rete > Internet, e che dunque raccolgono e trasmettono dati, consentendo anche il > comando e il controllo di ambienti da remoto in modo autonomo. Si ottiene > così una forte integrazione della dimensione fisica con quella digitale, > che è destinata ad avere un impatto significativo sulla vita quotidiana > degli individui. > Il Centro Nexa sta studiando il fenomeno focalizzandosi sull'interfaccia > tra l’IoT e l’economia circolare, in una ricerca che scorre su due binari > paralleli: in uno vengono identificati i rischi incorporati dalla nuova era > dell’ Internet, nell’altro si costruiscono scenari dell’IoT come potenziale > facilitatore della economia circolare. > Gli scenari riguardano i benefici per i consumatori, le imprese e la > società in generale; i rischi invece concernono, di nuovo, i consumatori: > le minacce ambientali, le ricadute negative sull'occupazione e i potenziali > problemi economici quali la posizione dominante sul mercato e gli effetti > delle discriminazioni di prezzo. > > 9.30 - 9.35 > > Speaker: *Claudio Demartini* <http://claudiodemartini.weebly.com/> e *Juan > Carlos De Martin* <http://nexa.polito.it/people/jcdemartin> > > *Messaggio di benvenuto* > Il Professor Claudio Demartini, Direttore del Dipartimento di Automatica e > Informatica del Politecnico di Torino e il Professor Juan Carlos De Martin, > Co-direttore del Centro Nexa, inaugurano l'8° Conferenza annuale del Centro > con un intervento di benvenuto. > > 9.35 - 9.55 > > Speaker: *Antonio Vetrò* <http://nexa.polito.it/people/avetro> > > *Introduzione all'Internet delle Cose* > La formula “Internet of Things” (IoT) si riferisce alla rete di oggetti > fisici, dotati di connessione a Internet e in grado di raccogliere e > scambiare dati dall’ambiente in cui sono collocati. Ogni oggetto può essere > dotato di sensori, software, attuatori e capacità computazionale. > Si può trattare di piccoli oggetti di uso comune (come un orologio), ma > anche apparecchi casalinghi e da ufficio (ad esempio, stampanti), edifici, > veicoli, costruzioni, che scambiano informazioni, sono monitorati e, in > alcuni casi, controllati da remoto attraverso la rete Internet. La > conseguenza è che il mondo digitale e quello fisico diventano ancora più > legati l’un l’altro. Si parla pertanto di cyber physical systems, concetto > che lambisce o in alcuni casi si interseca con altri paradigmi tecnologici > quali le smart grids, la domotica, i sistemi di trasporto intelligente, le > città intelligenti. > In tale contesto, i “beni intelligenti” potrebbero essere sfruttati per > consentire un migliore utilizzo delle risorse, il miglioramento delle > infrastrutture, e più in generale una migliore crescita economica, basata > non più sull’attuale modello lineare “prendi, fai, usa e getta” , ma su un > modello circolare che sia meno dipendente dalle risorse, e strutturalmente > rigenerativo. > > 9.55 - 10.15 > > Speaker: *Federico Morando* <http://nexa.polito.it/people/fmorando> > > *IoT: qualche dato di contesto* > La relazione tra IoT e circual economy, nonché tra IoT ed impatto > ambientale, è certamente complessa, e potrebbe essere radicalmente diversa, > a seconda dell'industria presa come riferimento. Da un lato, l'IoT ha il > potenziale per esacerbare paradigmi esistenti, a partire dall'approccio > usa-e-getta, che caratterizza fortemente molti ambiti dell'elettronica di > consumo. Dall'altro, alcune delle industrie più suscettibili di essere > rivoluzionate dall'approccio IoT sono anche tra quelle a più alto impatto > ambientale. Altro campo di grande attualità è quello delle self-driving > cars. La componente elettronica potrebbe forse rendere significativamente > meno longevo un singolo veicolo: già oggi, il crescente utilizzo di > elettronica nelle macchine rende la manutenzione delle stesse un business > più complesso di quanto non lo fosse alcune decine di anni fa. Se > immaginassimo la rivoluzione delle self-driving cars dentro modelli di > consumo e proprietà delle auto tradizionali, probabilmente dovremmo > aspettarci un impatto negativo in termini ambientali. Ma cosa succederà in > contesti in cui la maggior parte delle auto saranno gestite da sistemi di > car sharing? E cosa succederebbe - la risposta potrebbe essere ancora > diversa - se le case automobilistiche diventassero fornitori integrati di > servizi di mobilità? > Per supportare il disegno di scenari riguardanti l'IoT e la circular > econmy, l'intervento si propone di fornire qualche dato di contesto, > relativo all'impatto di alcune industrie sull'ambiente, e dell'IoT su > alcune industrie, in modo tale da superare la tendenza - probabilmente > fuorviante - ad analisi troppo monolitiche del fenomeno. > > 10.15 - 11.00 > > *Discussione e coffee break* > > > > > > > > > > 11.00 - 11.20 > > Speaker: *Monica A. Senor* <http://nexa.polito.it/people/msenor> > > *Lo sguardo degli oggetti: limiti alla sorveglianza totale* > Controlleremo l’IoT o sarà l’IoT a controllarci? Ontologicamente > predisposte a monitorare e raccogliere dati dall'ambiente che le circonda, > le cose connesse sono per definizione dei mezzi di sorveglianza. In > quest'ottica parlare di privacy o di data protection è riduttivo: la rigida > impostazione normativa europea, vigente ed *in fieri*, basata sul > concetto di autodeterminazione del singolo individuo sui suoi dati > personali non è, infatti, di per sé sufficiente ad arginare le conseguenze > giuridiche derivanti dalla circolazione di grandi flussi di dati. Né si può > ipotizzare di affrontare i problemi di security dell’IoT senza preoccuparsi > di safety (delle persone): in tal senso anche la prospettiva di una > regolamentazione dei rischi basata su di un modello di tutela di stampo > collettivo non pare dirimente. Il non facile percorso volto a salvaguardare > l’uomo dalla sorveglianza totale non può dunque che passare dalla > resilienza delle nostre libertà fondamentali e con esse dei sistemi > democratici. > > 11.20 - 11.40 > > Speaker: *Massimiliano Nuccio* > <http://www.despina.unito.it/content/massimiliano-nuccio> > > *IoT e competitività: monopolio e discriminazione di prezzi * > “I dati sono il nuovo petrolio” ha dichiarato il guru del marketing Clive > Humby nel 2006 e da allora questo mantra è stato ossessivamente rilanciato > da accademici, professionisti e policy makers. Anche se la maggior parte di > essi è abbastanza fiduciosa circa l'effetto dirompente dei dati nell' > economia e società, siamo probabilmente solo all'inizio di un cambiamento > paradigmatico, ma ancora incerto sulla direzione da prendere e conseguenze. > Dal punto di vista economico, l’informazione è stata sempre considerata un > valore importante e un presupposto necessario affinché i mercati funzionino > correttamente. In che misura la crescita esponenziale della produzione di > dati migliorerà le prestazioni economiche e, soprattutto, genererà benefici > alle imprese e ai consumatori? > Sono previsti vantaggi equamente distribuiti o solo alcuni potranno > usufruire dei dati, magari sfruttando nuove forme di potere di mercato? Noi > affermiamo che la combinazione di una regolamentazione mirata a creare un > vero e proprio mercato per i dati e l'elevato potenziale innovativo dei > modelli di business digitali possano evitare controllo monopolistico e > barriere competitive a molti dei crescenti mercati data-driven. > > 11.40 - 12.00 > > Speaker: *Fabio Chiusi* <https://nexa.polito.it/people/fchiusi> > > *Uno scenario “infernale” * > Miliardi di oggetti connessi stanno facendo irruzione nella nostra vita. > La promessa è renderla più comoda, efficiente, consentendo risparmi > energetici, monetari e una serie pressoché infinita di nuovi usi a partire > dai dati che raccolgono su di noi. Ma che accade se quegli oggetti non sono > sicuri? Già oggi si vedono all'opera squadre di “bot” arruolati per > compiere attacchi informatici - l'ultimo ha mandato offline mezzi Stati > Uniti. Domani, in assenza di una rinnovata attenzione alla cybersecurity > dell'Internet of Things, lo scenario che ci attende è infernale: un incubo > di trasparenza totale degli utenti, ma anche di vulnerabilità che qualunque > attore malevolo - da un criminale a una spia di Stato - potrà sfruttare per > distruggere la nostra privacy, ed entrare segretamente in possesso di ogni > aspetto della nostra esistenza. L'intervento mira a descrivere nel > dettaglio quello scenario, e provare a fornirne delle vie d'uscita. > > 12.00 - 12.30 > > Speaker: *Marco Ricolfi* <https://nexa.polito.it/people/mricolfi> > > *Considerazioni finali e conclusioni * > Al Professor Marco Ricolfi, co-Direttore del Centro Nexa su Internet e > Società, sono affidate le considerazioni finali e le conclusioni dell'8° > Conferenza Annuale del Centro. > ------------------------------ > > Maggiori informazioni all'indirizzo: http://nexa.polito.it/conf2016 > See our events calendar <http://nexa.polito.it/events> if you're curious > about future luncheons, discussions, lectures, and conferences not listed > in this email. Our events are free and open to the public, unless otherwise > noted. Sign up <http://nexa.polito.it/mailing-lists> to receive this > newsletter if this email was forwarded to you. To manage your subscription > preferences, please click here > <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa>. Connect & > get involved: Jobs, internships, and more > <https://nexa.polito.it/get-involved> > > > > The Nexa Center for Internet & Society at Politecnico di Torino (DAUIN) - > Studying the Internet, exploring its potential, experimenting new ideas. > *For more information, visit:* > https://nexa.polito.it/ > > <http://cyber.law.harvard.edu> > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > > -- Francesco Ruggiero Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it mail: francesco.ruggiero(a)polito.it tel: 011 090 7219

Nov. 30, 2016

Re: [nexa] Attacco hacker a Telekom, così la botnet Mirai colpisce l'Internet delle cose

by Enrico Nardelli

Arturo il pezzo è certamente ben scritto e ben documentato, complimenti. Ho qualche perplessità sull'affermazione proprio in chiusura dell'articolo: "nel frattempo fare una cosa che spesso funziona con ogni apparato informatico: spegnere e riaccendere. Questa procedura automatizza l’aggiornamento dei software che comandano molti dei dispositivi che teniamo in casa." Non sono infatti proprio del tutto sicuro che questa procedura risolva i problemi. Nella mia esperienza personale sui modem/router casalinghi, solo i modelli più recenti (e configurati in questo modo) fanno questo autoaggiornamento. Per gli smartphone (che sono comunque dispositivi molto sofisticati) l'autoaggiornamento del software non mi pare sia di default. Per le "cose" a valore più basso e/o più vecchie potrebbe poi proprio non esserci questa possibilità: che è una delle maggiori vulnerabilità segnalate da Schneier nell'intervento circolato su questa lista qualche tempo fa. Non è una critica, sia ben chiaro, perchè certamente la procedura suggerita danni non ne fa. Non vorrei però che la procedura venisse letta dalla gente comune come "LA" soluzione e si diffondesse quindi come una semplificazione che induce le persone a pensare di essere sicure se la implementano. Ciao, Enrico Il 29/11/2016 13:50, A Dicorinto ha scritto: > Ciao- > ho ricostruito l'attacco ai 900mila router tedeschi. Alla fine del pezzo c'è la proposta su come intervenire nell'immediato. > buona lettura > > http://www.repubblica.it/tecnologia/sicurezza/2016/11/29/news/attacco_hacke… > > -- > > Arturo Di Corinto > www.dicorinto.it <http://www.dicorinto.it> > ---------------------------------> > > AVVERTENZE AI SENSI DEL D.Lgs. 196/2003 Le informazioni contenute in questo messaggio di posta elettronica e/o nel/i file/s allegato/i sono da considerarsi strettamente riservate. Il loro utilizzo è consentito esclusivamente al destinatario del messaggio, per le finalità indicate nel messaggio stesso. Qualora riceviate questo messaggio senza esserne il destinatario, Vi preghiamo cortesemente di darcene notizia via e-mail e di procedere alla distruzione del messaggio stesso, cancellandolo dal Vostro sistema. Conservare il messaggio stesso, divulgarlo anche in parte, distribuirlo ad altri soggetti, copiarlo, od utilizzarlo per finalità diverse, costituisce comportamento contrario ai principi dettati dal D.Lgs. 196/2003 > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ ===================================================================== --

Nov. 29, 2016

Attacco hacker a Telekom, così la botnet Mirai colpisce l'Internet delle cose

by A Dicorinto

Ciao- ho ricostruito l'attacco ai 900mila router tedeschi. Alla fine del pezzo c'è la proposta su come intervenire nell'immediato. buona lettura http://www.repubblica.it/tecnologia/sicurezza/2016/11/29/news/attacco_hacke… -- Arturo Di Corinto www.dicorinto.it ---------------------------------> AVVERTENZE AI SENSI DEL D.Lgs. 196/2003 Le informazioni contenute in questo messaggio di posta elettronica e/o nel/i file/s allegato/i sono da considerarsi strettamente riservate. Il loro utilizzo è consentito esclusivamente al destinatario del messaggio, per le finalità indicate nel messaggio stesso. Qualora riceviate questo messaggio senza esserne il destinatario, Vi preghiamo cortesemente di darcene notizia via e-mail e di procedere alla distruzione del messaggio stesso, cancellandolo dal Vostro sistema. Conservare il messaggio stesso, divulgarlo anche in parte, distribuirlo ad altri soggetti, copiarlo, od utilizzarlo per finalità diverse, costituisce comportamento contrario ai principi dettati dal D.Lgs. 196/2003

Nov. 29, 2016

Re: [nexa] Responsabilità dei software vendor in merito alle falle di sicurezza

by Andrea Glorioso

"Perché non si può uccidere l'innovazione." (Cose sentite da una decina d'anni a questa parte, quando appunto su a Bruxelles si cercava di ragionare su come assicurarsi che l'industria delle TIC fosse sostenibile. All'epoca, alcuni avevano già previsto ciò che oggi Bruce Schneier e altri vanno a dire al Congresso degli Stati Uniti, ovvero che Internet non è più solo foto di gattini, e per inciso non lo era nemmeno dieci anni fa quando Schneier & co dicevano cose un po' diverse di oggi.) Comunque io ero e resto convinto che (1) le responsabilità civili e penali, specialmente per dolo o colpa grave e/o per attività in cui è richiesta più della cura del "pater familias" (se è ancora questa la terminologia usata) non sono automaticamente obliterate da EULA fantasiose, e che (2) chi richiede software (che sia embedded o meno) per attività tipo gestire le turbine di una centrale nucleare, ha i soldi e le leve politiche per richiedere eccome al "vendor" l'assunzione di responsabilità precise in caso di malfunzionamento. Bisogna vedere se ne ha l'intelligenza e la volontà. Leggerò con piacere l'articolo di Guido Noto La Diega. Ciao, Andrea On Tue, Nov 29, 2016 at 02:30 Fabio Pietrosanti (naif) - lists < lists(a)infosecurity.ch> wrote: > Ciao, > > qualcuno sa' se ci sono state iniziative di regolamentazione / policy > making circa la responsabilità dei software vendor in merito alle falle > di sicurezza che questi possano avere? > > Cioè, 10 anni fa' dire che un software vendor dovrebbe essere > responsabile civilmente per un problema di sicurezza al pari di una casa > automobilistica per un difetto nella sicurezza dei freni, sarebbe > sembrato eresia. > > Ma oggi il contesto è forse abbastanza solido per iniziare a pensare di > riattribuire le dovute responsabilità a chi produce la tecnologia > affinchè il rischio sia mitigato in modo oggettivo e quindi vi possano > essere anche coperture assicurative, e quindi vi sia una spirale > virtuosa per arrivare ad eliminare sostanzialmente gli exploit 0day. > > Magari non per tutti i software vendor ma per i software vendor "a > rischio sistemico", perchè Adobe Acrobat Reader sta a Unicredit come > "Impara a Cucinare 1.5" sta alla cassa rurale di cantù. > > Allora se per le grandi banche ci sono dei vincoli di gestione del > rischio, perchè non vi sono dei vincoli (e responsabilità) per i grandi > software vendor? > > Perchè la Fiat deve rispondere dei problemi di sicurezza nelle sue auto > e non la Microsoft o la Apple? > > -- > Fabio Pietrosanti (naif) > HERMES - Center for Transparency and Digital Human Rights > http://logioshermes.org - https://globaleaks.org - https://tor2web.org - > https://ahmia.fi > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Nov. 29, 2016

NYer: "Silicon Valley Has an Empathy Vacuum"

by J.C. DE MARTIN

*Silicon Valley Has an Empathy Vacuum** * By Om Malik , November 28, 2016 Silicon Valley seems to have lost a bit of its verve since the Presidential election. The streets of San Francisco—spiritually part of the Valley—feel less crowded. Coffee-shop conversations are hushed. Everything feels a little muted, an eerie quiet broken by chants of protesters. It even seems as if there are more parking spots. Technology leaders, their employees, and those who make up the entire technology ecosystem seem to have been shaken up and shocked by the election of Donald Trump. One conversation has centered around a rather simplistic narrative of Trump as an enemy of Silicon Valley; this goes along with a self-flagellating regret that the technology industry didn’t do enough to get Hillary Clinton into the White House. Others have decided that the real villains are Silicon Valley giants, especially Twitter, Facebook, and Google, for spreading fake news stories that vilified Clinton and helped elect an unpopular President. […] Continua qui: http://www.newyorker.com/business/currency/silicon-valley-has-an-empathy-va…

Nov. 29, 2016

Re: [nexa] Responsabilità dei software vendor in merito alle falle di sicurezza

by Guido Noto La Diega

Ian Walden e io ci siamo occupati di questo tema in "Contracting for the Internet of Things: Looking into the Nest", open access qui http://ejlt.org/article/view/450 On 29 Nov 2016 07:30, "Fabio Pietrosanti (naif) - lists" < lists(a)infosecurity.ch> wrote: > Ciao, > > qualcuno sa' se ci sono state iniziative di regolamentazione / policy > making circa la responsabilità dei software vendor in merito alle falle > di sicurezza che questi possano avere? > > Cioè, 10 anni fa' dire che un software vendor dovrebbe essere > responsabile civilmente per un problema di sicurezza al pari di una casa > automobilistica per un difetto nella sicurezza dei freni, sarebbe > sembrato eresia. > > Ma oggi il contesto è forse abbastanza solido per iniziare a pensare di > riattribuire le dovute responsabilità a chi produce la tecnologia > affinchè il rischio sia mitigato in modo oggettivo e quindi vi possano > essere anche coperture assicurative, e quindi vi sia una spirale > virtuosa per arrivare ad eliminare sostanzialmente gli exploit 0day. > > Magari non per tutti i software vendor ma per i software vendor "a > rischio sistemico", perchè Adobe Acrobat Reader sta a Unicredit come > "Impara a Cucinare 1.5" sta alla cassa rurale di cantù. > > Allora se per le grandi banche ci sono dei vincoli di gestione del > rischio, perchè non vi sono dei vincoli (e responsabilità) per i grandi > software vendor? > > Perchè la Fiat deve rispondere dei problemi di sicurezza nelle sue auto > e non la Microsoft o la Apple? > > -- > Fabio Pietrosanti (naif) > HERMES - Center for Transparency and Digital Human Rights > http://logioshermes.org - https://globaleaks.org - https://tor2web.org - > https://ahmia.fi > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Nov. 29, 2016

Responsabilità dei software vendor in merito alle falle di sicurezza

by Fabio Pietrosanti (naif) - lists

Ciao, qualcuno sa' se ci sono state iniziative di regolamentazione / policy making circa la responsabilità dei software vendor in merito alle falle di sicurezza che questi possano avere? Cioè, 10 anni fa' dire che un software vendor dovrebbe essere responsabile civilmente per un problema di sicurezza al pari di una casa automobilistica per un difetto nella sicurezza dei freni, sarebbe sembrato eresia. Ma oggi il contesto è forse abbastanza solido per iniziare a pensare di riattribuire le dovute responsabilità a chi produce la tecnologia affinchè il rischio sia mitigato in modo oggettivo e quindi vi possano essere anche coperture assicurative, e quindi vi sia una spirale virtuosa per arrivare ad eliminare sostanzialmente gli exploit 0day. Magari non per tutti i software vendor ma per i software vendor "a rischio sistemico", perchè Adobe Acrobat Reader sta a Unicredit come "Impara a Cucinare 1.5" sta alla cassa rurale di cantù. Allora se per le grandi banche ci sono dei vincoli di gestione del rischio, perchè non vi sono dei vincoli (e responsabilità) per i grandi software vendor? Perchè la Fiat deve rispondere dei problemi di sicurezza nelle sue auto e non la Microsoft o la Apple? -- Fabio Pietrosanti (naif) HERMES - Center for Transparency and Digital Human Rights http://logioshermes.org - https://globaleaks.org - https://tor2web.org - https://ahmia.fi

Nov. 29, 2016