July 2016 - nexa - server-nexa.polito.it

WhatsApp ed il grande regalo dell'end-to-end crypto... o possiamo leggerlo in altri modi?
by Claudio Agosti Oct. 20, 2016

Oct. 20, 2016

Buona settimana, Mi sono interrogato sul significato e le implicazioni della crittografia di whatsapp. Tradurrò il pezzo in italiano (e magari lo estenderò con tutte le footnote che ho dovuto sacrificare perchè con medium non sono supportate) https://medium.com/@_vecna/whatsapp-security-santa-or-cryptography-as-cost-… penso alcune cose suoneranno già lette, per fare una sintesi (con WA intendo WhatApp): 1) il costo dell'apparato legale di WA è maggiore del valore che WA può estrarre da messaggi/foto/audio ? (sempre tenendo conto che se hai facebook+instagram magari i dati via WA diventano secondari). 2) altre aziende più piccole che fan messaggiare gli utenti tra loro, potranno far lo stesso passo ? possiamo in quanto utenti iniziare ad avere questa esigenza, o la si può derubricare a "scelta della software house per spendere di meno in sicurezza interna ed in consuenze legali" 3) quanto i transparecy report devono essere dettagliati? quanto le richieste di meta-dati possono essere articolate ? ad esempio: "forniscimi i dati che hai delle persone che hanno messaggiato verso XXX" o "forniscimi i dati di chi si trovava in piazza XYZ dalle 12 alle 16" 4) l'ambiente mobile rimane insicuro in diversi lati¹, ed i backup automatici, la chiave non protetta da password, possono portare ad una perdita di riservatezza (l'attacco deve essere targeted e non può essere massivo, questo stringi stringi è il vero vantaggio), possiamo dedurre che il trend dei malware possa solo crescere con nuove ramificazioni. ciao! Claudio ¹: https://medium.com/@thegrugq/operational-whatsapp-on-ios-ce9a4231a034#.561w… -- Claudio Agosti, http://www.journalismfestival.com/news/guilty-by-proximity-ijf16-hackers-co…

2 2

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico
by SASSANO ANNA PIA (ADPA) Aug. 8, 2016

Aug. 8, 2016

Gentile professor Pizzetti ho letto nella precedente e.mail dei dubbi sull'uso che Poste farebbe dei dati acquisiti quando si accede con un'autenticazione SPID ad un servizio WIFI usando PosteID e forse posso dare una mano a fare chiarezza: a) come noto l'identità PosteID è già da tempo usata dai servizi di Poste Italiane per accedere al sito o autorizzare transazioni finanziarie e solo di recente è stata anche aperta al circuito SPID. In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID e quindi espongono il bottone "Entra con Spid" o simili; b) durante la registrazione della nuova versione dell'identità digitale PosteID, che come noto è stata oggetto di verifica in ambito AGID per l'accreditamento, viene chiesto al cliente se, per i soli servizi di Poste Italiane, vuole rilasciare le autorizzazioni all'utilizzo dei dati ai fini di contatto commerciale da parte di Poste o di profilazione, sempre da parte di Poste, in quanto clienti. Se entrate nel processo di registrazione questa fase di autorizzazione è anche accessibile da tutte le pagine andando a leggere l'informativa privacy. Vi riporto di seguito solo la prima frase: "Informativa sul trattamento dei dati personali ai sensi dell'art. 13 del D. Lgs. 196/2003 (Codice in materia di protezione dei dati personali) - Persona Fisica o soggetto assimilabile - Servizio PosteID" "[...] Poste tratterà i dati personali dell'Interessato conformemente al consenso da questi prestato, per le finalità suindicate. Con riferimento alla finalità di "profilazione", l'Interessato prende atto che in caso di consenso, il trattamento dei Suoi dati personali non riguarderà né la fase di registrazione al Servizio PosteID né l'utilizzo dei servizi erogati online dai "Fornitori di servizi" tramite il Servizio PosteID, ma potrà riguardare - a meno di specifiche richieste delle Autorità competenti inerenti, per esempio, la rilevazione di dati in forma aggregata per fini statistici - la funzione delle altre tipologie di prodotti/servizi di Poste Italiane eventualmente in essere. In caso di cessazione del Servizio PosteID ma di vigenza di almeno un prodotto e/o servizio principale con Poste Italiane, i dati dell'Interessato concernenti tale prodotto/servizio continueranno ad essere trattati da Poste nel rispetto del consenso da questi prestato. In caso di cessazione dell'unico e/o ultimo prodotto e/o servizio principale, così come degli annessi prodotti e/o servizi opzionali aggiuntivi1, i dati dell'Interessato non saranno più trattati da Poste per le finalità suindicate. [...]" c) quindi non solo Poste chiede un consenso "specifico, libero, espresso ed informato" come prevede il codice privacy ma non cede i dati a terzi. L'unica cosa che esplicitamente è prevista, sempre chiedendo il consenso privacy, è la possibilità di "comunicare i dati di profilazione alle società del Gruppo Poste Italiane". d) mi sento quindi di tranquillizzarvi che nulla può accadere senza che il cliente lo consenta ed anche ove dia tutti i consensi sul fronte dei servizi di Poste bisogna ricordare cos'è l'identità digitale SPID. E' l'Identity Provider che semmai, su autorizzazione esplicita del cliente, fornisce al Service Provider SPID (colui che gestisce il servizio di WI FI in questo esempio) i dati del titolare dell'identità che servono ad espletare il servizio. Il viceversa non esiste in natura visto che all'Identity Provider, una volta forniti i dati ed autenticato l'accesso al servizio come prevede il servizio di autenticazione Spid, nulla perviene di quanto transita poi tra cliente e fornitore. Se Vi fa piacere ed avete altre perplessità su SPID e PosteID, che possono aiutare anche noi a contribuire a fare maggiore chiarezza, sono chiaramente a Vostra disposizione. Cordiali Saluti Anna Pia Sassano (in questo caso e su questo canale, Vi rispondo chiaramente a titolo personale ma pronta a procurarvi una risposta ufficiale di Poste se vi occorre). ________________________________ La presente comunicazione elettronica contiene informazioni aziendali non private. Eventuali risposte alla presente potrebbero essere conosciute, per motivi organizzativi e di sicurezza, dal personale di Poste Italiane S.p.A.

6 18

Irraggiungibilità nexa.polito.it e mailing-list il 12/08/16
by Davide Allavena Aug. 6, 2016

Aug. 6, 2016

Buongiorno, A causa di un intervento di manutenzione alla linea elettrica programmato dal Politecnico comunico che il 12 Agosto 2016. Nel caso in cui l'intervento proceda come previsto l'interruzione avverrà dalle 8,00 alle 17:00. Durante quell'intervallo di tempo il sito nexa.polito.it e le mailing list associate non saranno raggiungibili. Resto a disposizione per eventuali chiarimenti. Scusate per il disagio, buona giornata Davide Allavena -- Davide Allavena IT Manager & Research Fellow Nexa Center for Internet and Society DAUIN - Politecnico di Torino https://nexa.polito.it/people/dallavena

1 1

The CIA’s ‘Pokémon Go’ App is Doing What the Patriot Act Can’t
by Alberto Cammozzo July 31, 2016

July 31, 2016

[...] Firstly, the app requires an excessive amount of permissions on a user’s device, including the ability to read your contacts, find accounts on your device, and access your camera. The app even requires full access to a user’s Google account, which it can then use to read your emails, send emails from your account, browse your Google Drive documents and photos, etc. But apparently that’s just “a mistake” and will be “corrected soon.” Secondly, the game’s privacy policy contains such gems as: “We may disclose any information about you (or your authorized child) that is in our possession or control to government or law enforcement officials or private parties.” What could go wrong? But wait, it gets worse! The maker of the app? Niantic Labs. Never heard of them? That’s because until last year they were an internal start-up of none other than Google, the NSA-linked Big Brother company. Even now Google remains one of Niantic’s major backers. Niantic was founded by John Hanke, who also founded Keyhole, Inc., the mapping company which was created with seed money from In-Q-Tel, the CIA’s venture capital arm, and which was eventually rolled into Google Maps. So yes, the Pokémon game currently taking the internet by storm (and scooping up all their data, including activities, movements and communications) was created by a CIA-linked businessman who gestated his company at Google. [...] <https://www.corbettreport.com/the-cias-pokemon-go-app-is-doing-what-the-pat…>

1 0

Obama Finally Decides Who’s In Charge When America Comes Under Cyberattack
by Alberto Cammozzo July 31, 2016

July 31, 2016

The White House has placed the Justice Department squarely in charge of responding to cyberthreats against the United States, under a presidential directive issued Tuesday. At the same time, the Homeland Security Department will immediately help agencies and companies, if requested, stanch the bleeding from a hacker assault on networks, or “assets,” President Barack Obama said. For years, there has been confusion in the private sector and internally among agencies about who’s in charge when hackers hit the homeland. Justice will take the lead in “threat response” or investigating a system attack on site, identifying the perpetrator and breaking up attack operations because foreign adversaries often are involved. “In view of the fact that significant cyberincidents will often involve at least the possibility of a nation-state actor or have some other national security nexus, the Department of Justice, acting through the Federal Bureau of Investigation and the National Cyber Investigative Joint Task Force, shall be the federal lead agency for threat response activities,” the directive states. <http://www.defenseone.com/technology/2016/07/obama-finally-decides-whos-cha…>

1 0

Re: [nexa] publica Moglen's keynote: "The last kilometer, the last chance"
by J.C. DE MARTIN July 30, 2016

July 30, 2016

"This is the last generation in which the human race gets a choice." .... "By 2025 it will be all over". Il keynote address di Eben Moglen e Mishi Choudhary all'ultima edizione di Re:publica a Berlino: https://youtu.be/-T4bZ5R-MH8 juan carlos

1 0

How To Fool AI Into Seeing Something That Isn’t There
by Alberto Cammozzo July 30, 2016

July 30, 2016

How To Fool AI Into Seeing Something That Isn’t There [...] Today, neural nets are quite good at recognizing faces and spoken words—not to mention objects, animals, letters, and words. But they do make mistakes—sometimes egregious mistakes <http://www.telegraph.co.uk/technology/google/11710136/Google-Photos-assigns…>. “No machine learning system is perfect,” says Kurakin. And in some cases, you can actually fool these systems into seeing or hearing things that aren’t really there. As Kurakin explains, you can subtly alter an image so that a neural network will think it includes something it doesn’t, an these alterations may be imperceptible to the human eye—a handful of pixels added here and another there. You could change several pixels in a photo of an elephant, he says, and fool a neural net into thinking it’s a car. Researchers like Kurakin call these “adversarial examples.” And they too are security holes. With their new paper [1], Kurakin, Bengio, and Goodfellow show that this can be a problem even when a neural network is used to recognize data pulled straight from a camera or some other sensor. Imagine a face recognition system that uses a neural network to control access to a top-secret facility. You could fool it into thinking you’re someone who you’re not, Kurakin says, simply by drawing some dots on your face. Goodfellow says this same type of attack could apply to almost any form of machine learning, including not only neural networks but things like decision trees <https://en.wikipedia.org/wiki/Decision_tree_learning> and support vector machines <https://en.wikipedia.org/wiki/Support_vector_machine>—machine learning methods that have been popular for more than a decade, helping computer systems make predictions based on data. In fact, he believes that similar attacks are already practiced in the real world. Financial firms, he suspects, are probably using them to fool trading systems used by competitors. “They could make a few trades designed to fool their competitors into dumping a stock at a lower price than its true value,” he says. “And then they could buy the stock up at that low price.” In their paper, Kurakin and Goodfellow fool neural nets by printing an adversarial image on a piece of a paper and showing the paper to a camera. But they believe that subtler attacks could work as well, such as the previous dots-on-the-face example. “We don’t know for sure we could do that in the real world, but our research suggests that it’s possible,” Goodfellow says. “We showed that we can fool a camera, and we think there are all sorts of avenues of attack, including fooling a face recognition system with markings that wouldn’t be visible to a human.” [...] <https://www.wired.com/2016/07/fool-ai-seeing-something-isnt/> [1] <https://arxiv.org/pdf/1607.02533v1.pdf>

1 0

"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"
by J.C. DE MARTIN July 30, 2016

July 30, 2016

*"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"** * Kim Zetter July 29 2016, 4:00 p.m. At the Black Hat cybersecurity conference in 2014, industry luminary Dan Geer, fed up with the prevalence of vulnerabilities in digital code, made a modest proposal: Software companies should either make their products open source so buyers can see what they’re getting and tweak what they don’t like, or suffer the consequences if their software failed. He likened it to the ancient Code of Hammurabi, which says that if a builder poorly constructs a house and the house collapses and kills its owner, the builder should be put to death. No one is suggesting putting sloppy programmers to death, but holding software companies liable for defective programs, and nullifying licensing clauses that have effectively disclaimed such liability, may make sense, given the increasing prevalence of online breaches. The only problem with Geer’s scheme is that no formal metrics existed in 2014 for assessing the security of software or distinguishing between code that is merely bad and code that is negligently bad. Now, that may change, thanks to a new venture from another cybersecurity legend, Peiter Zatko, known more commonly by his hacker handle “Mudge.” […] Continua qui: https://theintercept.com/2016/07/29/a-famed-hacker-is-grading-thousands-of-…

1 0

R: Re: R: R: SPID e wi-fi federata con un sistema di accesso unico
by Francesco Pizzetti July 29, 2016

July 29, 2016

Posso sbagliarmi ma la sua testimonianza spinge,anzi impone, approfondimenti molto importAntiFranco Pizzetti Inviato dal mio dispositivo Samsung -------- Messaggio originale -------- Da: Diego Giorio <dgiorio(a)hotmail.com> Data: 29/07/16 09:29 (GMT+01:00) A: Giuseppe Attardi <attardi(a)di.unipi.it>, nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto documenti o altri dati, ma ho usato il sistema che uso per entrare in Bancoposta per ottenere le credenziali SPID. saluti a tutti S. From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe Attardi <attardi(a)di.unipi.it> Sent: Friday, July 29, 2016 7:20 AM To: nexa(a)server-nexa.polito.it Subject: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it wrote: In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. — Beppe

3 2

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico
by SASSANO ANNA PIA (ADPA) July 29, 2016

July 29, 2016

Gentile professor Pizzetti le ulteriori informazioni su quanto mi ha cortesemente segnalato: · "allegato su informativa privacy che sembra non reperibile": è quello che le ho fornito nell'e.mail reperibile nell'area PosteID del sito di Poste https://posteid.poste.it/risorse/condivise/doc/informativa_privacy.pdf · "dove e come è richiesto il consenso specifico": durante il processo di registrazione al servizio PosteID; · "come revocare il consenso e in che modo e forma": i consensi sono modificabili nella sezione «profilo» dell'area PosteID del sito di Poste dal momento in cui è stata completata la registrazione. All'interno dell'informativa è anche indicata ai clienti la possibilità di rivolgersi al Centro Servizi Privacy di Poste Italiane per variare i consensi stessi o esercitare gli altri diritti dalla normativa.Tale informazione è riportata altresì nella sezione "Richiedi Assistenza" del sito https://posteid.poste.it/ · "l'informativa dice che i dati relativi a servizio SPID non sono mai trattati per profilazione": come ho già avuto modo di rappresentarle nella mia precedente e.mail, la profilazione se autorizzata riguarda soltanto i prodotti/servizi attivi che il cliente ha con Poste Italiane. Quindi non riguarda mai, come peraltro esplicitato dall'informativa, i dati acquisiti durante la registrazione né l'informazione sull'unico dato conosciuto, il Service Provider a cui si chiede di accedere. Su quest'ultimo tema, visto che l'interesse per il WIFI è da indirizzare su quanto viene a conoscenza dei Service Provider, Le segnalo che la bozza di Convenzione pubblicata sul sito di AGID http://www.agid.gov.it/notizie/2016/07/27/spid-pubblicata-bozza-convenzione…, che dovranno sottoscrivere i Service Provider Privati per i servizi che esporranno sul circuito SPID in quanto regolamenta i limiti entro cui i SP potranno utilizzare i dati ricevuti dagli IDP per l'accesso ai servizi, riporta la seguente dicitura "il Service Provider è legittimato alla profilazione dell'utente ai soli fini commerciali del Service Provider e limitatamente ai consensi relativi al trattamento dei dati personali secondo le vigenti regole sulla privacy". Spero siano state informazioni utili. Cordiali Saluti Anna Pia Sassano ________________________________ La presente comunicazione elettronica contiene informazioni aziendali non private. Eventuali risposte alla presente potrebbero essere conosciute, per motivi organizzativi e di sicurezza, dal personale di Poste Italiane S.p.A.

1 0