July 2016 - nexa - server-nexa.polito.it

How To Fool AI Into Seeing Something That Isn’t There

by Alberto Cammozzo

How To Fool AI Into Seeing Something That Isn’t There [...] Today, neural nets are quite good at recognizing faces and spoken words—not to mention objects, animals, letters, and words. But they do make mistakes—sometimes egregious mistakes <http://www.telegraph.co.uk/technology/google/11710136/Google-Photos-assigns…>. “No machine learning system is perfect,” says Kurakin. And in some cases, you can actually fool these systems into seeing or hearing things that aren’t really there. As Kurakin explains, you can subtly alter an image so that a neural network will think it includes something it doesn’t, an these alterations may be imperceptible to the human eye—a handful of pixels added here and another there. You could change several pixels in a photo of an elephant, he says, and fool a neural net into thinking it’s a car. Researchers like Kurakin call these “adversarial examples.” And they too are security holes. With their new paper [1], Kurakin, Bengio, and Goodfellow show that this can be a problem even when a neural network is used to recognize data pulled straight from a camera or some other sensor. Imagine a face recognition system that uses a neural network to control access to a top-secret facility. You could fool it into thinking you’re someone who you’re not, Kurakin says, simply by drawing some dots on your face. Goodfellow says this same type of attack could apply to almost any form of machine learning, including not only neural networks but things like decision trees <https://en.wikipedia.org/wiki/Decision_tree_learning> and support vector machines <https://en.wikipedia.org/wiki/Support_vector_machine>—machine learning methods that have been popular for more than a decade, helping computer systems make predictions based on data. In fact, he believes that similar attacks are already practiced in the real world. Financial firms, he suspects, are probably using them to fool trading systems used by competitors. “They could make a few trades designed to fool their competitors into dumping a stock at a lower price than its true value,” he says. “And then they could buy the stock up at that low price.” In their paper, Kurakin and Goodfellow fool neural nets by printing an adversarial image on a piece of a paper and showing the paper to a camera. But they believe that subtler attacks could work as well, such as the previous dots-on-the-face example. “We don’t know for sure we could do that in the real world, but our research suggests that it’s possible,” Goodfellow says. “We showed that we can fool a camera, and we think there are all sorts of avenues of attack, including fooling a face recognition system with markings that wouldn’t be visible to a human.” [...] <https://www.wired.com/2016/07/fool-ai-seeing-something-isnt/> [1] <https://arxiv.org/pdf/1607.02533v1.pdf>

July 30, 2016

"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"

by J.C. DE MARTIN

*"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"** * Kim Zetter July 29 2016, 4:00 p.m. At the Black Hat cybersecurity conference in 2014, industry luminary Dan Geer, fed up with the prevalence of vulnerabilities in digital code, made a modest proposal: Software companies should either make their products open source so buyers can see what they’re getting and tweak what they don’t like, or suffer the consequences if their software failed. He likened it to the ancient Code of Hammurabi, which says that if a builder poorly constructs a house and the house collapses and kills its owner, the builder should be put to death. No one is suggesting putting sloppy programmers to death, but holding software companies liable for defective programs, and nullifying licensing clauses that have effectively disclaimed such liability, may make sense, given the increasing prevalence of online breaches. The only problem with Geer’s scheme is that no formal metrics existed in 2014 for assessing the security of software or distinguishing between code that is merely bad and code that is negligently bad. Now, that may change, thanks to a new venture from another cybersecurity legend, Peiter Zatko, known more commonly by his hacker handle “Mudge.” […] Continua qui: https://theintercept.com/2016/07/29/a-famed-hacker-is-grading-thousands-of-…

July 30, 2016

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico

by Stefano Quintarelli

mi pare probabile. sommessamente mi permetto di fare notare che l'adeguata verifica bancaria impone le procedure e i processi piu' stringenti. se ho informazioni gia' in mio possesso, con un livello di sicurezza adeguato (maggiore o uguale a quello richiesto da spid) e se l'utente lo consente, per quale razionale bisognerebbe proibire di usarle per popolare il DB di spid ? pero', forse, invece di proceedere in modo un po' disarticolato, nexa potrebbe farsi promotrice di una mezza giornata di approfondimento, invitando agid, gpdp e qualche IdP, magari predisponendo un apposito indirizzo mail a cui mandare tutte le osservazioni e richieste di chiarimento da rispondere in quella mezza giornata. (solo un suggerimento) ciao, s. On 29/07/2016 10:13, Diego Giorio wrote: > Concordo. > > > Io l'ho sottoscritta il secondo giorno utile (il primo ero fuori sede > per una riunione di redazione), quindi non escludo che da allora le > procedure si siano modificate, ma quella è stata la mia esperienza, per > quanto ricordo: alcuni dati di base, nessun documento identitificativo, > dato che già avevano i miei dati, la mia carta di identità e codice > fiscale, appunto per i servizi bancoposta. > > > saluti e buone vacanze a tutti > > > D. > > > > ------------------------------------------------------------------------ > *From:* Francesco Pizzetti <f.pizzetti(a)tiscali.it> > *Sent:* Friday, July 29, 2016 7:52 AM > *To:* Diego Giorio; Giuseppe Attardi; nexa(a)server-nexa.polito.it > *Subject:* R: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di > accesso unico > > Posso sbagliarmi ma la sua testimonianza spinge,anzi impone, > approfondimenti molto importAnti > Franco Pizzetti > > > > Inviato dal mio dispositivo Samsung > > > -------- Messaggio originale -------- > Da: Diego Giorio <dgiorio(a)hotmail.com> > Data: 29/07/16 09:29 (GMT+01:00) > A: Giuseppe Attardi <attardi(a)di.unipi.it>, nexa(a)server-nexa.polito.it > Oggetto: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di > accesso unico > > In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto > documenti o altri dati, ma ho usato il sistema che uso per entrare in > Bancoposta per ottenere le credenziali SPID. > > > saluti a tutti > > > S. > > > > ------------------------------------------------------------------------ > *From:* nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe > Attardi <attardi(a)di.unipi.it> > *Sent:* Friday, July 29, 2016 7:20 AM > *To:* nexa(a)server-nexa.polito.it > *Subject:* Re: [nexa] R: R: SPID e wi-fi federata con un sistema di > accesso unico > > >> On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it >> <mailto:nexa-request@server-nexa.polito.it> wrote: >> >> In sintesi: chi prende l'identità PosteID non solo può usarla per i >> servizi di Poste ma può anche utilizzarla per accedere ai servizi che >> hanno aderito al circuito SPID > > Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo > svolto in concessione e per conto dello stato italiano, ma un servizio > ancillario a un servizio privato preesistente. > > — Beppe > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

July 29, 2016

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico

by SASSANO ANNA PIA (ADPA)

Gentile professor Pizzetti le ulteriori informazioni su quanto mi ha cortesemente segnalato: · "allegato su informativa privacy che sembra non reperibile": è quello che le ho fornito nell'e.mail reperibile nell'area PosteID del sito di Poste https://posteid.poste.it/risorse/condivise/doc/informativa_privacy.pdf · "dove e come è richiesto il consenso specifico": durante il processo di registrazione al servizio PosteID; · "come revocare il consenso e in che modo e forma": i consensi sono modificabili nella sezione «profilo» dell'area PosteID del sito di Poste dal momento in cui è stata completata la registrazione. All'interno dell'informativa è anche indicata ai clienti la possibilità di rivolgersi al Centro Servizi Privacy di Poste Italiane per variare i consensi stessi o esercitare gli altri diritti dalla normativa.Tale informazione è riportata altresì nella sezione "Richiedi Assistenza" del sito https://posteid.poste.it/ · "l'informativa dice che i dati relativi a servizio SPID non sono mai trattati per profilazione": come ho già avuto modo di rappresentarle nella mia precedente e.mail, la profilazione se autorizzata riguarda soltanto i prodotti/servizi attivi che il cliente ha con Poste Italiane. Quindi non riguarda mai, come peraltro esplicitato dall'informativa, i dati acquisiti durante la registrazione né l'informazione sull'unico dato conosciuto, il Service Provider a cui si chiede di accedere. Su quest'ultimo tema, visto che l'interesse per il WIFI è da indirizzare su quanto viene a conoscenza dei Service Provider, Le segnalo che la bozza di Convenzione pubblicata sul sito di AGID http://www.agid.gov.it/notizie/2016/07/27/spid-pubblicata-bozza-convenzione…, che dovranno sottoscrivere i Service Provider Privati per i servizi che esporranno sul circuito SPID in quanto regolamenta i limiti entro cui i SP potranno utilizzare i dati ricevuti dagli IDP per l'accesso ai servizi, riporta la seguente dicitura "il Service Provider è legittimato alla profilazione dell'utente ai soli fini commerciali del Service Provider e limitatamente ai consensi relativi al trattamento dei dati personali secondo le vigenti regole sulla privacy". Spero siano state informazioni utili. Cordiali Saluti Anna Pia Sassano ________________________________ La presente comunicazione elettronica contiene informazioni aziendali non private. Eventuali risposte alla presente potrebbero essere conosciute, per motivi organizzativi e di sicurezza, dal personale di Poste Italiane S.p.A.

July 29, 2016

Google adempie agli impegni presi con il Garante italiano e migliora le sue politiche di privacy

by Mauro Alovisio

Gent.mi/me segnalo dal sito del garante privacy Buon fine settimana Mauro Alovisio *http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/5305211 <http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/…>* *Google adempie agli impegni presi con il Garante italiano e migliora le sue politiche di privacy* *Informazioni più chiare e accessibili, consenso più articolato, nuovi strumenti per controllare i propri dati* Google ha adempiuto agli impegni presi con il Garante della privacy per rendere conforme il trattamento dei dati degli utenti alla normativa italiana. Si è conclusa positivamente la verifica da parte dell'Autorità sugli adempimenti prescritti nel provvedimento del luglio 2014 <http://www.garanteprivacy.it/garante/doc.jsp?ID=3283078>e disciplinati nel protocollo di verifica <http://www.garanteprivacy.it/garante/doc.jsp?ID=3740038> che Google ha sottoscritto all'inizio dello scorso anno. Nel corso dei 18 mesi concessi a Google il Garante ha effettuato verifiche presso la sede di Mountain View e ha ricevuto aggiornamenti trimestrali sull'attuazione delle prescrizioni. Il protocollo prevedeva l'implementazione di una serie di misure che garantissero la tutela dei dati personali degli utenti dei circa 70 servizi diversi offerti e obbligassero Google al rispetto delle regole. Ecco in sintesi le misure adottate dalla società. *Informativa agli utenti* Le informazioni fornite agli utenti sul trattamento dei loro dati sono più numerose e messe a disposizione in maniera più agevole. L'informativa esplicita ora le diverse finalità per le quali i dati sono raccolti e utilizzati, compresa la profilazione che prevede anche l'incrocio dei dati tra le diverse funzionalità offerte. L'informativa è stata resa più accessibile grazie a un link diretto che ne consente la visualizzazione con un solo click di distanza da ogni pagina del dominio. Sono state aggiunte inoltre informative per singoli prodotti e servizi. Sono stati inseriti link per agevolare contatti con la società e predisposto un modulo per l'esercizio dei diritti da parte degli utenti. *Consenso all'uso dei dati* Google ha implementato le misure per acquisire il consenso all'uso dei dati non solo per gli utenti autenticati, ma anche - sulla base di una specifica prescrizione del Garante - di quelli non autenticati. E' stato utilizzato un meccanismo che impone all'utente di effettuare necessariamente una scelta prevedendo, tramite la presentazione di un banner, la richiesta di consenso ripetuta per tre volte nell'arco di due mesi, fino a impedire l'accesso ai servizi finché la scelta non venga effettuata. Gli utenti potranno negare il consenso o rilasciarne uno anche parziale rispetto ai diversi scopi per i quali i dati possono essere usati, a partire dalla profilazione. Per la gestione dei propri dati personali, gli utenti autenticati (che cioè dispongono di un account) possono utilizzare un nuovo servizio denominato "My Account" che contiene informazioni sulla privacy, la sicurezza e gli strumenti a disposizione per controllare i propri dati. Per gli utenti non autenticati è disponibile una versione semplificata di "My account" che consente di personalizzare le ricerche sia sul motore di ricerca che su YouTube, controllare la tipologia di annunci visualizzati e scegliere di non ricevere pubblicità mirata. Migliorate anche le impostazioni degli annunci con la possibilità di selezionare le categorie di interesse o disattivare la pubblicità personalizzata. *Esercizio dei diritti di privacy* Gli utenti possono ora, in particolare, disattivare e sospendere la raccolta dei dati per la cronologia delle ricerche e delle localizzazioni o per l'attività vocale e audio. Come per la manifestazione del consenso, anche il diritto di opposizione al trattamento dei dati può essere esercitato in modo "granulare", cioè anche solo rispetto ad alcuni servizi e incroci di dati tra servizi diversi. Gli utenti avranno a disposizione un meccanismo di facile utilizzo per poter dialogare con Google ed esercitare i loro diritti, come chiedere copie dei dati o farli rettificare. *Cancellazione e conservazione dei dati* In linea con quanto richiesto dal Garante, Google rende inaccessibili i dati dell'utente autenticato 24 ore dopo la richiesta dell'interessato e li cancella entro 2 mesi, se i dati sono su sistemi attivi, o entro 6 mesi, se sono archiviati su sistemi di back up. I cosiddetti "dati di sistema", necessari a Google per fornire i propri servizi (es. i file di log), vengono invece anonimizzati allo scadere di tempi di conservazione predefiniti. Riguardo, in particolare, al tempo unico di conservazione indicato da Google per i cookie (18 mesi), il Garante si è riservato un ulteriore approfondimento per verificare se possano essere individuati tempi di conservazione diversificati in base al maggiore o minore potere identificativo dei cookie. L'Autorità si è riservata ulteriori approfondimenti anche sulle tecniche di anonimizzazione utilizzate. *"I miglioramenti adottati da Google sono il risultato dell'attività intrapresa dal Garante italiano per tutelare al meglio la privacy on line degli italiani e di una modalità di confronto con Google che ci pare abbia portato buoni frutti *- ha commentato Antonello Soro, Presidente dell'Autorità Garante*. Lo consideriamo un primo significativo passo. La nostra azione di vigilanza e controllo nei confronti di Mountain View infatti non si fermerà. Proseguiremo nelle verifiche, anche in collaborazione con le altre Autorità europee, affinché i dati degli utenti siano sempre più protetti e i loro diritti riconosciuti dai colossi del web".* *Roma, 29 luglio 2016*

July 29, 2016

Re: [nexa] Il Centro Nexa collaborerà col Master in Giornalismo di Torino - Le iscrizioni scadono il 30 agosto

by Masera Anna

Grazie mille Giuseppe e a tutto il Centro Nexa, non vedo l'ora di cominciare con voi questa nuova avventura! Anna http://www.formazione.corep.it/giornalismo/ Inviato da iPhone Il giorno 29 lug 2016, alle ore 09:11, Giuseppe Futia <giuseppe.futia(a)polito.it<mailto:giuseppe.futia@polito.it>> ha scritto: Gentilissimi, siamo lieti di segnalarvi che il Centro Nexa su Internet & Società collaborerà con l'edizione 2016/2018 del Master in Giornalismo "Giorgio Bocca" di Torino. C'è tempo fino al 30 agosto 2016 alle ore 12 per iscriversi (il bando è disponibile qui: http://www.formazione.corep.it/giornalismo/doc/bando_giornalismo_TORINO_161…) Vi invitiamo a condividere il bando con tutti coloro che possono essere interessati. Ulteriori informazioni sono disponibili nel comunicato stampa: http://www.formazione.corep.it/giornalismo/comunicato_it.pdf. Cordiali saluti, -- ------------------------------------------------- Giuseppe Futia Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it<http://nexa.polito.it/> mail: giuseppe.futia(a)polito.it<mailto:giuseppe.futia@polito.it> tel. +39 011 090 7219 _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

July 29, 2016

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico

by Diego Giorio

Concordo. Io l'ho sottoscritta il secondo giorno utile (il primo ero fuori sede per una riunione di redazione), quindi non escludo che da allora le procedure si siano modificate, ma quella è stata la mia esperienza, per quanto ricordo: alcuni dati di base, nessun documento identitificativo, dato che già avevano i miei dati, la mia carta di identità e codice fiscale, appunto per i servizi bancoposta. saluti e buone vacanze a tutti D. ________________________________ From: Francesco Pizzetti <f.pizzetti(a)tiscali.it> Sent: Friday, July 29, 2016 7:52 AM To: Diego Giorio; Giuseppe Attardi; nexa(a)server-nexa.polito.it Subject: R: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico Posso sbagliarmi ma la sua testimonianza spinge,anzi impone, approfondimenti molto importAnti Franco Pizzetti Inviato dal mio dispositivo Samsung -------- Messaggio originale -------- Da: Diego Giorio <dgiorio(a)hotmail.com> Data: 29/07/16 09:29 (GMT+01:00) A: Giuseppe Attardi <attardi(a)di.unipi.it>, nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto documenti o altri dati, ma ho usato il sistema che uso per entrare in Bancoposta per ottenere le credenziali SPID. saluti a tutti S. ________________________________ From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe Attardi <attardi(a)di.unipi.it> Sent: Friday, July 29, 2016 7:20 AM To: nexa(a)server-nexa.polito.it Subject: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it<mailto:nexa-request@server-nexa.polito.it> wrote: In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. - Beppe

July 29, 2016

R: Re: R: R: SPID e wi-fi federata con un sistema di accesso unico

by Francesco Pizzetti

Posso sbagliarmi ma la sua testimonianza spinge,anzi impone, approfondimenti molto importAntiFranco Pizzetti Inviato dal mio dispositivo Samsung -------- Messaggio originale -------- Da: Diego Giorio <dgiorio(a)hotmail.com> Data: 29/07/16 09:29 (GMT+01:00) A: Giuseppe Attardi <attardi(a)di.unipi.it>, nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto documenti o altri dati, ma ho usato il sistema che uso per entrare in Bancoposta per ottenere le credenziali SPID. saluti a tutti S. From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe Attardi <attardi(a)di.unipi.it> Sent: Friday, July 29, 2016 7:20 AM To: nexa(a)server-nexa.polito.it Subject: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it wrote: In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. — Beppe

July 29, 2016

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico

by Diego Giorio

In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto documenti o altri dati, ma ho usato il sistema che uso per entrare in Bancoposta per ottenere le credenziali SPID. saluti a tutti S. ________________________________ From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe Attardi <attardi(a)di.unipi.it> Sent: Friday, July 29, 2016 7:20 AM To: nexa(a)server-nexa.polito.it Subject: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it<mailto:nexa-request@server-nexa.polito.it> wrote: In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. - Beppe

July 29, 2016

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico

by Giuseppe Attardi

> On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it wrote: > > In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. — Beppe

July 29, 2016