December 2018 - nexa - server-nexa.polito.it

Re: [nexa] Australia passes new law to thwart strong encryption

by Stefano Zacchiroli

On Mon, Dec 10, 2018 at 07:44:13PM +0100, Alberto Cammozzo wrote: > So come funziona, ma se devi scaricare il cksum dallo stesso > repository e questo è compromesso oltre al binario anche il cksum sarà > manomesso (e corretto). Il checksum manomesso sarà corretto. Ma la *signature* sul checksum non potrà esserlo, perché solo il maintainer/autore del software la può produrre con la sua chiave privata. L'hoster del repository malfido non può produrla perché non ha la chiave. Quindi continuo a non vedere il tipo di attacco che stai cercando di evitare. L'unico "attacco" possibile è che l'hoster *tolga* la signature del maintainer, ma è un attacco con le virgolette del caso perché se il client (il package manager) è fatto bene rifiuterà di installare un pacchetto il cui checksum non è firmato. E quindi gli utenti smetteranno di usare il repository perché semplicemente, dal loro punto di vista, non funziona. > In un repository trusted mi aspetto che chi lo gestisce controlli che i > cksum non siano stati alterati -- suppongo Debian lo faccia, e suppongo > anche che apt-get non si fidi di http per scaricare i checksum. apt-get scarica i checksum via http (e persino ftp...) senza problemi, e pure da mirror terze parti, proprio per il motivo di cui sopra: sebbene i checksum possono essere manomessi da terze parti, le signature non possono esserlo. Tornando alla blockchain, puoi certamente immaginare di distribuire le signature via essa ed avere dei client che le cercano nella blockchain anziché nel repository stesso. Ma a quel punto stai usando una blockchain semplicemente come se fosse una CDN per dei file particolari. Funziona, ma non c'è nessun valore aggiunto dato dall'uso della blockchain. Ed il motivo è che i meccanismi di integrità del software basati su signature sono verticali (maintainer / autore / distributore) e non orizzontali, quindi il consenso distribuito non aggiunge nulla. A presto -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Giacomo

Parlando dei repository git o mercurial hostati da Atlassian su BitBucket, il problema si pone se pubblico la URI da clonare referenziando il master branch. Se firmiamo le commit con GPG (cosa che ahimè fin ora non avevo mai fatto) diventa impossibile per chi non disponga delle chiavi private di falsificare la storia. Tuttavia rimane possibile sostituire l'intero repository con uno non firmato o uno firmato solo fino ad un certo punto. Naturalmente non è possibile condurre questo attacco contro chi abbia già scaricato il repository, ma chiunque non abbia mai scaricato il repository è una potenziale vittima di questo attacco. La nuova legge rende importante pubblicare la URI di una commit specifica per chi intemda clonare il repository. L'hash della commit funzionerebbe così da content address che garantisce l'intera storia fino a quel punto. Giacomo

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Alberto Cammozzo

On 10/12/2018 19:18, Stefano Zacchiroli wrote: > On Mon, Dec 10, 2018 at 07:15:06PM +0100, Alberto Cammozzo wrote: >> Potrei fidarmi del committer ma non del repository, o di tutti i >> repository. Pensa ad esempio ai molti repository alternativi di app >> Android (Play, f-droid, ecc). > Non hai bisogno di fidarti del repository (o del canale tra lui ed esso) > se hai un checksum su ciò che scarichi ed una signature che certifichi > che il checksum corrisponde a quello dichiarato dal maintainer. Perché > puoi verificare entrambe le cose dopo il download e notare mismatch. > > Molti repository funzionano infatti in questo modo. Che so, puoi > scaricare i pacchetti Debian/Ubuntu/etc. via HTTP (anziché via HTTPS) > senza rischi di tampering, proprio perché apt-get verifica per te le > signature ed i checksum prima di installare i pacchetti in locale. > So come funziona, ma se devi scaricare il cksum dallo stesso repository e questo è compromesso oltre al binario anche il cksum sarà manomesso (e corretto). Il sistema funziona bene comunque nel caso il repository sia trusted, ma se l'utente non può/non vuole fidarsi sarà bene che il checksum stia da un'altra parte (trusted third party). In un repository trusted mi aspetto che chi lo gestisce controlli che i cksum non siano stati alterati -- suppongo Debian lo faccia, e suppongo anche che apt-get non si fidi di http per scaricare i checksum. Non è necessario che Trusted Third Party sia una BlockChain (di cui non sono un fan), ma è uno dei pochi casi in cui può prestarsi: read-only, distribuito, multiple unknown writers, ...

Dec. 10, 2018

Artificial Intelligence and the Future of Humans | Pew Research Center

by J.C. DE MARTIN

http://www.pewinternet.org/2018/12/10/artificial-intelligence-and-the-futur… (Sent from my wireless device; please excuse brevity and typos (if any))

Dec. 10, 2018

Grindr Is Letting Other Companies See User HIV Status And Location Data

by Luigi Scorca

A data analysis conducted by an outside research firm, and independently verified by BuzzFeed News, shows that a popular gay dating app is sharing its users’ HIV status with two other companies. *(Update: Late on Monday Grindr said it would stop sharing this information.)* https://www.buzzfeednews.com/article/azeenghorayshi/grindr-hiv-status-priva…

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Stefano Zacchiroli

On Mon, Dec 10, 2018 at 07:15:06PM +0100, Alberto Cammozzo wrote: > Potrei fidarmi del committer ma non del repository, o di tutti i > repository. Pensa ad esempio ai molti repository alternativi di app > Android (Play, f-droid, ecc). Non hai bisogno di fidarti del repository (o del canale tra lui ed esso) se hai un checksum su ciò che scarichi ed una signature che certifichi che il checksum corrisponde a quello dichiarato dal maintainer. Perché puoi verificare entrambe le cose dopo il download e notare mismatch. Molti repository funzionano infatti in questo modo. Che so, puoi scaricare i pacchetti Debian/Ubuntu/etc. via HTTP (anziché via HTTPS) senza rischi di tampering, proprio perché apt-get verifica per te le signature ed i checksum prima di installare i pacchetti in locale. -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Dec. 10, 2018

Australia passes new law to thwart strong encryption

by Alberto Cammozzo

On December 10, 2018 10:46:38 AM UTC, Stefano Zacchiroli <zack(a)upsilon.cc> wrote: On Mon, Dec 10, 2018 at 09:14:31AM +0100, Alberto Cammozzo wrote: Ecco un buon uso della blockchain: archivio distribuito degli hash di binari o sorgenti scaricati da fonti incerte. :-) Nah, le care vecchie signature sono più che sufficienti per evitare tampering nella catena di download. In questi casi, *se* nel tuo threat model ti vuoi fidare dell'autore/committer del codice, il consensus stile blockchain continua ad essere una soluzione in cerca di un problema :-) Potrei fidarmi del committer ma non del repository, o di tutti i repository. Pensa ad esempio ai molti repository alternativi di app Android (Play, f-droid, ecc). In questo caso il device può autonomamente acquisire e verificare la signature da una fonte write-once distribuita.

Dec. 10, 2018

Facebook Censors at Random

by Alberto Cammozzo

Ammesso che FB sia ancora una piattaforma rilevante a maggio 2019 per le elezioni Europee, la censura (o assenza di essa) avrà un ruolo importante. <https://www.wsj.com/articles/facebook-censors-at-random-1544395970> Facebook Censors at Random The social network’s rules on political advertising burden nonprofits and are impossible to understand. <https://www.wsj.com/articles/facebook-censors-at-random-1544395970#comments…> ByDaniel Gallant Dec. 9, 2018 5:52 p.m. ET If you used Facebook <https://quotes.wsj.com/FB> in late November, you probably saw a stream of fundraising campaigns for charities and cultural organizations. That’s because Facebook offered up to $7 million in matching donations for nonprofits that used its platform to raise funds on Giving Tuesday. But this gesture masks the negative impact Facebook’s newly adopted advertising policies have had on nonprofit organizations that rely on social media. In response to public scrutiny stemming from the Cambridge Analytica scandal this year, Facebook has implemented enforcement measures aimed at improving election security and discouraging anonymous political messages. These measures have been poorly executed and inconsistently applied. They unfairly burden charitable organizations and small businesses, yet are easy for organized or well-funded actors to circumvent. Several paid advertising campaigns run by my colleagues and clients have been inexplicably obstructed by Facebook’s policing in the past several months. Facebook refused to allow my New York cultural nonprofit, the Nuyorican Poets Cafe, to pay to promote a post encouraging people to vote in the midterms because our page was not “authorized to run ads related to politics.” A campaign promoting a lecture about sculpture at the Boston Museum of Fine Arts was blocked because Facebook’s censors mistakenly believed it was intended to influence an election in Ireland. Similarly, Arts Japan 2020, an entity that highlights Japan-related cultural programs in the U.S., was unable to promote a post celebrating an award given by the emperor of Japan to an American arts curator. Facebook claimed the topic was of “national importance.” These harmless posts remain on Facebook in unpromoted form, but unpromoted content has a limited reach. The problem is widespread. The Atlantic reported on Nov. 2 that Facebook’s election-security policies have caused it to block advertising campaigns from organizations including community centers, national parks and charities that serve wounded veterans. Representatives of charities are often reluctant to register as political advertisers on Facebook because of privacy concerns. Facebook requires users to disclose significant personal information before promoting posts about politics or national issues. To be authorized to run such advertisements on behalf of my nonprofit organization, I would have to send Facebook my residential address, my Social Security number, and a photo of myself holding my passport or driver’s license. I’m loath to entrust any entity with all of that sensitive information—especially Facebook, which could use its facial-recognition software to match my personal information with photos of me that might appear online. But suppose I did submit those items and was therefore allowed to promote political content. If I subsequently broke the rules, Facebook wouldn’t necessarily hold the nonprofit I represent responsible. Under Facebook’s policies, the person who operates an ad account is accountable for any ads placed by that account. The only real protection Facebook’s identification requirements might provide is a guarantee that Facebook users can determine the true identity of the marketer responsible for a political advertisement. Or can they? A well-resourced advertiser with nefarious intent could simply hire a patsy (or use fake credentials) to pass Facebook’s screening process and establish a nominal presence at an American address. As several reporters have recently discovered, Facebook allows many advertisers who pass its invasive screening process to run political ads under any identity they choose. A recent Vice article describes how Facebook approved political ads by reporters who pretended to be 100 different senators. And Business Insider was able to post political Facebook ads that purported to be from Cambridge Analytica. In the name of election security, Facebook has implemented an opaque and shape-shifting definition of “issues of national importance” and an intrusive vetting process that is poorly enforced. These don’t protect users or the American public. Unless Facebook offers more transparency and accountability, determined marketers will remain able to circumvent the process. And despite benevolent gestures on Giving Tuesday, nonprofits and small businesses will continue to suffer under Facebook’s arbitrary restrictions.

Dec. 10, 2018

How to Stop Apps From Tracking Your Location

by gianlucaquaglia＠gmail.com

How to Stop Apps From Tracking Your Location Hundreds of apps can follow your movements and share the details with advertisers, retailers and even hedge funds. Here’s how to limit the snooping. By Jennifer Valentino-DeVries and Natasha Singer Dec. 10, 2018 At least 75 companies receive people’s precise location data from hundreds of apps whose users enable location services for benefits such as weather alerts, The New York Times found. The companies use, store or sell the information to help advertisers, investment firms and others. You can head off much of the tracking on your own device by spending a few minutes changing settings. The information below applies primarily to people in the United States. [..] by now.. continua qui https://www.nytimes.com/2018/12/10/technology/prevent-location-data-sharing…

Dec. 10, 2018

Re: [nexa] 114° Mercoledì di Nexa | 12 dicembre 2018

by Nexa Media

*REMINDER*: vi ricordiamo che mercoledì 12 dicembre 2018, dalle ore 18 alle ore 20, si svolgerà il 114° Mercoledì di Nexa, con un incontro dal titolo: *Alienazione e rivoluzione (digitale).* Ospite dell’incontro:* Enrico Donaggio *(Università degli Studi di Torino). Ingresso libero, webcast live all'indirizzo: http://nexa.polito.it/upcoming-events. Maggiori informazioni sono disponibili all’indirizzo: Cordiali saluti, Francesco Il giorno lun 3 dic 2018 alle ore 11:50 Nexa Media <media(a)nexa.polito.it> ha scritto: > Se non visualizzi correttamente questo messaggio clicca qui > <http://nexa.polito.it/mercoledi-114> > [image: NEXA] > > 114° Mercoledì di Nexa > Mercoledì 12 dicembre 2018, ore 18.00 - 20.00 > > Politecnico di Torino > > http://nexa.polito.it/mercoledi-114 > Alienazione e rivoluzione (digitale) > > Speaker > Enrico Donaggio (Università degli Studi di Torino) > > This event will be webcast live: http://nexa.polito.it/upcoming-events > Il concetto di "alienazione" è forse il più famoso tra quelli inventati da > Karl Marx. Lo scopo in fondo era semplice: *criticare l'idea che nella > società capitalistica il lavoro nobiliti l'uomo e lo renda libero*. La > verità per il "giovane Marx" - l'autore dei Manoscritti > economico-filosofici del 1844, il libro di culto di un sacco di eretici - > era semmai il contrario: il lavoro capitalistico disumanizza e schiavizza > sempre più chi lo compie, riducendolo inesorabilmente a merce tra le merci. > Dopo essere stato di moda nella seconda metà del Novecento, il concetto di > alienazione è finito - insieme a un sacco di orrori e speranze - in una > fossa comune ai piedi del muro di Berlino. > Negli ultimi anni diversi teorici sociali hanno deciso di riesumarlo per > descrivere la condizione contemporanea. A loro avviso, debitamente > rivisitato e corretto, un concetto creato per descrivere* quel che > accadeva in una fabbrica dell'Ottocento può descrivere il modo oggi più > diffuso di stare al mondo* tra i membri della tribù occidentale: a testa > bassa, con uno smartphone tra le mani. > > BIOGRAFIE - e informazioni supplementari > > [image: [DONAGGIO]] > > * Enrico DONAGGIO * insegna Filosofia della storia all'Università di > Torino ed è Fellow del Centro Nexa. Di recente ha scritto:* Direi di no. > Desideri di migliori libertà* (Feltrinelli 2016) e ha tradotto e curato: *K. > Marx - F. Engels, Manifesto del partito comunista *(Feltrinelli 2017) e *K. > Marx, Manoscritti economico-filosofici del 1844 *(Feltrinelli 2018). > > *Letture consigliate e link utili:* > > - K. Marx, *Manoscritti economico-filosofici del 1844*, Feltrinelli, > 2018. > - S. Haber,* La reinvenzione dell’alienazione nell’epoca della > rivoluzione digitale * > <http://www.consecutio.org/2014/12/la-reinvenzione-dellalienazione-nellepoca…>, > in "Consecutio temporum". > - R. Jaeggi, *Alienazione*, Castelvecchi, 2017. > - H. Rosa, *Accelerazione e alienazione. Per una teoria critica nella > tarda modernità*, Einaudi, 2015. > > > > > Che cosa sono il Centro Nexa e i cicli di incontri “Mercoledì di Nexa” e > “Nexa Lunch Seminar” > > #mercoledì114 > <https://twitter.com/search?f=tweets&q=%23mercoled%C3%AC114&src=typd> > #RivoluzDigitale <https://twitter.com/hashtag/RivoluzDigitale?src=hash> > #nexawednesday <https://twitter.com/search?q=%23nexawednesday&src=typd> > > Il Centro Nexa su Internet & Società del Politecnico di Torino > (Dipartimento di Automatica e Informatica) è un centro di ricerca > indipendente e interdisciplinare che studia Internet e il suo effetto sulla > società. Maggiori informazioni all'indirizzo: http://nexa.polito.it/about. > > Durante i “*Mercoledì di Nexa*”, che si tengono *ogni 2° mercoledì del > mese* alle *ore 18 in punto*, il Centro Nexa su Internet e Società apre > le sue porte non solo agli esperti e a tutti coloro i quali lavorano con > Internet, ma anche a semplici appassionati e cittadini. Il ciclo di > incontri intende approfondire, con un linguaggio preciso ma divulgativo, i > temi legati alla Rete: motori di ricerca, Creative Commons, social > networks, open source/software libero, neutralità della rete, libertà di > espressione, privacy, file sharing, big e open data, smart cities e molto > altro. > > Al centro di quasi tutti gli incontri un ospite pronto a dialogare con i > direttori del Centro Nexa, il Prof. Juan Carlos De Martin del Politecnico > di Torino e il Prof. Marco Ricolfi dell'Università di Torino, nonché lo > staff e i Fellows del Centro Nexa. > > Maggiori informazioni sui Mercoledì di Nexa, incluso un elenco di tutti i > “Mercoledì” passati, sono disponibili all'indirizzo: > http://nexa.polito.it/mercoledi. > > Si segnala inoltre che dal maggio 2012 *ogni 4° mercoledì* del mese *dalle > ore 13 alle ore 14* il Centro Nexa organizza anche i "*Nexa Lunch Seminar*". > Una lista di tutti i “Lunch Seminar” passati è disponibile all'indirizzo: > http://nexa.polito.it/lunch-seminars. > > See our events calendar <http://nexa.polito.it/events> if you're curious > about future luncheons, discussions, lectures, and conferences not listed > in this email. Our events are free and open to the public, unless otherwise > noted. > > Responsabile Comunicazione Centro Nexa su Internet & Società: *Francesco > Ruggiero*, tel: +39 011 090 7219, Mob: +39 349 1335082, > francesco.ruggiero(a)polito.it. > > Maggiori informazioni sui Mercoledì di Nexa e i Nexa Lunch Seminar, sono > disponibili all'indirizzo: http://nexa.polito.it/events. Weekly Events > Newsletter. Sign up <http://nexa.polito.it/mailing-lists> to receive this > newsletter if this email was forwarded to you. To manage your subscription > preferences, please click here > <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa>. > > Connect & get involved: Jobs, internships, and more > <http://nexa.polito.it/get-involved>. > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- Francesco Ruggiero Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it mail: francesco.ruggiero(a)polito.it tel: 011 090 7219

Dec. 10, 2018