December 2018 - nexa - server-nexa.polito.it

Jurix 2018 (proceedings)

by Ugo Pagallo

Per chi fosse interessato, trova qui http://ebooks.iospress.nl/ISBN/978-1-61499-935-5 il link al PDF di Jurix 2018 http://jurix2018.ai.rug.nl/index.html#home Nel volume, insieme a Eleonora Bassi, Massimo Durante e Marco Crepaldi, mi sono occupato di uno dei temi discussi in lista ultimamente, ossia blockchain e il diritto alla cancellazione dei dati ex Art. 17 GDPR. Cheers, u.p.

Dec. 10, 2018

R: Australia passes new law to thwart strong encryption

by Aldo Pedico

Dal punto di vista formale, hai ragione "sarebbe meglio che". Il mio "DEVE" si riferisce a quelle aziende che si installano il sw open e lo riusano al loro interno ed in taluni casi lo rivendono all'interno di loro applicazioni. Lavorando come consulente in grandi aziende, constato che questi usi sono oramai all'ordine del giorno. Ed ecco il motivo per cui è necessario far analizzare il sw open da prodotti in grado di rilevare le istruzioni vulnerabili indicandone la correzione (inclusi anche come test di qualità). Opportunamente inserita nella fase iniziale dei test e prima del passaggio in ambienti di distribuzione, l'analisi statica del sw abbinata a test dinamici finalizzati alla valutazione della sicurezza perimetrale, alzano la garanzia di sicurezza. Purtroppo questa attività sul sw libero è stata poco utilizzata, soltanto ora s'intravvedono usi in organizzazioni strutturate o obbligate da direttive nazionali e sensibili ai danni di immagine, economici, ecc. Aldo -----Messaggio originale----- Da: Giacomo Tesio [mailto:giacomo@tesio.it] Inviato: lunedì 10 dicembre 2018 12:18 A: Aldo Pedico <a.pedico(a)teleion.it> Cc: Nexa <nexa(a)server-nexa.polito.it>; Alberto Cammozzo <ac+nexa(a)zeromx.net> Oggetto: Re: [nexa] Australia passes new law to thwart strong encryption Il giorno lun 10 dic 2018 alle ore 10:42 Aldo Pedico <a.pedico(a)teleion.it> ha scritto: > > Gli articoli 25 e 32 del Reg. UE 2016/679 introducono, e questo lo ho dichiarato sia in rete sia nei convegni in cui mi è stato concesso di descrivere l'adeguamento tecnologico al GDPR, il principio della qualità del software conditio sine qua non al rispetto dell’articolo 1 della stessa legge. > > Che cosa vuol dire? Vuol dire che il sw open source deve sottostare ai > controlli di merito onde ridurre la presenza di istruzioni vulnerabili > al suo interno (vedi std CWE SANS, PCI DSS, ecc.) e di conseguenza la > probabilità che un evento malevolo possa verificarsi. E non solo! DEVE > essere controllata anche la obsolescenza. Tali controlli devono essere > svolti durante le fasi iniziali di sviluppo e di test nel ciclo di > vita del software "DEVE" è un po' forte, considerato che il software libero è distribuito WITHOUT WARRANTY. Diciamo piuttosto... "sarebbe meglio che". Beh... ora che ci penso... e anche molto software proprietario è distribuito senza garanzie. Questo è un punto interessante che è emerso precedentemente su questa lista, parlando di robotica e delle morti provocate dalle self-driving car quest'anno. Chi risponde dei danni causati da un software distribuito WITHOUT WARRANTY? Al momento, correggetemi se sbaglio, ne risponde l'utente che lo esegue a meno che non sia comprovabile la mala fede di chi lo ha sviluppato/distribuito. Giacomo

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Giacomo Tesio

Il giorno lun 10 dic 2018 alle ore 10:42 Aldo Pedico <a.pedico(a)teleion.it> ha scritto: > > Gli articoli 25 e 32 del Reg. UE 2016/679 introducono, e questo lo ho dichiarato sia in rete sia nei convegni in cui mi è stato concesso di descrivere l'adeguamento tecnologico al GDPR, il principio della qualità del software conditio sine qua non al rispetto dell’articolo 1 della stessa legge. > > Che cosa vuol dire? Vuol dire che il sw open source deve sottostare ai controlli di merito onde ridurre la presenza di istruzioni vulnerabili al suo interno (vedi std CWE SANS, PCI DSS, ecc.) e di conseguenza la probabilità che un evento malevolo possa verificarsi. E non solo! DEVE essere controllata anche la obsolescenza. Tali controlli devono essere svolti durante le fasi iniziali di sviluppo e di test nel ciclo di vita del software "DEVE" è un po' forte, considerato che il software libero è distribuito WITHOUT WARRANTY. Diciamo piuttosto... "sarebbe meglio che". Beh... ora che ci penso... e anche molto software proprietario è distribuito senza garanzie. Questo è un punto interessante che è emerso precedentemente su questa lista, parlando di robotica e delle morti provocate dalle self-driving car quest'anno. Chi risponde dei danni causati da un software distribuito WITHOUT WARRANTY? Al momento, correggetemi se sbaglio, ne risponde l'utente che lo esegue a meno che non sia comprovabile la mala fede di chi lo ha sviluppato/distribuito. Giacomo

Dec. 10, 2018

10th Nexa Conference-Workshop Decode Project | 18th December 2018, Turin

by Nexa Media

Conferenza Nexa <http://nexa.polito.it/> *10th Nexa Conference* *Workshop Decode Project* /in cooperation with FULL (Future Urban Legacy Lab)/ ------------------------------------------------------------------------ */Urban Digital Commons and The Future of Cities/* *Tuesday, 18th December 2018* Conference room "Luigi Ciminiera" <http://www.polito.it/ateneo/sedi/index.php?bl_id=TO_CIT11&fl_id=XP05&rm_id=…>, DAUIN, Politecnico, Corso Castelfidardo 34/D, Torino (Map <https://www.google.it/maps/place/45%C2%B003%2751.1%22N+7%C2%B039%2733.5%22E…>) /Free entry while seats last, subject to registration (required) at the address:/http://nexa2018.eventbrite.com *Twitter hashtag* della conferenza: #nexa2018 <https://twitter.com/hashtag/nexa2018?src=hash> The Conference is accredited by The Council of the Turin Bar Association <http://www.ordineavvocatitorino.it/>. The participation entitles the members to 2 training credits. Abstract “Smart Cities” and “Smart Communities” have been recurrent keywords in countless projects and initiatives in the last decade, addressed to the emerging problems of our cities in the XXI century: pollution monitoring systems, smart grids, devices for remote health monitoring, robots for assisting aging population, traffic management systems are some examples. Recently the smart city rhetoric has attracted an increasing number of critics because most of the funding agendas and of the proposed solutions are ascribable to forms of technocratic and market driven governance -often bound to black box technologies and data- which do not really address the real causes of the complex urban issues. To recover the neglected role of societies in the urban governance, several counter-proposals are rooted on the notions of social and civic rights, citizens active participation through technology, and on the idea of urban digital commons. The 10th Nexa Conference is focused on the latter: we will discuss the role of urban digital commons in shaping the future governance of our cities, in the context of two ongoing projects: the Digital Open Urban Twin at the Future Urban Legacy Lab, and the H2020 project DECODE. Information Information about the Conference program and the speakers is available at: https://nexa.polito.it/conf2018 LogoNexaLogodecode <https://decodeproject.eu/>LogoFull <http://urbanlegacylab.net/> LogoUe DECODE is funded by the European Union's Horizon 2020 Programme, under grant agreement number 732546. The Nexa Center for Internet & Society at Politecnico di Torino (DAUIN) - Studying the Internet, exploring its potential, experimenting new ideas. *For more information, visit:* https://nexa.polito.it/ <https://nexa.polito.it>

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Stefano Zacchiroli

On Mon, Dec 10, 2018 at 09:14:31AM +0100, Alberto Cammozzo wrote: > Ecco un buon uso della blockchain: archivio distribuito degli hash di > binari o sorgenti scaricati da fonti incerte. :-) Nah, le care vecchie signature sono più che sufficienti per evitare tampering nella catena di download. In questi casi, *se* nel tuo threat model ti vuoi fidare dell'autore/committer del codice, il consensus stile blockchain continua ad essere una soluzione in cerca di un problema :-) -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Dec. 10, 2018

R: Australia passes new law to thwart strong encryption

by Aldo Pedico

Concordo. Gli articoli 25 e 32 del Reg. UE 2016/679 introducono, e questo lo ho dichiarato sia in rete sia nei convegni in cui mi è stato concesso di descrivere l'adeguamento tecnologico al GDPR, il principio della qualità del software conditio sine qua non al rispetto dell’articolo 1 della stessa legge. Che cosa vuol dire? Vuol dire che il sw open source deve sottostare ai controlli di merito onde ridurre la presenza di istruzioni vulnerabili al suo interno (vedi std CWE SANS, PCI DSS, ecc.) e di conseguenza la probabilità che un evento malevolo possa verificarsi. E non solo! DEVE essere controllata anche la obsolescenza. Tali controlli devono essere svolti durante le fasi iniziali di sviluppo e di test nel ciclo di vita del software Aldo -----Messaggio originale----- Da: nexa [mailto:nexa-bounces@server-nexa.polito.it] Per conto di Giacomo Inviato: domenica 9 dicembre 2018 13:41 A: nexa(a)server-nexa.polito.it; Alberto Cammozzo <ac+nexa(a)zeromx.net>; nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] Australia passes new law to thwart strong encryption Questa legge potrebbe avere interessanti effetti collaterali sul software libero. Anzitutto la possibilità di ispezionare il sorgente e compilarlo diventa più importante. D'altro canto sarà necessario porre maggiore attenzione al software libero guidato da team australiani, che potrebbero essere costretti ad introdurre vulnerabilità. Quanto ai contributi australiani a software libero internazionale, sarà necessario porre maggiore attenzione durante la revisione delle patch. Tale attenzione potrebbe però rendere i contributi australiani più sicuri degli altri. Fin tanto che l'attenzione resterà alta ovviamente. Giacomo _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Giacomo Tesio

On Mon, 10 Dec 2018 at 09:14, Alberto Cammozzo <ac+nexa(a)zeromx.net> wrote: > Ecco un buon uso della blockchain: archivio distribuito degli hash di > binari o sorgenti scaricati da fonti incerte. > :-) O più semplicemente content-based addressing per il repository. Giacomo

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Alberto Cammozzo

On 10/12/2018 09:09, Giacomo Tesio wrote: > Ulteriore effetto interessante: Atlassian ha sede a Syndey e BitBucket > (maggior competitor di GitHub recentemente acquistato da Microsoft) è > un prodotto di Atlassian. > > Diventa ancora più importante, per chiunque utilizzi BitBucket, > firmare crittograficamente le commit per evitare che vengano > manomesse. > E probabilmente dovremmo pensare nuovi metodi per garantire che il > primo scaricamento dei sorgenti non sia vulnerabile a manomissioni. Ecco un buon uso della blockchain: archivio distribuito degli hash di binari o sorgenti scaricati da fonti incerte. :-) > > > Giacomo > On Sun, 9 Dec 2018 at 13:38, Giacomo <giacomo(a)tesio.it> wrote: >> Il December 7, 2018 12:10:01 PM UTC, Alberto Cammozzo <ac+nexa(a)zeromx.net> ha scritto: >>> <https://arstechnica.com/tech-policy/2018/12/australia-passes-new-law-to-thw…> >>> >>> On Thursday, the Australian parliament approved a measure that critics >>> say will weaken encryption in favor of law enforcement and the demands >>> of government. >>> >>> The new law, which has been pushed for since at least 2017, requires >>> that companies provide a way to get at encrypted communications and >>> data >>> via a warrant process. It also imposes fines of up to A$10 million for >>> companies that do not comply and A$50,000 for individuals who do not >>> comply. In short, the law thwarts (or at least tries to thwart) strong >>> encryption. >>> >>> Companies who receive one of these warrants have the option of either >>> complying with the government or waiting for a court order. However, by >>> default, the orders are secret, so companies would not be able to tell >>> the public that they had received one. >>> >>> "It's a big deal," Adam Molnar, a lecturer in criminology at Deakin >>> University in Australia, told Ars. >>> >>> However, the law as currently written seems to contain what some view >>> as >>> a loophole. The statute says that companies cannot be compelled to >>> introduce a "systemic weakness" or a "systemic vulnerability" into >>> their >>> software or hardware to satisfy government demands. >>> >>> Those terms are not fully defined in the current law but are set to be >>> added in the forthcoming amendments. >>> >>> Molnar pointed out that the new law not only implicates his home >>> country >>> but also the other four members of the so-called "Five Eyes" of >>> English-speaking nations, which include New Zealand, Canada, the United >>> Kingdom, and the United States. >>> >>> The US government (particularly the FBI and Department of Justice) has >>> long complained of the "going dark" problem, but it has not managed to >>> get any adequate federal legislation to address the issue since the >>> failed "Clipper Chip" of the 1990s. >>> >>> Australian authorities are already known to cooperate with American law >>> enforcement, notably as part of the investigations into the "Love Zone" >>> child-porn website. >>> >>> "The Government is responding to the impediment that the increasing >>> prevalence of encrypted data and communications represents to available >>> investigative and interception capabilities," the Australian parliament >>> wrote in its Bill Digest. >>> >>> "The Bill contains measures aimed at facilitating lawful access to >>> communications and data through two avenues—decryption of encrypted >>> technologies and access to communications and data at points where they >>> are not encrypted." >>> >>> [...] >>> _______________________________________________ >>> nexa mailing list >>> nexa(a)server-nexa.polito.it >>> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >> Questa legge potrebbe avere interessanti effetti collaterali sul software libero. >> >> Anzitutto la possibilità di ispezionare il sorgente e compilarlo diventa più importante. >> >> D'altro canto sarà necessario porre maggiore attenzione al software libero guidato da team australiani, che potrebbero essere costretti ad introdurre vulnerabilità. >> >> Quanto ai contributi australiani a software libero internazionale, sarà necessario porre maggiore attenzione durante la revisione delle patch. Tale attenzione potrebbe però rendere i contributi australiani più sicuri degli altri. >> >> >> Giacomo

Dec. 10, 2018

Re: [nexa] Australia passes new law to thwart strong encryption

by Giacomo Tesio

Ulteriore effetto interessante: Atlassian ha sede a Syndey e BitBucket (maggior competitor di GitHub recentemente acquistato da Microsoft) è un prodotto di Atlassian. Diventa ancora più importante, per chiunque utilizzi BitBucket, firmare crittograficamente le commit per evitare che vengano manomesse. E probabilmente dovremmo pensare nuovi metodi per garantire che il primo scaricamento dei sorgenti non sia vulnerabile a manomissioni. Giacomo On Sun, 9 Dec 2018 at 13:38, Giacomo <giacomo(a)tesio.it> wrote: > > Il December 7, 2018 12:10:01 PM UTC, Alberto Cammozzo <ac+nexa(a)zeromx.net> ha scritto: > ><https://arstechnica.com/tech-policy/2018/12/australia-passes-new-law-to-thw…> > > > >On Thursday, the Australian parliament approved a measure that critics > >say will weaken encryption in favor of law enforcement and the demands > >of government. > > > >The new law, which has been pushed for since at least 2017, requires > >that companies provide a way to get at encrypted communications and > >data > >via a warrant process. It also imposes fines of up to A$10 million for > >companies that do not comply and A$50,000 for individuals who do not > >comply. In short, the law thwarts (or at least tries to thwart) strong > >encryption. > > > >Companies who receive one of these warrants have the option of either > >complying with the government or waiting for a court order. However, by > >default, the orders are secret, so companies would not be able to tell > >the public that they had received one. > > > >"It's a big deal," Adam Molnar, a lecturer in criminology at Deakin > >University in Australia, told Ars. > > > >However, the law as currently written seems to contain what some view > >as > >a loophole. The statute says that companies cannot be compelled to > >introduce a "systemic weakness" or a "systemic vulnerability" into > >their > >software or hardware to satisfy government demands. > > > >Those terms are not fully defined in the current law but are set to be > >added in the forthcoming amendments. > > > >Molnar pointed out that the new law not only implicates his home > >country > >but also the other four members of the so-called "Five Eyes" of > >English-speaking nations, which include New Zealand, Canada, the United > >Kingdom, and the United States. > > > >The US government (particularly the FBI and Department of Justice) has > >long complained of the "going dark" problem, but it has not managed to > >get any adequate federal legislation to address the issue since the > >failed "Clipper Chip" of the 1990s. > > > >Australian authorities are already known to cooperate with American law > >enforcement, notably as part of the investigations into the "Love Zone" > >child-porn website. > > > >"The Government is responding to the impediment that the increasing > >prevalence of encrypted data and communications represents to available > >investigative and interception capabilities," the Australian parliament > >wrote in its Bill Digest. > > > >"The Bill contains measures aimed at facilitating lawful access to > >communications and data through two avenues—decryption of encrypted > >technologies and access to communications and data at points where they > >are not encrypted." > > > >[...] > >_______________________________________________ > >nexa mailing list > >nexa(a)server-nexa.polito.it > >https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > > Questa legge potrebbe avere interessanti effetti collaterali sul software libero. > > Anzitutto la possibilità di ispezionare il sorgente e compilarlo diventa più importante. > > D'altro canto sarà necessario porre maggiore attenzione al software libero guidato da team australiani, che potrebbero essere costretti ad introdurre vulnerabilità. > > Quanto ai contributi australiani a software libero internazionale, sarà necessario porre maggiore attenzione durante la revisione delle patch. Tale attenzione potrebbe però rendere i contributi australiani più sicuri degli altri. > > > Giacomo

Dec. 10, 2018

Re: [nexa] R: Risposta del Garante su quesito su "GDPR - Blockchain"

by Giacomo

Il December 9, 2018 6:05:38 PM UTC, Aldo Pedico <a.pedico(a)teleion.it> ha scritto: >Non si parla di cancellazione della transazione o trattamento ma di >dati personali al suo interno. >Non è il Garante ma la legge Reg. UE 2016/679 che stabilisce il diritto >dell'interessato alla cancellazione o modifica dei suoi dati personali >ovvero di quei dati che possano identificarlo in maniera inequivocabile >sia direttamente sia indirettamente. Il problema è che le transazioni stesse sono dati personali. Giacomo

Dec. 9, 2018