August 2018 - nexa - server-nexa.polito.it

Re: [nexa] The Web is still a DARPA weapon.

by Giacomo Tesio

Il giorno 29 agosto 2018 08:50, Marco Ciurcina <ciurcina(a)studiolegale.it> ha scritto: > > > > Ma anche chi distribuisce il browser potrebbe avere un problema se era > > > consapevole del fatto che il suo browser consente il prodursi di danni. > > > Per esempio, in Italia, l'art. 1229 c.c. non consente di escludere o > > > limitare la responsabilità in caso di dolo o colpa grave. > > > > Questo è molto interessante. > > Stiamo parlando (principalmente) di Mozilla (una fondazione), Google, > > Microsoft e Apple. > > Sarebbe interessante costruire la prova del fatto che sono consapevoli del > rischio di danni: questa prova potrebbe essere utilizzata contro di loro da > chi subisce danni per dimostrare (se non il dolo) la colpa grave. Qui ho scritto un bug report per Firefox: https://bugzilla.mozilla.org/show_bug.cgi?id=1487081 Archiviato qui https://web.archive.org/web/20180829134933/https://bugzilla.mozilla.org/sho… (ma ricordate: la Wayback Machine non è progettata per essere usata come prova in tribunale!) Ho cercato di essere preciso (Enrico ti sarei grato se volessi dargli un occhiata per vedere che io sia stato sufficientemente chiaro), ma in realtà si tratta di una vulnerabilità veramente semplice da sfruttare, nonostante il sandboxing. Di oggi non credo di riuscire a riportarlo anche a Google, Microsoft e Apple (i cui browser sono equalmente vulnerabili). > > Purtroppo un utente comune non potrebbe dimostrare di aver subito l'attacco > > (un hacker in paranoia potrebbe mettersi in condizione di dimostrare > > un attacco attraverso un proxy HTTP ad hoc) > > > > D'altro canto, nessuno potrebbe dimostrare che l'utente comune NON ha > > subito tale attacco. > > [...] > > Come se ne esce? > In concreto, si fa un processo e decide il giudice. Dunque il giudice si potrebbe trovare di fronte - un cittadino italiano che afferma di essere innocente - Google, Microsoft, Apple e Mozilla interessate ad evitare uno scandalo - un analista forense non in grado di stabilire con certezza se le prove disponibili sul pc dell'imputato sono autentiche o sono state forgiate Non vorrei essere nei panni dell'imputato. Giacomo

Aug. 29, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Marco Ciurcina

In data mercoledì 29 agosto 2018 00:41:52 CEST, Giacomo Tesio ha scritto: > Grazie davvero delle risposte. > Tuttavia ho ancora alcune domande: > > Il giorno 28 agosto 2018 10:38, Marco Ciurcina > > <ciurcina(a)studiolegale.it> ha scritto: > > In data martedì 28 agosto 2018 10:12:15 CEST, Enrico Nardelli ha scritto: > > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul > > > dispositivo dell'utente che permettono di connettere le azioni illegali > > > all'autore? > > > > Di chi ha installato e rimosso il codice che compie atti illeciti. > > E se non si trova in Europa? IMHO non dovrebbe cambiare. > E se non è possibile identificarlo? Resterà uno dei tanti criminali impuniti. > > > Ma anche chi distribuisce il browser potrebbe avere un problema se era > > consapevole del fatto che il suo browser consente il prodursi di danni. > > Per esempio, in Italia, l'art. 1229 c.c. non consente di escludere o > > limitare la responsabilità in caso di dolo o colpa grave. > > Questo è molto interessante. > Stiamo parlando (principalmente) di Mozilla (una fondazione), Google, > Microsoft e Apple. Sarebbe interessante costruire la prova del fatto che sono consapevoli del rischio di danni: questa prova potrebbe essere utilizzata contro di loro da chi subisce danni per dimostrare (se non il dolo) la colpa grave. > > > In concreto, l'utente che possiede il dispositivo potrebbe avere un > > problema di prova: come dimostra i fatti descritti nello scenario? > > Quindi, in concreto, potrebbe ritrovarsi a rispondere anche lui. > > Purtroppo un utente comune non potrebbe dimostrare di aver subito l'attacco > (un hacker in paranoia potrebbe mettersi in condizione di dimostrare > un attacco attraverso un proxy HTTP ad hoc) > > D'altro canto, nessuno potrebbe dimostrare che l'utente comune NON ha > subito tale attacco. > > > Dunque l'utente dice che non è stato lui a compiere il reato > informatico e nonostante le certe prove, nessuno può escludere che > tali prove siano state forgiate ad arte durante un attacco di questo > tipo. > > Come se ne esce? In concreto, si fa un processo e decide il giudice. m.c. > > > Giacomo

Aug. 29, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Enrico Nardelli

Il 28/08/2018 10:38, Marco Ciurcina ha scritto: >> SCENARIO: il browser di un utente esegue codice che commette azioni illegali >> e che è stato scritto da un autore che non risponde alla legislazione >> italiana+europea. >> >> QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul >> dispositivo dell'utente che permettono di connettere le azioni illegali >> all'autore? > Di chi ha installato e rimosso il codice che compie atti illeciti. > Ma anche chi distribuisce il browser potrebbe avere un problema se era > consapevole del fatto che il suo browser consente il prodursi di danni. > Per esempio, in Italia, l'art. 1229 c.c. non consente di escludere o limitare > la responsabilità in caso di dolo o colpa grave. > In concreto, l'utente che possiede il dispositivo potrebbe avere un problema > di prova: come dimostra i fatti descritti nello scenario? Quindi, in concreto, > potrebbe ritrovarsi a rispondere anche lui. > m.c. Grazie Marco per il chiarimento. Mi pare quindi che l'utente (noi tutti) corriamo il rischio di essere incastrati, in funzione della probabilità di essere coinvolti in uno scenario di questo genere. Non è certo una prospettiva allettante. Ciao, Enrico -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Aug. 29, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Giacomo Tesio

Grazie davvero delle risposte. Tuttavia ho ancora alcune domande: Il giorno 28 agosto 2018 10:38, Marco Ciurcina <ciurcina(a)studiolegale.it> ha scritto: > > In data martedì 28 agosto 2018 10:12:15 CEST, Enrico Nardelli ha scritto: > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul > > dispositivo dell'utente che permettono di connettere le azioni illegali > > all'autore? > > Di chi ha installato e rimosso il codice che compie atti illeciti. E se non si trova in Europa? E se non è possibile identificarlo? > Ma anche chi distribuisce il browser potrebbe avere un problema se era > consapevole del fatto che il suo browser consente il prodursi di danni. > Per esempio, in Italia, l'art. 1229 c.c. non consente di escludere o limitare > la responsabilità in caso di dolo o colpa grave. Questo è molto interessante. Stiamo parlando (principalmente) di Mozilla (una fondazione), Google, Microsoft e Apple. > In concreto, l'utente che possiede il dispositivo potrebbe avere un problema > di prova: come dimostra i fatti descritti nello scenario? Quindi, in concreto, > potrebbe ritrovarsi a rispondere anche lui. Purtroppo un utente comune non potrebbe dimostrare di aver subito l'attacco (un hacker in paranoia potrebbe mettersi in condizione di dimostrare un attacco attraverso un proxy HTTP ad hoc) D'altro canto, nessuno potrebbe dimostrare che l'utente comune NON ha subito tale attacco. Dunque l'utente dice che non è stato lui a compiere il reato informatico e nonostante le certe prove, nessuno può escludere che tali prove siano state forgiate ad arte durante un attacco di questo tipo. Come se ne esce? Giacomo

Aug. 28, 2018

Internet & Hippie Values

by Antonio Vetrò

Le colonne estive di ACM Communications hanno ospitato due (brevi) punti di vista opposti: Lettera di John Markoff (Stanford): CACM Staff. 2018. Hippie values really did build the internet. Commun. ACM 61, 9 (August 2018), 9-11. DOI: https://doi.org/10.1145/3242088 <http://delivery.acm.org/10.1145/3250000/3242088/p9-lieberman.pdf?ip=5.102.1…> In risposta a Moshe Y. Vardi. 2018. How the hippies destroyed the internet. Commun. ACM 61, 7 (June 2018), 9-9. DOI: https://doi.org/10.1145/3226073 <http://delivery.acm.org/10.1145/3230000/3226073/p9-vardi.pdf?ip=5.102.14.5&…> Entrambe le opinioni (3 pagg Markoff e 1 pag. Vardi) sono liberamente consultabili dai link. Un caro saluto, antonio

Aug. 28, 2018

Master "ICT for Development and Social Good"

by Francesco Ruggiero

Carissimi, vi segnalo che dal *24 agosto 2018* sono aperte le iscrizioni al nuovo Master *"ICT for Development and Social Good" <https://www.ictforsocialgoodmaster.eu/>*. Il Master è ideato e realizzato in collaborazione con il network *Ong 2.0 *( www.ong2zero.org) e con il sostegno dell’*Agenzia Italiana di Cooperazione allo Sviluppo *(https://www.aics.gov.it). Il Master indaga in dettaglio le straordinarie potenzialità (e i rischi) dell’applicazione delle Information and Communication Technologies (ICT) ai progetti di sviluppo in ambito agricolo, sanitario, nella lotta alla povertà e nella difesa dei diritti umani. Sono disponibili *20 borse di studio* a copertura parziale o totale dei costi di iscrizione. La scadenza per le candidature è il* 16 settembre 2018.* Per informazioni sui criteri di ammissione, il programma dettagliato delle lezioni, iscrizioni e borse di studio, è possibile consultare il sito ufficiale del Master: *https://www.ictforsocialgoodmaster.eu/ <https://www.ictforsocialgoodmaster.eu/>* Cordiali saluti, Francesco -- Francesco Ruggiero Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it mail: francesco.ruggiero(a)polito.it tel: 011 090 7219

Aug. 28, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Marco Ciurcina

In data martedì 28 agosto 2018 10:12:15 CEST, Enrico Nardelli ha scritto: > Grazie Giacomo per i chiarimenti tecnici ed il riferimento al tuo precedente > intervento. > > Rimane aperta la questione giuridica, sulla quale mi piacerebbe avere il > parere di un esperto. > > SCENARIO: il browser di un utente esegue codice che commette azioni illegali > e che è stato scritto da un autore che non risponde alla legislazione > italiana+europea. > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul > dispositivo dell'utente che permettono di connettere le azioni illegali > all'autore? Di chi ha installato e rimosso il codice che compie atti illeciti. Ma anche chi distribuisce il browser potrebbe avere un problema se era consapevole del fatto che il suo browser consente il prodursi di danni. Per esempio, in Italia, l'art. 1229 c.c. non consente di escludere o limitare la responsabilità in caso di dolo o colpa grave. In concreto, l'utente che possiede il dispositivo potrebbe avere un problema di prova: come dimostra i fatti descritti nello scenario? Quindi, in concreto, potrebbe ritrovarsi a rispondere anche lui. m.c. > > Qualcuno ha il tempo e la voglia di pensarci? > > Grazie in anticipo > > Enrico > > Il 27/08/2018 17:33, Giacomo Tesio ha scritto: > > Ricordi bene, qualche tempo fa, ragionando sul sistema di permessi del mio > > sistema operativo distribuito, mi ero posto la questione della > > responsabilità legale in una situazione come questa: > > http://server-nexa.polito.it/pipermail/nexa/2018-January/012883.html Come > > puoi immaginare, un sistema operativo progettato per tener conto di > > questi problemi ha molto più margine di manovra di un browser progettato > > per navigare ipertesti (perché non bisogna dimenticare che HTTP e HTML > > questo sono!). > > > > Lo scenario è facilmente realizzabile: diversi DDoS avvenuti negli anni e > > più recentemente siti che sfruttano le risorse del browser per il mining > > di bitcoin, illegale in Cina, sono alcuni esempi. > > > > Come spiegavo a Dan, comunque, solo l'attacco che mette contenuti > > illeciti/diffamatori nella cache del browser può essere fatto senza l'uso > > di JavaScript ma lascerebbe altre tracce e/o potrebbe essere notato. E > > questo comunque indica solamente che ci sono altre vulnerabilità nei > > browser, non che JavaScript sia sicuro. > > > > Moltri altri attacchi sono invece fattibili solo con JavaScript. > > > > > > Un tempo, l'uso di JavaScript era opzionale e tutti gli sviluppatori (me > > compreso) testavano i siti web anche con JavaScript abilitato. Ora > > disabilitare JavaScript è fuori dalla portata della maggioranza delle > > persone: in Firefox, ad esempio, non c'è nemmeno una UI dedicata, bisogna > > editare la configurazione del browser in about:config. Potremmo chiamarla > > "Insecurity through obscurity!". Ed è inquietante che Firefox sia > > universalmente considerato un browser attento alla sicurezza degli > > utenti! > > > > > > Giacomo > > > > Il giorno 27 agosto 2018 17:09, Enrico Nardelli <nardelli(a)mat.uniroma2.it <mailto:nardelli@mat.uniroma2.it>> ha scritto: > > Molto interessante, Giacomo, la tua analisi tecnica di questo tipo di > > attacchi. > > > > Al di là della loro fattibilità e del fatto che siano possibili anche > > senza JavaScript, mi pare però che la tua questione di fondo sia la > > seguente: > > > > SCENARIO: il browser di un utente esegue codice che commette azioni > > illegali e che è stato scritto da un autore che non risponde alla > > legislazione italiana+europea. > > > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce > > sul dispositivo dell'utente che permettono di connettere le azioni > > illegali all'autore? > > > > Se ricoro bene ne avevi già parlato un po' di tempo fa qui in lista ma > > non mi pare fosse stata fornita da chi è esperto in tematiche > > giuridiche una risposta esauriente (nel caso mi scuso in anticipo). > > > > Mi sbaglio? > > > > Ciao, Enrico > > > > PS > > Ritengo che, qualora lo SCENARIO sia effettivamente realizzabile e la > > risposta alla QUESTIONE sia <<l'utente>>, il tema della > > #deviceneutrality di Quinta diventa (se non lo fosse già di per sé) > > ancora più importante.> > > Il 27/08/2018 16:19, Giacomo Tesio ha scritto: > >> Ciao, vi propongo questo interessantissimo scambio con uno > >> sviluppatore di Mozilla (Firefox) sugli attacchi JavaScript > >> descritti in precedenza. > >> > >> https://wandering.shop/@callahad/100612466895332298 > >> <https://wandering.shop/@callahad/100612466895332298> > >> https://pleroma.soykaf.com/notice/15408888 > >> <https://pleroma.soykaf.com/notice/15408888> > >> > >> (scusate devo usare due URL perché mastodon e pleroma non sono molto > >> bravi a rappresentare scambi complessi...)>> > >> Particolarmente interessante questo passaggio: > >> What you're seeing as a vulnerability, we see as an inextricable > >> consequence of the Web working as intended and as designed.>> > >> Notate: non si tratta di una singola vulnerabilità, ma una intera > >> classe di attacchi (arbitrary code executions, per essere precisi), > >> il cui limite è letteralmente la fantasia dell'attaccante... e per > >> Mozilla è tutto ok. > >> > >> > >> Nemmeno il rischio che la possibilità di tali attacchi (che non > >> lasciano tracce sul pc della vittima) possa essere usata da > >> criminali per negare di aver violato la legge nascondendo le prove > >> nella cache del browser, sembra interressare. > >> > >> Personalmente, sono stupefatto. > >> > >> > >> Giacomo > >> > >> Il giorno 2 agosto 2018 01:24, Giacomo Tesio <giacomo(a)tesio.it <mailto:giacomo@tesio.it>> ha scritto: > >> Salve, vi propongo questa breve analisi storico politica di due > >> gravi vulnerabilità tecniche "nascoste in piena vista" nel Web > >> 2.0. > >> > >> https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weapon > >> -31e3c3b032b8 > >> <https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weap > >> on-31e3c3b032b8> > >> > >> La più interessante permette a chiunque controlli una CDN (ad > >> esempio Google CDN o Amazon CloudFront) e sia in grado di > >> profilare gli utenti con adeguata precisione, di introdurre > >> surrettiziamente materiale illegale sul PC (nella cache del > >> browser, per la precisione) di persone specifiche o piccoli > >> gruppi, senza lasciare tracce e senza destare sospetti nel resto > >> della popolazione. > >> > >> L'attacco in realtà è piuttosto semplice ed è disponibile anche a > >> governi e persino piccole aziende purché dispongano di > >> informazioni sufficienti per identificare gli obbiettivi durante > >> la loro visita al sito. Una CDN, tuttavia, ha la possibilità di > >> far veicolare l'attacco a siti di terzi (di cui le vittime si > >> fidano), ha una maggiore probabilità di passare inosservata ed è > >> semplicemente meno sospetta, garantendosi una perfetta > >> "plausible deniability". > >> > >> Il trucco è semplicemente modificare uno dei javascript inviati > >> al browser delle vittime (senza modificarne la dimensione, cosa > >> piuttosto semplice vista la presenza di header di copyright etc > >> nei JS minimizzati dei framework maggiormente utilizzati) > >> servendoli con header HTTP Expire e Cache control appropriati. > >> Tale JS scarica il contenuto illegale solo nella cache (ad > >> esempio attraverso una immagine trasparente molto piccola > >> aggiunta dallo script stesso al DOM), poi rimuove le tracce e > >> riscarica se stesso dalla CDN nella versione pulita, > >> sovrascrivendo il file in cache. > >> > >> Una analisi forense del disco del pc troverebbe facilmente il > >> contenuto illegale nella cache dell'utente (immaginiamo un > >> documento rubato.. o peggio), ma nessuna traccia dell'attacco, > >> attribuendo il documento alla vittima ignara. > >> > >> > >> In realtà l'attacco non è descritto in questo dettaglio > >> nell'articolo perché è piuttosto ovvio, ma credo possa essere di > >> maggiore interesse qui per comprendere la portata politica del > >> problema. > >> > >> > >> L'altra vulnerabilità è piuttosto di natura geopolitica, ma credo > >> sia ben nota in questa mailing list. > >> > >> > >> Spero possa essere una lettura interessante e vi prego di > >> segnalarmi eventuali approfondimenti ed errori tecnici, storici > >> (molti degli eventi citati sono avvenuti prima che io nascessi) > >> o grammaticali... :-) > >> > >> A presto! > >> > >> > >> Giacomo > >> > >> _______________________________________________ > >> nexa mailing list > >> nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> > >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > >> <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa>> > > -- EN > > > > ===================================================================== > > Prof. Enrico Nardelli > > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > > Via della Ricerca Scientifica snc - 00133 Roma > > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > > mobile: +39 335 590.2331 e-mail:nardelli@mat.uniroma2.it > > <mailto:nardelli@mat.uniroma2.it> home > > page:http://www.mat.uniroma2.it/~nardelli > > <http://www.mat.uniroma2.it/%7Enardelli> > > blog:http://www.ilfattoquotidiano.it/blog/enardelli/ > > <http://www.ilfattoquotidiano.it/blog/enardelli/>> > > http://link-and-think.blogspot.it/ > > <http://link-and-think.blogspot.it/> > > > > ===================================================================== > > > > > > _______________________________________________ > > nexa mailing list > > nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> > > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > > <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa> > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it > home page: http://www.mat.uniroma2.it/~nardelli > blog: http://www.ilfattoquotidiano.it/blog/enardelli/ > http://link-and-think.blogspot.it/ > =====================================================================

Aug. 28, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Enrico Nardelli

Grazie Giacomo per i chiarimenti tecnici ed il riferimento al tuo precedente intervento. Rimane aperta la questione giuridica, sulla quale mi piacerebbe avere il parere di un esperto. SCENARIO: il browser di un utente esegue codice che commette azioni illegali e che è stato scritto da un autore che non risponde alla legislazione italiana+europea. QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul dispositivo dell'utente che permettono di connettere le azioni illegali all'autore? Qualcuno ha il tempo e la voglia di pensarci? Grazie in anticipo Enrico Il 27/08/2018 17:33, Giacomo Tesio ha scritto: > Ricordi bene, qualche tempo fa, ragionando sul sistema di permessi del mio sistema operativo distribuito, mi ero posto la questione della responsabilità legale in una situazione come questa: http://server-nexa.polito.it/pipermail/nexa/2018-January/012883.html > Come puoi immaginare, un sistema operativo progettato per tener conto di questi problemi ha molto più margine di manovra di un browser progettato per navigare ipertesti (perché non bisogna dimenticare che HTTP e HTML questo sono!). > > Lo scenario è facilmente realizzabile: diversi DDoS avvenuti negli anni e più recentemente siti che sfruttano le risorse del browser per il mining di bitcoin, illegale in Cina, sono alcuni esempi. > > Come spiegavo a Dan, comunque, solo l'attacco che mette contenuti illeciti/diffamatori nella cache del browser può essere fatto senza l'uso di JavaScript ma lascerebbe altre tracce e/o potrebbe essere notato. > E questo comunque indica solamente che ci sono altre vulnerabilità nei browser, non che JavaScript sia sicuro. > > Moltri altri attacchi sono invece fattibili solo con JavaScript. > > > Un tempo, l'uso di JavaScript era opzionale e tutti gli sviluppatori (me compreso) testavano i siti web anche con JavaScript abilitato. > Ora disabilitare JavaScript è fuori dalla portata della maggioranza delle persone: in Firefox, ad esempio, non c'è nemmeno una UI dedicata, bisogna editare la configurazione del browser in about:config. > Potremmo chiamarla "Insecurity through obscurity!". Ed è inquietante che Firefox sia universalmente considerato un browser attento alla sicurezza degli utenti! > > > Giacomo > > > Il giorno 27 agosto 2018 17:09, Enrico Nardelli <nardelli(a)mat.uniroma2.it <mailto:nardelli@mat.uniroma2.it>> ha scritto: > > Molto interessante, Giacomo, la tua analisi tecnica di questo tipo di attacchi. > > Al di là della loro fattibilità e del fatto che siano possibili anche senza JavaScript, mi pare però che la tua questione di fondo sia la seguente: > > SCENARIO: il browser di un utente esegue codice che commette azioni illegali e che è stato scritto da un autore che non risponde alla legislazione italiana+europea. > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul dispositivo dell'utente che permettono di connettere le azioni illegali all'autore? > > Se ricoro bene ne avevi già parlato un po' di tempo fa qui in lista ma non mi pare fosse stata fornita da chi è esperto in tematiche giuridiche una risposta esauriente (nel caso mi scuso in anticipo). > > Mi sbaglio? > > Ciao, Enrico > > PS > Ritengo che, qualora lo SCENARIO sia effettivamente realizzabile e la risposta alla QUESTIONE sia <<l'utente>>, il tema della #deviceneutrality di Quinta diventa (se non lo fosse già di per sé) ancora più importante. > > > > Il 27/08/2018 16:19, Giacomo Tesio ha scritto: >> Ciao, vi propongo questo interessantissimo scambio con uno sviluppatore di Mozilla (Firefox) sugli attacchi JavaScript descritti in precedenza. >> >> https://wandering.shop/@callahad/100612466895332298 <https://wandering.shop/@callahad/100612466895332298> >> https://pleroma.soykaf.com/notice/15408888 <https://pleroma.soykaf.com/notice/15408888> >> >> (scusate devo usare due URL perché mastodon e pleroma non sono molto bravi a rappresentare scambi complessi...) >> >> Particolarmente interessante questo passaggio: >> >> What you're seeing as a vulnerability, we see as an inextricable consequence of the Web working as intended and as designed. >> >> >> Notate: non si tratta di una singola vulnerabilità, ma una intera classe di attacchi (arbitrary code executions, per essere precisi), il cui limite è letteralmente la fantasia dell'attaccante... e per Mozilla è tutto ok. >> >> >> Nemmeno il rischio che la possibilità di tali attacchi (che non lasciano tracce sul pc della vittima) possa essere usata da criminali per negare di aver violato la legge nascondendo le prove nella cache del browser, sembra interressare. >> >> Personalmente, sono stupefatto. >> >> >> Giacomo >> >> >> Il giorno 2 agosto 2018 01:24, Giacomo Tesio <giacomo(a)tesio.it <mailto:giacomo@tesio.it>> ha scritto: >> >> Salve, vi propongo questa breve analisi storico politica di due gravi vulnerabilità tecniche "nascoste in piena vista" nel Web 2.0. >> >> https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weapon-31e3c3b03… <https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weapon-31e3c3b03…> >> >> La più interessante permette a chiunque controlli una CDN (ad esempio Google CDN o Amazon CloudFront) e sia in grado di profilare gli utenti con adeguata precisione, di introdurre surrettiziamente materiale illegale sul PC (nella cache del browser, per la precisione) di persone specifiche o piccoli gruppi, senza lasciare tracce e senza destare sospetti nel resto della popolazione. >> >> L'attacco in realtà è piuttosto semplice ed è disponibile anche a governi e persino piccole aziende purché dispongano di informazioni sufficienti per identificare gli obbiettivi durante la loro visita al sito. Una CDN, tuttavia, ha la possibilità di far veicolare l'attacco a siti di terzi (di cui le vittime si fidano), ha una maggiore probabilità di passare inosservata ed è semplicemente meno sospetta, garantendosi una perfetta "plausible deniability". >> >> Il trucco è semplicemente modificare uno dei javascript inviati al browser delle vittime (senza modificarne la dimensione, cosa piuttosto semplice vista la presenza di header di copyright etc nei JS minimizzati dei framework maggiormente utilizzati) servendoli con header HTTP Expire e Cache control appropriati. Tale JS scarica il contenuto illegale solo nella cache (ad esempio attraverso una immagine trasparente molto piccola aggiunta dallo script stesso al DOM), poi rimuove le tracce e riscarica se stesso dalla CDN nella versione pulita, sovrascrivendo il file in cache. >> >> Una analisi forense del disco del pc troverebbe facilmente il contenuto illegale nella cache dell'utente (immaginiamo un documento rubato.. o peggio), ma nessuna traccia dell'attacco, attribuendo il documento alla vittima ignara. >> >> >> In realtà l'attacco non è descritto in questo dettaglio nell'articolo perché è piuttosto ovvio, ma credo possa essere di maggiore interesse qui per comprendere la portata politica del problema. >> >> >> L'altra vulnerabilità è piuttosto di natura geopolitica, ma credo sia ben nota in questa mailing list. >> >> >> Spero possa essere una lettura interessante e vi prego di segnalarmi eventuali approfondimenti ed errori tecnici, storici (molti degli eventi citati sono avvenuti prima che io nascessi) o grammaticali... :-) >> >> A presto! >> >> >> Giacomo >> >> >> >> >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa> > > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail:nardelli@mat.uniroma2.it <mailto:nardelli@mat.uniroma2.it> > home page:http://www.mat.uniroma2.it/~nardelli <http://www.mat.uniroma2.it/%7Enardelli> > blog:http://www.ilfattoquotidiano.it/blog/enardelli/ <http://www.ilfattoquotidiano.it/blog/enardelli/> > http://link-and-think.blogspot.it/ <http://link-and-think.blogspot.it/> > ===================================================================== > -- > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa> > > -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Aug. 28, 2018

Convegno Unitn - Non per profitto: la scienza aperta e il ruolo dell'università

by Roberto Caso

Buongiorno, segnalo questo convegno dell'Università di Trento che si terrà il 25 ottobre nell'ambito dell'OA week 2018: https://webmagazine.unitn.it/evento/giurisprudenza/44254/non -per-profitto-la-scienza-aperta-e-il-ruolo-dell-universit Qui di seguito la scheda introduttiva: "Quando, circa vent’anni fa, sono emerse le prime istanze verso l*’Open Access *e l’*Open Science* Internet era ancora uno strumento che prometteva decentramento dei poteri e democrazia. In quel torno di anni si pensava che le istituzioni scientifiche e accademiche che non operano per il profitto dovessero svolgere un ruolo fondamentale nella creazione delle infrastrutture, dei processi e dei contenuti della scienza aperta. Oggi, la scienza aperta ha fatto sicuramente molti passi in avanti. Esiste un’imponente massa di contenuti scientifici (software, pubblicazioni, dati) disponibili in forma gratuita e con diritti di riuso, cioè accompagnati da licenze aperte come le *Creative Commons Licenses*. - Ma qual è il ruolo dell’università e delle altre istituzioni scientifico-accademiche no profit nel governo e nella gestione della scienza aperta? - L’università può ancora rivendicare un ruolo di primo piano nella scienza aperta o si presenta ormai come un ingranaggio di un meccanismo di mercato dominato da piattaforme commerciali con enorme potere di controllo dell’informazione? - Di fronte al potere delle banche dati dell’editoria commerciale, dei social network generalisti e scientifici, dei motori di ricerca quale compito spetta all’università? - La scienza aperta rappresenta un baluardo dell’autonomia dell’università e della libertà accademica? Si proverà a rispondere a queste domande in una giornata di studio durante la quale ospiti stranieri e rappresentanti delle università italiane più impegnate nella promozione della scienza aperta si confronteranno proponendo visioni ed esperienze". A presto, rc -- Roberto Caso Professore Associato di Diritto Privato Comparato Università di Trento - Facoltà di Giurisprudenza http://www5.unitn.it/People/it/Web/Persona/PER0000633 http://www.lawtech.jus.unitn.it/index.php/people/roberto-caso

Aug. 28, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Giacomo Tesio

Ricordi bene, qualche tempo fa, ragionando sul sistema di permessi del mio sistema operativo distribuito, mi ero posto la questione della responsabilità legale in una situazione come questa: http://server-nexa.polito.it/pipermail/nexa/2018-January/012883.html Come puoi immaginare, un sistema operativo progettato per tener conto di questi problemi ha molto più margine di manovra di un browser progettato per navigare ipertesti (perché non bisogna dimenticare che HTTP e HTML questo sono!). Lo scenario è facilmente realizzabile: diversi DDoS avvenuti negli anni e più recentemente siti che sfruttano le risorse del browser per il mining di bitcoin, illegale in Cina, sono alcuni esempi. Come spiegavo a Dan, comunque, solo l'attacco che mette contenuti illeciti/diffamatori nella cache del browser può essere fatto senza l'uso di JavaScript ma lascerebbe altre tracce e/o potrebbe essere notato. E questo comunque indica solamente che ci sono altre vulnerabilità nei browser, non che JavaScript sia sicuro. Moltri altri attacchi sono invece fattibili solo con JavaScript. Un tempo, l'uso di JavaScript era opzionale e tutti gli sviluppatori (me compreso) testavano i siti web anche con JavaScript abilitato. Ora disabilitare JavaScript è fuori dalla portata della maggioranza delle persone: in Firefox, ad esempio, non c'è nemmeno una UI dedicata, bisogna editare la configurazione del browser in about:config. Potremmo chiamarla "Insecurity through obscurity!". Ed è inquietante che Firefox sia universalmente considerato un browser attento alla sicurezza degli utenti! Giacomo Il giorno 27 agosto 2018 17:09, Enrico Nardelli <nardelli(a)mat.uniroma2.it> ha scritto: > Molto interessante, Giacomo, la tua analisi tecnica di questo tipo di > attacchi. > > Al di là della loro fattibilità e del fatto che siano possibili anche > senza JavaScript, mi pare però che la tua questione di fondo sia la > seguente: > > SCENARIO: il browser di un utente esegue codice che commette azioni > illegali e che è stato scritto da un autore che non risponde alla > legislazione italiana+europea. > > QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul > dispositivo dell'utente che permettono di connettere le azioni illegali > all'autore? > > Se ricoro bene ne avevi già parlato un po' di tempo fa qui in lista ma non > mi pare fosse stata fornita da chi è esperto in tematiche giuridiche una > risposta esauriente (nel caso mi scuso in anticipo). > > Mi sbaglio? > > Ciao, Enrico > PS > Ritengo che, qualora lo SCENARIO sia effettivamente realizzabile e la > risposta alla QUESTIONE sia <<l'utente>>, il tema della #deviceneutrality > di Quinta diventa (se non lo fosse già di per sé) ancora più importante. > > > > Il 27/08/2018 16:19, Giacomo Tesio ha scritto: > > Ciao, vi propongo questo interessantissimo scambio con uno sviluppatore di > Mozilla (Firefox) sugli attacchi JavaScript descritti in precedenza. > > https://wandering.shop/@callahad/100612466895332298 > https://pleroma.soykaf.com/notice/15408888 > > (scusate devo usare due URL perché mastodon e pleroma non sono molto bravi > a rappresentare scambi complessi...) > > Particolarmente interessante questo passaggio: > > What you're seeing as a vulnerability, we see as an inextricable >> consequence of the Web working as intended and as designed. >> > > Notate: non si tratta di una singola vulnerabilità, ma una intera classe > di attacchi (arbitrary code executions, per essere precisi), il cui limite > è letteralmente la fantasia dell'attaccante... e per Mozilla è tutto ok. > > > Nemmeno il rischio che la possibilità di tali attacchi (che non lasciano > tracce sul pc della vittima) possa essere usata da criminali per negare di > aver violato la legge nascondendo le prove nella cache del browser, sembra > interressare. > > Personalmente, sono stupefatto. > > > Giacomo > > > Il giorno 2 agosto 2018 01:24, Giacomo Tesio <giacomo(a)tesio.it> ha > scritto: > >> Salve, vi propongo questa breve analisi storico politica di due gravi >> vulnerabilità tecniche "nascoste in piena vista" nel Web 2.0. >> >> https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-w >> eapon-31e3c3b032b8 >> >> La più interessante permette a chiunque controlli una CDN (ad esempio >> Google CDN o Amazon CloudFront) e sia in grado di profilare gli utenti con >> adeguata precisione, di introdurre surrettiziamente materiale illegale sul >> PC (nella cache del browser, per la precisione) di persone specifiche o >> piccoli gruppi, senza lasciare tracce e senza destare sospetti nel resto >> della popolazione. >> >> L'attacco in realtà è piuttosto semplice ed è disponibile anche a governi >> e persino piccole aziende purché dispongano di informazioni sufficienti per >> identificare gli obbiettivi durante la loro visita al sito. Una CDN, >> tuttavia, ha la possibilità di far veicolare l'attacco a siti di terzi (di >> cui le vittime si fidano), ha una maggiore probabilità di passare >> inosservata ed è semplicemente meno sospetta, garantendosi una perfetta >> "plausible deniability". >> >> Il trucco è semplicemente modificare uno dei javascript inviati al >> browser delle vittime (senza modificarne la dimensione, cosa piuttosto >> semplice vista la presenza di header di copyright etc nei JS minimizzati >> dei framework maggiormente utilizzati) servendoli con header HTTP Expire e >> Cache control appropriati. Tale JS scarica il contenuto illegale solo nella >> cache (ad esempio attraverso una immagine trasparente molto piccola >> aggiunta dallo script stesso al DOM), poi rimuove le tracce e riscarica se >> stesso dalla CDN nella versione pulita, sovrascrivendo il file in cache. >> >> Una analisi forense del disco del pc troverebbe facilmente il contenuto >> illegale nella cache dell'utente (immaginiamo un documento rubato.. o >> peggio), ma nessuna traccia dell'attacco, attribuendo il documento alla >> vittima ignara. >> >> >> In realtà l'attacco non è descritto in questo dettaglio nell'articolo >> perché è piuttosto ovvio, ma credo possa essere di maggiore interesse qui >> per comprendere la portata politica del problema. >> >> >> L'altra vulnerabilità è piuttosto di natura geopolitica, ma credo sia ben >> nota in questa mailing list. >> >> >> Spero possa essere una lettura interessante e vi prego di segnalarmi >> eventuali approfondimenti ed errori tecnici, storici (molti degli eventi >> citati sono avvenuti prima che io nascessi) o grammaticali... :-) >> >> A presto! >> >> >> Giacomo >> > > > > _______________________________________________ > nexa mailing listnexa@server-nexa.polito.ithttps://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > > > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it > home page: http://www.mat.uniroma2.it/~nardelli > blog: http://www.ilfattoquotidiano.it/blog/enardelli/ > http://link-and-think.blogspot.it/ > ===================================================================== > -- > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > >

Aug. 27, 2018