August 2018 - nexa - server-nexa.polito.it

Re: [nexa] The Web is still a DARPA weapon.

by Enrico Nardelli

Molto interessante, Giacomo, la tua analisi tecnica di questo tipo di attacchi. Al di là della loro fattibilità e del fatto che siano possibili anche senza JavaScript, mi pare però che la tua questione di fondo sia la seguente: SCENARIO: il browser di un utente esegue codice che commette azioni illegali e che è stato scritto da un autore che non risponde alla legislazione italiana+europea. QUESTIONE: di chi è la responsabilità se il codice non lascia tracce sul dispositivo dell'utente che permettono di connettere le azioni illegali all'autore? Se ricoro bene ne avevi già parlato un po' di tempo fa qui in lista ma non mi pare fosse stata fornita da chi è esperto in tematiche giuridiche una risposta esauriente (nel caso mi scuso in anticipo). Mi sbaglio? Ciao, Enrico PS Ritengo che, qualora lo SCENARIO sia effettivamente realizzabile e la risposta alla QUESTIONE sia <<l'utente>>, il tema della #deviceneutrality di Quinta diventa (se non lo fosse già di per sé) ancora più importante. Il 27/08/2018 16:19, Giacomo Tesio ha scritto: > Ciao, vi propongo questo interessantissimo scambio con uno sviluppatore di Mozilla (Firefox) sugli attacchi JavaScript descritti in precedenza. > > https://wandering.shop/@callahad/100612466895332298 > https://pleroma.soykaf.com/notice/15408888 > > (scusate devo usare due URL perché mastodon e pleroma non sono molto bravi a rappresentare scambi complessi...) > > Particolarmente interessante questo passaggio: > > What you're seeing as a vulnerability, we see as an inextricable consequence of the Web working as intended and as designed. > > > Notate: non si tratta di una singola vulnerabilità, ma una intera classe di attacchi (arbitrary code executions, per essere precisi), il cui limite è letteralmente la fantasia dell'attaccante... e per Mozilla è tutto ok. > > > Nemmeno il rischio che la possibilità di tali attacchi (che non lasciano tracce sul pc della vittima) possa essere usata da criminali per negare di aver violato la legge nascondendo le prove nella cache del browser, sembra interressare. > > Personalmente, sono stupefatto. > > > Giacomo > > > Il giorno 2 agosto 2018 01:24, Giacomo Tesio <giacomo(a)tesio.it <mailto:giacomo@tesio.it>> ha scritto: > > Salve, vi propongo questa breve analisi storico politica di due gravi vulnerabilità tecniche "nascoste in piena vista" nel Web 2.0. > > https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weapon-31e3c3b03… <https://medium.com/@giacomo_59737/the-web-is-still-a-darpa-weapon-31e3c3b03…> > > La più interessante permette a chiunque controlli una CDN (ad esempio Google CDN o Amazon CloudFront) e sia in grado di profilare gli utenti con adeguata precisione, di introdurre surrettiziamente materiale illegale sul PC (nella cache del browser, per la precisione) di persone specifiche o piccoli gruppi, senza lasciare tracce e senza destare sospetti nel resto della popolazione. > > L'attacco in realtà è piuttosto semplice ed è disponibile anche a governi e persino piccole aziende purché dispongano di informazioni sufficienti per identificare gli obbiettivi durante la loro visita al sito. Una CDN, tuttavia, ha la possibilità di far veicolare l'attacco a siti di terzi (di cui le vittime si fidano), ha una maggiore probabilità di passare inosservata ed è semplicemente meno sospetta, garantendosi una perfetta "plausible deniability". > > Il trucco è semplicemente modificare uno dei javascript inviati al browser delle vittime (senza modificarne la dimensione, cosa piuttosto semplice vista la presenza di header di copyright etc nei JS minimizzati dei framework maggiormente utilizzati) servendoli con header HTTP Expire e Cache control appropriati. Tale JS scarica il contenuto illegale solo nella cache (ad esempio attraverso una immagine trasparente molto piccola aggiunta dallo script stesso al DOM), poi rimuove le tracce e riscarica se stesso dalla CDN nella versione pulita, sovrascrivendo il file in cache. > > Una analisi forense del disco del pc troverebbe facilmente il contenuto illegale nella cache dell'utente (immaginiamo un documento rubato.. o peggio), ma nessuna traccia dell'attacco, attribuendo il documento alla vittima ignara. > > > In realtà l'attacco non è descritto in questo dettaglio nell'articolo perché è piuttosto ovvio, ma credo possa essere di maggiore interesse qui per comprendere la portata politica del problema. > > > L'altra vulnerabilità è piuttosto di natura geopolitica, ma credo sia ben nota in questa mailing list. > > > Spero possa essere una lettura interessante e vi prego di segnalarmi eventuali approfondimenti ed errori tecnici, storici (molti degli eventi citati sono avvenuti prima che io nascessi) o grammaticali... :-) > > A presto! > > > Giacomo > > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Aug. 27, 2018

Re: [nexa] The Web is still a DARPA weapon.

by Giacomo Tesio

Ciao, vi propongo questo interessantissimo scambio con uno sviluppatore di Mozilla (Firefox) sugli attacchi JavaScript descritti in precedenza. https://wandering.shop/@callahad/100612466895332298 https://pleroma.soykaf.com/notice/15408888 (scusate devo usare due URL perché mastodon e pleroma non sono molto bravi a rappresentare scambi complessi...) Particolarmente interessante questo passaggio: What you're seeing as a vulnerability, we see as an inextricable > consequence of the Web working as intended and as designed. > Notate: non si tratta di una singola vulnerabilità, ma una intera classe di attacchi (arbitrary code executions, per essere precisi), il cui limite è letteralmente la fantasia dell'attaccante... e per Mozilla è tutto ok. Nemmeno il rischio che la possibilità di tali attacchi (che non lasciano tracce sul pc della vittima) possa essere usata da criminali per negare di aver violato la legge nascondendo le prove nella cache del browser, sembra interressare. Personalmente, sono stupefatto. Giacomo Il giorno 2 agosto 2018 01:24, Giacomo Tesio <giacomo(a)tesio.it> ha scritto: > Salve, vi propongo questa breve analisi storico politica di due gravi > vulnerabilità tecniche "nascoste in piena vista" nel Web 2.0. > > https://medium.com/@giacomo_59737/the-web-is-still-a-darpa- > weapon-31e3c3b032b8 > > La più interessante permette a chiunque controlli una CDN (ad esempio > Google CDN o Amazon CloudFront) e sia in grado di profilare gli utenti con > adeguata precisione, di introdurre surrettiziamente materiale illegale sul > PC (nella cache del browser, per la precisione) di persone specifiche o > piccoli gruppi, senza lasciare tracce e senza destare sospetti nel resto > della popolazione. > > L'attacco in realtà è piuttosto semplice ed è disponibile anche a governi > e persino piccole aziende purché dispongano di informazioni sufficienti per > identificare gli obbiettivi durante la loro visita al sito. Una CDN, > tuttavia, ha la possibilità di far veicolare l'attacco a siti di terzi (di > cui le vittime si fidano), ha una maggiore probabilità di passare > inosservata ed è semplicemente meno sospetta, garantendosi una perfetta > "plausible deniability". > > Il trucco è semplicemente modificare uno dei javascript inviati al browser > delle vittime (senza modificarne la dimensione, cosa piuttosto semplice > vista la presenza di header di copyright etc nei JS minimizzati dei > framework maggiormente utilizzati) servendoli con header HTTP Expire e > Cache control appropriati. Tale JS scarica il contenuto illegale solo nella > cache (ad esempio attraverso una immagine trasparente molto piccola > aggiunta dallo script stesso al DOM), poi rimuove le tracce e riscarica se > stesso dalla CDN nella versione pulita, sovrascrivendo il file in cache. > > Una analisi forense del disco del pc troverebbe facilmente il contenuto > illegale nella cache dell'utente (immaginiamo un documento rubato.. o > peggio), ma nessuna traccia dell'attacco, attribuendo il documento alla > vittima ignara. > > > In realtà l'attacco non è descritto in questo dettaglio nell'articolo > perché è piuttosto ovvio, ma credo possa essere di maggiore interesse qui > per comprendere la portata politica del problema. > > > L'altra vulnerabilità è piuttosto di natura geopolitica, ma credo sia ben > nota in questa mailing list. > > > Spero possa essere una lettura interessante e vi prego di segnalarmi > eventuali approfondimenti ed errori tecnici, storici (molti degli eventi > citati sono avvenuti prima che io nascessi) o grammaticali... :-) > > A presto! > > > Giacomo >

Aug. 27, 2018

Report: “Creative Markets and Copyright in the Fourth Industrial Era: Reconfiguring the Public Benefit for a Digital Trade Economy”

by J.C. DE MARTIN

https://www.ictsd.org/themes/innovation-and-ip/research/creative-markets-an… Creative Markets and Copyright in the Fourth Industrial Era: Reconfiguring the Public Benefit for a Digital Trade Economy A rapid succession of technological advances – big data, robotics, machine learning, and artificial intelligence – is steadily changing how firms engage in productive activity, how consumers interact, and how knowledge goods are acquired, shared, and governed. The rise of big data and the increasingly widespread adoption of artificial intelligence across many industries have complicated our understanding of the values of twentieth-century intellectual property rules. If anything, the expected social costs (such as privacy) of new technology have already intensified debates – both global and national in scope – about the nature of rules that best foster innovation, facilitate access to public goods, and enable economic development. This paper explores the fundamental questions facing the copyright system in the new industrial and digital era. It considers a broad range of issues including the evolving concept of authorship, originality, exhaustion issues, and the fair use or fair dealing doctrine in the new global context. It concludes with recommendations on how to redesign global copyright for innovation, competition, and inclusion. (Sent from my wireless device; please excuse brevity and typos (if any))

Aug. 26, 2018

Verso una repubblica dei beni comuni? (Nuovo libro in Fr)

by Antonio Casilli

Hello all, per i francofoni, segnalo un libro collettivo sui commons (digitali, politici e naturali). Al tomo ho contribuito anch'io, oltre che molti altri, tra cui il fondatore della P2P foundation Michel Bauwens, il sociologo del Politecnico di Torino Gragorio Arena, l'economista Benjamin Coriat, Sébastien Broca di cui ho recentemente segnalato l'uscita in italiano de "L'utopia del software libero", etc. Il riferimento completo è: Nicole Alix, Jean-Louis Bancel, Benjamin Coriat & Frédéric Sultan (2018). Vers une république des biens communs ?, Paris : Les Liens qui Libèrent. http://www.editionslesliensquiliberent.fr/livre-Vers_une_r%C3%A9publique_de… Cheers, Antonio -- Antonio A. Casilli Associate Professor, Telecom ParisTech Member, Interdisciplinary Institute for Innovation (i3 UMR 9217 CNRS) Associate Member, LACI-IIAC (EHESS) Faculty Fellow, Nexa Center for Internet & Society

Aug. 24, 2018

Re: [nexa] Robot says: Whatever | Aeon

by Roberto Dolci

Ottimo articolo che apre a tante riflessioni. Una e’ che la nostra fisiologia e psicologia, quindi i meccanismi che ereditiamo ed impariamo nel percepire e gestire gli stati emotivi (dal bias all’ossitocina), sono essenzialmente frutto dell’evoluzione della specie. Genetica ed epigenetica sono li a spiegare bene il ruolo e funzionamento delle nostre emozioni. Possiamo pensare a dei robot che “ereditino” cognizioni delle generazioni precedenti, e che “riflettano” sui propri bisogni di autosussistenza (ricevere un adeguata alimentazione elettrica, adeguata manutenzione, etc.) ? Probabilmente si. From: nexa <nexa-bounces(a)server-nexa.polito.it> On Behalf Of J.C. DE MARTIN Sent: Wednesday, August 22, 2018 1:02 PM To: Center Nexa <nexa(a)server-nexa.polito.it> Subject: [nexa] Robot says: Whatever | Aeon https://aeon.co/amp/essays/the-robots-wont-take-over-because-they-couldnt-c…<https://aeon.co/amp/essays/the-robots-wont-take-over-because-they-couldnt-c…> Robot says: Whatever What stands in the way of all-powerful AI isn't a lack of smarts: it's that computers can't have needs, cravings or desires Margaret Boden<https://aeon.co/users/margaret-boden> In Henry James’s intriguing novella The Beast in the Jungle (1903), a young man called John Marcher believes that he is marked out from everyone else in some prodigious way. The problem is that he can’t pinpoint the nature of this difference. Marcher doesn’t even know whether it is good or bad. Halfway through the story, his companion May Bartram – a wealthy, New-England WASP, naturally – realises the answer. But by now she is middle-aged and terminally ill, and doesn’t tell it to him. On the penultimate page, Marcher (and the reader) learns what it is. For all his years of helpfulness and dutiful consideration towards May, detailed at length in the foregoing pages, not even she had ever really mattered to him. That no one really mattered to Marcher does indeed mark him out from his fellow humans – but not from artificial intelligence (AI) systems, for which nothing matters. [...] This essay is adapted from the inaugural Margaret Boden Lecture, delivered by Professor Boden herself, at the University of Cambridge in June 2018. (Sent from my wireless device; please excuse brevity and typos (if any))

Aug. 22, 2018

Robot says: Whatever | Aeon

by J.C. DE MARTIN

https://aeon.co/amp/essays/the-robots-wont-take-over-because-they-couldnt-c… Robot says: Whatever What stands in the way of all-powerful AI isn't a lack of smarts: it's that computers can't have needs, cravings or desires Margaret Boden In Henry James’s intriguing novella The Beast in the Jungle (1903), a young man called John Marcher believes that he is marked out from everyone else in some prodigious way. The problem is that he can’t pinpoint the nature of this difference. Marcher doesn’t even know whether it is good or bad. Halfway through the story, his companion May Bartram – a wealthy, New-England WASP, naturally – realises the answer. But by now she is middle-aged and terminally ill, and doesn’t tell it to him. On the penultimate page, Marcher (and the reader) learns what it is. For all his years of helpfulness and dutiful consideration towards May, detailed at length in the foregoing pages, not even she had ever really mattered to him. That no one really mattered to Marcher does indeed mark him out from his fellow humans – but not from artificial intelligence (AI) systems, for which nothing matters. [...] This essay is adapted from the inaugural Margaret Boden Lecture, delivered by Professor Boden herself, at the University of Cambridge in June 2018. (Sent from my wireless device; please excuse brevity and typos (if any))

Aug. 22, 2018

PDF Antologia spagnola di miei testi

by Antonio Casilli

Hello all, ho passato un'estate un po' strana, con in mezzo un lungo soggiorno in Bolivia per accompagnare (a suon di conferenze) l'uscita di un mio libro un po' particolare: si tratta di un'antologia di 5 saggi apparsi nell'ultimo decennio in riviste francesi e inglesi (più un inedito, versione extended play di un testo che avevo scritto per Feltrinelli l'anno scorso). Il tutto è stato coordinato, praticamente senza che io ci mettessi mano, dall'ambasciata di Francia in Bolivia e dalla Agetic, l'equivalente boliviano dell'Agenzia per l'Italia digitale. Quindi se leggete lo spagnolo e/o se avete colleghi ispanofoni interessati a futuro del lavoro, intelligenza artificiale, privacy e sorveglianza di massa (ma anche virus, hacking e wikipedia -- c'è un po' di tutto in 'sto libro...) non esitate a scaricare il pdf e a farlo circolare abbondantemente via email, media sociali o dove meglio vi aggrada. ------- Antonio A. Casilli (2018). Trabajo, conocimiento y vigilancia: 5 ensayos sobre tecnología. La Paz, Bolivia: Editorial del Estado. Descarga documento PDF: https://agetic.gob.bo/pdf/estadotic/AGETIC-Trabajo-conocimiento-vigilancia.… Contenido Introducción.........................................................5 ¿Existe una cultura laboral digital global? Marginación del trabajo, desigualdades globales y colonialidad................................9 Inteligencia artificial: ¿los humanos reemplazarán a los robots?....45 Una historia de la virulencia: El cuerpo y la cultura informática en la década de 1980...................................................83 El wikipedista, el investigador y el vándalo.......................125 Cuatro tesis sobre vigilancia digital masiva y la negociación de la privacidad.........................................................141 Cheers, Antonio

Aug. 22, 2018

Competition Act investigation regarding business parcel delivery services

by Luigi Scorca

https://www.ofcom.org.uk/about-ofcom/latest/bulletins/competition-bulletins…

Aug. 21, 2018

Re: [nexa] Award-winning security research reveals a host of never-seen, currently unblockable web-tracking techniques

by Giacomo Tesio

Molto interessante. Grazie. Personalmente penso che la complessità dei browser cerca di sopperire alle carenze dei sistemi operativi mainstream, come Windows, Linux, BSD e iOS. Cerchiamo di veicolare attraverso HTTP e HTML + JavaScript una computazione distribuita per cui questi non sono progettati. Questo apre a tutta una serie di problematiche legali (eseguiamo sui nostri PC programmi serviti da aziende che non rispondono al nostro ordinamento) ed informatiche. Tuttavia non sembra un problema che riscuota grande interesse. In particolare, inizio a perdere fiducia (dopo anni come utente) persino in Mozilla. Da un punto di vista tecnico soluzione a tutti questi problemi sarebbe sviluppare nuovi sistemi operativi distribuiti e contemporaneamente far ritornare il web l'ipertesto decentralizzato che era in principio. Nel breve periodo, tuttavia, dovremmo iniziare a trattare JavaScript come una vulnerabilità, disabilitarlo di default, abilitarlo solo per siti affidabili e marcare comunque come "Non Sicura" ogni pagina che lo utilizzi. Giacomo

Aug. 21, 2018

Award-winning security research reveals a host of never-seen, currently unblockable web-tracking techniques

by Alberto Cammozzo

<https://boingboing.net/2018/08/16/who-left-open-the-cookie-jar.html> Who Left Open the Cookie Jar? A Comprehensive Evaluation of Third-Party Cookie Policies <https://wholeftopenthecookiejar.eu/static/tpc-paper.pdf> won the Distinguished Paper prize at this year's Usenix Security Conference; its authors, researchers at Belgium's Catholic University in Leuven, revealed a host of devastating, never-seen tracking techniques for identifying web-users who were using privacy tools supplied by browser-vendors and third-party tracking-blocking tools. The techniques the KU Leuven team identified allowed them to track users across sites by means of the Appcache API; "lesser-known HTML tags"; the Location response-header; various <meta> redirects; Javascript in PDF tables, Javascript's location.href property; and through service workers. These techniques bypassed the stock browser privacy protections, including the latest, most extensive privacy settings in Firefox; they also worked against popular cookie-blocking/ad-blocking/script-blocking browser extensions. The good news is that the researchers found no evidence of these techniques being exploited in the wild and they tipped off the browser vendors before going public, which means that we can hope that future browsers will be better equipped to defend against these tactics. The bad news is that until then, we're all vulnerable to unscrupulous websites using these tactics to track us everywhere. Here's the researchers' catalog of exploits <https://wholeftopenthecookiejar.eu/> with suggested countermeasures. [...]

Aug. 20, 2018