September 2018 - nexa - server-nexa.polito.it

Re: [nexa] Come bypassare firewall e proxy aziendali (e di PA, banche.. etc)

by Giacomo Tesio

2018-09-13 10:29 GMT+02:00 Marco Ciurcina <ciurcina(a)studiolegale.it>: > "I'm not bad. I'm just drawn that way." > (Jessica Rabbit in Who Censored Roger Rabbit?) > Ah, se ti interessa la censura in ambito informatico (e avete un attimo) questa è fantastica: https://dev.to/shamar/i-have-been-banned-from-lobsters-ask-me-anything-5041 (breve resoconto cronologico qui: https://dev.to/shamar/comment/5dp2#chronological ) Una volta si usava dire "you cannot argue with a root shell"... oggi invece si può. Anche di fronte a DUE exploit, puoi continuare a negare. E chiamare i tuoi fan boy a giustificarti. > > Per fortuna Firefox è software libero: c'è la speranza che qualche > sviluppatore faccia un fork. > Con tutto il rispetto Marco, devo contraddirti: Firefox è evidentemente Open Source, non Software Libero. Il software libero è un'espressione della cultura hacker, un atto creativo di curiosità. Come tale l'onestà intellettuale è un prerequisito fondamentale del software libero. Firefox è Open Source, una cosa molto diversa: https://twitter.com/giacomotesio/status/1035553204552040448 Ed infatti, forkare Firefox richiede enormi risore. Io sono un programmatore ("solo" un programmatore, come dice Bruce Perens :-D): il codice è ben fatto e modificarlo è relativamente semplice, ma per l'infrastruttura necessaria a mantenere un fork utile per mettere in sicurezza la gente, su device e sistemi operativi diversi, è estremamente complessa. Se non risolvono il problema prima, da metà ottobre (prima non riesco) farò qualche prova su Windows per Desktop. Ho già pensato un nome: "Guy Fawkes", il fork di Firefox destinato a morire... :-D Giacomo > > m.c. > > > In data giovedì 13 settembre 2018 00:13:03 CEST, Giacomo Tesio ha scritto: > > Salve, e' stato pubblicato un nuovo exploit del bug che ho recentemente > > segnalato a Mozilla e Google. > > > > Basically any old webpage can perform local network host discovery on > you. > > > > > To implement this I made a webpage which attempts to load images from > > > addresses 192.168.1.x. If you watch in the browser console it’ll show > > > either net::ERR_CONNECTION_REFUSED for a host that’s up or > > > net::ERR_ADDRESS_UNREACHABLE for a host that doesn’t exist. This is a > CORS > > > error which the javascript on the webpage is not allowed to > differentiate > > > by catching. But one error takes 3 ms to happen and the other takes 3 > > > seconds! > > > [...] > > > A related thing a webpage in your browser might do is connect to > localhost > > > and control any unauthenticated local services. Taviso used this to > great > > > effect here https://github.com/spesmilo/electrum/issues/3374 > > > > https://rain-1.github.io/in-browser-localhostdiscovery > > > > E con questo siamo a 2 exploit che vanificano firewall e proxy aziendali. > > E io ne ho descritti altri nel bug report! > > > > E Mozilla tace. Io sono allibito. > > > > Ricordate "this is the Web functioning as desinged"! > > > > > > Giacomo > > >

Sept. 13, 2018

Re: [nexa] Come bypassare firewall e proxy aziendali (e di PA, banche.. etc)

by Stefano Quintarelli

cosa dovrebbe consentire javascript ? puo' collegarsi a computer diversi da quello dell'utente ? certamente, per comunicare con il server da cui proviene. può scaricare oggetti, diciamo immagini, da un computer con un determinato indirizzo ? beh, tutte le pagine web sono composte cosi'. (a partire dalla webmail) una alternativa potrebbe essere che consenta di comunicare solo con il computer che lo ha servito. Speedtest, per esempio, non funzionerebbe. (forse nemmeno neubot, e nemmeno quasi tutto il mercato pubblictario). queste due cose che consente, possono essere usate da qualcuno per acquisire informazioni ? ogni cosa fatta su un computer da remoto consente di acquisire informazioni, dalla latenza di un collegamento al fatto che il computer a cui si collega risponda o meno. (che e' l'esempio sotto) e se uno non vuole consentirlo ? su firefox basta usare plugin come noscript e/o umatrix tra l'altro consiglio di farlo a tutti e collegarsi poi ad una pagina di youtube (ad esempio) ciao, s. On 13/09/2018 10:29, Marco Ciurcina wrote: > "I'm not bad. I'm just drawn that way." > (Jessica Rabbit in Who Censored Roger Rabbit?) > > Per fortuna Firefox è software libero: c'è la speranza che qualche > sviluppatore faccia un fork. > > m.c. > > > In data giovedì 13 settembre 2018 00:13:03 CEST, Giacomo Tesio ha scritto: >> Salve, e' stato pubblicato un nuovo exploit del bug che ho recentemente >> segnalato a Mozilla e Google. >> >> Basically any old webpage can perform local network host discovery on you. >> >>> To implement this I made a webpage which attempts to load images from >>> addresses 192.168.1.x. If you watch in the browser console it’ll show >>> either net::ERR_CONNECTION_REFUSED for a host that’s up or >>> net::ERR_ADDRESS_UNREACHABLE for a host that doesn’t exist. This is a CORS >>> error which the javascript on the webpage is not allowed to differentiate >>> by catching. But one error takes 3 ms to happen and the other takes 3 >>> seconds! >>> [...] >>> A related thing a webpage in your browser might do is connect to localhost >>> and control any unauthenticated local services. Taviso used this to great >>> effect here https://github.com/spesmilo/electrum/issues/3374 >> >> https://rain-1.github.io/in-browser-localhostdiscovery >> >> E con questo siamo a 2 exploit che vanificano firewall e proxy aziendali. >> E io ne ho descritti altri nel bug report! >> >> E Mozilla tace. Io sono allibito. >> >> Ricordate "this is the Web functioning as desinged"! >> >> >> Giacomo > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Sept. 13, 2018

Re: [nexa] Come bypassare firewall e proxy aziendali (e di PA, banche.. etc)

by Marco Ciurcina

"I'm not bad. I'm just drawn that way." (Jessica Rabbit in Who Censored Roger Rabbit?) Per fortuna Firefox è software libero: c'è la speranza che qualche sviluppatore faccia un fork. m.c. In data giovedì 13 settembre 2018 00:13:03 CEST, Giacomo Tesio ha scritto: > Salve, e' stato pubblicato un nuovo exploit del bug che ho recentemente > segnalato a Mozilla e Google. > > Basically any old webpage can perform local network host discovery on you. > > > To implement this I made a webpage which attempts to load images from > > addresses 192.168.1.x. If you watch in the browser console it’ll show > > either net::ERR_CONNECTION_REFUSED for a host that’s up or > > net::ERR_ADDRESS_UNREACHABLE for a host that doesn’t exist. This is a CORS > > error which the javascript on the webpage is not allowed to differentiate > > by catching. But one error takes 3 ms to happen and the other takes 3 > > seconds! > > [...] > > A related thing a webpage in your browser might do is connect to localhost > > and control any unauthenticated local services. Taviso used this to great > > effect here https://github.com/spesmilo/electrum/issues/3374 > > https://rain-1.github.io/in-browser-localhostdiscovery > > E con questo siamo a 2 exploit che vanificano firewall e proxy aziendali. > E io ne ho descritti altri nel bug report! > > E Mozilla tace. Io sono allibito. > > Ricordate "this is the Web functioning as desinged"! > > > Giacomo

Sept. 13, 2018

Come bypassare firewall e proxy aziendali (e di PA, banche.. etc)

by Giacomo Tesio

Salve, e' stato pubblicato un nuovo exploit del bug che ho recentemente segnalato a Mozilla e Google. Basically any old webpage can perform local network host discovery on you. > To implement this I made a webpage which attempts to load images from > addresses 192.168.1.x. If you watch in the browser console it’ll show > either net::ERR_CONNECTION_REFUSED for a host that’s up or > net::ERR_ADDRESS_UNREACHABLE for a host that doesn’t exist. This is a CORS > error which the javascript on the webpage is not allowed to differentiate > by catching. But one error takes 3 ms to happen and the other takes 3 > seconds! > [...] > A related thing a webpage in your browser might do is connect to localhost > and control any unauthenticated local services. Taviso used this to great > effect here https://github.com/spesmilo/electrum/issues/3374 https://rain-1.github.io/in-browser-localhostdiscovery E con questo siamo a 2 exploit che vanificano firewall e proxy aziendali. E io ne ho descritti altri nel bug report! E Mozilla tace. Io sono allibito. Ricordate "this is the Web functioning as desinged"! Giacomo

Sept. 12, 2018

How Technology is Hijacking Your Mind — from a Magician and Google Design Ethicist

by Alberto Cammozzo

Bella sintesi, esempi chiarissimi. <https://medium.com/thrive-global/how-technology-hijacks-peoples-minds-from-…> I’m an expert on how technology hijacks our psychological vulnerabilities. That’s why I spent the last three years as a Design Ethicist at Google caring about how to design things in a way that defends a billion people’s minds from getting hijacked. When using technology, we often focus /optimistically/ on all the things it does for us. But I want to show you where it might do the opposite. /Where does technology exploit our minds’ weaknesses/? I learned to think this way when I was a magician. Magicians start by looking for /blind spots, edges, vulnerabilities and/ /limits/ of people’s perception, so they can influence what people do without them even realizing it. Once you know how to push people’s buttons, you can play them like a piano. And this is exactly what product designers do to your mind. They play your psychological vulnerabilities (consciously and unconsciously) against you in the race to grab your attention. I want to show you how they do it. Hijack #1: If You Control the Menu, You Control the Choices Western Culture is built around ideals of individual choice and freedom. Millions of us fiercely defend our right to make “free” choices, while we ignore how those choices are manipulated upstream by menus we didn’t choose in the first place. This is exactly what magicians do. They give people the illusion of free choice while architecting the menu so that they win, no matter what you choose. I can’t emphasize enough how deep this insight is. When people are given a menu of choices, they rarely ask: * “what’s not on the menu?” * “why am I being given /these options/ and not others?” * “do I know the menu provider’s goals?” * “is this menu /empowering/ for my original need, or are the choices actually a distraction?” (e.g. an overwhelmingly array of toothpastes) For example, imagine you’re out with friends on a Tuesday night and want to keep the conversation going. You open Yelp to find nearby recommendations and see a list of bars. The group turns into a huddle of faces staring down at their phones /comparing bars. /They scrutinize the photos of each, comparing cocktail drinks. Is this menu still relevant to the original desire of the group? It’s not that bars aren’t a good choice, it’s that Yelp substituted the group’s original question (“where can we go to keep talking?”) with a different question (“what’s a bar with good photos of cocktails?”) all by shaping the menu. Moreover, the group falls for the illusion that Yelp’s menu represents a /complete set of choices/ for where to go. While looking down at their phones, they don’t see the park across the street with a band playing live music. They miss the pop-up gallery on the other side of the street serving crepes and coffee. Neither of those show up on Yelp’s menu. [...]

Sept. 12, 2018

Re: [nexa] Press protections might safeguard Google’s algorithms, even from Trump

by Giacomo Tesio

"Google & others are [...] hiding information and news that is good. They are controlling what we can & cannot see. This is a very serious situation" La cosa triste, per l'Europa ed il mondo, è che ce lo deve spiegare Trump! Come spiegavo ad uno sviluppatore di Mozilla Security qualche giorno fa, quando le persone competenti non risolvono i problemi che creano, altre, meno competenti, possono essere costrette (o dirsi costrette) ad affrontarli al loro posto. https://lobste.rs/s/kt1dhh/wi_jacking_accessing_your_neighbour_s#c_uewnte Giacomo 2018-09-11 11:30 GMT+02:00 gianlucaquaglia(a)gmail.com <gianlucaquaglia(a)gmail.com>: > Press protections might safeguard Google’s algorithms, even from Trump > > By Jared Schroeder > SEPTEMBER 6, 2018 > > > PRESIDENT TRUMP INDICATED LAST WEEK that the White House is looking into > regulating Google, Facebook, and Twitter because they are, he alleges, > privileging voices that criticize him while suppressing his supporters’ > ideas. > > He wrote, in a series of early morning tweets on August 28, that “Google & > others are suppressing voices of Conservatives and hiding information and > news that is good. They are controlling what we can & cannot see. This is a > very serious situation – will be addressed!” Trump’s suggestion that these > companies are privileging certain information while suppressing other > content followed similar accusations made by Infowars founder Alex Jones and > other right-wing figures of bias against conservatives. > How, exactly, would this blanket suggestion to regulate these companies > work? When we’re talking about regulating the information that comes up in > Google searches or appears in people’s timelines on Facebook or Twitter, > we’re really talking about governing algorithms and the decisions they make > about which information should be provided and prioritized. > > Regulating algorithms might seem like entirely new legal territory, since > Google and its cousins are only two decades old. But a newspaper case from > 1974 has quite a bit to say about whether the government can control, under > the First Amendment, companies’ algorithms and how they produce and organize > information. > > In Miami Herald v. Tornillo, the Supreme Court struck down a Florida law > that gave political candidates the “right of reply” to criticisms they faced > in newspapers. The law required the newspaper to publish a response from the > candidate, and to place it, free of charge, in a conspicuous place. > > [...] > > il seguito > > https://www.cjr.org/covering_trump/press-protections-might-safeguard-google… > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Sept. 11, 2018

Press protections might safeguard Google’s algorithms, even from Trump

by gianlucaquaglia＠gmail.com

Press protections might safeguard Google’s algorithms, even from Trump By Jared Schroeder SEPTEMBER 6, 2018 PRESIDENT TRUMP INDICATED LAST WEEK that the White House is looking into regulating Google, Facebook, and Twitter because they are, he alleges, privileging voices that criticize him while suppressing his supporters’ ideas. He wrote, in a series of early morning tweets on August 28, that “Google & others are suppressing voices of Conservatives and hiding information and news that is good. They are controlling what we can & cannot see. This is a very serious situation – will be addressed!” Trump’s suggestion that these companies are privileging certain information while suppressing other content followed similar accusations made by Infowars founder Alex Jones and other right-wing figures of bias against conservatives. How, exactly, would this blanket suggestion to regulate these companies work? When we’re talking about regulating the information that comes up in Google searches or appears in people’s timelines on Facebook or Twitter, we’re really talking about governing algorithms and the decisions they make about which information should be provided and prioritized. Regulating algorithms might seem like entirely new legal territory, since Google and its cousins are only two decades old. But a newspaper case from 1974 has quite a bit to say about whether the government can control, under the First Amendment, companies’ algorithms and how they produce and organize information. In Miami Herald v. Tornillo, the Supreme Court struck down a Florida law that gave political candidates the “right of reply” to criticisms they faced in newspapers. The law required the newspaper to publish a response from the candidate, and to place it, free of charge, in a conspicuous place. [...] il seguito https://www.cjr.org/covering_trump/press-protections-might-safeguard-google…

Sept. 11, 2018

Re: [nexa] Joseph Stiglitz on artificial intelligence: 'We’re going towards a more divided society'

by A Dicorinto

... bellissimo articolo, una sorta di bignami delle problematiche sollevate dalla AI nell'economia Bravi sia Stiglitz che il giornalista. e Grazie a te, Alberto, per la segnalazione 2018-09-09 10:44 GMT+02:00 Alberto Cammozzo <ac+nexa(a)zeromx.net>: > The technology could vastly improve lives, the economist says – but only > if the tech titans that control it are properly regulated. ‘What we have > now is totally inadequate’ > > <https://www.theguardian.com/technology/2018/sep/08/joseph-s > tiglitz-on-artificial-intelligence-were-going-towards-a- > more-divided-society> > > “Artificial intelligence and robotisation have the potential to increase > the productivity of the economy and, in principle, that could make > everybody better off,” he says. “But only if they are well managed.” > > On 11 September, the Columbia University professor will be in London to > deliver the latest lecture in the Royal Society’s You and AI series. > Stiglitz will talk about the future of work, an area where predictions have > been frequent, contradictory and unnerving. Last month, the Bank of > England’s chief economist, Andy Haldane, warned that “large swathes” of > Britain’s workforce face unemployment as AI and other technologies automate > more jobs. He had less to say about the new positions AI may create. A > report from PricewaterhouseCoopers in July argued that AI may create as > many jobs as it destroys – perhaps even more. As with the Industrial > Revolution, the misery would come not from a lack of work, but the > difficulty in switching from one job to another. > > [...] > > “These new tech giants are raising very deep issues about privacy and the > ability to exploit ordinary people that were never present in earlier eras > of monopoly power,” says Stiglitz. “Beforehand, you could raise the price. > Now you can target particular individuals by exploiting their information.” > > It is the potential for datasets to be combined that most worries > Stiglitz. For example, retailers can now track customers via their > smartphones as they move around stores and can gather data on what catches > their eye and which displays they walk straight past. > > “In your interactions with Google, Facebook, Twitter and others, they > gather an awful lot of data about you. If that data is combined with other > data, then companies have a great deal of information about you as an > individual – more information than you have on yourself,” he says. > > “They know, for example, that people who search this way are willing to > pay more. They know every store you’ve visited. That means that life is > going to be increasingly unpleasant, because your decision to shop in a > certain store may result in you paying more money. To the extent that > people are aware of this game, it distorts their behaviour. What is clear > is that it introduces a level of anxiety in everything we do and it > increases inequality even more.” > > Stiglitz poses a question that he suspects tech firms have faced > internally. “Which is the easier way to make a buck: figuring out a better > way to exploit somebody, or making a better product? With the new AI, it > looks like the answer is finding a better way to exploit somebody.” > > [...] > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- Arturo Di Corinto www.dicorinto.it ---------------------------------> AVVERTENZE AI SENSI DEL D.Lgs. 196/2003 Le informazioni contenute in questo messaggio di posta elettronica e/o nel/i file/s allegato/i sono da considerarsi strettamente riservate. Il loro utilizzo è consentito esclusivamente al destinatario del messaggio, per le finalità indicate nel messaggio stesso. Qualora riceviate questo messaggio senza esserne il destinatario, Vi preghiamo cortesemente di darcene notizia via e-mail e di procedere alla distruzione del messaggio stesso, cancellandolo dal Vostro sistema. Conservare il messaggio stesso, divulgarlo anche in parte, distribuirlo ad altri soggetti, copiarlo, od utilizzarlo per finalità diverse, costituisce comportamento contrario ai principi dettati dal D.Lgs. 196/2003

Sept. 11, 2018

Re: [nexa] Improving DNS Privacy in Firefox

by Giacomo Tesio

Il giorno 9 settembre 2018 14:53, Simone Basso <bassosimone(a)gmail.com> ha scritto: > > Prima di introdurre una metrica ("immensa", "piccole", etc.) sarebbe > utile capire quale sia la tua definizione di porcata. Dicesi "porcata" qualunque attività umana che mi vergognerei di spiegare a mia figlia. (A scanso di equivoci, la riproduzione umana non rientra in questa categoria.) Un esempio: "Papà, perché avete deciso di incapsulare un protocollo binario (il DNS) dentro un protocollo binario crittografato (HTTP2 su SSL) progettato per trasferire ipertesti attraverso connessioni persistenti?" "Amore... sono cose da grandi..." "E' complicato?" "No... è idiota!" IMHO è una soluzione - troppo complicata - parziale (solo su un browser! e anche fossero tutti i browser, solo sui browser!) - contro intuitiva - sub ottimale: perché non progettare un protocollo migliore del DNS, invece? - genera un single point of failure / accentra in oligopoli - non mi fido di CloudFlare (che ha anche accesso ad altri dati personali, in quanto CDN) Se l'obbiettivo è proteggere gli utenti da MitM DNS da parte di ISP come Vodafone, la soluzione non è tecnica, ma politica: bisogna semplicemente vietare il MitM DNS. Giacomo

Sept. 9, 2018

Re: [nexa] Improving DNS Privacy in Firefox

by Simone Basso

Marco Mellia wrote: > Ciao Simone, Ciao Marco, > Non c’e’ molto da indagare - e’ una cosa nota che Vodafone implementi > il transparent DNS Proxy — ovvero tutto il traffico verso porta 53 > viene mandato ai suoi server DNS, indipendentemente dal IP del server > contattato. Basta una ricerca con google “Vodafone dns”. Bisogna mettersi d'accordo su cosa è interessante e su cosa si vuole indagare, altrimenti arriviamo a conclusioni divergenti. Dal mio punto di vista: - posso usare il fatto di avere Vodafone per migliorare l'engine DNS di OONI per rilevare i proxy DNS trasparenti e per meglio distinguere questi casi da quelli che noi chiamiamo di DNS injection (i.e. i casi "man in the middle" dai casi "man on the side") - posso abilitare questo test di default (o in caso ci siano specifiche condizioni) affinché OONI esegua questo test in alcuni o in tutti gli ISP in cui eseguiamo misure di censura e net neutrality - posso magari identificare nuovi ISP in cui è implementato un proxy DNS trasparente anche se questa cosa non è documentata per tali ISP - posso informare gli utenti, facendo vedere che è deployato un proxy DNS trasparente e quali sono le implicazioni, suggerendo anche loro in quale modo possono bypassare questa restrizione - posso ottenere un ulteriore data point che penso sarà utile per caratterizzare le altre misure di censura che raccogliamo Spiegati questi punti, non penso si possa concludere che non ci sia molto da indagare. Inoltre, anche per Vodafone per cui è noto che sia implementata questa tecnologia, come abbiamo visto, la discussione su questa lista è stata utile per coinvolgere più persone alcune delle quali non erano a conoscenza di questa informazione, anche se stava a una ricerca su Google di distanza. > Tornando a DoH - dal punto di vista tecnico e’ una porcata immensa. Prima di introdurre una metrica ("immensa", "piccole", etc.) sarebbe utile capire quale sia la tua definizione di porcata. Altrimenti, come nel caso sopra, rischiamo di arrivare a conclusioni divergenti perché partiamo da definizioni differenti :-). Assumo che si tenda in generale a definire porcata una cosa di cui non si capiscono appieno le finalità. Inoltre, una tecnologia può in generale non essere considerata una porcata, ma una sua implementazione in uno specifico contesto potrebbe sembrarlo. Parlando del proxy DNS trasparente, mi vengono in mente casi in cui può avere senso implementarlo, per esempio per impedire di evadere alcuni tipi di censura (o "policy") usando un tunnel DNS. Come dicevo in un thread precedente e come postulato anche da altri su forum che parlano del proxy trasparente di Vodafone, è possibile che una ragione tecnica per implementare un proxy DNS trasparente sia quella di rendere più facile l'accesso alla Vodafone station da browser agli utenti (via "voda.station") e quindi semplificare la configurazione. Tu per caso hai idea di quali potrebbero essere le ragioni tecniche per le quali Vodafone ha implementato questo tipo di policy? (Come utente internet, questa policy mi fa imbestialire perché sono abituato a poter configurare io manualmente, se lo desidero, il DNS; mi trovo quindi molto sorpreso se qualunque mio tentativo di configurazione di sistema viene ignorato dalla rete o da altri software.) > Per di piu’, in opzione “opt-out” e’ una di quelle cose che farà > impazzire gli amministratori di rete. Mi chiedo se hanno previsto una qualche forma di on-boarding per informare l'utente dell'uso del DNS over HTTPS di Cloudflare. > Lato consumer, già vedo i forum pieni di “ho messo 8.8.8.8 come > server dns, ma ancora non mi funziona con firefox”. In questo caso, però, uno può rispondergli sul forum dicendo "guarda, Johnny, che c'è un'opzione che puoi disabilitare". Mi sembra più facile come problema, da gestire, rispetto al problema di bypassare il proxy trasparente di Vodafone, che è una cosa che si può implementare su Linux, stando a quello che leggo sui forum, installando e configurando dnsmasq oppure usando dnscrypt. Mi viene da ridere, BTW, se penso al cortocircuito di uno che risponde su un forum dicendo "guarda, per bypassare il DNS di Vodafone, puoi scaricare Firefox che usa direttamente un altro server DNS cifrato e non hai bisogno di sgozzare nessun gallo o avere Linux installato". > Lato business, tutte le precauzioni che si usano in ambito corporate > che fanno leva sul DNS improvvisamente non funzioneranno più, con > bella pace della sicurezza e policy. L'argomentazione che ho usato sopra ("mi stupisce che Vodafone ignori la mia configurazione DNS di sistema") si applica anche in questo caso: mi stupisce che Firefox ignori la mia configurazione DNS di sistema! Sono però perplesso riguardo all'esistenza di corporation che hanno implementato "precauzioni che fanno leva sul DNS" e al tempo stesso non hanno un controllo centralizzato del software installato sulla flotta di macchine e sulla loro configurazione. In casi di questo tipo, in effetti, il problema principale non mi sembra sia questo cambiamento DNS introdotto da Firefox. > Non oso immaginare che cosa succederà quando i DNS di clodflare non > funzioneranno a dovere. Per rispondere correttamente a questa domanda bisognerebbe vedere se, in tal caso, Firefox farà fallback sul DNS di sistema. Altrimenti la discussione rischia di essere basata più su speculazioni che su fatti. FWIW, posso documentare un molto frustrante incidente avvenuto a casa mia a Torino (dove, come dicevo, ho Vodafone) circa sei mesi fa, nel quale, per mezz'ora, ho avuto il DNS non funzionante e non potevo navigare, pur avendo connettività IP verso 8.8.8.8 e 1.1.1.1 che avevo (vanamente!) configurato come miei DNS di sistema. Come vedi, si tratta di problemi simmetrici e altrettanto frustranti. Tranne che, indipendentemente dal fatto che l'opzione sia opt-in o opt-out, mi posso immaginare lo scenario in cui tale opzione è abilitata, Firefox si accorge che il DNS di Cloudflare è giù, notifica l'utente, e gli chiede se per caso vuole usare un altro DNS o il DNS di sistema, magari informandolo dei rischi (visto che Mozilla sta usando l'argomentazione rischi per implementare questo servizio). Nel caso di Vodafone, invece, non vedo bene in quale modo la Vodafone Station mi poteva informare del problema del DNS giù. > Con buona pace del troubleshooting. Si. Come ho detto sopra, sia la soluzione di Vodafone sia la soluzione di Firefox pongono problemi perché deviano rispetto a quello che come utenti siamo abituati ad aspettarci (i.e. se vogliamo possiamo configurarlo noi, altrimenti c'è un qualche default). > Senza neanche citare i problemi per la magistratura quando dovrà > indagare, o richiedere il blocco di qualche sito (che piaccia o no). In Dungeons & Dragons, questo atteggiamento porta a identificare il tuo allineamento come legale. Io ho un altro allineamento per il quale preferisco che l'azione della magistratura sia un po' più difficile - avendo visto quello che fa la magistratura in altri paesi e essendo convinto che - dato abbastanza potere - "non ci sono poteri buoni". Questi sono punti di vista personali di cui potremmo discutere fino allo sfinimento ma che sono forse più adatti per una birra o forse più un paio di birre che per una discussione in mailing list :-). > Ultimo, dal punto di vista della privacy, mi chiedo perche’ google, > cloudflare e altri siano così generosi da implementare ed offrire > “gratis” un servizio DNS. Come sappiamo bene — se non paghi per un > prodotto, il prodotto sei tu. Grazie al DNS, ora google sa anche > quale shop online frequenti, quale sito porno preferisci, e se anche > se usi duckduckgo come motore di ricerca. Per non parlare del potere > che ha nel modificare a suo piacere quali server di quale CDN > indirizzare il tuo traffico, e decidere se e quali servizi puoi > accedere. Limito la mia risposta a Cloudflare e al servizio integrato in Firefox. Sono andato a leggere qualcosa in più e, stando a quanto dicono loro, a questo servizio DNS non si applicano le privacy policy standard di Cloudflare, ma policy più restrittive che sono state negoziate apposta con Mozilla. Cito in blocco, visto che penso possa essere funzionale alla discussione: | As part of its agreement with Firefox, Cloudflare has agreed to | collect only a limited amount of data about the DNS requests that | are sent to the Cloudflare Resolver for Firefox via the Firefox | browser. Cloudflare will collect only the following information | from Firefox users: | | - Timestamp | - IP Version (IPv4 vs IPv6) | - Resolver IP address + Port the Query Originated From | - Protocol (TCP, UDP, TLS or HTTPS) | - Query Name | - Query Type | - Query Class | - Query Rd bit set | - Query Do bit set | - Query Size Query EDNS | - EDNS Version | - EDNS Payload | - EDNS Nsid | - Response Type (normal, timeout, blocked) | - Response Code | - Response Size | - Response Count | - Response Time in Milliseconds | - Response Cached | - DNSSEC Validation State (secure, insecure, bogus, indeterminate) | - Colo ID | - Server ID | | All of the above information will be stored briefly as part of | Cloudflare’s temporary logs, and then permanently deleted within 24 | hours of Cloudflare’s receipt of such information. In addition to | the above information, Cloudflare will also collect and store the | following information as part of its permanent logs. | | - Total number of requests processed by each Cloudflare | co-location facility | - Aggregate list of all domain names requested | - Samples of domain names queried along with the times of such queries | | Information stored in Cloudflare’s permanent logs will be anonymized | and may be held indefinitely by Cloudflare for its own internal | research and development purposes. Continua qui: https://developers.cloudflare.com/1.1.1.1/commitment-to-privacy/privacy-pol… > Parliamo di censura — ma qui mi viene voglia di parlare di > grandissimo fratello! Nel caso specifico di Cloudflare per Firefox non mi sembra, nel senso che i dati che si tiene Cloudflare sembrano pochi. Al netto del problema che sollevava Stefano Quintarelli (perché non permettere anche altri fornitori?), e che secondo me è sacrosanto, mi sembra che questo servizio di Firefox non abbia una brutta policy. Non so, forse è meglio usare Cloudflare via Firefox di configurare il DNS di Cloudflare come proprio resolver di sistema? > Internet e’ nata come una rete distribuita, e ora e’ diventata sempre > piu’ il dominio di 3/4 grandi aziende. Gestiscono il traffico, > controllano l’informazione, e ora, si impossessano anche del DNS. > Senza che alcuno possa fare alcun controllo. Questo mi sembra un ottimo spunto per un'altra (lunga e super interessante) discussione, anche se mi sembra di aver capito leggendo e approfondendo che questo DNS di Firefox non sia probabilmente uno degli aspetti peggiori della centralizzazione in atto. A presto, Simone

Sept. 9, 2018