September 2018 - nexa - server-nexa.polito.it

Re: [nexa] nexa Digest, Vol 112, Issue 32
by Marco Mellia Sept. 20, 2018

Sept. 20, 2018

Ciao Simone, Non c’e’ molto da indagare - e’ una cosa nota che Vodafone implementi il transparent DNS Proxy — ovvero tutto il traffico verso porta 53 viene mandato ai suoi server DNS, indipendentemente dal IP del server contattato. Basta una ricerca con google “Vodafone dns”. Tornando a DoH - dal punto di vista tecnico e’ una porcata immensa. Per di piu’, in opzione “opt-out” e’ una di quelle cose che farà impazzire gli amministratori di rete. Lato consumer, già vedo i forum pieni di “ho messo 8.8.8.8 come server dns, ma ancora non mi funziona con firefox”. Lato business, tutte le precauzioni che si usano in ambito corporate che fanno leva sul DNS improvvisamente non funzioneranno più, con bella pace della sicurezza e policy. Non oso immaginare che cosa succederà quando i DNS di clodflare non funzioneranno a dovere. Con buona pace del troubleshooting. Senza neanche citare i problemi per la magistratura quando dovrà indagare, o richiedere il blocco di qualche sito (che piaccia o no). Ultimo, dal punto di vista della privacy, mi chiedo perche’ google, cloudflare e altri siano così generosi da implementare ed offrire “gratis” un servizio DNS. Come sappiamo bene — se non paghi per un prodotto, il prodotto sei tu. Grazie al DNS, ora google sa anche quale shop online frequenti, quale sito porno preferisci, e se anche se usi duckduckgo come motore di ricerca. Per non parlare del potere che ha nel modificare a suo piacere quali server di quale CDN indirizzare il tuo traffico, e decidere se e quali servizi puoi accedere. Parliamo di censura — ma qui mi viene voglia di parlare di grandissimo fratello! Internet e’ nata come una rete distribuita, e ora e’ diventata sempre piu’ il dominio di 3/4 grandi aziende. Gestiscono il traffico, controllano l’informazione, e ora, si impossessano anche del DNS. Senza che alcuno possa fare alcun controllo. Un caro saluto M -- Marco Mellia - Associate Professor SmartData@PoliTO coordinator - https://smartdata.polito.it <https://smartdata.polito.it/> Dipartimento di Elettronica e Telecomunicazioni Politecnico di Torino Corso Duca Degli Abruzzi 24 10129 - Torino - IT Tel: +39-011-090-4173 Cel: +39-331-6714789 Skype: mgmellia Home page: http://www.tlc-networks.polito.it/mellia <http://www.tlc-networks.polito.it/mellia> > On 31 Aug 2018, at 17:16, nexa-request(a)server-nexa.polito.it wrote: > >> Se ho capito bene Vodafone risponde sempre a tutte le query DNS al posto >> del server che hai indicato tu: questo lo dimostri indicando dei server >> DNS inesistenti. >> E' così? >> > > Corretto! > > >> Come dire: il tuo server DNS di preferenza viene ignorato, e risponde >> sempre V? >> Se fosse così forse questo viola qualcosa di più di una manciata di RFC... >> > > Ha senso. La cosa che mi chiedevo e' se il pacchetto della richiesta arriva > davvero al server. Non trovandomi più nel posto con Vodafone dove mi > trovavo ieri (TM), ho avuto un po' di difficoltà nell'eseguire esperimenti. > > Nei limiti consentiti dal rompere le scatole ad altre persone, ho potuto > constatare che apparentemente la richiesta non arriva al server. > > Per investigare ho scritto un client DNS minimale ( > https://github.com/bassosimone/verrocchio <https://github.com/bassosimone/verrocchio>) che invia una richiesta DNS a un > server TopIX che usiamo per Neubot dove stavo eseguendo netcat su ' > 0.0.0.0:53/udp`. Eseguendo questo test dalla rete Wind in cui mi trovo, non > ho ricevuto ovviamente risposta e ho visto la query arrivare. Quando il mio > uomo con Vodafone (TM) ha eseguito questo test, non ho visto arrivare > richieste DNS sul server ma in compenso è arrivata una risposta corretta > lato client. > > Questa potrebbe essere una cosa interessante da misurare più su larga scala > con OONI quando torno dalle vacanze. > > Bye, > > Simone >

3 4

Fwd: Second edition of CEIPI’s Advanced Training Program on “Internet Platforms, GDPR and Intellectual Property”, 6-8 December 2018, Strasbourg: registration is open!
by GC F Sept. 20, 2018

Sept. 20, 2018

Cari tutti, le registrazioni alla nuova edizione del CEIPI Advanced Training su piattaforme internet, GDPR e proprietà intellettuale sono aperte. Le tre giornate di approfondimento si terranno a Strasburgo dal 6-8 Dicembre 2018. Quest'anno anche il nostro Marco Ricolfi è tra i docenti! Sarà una grande occasione per approfondire le prospettive di riforma europee in tema e discutere un'ampia gamma di questioni dal diritto d'autore, al diritto dei marchi, privacy, brevettabilità di technologie internet e online enforcement. Sotto trovate anche annuncio e programma. Informazioni dettagliate sono disponibili presso: http://www.ceipi.edu/en/news/piece-of-news/?tx_ttnews%5Btt_news%5D=10471&cH… Giancarlo *** [image: Poster (FINAL).jpg] Registration to the new edition of the CEIPI advanced training program on *Internet Platforms, GDPR and Intellectual Property*” is now open. The training program will take place in Strasbourg from *6 to 8 December 2018*. As a lawyer, entrepreneur, or policy maker working at the forefront of Internet and technology industry, you must know how web-based and mobile technologies can be protected, which obligations apply to access providers and communications platforms like Google, Twitter and Facebook, and whether and when they are liable for their users’ online activities. This training program will explore legal, policy and ethical issues facing online businesses and intermediaries from a national and international perspective and many other new issues. This training program would gather together media, creative economies, and high-tech professionals and entrepreneurs, lawyers, policy makers, judges, and students. For more detailed information regarding the training, please see the program here <http://www.ceipi.edu/fileadmin/upload/DUN/CEIPI/Documents/IP_Enforcement_an…> . For further information, please contact Ms. *Isabelle Mahoudeau* for administrative questions/registration imahoudeau(a)ceipi.edu or Mr. *Giancarlo Frosio* for questions related to the academic content of the program, gcfrosio(a)ceipi.edu*. * Best regards, CEIPI team

1 0

Proposte di workshop IGF Italia 2018
by Francesco Ruggiero Sept. 20, 2018

Sept. 20, 2018

Gentilissimi, vi segnaliamo che c’è tempo fino al* 30 settembre* per presentare una proposta di workshop sui temi e sulle policy Internet Governance da discutere nel corso di *IGF Italia 2018*, che avrà luogo a Roma il *6 e 7 novembre 2018* e sarà ospitato presso la sede LUISS in viale Romania 32. L’*IGF* è un processo globale, condotto sotto l’egida delle Nazioni Unite, che favorisce il confronto e il dibattito tra tutte le parti interessate permettendo di discutere, scambiare informazioni e condividere iniziative inerenti alla Governance di Internet. L’IGF si basa sui principi di trasparenza, apertura, inclusività e l’identificazione dei temi in agenda attraverso un “approccio dal basso”. Maggiori informazioni sono disponibili alla pagina: http://igfitalia2018.luiss.it/ Cordiali saluti, Francesco -- Francesco Ruggiero Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it mail: francesco.ruggiero(a)polito.it tel: 011 090 7219

1 0

Buttarelli sul Washington Post: Big tech is still violating your privacy
by Alberto Cammozzo Sept. 20, 2018

Sept. 20, 2018

Non mi pare questo articolo dell'EDPS sia passato in lista. Mi pare un avvertimento importante: sono in corso 30 indagini di violazioni GDPR, incluse quelle promosse da NOYB.eu Interessanti le prospettive di "de-concentrazione" del web. Lo accludo integralmente. <https://www.washingtonpost.com/news/theworldpost/wp/2018/08/14/gdpr> BRUSSELS — First came the scaremongering. Then came the strong-arming. After being contested in arguably the biggest lobbying exercise in the history of the European Union, the General Data Protection Regulation became fully applicable at the end of May. Since its passage, there have been great efforts at compliance, which regulators recognize. At the same time, unfortunately, consumers have felt nudged or bullied by companies into agreeing to business as usual. This would appear to violate the spirit, if not the letter, of the new law. The GDPR aims to redress the startling imbalance of power between big tech and the consumer, giving people more control over their data and making big companies accountable for what they do with it. It replaces the 1995 Data Protection Directive, which required national legislation in each of the 28 E.U. countries in order to be implemented. And it offers people and businesses a single rulebook for the biggest data privacy questions. Tech titans now have a single point of contact instead of 28. The new regulation, like the old directive, requires all personal data processing to be “lawful and fair.” To process data lawfully, companies need to identify the most appropriate basis for doing so. The most common method is to obtain the freely given and informed consent of the person to whom the data relates. A business can also have a “legitimate interest” to use data in the service of its aims as a business, as long as it doesn’t unduly impinge on the rights and interests of the individual. Take, for example, a pizza shop that processes your personal information, such as your home address, in order to deliver your order. It may be considered to have a legitimate interest to maintain your details for a reasonable period of time afterward in order to send you information about its services. It isn’t violating your rights, just pursing its business interests. What the pizza shop cannot do is then offer its clients’ data to the juice shop next door without going back and requesting consent. A third aspect of lawfully processing data pertains to contracts between a company and client. When you purchase an item online, for example, you enter into a contract. But in order for the business to fulfill that contract and send you your goods, you must offer credit card details and a delivery address. In this scenario, the business may also legitimately store your data, depending on the terms of that limited business-client relationship. But under the GDPR, a contract cannot be used to obtain consent. Some major companies seem to be relying on take-it-or-leave-it contracts to justify their sweeping data practices. Witness the hundreds of messages telling us we cannot continue to use a service unless we agree to the data use policy. We’ve all faced the pop-up window that gives us the option of clicking a brightly colored button to simply accept the terms, with the “manage settings” or “read more” section often greyed-out. One of the big questions is the extent to which a company can justify collecting and using massive amounts of information in order to offer a “free” service. Under E.U. law, a contractual term may be unfair if it “causes a significant imbalance in the parties’ rights and obligations arising under the contract that are to the detriment of the consumer.” The E.U. is seeking to prevent people from being cajoled into “consenting” to unfair contracts and accepting surveillance in exchange for a service. What’s more, a company is generally prohibited to process, without the “explicit consent” of the individual, sensitive types of information that may reveal race or political, religious, genetic and biometric data. Indeed, regulators are being asked to determine whether disclosing so much data is even necessary for the provision of services — whether it is ecommerce, search or social media. One key principle to remember is that asking for an individual’s consent should be regarded as an unusual request, given that asking for consent often signals that a party wants to do something with personal data that the individual may not be comfortable with or might not reasonably expect. Thus, it should be a duty of customer care for a company to check back with users or patrons honestly, transparently and respectfully. As the Facebook/Cambridge Analytica scandal revealed, allowing an outside company to collect personal data was not the type of service that users would have reasonably expected. Clearly, abuse has become the norm. The aim of the EU data protection agency that I lead is to stop it. Independent E.U. enforcement authorities — at least one in each E.U. member state — are already investigating 30 cases of such alleged violations, including those lodged by the activist group NOYB (“none of your business”). The public will see the first results before the end of the year. Regulators will use the full range of their enforcement powers to address abuses, including issuing fines. The GDPR is not perfect, but it passed into law with an extraordinary consensus across the political spectrum, belying the increasingly fractious politics of our times. As of June, there were 126 countries around the world with modern data protection laws broadly modeled on the European approach. This month, Brazil is next. And it will the biggest country to date to adopt such laws. It is likely to be followed by Pakistan and India, both of which recently published draft laws. But if the latest effort is a reliable precedent, data protection reform comes around every two decades or so — several lifetimes in terms of the pace of technological change. We still need to finish the job with the ePrivacy Regulation still under negotiation, which would stop companies snooping on private communications and require — again — genuine consent to use metadata about who you talk to as well as when and where. I am nevertheless already thinking about the post-GDPR future: a manifesto for the effective de-bureaucratizing and safeguarding of peoples’ digital selves. It would include a consensus among developers, companies and governments on the ethics of the underlying decisions in the application of digital technology. Devices and programming would be geared by default to safeguard people’s privacy and freedom. Today’s overcentralized Internet would be de-concentrated, as advocated by Tim Berners-Lee, who first invented the Internet, with a fairer allocation of the digital dividend and with the control of information handed back to individuals from big tech and the state. This is a long-term project. But nothing could be more urgent as the digital world develops ever more rapidly.

1 0

EU opens probe into Amazon use of data about merchants
by Luigi Scorca Sept. 19, 2018

Sept. 19, 2018

https://amp.ft.com/content/a8c78888-bc0f-11e8-8274-55b72926558f

1 0

JavaScript e il Web (was: copyright and patent)
by Giacomo Tesio Sept. 19, 2018

Sept. 19, 2018

Il giorno 19 settembre 2018 12:20, Stefano Zacchiroli <zack(a)upsilon.cc> ha scritto: > On Wed, Sep 19, 2018 at 12:17:08PM +0200, Giacomo Tesio wrote: > > 4) rinunciare all'utilizzo della stragrande maggioranza del Web (non > perché > > JS sia tcnicamente necessario... solo perché altrimenti nessun business > > model basato sulla raccolta capillare di dati su di te funzionerebbe) > > Perdonami, ma questo mi sembra veramente uno strawman. JavaScript è > certamente usato anche per surveillance, ma.... > Temo di non poter essere d'accordo. Non voglio annoiare la lista con temi già trattati per cui ti fornisco alcuni link ai thread dove ho descritto i problemi legali e di sicurezza informatica posti da JavaScript. http://server-nexa.polito.it/pipermail/nexa/2018-September/013712.html http://server-nexa.polito.it/pipermail/nexa/2018-August/013645.html Qui i link diretti agli exploit che abbiamo pubblicato fin ora: https://rain-1.github.io/in-browser-localhostdiscovery https://dev.to/shamar/the-meltdown-of-the-web-4p1m Qui il bug report per Mozilla (con descrizione di altri attacchi alla portata di grandi e piccini, link al bug report per Chromium e pure semplici suggerimenti per ridurre enormemente la superficie di attacco): https://bugzilla.mozilla.org/show_bug.cgi?id=1487081 1) si fa surveillance anche senza JavaScript; Vero. Ma senza JS non entri dentro le reti aziendali (o ospedaliere, o militari o...) attraverso il browser e senza lasciare tracce. E non puoi con un semplice timing attack alla cache, scoprire se sotto elezioni un cittadino ha visitato un certo sito. (immagina ad esempio quello delle forze dell'ordine, per denunciare minacce o tentativi di voto di scambio) E senza JS, il caching riduce notevolmente la precisione della profilatura perché molte interazioni non arrivano al server. (precisione nella profilatura che invece HTTPS aumenta... ma questa è un'altra storia) > 2) JavaScript aumenta veramente la qualità della UX > Web, per questo ha vinto in termini di adozione No. Programmo in JavaScript da circa 20 anni (credo fosse in voga Netscape Navigator 3.0 quando ho iniziato). Credo di parlare con cognizione di causa. Almeno il 95% delle pagine web non necessitano di un linguaggio Turing complete per erogare la medesima UX. Per queste, la stessa UX potrebbe essere realizzata attraverso l'uso di un markup dichiarativo migliore e fogli di stile appropriati. Avremmo qualche XMLNS da gestire in più, con attributi semantici, e tag come <TREE> o <ADVERTISEMENT>; alcuni tag verrebbero estesi (pensa ad esempio a <VIDEO>). Avremmo anche CSS più potenti, ed un sistema tipografico serio. Ma l'usabilità del 95% dei siti non cambierebbe affatto. Anzi, migliorerebbe. Download più rapidi e sempre paralleli. E rendering più rapido. Il restante 5% non sono pagine web, ma UI di applicazioni distribuite: giochi 3D, fogli di calcolo, word processor, CAD... c'è di tutto. Utilizzano JS per spostare una parte importante della elaborazione sul client. In pratica sopperiscono alle carenze di sistemi operativi primitivi (Windows, Linux, BSD, Android... la lista è lunga) che non forniscono astrazioni adatte alle possibilità offerte dalle reti moderne. E, mentre che ci sono, approfittano del fatto di essere eseguiti ciecamente dagli utenti, per raccogliere dati personali. Non molti comprendono veramente QUANTI dati personali. Hai mai giocato ad un casual game gratuito sul browser? Comodo no? Non devi neanche installarlo o rimuoverlo! In cambio hai solo ceduto preziosissime informazioni mediche relative a diverse patologie della vista cui sei o non sei soggetto. E quando effettui lo zoom su un articolo che stai leggendo? Confrontando lo zoom con la dimensione del tuo schermo, il device ed un paio di altri parametri che posso ottenere via JS, un software dedicato può stabilire quante diottrie ti mancano. Ha vinto in termini di adozione perché il WHATWG è riuscito ad imporlo. Ora guarda la nazionalità delle organizzazioni che costituiscono il WHATWG. E dei maggiori fornitori di hosting su cloud. E dei maggiori fornitori di CDN. Hai ragione JS è usato ANCHE per la surveillance. Infatti è ANZITUTTO un pericoloso veicolo di attacchi mirati a persone, aziende ed istituzioni. Perché come personalizzi una pubblicità puoi personalizzare il JS. E grazie agli header di cache control puoi rimuovere le tracce. Sei proprio sicuro che questo sia solo uno straw man? Giacomo

2 2

Re: [nexa] copyright and patent
by Stefano Campus Sept. 19, 2018

Sept. 19, 2018

buongiorno, mi permetto di segnalare che ai contenuti pubblicati su Youtube è possibile assegnare la licenza CC BY, purchè ovviamente i contenuti siano originali. di seguito, quanto dichiarato nella guida di youtube stefano campus ---------------------- Creative Commons Le licenze Creative Commons <https://creativecommons.org/> offrono agli autori di contenuti un modo standardizzato per autorizzare terze persone a utilizzare le loro opere. YouTube consente agli utenti di contrassegnare i loro video con una licenza Creative Commons CC BY <https://creativecommons.org/licenses/by/3.0/legalcode>. Se hai contrassegnato il tuo video con una licenza CC BY, tu mantieni il copyright e gli altri utenti possono riutilizzare la tua opera in base ai termini della licenza. Creative Commons su YouTube La possibilità di contrassegnare i video caricati con una licenza Creative Commons è concessa a tutti gli utenti. La licenza YouTube standard rimane l'impostazione predefinita per tutti i video caricati. Per esaminare i termini della licenza standard di YouTube, consulta i nostri Termini di servizio <https://www.youtube.com/static?template=terms>. Poiché le licenze Creative Commons sono destinate ai contenuti originali, non puoi contrassegnare il tuo video con la licenza Creative Commons se presenta una rivendicazione di Content ID <https://support.google.com/youtube/answer/6013276>. Se contrassegni il tuo video originale con una licenza Creative Commons, concedi all'intera community di YouTube il diritto di riutilizzare e modificare il video. > Today's Topics: > > > > Message: 2 > Date: Tue, 18 Sep 2018 12:51:56 +0200 > From: "armeo(a)mail.nexacenter.org" <meo(a)polito.it> > To: nexa(a)server-nexa.polito.it > Subject: Re: [nexa] R: copyright and patent. La proposta Cortiana. > Message-ID: <3fc23843-367f-5683-d8ba-7019736d9736(a)polito.it> > Content-Type: text/plain; charset=utf-8; format=flowed > > [...] > > Un esempio: quasi tutti i miei colleghi mettono le loro conferenze e i > loro "learning objects" su Youtube e così arricchiscono Google (che ha > un valore di mercato dell'ordine dell'intero prodotto lordo del nostro > Paese) e sopratutto non consentono ai loro colleghi di utilizzare quel > materiale didattico nelle nostre scuole e nelle nostre università. A > quei colleghi spiego che se mi danno quel materiale lo metto > nell'archivio di "fare.polito.it" dove è molto più facile, in virtù > delle dimensioni, trovare il materiale cercato e sopratutto si può > utilizzare tutto liberamente. Ma i miei colleghi mi guardano con > commisserazione e affermano che sono "il solito fanatico estremista". E > ovviamente i ministri competenti non mi rispondono neppure. > > Raf > [...] >

4 3

Germany's new Digital Council
by J.C. DE MARTIN Sept. 18, 2018

Sept. 18, 2018

https://www.bundeskanzlerin.de/Content/EN/Artikel/2018/08_en/2018-08-22-dig… *The faces behind the Digital Council* The Digital Council will in future advise the German government on the important matter of digitalisation. Its ten members come from the realms of academia, research and the private sector and bring with them a wide range of practical experience. With their help, the opportunities offered by digitalisation are to be harnessed for the people of Germany. The body of experts will be chaired by Katrin Suder. -------- Mentre noi passiamo il tempo a inseguire la provocazione du jour di questo o di quello, o a leggere delle cene (mancate o meno) dei potenti, il mondo va avanti. juan carlos

4 3

copyright and patent
by armeo＠mail.nexacenter.org Sept. 18, 2018

Sept. 18, 2018

carissimi, non entro nella complessa questione del copyright anche se vi lascio immaginare come la pensa uno che da decenni mette i suoi contributi in Rete assolutamente "liberi". (Vi rimando al sito "fare,polito.it" dove trovate molte centinaia di "learning objects free"). Ma sollevo una questione strettamente collegata: la questione del brevetto. Qualunque nuovo prodotto è frutto di fantastiliardi di innovazioni precedenti e non è possibile quantizzare l'importanza di una nuova idea. Inoltre, i brevetti depositati ogni anno sono milioni, per cui gli uffici brevetti approvano sempre qualunque proposta, con preferenza per le proposte delle aziende più importanti. Provate a fare una ricerca con parole chiave "patent" e "toilet". Infine, una causa brevettuale costa più di un milione di dollari al giorno, per cui nessuna inpresa piccola o media la può affrontare. Quindi i l'istituzione del brevetto favorisce le imprese più ricche e i sistemi paese più potenti con grave danno per il nostro Paese. Morale (nella speranza di salvarmi dal rogo degli eresiarchi): _l'istituto del brevetto deve essere abolito._ Raf

6 14

direttiva copyright
by Carlo Melzi d'Eril Sept. 17, 2018

Sept. 17, 2018

Carissimi, mi permetto di segnalare un breve intervento uscito ieri sul Sole 24 Ore. http://www.ilsole24ore.com/art/mondo/2018-09-13/la-buona-informazione-che-g… Buona giornata a tutti avv. Carlo Melzi d'Eril ACCMS STUDIO LEGALE via Podgora 13 20122 Milano t. +39 02 54107715 f. +39 02 54114827 carlo.melzi(a)accms.it carlo.melzideril(a)cert.ordineavvocatimilano.it …………………………………………………………………………………………………………………… Nota di riservatezza : Il presente messaggio e gli eventuali allegati contengono informazioni strettamente riservate. Esso è riservato esclusivamente al destinatario sopra indicato, il quale è l'unico autorizzato ad usarlo, copiarlo e, sotto la propria responsabilità, diffonderlo. Si segnala, a chiunque ricevesse questo messaggio per errore o comunque ne avesse conoscenza senza averne titolo, che trattenerlo o divulgarlo a persone diverse dal destinatario è proibito. Grazie.

11 23