January 2020 - nexa - server-nexa.polito.it

Facebook privacy issue settled for $550 million - Vox

by Alberto Cammozzo

<https://www.vox.com/recode/2020/1/30/21115260/facebook-facial-recognition-s…> Facebook has agreed to pay a $550 million settlement over its use of facial recognition technology nearly a decade ago. This comes just days after a relatively unknown startup selling facial recognition systems to police departments caught the attention of Congress. It seems, after years of civil liberties advocates worrying, facial recognition technology is more powerful and more prevalent than ever. Neither a mammoth new settlement nor the piecemeal legislation nationwide seem suited to stop the takeover. As it announced in the company’s quarterly earnings report on Wednesday, Facebook will shell out half a billion dollars to settle a 2015 class action lawsuit over its facial recognition software that suggested tags for people it identified in users’ photos. What may have been a helpful feature for some also happened to be a possible violation of Illinois’ 2008 Biometric Information Privacy Act. The law — which happens to be the strongest biometric privacy law in the country — said that businesses must get permission before collecting biometric data. That essentially includes anything on your body that could be used to uniquely identify you, including scans of fingerprints, eyes, and faces. The class action suit claimed that Facebook’s photo-tagging feature, which it rolled out in 2010, did not do this. Facebook claimed for years that it did nothing wrong. But after an attempt to throw the suit out was rejected by a federal appeals court in August 2019, Facebook discontinued the photo tag suggestions tool. Facebook’s appeal to the US Supreme Court was denied last week. Rather than risk a civil trial and a potential billion-dollar judgment, Facebook decided a $550 million settlement (which still has to be approved by a judge) was its best bet. “We decided to pursue a settlement as it was in the best interest of our community and our shareholders to move past this matter,” a Facebook spokesperson told Recode. Half a billion dollars is an incredible sum, but that quantity of money might amount to a mere inconvenience for Facebook. Given the company’s $21 billion revenue in its most recent quarterly earnings release, $550 million is pocket change. If, as our Peter Kafka has argued, the recent $5 billion fine from the Federal Trade Commission (FTC) for privacy failures won’t fundamentally change Facebook’s business model, a settlement worth a tenth of that won’t make a dent, either. Of course, there are many other companies with much less money than Facebook doing much more with facial recognition technology. Clearview AI, as the New York Times and BuzzFeed News recently reported, claims to have scraped billions of photos from across the internet in order to build facial recognition technology that law enforcement agencies could use to identify suspected criminals. While Clearview claims to be working with dozens of police departments across the United States, the extent to which its technology is actually being used to fight crime remains unclear. Nevertheless, the company has brazenly pushed facial recognition technology out into the open in a way that bigger tech companies like Facebook have so far eschewed. As a result, Clearview is facing its own class action lawsuit in Illinois, questions from a senator, and cease-and-desist letters from both Twitter and New Jersey’s attorney general. However, it’s naive to assume that new, more aggressive forms of facial recognition technology will go away. China, Russia, and the United Kingdom use facial recognition for law enforcement on a massive scale. Just this week, Moscow rolled out a facial recognition system that’s been described as the world’s largest. A recent Recode investigation showed that the use of facial recognition technology is also increasingly prevalent in the United States. It’s not just used to find suspected criminals and friends. Google and Amazon have their own facial recognition initiatives, and the technology has also been used for better, for worse, and for weird in recruiting, for unlocking phones, in dating apps, in retail, to get on trains, to find investors for your facial recognition company (a sort of facial recognition-ception), and for keeping track of pigs. This is despite public concerns over its implementation (as the reaction to Clearview AI shows) and data that shows it doesn’t work as well on non-white faces. For what it’s worth, lawmakers are trying to regulate the use of facial recognition tech. Canada and the European Union have restrictions; in the United States, federal legislation has been proposed. In the absence of federal legislation, states like Texas and Illinois have issued bans on facial recognition. Many other states have considered similar laws, and several cities including San Francisco and Oakland outlaw its use by the government. Evan Selinger, a professor of philosophy at the Rochester Institute of Technology who has written extensively about the dangers of facial recognition technology and has advocated for its ban, thinks such regulations are possible. “The conversation has changed dramatically and political will is growing to stop the most dangerous surveillance technology ever invented,” Selinger told Recode. “Given the paper-thin divide between industry and the government and exposés like the one on Clearview, it is entirely possible that companies like Facebook will wind up restricted by bans, too.” While Facebook did end the tag suggestions tool at the center of the class action lawsuit, the company didn’t stop its use facial recognition. In 2017, it introduced a new “Face Recognition” feature with “the same technology we’ve used to suggest friends you may want to tag in photos or videos.” That tool replaced the beleaguered tag suggestions feature entirely two years later. At this point, Facebook has been using facial recognition on our photos for almost a decade. Perhaps Selinger’s optimism is not misplaced. Or perhaps, in spite of Facebook’s very large but relatively insignificant fine, halting facial recognition’s use in the public or private sector is tantamount to putting the horse back in the barn (although facial recognition could probably make it easier to locate said horse).

Jan. 31, 2020

Bando Intelligenza Artificiale, uomo e società

by don Luca Peyron

La Compagnia di San Paolo promuove il bando “Intelligenza Artificiale, uomo e società” con l’obiettivo di sostenere progetti di ricerca innovativi finalizzati all’avanzamento della conoscenza scientifica nell’ambito dell’intelligenza artificiale e con una ricaduta concreta sul territorio in termini economici e sociali. La rapida crescita delle tecnologie e soluzioni basate sull’Intelligenza Artificiale e/o Machine Learning (AI), dell’Internet delle cose (IoT) e dei relativi metodi per la valorizzazione dei dati rappresentano un’opportunità per l’uomo e la società. Promettono infatti di modificare in profondità le modalità di lavoro, d’istruzione, di gestione delle attività economiche e culturali, di relazione personale e sociale. Il bando intende indagare tali opportunità in tre ambiti di particolare interesse per la Fondazione e il territorio: *• Educazione e Formazione;* *• Industria;* *• Arte e Cultura.* I progetti dovranno mostrarsi in grado di sviluppare analisi e testare sul territorio soluzioni innovative, integrare e soddisfare bisogni, dati/competenze dei tre ambiti suddetti e al contempo favorire la collaborazione tra università, enti di ricerca, imprese e terzo settore. Soldini spesi bene, sperabilmente! Buon bando dl https://www.compagniadisanpaolo.it/ita/Bandi-e-scadenze/Bando-Intelligenza-… _________________________ www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Jan. 31, 2020

UK Bus Open Data Service goes live

by Antonio Vetro'

Mi sembra un servizio utile alla collettività: https://www.intelligenttransport.com/transport-news/95269/uk-bus-open-data-… av

Jan. 31, 2020

How Sustainable is a Solar Powered Website? - LOW-TECH MAGAZINE

by Alberto Cammozzo

Conti non banali... <https://www.lowtechmagazine.com/2020/01/how-sustainable-is-a-solar-powered-…> Our self-hosted, solar-powered, off-grid website has been running for 15 months now. In this article, we present its energy and uptime data, and calculate the embodied energy of our configuration. Based on these results, we consider the optimal balance between sustainability and server uptime, and outline possible improvements. Introduction In September 2018, Low-tech Magazine launched a new website that aimed to radically reduce the energy use and carbon emissions associated with accessing its content. Internet energy use is growing quickly on account of both increasing bit rates (online content gets “heavier”) and increased time spent online (especially since the arrival of mobile computing and wireless internet). The solar powered website bucks against these trends. To drop energy use far below that of the average website, we opted for a back-to-basics web design, using a static website instead of a database driven content management system. To reduce the energy use associated with the production of the solar panel and the battery, we chose a minimal set-up and accepted that the website goes off-line when the weather is bad. We have been monitoring the solar powered server for 15 months now, and we have collected data on uptime, energy use, power use, system efficiency, and visitor traffic. We also calculated how much energy was required to make the solar panel, the battery, the charge controller and the server. Uptime, Electricity Use & System Efficiency The solar powered website goes off-line when the weather is bad – but how often does that happen? For a period of about one year (351 days, from 12 December 2018 to 28 November 2019), we achieved an uptime of 95.26%. This means that we were off-line due to bad weather for 399 hours. If we ignore the last two months, our uptime was 98.2%, with a downtime of only 152 hours. Uptime plummeted to 80% during the last two months, when a software upgrade increased the energy use of the server. This knocked the website off-line for at least a few hours every night. One kilowatt-hour of solar generated electricity can serve almost 50,000 unique visitors Let’s have a look at the electricity used by our web server (the “operational” energy use). We have measurements from the server and from the solar charge controller. Comparing both values reveals the inefficiencies in the system. Over a period of roughly one year (from 3 December 2018 to 24 November 2019), the electricity use of our server was 9.53 kilowatt-hours (kWh). We measured significant losses in the solar PV system due to voltage conversions and charge/discharge losses in the battery. The solar charge controller showed a yearly electricity use of 18.10 kWh, meaning that system efficiency was roughly 50%. During the period under study, the solar powered website received 865,000 unique visitors. Including all energy losses in the solar set-up, electricity use per unique visitor is then 0.021 watt-hour. One kilowatt-hour of solar generated electricity can thus serve almost 50,000 unique visitors, and one watt-hour of electricity can serve roughly 50 unique visitors. This is all renewable energy and as such there are no direct associated carbon emissions. Embodied Energy Use & Uptime The story often ends here when renewable energy is presented as a solution for the growing energy use of the internet. When researchers examine the energy use of data centers, which host the content that is accessible on the internet, they never take into account the energy that is required to build and maintain the infrastructure that powers those data centers. There is no such omission with a self-hosted website powered by an off-the-grid solar PV installation. The solar panel, the battery, and the solar charge controller are equally essential parts of the installation as the server itself. Consequently, energy use for the mining of the resources and the manufacture of these components – the “embodied energy” – must also be taken into account. [...]

Jan. 30, 2020

Re: [nexa] [CDT] SIM scam e sicurezza del conto bancario: 2FA dei miei stivali.

by Alberto Cammozzo

Mi chiedo: questo problema può investire anche SPID L2? Dopo le vulnerabilità con IMSI catchers e SS7 non ci si può più affidare alla sicurezza di canali come le reti GSM, pensate negli anni '80 in un contesto di fiducia e affidabilità tra operatori e le cui "features" sono scivolate a quanto pare fino al 5G (parlatemi di path-dependency!) In Italia le bache potrebbero sfruttare SPID come uno dei fattori: voi usereste SPID (magari se fosse attivo quello di livello 3, con smartcard ad esempio) come uno dei fattori per accedere al vostro conto bancario? Ma le soluzioni interoperabili non sono molto apprezzate oggi: se dovessi indovinare quali saranno le soluzioni che il mercato "sceglierà", punterei su biometria (le impronte digitali, quelle clonabili e abbondantemente presenti sullo schermo dello smartphone), sorveglianza ambientale (microfoni del cellulare e del laptop devono essere nello stesso ambiente), georeferenziazione dei fattori multipli... Ciao, Alberto On 30/01/2020 12:53, Giovanni Biscuolo wrote: > Buongiorno nexiani, > > dovreste avvisare tutti coloro a cui volete bene che il giorno in cui il > loro telefono dovesse perdere completamente la linea (anche dopo un paio > di riavvii) allora è il caso che si precipitino in banca a bloccare > l'accesso al conto. > > Leggendo questo articolo «Truffa sim swap, “così attraverso il numero di > telefono ci hanno svuotato il conto”. I rischi nascosti nelle nuove > procedure di sicurezza» [1] ho scoperto questa tecnica [2]: > https://en.wikipedia.org/wiki/SIM_swap_scam > > --8<---------------cut here---------------start------------->8--- > The fraud exploits a mobile phone service provider’s ability to > seamlessly port a telephone number to a device containing a different > subscriber identity module (SIM). > > [...] > > Once this happens the victim's phone will lose connection to the network > and the fraudster will receive all the SMS and voice calls intended for > the victim. This allows the fraudster to intercept any one-time > passwords sent via text or telephone calls sent to the victim, and thus > to circumvent any security features of accounts (be they bank accounts, > social media accounts, etc.) that rely on text messages or telephone > calls. > > --8<---------------cut here---------------end--------------->8--- > > L'articolo citato all'inizio dice sostanzialmente che alcuni cittadini > italiani si sono trovati il conto svuotato da chi ha usato la tecnica > sopra: > > --8<---------------cut here---------------start------------->8--- > > Una volta individuata la vittima si procede all’acquisizione delle > credenziali di home banking tramite tecniche di hacking. > > [...] > > La pericolosità di questa truffa sta nel superamento del secondo fattore > di autenticazione, di recente legato al numero di telefono: “Il > cellulare viene identificato con la sim e chi ne entra fisicamente in > possesso ha un grande vantaggio” > > [...] > > Negli Stati Uniti, dove questa truffa è molto diffusa già da qualche > anno, i clienti che si sentono a rischio possono chiedere al proprio > operatore di non rilasciare duplicati della sim in centri servizi > standard. Questo passaggio è scomodo quando capita di perdere per > davvero la sim, ma forse è il momento di rivalutarlo vista la crescita > di questo tipo di truffe. > > [...] > > Il punto di partenza rimane in ogni caso il furto delle credenziali di > home banking, che nella grande maggioranza dei casi avviene tramite il > cosiddetto phishing > > [...] > > E poi è fondamentale aggiornare il sistema operativo dei dispositivi cui > cui operiamo: molti attacchi avvengono tramite l’installazione di > malware sul pc, e questo spesso accade perché non abbiamo aggiornato il > sistema operativo e i browser con cui navighiamo > > --8<---------------cut here---------------end--------------->8--- > > Secondo me cambia proprio poco se il 2FA è gestito via SMS o via app: > chi ha le credenziali di accesso primarie ci mette 15 secondi ad > associare la propria app al conto, che si tratti di app proprietarie o > libere (FreeOTP) non fa la differenza... > > ...ma, ma, ma: nel caso l'utente utilizzi app proprietarie 2FA sul > proprio smartphone e queste app lo hanno costretto a inserire le > credenziali primarie per poter attivare l'app (AFAIU il 98% delle app > proprietarie distribuite dalle banche) allora la superficie di attacco a > disposizione dei truffatori aumenta **esponenzialmente** > > Aver introdotto il 2FA e aver consentito che fosse gestito in questo > modo ha reso più complicata la vita agli utenti e dato un solo po' di > fastidio ai truffatori che ora sono costretti a usare un pochino di > risorse in più per ottenere lo scopo. > > Io continuo a credere che l'unico modo serio per proteggersi da questo > tipo di truffe sia essere in grado di proteggere veramente le proprie > credenziali primarie *ma* questo implica che i dispositivi sui quali le > memorizziamo siano davvero sicuri (io comincierei dal sistema operativo, > poi per l'hardware vedremo... tipo https://betrusted.io/) > > Il 2FA andrebbe anche bene se chi lo offre fosse _costretto_ ad > accettare che i clienti possano utilizzare qualsiasi app loro desiderino > senza essere costretti a usare la app specifica (in genere proprietaria). > > Giusto per capirci, anche io uso 2FA via FreeOTP [3] - per esempio per > l'accesso web a servizi quali per esempio https://gitlab.com un servizio > per pubblicare repository git - mentre la mia banca vorrebbe > costringermi ad installare la propria app, la quale per l'attivazione mi > chiede di inserire i codici di autenticazione primaria... ho risposto > loro che sono fuori di testa, preferisco pagare extra per avere i codici > via SMS :-O > > Perché il PSD2 non obbliga chi eroga i servizi 2FA a dare accesso > attraverso uno degli standard disponibili?!? > > Come se non bastasse, quando sono costretto a chiamare un operatore > telefonicamente il sistema automatico mi chiede di inserire codice > utente e **password** attraverso DTMF [4] (il tastierino che invia i > numeri coi toni), prima di procedere... al che lo faccio solo quando > sono disperato perché così mi tocca modificare la password dopo *ogni* > chiamata... mi piacerebbe scambiare due paroline con coloro che hanno > redatto il PSD2 :-@ > > L'ufficio complicazioni inutili degli affari complessi è sempre molto > indaffarato. > > Se qualcuno trovasse una falla nel mio ragionamento sarei molto lieto di > ascoltare :-) > > > > Saluti, Giovanni > > > > [1] https://www.ilfattoquotidiano.it/2020/01/30/truffa-sim-swap-cosi-attraverso… > > [2] l'avevo sempre immaginata possibile ma non sapevo fosse > effettivamente documentata... beata ignoranza! > > [3] https://f-droid.org/it/packages/org.fedorahosted.freeotp/ > > [4] intercettare le chiamate GSM è un gioco da ragazzi oggi > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Jan. 30, 2020

[CDT] SIM scam e sicurezza del conto bancario: 2FA dei miei stivali.

by Giovanni Biscuolo

Buongiorno nexiani, dovreste avvisare tutti coloro a cui volete bene che il giorno in cui il loro telefono dovesse perdere completamente la linea (anche dopo un paio di riavvii) allora è il caso che si precipitino in banca a bloccare l'accesso al conto. Leggendo questo articolo «Truffa sim swap, “così attraverso il numero di telefono ci hanno svuotato il conto”. I rischi nascosti nelle nuove procedure di sicurezza» [1] ho scoperto questa tecnica [2]: https://en.wikipedia.org/wiki/SIM_swap_scam --8<---------------cut here---------------start------------->8--- The fraud exploits a mobile phone service provider’s ability to seamlessly port a telephone number to a device containing a different subscriber identity module (SIM). [...] Once this happens the victim's phone will lose connection to the network and the fraudster will receive all the SMS and voice calls intended for the victim. This allows the fraudster to intercept any one-time passwords sent via text or telephone calls sent to the victim, and thus to circumvent any security features of accounts (be they bank accounts, social media accounts, etc.) that rely on text messages or telephone calls. --8<---------------cut here---------------end--------------->8--- L'articolo citato all'inizio dice sostanzialmente che alcuni cittadini italiani si sono trovati il conto svuotato da chi ha usato la tecnica sopra: --8<---------------cut here---------------start------------->8--- Una volta individuata la vittima si procede all’acquisizione delle credenziali di home banking tramite tecniche di hacking. [...] La pericolosità di questa truffa sta nel superamento del secondo fattore di autenticazione, di recente legato al numero di telefono: “Il cellulare viene identificato con la sim e chi ne entra fisicamente in possesso ha un grande vantaggio” [...] Negli Stati Uniti, dove questa truffa è molto diffusa già da qualche anno, i clienti che si sentono a rischio possono chiedere al proprio operatore di non rilasciare duplicati della sim in centri servizi standard. Questo passaggio è scomodo quando capita di perdere per davvero la sim, ma forse è il momento di rivalutarlo vista la crescita di questo tipo di truffe. [...] Il punto di partenza rimane in ogni caso il furto delle credenziali di home banking, che nella grande maggioranza dei casi avviene tramite il cosiddetto phishing [...] E poi è fondamentale aggiornare il sistema operativo dei dispositivi cui cui operiamo: molti attacchi avvengono tramite l’installazione di malware sul pc, e questo spesso accade perché non abbiamo aggiornato il sistema operativo e i browser con cui navighiamo --8<---------------cut here---------------end--------------->8--- Secondo me cambia proprio poco se il 2FA è gestito via SMS o via app: chi ha le credenziali di accesso primarie ci mette 15 secondi ad associare la propria app al conto, che si tratti di app proprietarie o libere (FreeOTP) non fa la differenza... ...ma, ma, ma: nel caso l'utente utilizzi app proprietarie 2FA sul proprio smartphone e queste app lo hanno costretto a inserire le credenziali primarie per poter attivare l'app (AFAIU il 98% delle app proprietarie distribuite dalle banche) allora la superficie di attacco a disposizione dei truffatori aumenta **esponenzialmente** Aver introdotto il 2FA e aver consentito che fosse gestito in questo modo ha reso più complicata la vita agli utenti e dato un solo po' di fastidio ai truffatori che ora sono costretti a usare un pochino di risorse in più per ottenere lo scopo. Io continuo a credere che l'unico modo serio per proteggersi da questo tipo di truffe sia essere in grado di proteggere veramente le proprie credenziali primarie *ma* questo implica che i dispositivi sui quali le memorizziamo siano davvero sicuri (io comincierei dal sistema operativo, poi per l'hardware vedremo... tipo https://betrusted.io/) Il 2FA andrebbe anche bene se chi lo offre fosse _costretto_ ad accettare che i clienti possano utilizzare qualsiasi app loro desiderino senza essere costretti a usare la app specifica (in genere proprietaria). Giusto per capirci, anche io uso 2FA via FreeOTP [3] - per esempio per l'accesso web a servizi quali per esempio https://gitlab.com un servizio per pubblicare repository git - mentre la mia banca vorrebbe costringermi ad installare la propria app, la quale per l'attivazione mi chiede di inserire i codici di autenticazione primaria... ho risposto loro che sono fuori di testa, preferisco pagare extra per avere i codici via SMS :-O Perché il PSD2 non obbliga chi eroga i servizi 2FA a dare accesso attraverso uno degli standard disponibili?!? Come se non bastasse, quando sono costretto a chiamare un operatore telefonicamente il sistema automatico mi chiede di inserire codice utente e **password** attraverso DTMF [4] (il tastierino che invia i numeri coi toni), prima di procedere... al che lo faccio solo quando sono disperato perché così mi tocca modificare la password dopo *ogni* chiamata... mi piacerebbe scambiare due paroline con coloro che hanno redatto il PSD2 :-@ L'ufficio complicazioni inutili degli affari complessi è sempre molto indaffarato. Se qualcuno trovasse una falla nel mio ragionamento sarei molto lieto di ascoltare :-) Saluti, Giovanni [1] https://www.ilfattoquotidiano.it/2020/01/30/truffa-sim-swap-cosi-attraverso… [2] l'avevo sempre immaginata possibile ma non sapevo fosse effettivamente documentata... beata ignoranza! [3] https://f-droid.org/it/packages/org.fedorahosted.freeotp/ [4] intercettare le chiamate GSM è un gioco da ragazzi oggi -- Giovanni Biscuolo Xelera IT Infrastructures

Jan. 30, 2020

Facial Recognition Is Only the Beginning

by don Luca Peyron

Those actors have the power to make society *believe* in the value of the technology and the understandings of the world it generates, while at the same time building and selling the systems and apparatuses for that tracking, measurement, and computational analysis. Solo allarmismo o lucida analisi? Buona lettura dl https://www.publicbooks.org/facial-recognition-is-only-the-beginning/ _________________________ www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Jan. 30, 2020

A Global System of Work, A Global System of Regulation?: Crowdwork and Conflicts of Law by Miriam A. Cherry :: SSRN

by J.C. DE MARTIN

A Global System of Work, A Global System of Regulation?: Crowdwork and Conflicts of Law Tulane Law Review, Vol. 94, 2019 Saint Louis University School of Law Legal Studies Research Paper No. 2019-11 63 Pages Posted: 23 Jan 2020 Last revised: 26 Jan 2020 Miriam A. Cherry Saint Louis University - School of Law Abstract On-demand platforms are changing and reshaping our conceptions of both the firm and the work relationship in far-reaching and critical ways, allowing companies to hire workers and to seek customers across national boundaries. Confronted with low pay, wage theft, and other problematic working conditions, gig workers around the world have turned to the courts, attempting to invoke the protections of traditional labor and employment law. While some commentators believe existing forms of labor and employment regulations can stretch to cover on-demand work, others have called for new legal initiatives specifically crafted for online platforms. The goal of this paper is to provide a global framework for thinking about the on-demand business model and these assorted conflicts of law and jurisdictional issues. The Maritime Labor Convention is discussed as an analogous regulatory scheme. Throughout, the paper emphasizes the need for further coordinated multilateral study, discussion, and regulatory action to assist both crowdworkers and businesses as they navigate the on-demand model of production. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3523303 (Sent from my wireless device; please excuse brevity and typos (if any))

Jan. 29, 2020

Hunting UEFI Implants

by Giacomo Tesio

Lettura interessante dal punto di vista tecnico e politico. https://blogs.gnome.org/hughsie/2020/01/27/hunting-uefi-implants/ Di seguito ometto i passaggi più tecnici, per riportare le considerazioni che credo possano essere interessanti per Nexa. Ovviamente, la soluzione proposta non può funzionare. E incrementerebbe il potere delle poche aziende "affidabili" (tutte rigorosamente USA). E' dunque probabile che verrà accolta con entusiasmo dal mercato. Giacomo ____ My fellow students were a mixture of security professionals and employees from various government departments from all over the world. We talked, a lot. My personal conclusion quite simply is that we’re failing as an industry. In the pursuit to reduce S3 resume time from 2s to 0.5s we introduce issues like the S3 bootscript vulnerability. With the goal to boot as quickly as possible, we only check the bare minimum certificate chain allowing additional malicious DXEs to be added to an image. OEMs are choosing inexpensive EC hardware from sketchy vendors that are acting as root of trust and also emulating hardware designed 30 years ago, whilst sharing the system SPI chip. By trying to re-use existing power management primitives like SMM as a security boundary the leaky abstractions fail us. Each layer in the security stack is assuming that the lower below it is implemented correctly, and so all it takes is one driver with SMM or CSME access to not check a memory address in a struct correctly and everything on top (e.g. BootGuard, ALSR, SELinux, etc) is broken. Coreboot isn’t the panacea here either as to get that to run you need to turn off various protections [...] Worst still, if you allow your “assumed secure” laptop out of sight then all bets are off with security. About a quarter of people at the UEFI training had their “travel laptop” tampered with at some point – with screws missing after “customs inspections” or with tamper seals broken after leaving a laptop in a hotel room. You really don’t need to remove the screws to image a hard drive these days. But, lets back away from the state-sponsored attacker back to reality for a minute. The brutal truth is that security costs money. [...] My proposal would be as follows: - SEC1: SecureBoot, BIOS_WE, BLE, SMM_BWP, and updates on the LVFS, with no existing detectable SMM issues (like ThinkPwn for example) - SEC2: PRx set correctly, if not using BootGuard or BIOSGuard, with PCR0 attestation data - SEC3: BootGuard enabled, with the EC controller requiring signed images - SEC4: Intel BIOSGuard or HP SureStart - SEC5: Hardware attestation like Apple T2 or Google Titan [...] Perhaps we could let the consumer vote with their wallet and make the ecosystem more secure.

Jan. 29, 2020

Lo stato d'animo di chi twitta

by don Luca Peyron

Buongiorno a tutti, segnalo un sito interessante: http://www.emojitracker.com/ il cui scopo è tracciare in tempo reale l'uso di emoticon su Twitter. Ridere fino alle lacrime pare sia il mood preferito dai nostri contemporanei. Buon tutto dl _________________________ www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Jan. 29, 2020