October 2020 - nexa - server-nexa.polito.it

Re: [nexa] Libreoffice e verifica validità della firma elettronica: una jungla?

by Roberto Resoli

Il 21/10/20 19:13, Giovanni Biscuolo ha scritto: > Ciao Roberto, > > grazie per la pazienza... grazie a te, sono molto interessato alla firma in LibO, anche perchè qualche anno fa ho dato una mano al mio amico Giuseppe Castagno per questo: https://joinup.ec.europa.eu/solution/oooxadessignit > Roberto Resoli <roberto(a)resolutions.it> writes: > > [...] > >> Mi sento un pochino chiamato in causa ;-) . > > He he :-D > > [...] > >> Qui serve un chiarimento: storicamente LibO (e OOo ancora prima quando i >> due non erano ancora progetti distinti) si è sempre appoggiato al >> sistema di gestione di Mozilla per accedere a chiavi e certificati, sia >> su file che su token crittografici PKCS11 (come smartcard e token usb). >> >> Quindi per gestire i token occorre avere installata anche una versione >> recente di Thunderbird o Firefox. Nelle opzioni di LibO (Sicurezza) è >> possibile anche scegliere il profilo utente specifico di Firefox o >> Thunderbird che ha configurati i certificati personali che servono. > > Hai fatto molto bene a chiarirlo, io avevo saltato a piè pari tutta la > spiegazione. > > Questo, se non mi sfugge qualcosa, significa anche che con LibO non è > possibile firmare senza avere installato Firefox o Thunderbird... uff. Sì, a quanto pare è ancora così, OpenOffice/LibreOffice dipende da Mozilla per le funzioni crittografiche. Nel progetto di cui sopra avevamo scelto di prescinderne completamente e gestire tutto nell'estensione. > [...] > >> Se si vuole firmare con valore massimo (firma qualificata) con i token >> disponibil qui in Italia è *indispensabile* usare la libreria >> proprietaria fornita a corredo con il token, > > Oh mamma, questa cosa la ignoravo completamente (dipende da una certa > allergia al burocratese). Spero solo di non dover mai usare una firma > qualficata e che per la mia vita burocratica mi basti una firma > semplice. > > Scusa se ne approfitto, ma qual'è la ratio che ha portato il legislatore > a differenziare tra "firma semplice" e "firma qualificata"? Siccome dal > punto di vista tecnico sempre di certificati X.509 si tratta, ho come > l'impressione che la distinzione sia puramente > burocratico-certificatoria: vorrei tanto essere smentito. Non direi. E' il grado diverso di forza probatoria, a sua volta dipendente sia dalle tecnologie utilizzate che dal soggetto che attesta l'identità del firmatario. La normativa in merito è raccolta principalmente nel regolamento europeo eIDAS[1], entrato in vigore nel 2016. All'Art.25, comma 2 (scusa il burocratese) si legge: 2. A qualified electronic signature shall have the equivalent legal effect of a handwritten signature. > Quindi immagino che anche con la prossima versione 3 di openssl in > grado di firmare CAdES non si potranno firmare documenti con firma > qualificata. Ovviamente il problema rimane, dove esista un vendor lock-in come quello italiano. > Ma questa cosa della libreria proprietaria è destinata a sparire o > dobbiamo subirla e basta? Ahimè, non avrei creduto di essere ancora qui a parlarne dopo ben più di 10 anni ... Se non ricordo male tutto nasce dalla normativa tecnica europea che prescriveva per gli SSCD (Secure Signature Creation Devices), termine per indicare i token di firma, un "secure path" e "secure channel" tra dispositivo e applicazione. Detto in soldoni, i due endpoint devono essere mutuamente identificati e il canale crittato. Come in TLS, insomma. Il modo più primitivo di fare questo è usare una chiave simmetrica e cifrare il traffico (Secure Messaging) con quella. Ovviamente la chiave deve essere presente da entrambi i lati. Dato che nessuno ha imposto che l'interoperabilità andasse garantita, il lock-in era lì pronto per essere usato. Notare che fin dall'inizio anche nelle specifiche tecniche europee esistevano tutti le indicazioni su come negoziare dinamicamente le chiavi, come si fa in TLS. Successivamente le specifiche (che prevedono Secure Messaging con negoziazione dinamica delle chiavi) si sono evolute in IAS-ECC (ECC sta per European Citizen Card), che ad esempio OpenSC supporta pienamente[2]. Per quanto ne so, nessun fornitore italiano supporta IAS-ECC per i dispositivi di firma, anche perchè nessuno gli l'ha chiesto. Dovrebbe essere IAS-ECC la nostra CIE, che però non ha certificati di firma a bordo. >> dato che da noi è invalsa l'abitudine di annegare chiavi simmetriche >> 3DES nel binario dell'applicazione per crittare il colloquio tra token >> e terminale (Secure Messaging). > > ...e a che pro? Per evitare un attacco MITM tra il token e il terminale? Esatto, nessuna ironia. > Ironia a parte: tu che ne pensi? Che dopo 15 anni siamo ancora qui a parlarne. >> Le implementazioni PKCS11 in sw libero >> (come la opensc-pkcs11 di OpenSC) funzionano solo parzialmente, >> permettendo di "vedere" le sole chiavi e certificati usabili per >> autenticazione (e non quelle per sottoscrizione). Queste chiavi non >> sono soggette in genere a Secure Messaging. > > In realtà le chiavi sono usabili non solo per autenticazione ma anche > per firma semplice, giusto? Diciamo di di sì, nulla vieta di farlo tecnicamente. La differenza tra le due coppie di chiavi è dovuta al fatto che si ritiene inopportuno per evitare attacchi crittografici utilizzare la stessa coppia di chiavi per la firma di documenti (Non Repudiation), e per quantità generate automaticamente (all'interno di un protocollo di comunicazione come TLS, ad esempio) (Digital Signature). Tra parentesi ho messo esattamente i due flag dell'attributo KeyUsage che distinguono i due certificati. Nella normativa tecnica italiana si prescriveva che le chiavi per firma riportassero nel certificato corrispondente l'attributo KeyUsage marcato critico con il solo flag "nonRepudiation". Non so se sia ancora così. > [...] > >> Le CA reperibili a questa pagina: "Infocert Servizi di Certificazione >> ..." sono relative alle chiavi e certificati di Autenticazione, quindi >> non a quelle di Sottoscrizione "InfoCert Firma Qualificata ..." >> >> Quindi le firme che hai verificato sono semplici firme digitali, ma non >> qualificate. > > Non so che tipo di firma serve per il MALEDETTO documento che tra > qualche tempo dovrò firmare e ho *tanta* paura che non verrà > riconosciuto come validamente firmato. > > Che poi io eviterei tutta sta procedura e firmerei anche di mio pugno > che della firma qualificata m'importa meno di zero... però questo > implicherebbe che mi dovrei rivolgere a un notaio coi relativi costi :-O > > Messa in questi termini mi pare abbastanza evidente la situazione di > "cittadino di serie B" nella quale un utente che come me vorrebbe usare > solo software libero viene "condannato". C'è di peggio eh, però mi > scoccia non poco. > > [...] > >>> Dopo qualche ricerca ho trovato che AGID distribuisce i certificati [2] >>> in formato XLS con schema TSL (Trust Service status List): >>> https://eidas.agid.gov.it/TL/TSL-IT.xml >> >> Esatto, lì trovi anche i certificati di Firma Qualificata. > > Sono quelli di livello 3? > > [...] > >>> Per favore sapete se esiste un tool per convertire gli XML il formato >>> TSL nel formato PKCS#7 (quello importabile da NSS aka Mozilla Firefox)? >> >> I certificati sono inclusi codificati base64 quindi basta un copia >> incolla aggiungendo header e footer per ottener il PEM. Puoi recuperare >> direttamente il PEM anche usando secondo tool che hai menzionato. > > Antonio in questo thread ha segnalato uno script, proverò a usare quello > che dovrebbe automatizzare il tutto. > >> PS: pur aggiungendo la libreria pkcs11 proprietaria corretta sono >> riuscito a firmare in libo solo con le chiavi di Autenticazione, mentre >> con quelle di sottoscrizione il programma si blocca. > > La butto lì: incompatibilità ABI?!? Non saprei, devo indagare. Forse Antonio ne sa di più. Proverò a chiedere anche a Giuseppe Castagno che è il guru di LibO. > No comment. > > Grazie, Giovanni. > ciao, rob [1] https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2014.257.… [2] https://github.com/OpenSC/OpenSC/wiki/IAS-ECC

Oct. 22, 2020

Data Breach: esperienze di DPO a confronto

by Antonio Iacono

Oggi pomeriggio, alle 15, webinar su https://youtu.be/ch0gkYM8As4. Tra i relatori che conosco, Guido Scorza e Corrado Giustozzi. Antonio

Oct. 22, 2020

European Commission Open source software strategy 2020-2023

by Fabio Pietrosanti (naif)

E’ stata pubblicata la European Commission Open source software strategy 2020-2023 https://ec.europa.eu/info/departments/informatics/open-source-software-stra… Sarebbe certamente interessante per gli interessati e appassionati: 1. Effettuarne una traduzione in Italiano 2. Effettuare una riflessione comparata rispetto agli elementi equivalenti nel piano triennale Agid Fabio

Oct. 22, 2020

Re: [nexa] Forecasting for COVID-19 has failed

by Roberto Dolci

Mi sembra una presa di posizione molto forte, dall'incipit, che non tiene conto della dinamicita' di questo Sistema. Al contrario delle previsioni meteo, per cui nel breve I fattori in gioco sono modellabili e con ottima approssimazione partiamo dal primo giorno per scendere ad una discreta al settimo, qui se riesco ad influenzare le politiche e relativa compliance della gente posso oscillare veramente parecchio. Fauci e' tra quei medici che da subito ha detto che queste proiezioni le usa per informare la gente e non il suo lavoro. Bella lettura, grazie. Roberto -----Original Message----- From: nexa <nexa-bounces(a)server-nexa.polito.it> On Behalf Of Enrico Nardelli Sent: Wednesday, October 21, 2020 1:12 PM To: Nexa <nexa(a)server-nexa.polito.it> Subject: Re: [nexa] Forecasting for COVID-19 has failed ...da leggere insieme a questo On single point forecasts for fat-tailed variables by Nassim Nicholas Taleb, Yaneer Bar-Yam, and Pasquale Cirillo ABSTRACT We discuss common errors and fallacies when using naive “evidence based” empiricism and point forecasts for fat-tailed variables, as well as the insufficiency of using naive first-order scientific methods for tail risk management. We use the COVID-19 pandemic as the background for the discussion and as an example of a phenomenon characterized by a multiplicative nature, and what mitigating policies must result from the statistical properties and associated risks. In doing so, we also respond to the points raised by Ioannidis et al. (2020). https://www.sciencedirect.com/science/article/pii/S0169207020301230 Il 21/10/2020 19:03, Enrico Nardelli ha scritto: > by John P.A. Ioannidis, Sally Cripps , and Martin A.Tanner > > ABSTRACT > Epidemic forecasting has a dubious track-record, and its failures > became more prominent with COVID-19. Poor data input, wrong modeling > assumptions, high sensitivity of estimates, lack of incorporation of > epidemiological features, poor past evidence on effects of available > interventions, lack of transparency, errors, lack of determinacy, > consideration of only one or a few dimensions of the problem at hand, > lack of expertise in crucial disciplines, groupthink and bandwagon effects, and selective reporting are some of the causes of these failures. Nevertheless, epidemic forecasting is unlikely to be abandoned. > Some (but not all) of these problems can be fixed. Careful modeling of > predictive distributions rather than focusing on point estimates, > considering multiple dimensions of impact, and continuously > reappraising models based on their validated performance may help. If > extreme values are considered, extremes should be considered for the > consequences of multiple dimensions of impact so as to continuously > calibrate predictive insights and decision-making. When major > decisions (e.g. draconian lockdowns) are based on forecasts, the harms > (in terms of health, economy, and society at large) and the asymmetry of risks need to be approached in a holistic fashion, considering the totality of the evidence. > > https://www.sciencedirect.com/science/article/pii/S0169207020301199#! > > > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home > page: http://www.mat.uniroma2.it/~nardelli > blog: http://www.ilfattoquotidiano.it/blog/enardelli/ > http://link-and-think.blogspot.it/ > ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Oct. 21, 2020

Virtual Reality the Next Big Step in Mental Health Treatment

by don Luca Peyron

VR isn’t just capable of helping us with what seem like more straightforward phobias and anxiety disorders. It can also help with depression, schizophrenia, paranoia. Interessante, buona lettura dl https://medium.com/illumination-curated/virtual-reality-the-next-big-step-i… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Oct. 21, 2020

Does Palantir See Too Much? - The New York Times

by Alberto Cammozzo

<https://www.nytimes.com/interactive/2020/10/21/magazine/palantir-alex-karp.…> [...] Yet Palantir’s work on the coronavirus has also highlighted the mistrust that trails the company. In Europe, it is viewed with suspicion because of the C.I.A. connection. But the main source of apprehension is simply the nature of Palantir’s work. Although Palantir claims it does not store or sell client data and has incorporated into its software what it insists are robust privacy controls, those who worry about the sanctity of personal information see Palantir as a particularly malignant avatar of the Big Data revolution. Karp himself doesn’t deny the risk. “Every technology is dangerous,” he says, “including ours.” The fact that the health records of millions of people are now being funneled through Palantir’s software has only added to the unease. That’s especially true in the United States, where the Department of Health and Human Services is using Palantir’s software to analyze virus-related data. Palantir’s work with H.H.S. has become bound up in the biggest controversy that the company has faced, over its relationship with United States Immigration and Customs Enforcement. Progressive activists and members of Congress have expressed fear that the information collected by H.H.S. could be used by the Trump administration to expand its immigration crackdown, in which Palantir’s technology has played a part. And the fact that Palantir was awarded a pair of no-bid contracts valued at nearly $25 million by H.H.S. has amplified concerns that it has benefited from Thiel’s support of President Trump. Thiel was one of his most prominent backers in 2016, even speaking at the Republican National Convention. Palantir’s perceived links to the president have made it an object of suspicion among liberals, which frustrates Karp. In contrast to Thiel, the 53-year-old Karp is a self-described “progressive warrior” who says he voted for Hillary Clinton and who has expressed antipathy for Trump. His greatest fear, he says, is the rise of fascism. Although Karp’s political views are widely shared in Silicon Valley, he is one of the tech industry’s unlikeliest chief executives. He co-founded Palantir with no background in computer science or business. Instead, he holds a law degree from Stanford University and a doctorate in social theory from Goethe University in Frankfurt, where for a time his thesis adviser was Jürgen Habermas, possibly Europe’s most celebrated living social philosopher. On the corporate scene, Karp is a sui generis figure, a fact vividly on display that autumn afternoon in the Luxembourg Gardens. Until recently, it could be argued that his intellectual pedigree and political leanings were a kind of shield for Palantir, deflecting criticism of its work — or at least keeping critics off balance. But fairly or not, Palantir has come to be regarded as an enabler and prime beneficiary of Trump’s presidency, which has rendered the company toxic in the eyes of many progressives. In response to the criticism of Palantir’s relationship with ICE, Karp has attacked the tech industry over what he sees as its insufficient patriotism. Palantir recently relocated its headquarters from Palo Alto to Denver, a move that seemed partly rooted in the contempt that Karp and Thiel have for Silicon Valley. The company, which has yet to turn a profit, went public last month amid concerns that its prospects in Washington could be diminished under a Biden administration. Palantir says that its software solves “the world’s hardest problems.” Removing the stain of Trumpism may prove to be an especially hard one. [...]

Oct. 21, 2020

Re: [nexa] Libreoffice e verifica validità della firma elettronica: una jungla?

by Giovanni Biscuolo

Ciao Roberto, grazie per la pazienza... Roberto Resoli <roberto(a)resolutions.it> writes: [...] > Mi sento un pochino chiamato in causa ;-) . He he :-D [...] > Qui serve un chiarimento: storicamente LibO (e OOo ancora prima quando i > due non erano ancora progetti distinti) si è sempre appoggiato al > sistema di gestione di Mozilla per accedere a chiavi e certificati, sia > su file che su token crittografici PKCS11 (come smartcard e token usb). > > Quindi per gestire i token occorre avere installata anche una versione > recente di Thunderbird o Firefox. Nelle opzioni di LibO (Sicurezza) è > possibile anche scegliere il profilo utente specifico di Firefox o > Thunderbird che ha configurati i certificati personali che servono. Hai fatto molto bene a chiarirlo, io avevo saltato a piè pari tutta la spiegazione. Questo, se non mi sfugge qualcosa, significa anche che con LibO non è possibile firmare senza avere installato Firefox o Thunderbird... uff. [...] > Se si vuole firmare con valore massimo (firma qualificata) con i token > disponibil qui in Italia è *indispensabile* usare la libreria > proprietaria fornita a corredo con il token, Oh mamma, questa cosa la ignoravo completamente (dipende da una certa allergia al burocratese). Spero solo di non dover mai usare una firma qualficata e che per la mia vita burocratica mi basti una firma semplice. Scusa se ne approfitto, ma qual'è la ratio che ha portato il legislatore a differenziare tra "firma semplice" e "firma qualificata"? Siccome dal punto di vista tecnico sempre di certificati X.509 si tratta, ho come l'impressione che la distinzione sia puramente burocratico-certificatoria: vorrei tanto essere smentito. Quindi immagino che anche con la prossima versione 3 di openssl in grado di firmare CAdES non si potranno firmare documenti con firma qualificata. Ma questa cosa della libreria proprietaria è destinata a sparire o dobbiamo subirla e basta? > dato che da noi è invalsa l'abitudine di annegare chiavi simmetriche > 3DES nel binario dell'applicazione per crittare il colloquio tra token > e terminale (Secure Messaging). ...e a che pro? Per evitare un attacco MITM tra il token e il terminale? Ironia a parte: tu che ne pensi? > Le implementazioni PKCS11 in sw libero > (come la opensc-pkcs11 di OpenSC) funzionano solo parzialmente, > permettendo di "vedere" le sole chiavi e certificati usabili per > autenticazione (e non quelle per sottoscrizione). Queste chiavi non > sono soggette in genere a Secure Messaging. In realtà le chiavi sono usabili non solo per autenticazione ma anche per firma semplice, giusto? [...] > Le CA reperibili a questa pagina: "Infocert Servizi di Certificazione > ..." sono relative alle chiavi e certificati di Autenticazione, quindi > non a quelle di Sottoscrizione "InfoCert Firma Qualificata ..." > > Quindi le firme che hai verificato sono semplici firme digitali, ma non > qualificate. Non so che tipo di firma serve per il MALEDETTO documento che tra qualche tempo dovrò firmare e ho *tanta* paura che non verrà riconosciuto come validamente firmato. Che poi io eviterei tutta sta procedura e firmerei anche di mio pugno che della firma qualificata m'importa meno di zero... però questo implicherebbe che mi dovrei rivolgere a un notaio coi relativi costi :-O Messa in questi termini mi pare abbastanza evidente la situazione di "cittadino di serie B" nella quale un utente che come me vorrebbe usare solo software libero viene "condannato". C'è di peggio eh, però mi scoccia non poco. [...] >> Dopo qualche ricerca ho trovato che AGID distribuisce i certificati [2] >> in formato XLS con schema TSL (Trust Service status List): >> https://eidas.agid.gov.it/TL/TSL-IT.xml > > Esatto, lì trovi anche i certificati di Firma Qualificata. Sono quelli di livello 3? [...] >> Per favore sapete se esiste un tool per convertire gli XML il formato >> TSL nel formato PKCS#7 (quello importabile da NSS aka Mozilla Firefox)? > > I certificati sono inclusi codificati base64 quindi basta un copia > incolla aggiungendo header e footer per ottener il PEM. Puoi recuperare > direttamente il PEM anche usando secondo tool che hai menzionato. Antonio in questo thread ha segnalato uno script, proverò a usare quello che dovrebbe automatizzare il tutto. > PS: pur aggiungendo la libreria pkcs11 proprietaria corretta sono > riuscito a firmare in libo solo con le chiavi di Autenticazione, mentre > con quelle di sottoscrizione il programma si blocca. La butto lì: incompatibilità ABI?!? No comment. Grazie, Giovanni. -- Giovanni Biscuolo

Oct. 21, 2020

Re: [nexa] Forecasting for COVID-19 has failed

by Enrico Nardelli

...da leggere insieme a questo On single point forecasts for fat-tailed variables by Nassim Nicholas Taleb, Yaneer Bar-Yam, and Pasquale Cirillo ABSTRACT We discuss common errors and fallacies when using naive “evidence based” empiricism and point forecasts for fat-tailed variables, as well as the insufficiency of using naive first-order scientific methods for tail risk management. We use the COVID-19 pandemic as the background for the discussion and as an example of a phenomenon characterized by a multiplicative nature, and what mitigating policies must result from the statistical properties and associated risks. In doing so, we also respond to the points raised by Ioannidis et al. (2020). https://www.sciencedirect.com/science/article/pii/S0169207020301230 Il 21/10/2020 19:03, Enrico Nardelli ha scritto: > by John P.A. Ioannidis, Sally Cripps , and Martin A.Tanner > > ABSTRACT > Epidemic forecasting has a dubious track-record, and its failures became more prominent > with COVID-19. Poor data input, wrong modeling assumptions, high sensitivity of > estimates, lack of incorporation of epidemiological features, poor past evidence on effects > of available interventions, lack of transparency, errors, lack of determinacy, consideration > of only one or a few dimensions of the problem at hand, lack of expertise in crucial > disciplines, groupthink and bandwagon effects, and selective reporting are some of the > causes of these failures. Nevertheless, epidemic forecasting is unlikely to be abandoned. > Some (but not all) of these problems can be fixed. Careful modeling of predictive > distributions rather than focusing on point estimates, considering multiple dimensions > of impact, and continuously reappraising models based on their validated performance > may help. If extreme values are considered, extremes should be considered for the > consequences of multiple dimensions of impact so as to continuously calibrate predictive > insights and decision-making. When major decisions (e.g. draconian lockdowns) are > based on forecasts, the harms (in terms of health, economy, and society at large) and the > asymmetry of risks need to be approached in a holistic fashion, considering the totality > of the evidence. > > https://www.sciencedirect.com/science/article/pii/S0169207020301199#! > > > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it > home page: http://www.mat.uniroma2.it/~nardelli > blog: http://www.ilfattoquotidiano.it/blog/enardelli/ > http://link-and-think.blogspot.it/ > ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Oct. 21, 2020

Forecasting for COVID-19 has failed

by Enrico Nardelli

by John P.A. Ioannidis, Sally Cripps , and Martin A.Tanner ABSTRACT Epidemic forecasting has a dubious track-record, and its failures became more prominent with COVID-19. Poor data input, wrong modeling assumptions, high sensitivity of estimates, lack of incorporation of epidemiological features, poor past evidence on effects of available interventions, lack of transparency, errors, lack of determinacy, consideration of only one or a few dimensions of the problem at hand, lack of expertise in crucial disciplines, groupthink and bandwagon effects, and selective reporting are some of the causes of these failures. Nevertheless, epidemic forecasting is unlikely to be abandoned. Some (but not all) of these problems can be fixed. Careful modeling of predictive distributions rather than focusing on point estimates, considering multiple dimensions of impact, and continuously reappraising models based on their validated performance may help. If extreme values are considered, extremes should be considered for the consequences of multiple dimensions of impact so as to continuously calibrate predictive insights and decision-making. When major decisions (e.g. draconian lockdowns) are based on forecasts, the harms (in terms of health, economy, and society at large) and the asymmetry of risks need to be approached in a holistic fashion, considering the totality of the evidence. https://www.sciencedirect.com/science/article/pii/S0169207020301199#! -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Oct. 21, 2020

Re: [nexa] Libreoffice e verifica validità della firma elettronica: una jungla?

by Giovanni Biscuolo

Antonio Iacono <antiac(a)gmail.com> writes: > ... >> Per favore sapete se esiste un tool per convertire gli XML il formato >> TSL nel formato PKCS#7 (quello importabile da NSS aka Mozilla Firefox)? > > prova questo > https://github.com/eniocarboni/getTrustCAP7m Grazie mille per la segnalazione, appena ho un po' di tempo provo uno di quegli script Ciao, Giovanni -- Giovanni Biscuolo

Oct. 21, 2020