December 2020 - nexa - server-nexa.polito.it

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Stefano Zacchiroli

On Fri, Dec 18, 2020 at 12:57:05PM +0100, Giovanni Biscuolo wrote: > Il sistema mondiale di gestione delle identità dei servizi "Google Cloud > Platform" e "Google Workspace" è *centralizzato* negli USA. C'è scritto > «Google's central identity management system» e il centro di Google, > quello che accede al sistema di identity management, è negi USA: > sbaglio? Dove sia "il" centro in questione non lo so e quel report non lo dice. Ma me ne cale il giusto. Quel sistema "centralizzato" potrebbe benissimo avere delle istanze geograficamente distribuite, ognuna che conserva tutti e soli i dati degli utenti associati a quella zona geografica, ed esporli tutti come un'unica API logica. Che è poi la stessa cosa che ho scritto 10 mail fa... :-) -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Dec. 18, 2020

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Giovanni Biscuolo

Ciao Stefano, scusa se insisto oltre a quanto già fatto da Giacomo ma l'incidente in questione dice molto di più rispetto a quanto _appare_, rileggiamolo assieme... Stefano Zacchiroli <zack(a)upsilon.cc> writes: [...] > Insisto: secondo me state confondendo la possibilità teorica di fare > tale accesso US->EU Il rapporto di incidente di Google https://status.cloud.google.com/incident/zall/20013 recita testualmente: --8<---------------cut here---------------start------------->8--- Google Cloud Platform and Google Workspace experienced a global outage affecting all services which require Google account authentication for a duration of 50 minutes. The root cause was an issue in our automated quota management system which reduced capacity for Google's central identity management system, causing it to return errors globally. As a result, we couldn’t verify that user requests were authenticated and served errors to our users. --8<---------------cut here---------------end--------------->8--- Il sistema mondiale di gestione delle identità dei servizi "Google Cloud Platform" e "Google Workspace" è *centralizzato* negli USA. C'è scritto «Google's central identity management system» e il centro di Google, quello che accede al sistema di identity management, è negi USA: sbaglio? Qualunque dato sia immagazzinato in quel sistema centralizzato è praticamente certo che si tratta di dati il cui trasferimento è regolato dal GDPR: sbaglio? (domanda retorica, perdonami). Se le due conclusioni sopra non sono errate, ne consegue che il database del sistema di identity management - indipendentemente da dove i dati siano "fisicamente" immagazzinati - è accessibile a Google USA e quindi sottoposto a legislazione USA e di conseguenza in violazione del GDPR secondo quanto emerso da Shrems II: sbaglio? Se il problema fosse stato circoscritto alla EU allora Google - e i data controller e processors che usano i suoi servizi - avrebbero potuto sostenere che dagli USA non hanno accesso a quei dati perché i sistemi sono separati *e* da quello EU non esce uno spillo verso quello USA (due condizioni)... ma è avvenuto _esattamente_ il contrario, Google USA ha indirettamente ammesso di controllare (anche) i dati dei cittadini EU. L'unica cosa che non sappiamo è *esattamente* quali dati sono memorizzati in quel sistema centralizzato di identity management, mi piacerebbe che siano i data controler a dircelo: loro lo DEVONO sapere. Ma questo è secondario. Conoscendo i sistemi di «identity management» come minimo ci sono i dati anagrafici forniti dagli utenti e ho il fondato sospetto ci siano anche quelli relativi agli accessi [1] e probabilmente anche altri dati (tipo indirizzo, telefono, posizioni GPS?!?) che gli utenti forniscono spIntaneamente a Google. Chi lo sa? Mah?!? Ma questo è secondario. [...] Saluti, Giovanni. [1] ATTENZIONE. Il problema legato alla quota (ovvero lo spazio massimo di memorizzazione su disco consentito ad un utente o a un servizio) ha bloccato l'autenticazione, questo significa che durante l'autenticazione il sistema ha bisogno di spazio disco: se non per memorizzare *nuovi* dati sull'account che vuole accedere, a cosa servirebbe quello spazio? -- Giovanni Biscuolo

Dec. 18, 2020

Re: [nexa] Swiss Medical Weekly - Early evidence of effectiveness of digital contact tracing for SARS-CoV-2 in Switzerland

by Roberto Resoli

Il 18/12/20 08:37, J.C. DE MARTIN ha scritto: > > https://smw.ch/article/doi/smw.2020.20457 Molto interessante, grazie. rob

Dec. 18, 2020

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Giovanni Biscuolo

Buongiorno nexiane, Giorgio Ventre <giorgio(a)unina.it> writes: > Mi permetto di dire che secondo me hai attribuito al termine "politica > industriale" un significato totalmente economico. Il GDPR, argomento dal quale è partito questo thread, è "politica industriale" o "politica dei diritti dei cittadini nel digitale"? La ratio del GDPR è quella di una politica indistriale più efficiente (quindi più concorrenziale secondo la retorica degli anni '90)? La politica industriale è senza dubbio importante ma è _una_ delle politiche di una nazione; molti di noi vorrebbero che la politica di cittadinanza (digitale e non) abbia *il primato* sulla politica industriale ed altre politiche di settore, NON viceversa. Siccome troppo spesso molti diritti dei cittadini sono stati _sacrificati_ in nome di una "Politica Industriale Superiore", permetteteci di accogliere con rispettoso sospetto la proposta di _ridurre_ le politiche sul digitale a politiche industriali. Noi "semplicemente" vorremmo che la politica digitale sia rispettosa dell'intera costituzione italiana e c'è molto da fare _prima_ della politica industriale per come stanno oggi le cose. [...] Cordiali saluti. Giovanni. -- Giovanni Biscuolo

Dec. 18, 2020

Swiss Medical Weekly - Early evidence of effectiveness of digital contact tracing for SARS-CoV-2 in Switzerland

by J.C. DE MARTIN

https://smw.ch/article/doi/smw.2020.20457 (Sent from my wireless device; please excuse brevity and typos (if any))

Dec. 18, 2020

Re: [nexa] The financialisation of Big Tech - SOMO

by M. Fioretti

On Thu, Dec 17, 2020 21:32:40 PM +0100, J.C. DE MARTIN wrote: > > https://www.somo.nl/the-financialisation-of-big-tech/ contribuisco con i miei 2c di introduzione e commento allo stesso argomento, l'anno scorso: https://stop.zona-m.net/2019/11/big-tech-like-big-banks/ Marco

Dec. 18, 2020

The financialisation of Big Tech - SOMO

by J.C. DE MARTIN

https://www.somo.nl/the-financialisation-of-big-tech/ (Sent from my wireless device; please excuse brevity and typos (if any))

Dec. 17, 2020

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Giacomo Tesio

Permettimi solo di chiarire ciò su cui non siamo d'accordo, perché io sostengo che sono tutti sporchi di marmellata al lampone, mentre tu dici che potrebbero NON aver preso quella di mele! > Il controllo dei data center implica che Google può accedere ai dati ...da un paese terzo, gli USA, con un diritto incompatibile col GDPR. SE può accedere, ALLORA può essere OBBLIGATO AD ACCEDERE, secondo le norme di quel Paese terzo. E questa possibilità è CONDIZIONE NECESSARIA e SUFFICIENTE per non soddisfare i requisiti del GDPR evidenziati dalla sentenza Schrems II. Su questo, se sbaglio, prego davvero i giuristi in lista di correggermi. > non che lo abbia fatto in questo caso specifico, fornendo così > accesso "ai dati da un paese terzo". Sulla falsità di questa implicazione siamo d'accordo da un punto di vista tecnico: il blackdown di Google non dimostra che, durante il blackdown, siano stati trasferiti dati dai data center europei agli USA, solo che tale trasferimento è (ed è sempre stato) possibile in qualsiasi momento (e dunque anche durante il guasto). Da un punto di vista legale però tale implicazione POTREBBE essere vera se l'accesso per ragioni amministrative ai server che contengono i dati costituisce di per sé un trasferimento, anche se mediato da uno script o da altro software. In tal caso, FORSE tale accesso costituirebbe un data breach. Ma questo secondo problema, per me, è assolutamente secondario. La violazione del GDPR dimostrata dal guasto globale è la prima, non questa seconda su cui non sei d'accordo. > Tanto lo sappiamo tutti che verranno comunque colti con le mani nella > marmellata prima o poi. Sì. Qui: https://status.cloud.google.com/incident/zall/20013 :-D Giacomo

Dec. 17, 2020

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Stefano Zacchiroli

On Thu, Dec 17, 2020 at 01:13:17PM +0100, Giacomo Tesio wrote: > Dunque il controllo dei data center è in capo a Google LLC, che > risponde alla legislazione statunitense. > > Questo tipo di accesso "per manutenzione" costituisce un trasferimento > perché > > fornire accesso ai dati da un paese terzo, ad esempio per > finalità amministrative, costituisce un trasferimento Non concordo sul tuo passo logico da "controllo dei data center" a "fornire accesso ai dati". Il controllo dei data center implica che Google può accedere ai dati, non che lo abbia fatto in questo caso specifico, fornendo così accesso "ai dati da un paese terzo". Non so più come spiegarlo altrimenti. Facciamo che ci mettiamo d'accordo sul fatto di non essere d'accordo, OK? (Tanto lo sappiamo tutti che verranno comunque colti con le mani nella marmellata prima o poi.) Ciao -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Dec. 17, 2020

Re: [nexa] Guasto a Google, così i dati personali di tutti sono gestiti negli Usa

by Giacomo Tesio

On Thu, 17 Dec 2020 08:01:21 +0100 Stefano Zacchiroli <zack(a)upsilon.cc> wrote: > On Thu, Dec 17, 2020 at 01:29:57AM +0100, Giacomo Tesio wrote: > > Dunque mi sbagliavo: il GDPR vieta espressamente ad una > > multinazionale di fare deployment di software che acceda a dati di > > europei da data center extra europei (che non prevedano una > > protezione equivalente dei dati dei data subject). > > Insisto: secondo me state confondendo la possibilità teorica di fare > tale accesso US->EU (o installazione di software che lo faccia) con il > fatto che ciò accada. Anche dal passaggio che hai citato a me non pare > affatto che il primo scenario sia vietato e che quindi abbiamo nuove > "prove" del fatto che Google sia in violazione di GDPR. Scusami ma non capisco cosa intendi. Siamo d'accordo che il guasto di martedì è stato globale e contemporaneo, così come la sua risoluzione. Questo dimostra un controllo amminstrativo centralizzato della infrastruttura distribuita di storage dello IAM, indipendentemente dalla collocazione fisica dei data center. Ovvero abbiamo una conferma di ciò che qualunque informatico competente già immaginava, semplicemente perché è un approccio tecnicamente logico per un sistema di gestione delle credenziali di di identificazione e dei permessi di accesso. Il guasto non è stato teorico, così come la sua risoluzione. Dunque il controllo dei data center è in capo a Google LLC, che risponde alla legislazione statunitense. Questo tipo di accesso "per manutenzione" costituisce un trasferimento perché fornire accesso ai dati da un paese terzo, ad esempio per finalità amministrative, costituisce un trasferimento https://edpb.europa.eu/sites/edpb/files/files/file1/20200724_edpb_faqoncjeu… Intendi che utilizzare un proxy automatico (uno script o altro software) per effettuare un trasferimento lo rende legittimo? Per quanto ho capito il GDPR, la sentenza Schrems II e le raccomandazioni del EDPB in merito, no: sarebbe come abrogare il GDPR. E per quanto ho capito, SE il controllo del software nei data-center europei è in mano a Google LLC, ALLORA questo controllo (sottoposto alla legislazione USA) riduce concretamente la protezione dei dati personali degli utenti europei in mano a Google, in modo incompatibile con il GDPR. E visto che tale controllo esite (come evidenziato dal guasto), allora affidare dati di terzi a Google costituisce una violazione del GDPR. Non è l'accesso in sé a ridurre la protezione dei dati cui i cittadini europei hanno diritto: l'accesso in sé costituirebbe un data breach. E' la sistematica possibilità di accesso dagli USA a costituire una violazione del GDPR. Mi sta forse sfuggendo qualcosa di ovvio? Giacomo

Dec. 17, 2020