April 2020 - nexa - server-nexa.polito.it

Re: [nexa] Apple & Google partner on tracing API

by Antonio Casilli

Apple e Google, traendo indebitamente vantaggio da una situazione di duopolio, cercano di fare pressione sui governi europei che stanno ancora discutendo della pertinenza e della legalità di soluzioni di contact tracing automatico, implementandolo a livello OS. Si tratta di un pericoloso esempio di avventurismo politico. Se da 40 anni si deve lottare contro i poteri esecutivi che sfruttano le crisi per governare per decreto, da 10 dobbiamo anche lottare contro i chief executives che sfruttano le crisi per governare per app. ----- Mail original ----- De: "Giuseppe Attardi" <attardi(a)di.unipi.it> À: "nexa" <nexa(a)server-nexa.polito.it> Envoyé: Samedi 11 Avril 2020 07:40:39 Objet: [nexa] Apple & Google partner on tracing API Apple e Google stanno collaborando per supportare le app di tracing via Bluetooth. Il protocollo è aperto e lascia spazio agli sviluppatori delle app, sia su come interagire con gli utenti, sia sulla memorizzazione dei dati. Mi pare un’occasione importante da sfruttare per fare qualcosa di innovativo e di dotarsi di infrastrutture pubbliche per la raccolta e l’elaborazione dei dati. An interesting aspect of the #covid19 Tracing protocol, is that it includes a call-back to determine the risk of infection. This opens a great opportunity for AI solutions, that the epidemiologists of the Healthcare service can tune, to avoid false positives. Qui le specifiche: [ https://www.apple.com/covid19/contacttracing/ | https://www.apple.com/covid19/contacttracing/ ] — Beppe On 10 Apr 2020, at 23:55, nexa-request(a)server-nexa.polito.it wrote: Send nexa mailing list submissions to nexa(a)server-nexa.polito.it To subscribe or unsubscribe via the World Wide Web, visit https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa or, via email, send a message with subject or body 'help' to nexa-request(a)server-nexa.polito.it You can reach the person managing the list at nexa-owner(a)server-nexa.polito.it When replying, please edit your Subject line so it is more specific than "Re: Contents of nexa digest..." Today's Topics: 1. Re: Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute (Stefano Quintarelli) 2. Re: Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute (Enrico Nardelli) 3. aggiornamento sul protocollo DP-3T per il tracciamento dei contatti (Enrico Nardelli) 4. Re: aggiornamento sul protocollo DP-3T per il tracciamento dei contatti (Roberto Dolci) 5. Re: Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute (Giacomo Tesio) ---------------------------------------------------------------------- Message: 1 Date: Fri, 10 Apr 2020 19:59:55 +0200 From: Stefano Quintarelli <stefano(a)quintarelli.it> To: Enrico Nardelli <nardelli(a)mat.uniroma2.it>, Nexa <nexa(a)server-nexa.polito.it> Subject: Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute Message-ID: <7f1e8dd6-61b6-36ea-0555-403c06f504c1(a)quintarelli.it> Content-Type: text/plain; charset=windows-1252; format=flowed I stand my point. ogni tecnologia ha vulnerabilita, passata questa, se ne trovera' un'altra. cio' non ci impedisce di usare strumenti elettronici. ed i vantgagi outscale gli svantaggi e il rapporto benefici/rischi e estremamnete in vantaggio dei benefici BTW, anche un sistema basato su carta ha delle vulnerabilita'. ciao, s. On 10/04/2020 18:02, Enrico Nardelli wrote: Grazie Stefano per l'articolata risposta. Ero consapevole (e l'avevo anche citato nel post) che il Garante della Privacy aveva osservato che l'adesione doveva essere volontaria, ma come lui stesso ha osservato serve avere almeno il 60% dei cittadini che la usano e quindi quel "pretendere" non era inteso in senso legale ma come "prerequisito" per il funzionamento del tutto. È vero, come osservi, che tutti i software sono in qualche modo bacati (chi più chi meno) ma appoggiare, per questa situazione di emergenza sanitaria, una soluzione di massa (che ha comunque bisogno per funzionare di tutta di una serie di misure di contorno - come hanno osservato lo stesso Garante e le varie organizzazioni internazionali citate alla fine del mio post) su una tecnologia che ha dimostrato nel corso degli anni di non avere le spalle robuste rispetto alla sicurezza mi sembra una scelta che, anche se "tecnicamente" interessante, sia da rigettare dal punto di vista sociale e politico. Per quanto riguarda Bluetooth questa descritta qua https://insinuator.net/2020/02/critical-bluetooth-vulnerability-in-android-… è una vulnerabilità che permette ad un attaccante di entrare, installare malware e rubare dati. Basta conoscere semplicemente il Bluetooth MAC address per ottenere l'accesso al dispositivo Certo, è stata sistemata con una release di Android di Febbraio 2020, ma vogliamo davvero poggiare la privacy dei cittadini sulla certezza che hanno tutti aggiornato il proprio smartphone??? Buona Pasqua anche a te! Ciao, Enrico Il 10/04/2020 16:23, Stefano Quintarelli ha scritto: Ciao Enrico, tu scrivi: "Pretendere però che tutti i cittadini vadano in giro con il Bluetooth (o altra tecnologia) costantemente disponibile per comunicare è secondo me equivalente a chiedere loro di non chiudere a chiave la porta di casa perchè deve passare il dottore per una visita medica. Nel mondo reale equivarrebbe ad esporre le case di tutti i cittadini ad un elevato rischio di intrusione. " premesso che il garante dice che dovrebbe essere opt-in, la stessa "pretesa" nei confronti di quelle persone che decidono di installarsi un'app che usa il bluetooth la hanno anche, nei confronti di quelle persone che decidono di usare auricolari bluetooth, i produttori di tali auricolari... alla fine e' la persona che decide... al link sulle /forti vulnerabilita'/ che inserisci nell'articolo si elencano tutte vulnerabilita' (tranne una) che generano DOS, non che consentono l'accesso. Quindi, la analogia piu' precisa, non sarebbe "esporre le case di tutti i cittadini ad un elevato rischio di intrusione." ma "esporre le case di tutti i cittadini [che decidono di farlo] al rischio di ricevere un carico di letame sul vialetto di accesso"... ;-) per quell'uno ("tranne una") si dice anche che "Some of the affected products include the 2018 smartwatch lineup from FitBit, Eve Systems smart home products, the CubiTag Bluetooth tracker, and the eGee Touch smart luggage lock." ciao, s. p.s. l'articolo originale del ricercatore e' questo https://asset-group.github.io/disclosures/sweyntooth/ giustamente scrivi che "come da molto tempo è noto", questa famiglia di vulenrabilita', disclosed a settembre 2019, ha gia' avuto molte patch da parte dei produttori dei chip coinvolti. in particolare, il bug che consente di intrudere, avviene durante una oeprazione di "secure pairing" (che tanto secure non è). Ovvero, se non fai pairing non sei esposto. Quindi, volendo rimanere all'analogia', sarebbe come chiedere di fare entrare in casa un infermiere salvo poi scoprire che era un malfattore e l'ambulanza davanti a casa era finta. Ma nessuna delle app in questione chiede di fare entrare alcunchi, nemmeno un dottore. Rectius, di fare qualsiasi pairing, nemmeno secure. poi, che l'informatica produca uno sterminio di vulnerabilita', non credo sorprenda nessuno in questa lista. Io uso come client di email Thunderbird (che credo usi anche tu), che ha 980 vulnerabilita' segnalate... https://nvd.nist.gov/vuln/search/results?form_type=Basic&results_type=overv… Buona Pasqua! On 10/04/2020 14:29, Enrico Nardelli wrote: Alcune riflessioni sull'impatto delle soluzioni digitali di tracciamento dei contatti che secondo me vengono trascurate. https://link-and-think.blogspot.com/2020/04/problematiche-del-tracciamento-… Ogni commento è benvenuto. -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- reserve your meeting with me at https://cal.quintarelli.it ------------------------------ Message: 2 Date: Fri, 10 Apr 2020 20:23:02 +0200 From: Enrico Nardelli <nardelli(a)mat.uniroma2.it> To: Stefano Quintarelli <stefano(a)quintarelli.it>, Nexa <nexa(a)server-nexa.polito.it> Subject: Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute Message-ID: <96557a52-fba0-7dc2-e8b7-eb1440d77a30(a)mat.uniroma2.it> Content-Type: text/plain; charset=utf-8; format=flowed metoo... :-) ciao, enrico Il 10/04/2020 19:59, Stefano Quintarelli ha scritto: I stand my point. ogni tecnologia ha vulnerabilita, passata questa, se ne trovera' un'altra. cio' non ci impedisce di usare strumenti elettronici. ed i vantgagi outscale gli svantaggi e il rapporto benefici/rischi e estremamnete in vantaggio dei benefici BTW, anche un sistema basato su carta ha delle vulnerabilita'. ciao, s. On 10/04/2020 18:02, Enrico Nardelli wrote: Grazie Stefano per l'articolata risposta. Ero consapevole (e l'avevo anche citato nel post) che il Garante della Privacy aveva osservato che l'adesione doveva essere volontaria, ma come lui stesso ha osservato serve avere almeno il 60% dei cittadini che la usano e quindi quel "pretendere" non era inteso in senso legale ma come "prerequisito" per il funzionamento del tutto. È vero, come osservi, che tutti i software sono in qualche modo bacati (chi più chi meno) ma appoggiare, per questa situazione di emergenza sanitaria, una soluzione di massa (che ha comunque bisogno per funzionare di tutta di una serie di misure di contorno - come hanno osservato lo stesso Garante e le varie organizzazioni internazionali citate alla fine del mio post) su una tecnologia che ha dimostrato nel corso degli anni di non avere le spalle robuste rispetto alla sicurezza mi sembra una scelta che, anche se "tecnicamente" interessante, sia da rigettare dal punto di vista sociale e politico. Per quanto riguarda Bluetooth questa descritta qua https://insinuator.net/2020/02/critical-bluetooth-vulnerability-in-android-… è una vulnerabilità che permette ad un attaccante di entrare, installare malware e rubare dati. Basta conoscere semplicemente il Bluetooth MAC address per ottenere l'accesso al dispositivo Certo, è stata sistemata con una release di Android di Febbraio 2020, ma vogliamo davvero poggiare la privacy dei cittadini sulla certezza che hanno tutti aggiornato il proprio smartphone??? Buona Pasqua anche a te! Ciao, Enrico Il 10/04/2020 16:23, Stefano Quintarelli ha scritto: Ciao Enrico, tu scrivi: "Pretendere però che tutti i cittadini vadano in giro con il Bluetooth (o altra tecnologia) costantemente disponibile per comunicare è secondo me equivalente a chiedere loro di non chiudere a chiave la porta di casa perchè deve passare il dottore per una visita medica. Nel mondo reale equivarrebbe ad esporre le case di tutti i cittadini ad un elevato rischio di intrusione. " premesso che il garante dice che dovrebbe essere opt-in, la stessa "pretesa" nei confronti di quelle persone che decidono di installarsi un'app che usa il bluetooth la hanno anche, nei confronti di quelle persone che decidono di usare auricolari bluetooth, i produttori di tali auricolari... alla fine e' la persona che decide... al link sulle /forti vulnerabilita'/ che inserisci nell'articolo si elencano tutte vulnerabilita' (tranne una) che generano DOS, non che consentono l'accesso. Quindi, la analogia piu' precisa, non sarebbe "esporre le case di tutti i cittadini ad un elevato rischio di intrusione." ma "esporre le case di tutti i cittadini [che decidono di farlo] al rischio di ricevere un carico di letame sul vialetto di accesso"... ;-) per quell'uno ("tranne una") si dice anche che "Some of the affected products include the 2018 smartwatch lineup from FitBit, Eve Systems smart home products, the CubiTag Bluetooth tracker, and the eGee Touch smart luggage lock." ciao, s. p.s. l'articolo originale del ricercatore e' questo https://asset-group.github.io/disclosures/sweyntooth/ giustamente scrivi che "come da molto tempo è noto", questa famiglia di vulenrabilita', disclosed a settembre 2019, ha gia' avuto molte patch da parte dei produttori dei chip coinvolti. in particolare, il bug che consente di intrudere, avviene durante una oeprazione di "secure pairing" (che tanto secure non è). Ovvero, se non fai pairing non sei esposto. Quindi, volendo rimanere all'analogia', sarebbe come chiedere di fare entrare in casa un infermiere salvo poi scoprire che era un malfattore e l'ambulanza davanti a casa era finta. Ma nessuna delle app in questione chiede di fare entrare alcunchi, nemmeno un dottore. Rectius, di fare qualsiasi pairing, nemmeno secure. poi, che l'informatica produca uno sterminio di vulnerabilita', non credo sorprenda nessuno in questa lista. Io uso come client di email Thunderbird (che credo usi anche tu), che ha 980 vulnerabilita' segnalate... https://nvd.nist.gov/vuln/search/results?form_type=Basic&results_type=overv… Buona Pasqua! On 10/04/2020 14:29, Enrico Nardelli wrote: Alcune riflessioni sull'impatto delle soluzioni digitali di tracciamento dei contatti che secondo me vengono trascurate. https://link-and-think.blogspot.com/2020/04/problematiche-del-tracciamento-… Ogni commento è benvenuto. -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- ------------------------------ Message: 3 Date: Fri, 10 Apr 2020 20:25:31 +0200 From: Enrico Nardelli <nardelli(a)mat.uniroma2.it> To: Nexa <nexa(a)server-nexa.polito.it> Subject: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti Message-ID: <aac36e5b-1351-ed40-b624-2dab004b29a0(a)mat.uniroma2.it> Content-Type: text/plain; charset=utf-8; format=flowed https://link-and-think.blogspot.com/2020/04/come-funziona-la-nuova-versione… Grazie in anticipo per ogni commento. PS Versione in inglese in lavorazione... -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- ------------------------------ Message: 4 Date: Fri, 10 Apr 2020 19:09:13 +0000 From: Roberto Dolci <rob.dolci(a)aizoon.us> To: Enrico Nardelli <nardelli(a)mat.uniroma2.it>, Nexa <nexa(a)server-nexa.polito.it> Subject: Re: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti Message-ID: <b2badaa5039a409ba43ebf57908eafaa(a)SRVEX03.aizoon.local> Content-Type: text/plain; charset="utf-8" Certo che dare tutti i propri dati in pasto ad Apple e Google per evitare il virus...quasi quasi...uno ci pensa due volte https://www.lastampa.it/tecnologia/news/2020/04/10/news/apple-e-google-insi… -----Original Message----- From: nexa <nexa-bounces(a)server-nexa.polito.it> On Behalf Of Enrico Nardelli Sent: Friday, April 10, 2020 2:26 PM To: Nexa <nexa(a)server-nexa.polito.it> Subject: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti https://link-and-think.blogspot.com/2020/04/come-funziona-la-nuova-versione… Grazie in anticipo per ogni commento. PS Versione in inglese in lavorazione... -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== -- _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa ------------------------------ Message: 5 Date: Fri, 10 Apr 2020 23:55:05 +0200 From: Giacomo Tesio <giacomo(a)tesio.it> To: Stefano Quintarelli <stefano(a)quintarelli.it> Cc: Nexa <nexa(a)server-nexa.polito.it> Subject: Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute Message-ID: <CAHL7psEOhuxVJjqURezJQVLEES7nd0QPOWS73cvi0aJ3SOADqQ(a)mail.gmail.com> Content-Type: text/plain; charset="utf-8" Una delle prime cose che cerco di insegnare ai colleghi più giovani e quando NON usare gli strumenti di cui dispongono. Bisogna partire presto, perché è difficile. Chi da usare solo martelli, vede chiodi dappertutto. On Friday, 10 April 2020, Stefano Quintarelli <stefano(a)quintarelli.it> wrote: ed i vantgagi outscale gli svantaggi e il rapporto benefici/rischi e estremamnete in vantaggio dei benefici Ti dispiacerebbe elencare esplicitamente vantaggi e svantaggi che stai prendendo in considerazione? E rischi e benefici? A parte il fatto che non funzionerebbe, intendo... :-D BTW, anche un sistema basato su carta ha delle vulnerabilita'. Certamente. Ma riprodotte su scala diversa. E con menti umane capaci di minimizzarne rischi e danni. Un software invece fa sempre la stessa cosa. Spesso sbagliata. Ed è vero, questo non impedisce il loro utilizzo. D'altronde quanti tetti di amianto abbiamo ancora in giro? Funzionano, giusto? Giacomo -------------- next part -------------- An HTML attachment was scrubbed... URL: <http://server-nexa.polito.it/pipermail/nexa/attachments/20200410/27fb9fca/a…> ------------------------------ Subject: Digest Footer _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa ------------------------------ End of nexa Digest, Vol 132, Issue 45 ************************************* _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

April 11, 2020

Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute

by Giacomo Tesio

On Saturday, 11 April 2020, Alberto Cammozzo <ac+nexa(a)zeromx.net> wrote: > On 11/04/2020 09:52, Stefano Zacchiroli wrote: >> On Sat, Apr 11, 2020 at 09:42:09AM +0200, Alberto Cammozzo wrote: > Dai dati COVID si vede che Singapore ha una crescita di casi giornalieri > in proporzione superiore all'Italia [3] ma un bassissimo numero di morti. Più posti letto in terapia intensiva? Medici addestrati per l'emergenza? Indicazioni chiare e coerenti alla popolazione? Basilare buon senso? In effetti, a quanti leggo, l'App di tracciamento dei contatti non ha influenzato minimamente il contenimento della epidemia, se è vero che nonostante il suo successo in termini di marketing, non è stato possibile ricostruire oltre metà dei contagi. In realtà però la crescita del numero di casi dipende anzitutto da con li misuri. Ovvero da quanti test fai. Basterebbe allargare leggermente le maglie dei criteri per effettuare un tampone in una qualsiasi regione italiana, per poter gridare all'esplosione dei contagi e giustificare misure più restrittive delle libertà. Sembra quasi che vadano a pesca (di consenso). Devi dare un po' di filo al pesce, se vuoi evitare che strappi la lenza. A breve riaprono diversi esercizi commerciali. Quale occasione migliore? Più test faranno emergere più contagi, la gente avrà paura e diventerà più malleabile. > Ci sono analisi che attribuiscono questi dati all'app? Oh beh... Sono certo che qualcuno prima o poi le scriverà. Magari su Medium. Giacomo

April 11, 2020

Re: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti

by Stefano Quintarelli

Basta che nessuno sappia che sono enrico e stefano. Basta che nessuno sappia alcun dato di identificabilita' del dispositivo. On 11/04/2020 10:34, Enrico Nardelli wrote: > > Non penso che durante un tracciamento dei contatti manuali, l'autorità > sanitaria, quando avvisa Stefano che è stato in contatto con un malato, > gli dica: "guardi che ha recentemente incontrato Enrico che purtroppo ha > sviluppato il coronavirus quindi è bene che anche lei si faccia > controllare e stia in quarantena", no? > > Immagino che sostituirà "Enrico" con "una persona", giusto? > > Con il protocollo descritto c'è un elevato rischio che invece il nome > vero possa essere dedotto. -- reserve your meeting with me at https://cal.quintarelli.it

April 11, 2020

Apple and Google partner on COVID-19 contact tracing technology

by Giovanni Battista Gallus

"Across the world, governments and health authorities are working together to find solutions to the COVID-19 pandemic, to protect people and get society back up and running. Software developers are contributing by crafting technical tools to help combat the virus and save lives. In this spirit of collaboration, Google and Apple are announcing a joint effort to enable the use of Bluetooth technology to help governments and health agencies reduce the spread of the virus, with user privacy and security central to the design." https://www.blog.google/inside-google/company-announcements/apple-and-googl… Un commento al volo: nella documentazione leggo "Will only be used for contact tracing by public health authorities for COVID-19 pandemic management". Nella seconda fase, si tratterà di una funzionalità integrata nel sistema operativo... Cosa mai potrà andare storto? GB Gallus

April 11, 2020

Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute

by Alberto Cammozzo

On 11/04/2020 09:52, Stefano Zacchiroli wrote: > On Sat, Apr 11, 2020 at 09:42:09AM +0200, Alberto Cammozzo wrote: >> La penetrazione degli smartphone in Italia era del 58% nel 2018 (dati >> Pew, da Wikipedia [1]). > [...] >> - tutti sappiano poi usare l'app, attivare e disattivare il BT, >> eccetera. > Qualcuno ha trovato dati su quanti utenti di cellulari hanno il > bluetooth attivo? Io ci ho provato, senza successo (per ora). Dati del 2016 danno circa il 40%, con grande variabilità regionale [1]. A giudicare da quanti guidano in auto nuove col telefono in mano, qui sono in pochi. Un altro dato interessante è questo: ad oggi il sito di TraceTogether [2] dichiara un milione di utenti, che su 5.7 milioni di abitanti porta la penetrazione dell'app a Singapore sotto il 20%. Anche aggiustando i dati sulla demografia per escludere i minori eccetera, siamo sempre generosamente sotto il 25%. Dai dati COVID si vede che Singapore ha una crescita di casi giornalieri in proporzione superiore all'Italia [3] ma un bassissimo numero di morti. Ci sono analisi che attribuiscono questi dati all'app? Alberto [1] <https://www.quora.com/How-many-people-have-Bluetooth-enabled-on-their-mobil…> [2] <https://www.tracetogether.gov.sg/> [3] <https://coronavirusgraphs.com/?c=da&y=log&t=line&f=0&ct=&co=92,116,125,206>

April 11, 2020

Re: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti

by Enrico Nardelli

Grazie mille Stefano! (a proposito, ho appena corretto un paio di sviste nella mia descrizione) Il threat model che ho in mente è quello nel quale nella cerchia dei tuoi "conoscenti" viene rivelato che sei infetto. Essendo un dato sanitario, mi pare rientri tra quelli per i quali spetta a te decidere se rivelarlo o meno. Non si tratta di essere "untore", ma capisci che non tutti sono disposti a rivelare a tutti i propri fatti sanitari. Io potrei decidere di sparire dalla circolazione per un paio di settimane perché "devo sottopormi ad un piccolo intervento", senza stare a dire "urbi et orbi" che ho preso il virus. Non penso che durante un tracciamento dei contatti manuali, l'autorità sanitaria, quando avvisa Stefano che è stato in contatto con un malato, gli dica: "guardi che ha recentemente incontrato Enrico che purtroppo ha sviluppato il coronavirus quindi è bene che anche lei si faccia controllare e stia in quarantena", no? Immagino che sostituirà "Enrico" con "una persona", giusto? Con il protocollo descritto c'è un elevato rischio che invece il nome vero possa essere dedotto. Il fatto che con la decentralizzazione del tracciamento dei contatti venga sostituita un unica perdita di molti dati con molte perdite di dati "locali" non ne cambia l'impatto sociale. Per fare un esempio di un gestore transazioni finanziare, vuol dire che alla minaccia di avere un unico grande data leak del suo DB con i dati sensibili dei clienti (p.es. quanti soldi ha sul conto) viene sostituita la minaccia di tanti piccoli data leak locali nei quali ognuno riceve i dati sensibili delle persone con cui ha interagito. Quindi ognuno ha la possibilità di sapere quelli con cui interagisce quanti soldi hanno in banca. La curiosità è una molla potentissima... E poi, immagina quando Enrico dopo un po' ritorna in circolazione. Pensi che le persone lo guarderanno nello stesso modo sapendo che ha avuto il coronavirus? Insomma, la privacy su tutti i dati sanitari c'è per molti motivi, inclusi quelli che attengono alle relazioni sociali, su cui sono sicuro che i sociologi e gli psicologi sociali in lista possono dire molto più di me. Ciao, Enrico Il 11/04/2020 10:10, Stefano Zacchiroli ha scritto: > On Fri, Apr 10, 2020 at 08:25:31PM +0200, Enrico Nardelli wrote: >> https://link-and-think.blogspot.com/2020/04/come-funziona-la-nuova-versione… >> >> Grazie in anticipo per ogni commento. > > Per quel che vale, mi pare tu abbia descritto bene gli improvement > recenti al protocollo. Al solito: grazie per questo importante lavoro di > divulgazione. > > A proposito di questo passaggio del tuo articolo: > >> Considerando che queste soluzioni di tracciamento dei contatti sono >> pensate appunto più per la fase di ritorno alla vita normale che per >> l'attuale fase di quarantena collettiva il problema non è >> secondario. Con il ritorno alla normalità ricominceranno le regolari >> attività giornaliere nelle quali tendiamo a incontrare con regolarità >> persone che conosciamo. Ed è proprio in queste situazioni di incontri >> regolari/ripetuti che l'approccio di registrare i contatti manifesta >> la sua debolezza rispetto alla privacy. > > Insisto a non capire il threat model che hai in mente. > > Anche senza alcuna app di tracing nelle nostre vite (la situazione > attuale), le persone per le quali ho la più alta probabilità di venire a > sapere che sono positive sono proprio quelle che incontro regolarmente. > > È vero in generale---perché ci parlo e comunico in mille modi, ed è > interesse di entrambi fare passare l'informazione sulla positività. (A > meno che tu non stia pensando ad un threat model di tipo bizantino, in > cui un untore vuole massimizzare le possibilità di contagio nascondendo > l'informazione, ma allora cambia veramente tutto.) > > Ed è ancora più vero in un contesto di contact tracing completamente > analogico, con le interviste di cui abbiamo parlato. Perché se mi > contattano per verificare se ho effettivamente passato più di 5 minuti > con tizio, quanto mi ci vuole per dedurre che tizio è positivo? > > Ergo, cosa cambia da questo punto di vista con una app di tracing a la > DP3T? Il threat model del contact tracing centralizzato è chiaro; quello > del contract tracing distribuito non mi pare tu l'abbia definito, ma è > un prerequisito alla tua critica. > > A presto > -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 11, 2020

Re: [nexa] aggiornamento sul protocollo DP-3T per il tracciamento dei contatti

by Stefano Zacchiroli

On Fri, Apr 10, 2020 at 08:25:31PM +0200, Enrico Nardelli wrote: > https://link-and-think.blogspot.com/2020/04/come-funziona-la-nuova-versione… > > Grazie in anticipo per ogni commento. Per quel che vale, mi pare tu abbia descritto bene gli improvement recenti al protocollo. Al solito: grazie per questo importante lavoro di divulgazione. A proposito di questo passaggio del tuo articolo: > Considerando che queste soluzioni di tracciamento dei contatti sono > pensate appunto più per la fase di ritorno alla vita normale che per > l'attuale fase di quarantena collettiva il problema non è > secondario. Con il ritorno alla normalità ricominceranno le regolari > attività giornaliere nelle quali tendiamo a incontrare con regolarità > persone che conosciamo. Ed è proprio in queste situazioni di incontri > regolari/ripetuti che l'approccio di registrare i contatti manifesta > la sua debolezza rispetto alla privacy. Insisto a non capire il threat model che hai in mente. Anche senza alcuna app di tracing nelle nostre vite (la situazione attuale), le persone per le quali ho la più alta probabilità di venire a sapere che sono positive sono proprio quelle che incontro regolarmente. È vero in generale---perché ci parlo e comunico in mille modi, ed è interesse di entrambi fare passare l'informazione sulla positività. (A meno che tu non stia pensando ad un threat model di tipo bizantino, in cui un untore vuole massimizzare le possibilità di contagio nascondendo l'informazione, ma allora cambia veramente tutto.) Ed è ancora più vero in un contesto di contact tracing completamente analogico, con le interviste di cui abbiamo parlato. Perché se mi contattano per verificare se ho effettivamente passato più di 5 minuti con tizio, quanto mi ci vuole per dedurre che tizio è positivo? Ergo, cosa cambia da questo punto di vista con una app di tracing a la DP3T? Il threat model del contact tracing centralizzato è chiaro; quello del contract tracing distribuito non mi pare tu l'abbia definito, ma è un prerequisito alla tua critica. A presto -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 11, 2020

Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute

by Stefano Zacchiroli

On Sat, Apr 11, 2020 at 09:42:09AM +0200, Alberto Cammozzo wrote: > La penetrazione degli smartphone in Italia era del 58% nel 2018 (dati > Pew, da Wikipedia [1]). [...] > - tutti sappiano poi usare l'app, attivare e disattivare il BT, > eccetera. Qualcuno ha trovato dati su quanti utenti di cellulari hanno il bluetooth attivo? Io ci ho provato, senza successo (per ora). -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 11, 2020

L'app di Singapore rilasciata OSS Fwd: COVID19-Tracing/-Tracking App in Singapore under GPL-3.0

by Fabio Pietrosanti (naif)

Dalla mailing list FSFE, ricevo e condivido, che la applicazione in uso a Singapore di CT bluetooth è stata messa in OSS in licenza GPL-3.0 . Fabio -------- Forwarded Message -------- Subject: COVID19-Tracing/-Tracking App in Singapore under GPL-3.0 Date: Fri, 10 Apr 2020 12:00:34 +0200 From: Jan Wey. <janwey(a)fsfe.org> To: discussion(a)lists.fsfe.org I was made aware of this just 5 minutes ago. Sorry, if this was already mentioned on this ML in the past few days. Singapore decided to release their Tracing-App under GPL-3.0 [0], which obviously would establish better trust and would benefit other countries and regions as well, as the software (or parts of it) could be re-used, being in line with PMPC[1] as well as the FSFE's call to release any COVID19 Tracking App under a Free Software License. Kind regards and stay healthy, Jan [0] https://github.com/opentrace-community [1] https://publiccode.eu/ [2] https://fsfe.org/news/2020/news-20200402-02.html -- Jan Weymeirsch (former intern) passionate european & FOSS enthusiast Encrypt your mail! http://jan.weymeirs.ch/gpg

April 11, 2020

Re: [nexa] Problematiche del tracciamento dei contatti: non dobbiamo scegliere tra privacy e salute

by Alberto Cammozzo

On 10/04/2020 18:02, Enrico Nardelli wrote: > Grazie Stefano per l'articolata risposta. > > Ero consapevole (e l'avevo anche citato nel post) che il Garante della > Privacy aveva osservato che l'adesione doveva essere volontaria, ma > come lui stesso ha osservato serve avere almeno il 60% dei cittadini > che la usano e quindi quel "pretendere" non era inteso in senso legale > ma come "prerequisito" per il funzionamento del tutto. La penetrazione degli smartphone in Italia era del 58% nel 2018 (dati Pew, da Wikipedia [1]). Se serve il 60% dei cittadini perchè il tracciamento sia efficace, occorre che: - tutti vogliano installere l'app e si fidino, - tutti sappiano come installare un'app, - tutti riescano ad installare l'app giusta, e non le decine di fake che verranno fuori, - tutti sappiano poi usare l'app, attivare e disattivare il BT, eccetera. Cioè deve essere obbligatoria e magari anche preinstallata. Un saluto e un augurio di Buona Pasqua a tutti. Alberto [1] <https://en.wikipedia.org/wiki/List_of_countries_by_smartphone_penetration>

April 11, 2020