April 2020 - nexa - server-nexa.polito.it

qualche info in più su PEPP-PT

by Enrico Nardelli

Cari tutti vi segnalo che qui https://aiforgood.itu.int/webinar/ è possibile vedere un webinar (episode #2) in cui viene detto qualcosa di più su questi sistemi di contact tracing Ci sono due speaker: Kurt Rohloff, Duality Technologies Thomas Wiegand, Fraunhofer Hertz Institute Rohloff ha parlato in generale di Privacy Enhancing Technologies (PET) descrivendo uno schema basato sulla crittografia omomorfica (una tecnica che permette di crittare i dati consentendo di poter comunque fare alcune computazioni su questi dati i cui risultati possono però essere "letti" solo da chi ha crittografato i dati originali) per realizzare un sistema di contact tracing. Wiegand ha partato di PEPP-PT, la soluzione che pare diversi paesi europei vogliano adottare. Nel seguito vi faccio una sintesi di quello che ho capito e che non ho capito, sperando sia utile. In ogni caso, come molti altri hanno osservato qui in lista, lo snodo fondamentale è l'organizzazione dei test ed il loro utilizzo in modo estensivo. Senza che vi sia per questo un piano realistico in termini di tempi e risorse tutto questo rimane puro "soluzionismo digitale". Ciao, Enrico --------------------- Per quanto riguarda Rohloff La parte interessante dal punto di vista tecnico inizia intorno a 19'45" fino a 28'45" Quello che ho capito è che lo schema è basato su: 1. Il telefono installa una coppia chiave-privata (KR) / chiave-pubblica (KB) 2. Tutti i dati che il telefono scambia con altri telefoni cui si trova vicino (via Bluetooth) o con il server del servizio sono crittati con KB e contengono informazioni quali telefono e e-mail del possessore del telefono. 3. I dati che il telefono invia al server contengono informazioni relative al contatto avuto con altri telefoni: a quali telefoni si è stati vicino e quando, ma non dove. Quello che penso di aver capito, ma non è chiaro dalla presentazione: 1. Il server (grazie alla crittografia omomorfica) è in grado di ritrovare i dati corrispondenti ad un numero di telefono (quando, ad esempio, il suo possessore sia risultato infetto ad un test) e quindi di recuperare da questi (mi pare sempre usando la crittografia omomorfica) quali altri telefoni devono essere contattati, perché sono stati vicini a chi è risultato infetto in una certa finestra temporale. Quello che non ho capito è come si ottengono i dati di localizzazione geografica e come il sistema protegge i dati dagli attacchi. Se il server è in grado di leggere i numeri di telefono con la crittografia omomorfica allora può essere in grado di farlo anche un attaccante. Da 33'00" a 38'00" c'è poi un'interessante discussione su trust e soluzioni aperte. ----------------------------------- Per quanto riguarda Wiegand questo è quello che ho capito di come funziona PEPP (anche in base a quanto avevo già letto dalla pagina https://www.pepp-pt.org/content) 1. Ogni telefono scambia con altri telefoni cui si trova vicino (via Bluetooth) è un ID randomizzato ma univocamente legato al telefono 2. Gli ID scambiati sono memorizzati da ogni telefono solo localmente con una marca temporale, per un periodo massimo legato alla finestra di incubazione, trascorso il quale il telefono li cancella 3. Quando il possessore del telefono viene rilevato positivo al test riceve un codice di autorizzazione mediante il quale la sua storia locale di contatti può essere inviata in modo sicuro ad un server centrale Non ho capito però come, dagli identificatori randomizzati che il servizio riceve da chi, essendo infettato, glieli ha trasmessi, il servizio riesce a dedurre i numeri dei telefoni che gli sono stati vicini e quindi a contattarli. Anche qui, se può farlo il servizio, può farlo chiunque altro. Un'informazione nuova è che il sistema dovrebbe essere rilasciato nella settimana dopo Pasqua (16-18 aprile) ---------------------------------- -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 4, 2020

Re: [nexa] "A European strategy for data "

by Alice Audino

Dear all, together with the EC Communication about the European Data Strategy, I would like to share also the White Paper on AI, highlighting that there is a public consultation that will be open until 31st May 2020 in order to share inputs and experiences directly to the Commission to advise on the next steps! I think that it can be a great opportunity to share our and your precious contributions! Here the link to the survey: https://ec.europa.eu/eusurvey/runner/AIConsult2020. Have a nice weekend! Alice Audino On Wed, 19 Feb 2020 at 23:38, J.C. DE MARTIN <demartin(a)polito.it> wrote: > COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, > THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS > > A European strategy for data > > Documento (PDF, 35 pagin) in allegato. > > juan carlos > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- Dott. ssa Alice Audino E-mail: alice.audino1(a)gmail.com Phone: +393342242795

April 3, 2020

Move Fast & Roll Your Own Crypto: A Quick Look at the Confidentiality of Zoom Meetings - The Citizen Lab

by Alberto Cammozzo

<https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-a…> This report examines the encryption that protects meetings in the popular Zoom teleconference app. We find that Zoom has “rolled their own” encryption scheme, which has significant weaknesses. In addition, we identify potential areas of concern in Zoom’s infrastructure, including observing the transmission of meeting encryption keys through China. Key Findings Zoom documentation claims that the app uses “AES-256” encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption. The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber’s company, are outside of China. Zoom, a Silicon Valley-based company, appears to own three companies in China through which at least 700 employees are paid to develop Zoom’s software. This arrangement is ostensibly an effort at labor arbitrage: Zoom can avoid paying US wages while selling to US customers, thus increasing their profit margin. However, this arrangement may make Zoom responsive to pressure from Chinese authorities. [...]

April 3, 2020

Re: [nexa] Progetto per Contact Tracing assistito e Stay at Home Notice con dati di cella da rete mobile

by Fabio Pietrosanti (naif)

On 03/04/2020 20:00, Stefano Quintarelli wrote: > afaik > > certamente la precisione dipende dall'operatore e dal luogo > il requisito per servizi di emergenza (che e' il massimo dato > disponibilw)che se non ricordo male e' ordine del km2. > > questi dati non vengono loggati ma solo la cella, per il periodo > legato alle possibili contestazioni di billing > > magari le cose sono cambiate e magari in certi casi si va oltre, ma > afaik la norma e' qs. > > pronto a ricredermi se un ingegnere di un operatore fornisce dati > diversi... Nel dubbio ho scritto settimana scorsa al CTO di TIM Big Data (Olivetti) e al Product Manager di Vodafone Analytics, condividendo il progetto, affinché nelle attuali esistenti interlocuzioni istituzionali possano valutarne la fattibilità e la propositività. Ad ogni modo, per quanto attiene al progetto cui facciamo riferimento, è irrilevante la precisione geo-spaziale del dato di cella. L'importante è avere, nel contact tracing, una precisione maggiore nell'outreach contestuale rispetto alla messagistica radio-televisiva (es: Mandare un SMS a 20k persone rispetto che 8mln di persone sul TG5). Fabio

April 3, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Stefano Zacchiroli

On Fri, Apr 03, 2020 at 09:28:21PM +0200, Enrico Nardelli wrote: > https://www.politico.eu/article/europe-cracks-code-for-coronavirus-warning-… Interessante, grazie. Non vedo alcuna fonte primarie di questa informazione, ma prendiamola pure per buona. Intendiamoci però: distribuire il codice sorgente della app è una precondizione alla verifica dell'approccio e della sua implementazione (che altri hanno giustamente richiesto in questo thread) prima del deployment da parte degli stati, non un atto politico nefasto. Non possiamo pretendere audit e poi lamentarci se si pubblica il codice (sempre che di questi si tratti, al momento non è dato saperlo). -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 3, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Enrico Nardelli

Il 03/04/2020 21:19, Stefano Zacchiroli ha scritto: > On Fri, Apr 03, 2020 at 08:22:01PM +0200, Giacomo Tesio wrote: >> In altri termini, PRIMA ci si mette in condizione di effettuare alcuni >> milioni di tamponi in pochi giorni, POI si distribuisce il software >> per tracciare i contatti. > > Dove hai visto/letto che stanno distribuendo il software? > https://www.politico.eu/article/europe-cracks-code-for-coronavirus-warning-… Eight countries have taken part in the project that will, on Wednesday, release the code for an app that analyzes Bluetooth signals between mobile phones to detect users who are close enough to infect each other, members of the group of about 130 academics, activists and technologists told POLITICO. -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 3, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Stefano Zacchiroli

On Fri, Apr 03, 2020 at 08:22:01PM +0200, Giacomo Tesio wrote: > In altri termini, PRIMA ci si mette in condizione di effettuare alcuni > milioni di tamponi in pochi giorni, POI si distribuisce il software > per tracciare i contatti. Dove hai visto/letto che stanno distribuendo il software? -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 3, 2020

"Singapore, vado a Singapore…"

by Antonio Casilli

Singapore to shut down workplaces and schools - contact tracing isn't effective enough. Prime minister says "despite our good contact tracing, for nearly half of these [new] cases, we do not know where or from whom the person caught the virus." https://www.straitstimes.com/singapore/health/most-workplaces-to-close-scho… -- Antonio A. Casilli Professor, Telecom Paris, Institut Polytechnique de Paris Member, Interdisciplinary Institute for Innovation (i3 UMR 9217 CNRS) Associate Member, LACI-IIAC (EHESS) Faculty Fellow, Nexa Center for Internet & Society *We respect your right to disconnect. This email send time is due to my own workflow efficiency. You are in no obligation to take action or reply to it outside your office hours.*

April 3, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Giacomo Tesio

On 02/04/2020, J.C. DE MARTIN <demartin(a)polito.it> wrote: > > > On 02/04/2020 19:40, Stefano Zacchiroli wrote: >> On Thu, Apr 02, 2020 at 06:57:18PM +0200, Enrico Nardelli wrote: >>> Quindi, a meno che mi sia sfuggito qualche passaggio, mi sembra che >>> implementare questa soluzione PRIMA di aver implementato un adeguato >>> piano per verificare se le persone sono infette o meno mi pare che non >>> serva a niente, quindi serve a qualcos'altro... :-) >> Il testing è un prerequisito, lo dichiarano chiaramente. Come nelle >> migliori pratiche di engineering, non vedo l'utilità di serializzare >> l'implementazione---aspettando che il testing sia al livello richiesto >> prima di *iniziare* a fare il resto :-) >> >> > Concordo :-) Io ho qualche dubbio, invece. Se per "implementazione" intendiamo il lavoro prettamente ingegneristico, la scrittura del codice, il test etc... sì sono d'accordo anche io. Non c'è ragione di aspettare i tamponi per scrivere codice. Ma prima di DISTRIBUIRLO su vasta scala, bisogna essere in grado di garantirne il funzionamento effettivo. In altri termini, PRIMA ci si mette in condizione di effettuare alcuni milioni di tamponi in pochi giorni, POI si distribuisce il software per tracciare i contatti. Non a caso si parla di precondizione al suo funzionamento. La serializzazione di questi due aspetti non è questione ingegneristica, ma politica. Giacomo

April 3, 2020

Re: [nexa] Progetto per Contact Tracing assistito e Stay at Home Notice con dati di cella da rete mobile

by Stefano Quintarelli

afaik certamente la precisione dipende dall'operatore e dal luogo il requisito per servizi di emergenza (che e' il massimo dato disponibilw)che se non ricordo male e' ordine del km2. questi dati non vengono loggati ma solo la cella, per il periodo legato alle possibili contestazioni di billing magari le cose sono cambiate e magari in certi casi si va oltre, ma afaik la norma e' qs. pronto a ricredermi se un ingegnere di un operatore fornisce dati diversi... On 03/04/2020 19:37, Alberto Cammozzo wrote: > On 03/04/2020 12:54, Stefano Quintarelli wrote: >> >> [...] >> >> una cella sono chilometri di diametro. >> la distanza di attenzione per il contagio e' 2m >> >> l'insieme di tutti coloro che sono stati in una cella telefonica dove >> c'era anche un positivo è circa l'intero. > > Credo che la localizzazione possa essere ben più precisa. > > Non so quanto le cose siano cambiate dal talk di Engel, ma a quanto pare > la precisione dipende dai network. > > <https://media.ccc.de/v/31c3_-_6249_-_en_-_saal_1_-_201412271715_-_ss7_locat…> > > Slide 51 "Track his victim’s movements (in some networks with GPS > precision)" > > > Alberto > > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- reserve your meeting with me at https://cal.quintarelli.it

April 3, 2020