April 2020 - nexa - server-nexa.polito.it

Contact Tracing in the Real World | Light Blue Touchpaper
by Alberto Cammozzo April 25, 2020

April 25, 2020

Ross Anderson. <https://www.lightbluetouchpaper.org/2020/04/12/contact-tracing-in-the-real-…> [...] Personally I feel conflicted. I recognise the overwhelming force of the public-health arguments for a centralised system, but I also have 25 years’ experience of the NHS being incompetent at developing systems and repeatedly breaking their privacy promises when they do manage to collect some data of value to somebody else. The Google Deepmind scandal was just the latest of many and by no means the worst. This is why I’m really uneasy about collecting lots of lightly-anonymised data in a system that becomes integrated into a whole-of-government response to the pandemic. We might never get rid of it. But the real killer is likely to be the interaction between privacy and economics. If the app’s voluntary, nobody has an incentive to use it, except tinkerers and people who religiously comply with whatever the government asks. If uptake remains at 10-15%, as in Singapore, it won’t be much use and we’ll need to hire more contact tracers instead. Apps that involve compulsion, such as those for quarantine geofencing, will face a more adversarial threat model; and the same will be true in spades for any electronic immunity certificate. There the incentive to cheat will be extreme, and we might be better off with paper serology test certificates, like the yellow fever vaccination certificates you needed for the tropics, back in the good old days when you could actually go there.[...]

1 0

misurazione distanza attraverso Bluetooth ?
by Enrico Nardelli April 25, 2020

April 25, 2020

Scusatemi, non so era stato fatto circolare qui in lista un articolo molto interessante che discuteva la misurazione della distanza fatta con Bluetooth in contesti reali (orientamento del ricevitore, presenza di ostacoli, etc. etc.) Una prima ovvia ricerca negli archivi di Nexa non mi ha dato risultati... :-( -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

8 16

Want to Find a Misinformed Public? Facebook’s Already Done It
by Giacomo Tesio April 24, 2020

April 24, 2020

While vowing to police COVID-19 misinformation on its platform, Facebook let advertisers target users interested in “pseudoscience” Continua su https://themarkup.org/coronavirus/2020/04/23/want-to-find-a-misinformed-pub… Giacomo

1 0

CVE-2020-0022 an Android 8.0-9.0 Bluetooth Zero-Click RCE – BlueFrag – Insinuator.net
by Alberto Cammozzo April 24, 2020

April 24, 2020

https://insinuator.net/2020/04/cve-2020-0022-an-android-8-0-9-0-bluetooth-z… [...] In the following, we describe a Bluetooth zero-click short-distance RCE exploit against Android 9, which got assigned CVE-2020-0022 . We go through all steps required to establish a remote shell on a Samsung Galaxy S10e, which was working on an up-to-date Android 9 when reporting the issue on November 3 2019. The initial flaw used for this exploit is still present in Android 10, but we utilize an additional bug in Bionic (Android’s libc implementation), which makes exploitation way easier. The bug was finally fixed in the security patch from 1.2.2020 in A-143894715. Here is a demo of the full proof of concept: [...]

1 0

NOVID: inaudile audio in aggiunta a BT
by Alberto Cammozzo April 24, 2020

April 24, 2020

<https://www.novid.org/> 1. Download the app [...] 2. Enable Bluetooth and microphone permissions Why do we need this? Bluetooth allows us to sense nearby devices, and your microphone lets us detect inaudible sound passed between your phone to other devices. We can then determine your proximity to others without using your location or personally identifiable information. You stay in control.

1 0

Il Belgio
by Antonio Casilli April 24, 2020

April 24, 2020

Il Belgio non vuole un'applicazione di contact tracing: "Il n’y a pas besoin d’une application pour la recherche de contacts, elle peut être effectuée manuellement et elle existe depuis des années". https://www.numerama.com/tech/620121-coronavirus-la-belgique-renonce-a-une-… -- Antonio A. Casilli Professor, Telecom Paris, Institut Polytechnique de Paris Member, Interdisciplinary Institute for Innovation (i3 UMR 9217 CNRS) Associate Member, LACI-IIAC (EHESS) Faculty Fellow, Nexa Center for Internet & Society *We respect your right to disconnect. This email send time is due to my own workflow efficiency. You are in no obligation to take action or reply to it outside your office hours.*

3 2

Intervista a Hans-Christian Boos, a capo del progetto PEPP-PT
by Roberto Resoli April 24, 2020

April 24, 2020

Grazie a Bruno Saetta per la segnalazione. https://zeitung.faz.net/faz/politik/2020-04-23/aaf98e7062f0770e93770d2533c3… «"Nessun sistema è totalmente sicuro" 9-11 minuti Il consorzio di sviluppo PEPP-PT, di cui voi siete il volto pubblico, deve lottare con critiche massicce a causa delle preoccupazioni in materia di protezione dei dati e della mancanza di trasparenza. Nel giro di pochi giorni, le università di Zurigo, Losanna e Lovanio, nonché il Centro Helmholtz per la sicurezza informatica e la Fondazione italiana ISI si sono ritirate. Il progetto le sfugge? Per niente. C'è stata un'ondata di stampa positiva all'inizio del PEPP-PT, tutti i tipi di organismi volevano essere coinvolti per primi. Ora che le discussioni si stanno svolgendo, alcuni di loro stanno di nuovo saltando via. L'importante è che solo le università di Zurigo e Losanna siano state coinvolte nei lavori di sviluppo. La tecnologia decentralizzata DP-3T, inizialmente disponibile anche sulla homepage del PEPP-PT, proviene da queste due università. Giovedì scorso questa voce è stata rimossa, apparentemente senza consultazione con i colleghi svizzeri. Perché? PEPP-PT è un consorzio europeo per lo sviluppo di una tecnologia di tracciamento che consente la tracciatura dei contatti e la ricostruzione delle catene di infezione nella crisi della corona oltre i confini nazionali. Sotto il nostro ombrello, si possono e si devono creare soluzioni sia centralizzate che decentralizzate; nel dettaglio, sono molte le varianti possibili, tra le quali ogni paese europeo dovrebbe poter scegliere. Fino a giovedì scorso DP-3T era l'unica implementazione che si poteva trovare sulla nostra homepage. Questa posizione evidenziata potrebbe dare l'impressione infondata che la tecnologia decentralizzata DP-3T sia l'unica o la più importante soluzione sviluppata sotto il nostro tetto. Se questa era la sua intenzione, non è strano che solo un giorno dopo abbia presentato un approccio centralizzato per la Germania, dove tutte le segnalazioni di persone infette vengono ricevute su un server centrale? Poco dopo è iniziata l'ondata di uscite. Se si fosse creata l'impressione che il PEPP-PT fosse stato un approccio centrale, sarebbe stata sbagliata tanto quanto l'impressione opposta. Forse avremmo potuto comunicare meglio su questo punto. Anche il ricercatore svizzero Marcel Salathé ha giustificato le sue dimissioni con una cattiva comunicazione. PEPP-PT funziona in modo non trasparente; un dibattito pubblico non è auspicabile. E lo è. Come, scusi? Naturalmente sosteniamo lo scambio aperto su diversi approcci. Ma non dovremmo guidarli in modo religioso, ma nel senso dell'obiettivo generale di sviluppare il più rapidamente possibile un'applicazione sicura e conforme alla protezione dei dati per la ricerca di contatti. A cosa è servito il dibattito pubblico degli ultimi giorni? Quanti cittadini sono in grado di valutare i vantaggi e gli svantaggi dei diversi modelli crittografici in termini di anonimato, vulnerabilità e sforzo di programmazione? Si tratta di questioni molto complesse di cui si dovrebbe parlare nel mondo professionale. Purtroppo, alcune persone hanno deciso di portare queste domande al pubblico. Questo non ha contribuito al guadagno di conoscenza, ma temo che si sia persa molta fiducia nel processo tra il pubblico, e che questo abbia influenzato tutte le applicazioni di tracciamento, sia centralizzate che decentralizzate. Non solo hanno mantenuto un basso profilo nei confronti del pubblico, ma anche il codice sorgente di PEPP-PT non è visibile ai programmatori. Abbiamo detto fin dall'inizio che PEPP-PT dovrebbe essere open source. E così rimane. Ci abbiamo messo solo qualche giorno perché volevamo raggiungere un certo livello di qualità prima dell'uscita. Il codice sorgente per i dispositivi Android andrà online molto presto. Se è così, come spiega la veemenza delle reazioni?Lunedì, circa 300 scienziati hanno messo in guardia, in una lettera aperta, contro un "monitoraggio senza precedenti" mediante la ricerca centralizzata dei contatti, ovvero il vostro modello, tra gli altri. Questo semplicemente non è giusto. Entrambi i modelli sono conformi al 100% al DSGVO. In questa veemenza, inoltre, le accuse sono state formulate soprattutto dalla comunità della crittografia, dove molti hanno un rapporto quasi religioso con l'anonimato e la protezione dei dati. E io sono d'accordo con queste persone: guardando semplicemente attraverso occhiali criptati, una soluzione decentralizzata è davvero l'approccio migliore. Ma nella situazione attuale dobbiamo tenere conto anche di altri fattori. Gli epidemiologi ci chiedono, ad esempio, che l'app non solo metta in guardia le persone potenzialmente infette, ma fornisca anche analisi di rischio che potrebbero essere affinate nel tempo attraverso l'apprendimento automatico. Sulla base di queste analisi, le misure di quarantena epidemiologicamente sensate, ad esempio, possono essere adattate in modo specifico. E questo non è possibile in una struttura decentralizzata? Se ci date due anni di tempo per lo sviluppo, probabilmente sì. Ma in un modello centralizzato questo è molto più facile. Neanch'io capisco bene le preoccupazioni in materia di protezione dei dati in questo contesto: dopo tutto, la Covid-19 è una malattia soggetta a notifica. Ciò significa che le autorità sanitarie registreranno comunque i vostri dati e già oggi stanno cercando di identificare i vostri contatti - solo tramite sondaggi del personale, che richiedono uno sforzo molto maggiore e producono anche risultati più scadenti a causa delle lacune nella memoria degli intervistati. Tuttavia, l'avvocato della protezione dei dati Michael Veale sostiene che, sulla base del vostro modello centrale destinato alla Germania, sarebbe possibile effettuare analisi molto più approfondite; ad esempio, l'intera rete di contatti potrebbe essere divulgata anche da persone sane. Conosco bene il giornale di cui parla. Conosco bene il documento di cui parla, che delinea vari scenari di attacco, ognuno dei quali è estremamente ipotetico e permette di identificare gli utenti nel migliore dei casi. Per contro, tra l'altro, esiste anche un'analisi del Politecnico di Losanna, che individua nel modello decentrato numerosi vettori di attacco, anch'essi teorici. Questo ci dice solo quello che già sapevamo: nessun sistema è mai sicuro al cento per cento - ma il calcolo dei benefici epidemiologici da un lato e lo sforzo, le possibilità di successo e il potenziale di danno degli attacchi hacker dall'altro è, a mio avviso, a favore del tracciamento delle applicazioni. Che sia centralizzato o decentralizzato è una questione di gusto: entrambi hanno vantaggi e svantaggi, che attualmente vengono presentati in modo molto esagerato. Nel frattempo Apple e Google hanno anche annunciato di voler creare una propria interfaccia per la ricerca dei contatti e di affidarsi all'archiviazione decentralizzata.Questo non significa che il vostro modello non è più necessario? È un bene che Google e soprattutto Apple si stiano muovendo in questo senso, perché le applicazioni di tracciamento basate su Bluetooth possono attualmente funzionare solo con notevoli restrizioni sugli iPhone. A mio avviso, però, il tutto arriva con un ritardo irresponsabile: le due aziende hanno annunciato di voler rendere disponibile la loro interfaccia entro metà maggio, e probabilmente ci vorrà fino a metà giugno per le prime implementazioni. Sarebbe anche irresponsabile se Apple e Google permettessero in realtà solo il tracciamento decentralizzato. Questa è una decisione che ogni Stato e idealmente ogni cittadino dovrebbe poter prendere per se stesso, e non dovrebbe essere dettata dalla Silicon Valley al mondo intero. Ha appena parlato del time to market. Jens Spahn ha spiegato venerdì scorso che in Germania ci si può aspettare un'app finita in tre o quattro settimane. Qual è il problema? Da un punto di vista puramente tecnico, cioè per quanto riguarda la tracciatura dei contatti, abbiamo praticamente finito. Ma c'è ancora molta integrazione organizzativa da considerare: affinché le persone che ricevono un avviso possano essere testate rapidamente, i laboratori devono essere collegati all'app; ci deve essere un supporto per gli utenti meno esperti dal punto di vista tecnico, e così via. Quindi è tutta colpa dell'amministrazione, che in questo momento sta davvero lavorando sotto pressione. L'integrazione di tali progetti informatici richiede di solito anni. Se si potesse fare in poche settimane, sarebbe un grande successo. Le domande sono state poste da Morten Freidel e Constantin van Lijnden. »

1 1

archivio della mailing list?
by maurizio lana April 24, 2020

April 24, 2020

buongiorno a tutti, sono iscritto da un paio di giorni. ho visto che nardelli menziona un archivio: > Una prima ovvia ricerca negli archivi di Nexa non mi ha dato risultati in un contesto tale per cui esso sembrerebbe essere l'archivio dei messaggi della lista, ma non sono riuscito a capire dove si trova. grazie dell'aiuto! maurizio -- http://maurobiani.it/wp-content/uploads/2020/02/patrick-george-zaky-libero.… ----- Maurizio Lana Dipartimento di Studi Umanistici Università del Piemonte Orientale piazza Roma 36 - 13100 Vercelli tel. +39 347 7370925

3 2

EDPB - linee guida tratt. dati salute x ricerca, geolocalizzazione e tracciamento x COVID-19
by Aldo Pedico April 24, 2020

April 24, 2020

Ciao a tutti, in allegato il documento sulla "23esima sessione plenaria (EDPB) - Linee-guida sul trattamento di dati relativi alla salute per finalità di ricerca e Linee-guida sulla geolocalizzazione e altri strumenti di tracciamento, nel contesto dell'emergenza legata al COVID-19" Aldo Pedico

2 2

Svizzera e Austria adottano il DP-3T per la App di contact tracing digitale
by Roberto Resoli April 24, 2020

April 24, 2020

Da Bruno Saetta: «https://www.swissinfo.ch/eng/digital-solution_contact-tracing-app-could-be-launched-in-switzerland-within-weeks/45706296 Svizzera e Austria adottano il DP-3T per la App di contact tracing digitale. Il DP-3T, ricordiamo, non è più parte del PEPP-PT (il progetto paneuropeo che si avvia ad usare un protocollo centralizzato). Il DP-3T è decentralizzato (quindi più tutelante per la privacy). »

1 1