April 2020 - nexa - server-nexa.polito.it

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by J.C. DE MARTIN

On 02/04/2020 19:40, Stefano Zacchiroli wrote: > On Thu, Apr 02, 2020 at 06:57:18PM +0200, Enrico Nardelli wrote: >> Quindi, a meno che mi sia sfuggito qualche passaggio, mi sembra che >> implementare questa soluzione PRIMA di aver implementato un adeguato >> piano per verificare se le persone sono infette o meno mi pare che non >> serva a niente, quindi serve a qualcos'altro... :-) > Il testing è un prerequisito, lo dichiarano chiaramente. Come nelle > migliori pratiche di engineering, non vedo l'utilità di serializzare > l'implementazione---aspettando che il testing sia al livello richiesto > prima di *iniziare* a fare il resto :-) > > Concordo :-) juan carlos

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Stefano Zacchiroli

On Thu, Apr 02, 2020 at 06:57:18PM +0200, Enrico Nardelli wrote: > Quindi, a meno che mi sia sfuggito qualche passaggio, mi sembra che > implementare questa soluzione PRIMA di aver implementato un adeguato > piano per verificare se le persone sono infette o meno mi pare che non > serva a niente, quindi serve a qualcos'altro... :-) Il testing è un prerequisito, lo dichiarano chiaramente. Come nelle migliori pratiche di engineering, non vedo l'utilità di serializzare l'implementazione---aspettando che il testing sia al livello richiesto prima di *iniziare* a fare il resto :-) Per autenticato, credo si intenda firmato con un qualche sistema crittografico, e quindi verificabile a posteriori. Ma chiaramente non ci sono ancora abbastanza elementi per valutare il tutto. Personalmente sono in modalità "wait & see". Ma mi sembra l'unico approccio che ha *qualche possibilità* di funzionare rispettando la privacy. Ma resta una possibilità (forse remota), che può benissimo essere smentita da un qualsiasi dettaglio di implementazione o design... -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 2, 2020

Re: [nexa] Tracking a Singapore

by Antonio Casilli

provide telephone number, enable location permission, upload logs to a server... not really anonymous, is it? ----- Mail original ----- De: "Vincenzo Mario Bruno Giorgino" <vincenzo.giorgino(a)unito.it> À: "nexa" <nexa(a)server-nexa.polito.it> Envoyé: Jeudi 2 Avril 2020 19:16:54 Objet: [nexa] Tracking a Singapore Buonasera a tutti, non essendo un tecnico apprezzo anche le informazioni minime che sono destinate agli utilizzatori e quindi condivido questa del Ministero della salute di Singapore sul funzionamento del sistema di tracciamento, sperando possa essere utile. Un saluto, Vincenzo Giorgino -- A new book [ https://www.palgrave.com/de/book/9783319665917 | https://www.palgrave.com/de/book/9783319665917 ] "One of the great liabilities of life is that all too many people find themselves living amid a great period of social change and yet they fail to develop the new attitudes, the new mental responses that the new situation demands. They end up sleeping through a revolution." - Martin Luther King, Jr., "Remaining Awake Through a Great Revolution" Vincenzo Mario Bruno Giorgino, Ph.D. Dept. of Economic and Social Sciences, Mathematics and Statistics University of Torino - Italy _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

April 2, 2020

Tracking a Singapore

by Vincenzo Mario Bruno Giorgino

Buonasera a tutti, non essendo un tecnico apprezzo anche le informazioni minime che sono destinate agli utilizzatori e quindi condivido questa del Ministero della salute di Singapore sul funzionamento del sistema di tracciamento, sperando possa essere utile. [image: image.png] Un saluto, Vincenzo Giorgino -- A new book https://www.palgrave.com/de/book/9783319665917 "One of the great liabilities of life is that all too many people find themselves living amid a great period of social change and yet they fail to develop the new attitudes, the new mental responses that the new situation demands. They end up sleeping through a revolution." - Martin Luther King, Jr., "Remaining Awake Through a Great Revolution" Vincenzo Mario Bruno Giorgino, Ph.D. Dept. of Economic and Social Sciences, Mathematics and Statistics University of Torino - Italy

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Enrico Nardelli

Aggiungo che mi sembra che il tutto possa funzionare, come spiegano in una delle loro figure se si fanno sufficienti tamponi per rilevare una quantità sufficientemente grande di infetti PRIMA che manifestino i sintomi. Quindi, a meno che mi sia sfuggito qualche passaggio, mi sembra che implementare questa soluzione PRIMA di aver implementato un adeguato piano per verificare se le persone sono infette o meno mi pare che non serva a niente, quindi serve a qualcos'altro... :-) Ciao, Enrico Il 02/04/2020 18:48, Enrico Nardelli ha scritto: > > A me non è chiaro il passo 1 > > Each PEPP-PT phone broadcasts over a short distance a temporarily valid, authenticated and anonymous identifier (ID) that cannot be connected to a user. > > Ovvero: per essere anonimo l'ID dovrebbe essere generato da un processo casuale interno al telefono PEPP-PT che lo renda univoco con probabilità quasi pari ad 1, ma allora non capisco il senso di "authenticated", che (mi sembra di capire) vorrebbe dire che qualcuno lo ha autenticato. > > E poi: l'ID è sempre quello o cambia? Perché se è sempre quello come si fa ad impedire che qualcuno lo usi per mascherare il suo telefono? > > Senza maggiori dettagli su questi aspetti è difficile capire la sicurezza di tutta la baracca... > > Ciao, Enrico > > > Il 02/04/2020 18:25, Giovanni Biscuolo ha scritto: >> Buongiorno Stefano e nexiani, >> >> Stefano Zacchiroli <zack(a)upsilon.cc> writes: >> >>> On Wed, Apr 01, 2020 at 07:12:13PM +0200, J.C. DE MARTIN wrote: >>>> Iniziativa di molti attori, tra cui Politecnici di Zurigo e Losanna, >>>> INRIA, KU Lovanio e varie università tedesche. >>> >>> Non ho ancora analizzato nel dettaglio la proposta, ma mi sembra molto >>> promettente. >> >> Tutto quello che ho potuto analizzare (un po' di corsa ma credo di aver >> capito) è "Overview: How We Preserve Privacy and Maintain Security" >> (https://www.pepp-pt.org/content) che riassume principi condivisibili >> ma è privo di dettagli essenziali; dice: >> >> --8<---------------cut here---------------start------------->8--- >> >> Please get in touch with our partner managers to receive a full >> documentation package on privacy and security. >> >> --8<---------------cut here---------------end--------------->8--- >> >> Rimane tutta la mia perplessità di poter davvero garantire il rispetto >> dell'anonimato e della privacy con software che gira su una delle >> macchine più bacate al mondo: "il telefonino". Però appunto mi mancano >> dettagli importanti, potrebbero addirittura stupirmi :-) >> >> Non si capisce poi bene quando (se?) verrà pubblicato il codice, prima >> sarebbe meglio che poi :-)... mi viene pure il dubbio che venga mai >> pubblicato, visto che la sezione "Access" (che riporto sotto saltando le >> cose che non mi interessano) dice che bisogna essere partner per: >> >> --8<---------------cut here---------------start------------->8--- >> … have access to our services and mechanisms. >> >> … have access to our documentation and the source code of a reference >> implementation. >> >> … provide feedback on the technical design. >> >> … obtain certification for your implementation through PEPP-PT and thus >> inherit our privacy and security certifications and credentials. >> >> --8<---------------cut here---------------end--------------->8--- >> >> Certificazione dell'implementazione (del sorgente?)? Quando sento queste >> parole associate al software mi si chiude la vena e vado in buffer >> overflow. >> >> E pensare che io mi illudevo di poter compilare il codice per conto mio >> per potermi almeno fidare che il binario faccia quello che dichiara il >> sorgente :-) >> >> Provo a richiedere di diventare partner da semplice cittadino curioso di >> mettere il naso in quello che stanno facendo, vediamo se mi accolgono? >> >> ...però una delle prime cose che chiederei loro è di rendere pubblico >> _tutto_ (chiavi segrete a parte, ovviamente), a partire dal "full >> documentation package". >> >> Magari se tu Stefano o qualche altra persona più autorevole del >> sottoscritto lo chiedessero, certe istanze verrebbero accolte più >> facilmente :-) >> >> [...] >> >> Saluti, Giovanni. >> >> >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >> > > -- EN > > ===================================================================== > Prof. Enrico Nardelli > Dipartimento di Matematica - Universita' di Roma "Tor Vergata" > Via della Ricerca Scientifica snc - 00133 Roma > tel: +39 06 7259.4204 fax: +39 06 7259.4699 > mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it > home page: http://www.mat.uniroma2.it/~nardelli > blog: http://www.ilfattoquotidiano.it/blog/enardelli/ > http://link-and-think.blogspot.it/ > ===================================================================== -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Enrico Nardelli

A me non è chiaro il passo 1 Each PEPP-PT phone broadcasts over a short distance a temporarily valid, authenticated and anonymous identifier (ID) that cannot be connected to a user. Ovvero: per essere anonimo l'ID dovrebbe essere generato da un processo casuale interno al telefono PEPP-PT che lo renda univoco con probabilità quasi pari ad 1, ma allora non capisco il senso di "authenticated", che (mi sembra di capire) vorrebbe dire che qualcuno lo ha autenticato. E poi: l'ID è sempre quello o cambia? Perché se è sempre quello come si fa ad impedire che qualcuno lo usi per mascherare il suo telefono? Senza maggiori dettagli su questi aspetti è difficile capire la sicurezza di tutta la baracca... Ciao, Enrico Il 02/04/2020 18:25, Giovanni Biscuolo ha scritto: > Buongiorno Stefano e nexiani, > > Stefano Zacchiroli <zack(a)upsilon.cc> writes: > >> On Wed, Apr 01, 2020 at 07:12:13PM +0200, J.C. DE MARTIN wrote: >>> Iniziativa di molti attori, tra cui Politecnici di Zurigo e Losanna, >>> INRIA, KU Lovanio e varie università tedesche. >> >> Non ho ancora analizzato nel dettaglio la proposta, ma mi sembra molto >> promettente. > > Tutto quello che ho potuto analizzare (un po' di corsa ma credo di aver > capito) è "Overview: How We Preserve Privacy and Maintain Security" > (https://www.pepp-pt.org/content) che riassume principi condivisibili > ma è privo di dettagli essenziali; dice: > > --8<---------------cut here---------------start------------->8--- > > Please get in touch with our partner managers to receive a full > documentation package on privacy and security. > > --8<---------------cut here---------------end--------------->8--- > > Rimane tutta la mia perplessità di poter davvero garantire il rispetto > dell'anonimato e della privacy con software che gira su una delle > macchine più bacate al mondo: "il telefonino". Però appunto mi mancano > dettagli importanti, potrebbero addirittura stupirmi :-) > > Non si capisce poi bene quando (se?) verrà pubblicato il codice, prima > sarebbe meglio che poi :-)... mi viene pure il dubbio che venga mai > pubblicato, visto che la sezione "Access" (che riporto sotto saltando le > cose che non mi interessano) dice che bisogna essere partner per: > > --8<---------------cut here---------------start------------->8--- > … have access to our services and mechanisms. > > … have access to our documentation and the source code of a reference > implementation. > > … provide feedback on the technical design. > > … obtain certification for your implementation through PEPP-PT and thus > inherit our privacy and security certifications and credentials. > > --8<---------------cut here---------------end--------------->8--- > > Certificazione dell'implementazione (del sorgente?)? Quando sento queste > parole associate al software mi si chiude la vena e vado in buffer > overflow. > > E pensare che io mi illudevo di poter compilare il codice per conto mio > per potermi almeno fidare che il binario faccia quello che dichiara il > sorgente :-) > > Provo a richiedere di diventare partner da semplice cittadino curioso di > mettere il naso in quello che stanno facendo, vediamo se mi accolgono? > > ...però una delle prime cose che chiederei loro è di rendere pubblico > _tutto_ (chiavi segrete a parte, ovviamente), a partire dal "full > documentation package". > > Magari se tu Stefano o qualche altra persona più autorevole del > sottoscritto lo chiedessero, certe istanze verrebbero accolte più > facilmente :-) > > [...] > > Saluti, Giovanni. > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Stefano Zacchiroli

On Thu, Apr 02, 2020 at 06:25:51PM +0200, Giovanni Biscuolo wrote: > Non si capisce poi bene quando (se?) verrà pubblicato il codice, prima > sarebbe meglio che poi :-)... mi viene pure il dubbio che venga mai > pubblicato, visto che la sezione "Access" (che riporto sotto saltando le > cose che non mi interessano) dice che bisogna essere partner per: Ho notato anche io questo paragrafo. Ma c'è anche questo sulla homepage: The PEPP-PT mechanisms will have these core features: [...] 6. Our reference implementation is available under the Mozilla License Agreement. Quindi mi aspetto che tutto sarà open source, ma sono un'inguaribile ottimista ! -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Giovanni Biscuolo

Buongiorno Stefano e nexiani, Stefano Zacchiroli <zack(a)upsilon.cc> writes: > On Wed, Apr 01, 2020 at 07:12:13PM +0200, J.C. DE MARTIN wrote: >> Iniziativa di molti attori, tra cui Politecnici di Zurigo e Losanna, >> INRIA, KU Lovanio e varie università tedesche. > > Non ho ancora analizzato nel dettaglio la proposta, ma mi sembra molto > promettente. Tutto quello che ho potuto analizzare (un po' di corsa ma credo di aver capito) è "Overview: How We Preserve Privacy and Maintain Security" (https://www.pepp-pt.org/content) che riassume principi condivisibili ma è privo di dettagli essenziali; dice: --8<---------------cut here---------------start------------->8--- Please get in touch with our partner managers to receive a full documentation package on privacy and security. --8<---------------cut here---------------end--------------->8--- Rimane tutta la mia perplessità di poter davvero garantire il rispetto dell'anonimato e della privacy con software che gira su una delle macchine più bacate al mondo: "il telefonino". Però appunto mi mancano dettagli importanti, potrebbero addirittura stupirmi :-) Non si capisce poi bene quando (se?) verrà pubblicato il codice, prima sarebbe meglio che poi :-)... mi viene pure il dubbio che venga mai pubblicato, visto che la sezione "Access" (che riporto sotto saltando le cose che non mi interessano) dice che bisogna essere partner per: --8<---------------cut here---------------start------------->8--- … have access to our services and mechanisms. … have access to our documentation and the source code of a reference implementation. … provide feedback on the technical design. … obtain certification for your implementation through PEPP-PT and thus inherit our privacy and security certifications and credentials. --8<---------------cut here---------------end--------------->8--- Certificazione dell'implementazione (del sorgente?)? Quando sento queste parole associate al software mi si chiude la vena e vado in buffer overflow. E pensare che io mi illudevo di poter compilare il codice per conto mio per potermi almeno fidare che il binario faccia quello che dichiara il sorgente :-) Provo a richiedere di diventare partner da semplice cittadino curioso di mettere il naso in quello che stanno facendo, vediamo se mi accolgono? ...però una delle prime cose che chiederei loro è di rendere pubblico _tutto_ (chiavi segrete a parte, ovviamente), a partire dal "full documentation package". Magari se tu Stefano o qualche altra persona più autorevole del sottoscritto lo chiedessero, certe istanze verrebbero accolte più facilmente :-) [...] Saluti, Giovanni. -- Giovanni Biscuolo Xelera IT Infrastructures

April 2, 2020

Re: [nexa] Automated decision-making systems and the fight against COVID-19 – our position – AlgorithmWatch

by Enrico Nardelli

L'apertura del pezzo è spettacolare (evidenziazione mia) *The COVID-19 is not a technological problem*. Analyses of actual responses to the outbreak show that successful interventions are always grounded in broader public health policies. Singapore, South Korea and Taiwan, frequently cited as role models in keeping the epidemic in check, all had plans in place, most of them designed after the 2003 SARS outbreak. Preparedness for an epidemic reaches beyond technical solutions: it means having resources, competences, plans, and the political legitimacy and the will to quickly deploy them when needed. Bravo Fabio! Ciao, Enrico Il 02/04/2020 10:30, J.C. DE MARTIN ha scritto: > https://algorithmwatch.org/en/our-position-on-adms-and-the-fight-against-co… > > > (Sent from my wireless device; please excuse brevity and typos (if any)) > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

April 2, 2020

Re: [nexa] PEPP-PT: Pan-European Privacy-Preserving Proximity Tracing

by Stefano Zacchiroli

On Wed, Apr 01, 2020 at 07:12:13PM +0200, J.C. DE MARTIN wrote: > Iniziativa di molti attori, tra cui Politecnici di Zurigo e Losanna, > INRIA, KU Lovanio e varie università tedesche. Non ho ancora analizzato nel dettaglio la proposta, ma mi sembra molto promettente. Non so se essere più contento o depresso dal fatto che sia un'iniziativa non governativa, di attori pubblici e privati---che chiaramente sanno muoversi più velocemente dei governi ed in maniera paneuropea. Qualcuno è al corrente di iniziative di review dell'aspetto privacy di questa proposta? (Hermes, maybe?) -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

April 2, 2020