May 2020 - nexa - server-nexa.polito.it

Re: [nexa] Nadim Kobeissi on Twitter: "Wow really impressed by StopCovid's commitment to privacy 👌 https://t.co/zFDwDwTJpE" / Twitter

by Giacomo Tesio

On Wednesday, 27 May 2020, Stefano Zacchiroli <zack(a)upsilon.cc> wrote: >Quando > quelle schermate saranno riempite dei contenuti "giusti" saremo forse > contenti? Io personalmente per niente! Ti capisco. Guarda come sono ben scritti i sorgenti di Immuni. E sono pure sotto AGPLv3! ;-) Non è bello vedere il marketing open source attecchire anche nel mercato del malware? Giacomo

May 27, 2020

Re: [nexa] Nadim Kobeissi on Twitter: "Wow really impressed by StopCovid's commitment to privacy 👌 https://t.co/zFDwDwTJpE" / Twitter

by Stefano Zacchiroli

On Wed, May 27, 2020 at 07:57:21PM +0200, Alberto Cammozzo wrote: > <https://twitter.com/kaepora/status/1265586688128159747> > > La pagina "Confidentialitè" della app StopCovid mostra "Lorem Ipsum...". > > Privacy by design? Ci sono un sacco di motivi "seri" per criticare la app francese (con Antonio e altri ne abbiamo sviscerati una sfilza infinita qui e altrove nelle ultime settimane). Questo di Nadim invece è un argomento troll che non merita il nostro tempo. Ha installato una versione non ancora distribuita (tra l'altro con una licenza pessima) agli utenti della app che per ora è fatta solo per test locali e code review (e se ne stanno vedendo delle belle...). Quindi non c'è veramente nulla di sorprendente nel fatto che le schermate user facing non siano ancora state riempite. Poi, certo, tutto fa brodo per criticare la pessima app StopCovid, ma attenzione agli argomenti che ci si potrebbero rivoltare contro. (Quando quelle schermate saranno riempite dei contenuti "giusti" saremo forse contenti? Io personalmente per niente!) Ciao -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

May 27, 2020

Nadim Kobeissi on Twitter: "Wow really impressed by StopCovid's commitment to privacy 👌 https://t.co/zFDwDwTJpE" / Twitter

by Alberto Cammozzo

<https://twitter.com/kaepora/status/1265586688128159747> La pagina "Confidentialitè" della app StopCovid mostra "Lorem Ipsum...". Privacy by design?

May 27, 2020

Hacking Team Founder: ‘Hacking Team is Dead’

by Giacomo Tesio

https://www.vice.com/en_us/article/n7wbnd/hacking-team-is-dead The company's former CEO posted a bizarre obituary on LinkedIn saying the infamous surveillance firm is "definitely dead." David Vincenzetti posted a short message saying “Hacking Team is dead” on Tuesday, more than a year after the Italian company was acquired by another cybersecurity firm and rebranded as Memento Labs. As Motherboard reported earlier this year, Memento Labs is struggling to take off after several key Hacking Team employees have left, slowing down the development of new products that it would need to compete with companies such as NSO Group. Vincenzetti did not respond to a request for comment via email. Paolo Lezzi, the CEO of Memento Labs, also did not immediately reply to an email asking for comment. While Hacking Team has formally ceased to exist when it got acquired and rebranded in 2019, Vincenzetti’s post is the last nail in the coffin, and the final chapter in the company’s fall from grace. Hacking Team was founded in 2003, and was among the very first companies to focus solely on developing software designed to hack and spy on computers, and later mobile phones. The company was one of the pioneers of the so-called lawful intercept industry, a market where firms provide these kinds of tools exclusively to law enforcement and intelligence agencies. In the 2000s, Hacking Team went from selling only to Italian agencies to selling to Spain’s national intelligence agency, and later to cops and spies in 41 different countries in its heyday in 2015. That year, a hacktivist known as Phineas Fisher broke into Hacking Team’s servers, stole gigabytes of sensitive data and posted it online, dealing the company with what would eventually become a deadly blow. Claudio Guarnieri, a security researcher that was among the very first to discover Hacking Team’s malware at the beginning of the last decade reacted to the post with irony. “So long and thanks for all the phish,” he said in an online chat, using the infosec lingo for phishing attacks, one of the most popular methods used by Hacking Team customers to hack targets. A former employee previously told Motherboard that Hacking Team without Vincenzetti is “like Nirvana without Kurt Cobain.” “Poor Vincenzetti,” the former employee said. “He’s flipping out. I’m really sorry to see him like this.”

May 27, 2020

Privacy policy search engine

by Antonio Vetro'

Copio qui sotto un messaggio apparso in lista DBWORLDk su una iniziativa che mi pare potenzialmente di interesse anche per questa lista, rispetto ai temi trattati e alle persone che li discutono: We are pleased to announce the release of PrivaSeer, our public search engine for the privacy policies of 1,005,781 English language websites. http://privaseer.ist.psu.edu/ <http://privaseer.ist.psu.edu/> We are continuing to improve it and welcome any feedback. You can also find the ArXiv paper about collecting the privacy policy corpus at: https://arxiv.org/abs/2004.11131 <https://arxiv.org/abs/2004.11131> av

May 27, 2020

la madre di tutte le vulnerabilità: memory unsafety.

by Giacomo Tesio

Voliamo alto! :-D Trattare un tema così politicamente importante ma così tecnico su una lista multidisciplinare come questa è una sfida veramente interessante. E' difficile risponderti senza escludere involontariamente coloro che non hanno una esperienza sufficientemente approfondita e variegata di diversi linguaggi di programmazione. On 26/05/2020, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: > Using C and C++ is bad for society, bad for your reputation, and it’s > bad for your customers. Io programmo in C, principalmente per gioco. ;-) E' probabilmente il mio linguaggio di programmazione preferito, sebbene utilizzi la libc di Plan 9 e dunque, secondo lo standard (che definisce anche la libreria standard), non è C. Per quanto ne so, la mia reputazione non ne ha mai risentito. D'altro canto programmo e ho programmato anche in diversi altri linguaggi per mestiere (C#, JavaScript, Haskell, Python, Lisp, Go, PHP...) ed in questi venti anni mi sono convinto che il problema (e la soluzione) non risieda nei linguaggi di programmazione. E' un problema molto più profondo. Alla radice c'è l'arretratezza della nostra disciplina. Ma questa arretratezza affonda in un terreno economico e politico sterile (il capitalismo) che ci impedisce qualsiasi vero progresso. Non è tragicamente ironico? > dico solo che ho studiato ed è da quando ho iniziato a studiare > c'è sempre qualcuno che sostiene che con la buona pratica egli è capace > di evitare errori di memoria in C/C++ e sono gli altri che non sono > capaci di programmare. C++ è un abominio. :-D Per C questa affermazione è abbastanza vera. Ma non nel senso in cui viene superficialmente interpretata. Il problema è la complessità del software contemporaneo. Il C funziona splendidamente se scrivi programmi piccoli, semplici e ben ordinati. I processi del sistema operativo garantiscono la memory safety. Il C invece NON funziona se vuoi scrivere programmi complicati. E purtroppo, invece, il mercato avvantaggia i sistemi complicati. > Questo dibattito però non deve rimanere "confinato" agli specialisti Anche perché raramente si interrogano criticamente sulle ragioni storiche e politiche che hanno prodotto gli strumenti concettuali che usano. E guai a dire che l'informatica è politica! Al più accettano un po' di ethics washing... un po' di open washing... > anche i non programmatori _devono_ sapere di cosa si tratta > e questo dibattito dovrebbe diventare pubblico, dovrebbe > diventare **politico**; Eh... vero! Ma è come se parlassi di metrica a chi non sa leggere l'alfabeto. > oltre che di competenze qui si tratta > di avere anche adeguate risorse per affrontare questi > problemi, che NON SONO dei programmatori, sono di > tutti noi, sono _anche_ di sicurezza nazionale. Vero. E' anche una questione di risorse, di investimenti... Ma è anzitutto una questione di VISIONE! Wirth aveva una visione ed Oberon-07 è l'apice della sua ricerca. Thompson e Ritchie avevano una visione. Persino Gates, con BASIC prima e con .NET poi, aveva una visione. Ma ogni visione ha implicazioni politiche profonde che sfuggono completamente persino a moltissimi programmatori! Siamo orbi circondati da ciechi. Come può diventare un tema politico? > ...però mi rendo conto di essere anche piuttosto ingenuo nello > sperare che questo possa diventare un dibattito politico :-D Non direi "ingenuo". Direi piuttosto "curioso". ;-) Ma è un tema così straordinariamente enorme (e va ben al di là della memory safety, confronta http://jehanne.io/2018/11/15/simplicity-awakes.html con https://www.phoronix.com/scan.php?page=news_item&px=Linux-READFILE-System-C… ) che non saprei proprio come trattarlo. Giacomo

May 26, 2020

Fwd: June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf

by Diego Latella

> Begin forwarded message: > > From: ACM Learning Center <learning(a)acm.org> > Subject: June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf > Date: 26 May 2020 at 16:45:19 CEST > To: Diego Latella <diego.latella(a)CNR.IT> > > ACM TechTalks <https://learning.acm.org/techtalks> > May 26, 2020 > " > June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf > > Register now <https://webinars.on24.com/acm/gotterbarnwolf?partnerref=bull1> for the next free ACM TechTalk, "Leveraging the ACM Code of Ethics Against Ethical Snake Oil and Dodgy Development," presented on Monday, June 8 at 12:00 PM ET/9:00 AM PT by Don Gotterbarn, Professor Emeritus at East Tennessee State University and Co-Chair of the ACM Committee on Professional Ethics (COPE), and Marty J. Wolf, Professor at Bemidji State University and Co-Chair of the ACM Committee on Professional Ethics (COPE). Keith Miller, Professor at University of Missouri – Saint Louis, will moderate the questions and answers session following the talk. > > Leave your comments and questions with our speaker now and any time before the live event on ACM's Discourse Page <https://on.acm.org/t/leveraging-the-acm-code-of-ethics-against-ethical-snak…>. And check out the page after the webcast for extended discussion with your peers in the computing community, as well as further resources on computing ethics. > > (If you'd like to attend but can't make it to the virtual event, you still need to register to receive a recording of the TechTalk when it becomes available.) > > Note: You can stream this and all ACM TechTalks on your mobile device, including smartphones and tablets. > > We did it! The ACM revised, and with overwhelming support from its members, approved its updated Code of Ethics and Professional Conduct. Ethical champions enforcing the Code will make ethical lapses at tech companies a thing of the past. The Code has us covered. But, wait: THAT…IS…NOT…HOW…IT…WORKS! > > Computing professionals are masters at using specialized knowledge as they navigate the complex process of developing systems. It is unlike any other production process in history. Unfortunately, the nature of computing is such that it leads us to fail to notice significant ethical challenges and to know how to address them. > > The most insidious ethical challenges are those where there is unrecognized intentional harm. We identify some of the elements that contribute to unnoticed ethical challenges such as subtle privacy violations in COVID-19 tracking systems. We then suggest concrete strategies and specific proactive interventions that can be used by management, human resources, and developers to identify unnoticed ethical challenges and, importantly, address other serious challenges. These strategies change the software development process so that the odds of needing an ethical champion are lessened and, in the rare event that one is needed, odds are good that there are quite a few computing professionals around who know how to help. > > Duration: 60 minutes (including audience Q&A) > > Presenter: > Don Gotterbarn, Professor Emeritus, East Tennessee State University; Co-Chair, ACM Committee on Professional Ethics (COPE) > Don Gotterbarn has extensive experience both in academia and software systems development, working on systems for the U.S. Navy, the Saudi Arabian Navy, vote-counting machines, and missile defense. > > He has spent several decades promoting responsible computing practices, including as director of the Software Engineering Ethics Research Institute and as a visiting professor at the Centre for Computing and Social Responsibility in England. He has taught at institutions like the University of Southern California, at government agencies like NSA, the Australian Department of Defense, and was a visiting scientist Carnegie Mellon’s Software Engineering Institute. He led the 2018 update of the ACM Code of Ethics and the development of the IEEE/ACM Software Engineering Code of Ethics and Professional Practice. These contributions to responsible computing have resulted in him being awarded the ACM Outstanding Contribution Award (2005), the International Society for Ethics and Information Technology Joseph Weizenbaum Award (2010), and the ACM Presidential Award (2018). > > Marty J. Wolf, Professor, Bemidji State University; Co-Chair, ACM Committee on Professional Ethics (COPE) > Marty J. Wolf is a Professor of Computer Science at Bemidji State University in Bemidji, Minnesota. He has over 30 years of experience teaching undergraduate computer science and has published research in theoretical computer science, bioinformatics, and graph theory. Over the last 20 years his research has focused on collaborative projects in computing and information ethics and the philosophy of computation. He has developed and taught a stand-alone computing ethics course to computer science undergraduates as well as computing ethics courses for non-CS majors. He is currently Co-chair of the ACM Committee on Professional Ethics and was part of the team that led the recent update to the ACM Code of Ethics. He has extensive experience on interdisciplinary projects that involve the teaching of computing ethics. He is currently co-PI on a grant from the Mozilla Foundation to develop mechanisms for computer science faculty to better incorporate social and ethical issues into standard computer science projects. > > Moderator: > Keith Miller, Professor, University of Missouri – Saint Louis > Keith W. Miller is the Orthwein Endowed Professor for Lifelong Learning in the Sciences at the College of Education of the University of Missouri – Saint Louis (UMSL). Prof. Miller also holds tenure in its Dept. of Computer Science. He has a PhD in Computer Science, an MS in Mathematics, and a BS in Education. Prof. Miller’s community partners include the Saint Louis Science Center, and Girls Inc. of St. Louis. Prof. Miller’s research interests include computer ethics, the use of technology in education, software testing, and (thanks to Don Gotterbarn) codes of ethics. He has authored or co-authored over 90 journal papers and hundreds of presentations. Because of Marty Wolf, Keith’s Erdos number is currently three. More information at http://learnserver.net/faculty/keithmiller/curriculum-vitae/ <http://learnserver.net/faculty/keithmiller/curriculum-vitae/>. > > Visit learning.acm.org/techtalks-archive <https://learning.acm.org/techtalks-archive> for our full archive of past TechTalks. > > > Association for > Computing Machinery > 1601 Broadway, 10th Floor, New York, NY 10019 > > > Copyright © 2020, ACM, Inc. All rights reserved > > You are subscribed with: diego.latella(a)cnr.it <mailto:diego.latella@cnr.it> > > Unsubscribe <https://optout.acm.org/unsubscribe.cfm?rm=FUNBIGLEAA02361345FC0FEBE7499C50B…> > > Connect with us: > > > <https://www.facebook.com/pages/ACM-Association-for-Computing-Machinery/1792…> <https://twitter.com/TheOfficialACM> <https://www.linkedin.com/company/association-for-computing-machinery?trk=na…> > <https://www.youtube.com/user/TheOfficialACM> <https://www.instagram.com/theofficialacm/> <https://www.flickr.com/photos/theofficialacm> <mailto:acmhelp@acm.org> > > Dott. Diego Latella - Senior Researcher CNR-ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it) FM&&T Lab. (http://fmt.isti.cnr.it) http://www.isti.cnr.it/People/D.Latella - ph: +390506212982, mob: +39 348 8283101, fax: +390506212040 =================== The quest for a war-free world has a basic purpose: survival. But if in the process we learn how to achieve it by love rather than by fear, by kindness rather than compulsion; if in the process we learn how to combine the essential with the enjoyable, the expedient with the benevolent, the practical with the beautiful, this will be an extra incentive to embark on this great task. Above all, remember your humanity. -- Sir Joseph Rotblat =================== I don't quite know whether it is especially computer science or its subdiscipline Artificial Intelligence that has such an enormous affection for euphemism. We speak so spectacularly and so readily of computer systems that understand, that see, decide, make judgments, and so on, without ourselves recognizing our own superficiality and immeasurable naivete with respect to these concepts. And, in the process of sospeaking, we anesthetise our ability to evaluate the quality of our work and, what is more important, to identify and become conscious of its end use. […] One can't escape this state without asking, again and again: "What do I actually do? What is the final application and use of the products of my work?" and ultimately, "am I content or ashamed to have contributed to this use?" -- Prof. Joseph Weizenbaum ["Not without us", ACM SIGCAS 16(2-3) 2–7, Aug. 1986]

May 26, 2020

Re: [nexa] Codice aperto di Immuni

by Giacomo Tesio

On 26/05/2020, gb <gb(a)ecn.org> wrote: > Ma secondo voi al momento un cittadino comune puo'installarsi la app > quando per android serve android studio per compilarla? In questo momento l'app non è pronta per la distribuzione di massa. Quando la riterranno pronta, la troverai su Google Play. Detto questo, ne sconsiglio caldamente l'installazione. Soprattutto a chi non è in grado di compilarsela da zero sul proprio PC. Giacomo

May 26, 2020

Re: [nexa] Codice aperto di Immuni

by gb

Seguo questa lista da anni ma intervengo quasi mai perché non ho le vostre competenze. Vi chiedo ok al git perché chi ne capisce guardi, critichi, segnali.. Ma secondo voi al momento un cittadino comune puo'installarsi la app quando per android serve android studio per compilarla? Metterla sul repo era troppo complicato o sarà la fase 2? Scusate se magari ho sbagliato ma mi pare sia questa la procedura per installare IMMUNI. Grazie Gb Il 26/05/20 10:44, M. Fioretti ha scritto: > On Tue, May 26, 2020 09:30:20 AM +0200, Giuseppe Attardi wrote: >> Come richiesto a più voci, il codice di Immuni è stato rilasciato Open Source. >> >> Ora è possibile farne una code review, analizzarlo e provare a migliorarlo. >> Chi ha dei dubbi se i dati vengano raccolti da Google o Apple, lo potrà verificare. >> Se teme che ciò avvenga all’interno della libreria di supporto, potrà verificarlo facendo sniffing dei pacchetti. >> >> https://www.agendadigitale.eu/sanita/immuni-prima-analisi-del-codice-bene-m… > > Prima ancora di leggere quell'articolo, copio e incollo quanto appena scritto da tale Massimiliano Uggeri su FB: > > Massimiliano Uggeri > 23 hrs · > > OK, lo scrivo qui così è per tutti e facciamo prima e lo potete condividere se volete. Ovviamente è pieno di tecnicismi, se non capite chiedete, ma sono purtroppo necessari. > > Ho clonato il repo iOS da GitHub di #IMMUNI ed ho iniziato a curiosarci dentro mettendoci le mani. > > Dalla prima analisi questo è quello che ho trovato > > 1 - Utilizzo di CocoaPods come se piovesse (non che sia male, per carità, ma li ho sempre odiati) e questo, a parte i Pods fatti direttamente da Bending Spoons, non garantisce il controllo completo del codice. Certo, sono Pods ormai di uso comune, ma non c'è di fatto controllo su tutto; > > 2 - Il codice è scritto e documentato benissimo, c'è solo qualche warning nel build ma nulla di terribile, la prima cosa che si nota è che il Pod "KATANA" va aggiornato, per cui è come dicevo sopra, il controllo del codice è troppo frammentato per un'App così "delicata"; > > 3 - Gli errori (sono tutti trappati, per cui si vedono solo sulla console di debug) sono tutti sul collegamento che dovrebbe recuperare le chiavi di crittografia dal server che - di fatto - non esiste ("get.immuni.gov.it/v1/keys/index"), per cui mi chiedo come faccia Apple ad approvarla: se la mandano non passa nemmeno il primo ciclo di review e viene ritardato il rilascio. Il nome del server è farlocco, quello vero sarà un'altro e vabbè, si farà alla svelta a vedere sniffando il traffico; > > 4 - Questa è una versione che - come scritto chiaramente nel README e nel codice - lavora senza backend, per cui non raccontiamocela, questa è una versione "stubbata" per far star buona la gente; > > 5 - Non c'è nessuna richiesta di autenticazione, chiede solo regione e città, e per "caricare i dati" (non si sa quali e non si sa dove) viene effettivamente generato un codice che cambia ogni volta, per cui di fatto l'anonimato sembra realmente garantito; > > 6 - le chiamate per caricare ToS, Privacy, etc sono tutte dirette a "example.com", ragione per cui è chiarissimo che questa è solo una DEMO, pubblicata per far star buona la gente e non quello che Apple ha in approvazione. > > Concludendo, questa è una presa per il culo, l'ennesima dimostrazione che ci considerano dei poveri cretini ignoranti come loro. >

May 26, 2020

Re: [nexa] Small governments big failure

by Roberto Resoli

Il 26/05/20 08:50, Giuseppe Attardi ha scritto: > https://www.project-syndicate.org/commentary/small-governments-big-failure-… Disponibile anche in Italiano: https://www.project-syndicate.org/commentary/small-governments-big-failure-… rob

May 26, 2020