May 2020 - nexa - server-nexa.polito.it

Re: [nexa] I dati dell’Ospedale “San Raffaele” di Milano rubati dagli hacker?

by Enrico Nardelli

Ritengo che non sia tanto un problema di interesse quanto di approccio. La cybersecurity continua ad essere affrontata soprattutto mediante la tecnologia quando, non da ieri, è chiaro che l'elemento umano è al tempo stesso l'anello più debole e la potenziale difesa più forte. Serve un approccio basato sulla "cultura della cibersicurezza", come descritto in questo recente volume di una persona che lavora nel settore da molti anni https://www.springer.com/gp/book/9783030439989 Lo snodo, secondo me, è che si fa più business a vendere app che a formare persone. La tecnologia è chiaro che serve ma, sul lungo periodo, è l'investimento sulle persone che fa la differenza. Ciao, Enrico Il 21/05/2020 19:49, Giacomo Tesio ha scritto: > > Possibile che non freghi niente a nessuno? > > Sono ciechi, come possono preoccuparsi di ciò che non riescono a concepire? > > Burioni poco tempo fa se la prendeva con i paranoici della privacy. Chissà se avrà cambiato le password, ora. > > Naturalmente si tratta di vittime, ma non degli hacker: dell'incompetenza di alcuni e dell'ignoranza diffusa. > > > Ma l'ironia sulle conferenze di cyber security è ben meritata. > > > C'è un enorme ipocrisia in Italia. > I databreach che emergono sono l'1%. > > Ma cosa volete... "con la sicurezza non si mangia" (semicit) > > > > Giacomo > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

May 22, 2020

Re: [nexa] I dati dell’Ospedale “San Raffaele” di Milano rubati dagli hacker?

by Giacomo Tesio

> Possibile che non freghi niente a nessuno? Sono ciechi, come possono preoccuparsi di ciò che non riescono a concepire? Burioni poco tempo fa se la prendeva con i paranoici della privacy. Chissà se avrà cambiato le password, ora. Naturalmente si tratta di vittime, ma non degli hacker: dell'incompetenza di alcuni e dell'ignoranza diffusa. Ma l'ironia sulle conferenze di cyber security è ben meritata. C'è un enorme ipocrisia in Italia. I databreach che emergono sono l'1%. Ma cosa volete... "con la sicurezza non si mangia" (semicit) Giacomo

May 21, 2020

Coronavirus: Security flaws found in NHS contact-tracing app

by Enrico Nardelli

(di un paio di giorni fa ma sempre interessante) ---- Wide-ranging security flaws have been flagged in the Covid-19 contact-tracing app being piloted in the Isle of Wight. The security researchers involved have warned the problems pose risks to users' privacy and could be abused to prevent contagion alerts being sent. GCHQ's National Cyber Security Centre (NCSC) told the BBC it was already aware of most of the issues raised and is in the process of addressing them. But the researchers suggest a more fundamental rethink is required. Specifically, they call for new legal protections to prevent officials using the data for purposes other than identifying those at risk of being infected, or holding on to it indefinitely. In addition, they suggest the NHS considers shifting from its current "centralised" model - where contact-matching happens on a computer server - to a "decentralised" version - where the matching instead happens on people's phones. ... https://www.bbc.com/news/technology-52725810 -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

May 21, 2020

Survey: Nearly Half of Americans Refusing or Unlikely to Opt-In to COVID-19 Contact Tracing Apps

by Enrico Nardelli

... nearly half (48%) say they’re either unlikely or will flat out refuse to opt-in to COVID-19 contact tracing apps. Additionally, another 23% said they’re on the fence about doing so. Meanwhile, just 15% said they are extremely likely to opt-in. This brings about questions of contact tracing effectiveness and accuracy if minimal adoption if seen. ... https://www.checkmarx.com/blog/survey-half-americans-refusing-contact-traci… -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

May 21, 2020

I dati dell’Ospedale “San Raffaele” di Milano rubati dagli hacker?

by Giovanni Biscuolo

Buongiorno, a proposito di colabrodo di sicurezza che meriterebbe un capitolo tutto suo nella politica nazionale, quanto in oggetto lo chiede pubblicamente Umberto Rapetto, che confonde l'emoticon :P con :D ma mi pare sappia quello che dice: https://www.infosec.news/2020/05/21/news/sicurezza-digitale/i-dati-dellospe… --8<---------------cut here---------------start------------->8--- Il tweet [1] è accompagnato da una immagine eloquente, uno “screenshot” che testimonierebbe la fondatezza della provocazione sui social da parte del gruppo di pirati informatici italiani “LulzSec”. “Tanta roba” direbbero in Toscana. Il “cinguettio” non si presta ad interpretazioni e suona fin troppo chiaro. “Beh che dire.. @SanRaffaeleMI, avete comunicato al Garante il #databreach di due mesi fa? Visto che avete già chiuso tutte le vulnerabilità.. anche se troppo tardi”. Il messaggio è esplicito e, se risponde al vero, il nosocomio sarebbe stato oggetto di una grave violazione informatica (“data breach”, ovvero una breccia nella struttura perimetrale di protezione dei dati) che avrebbe avuto luogo nel mese di marzo. Gli hacker chiedono con tono sarcastico se i manager del San Raffaele hanno provveduto a fare la prevista comunicazione al Garante per la Protezione dei dati personali, che – secondo il Regolamento Europeo 679/2016 (o GDPR che dir si voglia)– deve essere effettuata entro le 72 ore dalla constatazione dell’incidente per non incorrere in pesanti sanzioni. Il testo si chiude con la linguaccia degli emoticons ante litteram (le faccine realizzate con i semplici caratteri ASCII) che si “scrive” con i due punti e la lettera D maiuscola… [...] Forse è venuto il momento di congratularsi reciprocamente di meno e di rimboccarsi le maniche. Come a poker, qualcuno ha detto “vedo” e tocca mostrare le carte… --8<---------------cut here---------------end--------------->8--- ... tranne che questa, purtroppo, NON É una partita a carte, nemmeno di quei giochi in cui si puntano soldi: i soldi sono (dovrebbero essere) l'ultimo dei problemi. Rapetto aggiunge particolari sul suo blog sul Fatto Quotidiano: https://www.ilfattoquotidiano.it/2020/05/21/san-raffaele-abbiamo-hackerato-… --8<---------------cut here---------------start------------->8--- [...] Alle domande si affianca anche una preoccupazione tutt’altro che marginale. Ma i file in questione sono stati soltanto copiati oppure è stata apportata qualche modifica così da inquinare irrimediabilmente gli archivi presi di mira? Nella desolante indifferenza globale, persino gli hacker si lamentano. Possibile che non freghi nulla a nessuno? Dove è finito il brioso parterre delle tante convention in materia di cybersecurity? Sono finite le tartine al salmone o i tramezzini prosciutto e formaggio? Nel frattempo i birbaccioni di LulzSec cominciano a pubblicare piccoli assaggi come qualche elenco di file in loro possesso. [...] --8<---------------cut here---------------end--------------->8--- Nell'immagine https://twitter.com/LulzSec_ITA/status/1263370997937451009 (di cui ho screenshot, per mia referenza) ci sono un paio di screenshot in cui la password di quasi tutti gli utenti è praticamente identica al nome utente... non può che essere uno scherzo di cattivo gusto, nel 2020. Saluti, Giovanni. [1] https://twitter.com/LulzSec_ITA/status/1263116071197958144 -- Giovanni Biscuolo

May 21, 2020

Re: [nexa] Centralized or Decentralized?, The Contact Tracing Dilemma

by Giacomo Tesio

On Thursday, 21 May 2020, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: > Buongiorno Massino > > ma evidentemente sono io che sono un brontolone :-) Io ho l'impressione che uno dei pochi lasciti positivi del covid19 potrebbe essere la presa di coscienza da parte dei politici della rilevanza politica dell'informatica, del potere che rappresenta. Alcuni iniziano persino ad intuire la propria inadeguatezza a parlarne. Non hanno ancora del tutto chiaro la portata del problema e naturalmente tendono a minimizzarla per convivere con tale inadeguatezza, trattando la materia come una qualsiasi disciplina specialistica di cui non sanno nulla. Il problema è che non si tratta di una disciplina specialistica, più di quanto non lo sia la matematica. E non ne sanno nulla. Però in questo periodo il problema è così enorme ed evidente che non può essere ignorato. Nonostante tutto il lavoro di UI ed UX, che punta a far diventare il mezzo invisibile, nessuno può ignorare che c'è e non è affatto neutrale. Per quanto triste, per quanto falso, per quanto folle, un Ministro che si sottomette pubblicamente (umiliando lo Stato che rappresenta) al capriccio privato (e USA-centrico) dei "colossi del Web" perché "non si può pensare di competere" è un passo avanti. È un buon momento per dire che il re è nudo. Perché i nemici, ben corazzati, sono sotto gli occhi di tutti. E stanno distribuendo gli aggiornamenti. Giacomo

May 21, 2020

Re: [nexa] Centralized or Decentralized?, The Contact Tracing Dilemma

by Giovanni Biscuolo

Buongiorno Massino Massimo Canducci <massimo(a)canducci.eu> writes: > Vi segnalo questo paper che affronta in dettaglio le differenze (a > livello di privacy) dei due modelli in oggetto. > > Lo trovate integrale qua: https://eprint.iacr.org/2020/531.pdf Grazie mille per la segnalazione. Per completezza e aiuto alla indicizzazione di questo paper nelle nostre maildir, includo qui la scheda del paper estratta da https://eprint.iacr.org/2020/531 --8<---------------cut here---------------start------------->8--- Cryptology ePrint Archive: Report 2020/531 Centralized or Decentralized? The Contact Tracing Dilemma Serge Vaudenay Abstract: The COVID-19 pandemic created a noticeable challenge to the cryptographic community with the development of contact tracing applications. The media reported a dispute between designers proposing a centralized or a decentralized solution (namely, the PEPP-PT and the DP3T projects). Perhaps, the time constraints to develop and deploy efficient solutions led to non-optimal (in terms of privacy) solutions. Moreover, arguments have been severely biased and the scientific debate did not really happen until recently. In this paper, we show the vulnerabilities and the advantages of both solutions systematically. We believe that none offers any sufficient level of privacy protection and the decision to use one or another is as hard as using automated contact tracing at the first place. A third way could be explored. We list here a few possible directions. Category / Keywords: applications / COVID-19, tracking, security, privacy Date: received 6 May 2020 Contact author: serge vaudenay at epfl ch --8<---------------cut here---------------end--------------->8--- La licenza è CC-BY (https://eprint.iacr.org/about.html#license) Formato BibTeX: --8<---------------cut here---------------start------------->8--- @misc{cryptoeprint:2020:531, author = {Serge Vaudenay}, title = {Centralized or Decentralized? The Contact Tracing Dilemma}, howpublished = {Cryptology ePrint Archive, Report 2020/531}, year = {2020}, note = {\url{https://eprint.iacr.org/2020/531}}, } --8<---------------cut here---------------end--------------->8--- Mi pare sia anche un follow-up aggiornato al 6 Maggio scorso del paper https://eprint.iacr.org/2020/399 dello stesso autore, segnalato da Enrico Nardelli [1] il 16 Aprile scorso in questo thread: http://server-nexa.polito.it/pipermail/nexa/2020-April/017418.html Non so se nel frattempo eventuali problemi di DP-3T evidenziati (non ho ancora letto il paper) siano stati effrontati upstream, però credo che dal punto di vista della sicurezza nei confronti della privacy di queste App le cose avrebbero dovute essere affrontate con più calma, in modo molto più condiviso e magari con meno pressione politica e mediatica per "rilasciare" una soluzione in fretta per la Fase 2... ma evidentemente sono io che sono un brontolone :-) Saluti, Giovanni [1] Message-ID: <2656a4bc-edd6-7a61-11aa-825e4fdbc179(a)mat.uniroma2.it> -- Giovanni Biscuolo

May 21, 2020

International Association of Consitutional Law Blog

by Oreste Pollicino

Se di interesse, un mio post su temi cari alla Lista buona giornata o. https://blog-iacl-aidc.org/2020-posts/2020/5/21/fighting-covid-19-and-prote…

May 21, 2020

Centralized or Decentralized?,The Contact Tracing Dilemma

by Massimo Canducci

Vi segnalo questo paper che affronta in dettaglio le differenze (a livello di privacy) dei due modelli in oggetto. Lo trovate integrale qua: https://eprint.iacr.org/2020/531.pdf Un saluto a tutti Max

May 21, 2020

Re: [nexa] Articolo Nature su Contact Tracing

by Giovanni Biscuolo

Buongiorno Roberto, Roberto Dolci <rob.dolci(a)aizoon.us> writes: > https://www.nature.com/articles/d41586-020-01514-2 > > Ieri in call con Alex Vespignani e Maurizio Fava ho appreso che la > paura non fa 90 ma fa un +12% di maggior compliance nell'uso della > maschera ed in generale delle regole di prudenza per il contenimento > del corona. É pubblicato da qualche parte o è ancora "informale"? Nell'articolo che citi non si parla di questo dato; pura curiosità scientifica :-) > Quest'articolo riprende il tema del grado di adozione dello strumento, > ed il sentimento di sfiducia verso governo/autorita' Quello è uno degli aspetti della "soluzione App" che vengono citati; a me invece colpisce positivamente che si metta in luce la reale distanza sociale che abbiamo sotto il naso ma della quale facciamo fatica anche solo a parlare (figuriamoci a tentare di risolvere). É decisamente OT rispetto al topic generale di questa lista: chiedo perdono e prometto che sarà la prima e ultima volta. --8<---------------cut here---------------start------------->8--- Apps also obviously exclude anyone who doesn’t own a smartphone — who are often among those most vulnerable to COVID-19, such as older people and migrant workers. --8<---------------cut here---------------end--------------->8--- A parte una porzione della popolazione anziana benestante (fate voi la porzione), il resto si chiamano poveri. --8<---------------cut here---------------start------------->8--- In Singapore, for instance, foreign workers have borne the brunt of the country’s roughly 24,000 cases. Many of those 1.4 million individuals cannot afford smartphones and live in crowded dormitories, with up to 20 people in a room. --8<---------------cut here---------------end--------------->8--- Quindi più che di lavoratori stranieri qui si parla di persone povere che - smartphone o meno - vivono in condizioni precarie, anche logisticamente: abitativamente, nei trasporti e sul luogo di lavoro. Questa condizione è piuttosto diffusa anche in Europa, mi vengono in mente certe immagini dei fattorini del cibo ammassati davanti ad un negozio di una grande catena di fast-food a Milano o i braccianti agricoli stagionali, che tra l'altro non riescono nemmeno ad avere le mascherine, altro che App; oltre a tanti altri disperati. ...e siccome il fatto che non possiamo controllare i contatti dei poveri è un problema perché potrebbero infettarci, la soluzione pensata è quella di dotarli di comodi braccialetti (come proposto in un asilo nel varesotto): --8<---------------cut here---------------start------------->8--- But widespread access to Bluetooth-based tracing could alleviate another problem that the migrant-worker population faces in Singapore’s manual contact-tracing process, Hsu says — they are often not well served by in-person interviews because of language barriers. Another option would be to produce and distribute a cheap wearable device devoted to contact tracing. The authorities in Singapore have said they are exploring this possibility. --8<---------------cut here---------------end--------------->8--- Parafrasando "Lo Zio" in "Jonny Stecchino" [1]: «...in buona sostanza, purtroppo, non è la natura ma l'uomo... è nella terza e più grave di queste piaghe, che veramente diffama il distanziamento sociale e in particolare il contact tracing agli occhi del mondo; lei ha già capito, è inutile che io gliela dica, mi vergogno a dirlo!... è la **barriera linguistica**, troppi lavoratori migranti.» [...] Saluti, Giovanni [1] https://www.youtube.com/watch?v=ssohRl-rxtU -- Giovanni Biscuolo

May 21, 2020