June 2020 - nexa - server-nexa.polito.it

Re: [nexa] in browser port scanning... altro?

by Giovanni Biscuolo

Ciao Giacomo, Giacomo Tesio <giacomo(a)tesio.it> writes: > On 08/06/2020, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: >> Mi rimane il mio dubbio terrificante: >> >>>> Siamo sicuri che una tecnica analoga non possa essere usata anche per >>>> **esporre** un'intera rete locale attraverso un reverse tunnell "in >>>> browser" sfruttando questa tecnica: https://github.com/MDSLab/wstun?!? > > Risponderti è più complesso di quanto non sembri. > > I WebSocket non sono semplici socket TCP/UDP: anche dopo l'handshake > con il servizio la comunicazione avviene attraverso uno scambio di > messaggi composti da uno o più frame dal formato prestabilito > https://tools.ietf.org/html/rfc6455#section-5 > > > Dunque IN TEORIA non puoi usare un WebSocket per accedere ad un comune > servizio telnet, primo perché non risponderebbe all'handshake, poi > perché non rispetterebbe il protocollo. OK grazie mille di aver parzialmente colmato questa mia ignoranza (parzialmente perché non ho ancora stidiato websocket): non hai idea di quanto mi faccia stare tranquillo questa cosa :-) [...] > Dunque IN TEORIA, se usano WebSocket per accedere a servizi non > WebSocket, i membri del WHATWG possono dire che la responsabilità è > tua che non hai impedito a tuo figlio di installare il videogioco > infetto dal malware. E hanno ragione, è per questo che io - SCIENTIFICAMENTE - do per scontato che qualsiasi macchina che non adotta software libero **full stack** (possibilmente dal bootloader in su) è potenzialmente infetta e va trattata di conseguanza; diciamo che fino ad oggi me la sono cavata adottando sistemi operativi liberi (purtroppo non basta, ma è quello che posso fare oggi) *e* CONFINANDO ogni altra schifezza in una rete ALTAMENTE militarizzata. :-D > Ed IN TEORIA, la pratica corrisponde alla teoria. Ma in pratica non è così. > > La realtà è questa (prendo solo i primi link che ho sottomano): > > https://www.zdnet.com/article/google-reveals-chrome-zero-day-under-active-a… > > https://www.cisecurity.org/advisory/critical-patches-issued-for-microsoft-p… > > https://www.theregister.com/2020/06/04/firefox_77_security_fixes/ Mamma mia, ogni volta che ricevo nella mia inbox la notifica di aggiornamenti di sicurezza dei broswer mi rovinano la giornata :-S > Qui si enunciano convenientemente i gloriosi fix... ma fino al fix? ... Fox?!? > Esatto, per parafrasare le tue parole: per tenere al sicuro la tua > rete locale dal tuo browser DEVI usare una macchina dedicata con tanto > di rete dedicata... > >> Grazie per gli ulteriori puntatori, li conserverò per le lunghe sere >> invernali quando racconterò ai miei nipoti quanto era triste il mondo in >> cui vivevamo, nel quale per consultare pagine web senza rischiare di >> essere oggetto di attacchi informatici era necessario indossare un >> analogo virtuale delle tute contro il rischio biochimico. > > ... o disabilitare JavaScript. ;-) Mi piacerebbe ma ci sono un sacco di servizi a me indispensabili a cui posso accedere solo se JS è abilitato: vorrei contattare a uno a uno ogni songolo sviluppatore di quei servizi per *intimarli* a smetterla di usare JS mettendo a rischio la mia sicurezza, ma faccio prima a mettere in pista un sistema per "confinare" tutti i miei browser in un container innoquo :-) [1] Ciao, Giovanni [1] https://guix.gnu.org/manual/en/html_node/Invoking-guix-environment.html («Another typical use case for containers is to run security-sensitive applications such as a web browser.») -- Giovanni Biscuolo

June 9, 2020

Semplificazione PA (punto 23 Piano Colao)

by Diego.Latella

Buongiorno, Ho letto il punto 23 del "Piano Colao" (scaricato stamani dal sito di Repubblica), cioe' il punto relativo alla "semplificazione PA". Mi ha colpito, nella parte "Azioni Specifiche" il testo che segue: "Ridurre l'area di responsabilità dei dipendenti pubblici conseguente all'adozione di procedure governate da algoritmi (Cons. St. sentenza n. 8472/2019)" Non ho avuto la pazienza di leggere la sentenza citata, anche perche' non mi e' chiaro se sia indicata come esempio "positivo" o "negativo" (nella visione del "Piano"), ma l'azione suggerita mi sembra preoccupante perche', se non ho capito male, tende a deresponsabilzzare i pubblici dipendenti che assumono decisioni sulla base del ("conseguenti al") risultato di algoritmi, senza meglio specificare come queste decisioni siano conseguenti ai risultati degli algoritmi (il dipendete publico e' esonerato dal valutare il risultato o dal motivarlo ecc ecc?). E inoltre non vengono minimamente considerate paculiarita' degli algoritmi (corretti? spiegabili? open source? ecc ecc) Mi auguro di aver capito male. Per il resto, nulla di nuovo: ancora una volta per _semplificare_ la PA, invece di _aggredire _e _modificare _le _norme_ e le _procedure_ che regolano ("regolano", mah ...) la burocrazia, si insiste sulla semplice informatizzazione delle _procedure esistenti _(come si evince anche dal titolo del punto (a)). Ancora una volta, quindi, la farraginosita' e delle procedure burocratiche viene semplicemente _implementata_ telematicamente invece di essere _semplificata_. E cosi ad essa si aggiungeranno altri problemi dovuti ai bachi del software ... DL -- Dott. Diego Latella - Senior Researcher CNR-ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it [1]) FM&&T Lab. (http://fmt.isti.cnr.it) http://www.isti.cnr.it/People/D.Latella - ph: +390506212982, mob: +39 348 8283101, fax: +390506212040 =================== The quest for a war-free world has a basic purpose: survival. But if in the process we learn how to achieve it by love rather than by fear, by kindness rather than compulsion; if in the process we learn how to combine the essential with the enjoyable, the expedient with the benevolent, the practical with the beautiful, this will be an extra incentive to embark on this great task. Above all, remember your humanity. -- Sir Joseph Rotblat I don't quite know whether it is especially computer science or its subdiscipline Artificial Intelligence that has such an enormous affection for euphemism. We speak so spectacularly and so readily of computer systems that understand, that see, decide, make judgments, and so on, without ourselves recognizing our own superficiality and immeasurable naivete with respect to these concepts. And, in the process of so speaking, we anesthetise our ability to evaluate the quality of our work and, what is more important, to identify and become conscious of its end use. […] One can't escape this state without asking, again and again: "What do I actually do? What is the final application and use of the products of my work?" and ultimately, "am I content or ashamed to have contributed to this use?" -- Prof. Joseph Weizenbaum ["Not without us", ACM SIGCAS 16(2-3) 2--7 - Aug. 1986] Links: ------ [1] http://www.isti.cnr.it

June 9, 2020

Developers renew push to get rid of objectionable code terms to make 'the world a tiny bit more welcoming' • The Register

by Alberto Cammozzo

Major release nel codice semantico-informatico. Scordiamoci queste parole: master, slave, blackist, whitelist. "Server" per qualche motivo resiste ancora. <https://www.theregister.com/2020/06/08/developers_renew_push_to_get/> Amid the protests over the death of George Floyd, activists in the software community have taken the opportunity to remind people that they're trying to do away with terminology tied to racial oppression. On Monday, Scott Hanselman, a programmer and educator who happens to work at Microsoft, published a blog post about how to rename the "master" branch in code repositories created using Git version control software with a less loaded term. "The Internet Engineering Task Force (IEFT) points out that 'master-slave is an oppressive metaphor that will and should never become fully detached from history' as well as 'In addition to being inappropriate and arcane, the master-slave metaphor is both technically and historically inaccurate,'" he wrote. "There's lots of more accurate options depending on context and it costs me nothing to change my vocabulary, especially if it is one less little speed bump to getting a new person excited about tech." This comes from an IETF draft document published in 2018, the same year developers involved in Redis and Python made a push to purge "master/slave" terminology, not to mention Rails. That same year, the terms elicited a bug report in Google's Chromium project, one that has led to a series of changes since then, percolating down through various header and source files to change "blacklist" to a term without racial overtones, "blocklist," and "whitelist" to "allowlist." On Saturday, that effort led to a proposed name change for the classes in the components/blacklist directory, the effect of which can be seen in code diffs like this one. Put those empty boxes over there, by the stock photography lighting rig Redis does a Python, crushes 'offensive' master, slave code terms Google did not immediately respond to a request for comment, but these changes represent an attempt to comply with the company's code inclusivity guidelines for its Chromium project. Google is far from the only company dealing with this issue. Pivotal's LicenseFinder swapped "whitelist" for "permitted licenses" in January. Box is currently discussing a shift to "allowlist" and "denylist." Elixir nixed the terms about a week ago. OpenShift merged a pull request to adopt alternate language four days ago. Yelp modified its secret scanning code about two weeks ago. The osquery project is working on it. Among those contributing to the open source Git project, "master" terminology came up in a mailing list discussion last month about fixing the terminology in the Git source code. The proposal met with resistance, partly because of the amount of work it would entail. In response to a post arguing for revised wording, Brian Carlson, a developer at GitHub who also contributes to the Git codebase, acknowledged the concerns that have been raised about the terms and objections to making changes. He expressed willingness to review potential changes to Git source code that would purge the term but said he couldn't undertake the project himself. "It appears that if we made the obvious one-line change to builtin/init-db.c, we'd have 304 tests that fail, which is about a third of our test suite," he said. At GitHub, the GitHub CLI replaced "master" with "trunk" about two weeks ago and the GitHub Desktop software did the same in 2019. Despite significant support for these changes, there are also detractors who point out that Git's use of "master" hails from sound recording rather than slave owning (as opposed to the master/slave descriptors applied to device networking) and that "master" has other connotations, like expertise in a field. Google's guidance on inclusive coding, which focuses more on the use of gendered terms rather than racial ones, notes some of the potential problems with trying to apply inclusive language. For example, coders are advised to avoid the gendered pronoun "he," but "he" is okay if it refers to Helium, the ISO 639-1 language code for Hebrew or the first person conjugation of the Spanish verb "Haber." Hanselman acknowledges that vocabulary revision does not erase history or make people less racist. "All it does is make the world a tiny bit more welcoming," he said via Twitter.

June 9, 2020

IBM is exiting the face recognition business - Axios

by Alberto Cammozzo

<https://www.axios.com/ibm-is-exiting-the-face-recognition-business-62e79f09…> In a letter to members of Congress on Monday, IBM said it is exiting the general-purpose facial recognition business and said it opposes the use of such technology for mass surveillance and racial profiling. Why it matters: Facial recognition software is controversial for a number of reasons, including the potential for human rights violations as well as evidence that the technology is less accurate in identifying people of color. What he's saying: "IBM no longer offers general purpose IBM facial recognition or analysis software," CEO Arvind Krishna said in the letter. "IBM firmly opposes and will not condone uses of any technology, including facial recognition technology offered by other vendors, for mass surveillance, racial profiling, violations of basic human rights and freedoms, or any purpose which is not consistent with our values and Principles of Trust and Transparency." The big picture: An IBM representative told Axios that the decisions were made over a period of months and have been communicated with customers, though this is the first public mention of the decision. IBM said it will "no longer market, sell or update these products" but will support existing clients as needed.

June 9, 2020

IBM will no longer offer, develop, or research facial recognition technology - The Verge

by J.C. DE MARTIN

https://www.theverge.com/2020/6/8/21284683/ibm-no-longer-general-purpose-fa… (Sent from my wireless device; please excuse brevity and typos (if any))

June 9, 2020

Re: [nexa] Teledidattica: proprietaria e privata o libera e pubblica?

by Enrico Nardelli

Sottoscrivo parola per parola quanto argomentato benissimo da Maria Chiara. Enrico Nardelli Il 08/06/2020 15:40, Giacomo Tesio ha scritto: > Ciao, > vorrei condividere con voi questa ottima lettura: > > https://www.roars.it/online/teledidattica-proprietaria-e-privata-o-libera-e… > > Per quel che conta, da informatico E cittadino, anche io condivido le > preoccupazioni e lo sbigottimento di Maria Chiara. > >> È però chiaro, perfino a chi, come me, conosce l’informatica >> solo per sentito dire, che una comunità universitaria e di ricerca >> collettivamente incapace di mantenere e sviluppare >> un’infrastruttura propria, di controllare i propri dati e di >> promuovere e sviluppare competenze proprie pagherà un >> prezzo infinitamente alto in termini di sapere, di potere e di >> libertà, perché sarà sempre più dipendente – entro ambienti >> di scelta disegnati da altri – da sistemi e da >> conoscenze che non le appartengono. >> >> Non si limiterà, cioè, a mettere i propri dati sul computer >> di qualcun altro, fuori d’Italia, ma sarà usata da strumenti >> e ambienti di scelta disegnati da qualcun altro, e cioè da >> multinazionali private che traggono profitto dal commercio >> di manipolazione e sorveglianza. E formerà, per le aziende >> italiane, tecnici a loro volta incapaci di farne a meno, >> perché nient’altro è stato loro insegnato. > > Io posso dire che quanto descritto da Maria Chiara corrisponde > tragicamente con la mia esperienza diretta nel mondo del lavoro. > > > Giacomo > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

June 8, 2020

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by Giacomo Tesio

On 08/06/2020, David Orban <david(a)davidorban.com> wrote: > Il browser Opera e le attività VPN sono di proprietà cinese dal 2016. > Magari è sfuggito... Beh, in effetti hai ragione, potrebbe essere sfuggito a qualcuno. D'altronde, avessero venduto ad una società statunitense, sarebbe cambiato qualcosa? La Norvegia non fa parte dell'unione europea, dunque niente GDPR, in qualsiasi caso. Il servizio di VPN di Opera è un Man in the Middle venduto come feature, abbastanza simile (negli effetti, non del tutto nel funzionamento) a quello operato da società come CloudFlare attraverso le CDN. Una differenza interessante, ora che mi ci fai pensare, sta nell'approccio del marketing: Opera raggira i singoli utenti direttamente, le CDN invece passano per le aziende da cui si fanno pagare per installare il proprio MitM, mentre per gli utenti sono completamente trasparenti. E d'altro canto, trattandosi di software proprietario, scoprire cosa fa effettivamente Opera sarebbe estremamente costoso, nonostante i sorgenti che smarrirono nel 2017, ormai vetusti. Giacomo

June 8, 2020

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by Stefano Quintarelli

grazie On 08/06/2020 17:19, David Orban wrote: > Il browser Opera e le attività VPN sono di proprietà cinese dal 2016. > Magari è sfuggito... > > "Opera has sold most of itself to a Chinese consortium for $600 million. > The buyers, led by search and security firm Qihoo 360, are purchasing > Opera's browser business, its privacy and performance apps, its tech > licensing and, most importantly, its name." > https://www.engadget.com/2016-07-18-opera-browser-sold-to-a-chinese-consort… > > > "The following business units of Opera will be included in the Transaction: > · Mobile Browser, including Operator Co-brand solutions > · Desktop Browser > · Performance and Privacy Apps > · Opera's technology licensing business outside of Opera TV > · Opera's 29.09% ownership in the Chinese joint venture nHorizon" > https://newsweb.oslobors.no/message/406030 > > David Orban > "What is the question that I should be asking?" > davidorban.com <http://davidorban.com> > > ᐧ > > On Mon, Jun 8, 2020 at 5:09 PM Giacomo Tesio <giacomo(a)tesio.it > <mailto:giacomo@tesio.it>> wrote: > > On 08/06/2020, David Orban <david(a)davidorban.com > <mailto:david@davidorban.com>> wrote: > > On Mon, Jun 8, 2020 at 4:11 PM Stefano Quintarelli > <stefano(a)quintarelli.it <mailto:stefano@quintarelli.it>> > > wrote: > > > >> perche' non Opera ? > > > > Cinese? > > No, proprietario. ;-) > > > Poi Opera non sufficientemente diverso dai concorrenti più noti da > meritare una menzione distinta. > Usa Chromium per il rendering. Esegue automaticamente i JS... > > La VPN integrata e gratuita poi... è un proxy. > E anche non lo fosse, vale il consueto adagio: > se non paghi, il prodotto sei tu. ;-) > > > Giacomo > -- reserve your meeting with me at https://cal.quintarelli.it

June 8, 2020

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by David Orban

Il browser Opera e le attività VPN sono di proprietà cinese dal 2016. Magari è sfuggito... "Opera has sold most of itself to a Chinese consortium for $600 million. The buyers, led by search and security firm Qihoo 360, are purchasing Opera's browser business, its privacy and performance apps, its tech licensing and, most importantly, its name." https://www.engadget.com/2016-07-18-opera-browser-sold-to-a-chinese-consort… "The following business units of Opera will be included in the Transaction: · Mobile Browser, including Operator Co-brand solutions · Desktop Browser · Performance and Privacy Apps · Opera's technology licensing business outside of Opera TV · Opera's 29.09% ownership in the Chinese joint venture nHorizon" https://newsweb.oslobors.no/message/406030 David Orban "What is the question that I should be asking?" davidorban.com ᐧ On Mon, Jun 8, 2020 at 5:09 PM Giacomo Tesio <giacomo(a)tesio.it> wrote: > On 08/06/2020, David Orban <david(a)davidorban.com> wrote: > > On Mon, Jun 8, 2020 at 4:11 PM Stefano Quintarelli < > stefano(a)quintarelli.it> > > wrote: > > > >> perche' non Opera ? > > > > Cinese? > > No, proprietario. ;-) > > > Poi Opera non sufficientemente diverso dai concorrenti più noti da > meritare una menzione distinta. > Usa Chromium per il rendering. Esegue automaticamente i JS... > > La VPN integrata e gratuita poi... è un proxy. > E anche non lo fosse, vale il consueto adagio: > se non paghi, il prodotto sei tu. ;-) > > > Giacomo >

June 8, 2020

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by Giacomo Tesio

On 08/06/2020, David Orban <david(a)davidorban.com> wrote: > On Mon, Jun 8, 2020 at 4:11 PM Stefano Quintarelli <stefano(a)quintarelli.it> > wrote: > >> perche' non Opera ? > > Cinese? No, proprietario. ;-) Poi Opera non sufficientemente diverso dai concorrenti più noti da meritare una menzione distinta. Usa Chromium per il rendering. Esegue automaticamente i JS... La VPN integrata e gratuita poi... è un proxy. E anche non lo fosse, vale il consueto adagio: se non paghi, il prodotto sei tu. ;-) Giacomo

June 8, 2020