June 2020 - nexa - server-nexa.polito.it

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by David Orban

> Opera Cinese? On Mon, Jun 8, 2020 at 4:11 PM Stefano Quintarelli <stefano(a)quintarelli.it> wrote: > perche' non Opera ? > (non e' retorica) > > On 08/06/2020 16:08, Giacomo Tesio wrote: > > E poi perché sia Chromium che Mozilla bilanciano la sicurezza degli > > utenti con gli interessi economici dei propri finanziatori. > > -- > reserve your meeting with me at https://cal.quintarelli.it > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- David Orban "What is the question that I should be asking?" davidorban.com

June 8, 2020

Re: [nexa] The Brave web browser is hijacking links, and inserting affiliate codes

by Stefano Quintarelli

perche' non Opera ? (non e' retorica) On 08/06/2020 16:08, Giacomo Tesio wrote: > E poi perché sia Chromium che Mozilla bilanciano la sicurezza degli > utenti con gli interessi economici dei propri finanziatori. -- reserve your meeting with me at https://cal.quintarelli.it

June 8, 2020

The Brave web browser is hijacking links, and inserting affiliate codes

by Giacomo Tesio

https://davidgerard.co.uk/blockchain/2020/06/06/the-brave-web-browser-is-hi… The Brave web browser sells itself on privacy, security and ad-blocking. It also has its own cryptocurrency, the Basic Attention Token. As such, it’s a favourite with crypto people — or ones who don’t know how to install uBlock Origin, anyway. # What Brave’s done this time Brave is very into affiliate marketing. Just in March this year, Brave was caught running eToro affiliate marketing without the legally-required disclaimers — and Brave staff were caught deleting all mention of this from the /r/brave_browser subforum on Reddit. [Github, archive] If you’re using Brave and try to go to the Binance crypto exchange, Brave hijacks the Binance link you typed in, and autofills with its own affiliate code. This was spotted by @cryptonator1337 on Twitter earlier today. [...] This ignores the legally required disclosures for affiliate links — the disclosures that Brave also ignored for the eToro links in March. In the US, the FTC has required full disclosure of affiliate marketing since 2009 — you have to put it right there on the page. Similar rules apply in the UK and the EU. (See my Amazon disclosure at the bottom-right of this post, for example.) However, Eich is very sorry that Brave got caught — again — and something will be changed in some manner to stop this behaviour, or at least obscure it. (Eich doesn’t say precisely what the totally fine thing Brave thought it was doing was, or what’s going to change here.) [...] # What should Brave do? I’d like to assume Eich is acting in good faith here — but this sort of nonsense keeps happening. When you see you’ve done something wrong, you should fix it — then explain what you got wrong, that you understand why your users are upset, and precisely how this happened, step by step. Then you don’t do it again. And you put systems into place so that you don’t do it again. What you don’t do is to rack up a chain of other unmarked affiliate advertising, or pull what looks remarkably like donation fraud. Then apologise each time, say you’ve fixed it … and then do it again. This is precisely what scammers do — they apologise, they swear they’ll fix it, and then they do it again. # What should I do, as a Brave user? There is no good reason to use Brave. Use Chromium — the open-source core of Chrome — with the uBlock Origin ad blocker. Or use Firefox with uBlock Origin — ‘cos it blocks more ads than the Chromium framework will let anything block Or [...] _________ Non condivido appieno le alternative suggerite. Anzitutto perché preferisco suggerire uMatrix ad uBlock Origin (anche se mi rendo conto che richiede un minimo di formazione per essere usato correttamente). E poi perché sia Chromium che Mozilla bilanciano la sicurezza degli utenti con gli interessi economici dei propri finanziatori. Giacomo

June 8, 2020

Teledidattica: proprietaria e privata o libera e pubblica?

by Giacomo Tesio

Ciao, vorrei condividere con voi questa ottima lettura: https://www.roars.it/online/teledidattica-proprietaria-e-privata-o-libera-e… Per quel che conta, da informatico E cittadino, anche io condivido le preoccupazioni e lo sbigottimento di Maria Chiara. > È però chiaro, perfino a chi, come me, conosce l’informatica > solo per sentito dire, che una comunità universitaria e di ricerca > collettivamente incapace di mantenere e sviluppare > un’infrastruttura propria, di controllare i propri dati e di > promuovere e sviluppare competenze proprie pagherà un > prezzo infinitamente alto in termini di sapere, di potere e di > libertà, perché sarà sempre più dipendente – entro ambienti > di scelta disegnati da altri – da sistemi e da > conoscenze che non le appartengono. > > Non si limiterà, cioè, a mettere i propri dati sul computer > di qualcun altro, fuori d’Italia, ma sarà usata da strumenti > e ambienti di scelta disegnati da qualcun altro, e cioè da > multinazionali private che traggono profitto dal commercio > di manipolazione e sorveglianza. E formerà, per le aziende > italiane, tecnici a loro volta incapaci di farne a meno, > perché nient’altro è stato loro insegnato. Io posso dire che quanto descritto da Maria Chiara corrisponde tragicamente con la mia esperienza diretta nel mondo del lavoro. Giacomo

June 8, 2020

Re: [nexa] in browser port scanning... altro?

by Giacomo Tesio

On 08/06/2020, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: > Mi rimane il mio dubbio terrificante: > >>> Siamo sicuri che una tecnica analoga non possa essere usata anche per >>> **esporre** un'intera rete locale attraverso un reverse tunnell "in >>> browser" sfruttando questa tecnica: https://github.com/MDSLab/wstun?!? Risponderti è più complesso di quanto non sembri. I WebSocket non sono semplici socket TCP/UDP: anche dopo l'handshake con il servizio la comunicazione avviene attraverso uno scambio di messaggi composti da uno o più frame dal formato prestabilito https://tools.ietf.org/html/rfc6455#section-5 Dunque IN TEORIA non puoi usare un WebSocket per accedere ad un comune servizio telnet, primo perché non risponderebbe all'handshake, poi perché non rispetterebbe il protocollo. Tuttavia, se hai dei servizi WebSocket sulla tua rete (consapevolmente o meno), quelli sono ad un DNS rebinding di distanza da qualsiasi sito web che visiti con JavaScript abilitato. E naturalmente, se ti installi (consapevolmente o meno) un proxy WebSocket sulla tua rete o sulla tua macchina, a quel punto ogni sito web potrà accedervi allo stesso modo ed il proxy tradurrà l'eventuale protocollo telnet (o SSH o IMAP o...) verso le macchine di interesse. Dunque IN TEORIA, se usano WebSocket per accedere a servizi non WebSocket, i membri del WHATWG possono dire che la responsabilità è tua che non hai impedito a tuo figlio di installare il videogioco infetto dal malware. Ed IN TEORIA, la pratica corrisponde alla teoria. Ma in pratica non è così. La realtà è questa (prendo solo i primi link che ho sottomano): https://www.zdnet.com/article/google-reveals-chrome-zero-day-under-active-a… https://www.cisecurity.org/advisory/critical-patches-issued-for-microsoft-p… https://www.theregister.com/2020/06/04/firefox_77_security_fixes/ Qui si enunciano convenientemente i gloriosi fix... ma fino al fix? Esatto, per parafrasare le tue parole: per tenere al sicuro la tua rete locale dal tuo browser DEVI usare una macchina dedicata con tanto di rete dedicata... > Grazie per gli ulteriori puntatori, li conserverò per le lunghe sere > invernali quando racconterò ai miei nipoti quanto era triste il mondo in > cui vivevamo, nel quale per consultare pagine web senza rischiare di > essere oggetto di attacchi informatici era necessario indossare un > analogo virtuale delle tute contro il rischio biochimico. ... o disabilitare JavaScript. ;-) Giacomo

June 8, 2020

Re: [nexa] in browser port scanning... altro?

by Giovanni Biscuolo

Ciao Stefano, Stefano Traverso <s.traverso(a)ermessecurity.com> writes: [...] > Tendenzialmente queste tecniche sono usate per anti-frode o per > riconoscere il traffico dei bot. Come quasi sempre accade con la > raccolta di dati, tuttavia, non c’e’ modo di verificare quanto viene > dichiarato. Grazie per gli ulteriori puntatori, li conserverò per le lunghe sere invernali quando racconterò ai miei nipoti quanto era triste il mondo in cui vivevamo, nel quale per consultare pagine web senza rischiare di essere oggetto di attacchi informatici era necessario indossare un analogo virtuale delle tute contro il rischio biochimico. [...] Mi rimane il mio dubbio terrificante: >> Siamo sicuri che una tecnica analoga non possa essere usata anche per >> **esporre** un'intera rete locale attraverso un reverse tunnell "in >> browser" sfruttando questa tecnica: https://github.com/MDSLab/wstun?!? [...] Saluti, Giovanni -- Giovanni Biscuolo

June 8, 2020

IFDAD 2020

by Stefano Quintarelli

Dear Colleagues, IFDaD is an international forum on Digital and Democracy (ifdad.org) that will be held at Ca’ Foscari University of Venice + Fondazione Giorgio Cini on December 10-11, 2020, Venice. The forum aims to be a meeting place between politics and academics being aware that laws, institutions and organizations with secular foundations, with their times and human scale are not compatible with the scale and speed of the immaterial world exploited for political purposes. Submissions will undergo a single blind peer review and the selected proceedings will be published by CEUR in the CEUR-WS.org: AI*IA Series. CEUR is a free open-access publication service of Sun SITE Central Europe. BioLaw Journal may consider conference papers in the area of law, artificial intelligence, life sciences and bioethics for publication but selected papers need to be extended and adapted according to the journal’s requirements. Jeffrey Sachs, Gianluca Misuraca, Romano Prodi and Dave Eggers are among the key speakers. Registration to the conference is free of charge until sold out. Travel grants with limited funding are available applying at info(a)ifdad.org with a cv and a motivation letter In the case of restrictions on mass gatherings and large events or on travels, e.g. due to Covid-19, IFDaD 2020 will be held online. Below you will find the important dates and the titles of the tracks. IMPORTANT DATES July 31st 2020 Submission deadline October 10th 2020 Communication of the Accepted Paper November 10th 2020 Camera-ready deadline The call for paper and further information at this link https://www.ifdad.org /---------------------------------------------------------------/ CONFERENCE TRACKS TRACK 1 | Democracy and political decision Analysis from an individual standpoint: develop effective, accountable and transparent Institutions. The role of technology in pursuing such aims. Computer aided policy making, civic artificial intelligence. How artificial intelligence could assist citizens in activating their rights, including information and participation rights. The changing role of institutions based on inclusive voting. How e-voting can help the formulation of parliamentary and assembly proceedings (e.g. critical situation like COVID-19). Balance between representative system and direct or deliberative participation. TRACK 2 Social involvement and participation Analysis from a society standpoint: ensure responsive, inclusive, participatory and representative decision-making at all levels. How people are engaged and eventually become part of the organization. How people are educated and informed; how the public opinion is formed and can be oriented; how media and platforms should work to promote democracy and human rights (top down flows). Citizen inclusion and digital divide: gender, age, education. TRACK 3 Participation and functioning of parties Analysis from a body standpoint: broaden and strengthen the participation of developing countries in the institutions of global governance. How people opinion is collected, structured and analyzed; how people self-organize to form political entities; the role of participatory budgeting, e-Consultation, e-Polling, and e-Legislation [citizen assemblies, popular initiatives, petitions (bottom up flows)]. Parties’ internal operation: frameworks for a political ERP system. TRACK 4 Information access and integrity Analysis from a institution standpoint: ensure public access to sound information and protect fundamental freedoms in accordance with national legislation and international agreements. How people are informed about the work of organizations (including PA). Methods to finance political parties and campaigns; methods for countering corruption; how to address the self-propagation issue in the political class (i.e. people getting in power and then doing whatever it takes to stay there and/or get a private financial gain). Big data, fake news and democracy manipulation: after Cambridge Analytica. The scientific committee and the organizing committee are looking forward to meeting you in Venice! https://ifdad.org

June 8, 2020

Re: [nexa] in browser port scanning... altro?

by Giovanni Biscuolo

Ciao Giacomo, so di sfondare un portone aperto con te, quindi quello che ci diciamo tra noi praticamente vale come uno sfogo tra due brontoloni di mezza età considerati competenti ma un po' troppo paranoici da molti, persino da coloro cui vogliamo bene :-O Giacomo Tesio <giacomo(a)tesio.it> writes: > Lo fa anche il governo Russo. > E sì permette anche di mappare una rete interna. Oh certo, lo davo per scontato. Rimane il mio terrificante dubbio: è possibile usare il browser _anche_ per attivare un reverse tunnell via websocket via Javascript per farci passare traffico TCP (o UDP) arbitrario?!? Di solito do per scontato che tutte le macchine sulla mia rete locale (le appliances "smart" sono _disconnesse_ dalla rete qui) siano fidate e per questo alcuni servizi interni sono meno blindati del solito: non vorrei essere costretto a considerare **ostile** la mia rete locale per il solo fatto che c'è una macchina con un browser :-O > Si tratta di un attacco che ho ideato 2 anni fa, come esempio di una > vasta classe di attacchi possibili su un browser, visto che mi si > chiedeva un Proof-of-concept. > O meglio, qui si fanno le cose complicate: basta cercare di caricare > una GIF e misurare il tempo in cui ricevi l'errore. > > La segnalazione a Mozilla (e successivamente a Chrome) è qui: > > https://bugzilla.mozilla.org/show_bug.cgi?id=1487081 Aggià, quando ho scritto il messaggio dimenticavo di "riaprire una vecchia ferita": confesso di non aver letto tutto tutto dei vari thread annessi e connessi, ma ho letto molto :-) Per dirtela tutta l'ultimo dei miei problemi è che in qualche modo un "sito esterno" riesca a *infiltrare* contenuti illegali o meno nella cache del mio browser: so come difendermi da questa specie di attacchi puerili (e aiutare chi ha la sfortuna di conoscermi personalmente a difendersi, se lo capisce). Quando navigo "il web" e più del 60% (a spanne) di quello che visito non funziona senza Javascript dico la verità: mi arrendo e lo abilito, affidandomi a qualche buona pratica e a uBlockOrigin (e qualche volta LibreJS)... provo di tanto in tanto a usare NoScript ma l'esperienza di navigazione è terribile. E in questa casa non sono l'unico a usare il browser; neanche in ufficio :-S ...però, però, però più passa il tempo più mi rendo conto di quanto sia disperata la situazione della sicurezza del **mio** browser, anche se il **mio** browser di default è ungoogled-chromium installato via Guix (in poche parole un binario ultra affidabile) La morale della favola è che per tenere al sicuro la mia rete locale dal mio browser dovrei usare una virtual machine (o un container) con tanto di rete dedicata... che menata! [...] > Successivamente, uno dei miei tanti detrattori inziali si accorse che > ci si poteva appunto mappare l'intera rete > > https://rain-1.github.io/in-browser-localhostdiscovery Me lo ero perso: interessante > Ma in realtà, in un mondo di IoT con telecamere accessibili via HTTP, > ci si può fare molto di più! ;-) Tipo "Lasciate ogni speranza oh voi ch'entrate" (...o uscite?!?) [...] > DUE anni dopo questi attacchi sono ancora possibili. D'altronde, come > mi risposero da Mozilla nella issue, > > "this is the Web functioning as designed" E purtroppo hanno anche la faccia tosta di avere ragione: grazie a Javascript il web oggi è progettato da far schifo, e con Webassembly le cose peggioreranno a livelli tali che - almeno mi auguro - crollerà tutto. La cosa è talmente drammatica che per chi distribuisce browser (il cui sviluppo è finanziato da chi? in che modo?) significherebbe buttare nel cestino gli ultimi 10 anni di penosi sviluppi e tornare a XHTML e un ecosistema di **trasmissione ipertesto** sano. Chi ha pensato di **abusare** del browser per trasformare il web in un sistema computazionale distribuito ha fatto proprio una boiata intergalattica. Punto. Chiudo con le parole di "spycrowsotf" nel thread Lobste.rs che hai salvato: http://www.tesio.it/documents/Mozilla-Bug1487081-Attachments/Undetectable_R… --8<---------------cut here---------------start------------->8--- [...] If you want to run something, run it on your servers and get off my laptop, phone, tv or even production-machines. Those are mine and if your website can’t handle it, then your website is simply terrible from a user experience viewpoint, dreadfully inefficient and doomed to come back hunting you when you are already in a bind because of an entirely different customer or issue. As a consequence of this way of thinking, a few web-driven systems I wrote more than a decade ago, are still live and going strong without a single security incident and without any performance issues while at the same time reaping the benefits of the better hardware they’ve been migrated to over the years. Therefore it is still my firm belief that a browser is primarily a tool to display content from random URLs I throw at it and not an application platform which executes code from the URLs thrown at it. --8<---------------cut here---------------end--------------->8--- [...] La cosa che mi rattrista molto è che ormai da più di 10 anni molte persone molto in gamba hanno capito perfettamente come (ri)costruire un ecosistema di comunicazione sano ma sono costretti a farlo coi fichi secchi perché le risorse sono interamente risucchiate da chi ci sguazza alla grande in questa tristissima situazione. Saluti. Giovanni. -- Giovanni Biscuolo

June 8, 2020

Re: [nexa] in browser port scanning... altro?

by Stefano Traverso

Ciao Giovanni, il private network scan tramite browser e’ una realta’ ormai consolidata purtroppo e in genere si usa WebRTC per farlo: https://github.com/diafygi/webrtc-ips Il sito del NYTimes lo usa/usava per distinguere il traffico generato da bot da quello degli utenti reali (almeno questa e’ la versione ufficiale): https://news.ycombinator.com/item?id=9893561 Questo articolo di Princeton ne ha verificato l’adozione sui siti piu’ popolari di Internet nel 2016 (sezione 6.3): https://dl.acm.org/doi/pdf/10.1145/2976749.2978313 Tendenzialmente queste tecniche sono usate per anti-frode o per riconoscere il traffico dei bot. Come quasi sempre accade con la raccolta di dati, tuttavia, non c’e’ modo di verificare quanto viene dichiarato. Stefano On 7 Jun 2020, at 18:39, Giovanni Biscuolo <giovanni(a)biscuolo.net<mailto:giovanni@biscuolo.net>> wrote: Cari nexiani, un amico molto tecnico mi segnala questo articolo molto tecnico, che in buona sostanza rivela come Ebay e molti altri clienti di LexisNexis utilizzino *anche* la tecnica del port scanning del PC sul quale funziona il browser (via Javascript) per profilare i visitatori. Il port scanning è una tecnica che serve per sapere quali porte sono "aperte" su un host e di conseguenza stabilire quali servizi sono in funzione sul quell'host. Siamo sicuri che una tecnica analoga non possa essere usata anche per **esporre** un'intera rete locale attraverso un reverse tunnell "in browser" sfruttando questa tecnica: https://github.com/MDSLab/wstun?!? (chiedo scusa se ai non addetti ai lavori sembra arabo) Qualche esperto websocket/Javascript in lista può dirmi se sono eccessivamente paranoico? «Ebay is port scanning visitors to their website - and they aren't the only ones», by Dan Nemec, 24 May 2020 https://blog.nem.ec/2020/05/24/ebay-port-scanning/ --8<---------------cut here---------------start------------->8--- [...] actually discussing a different type of port scanning, one initiated directly by a website the target loads in their browser. It’s an ingenius, if not insidious, technique that allows would-be port scanners to paradrop straight into an internal network and scan it using Javascript from within the browser context. As an aside, this is something that a browser extension could block, however the company behind the port scanning uses techniques to prevent widespread blocking of their trackers, as we’ll see later. How Browser Port Scanning Works While modern browsers allow Javascript to make requests to other domain names than the one you’re currently visiting (e.g. www.ebay.com<http://www.ebay.com>), they layer on security controls to ensure the target data allows the calling website to access it. This prevents, for example, a malicious website from requesting the account details from you bank’s website. However, even without knowing the contents of the remote site, details about the connection itself (such as the time it takes to connect or time out) can be used to infer whether or not a website exists at the given host and port. A bit of Javascript code can wrap that into a package and allow any site to scan a user’s internal network, determining which IP addresses and ports have services running. Further, because many well-known services are commonly available on the same port (there is a registration page, but it’s more of a guideline than a hard and fast rule), it’s possible to also infer some programs that a user may be running on their network depending on whether the port is open or not. [...] In trying to load Ebay locally I found that I couldn’t replicate the behavior in Linux even after spoofing a Windows User Agent and disabling all of my extensions. There must be some check hidden in the Javascript, but as of yet I haven’t found one. After that, I loaded a Windows VM, installed the latest Edge, fired up https://www.ebay.com, and I finally replicated the port scanning behavior. However, I had some trouble replicating the behavior reliably, and after some trial and error I found that https://signin.ebay.com/ was far more reliable for triggering the port scanning. [...] To summarize what we’ve found so far: * Ebay collects data on whether certain ports are open on your local PC * This data is shipped to an Ebay domain, but does not seem to be used * otherwise Additional data like User Agent and IP are also sent [...] the domain where data is exfiltrated is not a subdomain of ebay.com<http://ebay.com> - it’s ebay-us.com<http://ebay-us.com>. Still, a quick check shows that it’s owned by somebody at Ebay, so at the very least it isn’t phishing malware. Twitter user Armchair IR pointed out that similar behavior has been seen by Facebook and it traced to a company called ThreatMetrix, an identity tracking/anti-fraud company. Checking the DNS records for src.ebay-us.com<http://src.ebay-us.com>, sure enough it’s a CNAME to h-ebay.online-metrix.net<http://h-ebay.online-metrix.net>, a domain owned by ThreatMetrix Inc. [...] It’s not just Ebay scanning your ports, there is allegedly a network of 30,000 websites out there all working for the common aim of harvesting open ports, collecting IP addresses, and User Agents in an attempt to track users all across the web. And this isn’t some rogue team within Ebay setting out to skirt the law, you can bet that LexisNexis lawyers have thoroughly covered their bases when extending this service to their customers (at least in the U.S.). --8<---------------cut here---------------end--------------->8--- Saluti, Giovanni. -- Giovanni Biscuolo _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa — Stefano Traverso, PhD Chief Technical Officer @ Ermes Cyber Security Mail: s.traverso(a)ermessecurity.com<mailto:s.traverso@ermessecurity.com> Mobile: +393280367702

June 8, 2020

Reminder | 130° Mercoledì di Nexa | 10 Giugno 2020

by Nexa Media

Gentilissimi, vi ricordiamo che mercoledì 10 giugno, dalle ore 18.00 alle ore 20.00, si svolgerà il 130° Mercoledì di Nexa, con un incontro dal titolo: *Potere computazionale. L'impatto delle ICT su diritto, società, sapere*. Ospiti: Prof.**/Massimo Durante //(Università di Torino e Fellow Centro Nexa)/ e///Prof. //Luciano Floridi//(University of Oxford)./ L'incontro si svolgerà in *modalità telematica*, utilizzando il software open source di conference call *Jitsi Meet*. Per chi vorrà partecipare live al seminario sarà quindi possibile accedere alla conference call attraverso il seguente link: https://meet.nexacenter.org/MercolediNexa Per chi non potrà partecipare alla conference call sarà possibile, come di consueto, seguire il seminario live via web sul canale YouTube del Centro Nexa all'indirizzo: https://www.youtube.com/watch?v=_ARoAw-7jYU Maggiori informazioni sull'incontro sono disponibili alla pagina: https://nexa.polito.it/mercoledi-130 Cordiali saluti,   -- Anita Botta Communication Manager Nexa Center for Internet & Society Politecnico di Torino – DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino _web:_ https://nexa.polito.it/ _mail:_anita.botta@polito.it <mailto:anita.botta@polito.it> tel: 011 090 7219

June 8, 2020