July 2020 - nexa - server-nexa.polito.it

Re: [nexa] Iranian Spies Accidentally Leaked Videos of Themselves Hacking

by Luigi Scorca

Chissà perché gli iraniani volevano mostrare questo.. Il ven 17 lug 2020, 10:02 Giacomo Tesio <giacomo(a)tesio.it> ha scritto: > In two videos IBM showed to WIRED on the condition that they not be > published, the hackers demonstrate the workflow for siphoning data out of a > hacked account. In one video, the hacker logs into a compromised Gmail > account—a dummy account for the demonstration—by plugging in credentials > from a text document, and links it to the email software Zimbra, designed > to manage multiple accounts from a single interface, using Zimbra to > download the account's entire inbox to the hacker's machine. Then the > hacker quickly deletes the alert in the victim's Gmail that says their > account permissions have been changed. Next the hacker downloads the > victim's contacts and photos from their Google account too. A second video > shows a similar workflow for a Yahoo account. > > The most telling element of the video, Wikoff says, is the speed the > hacker demonstrates in exfiltrating the accounts' information in real time. > The Google account's data is stolen in around four minutes. The Yahoo > account takes less than three minutes. In both cases, of course, a real > account populated with tens or hundreds of gigabytes of data would take far > longer to download. But the clips demonstrate how quickly that download > process is set up, Wikoff says, and suggest that the hackers are likely > carrying out this sort of personal data theft on a mass scale. "To see how > adept they are at going in and out of all these different webmail accounts > and setting them up to exfiltrate, it is just amazing," says Wikoff. "It’s > a well-oiled machine." [...] > > In other videos the IBM researchers declined to show to WIRED, the > researchers say the hackers appeared to be combing through and exfiltrating > data from real victims' accounts, rather than ones they created for > training purposes. One victim was a member of the US Navy, and another was > a two-decade veteran of the Greek Navy. The researchers say the APT35 > hackers appear to have stolen photos, emails, tax records, and other > personal information from both targeted individuals. > > > Continua su > http://web.archive.org/web/20200717040312/https://www.wired.com/story/iran-… > > Personalmente credo che in IBM si siano anzitutto sorpresi delle > implicazioni economiche del video. > > Negli States questo tipo di operazioni è del tutto automatizzata. In Iran > può essere fatta manualmente. > > > Giacomo > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

July 17, 2020

Selinger, "Did you protest recently? Your face might be in a database"

by J.C. DE MARTIN

*Did you protest recently? Your face might be in a database* /In the United States, at least one in four law enforcement agencies // //are able to use facial recognition technology. The implications are troubling/ /Evan Selinger and Albert Fox Cahn /Fri 17 Jul 2020 11.27 BST In recent weeks, millions have taken to the streets to oppose police violence and proudly say: “Black Lives Matter.” These protests will no doubt be featured in history books for many generations to come. But, as privacy researchers, we fear a darker legacy, too. We know that hundreds of thousands of photos and videos of protesters have been recorded and uploaded online. They could remain there indefinitely, only to be dredged up decades later. It is for this reason that we must ask whether those photos could end up in a facial recognition database. [...] continua qui: https://www.theguardian.com/commentisfree/2020/jul/17/protest-black-lives-m…

July 17, 2020

Re: [nexa] L'app magica di Yoshua Bengio

by Giuseppe Attardi

Questo dialogo è veramente frustrante. Qualcuno si offre con buona volontà per dare una mano ad affrontare un problema serissimo, per quel che può, per quel che sa. Essendo un informatico, consulta virologi, legge e valuta esperienze altrui. Emerge il consenso che la cosa da fare è contenere la diffusione individuando il più rapidamente possibile gli infetti e coloro che possano essere stati da loro infettati. Per farlo occorre rintracciarli uno per uno e da loro risalire a possibili infetti. Cosa può fare l’informatica per questo, visto che fare tutto a mano è impossibile? 1. Dotare i medici di strumenti per risalire dai contagiati ai possibili infetti sembrerebbe utile. 2. Dotare un folto numero di paramedici di strumenti per coordinarsi nel rintracciare i possibili infetti. Che strumenti informatici sono utilizzabili? - geolocalizzare tutti i cittadini con GPS (come propone SafePath del Medialab): neanche per sogno - tracciare tutti gli spostamenti tramite le celle telefoniche (invasivo e inaccurato) - usare BLE per rilevare contatti a breve distanza (forse, ci hanno provato a Singapore) Un collega di Singapore che lavora nello stesso istituto in cui è stata sviluppata la app dice che la stanno usando in pochi, nemmeno lui la usa. Suggerisce per avere dettagli o accesso al codice di passare attraverso l’ambasciata italiana. L’attaché scientifico risponde che non è in grado di aiutare, ma che comunque il codice verrà rilasciato a breve (cosa che già si sapeva). Scarichi la app per provarla e la prima cosa che chiede è un numero di cellulare di Singapore: no way. Nel frattempo circolano voci che il governo stia discutendo con gli operatori telefonici per avere i loro dati. È una follia. Allora, quando esce la Fast Call per idee per affrontare la pandemia, sottometti una proposta per una soluzione di contact tracing con uso di BLE, in modo che ci sia almeno una soluzione di quel tipo da valutare tra le altre. Con una azienda locale ci impegnano a realizzarla e renderla disponibile in 2 settimane. Il virologo più celebre della tua università, Pierluigi Lopalco, suggerisce di mettere a disposizione una app per somministrare un breve questionario alle persone che temono di essere state infettate. In più si propone un software di coordinamento per le equipe di volontari incaricati di contattare i sospetti, uno per uno. Nel frattempo, per essere pronto a un’eventuale consegna, ti metti in contatto con vari gruppi al mondo che stanno sviluppando app: SafePath, Covid Watch, Contact Tracer e Coronavirus Outbreak Control. Entri a partecipare nei loro Slack. Discuti, studi e analizzi le proposte tecniche, valuti il codice. Scopri che per esempio, nel codice di SafeWatch, c’è: if (deviceOS == ‘iOS”) return; // we can't run on iOS I più avanti sono quelli di Covid Watch, che propongono il protocollo TNC (Temporary Contact Number), ossia di assegnare un codice casuale variabile nel tempo da trasmettere via BLE. Buona idea: suggerisci un miglioramento al protocollo, che viene accolto. Nel frattempo tutti i gruppi si scontrano con il problema dell’accesso in background a Bluetooth su IOS. Il gruppo di Contact Trace prepara una lettera aperta ad Apple chiedendo di rimuovere la restrizione. Trasmetti la lettera agli altri gruppi perché aderiscano anche loro. Il messaggio giunge a Apple e a Google. Covid Watch a fine marzo pubblica il primo codice open source di un app BTLE. La compili la installi sul tuo cellulare, la provi e pubblichi su Facebook gli screen shot: è ancora rudimentale, ma funziona. Le reazioni sono: è sciocco fare una cosa che hanno già fatto a Singapore. Ma quella non può funzionare da noi. Ma se anche avessimo una soluzione migliore, noi in Italia no sapremmo realizzarla o farla funzionare. Nel frattempo si viene a sapere che la task force del MiD ha scelto una società di Milano per la fornitura della app. Ma come potrà funzionare questa app su iOS? Naturalmente non potrà. Ma userà BT? Non si sa, pare che userà GPS: inadatto. Si comincia a parlare di un’iniziativa europea, chiamata pomposamente PEPT-PT (Pan-European Privacy-Preserving Proximity Tracing), lanciata dal gruppo tedesco Fraunhofer. Si tratta di una soluzione centralizzata, buona forse in Germania, ma non da noi. L’EPFL pubblica una bozza di protocollo simile a TNC, chiamato DP3-T, e promette una app open source. Inizialmente partecipa a PPPT, ma poi ne esce per disaccordo su approccio centralizzato. I protocolli TNC e DP3-T sollevano l’attenzione di Google e Apple che ne prendono spunto per proporre una API comune per iOS e Android per lo sviluppo di app di Exposure Notification. Promettono che sarà disponibile a metà maggio. Nel frattempo esce Immuni e ovviamente ancora no si sa come funzionerà, e se adotterà DP-3T, PPPT o AG, visto che tutte queste soluzioni sono emerse DOPO il termine della Fast Call del MiD. Anzi, esce un’’intervista sul Corriere di Luca Foresti, uno dei proponenti, che afferma che usa sia BLE che GPS, ma che comunque a decidere sarà il governo. Esce un articolo che disanima il DP3-T, gli aspetti di privacy e di sicurezza. Sulla privacy non trova nulla di serio, ma prefigura possibili attacchi di malintenzionati ai server, all’invio di dati farlocchi o a modi indiretti per risalire a persone infette (es. attacco paparazzi). Rischi minimi e remoti, tanto che i garanti della privacy italiano e europeo non trovano nulla da ridire. Ti invitano a un’audizione parlamentare e ti inventi una spiegazione che speri sia comprensibile a fugare le paure di rischi di privatezza. È come comprare un biglietto della lotteria. Tu solo sai il numero dell tuo biglietto e puoi andare vedere se è tra quelli estratti nelle liste pubblicate sui giornali. Pubblichi un articolo su Wired per spiegare la tecnica che potrebbe usare la app, calcolando che i dati raccolti sono una quantità irrisoria, che svaniscono dopo 2 settimane. Inviti a rendere pubblico il codice e ad affidarne la gestione a un ente pubblico. Segnali la mancanza di una procedura di scambio di dati tra le autorità sanitarie di diversi paesi. Però la campagna anti-app monta. La app non va bene perché non si sa chi la gestirà. La gestirà Sogei. Non va bene perché non è Open Source. Sarà Open Source. Solo il codice della app, ma non il server. Viene pubblicato il codice del server. I dati sul distanziamento sono imprecisi. Verrà fatto un testing per fare il tuning. Ci stanno troppi falsi positivi. Quelli ci sono sempre, anche col tracciamento manuale. La app non è ancora uscita. Bisognava aspettare il rilascio dell’aggiornamento di iOS e Android. Se usa AG, allora loro raccolgono tutti i nostri dati. No, i dati restano sul cellulare, loro non ricevono nulla. I francesi e gli inglesi hanno deciso di fare da sé. Gli inglesi hanno dovuto fare marcia indietro perché il loro approccio non funzionava. Quella francese è una soluzione centralizzata, sostenuta con argomenti tecnici farlocchi, non ve la raccomando. Google ha imposto ai governi la sua soluzione. No, ciascuno ha scelto liberamente e gli inglesi lo hanno fatto perché così ha deciso il loro NHS. Immuni richiede l’attivazione di GPS. È un requisito del SO, ma non lo usa. E chi ci dice che non lo usa? Vai a vedere il codice. E chi mi assicura che quello sia il vero codice della app? James Larus di EPFL, ha raccontato martedì la storia di DP3-T e come abbiano lavorato all’implementazione di SwissCovid, superando innumerevoli problemi, tra cui le differenze tra i diversi dispositivi e le misurazioni per adattare il calcolo della distanza alle loro caratteristiche, le interazioni con AG per ottenere modifiche al protocollo. La loro app è simile a Immuni, ma è stata sviluppata da un ente pubblico. Da noi la comunità scientifica ha partecipato solo alle critiche. Lurs ha spiegato le comprensibili difficoltà anche per AG nel rilasciare sw di cui si deve garantire il buon funzionamento su miliardi di dispositivi. Come nela tradizione informatica quella rilasciata è la versione 1.0. In estate uscirà una seconda versione, che accoglie diverse esigenze di flessibilità, tra cui la possibilità di usare la tecnica che si vuole per stabilire se esiste un rischio di contagio. In parallelo, segnali che esiste la possibilità di arricchire la app con tecniche di ML, e proponi all’associazione italiana di AI di lanciare un progetto. Il direttivo stabilisce che l’argomento sia troppo lontano dagli interessi dell’associazione. Vai ad assistere a u seminario di Jushua Bengio (ACM Turing Award), che illustra come si potrebbe usare ML per stimare l rischio di infezione, usando un semplice questionario, guarda caso simile a quello che suggeriva Pierluigi Lopalco. Ne parlo coi colleghi, lo annunci su una lista. Nessuno se ne cura. Bengio pubblica la sua soluzione. Non va bene perché non è Open Source. Anche ste fosse OS non andrebbe bene se non spiega come funzione l’algoritmo. Anche se spiega l’algoritmo, non va bene, perché dovrebbe sottoporlo a queste verifiche. Sapete che vi dico? Che non parlerò più qui di app di exposure notification e vi lascio continuare a disquisire. — Beppe > On 17 Jul 2020, at 11:10, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: > > Buongionro, > > Giovanni Biscuolo <giovanni(a)biscuolo.net> writes: > > [...] > >> Per adesso il codice non è disponibile, nonostante il progetto sia stato >> presentato da mesi: >> >> https://covicanada.org/faq/ >> --8<---------------cut here---------------start------------->8--- >> >> Yes. All our codes will be open for scrutiny and improvement. And, as >> part of our not-for-profit mission, we want our work to be available to >> other countries to help in their fight against Covid-19. The codes will >> be distributed on github. If you are interested in using COVI please >> contact us at code(a)covicanada.org for more information. >> >> --8<---------------cut here---------------end--------------->8--- > > Aggiungo che a mio modesto avviso sarebbe anche opportuno che il > progetto includesse le informazioni indicate in: > > «The Machine Learning Reproducibility Checklist (v2.0, Apr.7 2020)» > https://www.cs.mcgill.ca/~jpineau/ReproducibilityChecklist.pdf > > radatta da Joelle Pineau [1] > > Oppure una «Model card» https://arxiv.org/abs/1810.03993 > > ...insomma qualcosa che permetta ai loro colleghi di replicare i > risultati della ricerca (magari senza doversi svenare con le risorse). > > Saluti, Giovanni > > [...] > > > [1] https://www.cs.mcgill.ca/~jpineau/ > > -- > Giovanni Biscuolo

July 17, 2020

Re: [nexa] The Court of Justice invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield

by Roberto Resoli

Il 17 luglio 2020 14:22:48 CEST, Roberto Resoli <roberto(a)resolutions.it> ha scritto: >Il 16 luglio 2020 15:33:27 CEST, Giovanni Biscuolo ><giovanni(a)biscuolo.net> ha scritto: >>Caro Roberto, >> >>grazie per la segnalazione e la traduzione, >> >>Roberto Resoli <roberto(a)resolutions.it> writes: >> >>[...] >> >>> La pagina di noyb.eu (che ha promosso la causa): >>> >>> https://noyb.eu/en/cjeu >>> >>> Traduco un estratto: >>> "Le autorità di protezione dei dati hanno il "dovere di agire" - Un >>> rafforzamento importante per il GDPR >> >>Mi permetto di aggiungere questo (scusa, non tradotto), che non mi >pare >>sia secondario in merito all'efficacia del GDPR: > >Infatti, tutta la pagina é molto interessante, soprattutto per le >considerazioni sulla responsabilità delle DPA in relazione all'uso (ed >abuso) delle SCC. > >Ovviamente le prime reazioni di FB sono di tutt'altro segno, come >riporta Riccardo Coluccini in questo bell'articolo: > >https://www.wired.it/internet/regole/2020/07/16/dati-personali-europa-usa/ > >"Eva Nagle, Associate General Counsel di Facebook, fa sapere: >“Accogliamo con favore la decisione della Corte di giustizia >dell’Unione europea di confermare la validità delle clausole >contrattuali standard per il trasferimento di dati verso paesi non Ue. > Queste clausole sono utilizzate da Facebook e da migliaia di aziende >in Europa e forniscono importanti garanzie per proteggere i dati dei >cittadini dell’Ue. Come molte aziende, stiamo valutando attentamente i >risultati e le implicazioni della decisione della Corte di Giustizia in >relazione all’uso del Privacy Shield e attendiamo con fiducia una guida >normativa a questo proposito. Faremo in modo che i nostri >inserzionisti, clienti e partner possano continuare a usufruire dei >servizi di Facebook mantenendo i loro dati al sicuro”. > >Sugli effetti pratici della sentenza staremo a vedere, ma mi sembra >inverosimile che la Commissione si affanni per provvedere con altre >ciambelle di salvataggio stile Privacy Shield, a meno di non innescare >conflitti istituzionali pesantissimi. > >Per quanto riguarda noyb, io sono un sostenitore della prima ora, e >sono molto felice di vedere i risultati raggiunti. Raccomando a chi a >cuore quel po' di libertà che ci rimane di unirsi a sostegno di >Schrems & C, è verament uno dei pochi modi che abbiamo per farci >sentire. Sul tema delle SCC, e ha smentire quanto affermato da Eva Nagle, sempre da noyb (segnalato da Bruno Saetta): https://noyb.eu/en/fact-check-facebook-can-no-longer-rely-scc rob

July 17, 2020

Re: [nexa] Fwd: Corte Ue: invalida la decisione della Commissione che ha ritenuto adeguata la protezione offerta dallo scudo UE-USA per la privacy (sent C-311/18)

by Roberto Resoli

Il 17 luglio 2020 09:25:46 CEST, Marco Ciurcina <ciurcina(a)studiolegale.it> ha scritto: >In data giovedì 16 luglio 2020 17:37:20 CEST, Giacomo Tesio ha scritto: >> Il July 16, 2020 8:40:02 AM UTC, Marco Ciurcina ><ciurcina(a)studiolegale.it> >ha scritto: >> > Ho la sensazione (da approfondire leggendo la sentenza, ancora non >> > disponibile) che sarà molto più oneroso verificare la legittimità >del >> > trasferimento di dati a fornitori di servizi USA.. >> >> C'è (almeno :-D) un aspetto del GDPR che non capisco, Marco: qualcuno >ha mai >> considerato che la copia dei dati non lascia tracce? E che quando le >> lascia, sempre possono essere cancellate? >Sospetto tu abbia letto nella parola "verificare" più di quel che >intendevo. >Mi riferivo alla verifica di compliance legale del trasferimento extra >UE dei >dati da realizzare alla luce della nuova sentenza. >m.c. Puntuale arriva anche il commento, estremamente interessante, di Bruno Saetta su valigiablu: https://www.valigiablu.it/corte-giustizia-europa-privacy-shield rob

July 17, 2020

Re: [nexa] The Court of Justice invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield

by Roberto Resoli

Il 16 luglio 2020 15:33:27 CEST, Giovanni Biscuolo <giovanni(a)biscuolo.net> ha scritto: >Caro Roberto, > >grazie per la segnalazione e la traduzione, > >Roberto Resoli <roberto(a)resolutions.it> writes: > >[...] > >> La pagina di noyb.eu (che ha promosso la causa): >> >> https://noyb.eu/en/cjeu >> >> Traduco un estratto: >> "Le autorità di protezione dei dati hanno il "dovere di agire" - Un >> rafforzamento importante per il GDPR > >Mi permetto di aggiungere questo (scusa, non tradotto), che non mi pare >sia secondario in merito all'efficacia del GDPR: Infatti, tutta la pagina é molto interessante, soprattutto per le considerazioni sulla responsabilità delle DPA in relazione all'uso (ed abuso) delle SCC. Ovviamente le prime reazioni di FB sono di tutt'altro segno, come riporta Riccardo Coluccini in questo bell'articolo: https://www.wired.it/internet/regole/2020/07/16/dati-personali-europa-usa/ "Eva Nagle, Associate General Counsel di Facebook, fa sapere: “Accogliamo con favore la decisione della Corte di giustizia dell’Unione europea di confermare la validità delle clausole contrattuali standard per il trasferimento di dati verso paesi non Ue. Queste clausole sono utilizzate da Facebook e da migliaia di aziende in Europa e forniscono importanti garanzie per proteggere i dati dei cittadini dell’Ue. Come molte aziende, stiamo valutando attentamente i risultati e le implicazioni della decisione della Corte di Giustizia in relazione all’uso del Privacy Shield e attendiamo con fiducia una guida normativa a questo proposito. Faremo in modo che i nostri inserzionisti, clienti e partner possano continuare a usufruire dei servizi di Facebook mantenendo i loro dati al sicuro”. Sugli effetti pratici della sentenza staremo a vedere, ma mi sembra inverosimile che la Commissione si affanni per provvedere con altre ciambelle di salvataggio stile Privacy Shield, a meno di non innescare conflitti istituzionali pesantissimi. Per quanto riguarda noyb, io sono un sostenitore della prima ora, e sono molto felice di vedere i risultati raggiunti. Raccomando a chi a cuore quel po' di libertà che ci rimane di unirsi a sostegno di Schrems & C, è verament uno dei pochi modi che abbiamo per farci sentire. rob

July 17, 2020

Re: [nexa] Q&A: The Data Delusion

by Giuseppe Attardi

The Apple case is an example. Verstrager tried to fight with swords against firearms, or cavalry against tanks. Stefano Quintarelli notes in Capitalismo immateriale: “La perdita di gettito fiscale per lo stato a causa del fatto che le multinazionali digitali erogano all’estero beni e servizi digitali sul mercato nazionale, è quindi solo un epifenomeno di una più radicale trasformazione in atto, che ha un potenziale di interferenza senza precedenti nell’informazione, nelle relazioni sociali e nell’economia”. The antitrust laws conceived in the last century are not suitable to the modern digital society and the time of reaction of legislators is not slow to catch up with new unanticipated behaviours or means to sidesteps them. A complete redesign of regulations for the digital age is needed, but as also Quintarelli notices, this would require a change of mind in the public opinion. Instead the population has been lulled by the apparent benefits of free services in exchange of giving away their minds in a faustian exchange. When Google announces it is opening two datacenters in Italy, the prime minister Conte expresses appraisal: he does not see that if Google had paid its due taxes, he would have had even more money to invest in building his own datacenters, creating infrastructure and valuable assets (CAPEX), instead of keeping spending (OPEX) and increasing Google profit. The infrastructures, that Italy desperately needs, would also have had a multiplicative effect produced by the value produced by its users and the competences that would be created. We have become addicted and accomplices. -- > On 16 Jul 2020, at 20:14, nexa-request(a)server-nexa.polito.it wrote: > > Schaake: How do you reflect on the difference in speed between technological innovations and democratic lawmaking? Some people imply this will give authoritarian regimes an advantage in setting global standards and rules. What are your thoughts on ensuring democratic governments speed up? > Tisné: Democracies cannot afford to be outpaced by technological innovation and constantly be fighting yesterday?s wars. Our laws have not changed to reflect changes in technology, which extracts value from collective data, and need to catch up. A lot of the problems stem from the fact that in government (as in companies), the people responsible for enforcement are separated from those with the technical understanding. The solution lies in much better translation between technology, policy and the needs of the public.

July 17, 2020

Re: [nexa] L'app magica di Yoshua Bengio

by Giovanni Biscuolo

Buongionro, Giovanni Biscuolo <giovanni(a)biscuolo.net> writes: [...] > Per adesso il codice non è disponibile, nonostante il progetto sia stato > presentato da mesi: > > https://covicanada.org/faq/ > --8<---------------cut here---------------start------------->8--- > > Yes. All our codes will be open for scrutiny and improvement. And, as > part of our not-for-profit mission, we want our work to be available to > other countries to help in their fight against Covid-19. The codes will > be distributed on github. If you are interested in using COVI please > contact us at code(a)covicanada.org for more information. > > --8<---------------cut here---------------end--------------->8--- Aggiungo che a mio modesto avviso sarebbe anche opportuno che il progetto includesse le informazioni indicate in: «The Machine Learning Reproducibility Checklist (v2.0, Apr.7 2020)» https://www.cs.mcgill.ca/~jpineau/ReproducibilityChecklist.pdf radatta da Joelle Pineau [1] Oppure una «Model card» https://arxiv.org/abs/1810.03993 ...insomma qualcosa che permetta ai loro colleghi di replicare i risultati della ricerca (magari senza doversi svenare con le risorse). Saluti, Giovanni [...] [1] https://www.cs.mcgill.ca/~jpineau/ -- Giovanni Biscuolo

July 17, 2020

Iranian Spies Accidentally Leaked Videos of Themselves Hacking

by Giacomo Tesio

In two videos IBM showed to WIRED on the condition that they not be published, the hackers demonstrate the workflow for siphoning data out of a hacked account. In one video, the hacker logs into a compromised Gmail account—a dummy account for the demonstration—by plugging in credentials from a text document, and links it to the email software Zimbra, designed to manage multiple accounts from a single interface, using Zimbra to download the account's entire inbox to the hacker's machine. Then the hacker quickly deletes the alert in the victim's Gmail that says their account permissions have been changed. Next the hacker downloads the victim's contacts and photos from their Google account too. A second video shows a similar workflow for a Yahoo account. The most telling element of the video, Wikoff says, is the speed the hacker demonstrates in exfiltrating the accounts' information in real time. The Google account's data is stolen in around four minutes. The Yahoo account takes less than three minutes. In both cases, of course, a real account populated with tens or hundreds of gigabytes of data would take far longer to download. But the clips demonstrate how quickly that download process is set up, Wikoff says, and suggest that the hackers are likely carrying out this sort of personal data theft on a mass scale. "To see how adept they are at going in and out of all these different webmail accounts and setting them up to exfiltrate, it is just amazing," says Wikoff. "It’s a well-oiled machine." [...] In other videos the IBM researchers declined to show to WIRED, the researchers say the hackers appeared to be combing through and exfiltrating data from real victims' accounts, rather than ones they created for training purposes. One victim was a member of the US Navy, and another was a two-decade veteran of the Greek Navy. The researchers say the APT35 hackers appear to have stolen photos, emails, tax records, and other personal information from both targeted individuals. Continua su http://web.archive.org/web/20200717040312/https://www.wired.com/story/iran-… Personalmente credo che in IBM si siano anzitutto sorpresi delle implicazioni economiche del video. Negli States questo tipo di operazioni è del tutto automatizzata. In Iran può essere fatta manualmente. Giacomo

July 17, 2020

Re: [nexa] Fwd: Corte Ue: invalida la decisione della Commissione che ha ritenuto adeguata la protezione offerta dallo scudo UE-USA per la privacy (sent C-311/18)

by Marco Ciurcina

In data giovedì 16 luglio 2020 17:37:20 CEST, Giacomo Tesio ha scritto: > Il July 16, 2020 8:40:02 AM UTC, Marco Ciurcina <ciurcina(a)studiolegale.it> ha scritto: > > Ho la sensazione (da approfondire leggendo la sentenza, ancora non > > disponibile) che sarà molto più oneroso verificare la legittimità del > > trasferimento di dati a fornitori di servizi USA.. > > C'è (almeno :-D) un aspetto del GDPR che non capisco, Marco: qualcuno ha mai > considerato che la copia dei dati non lascia tracce? E che quando le > lascia, sempre possono essere cancellate? Sospetto tu abbia letto nella parola "verificare" più di quel che intendevo. Mi riferivo alla verifica di compliance legale del trasferimento extra UE dei dati da realizzare alla luce della nuova sentenza. m.c. > > > La copia di dati non lascia traccia. > > > Da un punto di vista tecnico esiste un solo modo¹ attraverso cui il > controller dei dati può garantire che i diritti del data subject non > vengano violati da un processor o un subprocessor: avere il controllo > fisico esclusivo (e sicuro) dei server su cui si trovano i dati e su cui > avvengono le elaborazioni (nonché, ovviamente, della rete che li collega). > > Ciò significa che il controller non invia, in alcuna forma, i dati al > processor, ma il data processor invia il software di analisi al controller, > che lo esegue sulle proprie macchine e sotto il proprio controllo. > > > A quanto ne so, questo è l'unico modello di data-processing tecnicamente > compatibile con il GDPR. > > Lo storage di dati su server di terze parti sarebbe possibile solo in forma > cifrata, con una cifratura molto forte (ovvero computazionalmente costosa) > le cui chiavi siano sotto il controllo esclusivo del controller, ma > l'elaborazione dei dati stessi può avvenire solo sotto il controllo diretto > del controller, pena l'inefficacia di fatto di qualsiasi protezione del > data subject. > > > Mi sfugge qualcosa che tu sappia? > > > Giacomo > > > > (1) la crittografia omomorfica è ancora troppo lenta e sospetto che > attraverso timing attacks sia possibile ottenere parte dei dati cifrati.

July 17, 2020