August 2020 - nexa - server-nexa.polito.it

Re: [nexa] Three people just got charged for Twitter’s huge hack, and a Florida teen is in jail

by Giacomo Tesio

Ti ringrazio per la ottima rassegna (come sempre). Per la maggioranza del pianeta, più che "too big to blame" direi "too far to persecute", o più semplicemente "Americani". Per gli Stati Uniti invece è semplice "business as usual". "It’s Easier To Ask Forgiveness Than To Get Permission", direbbero. Non condivido invece questa nota: Il August 7, 2020 9:12:24 AM UTC, Giovanni Biscuolo <giovanni(a)biscuolo.net> ha scritto: > > [2] almeno quanto è offensivo chiamarlo hack e chiamare gli infiltrati hackers Io non lo trovo offensivo. Al di là delle competenze tecniche impiegate, ciò che distingue l'hack da una truffa cibernetica è il movente dell'hacker, ovvero acquisire e diffondere conoscenza. Ora, in questo caso, si è trattato di un hack o no? Gli hacker hanno semplicemente ignorato i tabù cui era affidata la sicurezza di un sistema. Il fatto che tali tabù riguardassero elaboratori biologici (gli impiegati) invece che elettronici (i computer) è del tutto irrilevante. Ignorando questi tabù, hanno avuto accesso ad informazioni che erano pubbliche, perché ogni informazione che è disponibile a chiunque possieda informazioni pubbliche è pubblica essa stessa. In questo caso, attraverso informazioni pubbliche (come condurre un social engineering), gli hacker hanno ottenuto informazioni che Twitter credeva private (le credenziali di accesso), ma che erano in effetti pubbliche perché accessibili attraverso informazioni pubbliche. Se avessero utilizzato uno zero day, potremmo ragionare sulla peculiarità del tabù che lo zero day costituisce, ma in questo caso no: le credenziali in questione erano accessibili a chiunque sapesse come accedervi. Tant'è che dei ragazzini le hanno usate. A questo punto, per capire se si tratta di un hack vero e proprio o di un gretto attacco finalizzato a tirar su qualche soldo, dobbiamo chiederci: 1) a che domande volevano rispondere gli hacker? 2) abbiamo imparato qualcosa dall'attacco? Infatti, l'hack è un atto creativo di Curiosità e sottende sempre almeno una domanda cui l'hacker vuole dare una risposta chiara, inequivocabile e possibilmente definitiva. La prima domanda cui questo hack risponde, la più evidente, è: - quanto sono sicuri i colossi della Silicon Valley? Ma potremmo riformularla in questo modo: - dei ragazzini possono scatenare la terza guerra mondiale? - dei ragazzini possono scrivere su Twitter al posto di capi di stato, giornalisti o politici? - dei ragazzini possono ridicolizzare una delle più grandi aziende Americane del pianeta? Ora questi hacker avrebbero potuto usare le credenziali che avevano ottenuto per anni, senza farsi notare, come hanno fatto tutti quelli che li hanno preceduti. (perché chiunque crede davvero che questo sia stato un incidente isolato, verificatosi per la prima volta, è uno sciocco ignorante) Ma in quanto hacker hanno deciso, secondo i propri valori, di condividere questa conoscenza, nel modo più giocoso e plateale possibile, in modo che raggiungesse tutti e non potesse poi essere inquinata da dichiarazioni opposte di Twitter. Hanno dunque fatto una VERA Responsible Disclosure! Hanno informato TUTTI dell'enorme problema che la ignoranza^W cieca fiducia nei colossi della Silicon Valley costituisce. E mentre che c'erano, come ciliegina sulla torta, si saranno chiesti: quanto capiscono di informatica le vittime di Bitcoin? E hanno risposto anche a questa domanda. Ora, sono d'accordo che la risposta alla seconda domanda era piuttosto scontata, nota a tutti gli informatici competenti, ma loro l'hanno dimostrato a TUTTI in modo chiaro ed inequivocabile. Quanto alla prima domanda, in Italia potremmo FORSE parlare di abuso della credulità popolare, ma questo hack ha dimostrato fini molto nobili: - svelare la fragilità dei sistemi cibernetici americani - svelare l'ignoranza diffusa di chi gli affida informazioni sensibili - rompere PUBBLICAMENTE un tabù, svelando ciò che altri facevano già in segreto Dunque dall'esterno il comportamento di questi hacker è stato estremamente etico: hanno arricchito rapidamente le conoscenze dell'umanità. E l'hanno fatto da veri hacker, scatenando tutta una serie di altre domande che meritano risposte urgenti ed importanti. Peccato che pochissimi le colgano. Da hacker, io li riconosco come miei pari. E trovo offensivo che li si sminuisca o criminalizzi Dovremmo premiarli, non punirli. Hanno mostrato che il re è nudo E che il popolo è credulone. Preferite i criminali che li hanno preceduti? Giacomo PS: a causa di alcuni problemi tecnici, alcune mie email potrebbero non essere giunte alla mailing list, o essere giunte duplicate. Ad esempio questa è l'email cui ha risposto Giovanni qui https://server-nexa.polito.it/pipermail/nexa/2020-August/018424.html

Aug. 8, 2020

Italia digitale a macchia di leopardo, il gap tra territori frena lo sviluppo

by don Luca Peyron

Rapporto della Corte dei Conti Buona lettura dl https://www.corrierecomunicazioni.it/pa-digitale/italia-digitale-a-macchia-… Qui il comunicato della Corte https://www.corteconti.it/HOME/StampaMedia/ComunicatiStampa/DettaglioComuni… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 8, 2020

Harvard to Track Affiliates’ Wi-Fi Signals as Part of Contact Tracing Pilot | News | The Harvard Crimson

by Alberto Cammozzo

<https://www.thecrimson.com/article/2020/8/2/tracefi-wifi-contract-tracing-c…> Harvard began piloting Tracefi — a Wi-Fi-based contact tracing system — this past Friday in preparation for freshmen and a select group of upperclassmen students’ return to campus later this month. Tracefi uses the signals phones, laptops, and tablets constantly emit to Harvard’s Wi-Fi infrastructures to gather three pieces of information: a datetime stamp, the signal strength received by Harvard’s Wi-Fi infrastructure, and the MAC address of the mobile device. The system then stores the data for up to 28 days. Harvard will use the Tracefi data to aid contract tracing efforts run by Harvard University Health Services and Harvard University Information Technology by providing information to human contact tracers about the specific whereabouts of infected individuals. “We all want Harvard to return to lab research and on-campus activities safely, and we want our undergraduates to return to campus too,” Tracefi’s website reads. “One of the safety precautions Harvard wants in place to achieve this vision is the ability to notify a person who was in a building that she came into contact with someone who later tested positive for COVID-19. Timely notification can help her seek prompt testing for herself and protect her family and others from exposure.” The website explains that the data collected from the Wi-Fi information does not contain personally identifiable information, and that HUHS will only access relevant data if a patient tests positive for COVID-19. People can choose to opt-out of Tracefi by turning off Wi-Fi service on their device, the info page for the program notes. [...]

Aug. 8, 2020

Come mai Hideo Kojima, creatore di videogiochi, è nella giuria del Festival del Cinema di Venezia

by don Luca Peyron

La trasformazione digitale ed i cambi di scenario culturali. Buona lettura dl https://artslife.com/2020/07/29/come-mai-hideo-kojima-creatore-di-videogioc… ______________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 7, 2020

Re: [nexa] Schrems II e sovranità digitale

by Roberto Resoli

Il 07/08/20 17:56, Giacomo Tesio ha scritto: > Comunque Paolo pensa di fare una traduzione a breve > > https://twitter.com/Vecchi_Paolo/status/1291728615990792193 > > Giacomo Stavo giusto pensando ci chiederglielo :-) Grazie, rob

Aug. 7, 2020

Re: [nexa] Schrems II e sovranità digitale

by Giacomo Tesio

Comunque Paolo pensa di fare una traduzione a breve https://twitter.com/Vecchi_Paolo/status/1291728615990792193 Giacomo On 07/08/2020, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: > Marco Ciurcina <ciurcina(a)studiolegale.it> writes: > >> In data venerdì 7 agosto 2020 14:41:57 CEST, Giovanni Biscuolo ha >> scritto: >>> Ho una domanda per favore: ho letto la "Copyright Notice" di questa >>> pagina https://joinup.ec.europa.eu/joinup/legal-notice e **mi pare** che >>> sia consentita "solo" la riproduzione (verbatim) con indicazione della >>> fonte, il che mi impedirebbe di poter pubblicare una traduzione e/o >>> riutilizzare parte del contenuto in altri documenti (che produrrei in >>> CC-BY o CC-BY-SA): interpreto bene? >> Si. > > Peccato :-) Grazie mille per la conferma. > > Ciao, Giovanni > > [...] > > -- > Giovanni Biscuolo >

Aug. 7, 2020

Re: [nexa] No to Blockchain Credentials of COVID-19 Test Results for Entry to Public Spaces

by Giacomo Tesio

On 07/08/2020, Stefano Quintarelli <stefano(a)quintarelli.it> wrote: > non conosco i dettagli > > per andare in certi luoghi occorre la vaccinazione contro la febbre > gialla attestata da un libretto di vaccinazione. (cartaceo) Anzitutto bisogna vedere cosa viene certificato, indipendentemente dal mezzo di trasmissione della certificazione. Ha senso certificare una vaccinazione perché è un evento osservabile che lascia tracce ed ha effetti verificabili di lungo periodo: il titolo anticorpale nel sangue del soggetto vaccinato. Certificare invece lo stato di buona salute è ridicolo. Ancor di più, certificare un tampone negativo. Ed è quello che sostiene EFF: > A person’s COVID-19 status may change from day to day, > and tests are often hard to come by. This system could > unfairly punish those who can’t afford to be tested nearly > constantly. Second, while verifiable credentials might make > sense for reporting a binary fact (such as whether or > not a person is 21), medical tests come with strong caveats > and significant margins of error. > For example, some COVID-19 diagnostic tests have a false > negative rate as high as 20 or 30%. The science behind testing > for COVID-19 immunity is even less settled. According to the > CDC, “we do not know how much protection [COVID-19] > antibodies may provide or how long this protection may > last.” This nuance is lost when a test result is turned > into a credential. Il punto comunque è che nell'introdurre un qualsiasi componente in un sistema cibernetico, bisogna sempre considerare gli effetti su tutto il sistema, inclusi i diversi singoli nodi (umani o meno), la loro cardinalità e le loro relazioni. > perche' non digitalizzarlo, se digitalizzato bene ? Purtroppo una delle tragiche ironie del nostro tempo è che nonostante il continuo ricorso alla tecnocrazia, i tecnocrati sono profondamente incompetenti. Dunque è estremamente improbabile che venga "digitalizzato bene". Naturalmente non sono contrario alla digitalizzazione di un certificato. Tuttavia la digitalizzazione (mamma che parola lunga!) non è sempre vantaggiosa rispetto alla carta. E' probabile che in tutta una serie di casi sia saggio accostare ad una rappresentazione elettrica del certificato, una rappresentazione più tangibile e duratura. Detto questo, è importante osservare che la presenza della blockchain garantisce oltre ogni ragionevole dubbio che tale digitalizzazione NON sia "fatta bene". > questo mi sembra un buon use case di SSI > https://www.covidcreds.com/ Anzitutto la SSI non richiede la blockchain ed anzi, si tratterebbe di una implementazione inefficiente ed subottimale da un punto di vista di sicurezza contro diversi attaccanti. E poi la certificazione non necessita di SSI. Questa è già una mail lunga e non vorrei annoiare nessuno con i dettagli di come implementare un sistema di certificazione digitale sicura più distribuito e resiliente di una blockchain. Ma non è difficile da immaginare: basta una chiave pubblica per il vaccinatore, una chiave pubblica dedicata allo specifico vaccino per il Ministero della Salute e una per il vaccinato. Il vaccinatore firma la chiave pubblica del vaccinato e la invia (con la firma) al ministero, che la firma a sua volta e la restituisce al vaccinatore che la consegna al vaccinato. Bonus point: potenzialmente, nessuno sa CHI sia il vaccinato, ma il vaccinato può dimostrare di essere stato vaccinato. Vi sono, naturalmente, dei possibili attacchi a questo sistema, ma sono del tutto analoghi a quelli che è possibile effettuare contro una blockchain e che questa non risolve. D'altronde la blockchain non risolve alcun problema noto all'uomo. (eccetto forse l'identificazione di alcuni creduloni, di alcuni truffatori ed alcuni incompetenti, ma purtroppo non tutti) In compenso ne crea a bizzeffe. A presto! Giacomo

Aug. 7, 2020

Re: [nexa] Schrems II e sovranità digitale

by Giovanni Biscuolo

Marco Ciurcina <ciurcina(a)studiolegale.it> writes: > In data venerdì 7 agosto 2020 14:41:57 CEST, Giovanni Biscuolo ha scritto: >> Ho una domanda per favore: ho letto la "Copyright Notice" di questa >> pagina https://joinup.ec.europa.eu/joinup/legal-notice e **mi pare** che >> sia consentita "solo" la riproduzione (verbatim) con indicazione della >> fonte, il che mi impedirebbe di poter pubblicare una traduzione e/o >> riutilizzare parte del contenuto in altri documenti (che produrrei in >> CC-BY o CC-BY-SA): interpreto bene? > Si. Peccato :-) Grazie mille per la conferma. Ciao, Giovanni [...] -- Giovanni Biscuolo

Aug. 7, 2020

Re: [nexa] Three people just got charged for Twitter’s huge hack, and a Florida teen is in jail

by Giovanni Biscuolo

Ciao, Giacomo Tesio <giacomo(a)tesio.it> writes: [...] > Non condivido invece questa nota: > > Il August 7, 2020 9:12:24 AM UTC, Giovanni Biscuolo > <giovanni(a)biscuolo.net> ha scritto: >> >> [2] almeno quanto è offensivo chiamarlo hack e chiamare gli >> infiltrati hackers > > Io non lo trovo offensivo. Al di là delle competenze tecniche > impiegate, ciò che distingue l'hack da una truffa cibernetica è il > movente dell'hacker, ovvero acquisire e diffondere conoscenza. Esatto: questa è l'essenza della cultura hacker. > Ora, in questo caso, si è trattato di un hack o no? [...] > ma in questo caso no: le credenziali in questione erano accessibili a > chiunque sapesse come accedervi. Sì concordo: le tecniche di social engineering sono un hack, non un atto criminale (non c'è violenza o coercizione). [...] > E mentre che c'erano, come ciliegina sulla torta, si saranno chiesti: > quanto capiscono di informatica le vittime di Bitcoin? E hanno > risposto anche a questa domanda. Ho capito: tu dici che il pishing sul phishing lo hanno fatto appositamente per caricare di ulteriore significato l'hack; se fosse così sarebbe geniale, un doppio hack carpiato :-D [...] > Dunque dall'esterno il comportamento di questi hacker è stato > estremamente etico: hanno arricchito rapidamente le conoscenze > dell'umanità. E l'hanno fatto da veri hacker, scatenando tutta una > serie di altre domande che meritano risposte urgenti ed > importanti. Peccato che pochissimi le colgano. Se davvero la loro raccolta di Bitcoin fosse stata effettuata in modo così smaccatamente tracciabile per farsi poi beccare allora ti darei pienamente ragione... ma non ho elementi sufficienti per giudicare > Da hacker, io li riconosco come miei pari. E trovo offensivo che li > si sminuisca o criminalizzi Concordo, non era comunque mia intenzione: anche se avessero commesso frode sui Bitcoin andrebbero assolti per manifesta superiorità :-O > Dovremmo premiarli, non punirli. Hanno mostrato che il re è nudo E > che il popolo è credulone. Sai che mi hai *quasi* convinto :-D [...] Ciao, Gio' -- Giovanni Biscuolo

Aug. 7, 2020

Re: [nexa] USA Clean Netwotk, l'idea dell'ammistrazione USA di una INternet separata dalla Cina e da apparati Cinesi?

by Stefano Quintarelli

IMHO nulli, se a novembre vince biden imprevedibili, se a novembre vince trump On 07/08/2020 14:00, gabriele elia wrote: > interessante vedere gli sviluppi ... > > https://www.verdict.co.uk/clean-network-china-wall/ > > > Clean Network is a messy roadmap for a digital wall with China > > *Show*Hideimage > Clean network china > > > 0Shares > > > <http://www.facebook.com/sharer.php?u=https%3A%2F%2Fwww.verdict.co.uk%2Fclea…>Email > ticle > <mailto:?Subject=Clean%20Network%20is%20a%20messy%20roadmap%20for%20a%20digital%20wall%20with%20China&Body=https%3A%2F%2Fwww.verdict.co.uk%2Fclean-network-china-wall%2F>LinkedIn > <http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fwww.verdic…>0 > <https://twitter.com/intent/tweet?text=Clean+Network+is+a+messy+roadmap+for+…>0 > <http://pinterest.com/pin/create/link/?url=https://www.verdict.co.uk/clean-n…> > > Robert Scammell <https://www.verdict.co.uk/author/robertscammell/> > Rob is deputy editor at Verdict. You can reach him at > robert.scammell(a)verdict.co.uk > > > Robert Scammell > > > > * > > > Huawei was never going to be enough for Donald Trump. What started as > the White House’s 5G Clean Path, an initiative to “secure” critical > telecommunications from “malign actors”, has now been expanded to target > Chinese mobile apps, Chinese cloud servers and Huawei’s access to US apps. > > Announced on Wednesday by Secretary of State Mike Pompeo, theClean > Network Program > <https://www.state.gov/announcing-the-expansion-of-the-clean-network-to-safe…>has > raised concerns that the US will create a so-called “splinternet”, in > which the global internet becomes fragmented by location. > > China already has its own parallel internet, dubbed the “Great > Firewall”, where US websites such as Google and Facebook are banned. > > But will Clean Network lead to something similar in the US, and mark a > reversal of America’s long-standing position as a free internet champion? > > > Clean Network is full of uncertainty > > At the moment, there are too many unknowns at play. First, Pompeo’s > announcement is not legally binding and it has not received > Congressional funding or approval. It is merely a roadmap – if a messy > one with potentially far-reaching consequences. > > Second, the comparison might be premature given China’s Great Firewall > also encompasses state media and information censorship which – for now, > at least – is not part of the Clean Network plan. > > “China telecoms have significant operations in the US and have engaged > in massive data sucking operations because of their US-based > operations,” said Christopher Balding, associate professor at the > Fulbright University Vietnam,via Twitter > <https://twitter.com/BaldingsWorld/status/1291198393360855040>. > > “Blocking their ability to divert all internet traffic in the US through > China is not a Great Firewall.” > > And third, implementing the proposals outlined in Clean Network is > likely to be fraught with logistical challenges. > > “The specifics don’t add up terribly well. They don’t speak to a good > understanding of how networks function, or a very clear idea of how this > is expected to be implemented,” Maria Farrell, an independent researcher > in international tech policy,told/The Verge/ > <https://www.theverge.com/2020/8/6/21356948/us-clean-network-purge-chinese-t…>. > > “That does make it seem like more of a rhetorical exercise.” > > For example, the ‘Clean Carrier’ aspect aims to prevent Chinese carriers > from providing “international telecommunications services to and from > the United States”. > > > The State of Technology This Week > > GET THE VERDICT WEEKLY EMAIL > > This could create data roaming problems, says Amy Karam, fellow at the > Canadian Global Affairs Institute, and author of/The China Factor/. > > “If a US citizen is in Kenya and they have a Huawei network, are they > not allowed to call home?” she told/Verdict/. “It’s more a geopolitical > statement in my opinion.” > > > Trump’s persistence > > Geopolitics has been the consistent theme running through Trump’s > approach to Chinese technology companies. Washington cited espionage > concerns against Huawei as key driver for its allies –including the UK > <https://www.verdict.co.uk/huawei-banned-uk-5g/>– to ban the company, > but is yet to provide definitive proof of foul play. > > But what the Trump administration lacks in substance it is making up for > in its persistence. > > On Thursday, Trump signed an executive order banning transactions with > ByteDance, the Chinese parent company of popular video-sharing app > TikTok, and Chinese tech giant Tencent, parent company of super app WeChat. > > Both orders will take effect in 45 days, but once again the details > behind these moves are scarce and experts say they are likely to face > legal challenges. > > To counter US sanctions, TikTok has sought to distance itself from its > Chinese operations. Microsoft is intalks to buy the US arm > <https://www.verdict.co.uk/tiktok-microsoft-purchase-surprise/>of the > hugely popular app, which could lead to a splintering of brands. > > WeChat, which is ubiquitous in China but has a smaller presence in the > US, was a more surprising inclusion. But it indicates the extent to > which the White House is prepared to go to in limiting Chinese > technology firms’ presence in the US. > > The ‘Clean Cloud’ aspect of Clean Network prevents US citizens’ and > businesses’ sensitive data being “stored and processed” on cloud-based > systems accessible by China. In the borderless world of data transfers, > this could see customers of Chinese cloud providers Alibaba, Baidu and > Tencent brought into the fray. > > For example, US car manufacturer Ford and American language-learning app > Duolingo are listed as Alibaba cloud customers. > > It also creates headaches for non-US firms, such as Finnish > telecommunications firm Nokia, which has a US presence and customers but > counts Tencent and Baidu among its cloud providers. > > > Levelling the playing field > > However, there could be positives from Clean Network, says Karam. China > has long played to a different set of rules to the rest of the world, > from its early copying of intellectual property to weaker data > protections rules that give it an advantage when training data-hungry > artificial intelligence algorithms. > > “It’s good that the USA is working with allies on addressing the > security concerns around networks,” says Karam. > > “The first step of taking a defence approach, levelling the playing > field and getting to the point of heightened security and > competitiveness in tech will allow for the current dynamics with China > to be recalibrated and hopefully the threats will eventually be mitigated.” > > Perhaps the biggest unknown in the Clean Network Program is the fate of > the man spearheading it. On 3 November, Americans head to the polls. > While there is strong bipartisan support for limiting the reach of > Chinese tech firms, presumed Democratic nominee Joe Biden is likely to > take a more moderate stance than Trump. > > Should Trump win, however, he will have a mandate and ample time to try > and implement his Clean Network proposals. Where Trump failed to build a > physical wall between the US and Mexico, he may yet succeed in building > a digital wall with China. > > > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > -- reserve your meeting with me at https://cal.quintarelli.it

Aug. 7, 2020