August 2020 - nexa - server-nexa.polito.it

Police Want Your Smart Speaker—Here's Why | WIRED

by J.C. DE MARTIN

https://www.wired.com/story/star-witness-your-smart-speaker/ (Sent from my wireless device; please excuse brevity and typos (if any))

Aug. 24, 2020

Blockchain, the amazing solution for almost nothing - The Correspondent

by Alberto Cammozzo

Blockchain, the amazing solution for almost nothing Economics correspondent at De Correspondent Jesse Frederik <https://thecorrespondent.com/655/blockchain-the-amazing-solution-for-almost…> Blockchain technology is going to change everything: the shipping industry, the financial system, government … in fact, what won’t it change? But enthusiasm for it mainly stems from a lack of knowledge and understanding. The blockchain is a solution in search of a problem. Sjoerd Knibbeler made this image for The Correspondent; the rest of the images in this piece are from his series 'Current Studies' (2013-2016), which you can read more about at the end of the article. In front of a sea of coders sitting on folding chairs, their laptops on folding tables, a man appears on a purpley-blue lit stage. “Seven hundred blockchaingers,” the man shouts at his audience. He points at each programmer in the room. “Machine-to-machine learning … ” And then, at the top of his voice: “Energy transition! Health! Public safety and security! Future of pensions!” We are at the Blockchaingers Hackathon 2018 in Groningen, the Netherlands. And something really, really big is happening here, according to the speakers. Earlier on, a film trailer voice asked those present if they could imagine that right here, right now, in this room, they were about to find solutions that would change “a billion lives”. A planet spontaneously combusted in the accompanying video. And then the Dutch state secretary for the Interior, Raymond Knops arrived, decked out in tech couture: a black hoodie. He’s here as a “super accelerator” (whatever that means). “Everyone senses that blockchain is going to change government drastically,” the state secretary said. I’ve been hearing a lot about blockchain in the last few years. I mean, who hasn’t? It’s everywhere. I’m sure I wasn’t the only one who thought: but what is it then, for God’s sake, this whole blockchain thing? And what’s so terribly revolutionary about it? What problem does it solve? That’s why I wrote this article. I can tell you upfront, it’s a bizarre journey to nowhere. I’ve never seen so much incomprehensible jargon to describe so little. I’ve never seen so much bloated bombast fall so flat on closer inspection. And I’ve never seen so many people searching so hard for a problem to go with their solution. ‘Agents of change’ in a small Dutch town They knew nothing about the blockchain yet in Zuidhorn, a town with just under 8,000 people in the north-east of the Netherlands. “What we did know is that it’s coming for us and that it’s disruptive,” a civil servant from the town told a Dutch weekly news magazine. “We could sit back and wait, or choose to move forwards.” In Zuidhorn they decided to move forwards. A municipal poverty aid package for children would “be put on the blockchain”. Maarten Veldhuijs, a student and blockchain enthusiast, was given an internship with the municipality. His first job was to explain what blockchain is. When I asked him, he said it is “a kind of system that can’t be stopped”, that it’s “actually a force of nature”, or rather, “a decentralised consensus algorithm”. OK, it’s hard to explain, he conceded eventually. “I said to Zuidhorn: ‘I’ll just build you an app, then you’ll understand’.” So he did. His first job was to explain what blockchain is ... OK, it’s hard to explain, he conceded eventually The children’s aid package gives families living in poverty the right to a bicycle, trips to the theatre and the cinema, and so on. In the past, that was a nightmare of bureaucracy, receipts and documentation. But thanks to Velthuijs’s app it became simple: you scan your code in the shop, you get your bike, and the shopkeeper gets their money. Suddenly, the tiny town was proclaimed “one of the international forerunners in blockchain technology”. There was national media attention and even awards: they won a prize for pioneers in municipal work and received nominations for an IT project award and a civil service award. Local administrators became more and more enthusiastic. Velthuijs and his team of “students” were the ones who shaped this new world. But that term didn’t show enough respect. In Zuidhorn some people already preferred to call them “agents of change”. [...]

Aug. 24, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

On August 23, 2020 11:45:37 AM UTC, Stefano Zacchiroli <zack(a)upsilon.cc> wrote: >Ma ricordi qui che, ad oggi, l'infrastruttura cardine del Web of Trust >per OpenPGP, ovvero i key server SKS, risulta >compromessa/inutilizzabile a causa degli attacchi di certificate >flooding Non a caso, nella ipotetica infrastruttura di WoT che descrivevo, la firma delle chiavi (e ovviamente il loro inserimento nei keyserver comunali, nonché il loro aggiornamento) avveniva dall'anagrafe dietro un piccolo pagamento. La distribuzione (magari federara e replicata) dei keyserver comunali differenzierebbe il rischio di compromissioni e malfunzionamenti, ed insieme al pagamento ridurrebbe moltissimo la probabilità e l'impatto di DDoS. >Il caso di Debian che citi come buon esempio e che posso confermare per >esperienza personale funzioni molto bene, funziona ancora proprio >perché è controllato in maniera centralizzata da un gruppo molto >ristretto (2-3 persone) di keyring manager, che devono validare tutti >gli update alle chiavi prima che questi arrivino nel keyring >condiviso. Quindi di fatto limitando moltissimo gli aspetti >decentralizzati dell'architettura WoT. Sono certo che fornendo al personale che lavora in un'anagrafe comunale strumenti e formazione adeguata, non avrebbero alcun problema a garantire lo stesso livello qualitativo. >Ci sono proposte di alternative ai key server per WoT, ma ad oggi mi >risulta che abbiano un'adozione molto ma molto limitata. Parli di keybase? Se vuole, uno Stato ha strumenti persuasivi più efficaci del mercato. Dispone di scuole, ospedali, enti locali. Il punto è sempre come li usa. Immagina per esempio i vantaggi di un sistema del genere per la medicina territoriale. Immagina i software che si potrebbero scrivere sulla base di una infrastruttura del genere >Prima di consigliare quindi oggi un'adozione massiva di WoT veramente >distribuito a livello di uno Stato ci penserei quindi molte molte >volte. Per carità, come recentemente dimostrato dal contact tracing, prima di introdurre (o lasciar introdurre) modifiche in un sistema cibernetico molto vasto la cautela è sempre importantissima. E di solito manca completamente. Tuttavia, in questo caso, si tratta di un'infrastruttura informatica paragonabile alle strade: difficilmente potrà essere realizzata e gestita dalla magica mano invisibile che governa il mercato, esattamente come avviene per le strade statali, provinciali e comunali che collegano la stragrande maggioranza del territorio italiano. >Una soluzione ibrida a-la Debian sarebbe certamente fattibile. Ma a >quel punto non si capisce bene quale sarebbe il vantaggio rispetto ad >una PKI centralizzata, con chiavi/certificati distribuiti direttamente >dallo Stato. Beh direi che ci sono almeno un paio di vantaggi evidenti: - un'infrastruttura del genere funzionerebbe da bootstrap culturale - per le amministrazioni pubbliche, i cui dipendenti imparerebbero ad usare la crittografia asimmetrica e a comprenderne le basi del funzionamento - per i cittadini, che inizierebbero a cifrare le proprie comunicazioni (con notevoli vantaggi per privacy e libertà personale) oltre che ad estendere il WoT firmandosi reciprocamente le chiavi - per le aziende italiane, che potrebbero contare su una infrastruttura innovativa (se si può chiamare ancora così nel 2020) capillarmente diffusa sul territorio per realizzare nuove tipologie di servizi privacy-friendly - i keyserver sarebbero tanti, distribuendo i rischi e i costi come detto - contrariamente ad una Certification Authority centralizzata, lo Stato non potrebbe abusare facilmente della fiducia che gli attribuiscono i cittadini proprio perché il Web of Trust è un grafo: se un comune alterasse il proprio keystore per attaccare un cittadino, sarebbe estremamente semplice notarlo e denunciare i responsabili e tale attacco avrebbe una probabilità di successo inversamente proporzionale al numero di firme ricevute dalla PK del cittadino bersaglio. Dunque si può certo discutere sul COME sarebbe meglio implementare un'infrastruttura di questo genere, ma credo che la sua utilità sociale ed economica sia abbastanza evidente. Potrei arrivare a scommettere una cena che, se l'Italia realizzasse un sistema del genere (imponendone l'utilizzo a scuole, ospedali ed aziende, per esempio) verrebbe subito imitata da altre nazioni per colmare il vantaggio competitivo che avrebbero le nostre aziende (dopo la consueta opposizione iniziale). >Ciao A presto! Giacomo

Aug. 23, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Stefano Zacchiroli

On Sun, Aug 23, 2020 at 11:53:52AM +0200, Giovanni Biscuolo wrote: > Sull'uso di S/MIME piuttosto che OpenPGP ho già detto: questioni > prettamente di FILOSOFIA della burocrazia, che però hanno anche > importanti ripercussioni fattuali: infatti la PKI dei certificati > X.509 è architetturalmente BACATA [1] e troppo facilmente > compromessibile. [2] > > Il web of trust almeno *può* (e nel caso in questione dovrebbe) essere > usato in modo che non ci sia un unico point of failure nella catena di > trust, aumentando la resilienza del sistema con l'aumentare dei "nodi" > fidati: potrebbero essere gli ufficiali comunali (affiancati da notai > e altri funzionari pubblici preposti) che con la loro web of trust > "benedicono" i certificati dei cittadini (che poi si benedicono a > vicenda). > > Il web of trust funziona grandiosamente per garantire l'identità dei > membri in circoli più o meno ristretti di sviluppatori - penso ad > esempio al Debian Keyring [3] - mi sarebbe piaciuto che una cosa del > genere fosse stata almeno tentata per garantire l'autenticità dei > messaggi email. Sono sempre stato un grande sostenitore del Web of Trust (WoT), in particolare come alternativa a soluzioni di PKI più centralizzate. Ma ricordi qui che, ad oggi, l'infrastruttura cardine del Web of Trust per OpenPGP, ovvero i key server SKS, risulta compromessa/inutilizzabile a causa degli attacchi di certificate flooding (c.f. https://lwn.net/Articles/792366/ ; ci sono probabilmente riferimenti più recenti sul tema, ma non li avevo sotto mano) contro i quali non esiste una vera soluzione a cause di scelte fatte in OpenPGP (scelte che avevano un senso decadi fa, ma che purtroppo si sono rivelata liabilities nella internet di oggi). Il caso di Debian che citi come buon esempio e che posso confermare per esperienza personale funzioni molto bene, funziona ancora proprio perché è controllato in maniera centralizzata da un gruppo molto ristretto (2-3 persone) di keyring manager, che devono validare tutti gli update alle chiavi prima che questi arrivino nel keyring condiviso. Quindi di fatto limitando moltissimo gli aspetti decentralizzati dell'architettura WoT. Ci sono proposte di alternative ai key server per WoT, ma ad oggi mi risulta che abbiano un'adozione molto ma molto limitata. Prima di consigliare quindi oggi un'adozione massiva di WoT veramente distribuito a livello di uno Stato ci penserei quindi molte molte volte. Una soluzione ibrida a-la Debian sarebbe certamente fattibile. Ma a quel punto non si capisce bene quale sarebbe il vantaggio rispetto ad una PKI centralizzata, con chiavi/certificati distribuiti direttamente dallo Stato. Ciao -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

Aug. 23, 2020

Earth Overshoot Day 2020: 20 giorni in più “grazie” al COVID

by don Luca Peyron

Impronta ecologica e tecnologia. Buona lettura e buona domenica dl https://www.techeconomy2030.it/2020/08/22/earth-overshoot-day-2020-20-giorn… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 23, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giovanni Biscuolo

Buongiorno Stefano, Stefano Quintarelli <stefano(a)quintarelli.it> writes: [...] > forse oggi la situazione e' diversa (forse) non essendo utente di > gmail non so se si possa firmare digitalmente da gmail con un > certificato attribuito da una CA Se intendi dalla webmail di GMail la risposta è no (ma vale per tutte le webmail): S/MIME (e OpenPGP) non è utilizzabile in un contesto simile, ci vuole un client email che supporti S/MIME. In quest'ultimo caso, se l'utente possiede un certificato può firmare email alla stessa stregua (tecnica) di un ente terzo. Con la PEC sono state introdotte estesioni ai protocolli per fare in modo che terzi certificati attestino la data e ora della comunicazione (marca temporale) e - firmando una *copia* del messaggio - l'autenticità del contenuto: tutto ciò avrebbe potuto essere ottenuto aggiungendo (e concordando a livello internazionale) meccanismi standard di "marca temporale" che non prevedessero la necessità di terzi certificati e lasciando agli utenti l'onere e l'onore di firmare digitalmente i propri messaggi. Oltre all'aspetto tecnico, il "sistema PEC" ha aggiunto "il carico" dell'accreditamento e dei requisiti finanziari. Sull'uso di S/MIME piuttosto che OpenPGP ho già detto: questioni prettamente di FILOSOFIA della burocrazia, che però hanno anche importanti ripercussioni fattuali: infatti la PKI dei certificati X.509 è architetturalmente BACATA [1] e troppo facilmente compromessibile. [2] Il web of trust almeno *può* (e nel caso in questione dovrebbe) essere usato in modo che non ci sia un unico point of failure nella catena di trust, aumentando la resilienza del sistema con l'aumentare dei "nodi" fidati: potrebbero essere gli ufficiali comunali (affiancati da notai e altri funzionari pubblici preposti) che con la loro web of trust "benedicono" i certificati dei cittadini (che poi si benedicono a vicenda). Il web of trust funziona grandiosamente per garantire l'identità dei membri in circoli più o meno ristretti di sviluppatori - penso ad esempio al Debian Keyring [3] - mi sarebbe piaciuto che una cosa del genere fosse stata almeno tentata per garantire l'autenticità dei messaggi email. > riconosciuta dallo stato Non capisco: cosa intendi con CA riconosciuta dallo stato? [...] Ciao, Giovanni [1] https://en.wikipedia.org/wiki/Certificate_authority#Implementation_weakness… [2] https://en.wikipedia.org/wiki/Certificate_authority#CA_compromise [3] https://wiki.debian.org/DebianKeyring -- Giovanni Biscuolo

Aug. 23, 2020

MusashiAI: World-First Technological Advances and Proof of Concept Agreements in Commercial Launch of Robotic Employees

by don Luca Peyron

Mutazioni ed adattamenti Buona lettura e buona domenica dl https://www.businesswire.com/news/home/20200727005009/en/MusashiAI-World-Fi… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 23, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

Io pensavo più ad un semplice web of trust ma in cui lo Stato (attraverso ad esempio le anagrafi) partecipa come gli altri. Quanto alla firma del mittente, non sono d'accordo. Diversi client email permettono l'integrazione con PGP o GPG: Thunderbird, Mutt, Claws-Mail... persino Outlook! Imparare a firmare (e/o cifrare) una mail con una chiave non richiede una laurea. È una cosa che si impara in 30 minuti. E verificarla o decifrarla può essere persino più semplice: se il mua sa dove trovare le chiavi fa tutto da solo. Dunque se lo Stato avesse imposto l'uso di questi sistemi invece della PEC, la gente si sarebbe arrangiata ed avrebbe imparato. Magari sarebbe nato un piccolo mercato di consulenti informatici per la formazione iniziale. On August 22, 2020 4:44:05 PM UTC, Stefano Quintarelli <stefano(a)quintarelli.it> wrote: > >non essendo utente di gmail non so se si possa firmare digitalmente da >gmail con un certificato attribuito da una CA riconosciuta dallo stato Ricordo un plugin firefox (o era chrome?) che si integrava in GMail per permettere proprio questo. Non l'ho mai usato però. Tuttavia, la compatibilità con GMail non dovrebbe l'obiettivo di uno stato (a meno che non abbia il controllo di Google, ovviamente). L'educazione informatica della propria popolazione invece sì. Giacomo PS: Dovrò ovviamente trovare il tempo di approfondire il funzionamento della ricevuta delineato da Giovanni, perché (sha1 a parte) potrebbe sorprendentemente avere un senso. :-)

Aug. 22, 2020

sull'impossibilità dell'esistenza dell'AI "Strong" (o AGI)

by Giovanni Biscuolo

Buongiorno, Voglio condividere con voi questa citazione di Adorno che trovo tanto impegnativa (almeno per me) quanto efficace nell'illustrare l'impossibilità dell'esistenza dell'AI "Strong" [1] (detta anche AGI "Artificial General Intelligence") Parto, per evidenziarla, dalla conclusione: «Philosophical thinking begins as soon as it ceases to content itself with cognitions that are predictable and from which nothing more emerges than what had been placed there beforehand.» http://www.autodidactproject.org/quote/adorno_formalism.html --8<---------------cut here---------------start------------->8--- Adorno on Philosophy, Formalism, & Artificial Intelligence [...] It is certainly better—as in prephilosophical knowledge so in philosophy—not to proceed without a measure of autonomy of thought in relation to its subject matter. The logical apparatus owes its immeasurable improvement beyond primitive consciousness to this autonomy. It contains, intensified, at the level of content, the force of enlightenment that marks the historical development of philosophy. Yet as it became autonomous and developed into an apparatus, thinking also became the prey of reification and congealed into a high-handed method. Cybernetic machines are a crude example of this. They graphically demonstrate to people the nullity of formalized thinking abstracted from its contents insofar as such machines perform better than thinking subjects much of what used to be the proud achievement of the method of subjective reason. Should thinking subjects passively transform themselves into the instruments of such formalization, then they virtually cease being subjects. They approach the machine in the guise of its imperfect replica. Philosophical thinking begins as soon as it ceases to content itself with cognitions that are predictable and from which nothing more emerges than what had been placed there beforehand. The humane significance of computers would be to unburden the thinking of living beings to the extent that thought would gain the freedom to attain a knowledge that is not already implicit. --8<---------------cut here---------------end--------------->8--- Tratto da: Theodor W. Adorno, “Notes on Philosophical Thinking,” in Critical Models: Interventions and Catchwords, translated by Henry W. Pickford (New York: Columbia University Press, 1998), extract, pp. 127-128. Saluti, Giovanni [1] https://plato.stanford.edu/entries/artificial-intelligence/#StroVersWeakAI “Strong” AI seeks to create artificial persons: machines that have all the mental powers we have, including phenomenal consciousness. “Weak” AI, on the other hand, seeks to build information-processing machines that appear to have the full mental repertoire of human persons (Searle 1997). -- Giovanni Biscuolo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Stefano Quintarelli

On 22/08/2020 10:03, Giacomo Tesio wrote: > È un sistema ridicolo, ridicolmente complicato. > A pensar bene, si potrebbe ipotizzare che la sua progettazione sia stata affidata a pivelli con ganci politici. non sono molto d'accordo. IMHO si potevano fare anche scelte che conferissero una migliore ergonomia, ma l'idea che il documento sia firmato dal gestore e non dall'utente, nell'epoca storica in cui e' nata, non mi sembra una complicazione per l'utente, anzi. forse oggi la situazione e' diversa (forse) non essendo utente di gmail non so se si possa firmare digitalmente da gmail con un certificato attribuito da una CA riconosciuta dallo stato (chee comunque andrebbe messo in pidi) e se si puo', non so da quando. ciao, s.

Aug. 22, 2020