August 2020 - nexa - server-nexa.polito.it

Artificial Intelligence, Authentic Humanity, and the Future of War

by Giovanni Biscuolo

Buongiorno, un interessante punto di vista da una associazione che promuove il «contemporary british military thought». --8<---------------cut here---------------start------------->8--- [...] If the wars of the 21st Century have imparted a singular lesson it is this: having our troops mired in ambiguous situations, unable to see into the next compound, incapable of loitering without exposing themselves to mortal risk is increasingly unacceptable to the generals, politicians, and citizens who—ultimately—put them there. Enter technology: uninhabited, quasi-autonomous weapons systems designed to undertake these kinds of prolonged and dangerous measures are perfect solutions for the kinds of stability operations we repeatedly and incessantly find ourselves in. Algorithms already create search patterns, power facial and signature recognition systems, and remain at their posts indefinitely. [...] This obsession with technology is an extension of two impulses that have driven military development: to overcome human weaknesses and to outsource as much of the brutal aspects of war to others [...] We constantly strive for “the externalization of the burden of warfare”, whereby we seek out “technological and human surrogates [that] enable the state to manage the risks of post-modern conflict remotely.”6 We are aware now that those risks are not just corporeal; contemporary warfare not only ends lives and removes limbs. Combat has the power to wound mentally those who take part in it, causing critical stress that can lead to secondary damage in the form of haunting nightmares, chemical dependency, anti-social behaviour, and, all too often, suicide. Even drone pilots, often thousands of kilometers away from their targets, are not wholly liberated from this trauma.7 In that way, AI represents nothing more than the latest attempt to put distance—literal and figurative—between humans and the injury, both physical and moral, caused by war.8 However, AI does promise something revolutionary in this regard: it would not just displace humans from the battlefield, it could replace them altogether. [...]We feel more comfortable with a human ‘in the loop’ making the final decision about when or if to pull the trigger. AI might be able to do the sums rapidly, but do we trust it with matters of life or death? The kind of future we want “should be a society where people feel empowered, not threatened by AI.”10 That just makes sense…right? [...]It is clear that the slowest portion of the AI/human loop will forever be the human. There will be little sense in building faster AI that can perform 99% of the find, fix, fire cycle in a fraction of a second, only to need to wait for a ponderous human to give the thumbs up. This has already led to a retreat from a posture of positive control (human in the loop) to one of monitoring (human on the loop), whereby a human keeps watch on what is going on, ready to intervene at the first sign of trouble. The reality is, though, that this position is untenable and illusory. Human monitors will be overwhelmed by the speed, scale, and scope of the systems they are charged with; indeed, they may wish to create AI systems solely for aiding in the monitoring process, which of course would lead to a cycle of infinite recursion. Even if rapidity and size could be tamed, our human monitors would still be faced with deeper problem: “No one really knows how the most advanced algorithms do what they do.”13 We have created tools that we do not fully understand, and may not be able to control. [...] war, as we know it, cannot be strictly viewed as logical: there are too many ambiguities—what rational actor theorists, like economists—might call ‘externalities’. If war is disembedded from its surrounding social and political—its human context15—what is to prevent it from reaching the end point of absolute war? War’s nature, as we know it now, is founded on human particularities and bounded by our failings. If those limits were to be removed through the application of Artificial Intelligence, then the nature of war—long held to be unchanging—would melt away, transformed into something non-human, potentially inhuman, probably inhumane. When waging war, authentic humanity is our safety net; alarmingly, artificial intelligence has already begun to pick at its all too gossamer threads. [...] What must be done, though, is to match the efforts at weaponizing artificial intelligence with a commitment to maintaining our authentic humanity. We need doubt, pity, and hesitation if we are to survive. [...] --8<---------------cut here---------------end--------------->8--- Continua su https://web.archive.org/save/https://wavellroom.com/2020/06/30/melancholic-… IMHO nell'ultima parte (What is to be done?) perde un po' di lucidità di analisi, forse perché l'autore non ha sufficiente conoscenza dei principi dell'AI, ma ciò non toglie nulla al resto. Saluti, Giovanni -- Giovanni Biscuolo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

On August 22, 2020 10:30:57 AM UTC, Giovanni Biscuolo <giovanni(a)biscuolo.net> wrote: >> Cosa impedisce al ricevente della ricevuta di modificarne il >contenuto >> prima di allegarla agli atti di un procedimento? > >La ricevuta di consegna della PEC di cui parla Marco è un messaggio di >tipo multipart/signed firmato con S/MIME dal provider del destinatario >del messaggio PEC > [...] > >Quindi può alterare il contenuto del messaggio solo chi è in grado di >firmare con lo stesso certificato X.509: il provider del destinatario o >un attaccante con sufficiente determinazione e possibilità tecniche. Grazie Giovanni, in effetti questo non lo sapevo. Non è particolarmente diverso da quanto descrivevo. L'uso di sha-1 non lascia puzza parecchio, ma è già più di quanto attribuissi alla PEC. Devo approfondire. ;-) Giacomo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giovanni Biscuolo

Giacomo Tesio <giacomo(a)tesio.it> writes: > On August 22, 2020 7:32:47 AM UTC, Marco Scialdone <marcoscialdone(a)gmail.com> wrote: >>La ricevuta completa della pec (quella che include anche il messaggio >>inviato e i suoi allegati e che tipicamente si usa nel pct o nelle >>notifiche processuali)) garantisce anche che quello che è stato >>ricevuto è esattamente quello che ho mandato (compresi gli allegati) >>nella remota ipotesi di contestazioni. > > Cosa impedisce al ricevente della ricevuta di modificarne il contenuto > prima di allegarla agli atti di un procedimento? La ricevuta di consegna della PEC di cui parla Marco è un messaggio di tipo multipart/signed firmato con S/MIME dal provider del destinatario del messaggio PEC A meno che io stia prendendo una sonora cantonata (ho verificato su un paio di messaggi PEC) tutto il contenuto della ricevuta, compresi gli allegati, è inglobato in questo: --8<---------------cut here---------------start------------->8--- Content-Type: multipart/signed; protocol="application/pkcs7-signature"; micalg=sha-1; boundary="----=_Part_281003588_807314074.1588076720058" --8<---------------cut here---------------end--------------->8--- Quindi può alterare il contenuto del messaggio solo chi è in grado di firmare con lo stesso certificato X.509: il provider del destinatario o un attaccante con sufficiente determinazione e possibilità tecniche. > Se la risposta è "nulla" (come ricordo dall'ultima volta che l'ho > studiata), allora anche il ricevente potrebbe fare lo stesso accusando > il mittente di averlo fatto. No perché anche il messaggio consegnato è sono firmato con S/MIME come il messaggio di avvenuta consegna visto sopra. (sempre a meno di cantonate mie) >>Poi non so se altri sistemi possano funzionare meglio TUTTO dipende da quali criteri si utilizzano per giudicare le qualità dei sistemi. Chi ha deciso per PEC, TECNICAMENTE, ha valutato che la "certification by authority" della PKI (Public Key Infrastructure) X.509 usata in S/MIME è meglio del "web of trust" usato in OpenPGP; altri come me (e Giacomo AFAIU) la pensano diversamente. Ora non voglio andare troppo lontano con questo discorso, ma AFAIU è ormai sufficientemente condiviso nella comunità di chi si occupa di sicurezza IT che l'ecosistema PKI ha degli insanabili bachi [1]… architetturali :-O (cioè non "normali" bachi del software a cui FORSE bene o male si può rimediare) > La cosa incredibile è che non lo sapevano nemmeno i tecnici > governativi che hanno realizzato o comunque approvato la PEC. No dai, non la metterei così :-) > Perché sì, esistono molti sistemi più semplici, efficienti e semplici > da implementare. Sì ma *pare* che anche in EU, con eIDAS, non la pensino come me e te: https://www.forumpa.it/pa-digitale/il-futuro-europeo-della-pec-necessarie-n… Cioè le regole tecniche del Registered Electronic Delivery (RED) non mi paiono (stando a quanto leggo) meno complicate di quelle PEC. Facciamocene una ragione :-D > Non è un caso che ad oggi non esistano implementazioni libere > funzionanti della PEC. Non so se sia funzionante (oggi *pare* un progetto abbandonato) ma esiste http://openpec.sourceforge.net Comunque sia a cosa serve se per poter implementare un server per ricevere o inviare email PEC occorre accreditarsi presso il CNIPA *e* avere un capitale sociale interamente versato di almeno un milione di EUR? [...] >> quello che so è >>quanto questo sistema abbia migliorato enormemente lo svolgimento di >>una serie di attività che prima passavano da lunghe trafile >>burocratiche (in primis, le notifiche processuali) > > Io non festeggerei la sostituzione di una montagna di scartoffie > con fragile castello di carte. ;-) Beh, per l'utilizzatore finale potersi dimenticare di procedure farragginose e montagne di scartoffie "solo" per poter dimostrare di aver inviato o meno una certa comunicazione è ESTREMAMENTE conveniente, laddove funziona [2]. Diciamo che secondo te e me si potrebbe fare di meglio e meno complicato. Saluti, Giovanni. [1] https://en.wikipedia.org/wiki/X.509#Security [2] tipo NON nei casi in cui gli enti ti chiedono di inviare via PEC una comunicazione *e* di protocollare presso l'ufficio la stampa fisica della ricevuta PEC :-O -- Giovanni Biscuolo

Aug. 22, 2020

Artificial Intelligence Crime: An Interdisciplinary Analysis of Foreseeable Threats and Solutions

by don Luca Peyron

This article offers the first systematic, interdisciplinary literature analysis of the foreseeable threats of AIC, providing ethicists, policy-makers, and law enforcement organisations with a synthesis of the current problems, and a possible solution space. https://link.springer.com/article/10.1007/s11948-018-00081-0 _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Marco Scialdone

Nulla, però sarebbe verificabile che è stata alterata ----- Blog: www.marcoscialdone.it Twitter: @marcoscialdone LinkedIn: www.linkedin.com/in/marcoscialdone > Il giorno 22 ago 2020, alle ore 10:12, Giovanni Biscuolo <giovanni(a)biscuolo.net> ha scritto: > > Buongiorno Marco, > > Marco Scialdone <marcoscialdone(a)gmail.com> writes: > > [...] > >> Nel modello alternativo proposto, se disconosco di aver ricevuto una >> certa email da tizio, quali strumenti, legalmente vincolanti, ha tizio >> per dimostrare in giudizio in modo semplice ed immaginato che ho >> invece ricevuto quella comunicazione (anche se non l’ho letta)? > > nell'email che citi, Giacomo e io stavamo FANTASTICANDO su un sistea di > cestione e certificazione dell'identità distribuito, la questione > "validità legale dell'email" per fortuna è un po' più semplice :-) > > Questo articolo di Carlo Piana illustra gli scenari e fornisce una caso > di realmente avvenuto. > > (se altri giuristi o legali in lista volessero aggiungere elementi, > anche a confutazione, sarebbe fantastico) > > https://www.piana.eu/prova_email/ > > --8<---------------cut here---------------start------------->8--- > > Occhio all’email in giudizio > > Cosa devo fare per far valere in giudizio il mio diritto, se l’unica > prova che ho è un’email? Spesso ci si trova in giudizio a discutere > della validità di una comunicazione elettronica semplice. Ma se siamo in > giudizio, è troppo tardi per pensarci, e la validità in questione > dipende spesso dalle circostanze e dalle prove a corredo. Meglio > pensarci prima, possibilmente, ma questo non avverrà mai. > > --8<---------------cut here---------------end--------------->8--- > > Anche io, diciamo "per non saper ne leggere ne scrivere", uso la PEC per > le comunicazioni che voglio FACILMENTE poter usare legalmente… però non > è che il resto finisce in un buco nero come se nulla fosse mai stato > detto. In particolare, io delle mie email tengo archivio PERENNE con > backup ridondato, oltre a firmarle GPG per poterne garantire il > contenuto [1]. > > > Saluti, Giovanni > > > [1] delle mie ovviamente, ma di solito i miei messaggi contengono le > parti essenziali del thread quindi OSEREI dire che l'intero thread "fa > prova" :-D > > [...] > > -- > Giovanni Biscuolo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giovanni Biscuolo

Buongiorno Marco, Marco Scialdone <marcoscialdone(a)gmail.com> writes: [...] > Nel modello alternativo proposto, se disconosco di aver ricevuto una > certa email da tizio, quali strumenti, legalmente vincolanti, ha tizio > per dimostrare in giudizio in modo semplice ed immaginato che ho > invece ricevuto quella comunicazione (anche se non l’ho letta)? nell'email che citi, Giacomo e io stavamo FANTASTICANDO su un sistea di cestione e certificazione dell'identità distribuito, la questione "validità legale dell'email" per fortuna è un po' più semplice :-) Questo articolo di Carlo Piana illustra gli scenari e fornisce una caso di realmente avvenuto. (se altri giuristi o legali in lista volessero aggiungere elementi, anche a confutazione, sarebbe fantastico) https://www.piana.eu/prova_email/ --8<---------------cut here---------------start------------->8--- Occhio all’email in giudizio Cosa devo fare per far valere in giudizio il mio diritto, se l’unica prova che ho è un’email? Spesso ci si trova in giudizio a discutere della validità di una comunicazione elettronica semplice. Ma se siamo in giudizio, è troppo tardi per pensarci, e la validità in questione dipende spesso dalle circostanze e dalle prove a corredo. Meglio pensarci prima, possibilmente, ma questo non avverrà mai. --8<---------------cut here---------------end--------------->8--- Anche io, diciamo "per non saper ne leggere ne scrivere", uso la PEC per le comunicazioni che voglio FACILMENTE poter usare legalmente… però non è che il resto finisce in un buco nero come se nulla fosse mai stato detto. In particolare, io delle mie email tengo archivio PERENNE con backup ridondato, oltre a firmarle GPG per poterne garantire il contenuto [1]. Saluti, Giovanni [1] delle mie ovviamente, ma di solito i miei messaggi contengono le parti essenziali del thread quindi OSEREI dire che l'intero thread "fa prova" :-D [...] -- Giovanni Biscuolo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

On August 22, 2020 7:32:47 AM UTC, Marco Scialdone <marcoscialdone(a)gmail.com> wrote: >La ricevuta completa della pec (quella che include anche il messaggio >inviato e i suoi allegati e che tipicamente si usa nel pct o nelle >notifiche processuali)) garantisce anche che quello che è stato >ricevuto è esattamente quello che ho mandato (compresi gli allegati) >nella remota ipotesi di contestazioni. Cosa impedisce al ricevente della ricevuta di modificarne il contenuto prima di allegarla agli atti di un procedimento? Se la risposta è "nulla" (come ricordo dall'ultima volta che l'ho studiata), allora anche il ricevente potrebbe fare lo stesso accusando il mittente di averlo fatto. >Poi non so se altri sistemi possano funzionare meglio La cosa incredibile è che non lo sapevano nemmeno i tecnici governativi che hanno realizzato o comunque approvato la PEC. Perché sì, esistono molti sistemi più semplici, efficienti e semplici da implementare. Non è un caso che ad oggi non esistano implementazioni libere funzionanti della PEC. È un sistema ridicolo, ridicolmente complicato. A pensar bene, si potrebbe ipotizzare che la sua progettazione sia stata affidata a pivelli con ganci politici. A pensar male, viene da chiedersi chi sia, fra coloro che hanno partecipato alla progettazione della PEC che ci ha guadagnato di più (una società italiana, il cui nome inizia e finisce con la stessa vocale). > quello che so è >quanto questo sistema abbia migliorato enormemente lo svolgimento di >una serie di attività che prima passavano da lunghe trafile >burocratiche (in primis, le notifiche processuali) Io non festeggerei la sostituzione di una montagna di scartoffie con fragile castello di carte. ;-) Giacomo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Marco Scialdone

La ricevuta completa della pec (quella che include anche il messaggio inviato e i suoi allegati e che tipicamente si usa nel pct o nelle notifiche processuali)) garantisce anche che quello che è stato ricevuto è esattamente quello che ho mandato (compresi gli allegati) nella remota ipotesi di contestazioni. Poi non so se altri sistemi possano funzionare meglio, quello che so è quanto questo sistema abbia migliorato enormemente lo svolgimento di una serie di attività che prima passavano da lunghe trafile burocratiche (in primis, le notifiche processuali) ----- Blog: www.marcoscialdone.it Twitter: @marcoscialdone LinkedIn: www.linkedin.com/in/marcoscialdone > Il giorno 21 ago 2020, alle ore 23:31, Giacomo Tesio <giacomo(a)tesio.it> ha scritto: > > > >> On August 21, 2020 6:18:37 PM UTC, Marco Scialdone <marcoscialdone(a)gmail.com> wrote: >> La Pec nasce fondamentalmente per rendere opponibile al terzo una >> comunicazione inviata ad un certo indirizzo analogamente a quanto >> avviene con la raccomandata cartacea. >> >> Nel modello alternativo proposto, se disconosco di aver ricevuto una >> certa email da tizio, quali strumenti, legalmente vincolanti, ha tizio >> per dimostrare in giudizio in modo semplice ed immaginato che ho invece >> ricevuto quella comunicazione (anche se non l’ho letta)? > > È sufficiente che la mail venga firmata automaticamente dai server SMTP che attraversa, in un header, dopo aver allegato un timestamp. > > Fatto a livello di header SMTP, sarebbe compatibile con tutti i server e tutti i client esistenti. > > I server SMTP compatibili potrebbero girare la firma con il timestamp al mittente. > > In questo modo non sarebbe nemmeno necessario detenere i log. > > Inoltre, contrariamente alla PEC, questo semplicissimo sistema garantirebbe che il contenuto della mail non possa essere alterato successivamente. > La PEC, come la raccomandata garantisce la comunicazione, non il contenuto. > Se una parte vuole rinnegare non la comunicazione, ma il contenuto della stessa, non c'è modo di stabilire chi mente. > In questo modo invece la firma del server SMTP corrisponderà al messaggio originale, non ad uno diverso. > > > Volendo tutelarsi da SMTP server corrotti che potrebbero firmare email aggiuntive a date nel passato, si potrebbe prevedere una hashchain (attenzione, HASHchain, non blockchain) fra le email etc.. > > > Naturalmente, avere una chiave pubblica, firmata da un funzionario statale, associata a mittente e destinatario abilita tutta una serie di protocolli interessanti. > > Per esempio il mittente potrebbe cifrare il messaggio con una chiave simmetrica (prima di cifrarlo con quella pubblica del destinatario) ed allegare un indirizzo web su una trusted third party a cui il destinatario può trovare la chiave simmetrica. > A quel punto, il log sul server della trusted third party garantisce che il destinatario ha provato a leggere l'email almeno una volta. > > > Giacomo

Aug. 22, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

On August 21, 2020 6:18:37 PM UTC, Marco Scialdone <marcoscialdone(a)gmail.com> wrote: >La Pec nasce fondamentalmente per rendere opponibile al terzo una >comunicazione inviata ad un certo indirizzo analogamente a quanto >avviene con la raccomandata cartacea. > >Nel modello alternativo proposto, se disconosco di aver ricevuto una >certa email da tizio, quali strumenti, legalmente vincolanti, ha tizio >per dimostrare in giudizio in modo semplice ed immaginato che ho invece >ricevuto quella comunicazione (anche se non l’ho letta)? È sufficiente che la mail venga firmata automaticamente dai server SMTP che attraversa, in un header, dopo aver allegato un timestamp. Fatto a livello di header SMTP, sarebbe compatibile con tutti i server e tutti i client esistenti. I server SMTP compatibili potrebbero girare la firma con il timestamp al mittente. In questo modo non sarebbe nemmeno necessario detenere i log. Inoltre, contrariamente alla PEC, questo semplicissimo sistema garantirebbe che il contenuto della mail non possa essere alterato successivamente. La PEC, come la raccomandata garantisce la comunicazione, non il contenuto. Se una parte vuole rinnegare non la comunicazione, ma il contenuto della stessa, non c'è modo di stabilire chi mente. In questo modo invece la firma del server SMTP corrisponderà al messaggio originale, non ad uno diverso. Volendo tutelarsi da SMTP server corrotti che potrebbero firmare email aggiuntive a date nel passato, si potrebbe prevedere una hashchain (attenzione, HASHchain, non blockchain) fra le email etc.. Naturalmente, avere una chiave pubblica, firmata da un funzionario statale, associata a mittente e destinatario abilita tutta una serie di protocolli interessanti. Per esempio il mittente potrebbe cifrare il messaggio con una chiave simmetrica (prima di cifrarlo con quella pubblica del destinatario) ed allegare un indirizzo web su una trusted third party a cui il destinatario può trovare la chiave simmetrica. A quel punto, il log sul server della trusted third party garantisce che il destinatario ha provato a leggere l'email almeno una volta. Giacomo

Aug. 21, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Marco Scialdone

Seguo con interesse questo dibattito che si ripropone ciclicamente. La Pec nasce fondamentalmente per rendere opponibile al terzo una comunicazione inviata ad un certo indirizzo analogamente a quanto avviene con la raccomandata cartacea. Nel modello alternativo proposto, se disconosco di aver ricevuto una certa email da tizio, quali strumenti, legalmente vincolanti, ha tizio per dimostrare in giudizio in modo semplice ed immaginato che ho invece ricevuto quella comunicazione (anche se non l’ho letta)? ----- Blog: www.marcoscialdone.it Twitter: @marcoscialdone LinkedIn: www.linkedin.com/in/marcoscialdone > Il giorno 21 ago 2020, alle ore 20:08, Giovanni Biscuolo <giovanni(a)biscuolo.net> ha scritto: > > Giacomo Tesio <giacomo(a)tesio.it> writes: > >> Sarò forse ingenuo, ma a tutt'oggi non capisco perché i comuni non >> firmino e pubblichino la chiave pubblica PGP dei propri cittadini, >> magari dietro un piccolo pagamento. > > Mah, forse siamo io e te che la facciamo troppo semplice? :-O > > In effetti è un pochino complessa [1]… però a me PARE che ci sia > qualcuno che la vuole rendere inutilmente complicata. > >> Costituirebbe una infrastruttura semplice, economica ed estremamente >> potente, sia per la comunicazione sicura fra cittadini, sia con la PA >> (invece della ridicola PEC), sia fra le aziende. > > Già, il FAMIGERRIMO accreditamento CNIPA, il capitale versato di almeno > un milione di EUR... paura! > > Pensare che le email "normali" possono essere legalmente valide (meglio > quando firmate PGP [2]) no eh? (sto volutamente semplificando [3]) > >> Ed educherebne la popolazione all'uso di sistemi criptografici seri e >> distribuiti. >> >> Immaginate quante applicazioni si potrebbero costruire su un web of >> trust così diffuso. > > Bello! > > Ciao, Giovanni > > [...] > > > > [1] in particolare SE vogliamo considerare gli aspetti legati > all'accesso ai metadati delle nostre identità digitali > > [2] aggià, e la marca temporale?!? > > [3] https://www.piana.eu/prova_email/ > > -- > Giovanni Biscuolo > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Aug. 21, 2020