August 2020 - nexa - server-nexa.polito.it

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giovanni Biscuolo

Giacomo Tesio <giacomo(a)tesio.it> writes: > Sarò forse ingenuo, ma a tutt'oggi non capisco perché i comuni non > firmino e pubblichino la chiave pubblica PGP dei propri cittadini, > magari dietro un piccolo pagamento. Mah, forse siamo io e te che la facciamo troppo semplice? :-O In effetti è un pochino complessa [1]… però a me PARE che ci sia qualcuno che la vuole rendere inutilmente complicata. > Costituirebbe una infrastruttura semplice, economica ed estremamente > potente, sia per la comunicazione sicura fra cittadini, sia con la PA > (invece della ridicola PEC), sia fra le aziende. Già, il FAMIGERRIMO accreditamento CNIPA, il capitale versato di almeno un milione di EUR... paura! Pensare che le email "normali" possono essere legalmente valide (meglio quando firmate PGP [2]) no eh? (sto volutamente semplificando [3]) > Ed educherebne la popolazione all'uso di sistemi criptografici seri e > distribuiti. > > Immaginate quante applicazioni si potrebbero costruire su un web of > trust così diffuso. Bello! Ciao, Giovanni [...] [1] in particolare SE vogliamo considerare gli aspetti legati all'accesso ai metadati delle nostre identità digitali [2] aggià, e la marca temporale?!? [3] https://www.piana.eu/prova_email/ -- Giovanni Biscuolo

Aug. 21, 2020

Cory Doctorow su contact tracing - exposure notification

by Roberto Resoli

Grazie a Stefano Zacchiroli per averlo segnalato: https://threadreaderapp.com/thread/1296248163653660672.html Traduco la considerazione imho più saliente e di carattere generale: «In prima approssimazione, tutte le cose importanti del nostro mondo hanno una dimensione qualitativa irriducibile e vitale. Prendete le esenzioni dal copyright: le regole del fair use sono volutamente qualitative ("Il vostro uso è trasformativo in modo da commentare o criticare l'opera che utilizza?) Sono questioni che riflettono le priorità politiche: secondo le parole della Corte Suprema, il "fair use" è la "valvola di sfogo" del Primo Emendamento, ciò che fa quadrare i diritti esclusivi degli autori con il diritto del pubblico alla libera espressione. Ma l'industria della tecnologia e dell'intrattenimento ha speso decenni a cercare di scartare questo in favore di una misura puramente quantitativa: non è giusto che la vostra immagine incorpori più di X pixel da un'altra, o che il vostro video o il vostro suono abbia più di Y secondi da un'altra opera. E' un'idiozia. Risolvere le sfide dell'automazione dichiarando che le parti non automatizzabili non sono importanti è il modo in cui gli stronzi delle auto a guida autonoma dicono: "Dobbiamo solo dire alla gente che non è permesso loro di agire in pubblico in modo imprevedibile".» rob

Aug. 21, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giovanni Biscuolo

"Fabio Pietrosanti (naif)" <lists(a)infosecurity.ch> writes: > On 21/08/2020 11:03, Giovanni Biscuolo wrote: >> Ciao Fabio, >> >> una curiosità: come mai hai (avete, hanno?) deciso di arrivare fino al >> voto e non segnalare prima il baco a quelli di Rousseau? > > Come dimostri una vulnerabilità se non tramite lo sviluppo di un PoC > (Proof of Concept) ? Penso che la vulnerabilità fosse già dimostrata con la duplice registrazione sulla piattaforma, il voto doppio è una naturale evoluzione. Non sto criticando l'operazione, era pura curiosità. [...] > Quel che importa è la sensibilizzazione e comunicazione sul tema delle > debolezze e fragilità del voto elettronico e anche dell'identità digitale? :-) [...] Grazie, Giovanni -- Giovanni Biscuolo

Aug. 21, 2020

Why Microsoft's new Flight Simulator should make Google and Amazon nervous

by don Luca Peyron

Un aspetto per nulla secondario della trasformazione digitale, soprattutto in relazione alle nuove generazioni. Buona lettura dl https://www.protocol.com/microsoft-flight-simulator-2020?_lrsc=ac31e3f7-6c9… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 21, 2020

Un anno senza Giovanni Buttarelli. L’inedito ricordo dei suoi più stretti collaboratori “Il leader visionario dell’Ue”

by don Luca Peyron

Una persona perbene che ha dato molto ai temi che in lista ci sono cari. Buona lettura dl https://www.key4biz.it/un-anno-senza-giovanni-buttarelli-linedito-ricordo-d… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Aug. 21, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Giacomo Tesio

Sarò forse ingenuo, ma a tutt'oggi non capisco perché i comuni non firmino e pubblichino la chiave pubblica PGP dei propri cittadini, magari dietro un piccolo pagamento. Costituirebbe una infrastruttura semplice, economica ed estremamente potente, sia per la comunicazione sicura fra cittadini, sia con la PA (invece della ridicola PEC), sia fra le aziende. Ed educherebne la popolazione all'uso di sistemi criptografici seri e distribuiti. Immaginate quante applicazioni si potrebbero costruire su un web of trust così diffuso. Giacomo

Aug. 21, 2020

Re: [nexa] Facial Recognition Violates Human Rights, Court Rules

by Giovanni Biscuolo

Alberto Cammozzo <ac+nexa(a)zeromx.net> writes: [...] > <https://www.judiciary.uk/judgments/r-bridges-v-cc-south-wales/> > > [...] > > 1) The Respondent’s use of Live Automated Facial Recognition > technology on 21 December 2017 and 27 March 2018 and on an ongoing > basis, which engaged Article 8(1) of the European Convention on Human > Rights, was not in accordance with the law for the purposes of Article > 8(2). [...] grazie infinite! -- Giovanni Biscuolo

Aug. 21, 2020

Re: [nexa] sulla falsificazione di identità digitale (was Re: Sulla sicurezza del voto elettronico: Come sono riuscito a votare due volte su Rousseau)

by Fabio Pietrosanti (naif)

On 21/08/2020 11:03, Giovanni Biscuolo wrote: > Ciao Fabio, > > una curiosità: come mai hai (avete, hanno?) deciso di arrivare fino al > voto e non segnalare prima il baco a quelli di Rousseau? Come dimostri una vulnerabilità se non tramite lo sviluppo di un PoC (Proof of Concept) ? Qui il PoC è dato dall'essere riusciti, data una stessa persona fisica validata 2 volte con gli stessi documenti, ad esprimere 2 voti, e non tanto dalla modalità tecnica con cui ci si è riusciti. Mi sentirei confidente nella possibilità di riuscire a fare altre 2 iscrizioni, sempre con documento validato, individuando e sfruttando bug di tipo logico-procedurale più che tecnologico, magari più avanti ci si riprova! Quel che importa è la sensibilizzazione e comunicazione sul tema delle debolezze e fragilità del voto elettronico, considerando il lavoro svolto da Giuseppe Brescia (M5S, Presidente Commissione Affari Costituzionali) per portare questo rischio democratico a livello istituzionale https://www.giuseppebrescia.it/tag/voto-elettronico/ . Fabio

Aug. 21, 2020

Re: [nexa] Facial Recognition Violates Human Rights, Court Rules

by Alberto Cammozzo

Ciao, la sentenza è questa <https://www.judiciary.uk/judgments/r-bridges-v-cc-south-wales/> [...] 1) The Respondent’s use of Live Automated Facial Recognition technology on 21 December 2017 and 27 March 2018 and on an ongoing basis, which engaged Article 8(1) of the European Convention on Human Rights, was not in accordance with the law for the purposes of Article 8(2). [...] Alberto On 21/08/2020 11:26, Giovanni Biscuolo wrote: > Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> writes: > >> <https://www.forbes.com/sites/fernandezelizabeth/2020/08/13/facial-recogniti…> > [...] > >> The ruling stated that facial recognition technology violates human >> rights. > Quale diritto? Quale codice ha violato? > > Sapere perché è fondamentale per capire cosa è costituzionalmente o meno > consentito, *anche* e soprattutto quando si passa per "il digitale". > > Ho cercato in tutti (alcuni?) link citati nell'articolo ma non trovo > nessun link all'esatto articolo costituzionale o di legge che ha > determinato la pronuncia della corte d'appello UK; non credo proprio che > «violates human rights» sia giuridicamente valido. >

Aug. 21, 2020

Re: [nexa] Picking Locks with Audio Technology

by Giovanni Biscuolo

Buongiorno Enrico, un amico mi aveva segnalato la notizia e avevo deciso di ignorarla, ma a questo punto :-) Enrico Nardelli <nardelli(a)mat.uniroma2.it> writes: [...] > https://cacm.acm.org/news/246744-picking-locks-with-audio-technology/fullte… Aggiungo che (come citato nell'articolo) si tratta di un POC (proof of concept) di attacco verso le serrature "semplici", quelle di tipo https://en.wikipedia.org/wiki/Pin_tumbler_lock; forse per altre più sofisticate questo attacco non è realizzabile? Ecco i cinque vettori di attacco per acquisire l'audio dell'inserimento della chiave, giudicate voi: --8<---------------cut here---------------start------------->8--- Acquiring the Audio Their first task was to work out how to surreptitiously acquire the audio from a key insertion, and the researchers suggest no less than five ways of going about it. First, in a walk-by attack, a spy simply walks behind somebody just as they unlock a door or locker, holding their phone out to furtively record the sound of the key going into the lock. So far, though, they have only done this with the phone an unrealistic 10cm (nearly four inches) from the lock. "We are still working on making this attack realizable," says Ramesh. Their second method takes another tack entirely: install malware on a victim's smartphone (or smartwatch) so it records and transmits key insertion audio via an Internet or 4G backchannel. Such viruses are already known in the wild. Third, they believe an attacker might hack a product like a domestic Internet of Things (IoT) device that contains a microphone, like a video doorbell, which is next to the lock, and acquire audio over the air. Again, this is a known attack vector. The fourth trick might involve long-distance microphones, the NUS team suggest, while a fifth might involve installing hidden microphones in a corridor of a set of target offices; over time, they suggest, attackers could quietly harvest door key audio for multiple offices. Once they have a key-insertion audio file, SpiKey's inference software gets to work filtering the signal to reveal the strong, metallic clicks as key ridges hit the lock's pins [and you can hear those filtered clicks online here]. These clicks are vital to the inference analysis: the time between them allows the SpiKey software to compute the key's inter-ridge distances and what locksmiths call the "bitting depth" of those ridges: basically, how deeply they cut into the key shaft, or where they plateau out. If a key is inserted at a nonconstant speed, the analysis can be ruined, but the software can compensate for small speed variations. The result of all this is that SpiKey software outputs the three most likely key designs that will fit the lock used in the audio file, reducing the potential search space from 330,000 keys to just three. "Given that the profile of the key is publicly available for commonly used [pin-tumbler lock] keys, we can 3D-print the keys for the inferred bitting codes, one of which will unlock the door," says Ramesh. What can be done about the risk this poses to homes, offices, and even your gym locker? Apart from inserting the key in the lock very quietly and slowly, as alluded to earlier, Ramesh suggests the key ridges that generate the clicks could be "smoothed out so that they are not pointed anymore" to reduce the chance of an acoustic attack. --8<---------------cut here---------------end--------------->8--- Ipotesi: e se mentre inseriamo la chiave picchiettassimo sulla porta o sullo sportello per generare sufficiente rumore da mascherare quello prodotto dal meccanismo di apertura? Qualche azienda potrebbe persino vendere un generatore di vibrazioni "a contatto" fatto apposta, no? :-D [...] Saluti, Giovanni -- Giovanni Biscuolo

Aug. 21, 2020