January 2021 - nexa - server-nexa.polito.it

Trusting What?!?
by Giovanni Biscuolo Jan. 7, 2021

Jan. 7, 2021

Buongiorno nexiane, con questo messaggio inauguro ufficiosamente la rubrica "Trusting What?!?", dedicata alle segnalazioni e ai commenti in merito a tutto ciò che *pare* studiato appositamente per fornire a qualcuno backdoors direttamente nell'"hardware" dei dispositivi o per consentire attacchi di tipo "Trusting Trust" [1], AFAIK erroneamente comunemente circoscritti alle "sole" compiler backdoors [2]. Molti di voi in questa lista sanno bene a cosa mi riferisco, ma per coloro che non hanno questo livello di conoscenza mi permetto di sintetizzare il nocciolo del discorso. Eventuali note e correzioni sono benvenute. La morale della lezione del 1984 di Ken Thompson, documentata nel vol. 27 n. 8 della rivista "Communications of the ACM" dal titolo "Reflections on Trusting Trust" [1], è che la catena che conduce all'esecuzione del codice binario sui nostri dispositivi (cioè come funzionano davvero) è relativamente complessa e che se viene compromesso un anello della catena allora è possibile che l'autore della compromissione sia in grado di accedere al nostro dispositivo, ovviamente compresi tutti i dati che contiene; inoltre, più "vicino" all'hardware è l'anello compromesso, peggiore sarà il livello di compromissione perché tutti gli anelli che "girano sopra" saranno potenzialmente compromessi. Azzardo un elenco di questa catena, partendo dagli strati più "interni": 1. l'elaboratore ed i suoi circuiti accessori (CPU, memoria RAM, bus di comunicazione, ecc.); 2. il microcode della CPU, programmi che traducono le istruzioni macchina (ed altre cose analoghe) in operazioni dettagliate a livello di circuiti logici, quelli dei quali sono fatte le CPU; 3. il software che funziona _sotto_ al kernel, veri e propri sottosistemi incorporati nei microprocessori e che funzionano a livelli di accesso alle risorse (inclusa ovviamente la memorai RAM) _inferiori_ al kernel stesso; 4. il kernel, il nocciolo del sistema operativo che consente alle applicazioni di "colloquiare" con l'hardware, in particolare mi "limiterei" ai "driver" dei dispositivi (WiFi, scheda grafica, stampante, scanner... microscopio elettronico, ecc.); 5. il sistema di build del software (compilatore, linker, ecc. Ovviamente le librerie usate.) 6. il software "user space", quello applicativo: dalla shell di sistema al browser, word processor, ecc. ecc. In questa "rubrica" vorrei saltare a piè pari tutto ciò che fa parte dei livelli 5 e 6 perché la soluzione alla domanda "come mi posso fidare" esiste già e si chiama "bootstrappable builds" [3] e "reproducible builds" [4]: non che sia già tutto risolto, anzi, ma direi che gli strumenti per risolverli ci sono già e si tratta quindi "solo" di applicarli (in qualche caso significa anche completare alcuni interessantissimi progetti, che meriterebbero più risorse). Parlerei piuttosto di come ci possiamo fidare dal kernel in giù, che è un problema del quale ancora _io_ non vedo la soluzione all'orizzonte, o meglio una soluzione alla portata di un'ampia fascia di cittadini. Alla prossima puntata. Saluti, Giovanni P.S.: questo lavoro rappresenta per me una sorta di ricerca propedeutica alla prossima edizione del vol.1 del libro "Cittadinanza digitale e tecnocivismo" (in CC-BY-SA): chi contribuirà con informazioni o commenti interessanti avrà infinita riconoscenza mia, degli altri autori e dei cinque o sei lettori :-) [1] http://users.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf [2] egli disse: «I picked on the C compiler. I could have picked on any program-handling program such as an assembler, a loader, or even hardware microcode» [3] https://bootstrappable.org/ [4] https://reproducible-builds.org/ -- Giovanni Biscuolo

1 0

Data Cartels and Monopolistic Pressures - The Business Parlour
by J.C. DE MARTIN Jan. 7, 2021

Jan. 7, 2021

https://theparlour.substack.com/p/data-cartels-and-monopolistic-pressures (Sent from my wireless device; please excuse brevity and typos (if any))

2 1

Il software libero al centro del Recovery Plan
by Giacomo Tesio Jan. 7, 2021

Jan. 7, 2021

Proprio il giorno in cui la Casa Bianca nomina capo tecnologo un attivista ed esperto del software libero, David Recordon, ci giunge la lettera del professore Angelo Raffaele Meo che chiede al governo italiano di destinare una parte dei soldi del Recovery fund all’informatica libera nel nostro paese. [...] Il professore, cogliendo la sensibilità di operatori e associazioni come Assoprovider, afferma: «Noi sogniamo una rete neutrale e scalabile, nella quale l’identità e i dati di tutti i cittadini che vi accedano siano protetti “by design” e nella quale sono disponibili servizi distribuiti e federati». E conclude: «Ci vuole una rete nazionale della scuola che risponda a queste caratteristiche, utile anche ai fini della teledidattica». Per tutti questi motivi chiede almeno 10 miliardi di investimento. Non è solo, infine. La lettera è firmata anche da alcuni dei più noti esperti del settore: docenti universitari come Mariella Berra, Maria Chiara Pievatolo, Renzo Davoli, Juan Carlos de Martin; avvocati come Giovanni Battista Gallus e Marco Ciurcina; attivisti come Giordano Alborghetti, esperti come Flavia Marzano e tante associazioni, da Libre Italia ad Assoli e Open Education Italia. Tratto dall'articolo di Arturo Di Corinto per il Manifesto https://ilmanifesto.it/il-software-libero-al-centro-del-recovery-plan/ Giacomo

3 4

Green Algorithms: Quantifying the Carbon Emissions of Computation (Research Summary)
by don Luca Peyron Jan. 7, 2021

Jan. 7, 2021

Buona lettura dl https://montrealethics.ai/green-algorithms-quantifying-the-carbon-emissions… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

1 0

Scienza e competenza
by Antonio Iacono Jan. 7, 2021

Jan. 7, 2021

Prima di inviare un messaggio alla lista mi viene sempre il dubbio che le cose che ho intenzione di scrivere siano "on topic". E così mi rileggo il "cosa è il centro Nexa". Internet è una tecnologia potente. Una tecnologia allo stesso tempo dirompente, generativa, pervasiva e in continua evoluzione. La forza di Internet è in grado di produrre cambiamenti radicali nel modo in cui la realtà viene vissuta, percepita, organizzata e di innescare straordinarie opportunità di sviluppo. Comprendere Internet, identificarne limiti e potenzialità, è indispensabile per assicurare sviluppo economico, tecnico-scientifico, culturale e politico per gli anni a venire. Nota in premessa, perchè nella versione inglese c'è "sviluppo economico, tecnico, scientifico, culturale e sociale per gli anni a venire" e nella versione italiana il termine "sociale" è stato sostituito con "politico"? Perchè il Italia la politica è più "centrale" della socialità? Ma non è di questo che vorrei parlare. Negli auguri (rigorosamente whatsapp, anche questo segno dei tempi) di fine anno ci siamo tutti augurati, non un "felice anno nuovo" ma un "anno normale", già, la normalità. Chi mai, tra i buoni propositi avrebbe detto: "io quest'anno vorrei stare di più all'aria aperta, di più in mezzo alle persone, andare a teatro o cinema più spesso, ...". Il 31 dicembre Riccardo Luna ha scritto: "Quando il settimanale TIME, pochi giorni fa, ha dedicato la copertina al 2020 con il titolo "L'anno peggiore di sempre" in tanti si sono levati in piedi: e perché Hitler? e il bombardamento delle città? e i campi di concentramento? e le bombe atomiche? Bene, quella copertina era esagerata. Quello che finisce oggi è l'anno peggiore dal 1946 ad oggi. Ma non sono d'accordo neanche con questo. Questo è stato l'anno in cui ci siamo resi conto di essere fragili, ma lo eravamo già; l'anno in cui abbiamo cambiato la nostra scala di valori, che era stata a lungo sbagliata; l'anno in cui abbiamo imparato a rallentare senza fermarci ... siamo cresciuti. Nella nostra scala di valori, scienza, salute e competenza sono infinitamente più importanti di un anno fa." Scienza, salute e competenza, per Luna bisogna ripartire da queste tre parole. Ora, mettendo da parte "salute", perchè, a differenza di quello che pensa Luna la salute è stata sempre al primo posto di ognuno di noi. Quante volte abbiamo sentito dire ai nostri genitori e nonni: "Basta che c'è la salute". Rimangono scienza e competenza. Ma scienza e competenza, da sole, buttate lì, sono parole vuote. La scienza ha prodotto le bombe atomiche e, non contenta, si è "portata avanti" con quelle termo-nucleari. La competenza, già, ma anche i gerarchi nazisti che organizzavano i campi di sterminio erano estremamente competenti nel loro lavoro di morte. Come al solito sono andando abbondantemente fuori tema. Cerco di rientrarci nel finale. Nel 2020 (almeno da quando sono iscritto alla lista) si è discusso abbondantemente dei limiti di Internet, ci siamo accaniti contro i GAFAM, contro il capitalismo della sorveglianza, si è sviscerato, giustamente, l'argomento Intelligenza Artificiale. Si è parlato molto meno delle potenzialità. E' così perchè di potenzialità l'Internet attuale non ne ha più, che bisogna cancellare tutto e ricostruire da zero una "rete digitale" e, a questo pounto, data la simbiosi, una "rete umana"? Seconda domanda, si può cambiare Internet dal basso? All'inizio, i "pionieri", i singoli, le eccezioni, hanno contribuito a farlo. Rasmus Lerdorf non immaginava certo che con i "mattoncini" che lui aveva creato un giorno sarebbe nata Wikipedia. Linus Torvalds, probabilmente, voleva solo dimostrare ad Andrew Tanenbaum che la sua idea era migliore. Ma oggi? OK, mi fermo qui, avrei voluto continuare con WebRTC, con i "nuovi" linguaggi di programmazione, ecc. Sarà per le prossime volte. Antonio

6 10

WhatsApp: obbligatorio condividere i dati con Facebook
by Antonio Iacono Jan. 7, 2021

Jan. 7, 2021

Parte dall’India la rivoluzione di WhatsApp: obbligatorio condividere i dati con Facebook [1] Chi non accetta le nuove condizioni del contratto non potrà più utilizzare la app di messaggistica. La sempre più stretta integrazione dei servizi della galassia Zuckerberg pone serie riflessioni alla privacy degli utenti. [1] https://www.repubblica.it/esteri/2021/01/06/news/whatsapp_facebook_zuckerbe…

2 2

UK watchdog investigates chip maker Nvidia’s takeover of Arm
by Andrea Pellegrini Jan. 7, 2021

Jan. 7, 2021

Qualcuno si muove… forse. https://apnews.com/article/business-956aa3b72496c5975e53e6df2712bb66 LONDON (AP) — British regulators are investigating graphics chip maker Nvidia’s $40 billion purchase of chip designer Arm over concerns about its effect on competition. The Competition and Markets Authority said Wednesday it will look into the deal’s effect on how Arm treats Nvidia’s rivals. The watchdog said it will examine whether the deal will give Arm “an incentive to withdraw, raise prices or reduce the quality” of its services to Nvidia’s chipmaking competitors. Andrea Coscelli, chief executive of the Competition and Markets Authority, said the watchdog “will work closely with other competition authorities around the world to carefully consider the impact of the deal and ensure that it doesn’t ultimately result in consumers facing more expensive or lower quality products.” U.K.-based Arm Ltd., whose chip designs power the vast majority of the world’s smartphones, declined to comment, as did Nvidia Corp., which is based in Santa Clara, California. Nvidia said last year it was buying Arm Holdings from Japan’s technology giant Softbank. The deal raised concerns that Arm would abandon its neutral business model of licensing its chip designs to hundreds of tech companies, including many of Nvidia’s rivals. Nvidia pledged to maintain Arm’s open licensing model and customer neutrality. It also agreed to keep Arm’s headquarters in Cambridge, England and expand its British staff. The company has said the deal wouldn’t be completed until early 2022 because it also faces regulatory scrutiny from the U.S., China and the European Union. Andrea Pellegrini 346 705 0039 <tel:+393467050039> Via Superga, 5 Pino Torinese (TO) Italy pelle(a)andreapellegrini.net <mailto:pelle@andreapellegrini.net> andreapellegrini.net <https://andreapellegrini.net/>

2 1

Amazon eases new seller delivery requirements as Covid strains carriers
by Luigi Scorca Jan. 6, 2021

Jan. 6, 2021

www.cnbc.com/amp/2021/01/05/amazon-eases-seller-delivery-requirements-as-co… Luigi

1 0

consultzione pubblica sulle Aree Idonee a ospitare scorie nucleari
by fiorella de cindio Jan. 5, 2021

Jan. 5, 2021

Il governo italiano si e' dotato di un ambiente per le consultazioni pubbliche onlien dei cittadini (https://partecipa.gov.it/) realizzato con il software Decidim Oggi ho sentito che, dopo la pubblicazione deile Aree Potenzialmente Idonee ad ospitare il Deposito Nazionale (e annesso Parco Tecnologico) per lo stoccaggio delle scorie nucleari, sarebbe stata aperta una Consultazione dei Cittadini come parte del percorso per arrivare alla scelta del sito. Curiosa, sono andata su ParteciPa senza trovarla. La consultazione e' invece aperta sul sito https://www.depositonazionale.it/ realizzato da Sogin S.p.A. che ha preparato il documento pubblicato oggi con i crteri di localizzazione e un primo elenco delle aree potenzialmente idonee. Per partecipare alla consultazione bisogna registarsi. Non ci si puo' registrare con SPID, ma bisogna compilare un form con i soliti dati e allegare documento di identita'. Sogin e' una spa "interamente partecipata dal Ministero dellEconomia e delle Finanze. Opera in base agli indirizzi strategici formulati dal Ministero dello Sviluppo Economico ed è sottoposta al controllo della Corte dei Conti." Troppo chiedere che tutti i Ministeri e loro contrallate usino lo standard SPID per autenticarsi e la piattaforma di consultazione sviluppata dal Governo, evitando sperpero di risorse pubbliche per sviluppare le medesime funzionalita' (magari la cosa riguarda la Corte dei Conti) e ai cittadini di dover moltiplicare i propri profili digitali e disseminare dati e documenti personali ? -- fiorella

1 0

Singapore police can access COVID-19 contact tracing data
by Antonio Casilli Jan. 5, 2021

Jan. 5, 2021

Sorpresona: https://www.zdnet.com/article/singapore-police-can-access-covid-19-contact-… Singapore police can access COVID-19 contact tracing data for criminal investigations Under the country's Criminal Procedure Code, the Singapore Police Force can obtain any data -- including information gathered by the contact tracing TraceTogether app and wearable token -- to facilitate criminal probes, confirms cabinet minister. --

2 1