October 2021 - nexa - server-nexa.polito.it

Re: [nexa] sistema DCG comromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 31/10/21 10:55, Roberto Resoli ha scritto: > Il 30/10/21 18:20, Roberto Resoli ha scritto: >> Il 30 ottobre 2021 11:37:49 CEST, Roberto Resoli <roberto(a)resolutions.it> ha scritto: >>> Il 28 ottobre 2021 11:45:42 CEST, "380°" <g380(a)biscuolo.net> ha scritto: >>>> Buongiorno nexiane, >> ... >>>> Stefano Zanero e Matteo Flora, nel Agosto 2021 dicevano [4] che l'app >>>> non ha (aveva?) questa funzione, anche e soprattutto per problemi di >>>> privacy: è così? >>> >>> È così al momento per l'app italiana. Non esiste sistema di revoca per i GP, si può solo ritirare il cert di firma (DSC); cosa avvenuta per i fasulli emessi dal sistema macedone. Notare che i fasulli emessi con chiavi tedesche, francesi e polacche per C19 sono tornati validi. >>> >>> Pare che l'app francese invece abbia un sistema di blacklisting. >> >> https://awa.scumm.it/posts/category/subcategory/2020/10/31/GreenPass/ >> "Some pass can be revoked because is considered fraudulent or simply expired for some reason (for example a person has a valid test but then get the virus). For this reason it is recommended to implement a revoke list. Unfortunately there is not a standard for it and each country uses its own. As usual, because I am not part of any healthcare network, I used one publicly available, in this case the French list that can be found on this git link." > > Pare che anche l'ultima versione dell'app italiana abbia implementato qualcosa del genere. VerificaC19 v1.1.6 non verifica più alcuno dei QR in https://github.com/denysvitali/covid-cert-analysis/blob/master/RESULTS.md L'utente github @cifred98 spiega il meccanismo: https://github.com/ministero-salute/it-dgc-verificaC19-android/issues/103#i… Nelle impostazioni dell'applicazione sono stati elencati i certificati noti ovviamente falsi rimanenti dopo la revoca del DSC della Macedonia: { "name":"black_list_uvci", "type":"black_list_uvci", "value":"URN:UVCI:01:FR:W7V2BE46QSBJ#L;URN:UVCI:01:FR:T5DWTJYS4ZR8#4;URN:UVCI:01DE/A80013335/TCXSI5Q08B0DIJGMIZJDF#T;URN:UVCI:01:PL:1/AF2AA5873FAF45DFA826B8A01237BDC4;" } Solo una pezza, ovviamente ... rob

Oct. 31, 2021

Re: [nexa] sistema DCG comromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 30/10/21 18:20, Roberto Resoli ha scritto: > Il 30 ottobre 2021 11:37:49 CEST, Roberto Resoli <roberto(a)resolutions.it> ha scritto: >> Il 28 ottobre 2021 11:45:42 CEST, "380°" <g380(a)biscuolo.net> ha scritto: >>> Buongiorno nexiane, > ... >>> Stefano Zanero e Matteo Flora, nel Agosto 2021 dicevano [4] che l'app >>> non ha (aveva?) questa funzione, anche e soprattutto per problemi di >>> privacy: è così? >> >> È così al momento per l'app italiana. Non esiste sistema di revoca per i GP, si può solo ritirare il cert di firma (DSC); cosa avvenuta per i fasulli emessi dal sistema macedone. Notare che i fasulli emessi con chiavi tedesche, francesi e polacche per C19 sono tornati validi. >> >> Pare che l'app francese invece abbia un sistema di blacklisting. > > https://awa.scumm.it/posts/category/subcategory/2020/10/31/GreenPass/ > "Some pass can be revoked because is considered fraudulent or simply expired for some reason (for example a person has a valid test but then get the virus). For this reason it is recommended to implement a revoke list. Unfortunately there is not a standard for it and each country uses its own. As usual, because I am not part of any healthcare network, I used one publicly available, in this case the French list that can be found on this git link." Pare che anche l'ultima versione dell'app italiana abbia implementato qualcosa del genere. VerificaC19 v1.1.6 non verifica più alcuno dei QR in https://github.com/denysvitali/covid-cert-analysis/blob/master/RESULTS.md rob

Oct. 31, 2021

Il fascino del Falso

by Antonio Iacono

Nel 1994 quando la polizia francese entrò nella tenuta di campagna di Geert Jan Jansen vi trovò oltre 1600 opere di artisti del calibro di Picasso, Dalì, Appel, Matisse, Miro, Hockney. Piccolo particolare, la maggior parte li aveva dipinti lui stesso. Diceva: "un falso inizia sempre con la firma dell’artista che si sta falsificando. Perché se realizzi un capolavoro e poi dopo sbagli la firma è un dramma" Trasferiamoci nel digitale. Qui, riprodurre un "capolavoro" è semplice e immediato, si copia bit per bit e la copia diventa indentica all'originale. Qualche decennio fa, matematici e programmatori informatici hanno trovato un modo per aggiungere una "signature" e da quel momento in poi riprodurre un "qualcosa" di informatico, firmato, è stato, parafrasando Jan Jansen, "un dramma". Ma il falso ha sempre affascianato le persone, e l'immaginazione che, come scriveva Leopardi, "è il primo fonte della felicità umana", non si fa certo fermare dal "calcolo delle probabilità" e così capita che un oscuro hacker finlandese trova il modo per riprodurre l'irriproducibile, una "firma digitale". E' riuscito/a ad accedere ad un server? Si è procurato/a la chiave privata? Si è procurato/a delle credenziali legittime? E' lui/lei stesso un operatore / una operatrice? Il nonno, in sogno, gli ha rivelato i 32 numeri della chiave? (versione aggiornata dei tre numeri al lotto) Non lo sappiamo, quello che sappiamo è che 45 minuti dopo che il primo green pass "farlocco" sia stato emesso [1] in un forum finlandese c'era già la notizia [2]. Buona domenica, Antonio [1] domenica 17 ottobre 2021 22:19:44 GMT+02:00 DST [2] https://ylilauta.org/koronavirus/129754510

Oct. 31, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 30/10/21 15:13, Giacomo Tesio ha scritto: > On October 30, 2021 11:21:52 AM UTC, Roberto Resoli wrote: >> Il 30/10/21 12:41, Giacomo Tesio ha scritto: >>> Per questo trovo l'ipotesi "burlone" ridicola. >>> >>> Piace perché riduce la dissonanza cognitiva di chi crede che l'informatica contemporanea >>> sia in qualche modi affidabile. >>> >>> Non lo è. >> Giusto, come qualsiasi cosa umana. > Come qualsiasi cosa umana da cui tutti dipendono e che pochissimi comprendono e controllano. ri-giusto. rob > Giacomo

Oct. 30, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Marco A. Calamari

On Sat, 2021-10-30 at 10:41 +0000, Giacomo Tesio wrote: ... > Piace perché riduce la dissonanza cognitiva di chi crede che l'informatica > contemporaneasia in qualche modi affidabile. > Non lo è. > L'armageddon crittografico non serve.L'inferno è già qui, ma tutti sono > addestrati a gioirne. ;-) Grandissimo !

Oct. 30, 2021

Re: [nexa] sistema DCG comromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 30 ottobre 2021 11:37:49 CEST, Roberto Resoli <roberto(a)resolutions.it> ha scritto: >Il 28 ottobre 2021 11:45:42 CEST, "380°" <g380(a)biscuolo.net> ha scritto: >>Buongiorno nexiane, ... >>Stefano Zanero e Matteo Flora, nel Agosto 2021 dicevano [4] che l'app >>non ha (aveva?) questa funzione, anche e soprattutto per problemi di >>privacy: è così? > >È così al momento per l'app italiana. Non esiste sistema di revoca per i GP, si può solo ritirare il cert di firma (DSC); cosa avvenuta per i fasulli emessi dal sistema macedone. Notare che i fasulli emessi con chiavi tedesche, francesi e polacche per C19 sono tornati validi. > >Pare che l'app francese invece abbia un sistema di blacklisting. https://awa.scumm.it/posts/category/subcategory/2020/10/31/GreenPass/ "Some pass can be revoked because is considered fraudulent or simply expired for some reason (for example a person has a valid test but then get the virus). For this reason it is recommended to implement a revoke list. Unfortunately there is not a standard for it and each country uses its own. As usual, because I am not part of any healthcare network, I used one publicly available, in this case the French list that can be found on this git link." rob (

Oct. 30, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Giacomo Tesio

On October 30, 2021 11:21:52 AM UTC, Roberto Resoli wrote: > Il 30/10/21 12:41, Giacomo Tesio ha scritto: > > > > Per questo trovo l'ipotesi "burlone" ridicola. > > > > Piace perché riduce la dissonanza cognitiva di chi crede che l'informatica contemporanea > > sia in qualche modi affidabile. > > > > Non lo è. > > Giusto, come qualsiasi cosa umana. Come qualsiasi cosa umana da cui tutti dipendono e che pochissimi comprendono e controllano. Giacomo

Oct. 30, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 30/10/21 12:41, Giacomo Tesio ha scritto: > > > On October 30, 2021 9:45:48 AM UTC, Roberto Resoli wrote: >> Il 30 ottobre 2021 11:19:17 CEST, Giacomo Tesio <giacomo(a)tesio.it> ha scritto: >>> Perché sostituirle se non sono state compromesse? >> >> Perchè al momento pare è l'unico modo per togliere valdità a livello sovranazionale >> ai DGC emessi con quelle chiavi. > > Se il problema è a valle, invalidare milioni di certificati per un pugno di farlocchi > sarebbe irrazionale. > > Il danno perpetrato da Adolf Hitler e Mickey Mouse non è lontanamente > comparabile con i certificati validi pubblicati periodicamente su giornali e riviste. > > Perché se ti trovi davanti Adolf Hitler qualche domanda te la fai, se ti trovi quella di > uno sconosciuto anagraficamente simile a quello che hai davanti, no > > Eppure non invalidiamo milioni di Green Pass ad ogni leak di un singolo qrcode. Qui non si tratta di leak di un singolo QR, è la compromissione di un server di emissione. Credo che si stia valutando l'impatto delle rimozioni di chiavi. E ogni nazione può decidere quali chiavi rimuovere e quali no in maniera indipendente, ognuna emette la trustlist per la propria applicazione. >>> Vi propongo una ipotesi: le applicazioni di firma erano buggate e selezionavano k [1] >>> in modo predicibile o peggio costante. >> >> Mi sentirei di escluderlo, come anche di escludere "l'ipotesi dell'anteprima" > di M. G. Flora, mi sembra veramente troppo ... > > In realtà è un ipotesi tecnicamente plausibile, seppure meno probabile. > > I server esposti sono stati scoperti solo grazie a questo casino: di tutti quelli che > ne compremdevano il funzionamento e li hanno usati, qualcuno ha voluto fare > disclosure nell'unico modo veramente efficace. > > Per questo trovo l'ipotesi "burlone" ridicola. > > Piace perché riduce la dissonanza cognitiva di chi crede che l'informatica contemporanea > sia in qualche modi affidabile. > > Non lo è. Giusto, come qualsiasi cosa umana. > L'armageddon crittografico non serve. > L'inferno è già qui, ma tutti sono addestrati a gioirne. ;-) :-) rob

Oct. 30, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Giacomo Tesio

On October 30, 2021 9:45:48 AM UTC, Roberto Resoli wrote: > Il 30 ottobre 2021 11:19:17 CEST, Giacomo Tesio <giacomo(a)tesio.it> ha scritto: > >Perché sostituirle se non sono state compromesse? > > Perchè al momento pare è l'unico modo per togliere valdità a livello sovranazionale > ai DGC emessi con quelle chiavi. Se il problema è a valle, invalidare milioni di certificati per un pugno di farlocchi sarebbe irrazionale. Il danno perpetrato da Adolf Hitler e Mickey Mouse non è lontanamente comparabile con i certificati validi pubblicati periodicamente su giornali e riviste. Perché se ti trovi davanti Adolf Hitler qualche domanda te la fai, se ti trovi quella di uno sconosciuto anagraficamente simile a quello che hai davanti, no Eppure non invalidiamo milioni di Green Pass ad ogni leak di un singolo qrcode. > >Vi propongo una ipotesi: le applicazioni di firma erano buggate e selezionavano k [1] > >in modo predicibile o peggio costante. > > Mi sentirei di escluderlo, come anche di escludere "l'ipotesi dell'anteprima" di M. G. Flora, mi sembra veramente troppo ... In realtà è un ipotesi tecnicamente plausibile, seppure meno probabile. I server esposti sono stati scoperti solo grazie a questo casino: di tutti quelli che ne compremdevano il funzionamento e li hanno usati, qualcuno ha voluto fare disclosure nell'unico modo veramente efficace. Per questo trovo l'ipotesi "burlone" ridicola. Piace perché riduce la dissonanza cognitiva di chi crede che l'informatica contemporanea sia in qualche modi affidabile. Non lo è. L'armageddon crittografico non serve. L'inferno è già qui, ma tutti sono addestrati a gioirne. ;-) Giacomo

Oct. 30, 2021

Re: [nexa] sistema DCG compromesso? (was Re: https://attivissimo.blogspot...)

by Roberto Resoli

Il 30 ottobre 2021 11:08:58 CEST, Roberto Resoli <roberto(a)resolutions.it> ha scritto: >Il 30 ottobre 2021 10:35:39 CEST, Antonio Iacono <antiac(a)gmail.com> ha scritto: ... >Il sistema della Firma Elettronica è stato ben meditato, DGC è stato messo su in fretta e furia, e senza analisi sulle problematiche di sicurezza ... > >Lo notava Carmela Troncoso già nell'aprile scorso https://nitter.eu/carmelatroncoso/status/1380439790391296003 rob

Oct. 30, 2021