April 2021 - nexa - server-nexa.polito.it

Re: [nexa] Trusting... me (was Re: Piano Nazionale di Ripresa e Resilienza)

by Giovanni Biscuolo

Ciao Giacomo! Giacomo Tesio <giacomo(a)tesio.it> writes: <joking> > On Thu, 29 Apr 2021 08:48:32 +0200 Andrea Trentini wrote: > >> sviluppatori affetti da hybris fanno da soli [...] > In questi giorni sto prendendo parte ad una lunga discussione sull'uso > di ReactJS in ambito finanziario. Già, oggi ci sono un sacco di decisori che sono convinti che le interfacce si possono fare solo in Javascript, possibilmente da far girare nel browser del client :-( Quanti "paradigmi" sono passati sotto i ponti negli ultimi 20 anni?!? :-O ...immagino che tu /non/ stia pensando di scrivere un ReReactJS da solo per farlo meglio ;-) [...] > Potrei parlare ORE dell'inadeguatezza di queste best practice per > codebase di decine di milioni di righe di codice che andranno > manutenute per decenni (letteralmente) presso clienti con esigenze di > sicurezza e regole di deploy estremamente complesse e che richiederanno > innumerevoli evoluzioni. ...però coloro che decidono, ai quali hai già spiegato queste cose, non sono d'accordo con te... o non le capiscono? Ti prego /non/ ripondere. :-O > MA mi viene detto che queste best practice vengono adottate con > successo da Facebook QUINDI devono andare bene anche per noi. Perché come per Facebook lo scopo del vostro frontend è quello di esaurire le risorse dei client con una quantità spropositata di cicli di CPU inutili?!? B-) [...] > Fidati Andrea: talvolta non è hybris riscriversi le cose da soli. Ma perché tu trovi che ci sia carenza di librerie per scrivere frontend, magari *locali*, per la vostra applicazione? Aspetta... mumble mumble: mi stai dicendo non che vogliono che gli utenti non siano "costretti" ad installarsi un client per il vostro backend e quindi deve essere una web app? :-D > E' spirito di sopravvivenza. > > Perché tanto poi, i problemi in produzione toccherà risolverli a noi. Una persona che amo mi dice sempre: "se non li risolvi tu i problemi cosa ci stai a fare?" B-) </joking> > On Thu, 29 Apr 2021 10:22:41 +0200 Giovanni Biscuolo wrote: > >> --8<---------------cut here---------------start------------->8--- >> >> You can't trust code that you did not totally create yourself. >> (Especially code from companies that employ people like me.) >> >> --8<---------------cut here---------------end--------------->8--- >> [...] >> Io SO che NESSUNO sulla faccia della terra, nemmeno il più geniale >> dei programmatori, è in grado di scriversi (e correggersi) da solo il >> software che usa Vedo che hai tolto ad arte esattamente la parte decisamente più importante della mia citazione di Thompson: facciamo che la diamo per scontata? :-P > Per citare Stefano Quintarelli: "lo pensi o lo sai?" :-D Lo so io e lo sai anche tu :-P ...a meno che tu sia riuscito anche solo a /leggere/ il microcode della tua CPU CISC, che tra l'altro è proprietario (oppure dimmi che hardware usi plz!). Nelle prossime ore (but plz don't hold your breath) tornerò su questo. [...] > Se un software non può essere completamente letto, studiato e compreso > in meno di un mese da un singolo essere umano, è "broken beyond > repair". Un software (un programma), ma un sistema è fatto di tantissimo software e nessun essere umano è in grado di gestire (non dico comprendere, con adeguato tempo si può teoricamente fare) tutto il software che compone il proprio sistema: dal microcode della CPU su su fino all'applicazione scritta con ReactJS. BTW non credo che sarei in grado di leggere e comprendere in meno di un mese Emacs... mumble, deve essere irrecuperabile :-O > Ma questa drammatica situazione non è una condizione necessaria, > non è una caratteristica naturale, inevitabile del software. Concordo, non ho mai pensato diversamente ;-) La traccia che da qualche anno amo di più al Fosdem è quella "Minimalistic" (es. https://fosdem.org/2021/schedule/track/declarative_and_minimalistic_computi…) ...e le cose che mi incuriosiscono di più sono esperimenti spinti tipo «code is content-addressed and immutable.» di https://www.unisonweb.org/ (che conosco solo "sulla carta") Tante idee nuove (nuove?) che prima o poi verranno adottate anche "dall'industria"... ah se solo "l'accademia" avesse un po' più di coraggio (e risorse)! [...] > Può (e deve) essere _semplicemente_ riscritto. Prima o poi gli incentivi che determinano questo stato di cose, non solo nel software, spariranno e allora ci saranno un sacco di fantastiche risorse (eoni di neuroni) da "spendere" anche per questo. > Non per hybris, ma per spirito di sopravvivenza. Sì ma non da soli, tutto qui. [...] Ciao, Giovanni. -- Giovanni Biscuolo Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché.

April 29, 2021

Re: [nexa] Trusting... me (was Re: Piano Nazionale di Ripresa e Resilienza)

by Andrea Trentini

On 29/04/2021 19:09, Giacomo Tesio wrote: > ... > Buona norma, se la ruota che ti serve è disponibile sul mercato. sisi, era nelle mie premesse ;) > Se no, o ti adatti[A] a ciò che c'è (NIH syndrome) o crei[B] ciò che ti serve. la parentesi va applicata al secondo caso [B], la NIH è la sindrome di chi non si fida per principio di cose fatte da altri (https://en.wikipedia.org/wiki/Not_invented_here) e quindi si scrive tutto in casa (con dispendio enorme di energie e sovente con dubbi risultati) > ... > La risposta è semplice: il fatto che tu non sia in condizione di "sindacare > un GCC o un Linux" è una prova evidente che vadano riscritti. scusami, non ho svuotato un buffer che avevo in testa troncando il ragionamento, io non posso "sindacare" nel senso che posso criticare quando/quanto voglio tutto quello che voglio (tipo "umarell" da cantiere o politologo da bar), ma per poter pensare di proporre (con speranza di accettazione) anche solo una /patch/ a uno di quei prodotti devo essere credibile, devo saperla presentare, probabilmente dovrò prima farmi un background ed entrare nella community per merito (cfr. libro Hackers di Levy, https://en.wikipedia.org/wiki/Hackers:_Heroes_of_the_Computer_Revolution) ecc. > ... > Dunque chi sei tu per sindacare gli automatismi che ti circondano? > Un essere umano capace di farlo. > Poi questo diritto di libertà puoi scegliere di non esercitarlo. credo ora di essermi spiegato meglio la libertà ce l'ho e me la prendo, spesso, anche pubblicamente, che Stallman o Torvalds mi "caghino" è un altro discorso ;) > Non fanno così anche tutti coloro che rinunciano ad usare software libero? questa non l'ho capita, ma forse scaturisce dal misunderstanding di cui sopra -- |_|o|_| Andrea Trentini - http://atrent.it |_|_|o| Dipartimento di Informatica |o|o|o| Università degli Studi di Milano

April 29, 2021

Re: [nexa] Trusting... me (was Re: Piano Nazionale di Ripresa e Resilienza)

by Giacomo Tesio

Ah... Andrea! On April 29, 2021 4:19:41 PM UTC, Andrea Trentini <andrea.trentini(a)unimi.it> wrote: > beh, concordo che IN CERTI CASI possa valere la pena riscrivere cose > esistenti: > - se sono fatte male > - se sono mal documentate > - se sono poco supportate da una base utenti/sviluppatori (*) > - se non sono licenziate correttamente (i.e. proprietarie) > - se non ci sono alternative... Se solo le cose fossero così semplici! :-) https://security.googleblog.com/2021/03/a-spectre-proof-of-concept-for-spec… > ma in generale vale il pattern "do not reinvent the wheel... badly" Buona norma, se la ruota che ti serve è disponibile sul mercato. Se no, o ti adatti a ciò che c'è (NIH syndrome) o crei ciò che ti serve. Altrimenti avremmo ruote da carro sui Boing 747 Max. > e poi in generale chi sono io per sindacare (al punto da dire che va > riscritto) che so un gcc, un > git, un kernel di linux, un server web (apache/nginx) ... pur > ritenendomi un decente sviluppatore > (pur se non a tempo pieno) Ma che splendida domanda! :-D La risposta è semplice: il fatto che tu non sia in condizione di "sindacare un GCC o un Linux" è una prova evidente che vadano riscritti. Non avresti alcuna remora, infatti, a sindacare 9front (che non è un kernel, ma un sistema operativo distribuito completo), TinyCC o Netsurf. Dunque chi sei tu per sindacare gli automatismi che ti circondano? Un essere umano capace di farlo. Poi questo diritto di libertà puoi scegliere di non esercitarlo. Non fanno così anche tutti coloro che rinunciano ad usare software libero? Giacomo > (*) forse vi riferivate a qualche pezzo di software trovato a caso su > github/gitlab scritto da un > singolo (vs. una community solida e numerosa) No, io facevo riferimento a software open source di Facebook con una vastissima comunità e che come tale risolve problemi di Facebook e di una vastissima comunità. https://it.m.wikipedia.org/wiki/React_(web_framework) Risolve (ma in questo caso sarebbe meglio dire "affronta") problemi molto comuni, come ogni (non-)framework che punti a massimizzare la propria market share. L'errore di molti (troppi) responsabili IT (un po' paraculo) è assumere che "lo usano tutti!" coincida con "risolve tutti i problemi". Poi però tocca ai poveri programmatori/muratori "non laureati" come me risolvere i problemi che queste decisioni causano per anni. Been there, done that.

April 29, 2021

Re: [nexa] PNRR

by Andrea Trentini

On 29/04/2021 18:02, Angelo Raffaele Meo wrote: > ... > sociale". A questo dogma del capitalismo, che non è mai stato vero, non può più credere nessuno nel ehm, forse dovremmo evitare temi di questo genere anche perché sono affermazioni (il "che non è mai stato vero" e il "non può più credere nessuno") molto discutibili, almeno da parte mia... -- |_|o|_| Andrea Trentini - http://atrent.it |_|_|o| Dipartimento di Informatica |o|o|o| Università degli Studi di Milano

April 29, 2021

Re: [nexa] PNRR

by Marco Ciurcina

In data giovedì 29 aprile 2021 18:02:09 CEST, Angelo Raffaele Meo ha scritto: > Sarà sufficiente per noi verificare che i provvedimenti proposti nella > fase attuativa del piano non violino gli articoli 68 e 69 del Codice > dell'Amministrazione Digitale o le norme nazionali e comunitarie per la > protezione dei dati personali. Non dirlo forte senno' li abrogano.. ;-) m.c.

April 29, 2021

off topic: fonti EUROPEE di notizie su cybersecurity?

by M. Fioretti

chiedo scusa per l'uso personale della lista, ma la realta' e' che non saprei proprio dove altro chiedere per avere almeno una risposta adeguata, mentre da qui sono sicuro che potrebbero arrivarne piu' di una, e in tempi brevi, come serve in questo caso.... **potrei** avere un'opportunita' di lavoro come "raccoglitore"/curatore di notizie cybersecurity DA e A PROPOSITO di Europa, ma non solo. Per farlo bene, dovrei avere una raccolta piu' vasta possibile di fonti serie, da consultare giornalmente, di qualunque tipo: RSS, mailing list, newsletter, gruppi facebook, account twitter... nelle principali lingue europee. Grazie mille in anticipo a chi puo' indicarmi fonti del genere, ovviamente in privato. Marco -- Help me to continue my digital awareness blogging: https://stop.zona-m.net/christmas-2020-fundraising/

April 29, 2021

Re: [nexa] Trusting... me (was Re: Piano Nazionale di Ripresa e Resilienza)

by Andrea Trentini

beh, concordo che IN CERTI CASI possa valere la pena riscrivere cose esistenti: - se sono fatte male - se sono mal documentate - se sono poco supportate da una base utenti/sviluppatori (*) - se non sono licenziate correttamente (i.e. proprietarie) - se non ci sono alternative... really? nel mondo del sw libero è più probabile dover scegliere fra nmila alternative che non doversi "accontentare" di una sola scelta perché la sola (o sòla?) ma in generale vale il pattern "do not reinvent the wheel... badly" e poi in generale chi sono io per sindacare (al punto da dire che va riscritto) che so un gcc, un git, un kernel di linux, un server web (apache/nginx) ... pur ritenendomi un decente sviluppatore (pur se non a tempo pieno) my 2 cents (era un casino che non lo scrivevo!) (*) forse vi riferivate a qualche pezzo di software trovato a caso su github/gitlab scritto da un singolo (vs. una community solida e numerosa), in questo caso sono pienamente d'accordo con voi che l'oggetto vada probabilmente usato solo come ispirazione ;) -- |_|o|_| Andrea Trentini - http://atrent.it |_|_|o| Dipartimento di Informatica |o|o|o| Università degli Studi di Milano

April 29, 2021

PNRR

by Angelo Raffaele Meo

Noi della parrocchia del software libero abbiamo inviato a Draghi e ad alcuni ministri una lettera in cui segnalavamo l'opportunità rappresentata dalla collaborazione e dall'informatica libera come strumenti per la transizione verso una società più equa e una economia del nostro Paese più forte. La lettura del PNRR dimostra che la nostra lettera non è stata presa in considerazione; ad esempio, la coppia di parole "software libero" non compare mai nel documento. Questo fatto è giustificabile ricordando l'enorme dimensione di lavoro piombata sul nuovo governo. Comumque, l'ideologia che traspare da quel documento non mi piace, anzi mi terrorizza. Ha osservato Giovanni Biscuolo che in quel documento la parola "cooperazione" compare 7 volte, la parola "concorrenza" 44 volte, la parola "competizione" 127 volte". Non si può affermare che "a farci uscire dalla crisi saranno concorrenze e mercato, contribuendo anche ad una maggiore giustizia sociale". A questo dogma del capitalismo, che non è mai stato vero, non può più credere nessuno nel nuovo scenario prodotto dal clamoroso progresso scientifico e tecnologico degli ultimi decenni. Non intendo scrivere un nuovo documento che nessuno leggerebbe, ma mi permetto di chiedere a tutti di collaborare perchè il PNRR non diventi una nuova clamorosa opportunità di business per i soliti noti di altri Paesi. Il nostro Paese può sviluppare da solo tutti i capitoli del progetto. Sarà sufficiente per noi verificare che i provvedimenti proposti nella fase attuativa del piano non violino gli articoli 68 e 69 del Codice dell'Amministrazione Digitale o le norme nazionali e comunitarie per la protezione dei dati personali.

April 29, 2021

Italy wins: DPA blocks facial recognition system and MP proposes moratorium - Reclaim Your Face

by Alberto Cammozzo

<https://reclaimyourface.eu/italy-dpa-blocks-facial-recognition-system-mp-pr…> By Laura Carrer (research & advocacy – Italian campaign lead organisation Hermes Center, and Riccardo Coluccini – Italian campaign contributor) On Friday 16 April, the Italian Data Protection Authority (DPA) rejected the SARI Real Time facial recognition system acquired by the Police. The DPA argues the system lacks a legal basis and, as designed, it would implement a form of mass surveillance. Two days earlier, on 14 April, a member of the Italian Parliament, Filippo Sensi, proposed a moratorium on the use of video surveillance tools that use Facial Recognition. The Automatic Image Recognition System (SARI) was initially acquired by the Italian police in 2017 and, according to the police, the real-time version has never been used. The system was under investigation by the DPA since November 2017, after a news article prompted the Authority to open an investigation, and Hermes Center’s pressure for the Authority to promptly conclude this investigation. Recently, this system was at the center of a new public tender with the aim of upgrading, and employing it to monitor arrivals of migrants and asylum seekers on the Italian coasts. The recent opinion published by the Italian DPA highlights the fact that *“SARI Real Time would carry out a large-scale automated processing of data that may also concern people attending political and social events, who are not the object of ‘attention’ by the police forces.”* In addition, the Authority points out that although in the data protection impact assessment “the Ministry explains that the images would be immediately deleted, the identification of a person would be achieved through the processing of biometric data of all those present in the monitored space, in order to generate patterns comparable with those of the subjects included in the watch-list.” The Authority adds that this kind of biometric surveillance would signal a shift “from targeted surveillance of few individuals to the possibility of universal surveillance for the purpose of identifying certain individuals.” According to the Italian DPA, right now, the Ministry of Interior lacks a legal basis that would allow processing of this kind of biometric data as collected and analyzed by SARI Real Time, thus the MoI cannot use this live facial recognition system. The DPA also pointed out some critical aspects to be taken into account for any future attempt to regulate similar live facial recognition technologies. The Authority stressed the importance of the “criteria for identifying the subjects who can be included in the watch-list or those for determining the cases in which the system can be used” and the “possible consequences for the interested parties in case of false positives”—including also concerns towards people belonging to ethnic minorities. In addition, on Wednesday, April 14, facial recognition entered the Italian political debate. Italian deputy Filippo Sensi presented a new legislative proposal for a moratorium on the use of facial recognition technologies in public spaces, both by public and private actors. In the proposal, reference is made for a suspension until December 31, 2021 pending the introduction of an adequate national legislative framework to regulate the use of such technologies. Although the Hermes Center considers such a short timeframe inadequate and would also like to see all sorts of biometric surveillance technologies included in the law, we welcome this legislative attempt and we will closely follow its developments.

April 29, 2021

Re: [nexa] Piano Nazionale di Ripresa e Resilienza

by Giacomo Tesio

On Thu, 29 Apr 2021 15:52:18 +0200 Antonio Iacono wrote: > Ricordi cosa disse Tanenbaum a Torvalds? "Ringrazia di non essere un > mio studente. Non avresti ricevuto un gran voto per un lavoro simile". Forse è una fortuna che io non insegni informatica. Ma certamente, in retrospettiva, aveva ragione Tanenbaum. Giacomo

April 29, 2021