April 2021 - nexa - server-nexa.polito.it

Divertentissimi Hack accademici... sul kernel Linux
by Giacomo Tesio April 23, 2021

April 23, 2021

Ciao a tutti, vi invito alla lettura di questo thread fresco fresco di questi giorni su una delle mailing list di sviluppo del kernel Linux (NFS) https://lore.kernel.org/linux-nfs/YH+zwQgBBGUJdiVK@unreal/ > Those commits are part of the following research: > https://github.com/QiushiWu/qiushiwu.github.io/raw/main/papers/OpenSourceIn… > > They introduce kernel bugs on purpose. Yesterday, I took a look on 4 > accepted patches from Aditya and 3 of them added various severity > security "holes". Le conclusioni della ricerca sono molto interessanti e sottolineano diverse criticità notoriamente importanti dell'open source > This paper presented hypocrite commits, which can be > abused to stealthily introduce vulnerabilities in OSS. Three > fundamental reasons enable hypocrite commits: the openness > of OSS, which allows anyone including malicious committers > to submit patches; the limited resources of OSS maintaining; > and the complexity of OSS programs, which results in the > manual review and existing tools failing to effectively identify > introduced vulnerabilities. We then systematically characterized > immature vulnerabilities and studied how a malicious committer > can turn immature vulnerabilities into real ones. We also > identified multiple factors that increase the stealthiness of the > introduced vulnerabilities, including concurrency, error paths, > aliases, indirect calls, etc. Furthermore, we provided a proofof- > concept to safely demonstrate the practicality of hypocrite > commits, and measured and quantified the risks. We finally > provided our suggestions on mitigating the risks of hypocrite > commits and hope that our findings could motivate future > research on improving the patching process of OSS. Il mito del bazaar di ESR, in cui il numero di occhi che rivede ogni riga di codice può scovare ogni bug si scontra con la realtà di software semplicemente troppo complesso per garantire davvero la libertà di comprenderlo, trasformata in un privilegio (illusorio). La criticità che NON sottolinea è: se degli studenti sono riusciti ad introdurre scientemente vulnerabilità in Linux, chi altri c'è riuscito senza farsi beccare prima di loro? Comunque Theodore Ts'o (di Google nonché membro del Technical Advisory Board della Linux Foundation dalla caduta di Linux) condanna i ricercatori ma ha già pronta la soluzione: > We do need to do a better job of reviewing patches, even "trivial" > ones, and if that means that we might need to be a bit more skeptical > dealing with newbies who are trying to get started, that's a price we > will need to pay. https://lore.kernel.org/linux-nfs/YICB3wiptvvtTeA5@mit.edu/ Insomma, anche su Linux le vulnerabilità devono essere introdotte in modo più professionale. Anche a costo di apparire meno inclusivi! (!!!) Giacomo PS: sia chiaro: il software proprietario non è più sicuro. Semplicemente nell'open source, l'introduzione delle vulnerabilità è più democratica. O meglio... lo era. PPS: ai ricercatori vanno tutta la mia stima ed i miei complimenti. Bravi: hack divertente e molto istruttivo.

2 2

Google Workspace for Education
by Giuseppe Attardi April 23, 2021

April 23, 2021

Fine dell’era dei servizi gratuiti di Google illimitati a scuole e università. Spazio disco massimo di 100TB per istituto. https://www.blog.google/outreach-initiatives/education/google-workspace-for… — Beppe

1 0

Backdoor Found in Codecov Bash Uploader (Supply Chain Attack)
by Giovanni Biscuolo April 23, 2021

April 23, 2021

Buongiorno, https://www.schneier.com/blog/archives/2021/04/backdoor-found-in-codecov-ba… --8<---------------cut here---------------start------------->8--- Developers have discovered a backdoor in the Codecov bash uploader. It’s been there for four months. We don’t know who put it there. Codecov said the breach allowed the attackers to export information stored in its users’ continuous integration (CI) environments. This information was then sent to a third-party server outside of Codecov’s infrastructure,” the company warned. Codecov’s Bash Uploader is also used in several uploaders — Codecov-actions uploader for Github, the Codecov CircleCl Orb, and the Codecov Bitrise Step — and the company says these uploaders were also impacted by the breach. According to Codecov, the altered version of the Bash Uploader script could potentially affect: * Any credentials, tokens, or keys that our customers were passing through their CI runner that would be accessible when the Bash Uploader script was executed. * Any services, datastores, and application code that could be accessed with these credentials, tokens, or keys. * The git remote information (URL of the origin repository) of repositories using the Bash Uploaders to upload coverage to Codecov in CI. Add this to the long list of recent supply-chain attacks. --8<---------------cut here---------------end--------------->8--- Tragicomicamente, la pagina principale del software https://about.codecov.io/ recita proprio: --8<---------------cut here---------------start------------->8--- Ship healthier code faster with less risk. Development cycles are spinning faster than ever... With everything from doorbells to rockets running on code, it's more important than ever to ensure quality code is being delivered with every release. Code coverage is one of the most important metrics companies rely on to ship healthier code, faster, and with less risk. Codecov gives companies actionable coverage insights when and where they need them to ensure they are shipping quality code. --8<---------------cut here---------------end--------------->8--- Ma Codecov userà Codecov?!? C'è un problema di bootstrapping? B-) D'altronde cosa potrebbe andar storto quando per installare il software si deve fare: "bash <(curl -s https://codecov.io/bash)" [1] ?!? :-O D'altronde cosa potrebbe andar storto quando si usano un po' toppo allegramente le "ricette" Docker per creare gli ambienti di deployment [2]?!? --8<---------------cut here---------------start------------->8--- The actor gained access because of an error in Codecov’s Docker image creation process that allowed the actor to extract the credential required to modify our Bash Uploader script --8<---------------cut here---------------end--------------->8--- ...se l'avessi fatto io sarei già stato (metaforicamente!) esiliato in orbita attorno a Saturno :-O Saluti, Giovanni. [1] https://docs.codecov.io/docs/about-the-codecov-bash-uploader [2] https://www.securityweek.com/codecov-bash-uploader-dev-tool-compromised-sup… -- Giovanni Biscuolo Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché.

1 0

Oggi, 22 Aprile - 20:30, LinuxTrent riprende oggi gli incontri online. Rispettando la riservatezza le persone
by Roberto Resoli April 23, 2021

April 23, 2021

Salve a tutti, Come forse qualcuno sa, faccio parte di LinuxTrent, un'associazione che cerca di mantenere un'attenzione costante ad un uso delle tecnologie informatiche rispettoso delle persone. La nostra attività consiste soprattutto in incontri pubblici, nell'intento di aumentare la consapevolezza e abbattere le barriere verso l'adozione degli strumenti migliori (che non sono quelli di uso comune, come ben sappiamo). Nell'ultimo anno questa attività si è quasi azzerata, ovviamente. Ho cercato di capire se fosse possibile riprendere la nostra attività prendendo il meglio di quanto realizzato da altri (https://iorestoacasa.work per la videoconferenza) offrendo per quanto possibile il resto (diretta streaming e chat contestuale) in proprio. All'inizio di quest'anno tutti gli strumenti necessari sono diventati disponibili: il progetto Peertube[1], con la versione 3, ha aggiunto la possibilità di ricevere stream rtmp, e un paio di mesi dopo è iniziato lo sviluppo di livechat[2], un plugin per peertube che abilita l'utilizzo di una chat xmpp contestuale ai video. Qui i dettagli: https://www.linuxtrent.it/incontri-online-di-linuxtrent-il-potere-di-scegli… Per chi vuole, siamo in diretta oggi, alle 20:30. Marco Agostini parlerà delle sue esperienze con FreePBX, una interfaccia web per il server VOIP Asterisk: https://www.linuxtrent.it/finalmente-uninterfaccia-per-asterisk-con-i-fiocc… a seguire, altri incontri (anche di argomento molto più generale e disparato). ciao, rob [1] https://joinpeertube.org/ [2] https://github.com/JohnXLivingston/peertube-plugin-livechat

1 1

Mala innovazione: se bisogna fermarsi per salvare l’umano
by Antonio Iacono April 23, 2021

April 23, 2021

Quello in oggetto è il titolo di un articolo di Alessandro Longo di un paio di giorni fa [1] che termina con: "A volte la cosiddetta innovazione va fermata. A volte, almeno, dobbiamo (sof)fermarci noi (per un po’): per riflettere sulla bontà di quell’innovazione e di come integrarla nell’umano, rendendola umana. Come dicono sempre più esperti di intelligenza artificiale e come suggerisce lo stesso Regolamento UE. Vanno tutelati così gli interessi di fruitori di quella tecnologia, ma anche dei lavoratori, sui cui diritti non possiamo permetterci passi indietro. Appunto: un’innovazione che fa fare passi indietro alla società non è un’innovazione; ma ha una funzione regressiva." Avevo scritto cose simili in questa lista un paio di mesi fa, sono quindi d'accordo con quanto detto da Longo. Una piccola chiosa storica. Agli inizi degli anni Sessanta, a guidare l'ARPA c'era Jack Ruina [2]. Anni dopo, ad una intervista, a chi gli chiese cosa si aspettassero i militari dall'ARPA e dall'intelligenza artificiale, rispose: "L'idea che avevano era di immettere in un potente calcolatore informazioni qualitative del tipo: 'Il comandante dell'aviazione ha bevuto due Martini' oppure ' Khrushchev non legge la Pravda il lunedì' e il computer avrebbe recitato la parte di Sherlock Holmes, e ne avrebbe concluso che i russi stavano costruendo un missile MX-72, o qualcosa del genere." Sia Ruina che Joseph Licklider [3] cercarono di mettere un freno a questo "modo idiota di procedere" [parole loro]. Poco tempo dopo un altro "pioniere dell'informatica moderna", tale Douglas Engelbart [4] (se usiamo il 'mouse' è anche grazie a lui) faticò a far passare l'idea di "intelligenza aumentata", il suo "Augmenting Human Intellect" [5] anticipava il computer e internet di qualche decennio. Engelbart capì subito che i fautori dell'intelligenza artificiale erano i suoi nemici filosofici. La loro "missione" era rimpiazzare gli esseri umani con della macchine, mentre la sua visione consisteva nell'estendere le capacità dell'uomo. Ruina, Licklider, Engelbart, e poi Stallman e molti altri, gente che non si limitava a seguire il "mainstream". Sessant'anni dopo le cose non sono cambiate di molto Al posto dei tecnici in camice bianco che inseriscono schede perforate negli enormi mainframe per "individuare modelli comportamentali fra gli alti ufficiali sovietici", ci siamo noi che, volontariamente e gratuitamente, immettiamo continuamente dati nella "megamacchina" che è la rete. E dall'altra parte c'è ancora chi, per interesse economico, politico o militare, prova ancora a "individuare modelli comportamentali", stavolta non degli odiati russi ma di tutti noi. Se c'è un compito a cui l'università dovrebbe adempiere è quello di formare degli "Engelbart" dotati di spirito critico e la forza e il coraggio di sapere andare controcorrente (anche se questo dovesse significare abbandonare il "proprio settore" per dedicarsi ad altri "campi di ricerca"). Antonio [1] https://www.agendadigitale.eu/cultura-digitale/se-linnovazione-ci-fa-male-d… [2] https://en.wikipedia.org/wiki/Jack_Ruina [3] https://it.wikipedia.org/wiki/Joseph_Licklider [4] https://it.wikipedia.org/wiki/Douglas_Engelbart [5] https://www.dougengelbart.org/content/view/138

1 0

Proposal for a Regulation on a European approach for Artificial Intelligence
by don Luca Peyron April 22, 2021

April 22, 2021

The Commission is proposing the first ever legal framework on AI, which addresses the risks of AI and positions Europe to play a leading role globally. https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-europe… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

1 0

Re: [nexa] nexa Digest, Vol 144, Issue 42
by Giuseppe Attardi April 22, 2021

April 22, 2021

> On 21 Apr 2021, at 10:16, nexa-request(a)server-nexa.polito.it wrote: > > Date: Wed, 21 Apr 2021 10:16:08 +0200 > From: Alberto Cammozzo <ac+nexa(a)zeromx.net> > To: Center Nexa <nexa(a)server-nexa.polito.it> > Subject: [nexa] superare il capitalismo della sorveglianza > Message-ID: <b6a0cf17-dca0-51d9-6b19-3986be890c58(a)zeromx.net> > Content-Type: text/plain; charset=utf-8 > > Cari Nexiani, > > a vostro avviso quali sono i progetti più promettenti o più ambiziosi > per superare l'attuale impasse attorno alle piattaforme a il loro > soffocante modello di business? > > Vorrei dare agli studenti degli input basati su un certo ottimismo > (della ragione, se non dello spirito) e vedo alcuni vettori la cui > composizione rende possibile (anche se non probabile) il superamento del SC: > > 1) *architetture* IT: progetti che favoriscano decentralizzazione, > policentizzazione, disacoppiamento dati/identità, proprietà dei dati > personali, anonimizzazione, cifratura, ... > > 2) *leggi*: regolazioni che pongano limiti a certi tipi di trattamento, > alla concentrazione di mercato, all'accentramento, vedi Digital Services > Act & Digital Markets Act ... > > 3) *norme* sociali e comportamenti: crescente sensibilità verso la > privacy, paura della manipolazione, connotazione negativa per chi usa > certe piattaforme, noluddismo, rebound offline post-pandemico ... > > 4) *mercato* : fine del modello di business legato alla pubblicità > (perché scoperto non redditivo, ...), crescente inefficienza dei > monopoli, ?... > Il capitalismo non si riforma con le leggi “del mercato”, occorrono leggi “sul mercato”. Mi sono convinto che il modello di business legato alla pubblicità sia ciò che produce le massime distorsioni. Bisogna intervenire su questo che è il cuore del problema, ed è anche il punto da colpire che duole di più: vedi le vivaci discussioni tra Tim Cook e Mark Zuckerberg. Tutto il resto sono palliativi, che spesso arrivano troppo tardi o vengono aggirati. — Beppe > Che ne pensate? > > Grazie per ogni vostro contributo! > > > Alberto >

1 0

In epic hack, Signal developer turns the tables on forensics firm Cellebrite | Ars Technica
by Alberto Cammozzo April 22, 2021

April 22, 2021

<https://arstechnica.com/information-technology/2021/04/in-epic-hack-signal-…> For years, Israeli digital forensics firm Cellebrite has helped governments and police around the world break into confiscated mobile phones, mostly by exploiting vulnerabilities that went overlooked by device manufacturers. Now, Moxie Marlinspike—creator of the Signal messaging app—has turned the tables on Cellebrite. On Wednesday, Marlinspike published a post that reported vulnerabilities in Cellebrite software that allowed him to execute malicious code on the Windows computer used to analyze devices. The researcher and software engineer exploited the vulnerabilities by loading specially formatted files that can be embedded into any app installed on the device. Virtually no limits “There are virtually no limits on the code that can be executed,” Marlinspike wrote. He continued: For example, by including a specially formatted but otherwise innocuous file in an app on a device that is then scanned by Cellebrite, it’s possible to execute code that modifies not just the Cellebrite report being created in that scan, but also all previous and future generated Cellebrite reports from all previously scanned devices and all future scanned devices in any arbitrary way (inserting or removing text, email, photos, contacts, files, or any other data), with no detectable timestamp changes or checksum failures. This could even be done at random, and would seriously call the data integrity of Cellebrite’s reports into question. Cellebrite provides two software packages: The UFED breaks through locks and encryption protections to collect deleted or hidden data, and a separate Physical Analyzer uncovers digital evidence (“trace events”). To do their job, both pieces of Cellebrite software must parse all kinds of untrusted data stored on the device being analyzed. Typically, software that is this promiscuous undergoes all kinds of security hardening to detect and fix any memory-corruption or parsing vulnerabilities that might allow hackers to execute malicious code. “Looking at both UFED and Physical Analyzer, though, we were surprised to find that very little care seems to have been given to Cellebrite’s own software security,” Marlinspike wrote. “Industry-standard exploit mitigation defenses are missing, and many opportunities for exploitation are present.” Compromising integrity One example of this lack of hardening was the inclusion of Windows DLL files for audio/video conversion software known as FFmpeg. The software was built in 2012 and hasn’t been updated since. Marlinspike said that in the intervening nine years, FFmpeg has received more than 100 security updates. None of those fixes are included in the FFmpeg software bundled into the Cellebrite products. Marlinspike included a video that shows UFED as it parses a file he formatted to execute arbitrary code on the Windows device. The payload uses the MessageBox Windows API to display a benign message, but Marlinspike said that “it’s possible to execute any code, and a real exploit payload would likely seek to undetectably alter previous reports, compromise the integrity of future reports (perhaps at random!), or exfiltrate data from the Cellebrite machine.” Our latest blog post explores vulnerabilities and possible Apple copyright violations in Cellebrite's software: "Exploiting vulnerabilities in Cellebrite UFED and Physical Analyzer from an app's perspective"https://t.co/DKgGejPu62 pic.twitter.com/X3ghXrgdfo — Signal (@signalapp) April 21, 2021 Marlinspike said he also found two MSI installer packages that are digitally signed by Apple and appear to have been extracted from the Windows installer for iTunes. Marlinspike questioned if the inclusion constitutes a violation of Apple copyrights. Apple didn't immediately provide a comment when asked about this. In an email, a Cellebrite representative wrote: "Cellebrite is committed to protecting the integrity of our customers’ data, and we continually audit and update our software in order to equip our customers with the best digital intelligence solutions available." The representative didn't say if company engineers were aware of the vulnerabilities Marlinspike detailed or if the company had permission to bundle Apple software. Marlinspike said he obtained the Cellebrite gear in a “truly unbelievable coincidence” as he was walking and “saw a small package fall off a truck ahead of me.” The incident does seem truly unbelievable. Marlinspike declined to provide additional details about precisely how he came into possession of the Cellebrite tools. The fell-of-a-truck line wasn't the only tongue-in-cheek statement in the post. Marlinspike also wrote: In completely unrelated news, upcoming versions of Signal will be periodically fetching files to place in app storage. These files are never used for anything inside Signal and never interact with Signal software or data, but they look nice, and aesthetics are important in software. Files will only be returned for accounts that have been active installs for some time already, and only probabilistically in low percentages based on phone number sharding. We have a few different versions of files that we think are aesthetically pleasing, and will iterate through those slowly over time. There is no other significance to these files. The vulnerabilities could provide fodder for defense attorneys to challenge the integrity of forensic reports generated using the Cellebrite software. Cellebrite representatives didn’t respond to an email asking if they were aware of the vulnerabilities or had plans to fix them. “We are of course willing to responsibly disclose the specific vulnerabilities we know about to Cellebrite if they do the same for all the vulnerabilities they use in their physical extraction and other services to their respective vendors, now and in the future,” Marlinspike wrote.

2 1

Le mirabolanti avventure di Lovelace e Babbage
by Antonio Iacono April 21, 2021

April 21, 2021

Una segnalazione che, sono sicuro, farà piacere agli amanti della storia del computer e del ... fumetto :) https://www.oscarmondadori.it/libri/le-mirabolanti-avventure-di-lovelace-e-… o, in inglese The Thrilling Adventures of Lovelace and Babbage: The (Mostly) True Story of the First Computer https://www.penguin.co.uk/books/286/286982/the-thrilling-adventures-of-love… Antonio

1 0

Neuralink Could Sell Your Private Thoughts to the Highest Bidder
by Antonio Iacono April 21, 2021

April 21, 2021

Last week, Elon Musk’s neural implant company Neuralink released a video of a primate, who’d been implanted with its technology, playing the game “Pong” with its thoughts. The technologically flashy but otherwise disappointing demo — neuroscientists first developed and demonstrated mind-control tech in primates decades ago — represented Neuralink’s growing prominence in the public sphere, and raised important questions about privacy, data ownership, and biomedical ethics. [1] Antonio [1] https://futurism.com/neoscope/expert-neuralink-sell-private-thoughts-highes…

1 0