May 2021 - nexa - server-nexa.polito.it

Proposta di regolamento EU sull'Intelligenza Artificiale
by Mario Sabatino May 5, 2021

May 5, 2021

Come ben sapete la Commissione Europea ha elaborato una proposta di Regolamento che secondo gli annunci segna il primo quadro giuridico in assoluto sull'IA, affronta i rischi dell'IA e posiziona l'Europa per giocare un ruolo di primo piano a livello globale. Sono andato nel sito della Commissione per tentare di scaricare la proposta di Regolamento ma i link non funzionano. https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-laying… Qualcuno è riuscito a scaricarli ? Grazie Buon pomeriggio, Mario Sabatino

9 12

A Spectre proof-of-concept for a Spectre-proof web
by Giacomo Tesio May 5, 2021

May 5, 2021

Ciao a tutti, come forse ricorderete, secondo Mozilla e Chromium, "this is the Web functioning as designed" [1], ma dopo 3 anni da Spectre (e Meltdown), Google cerca di scaricare la responsabilità della sicurezza dei suoi utenti sugli sviluppatori web. [2] L'unica soluzione semplice, che ridurrebbe enormemente la superficie di attacco (disabilitare l'esecuzione automatica di JavaScript/WASM e permetterne l'abilitazione sito per sito su richiesta degli utenti e dopo aver avvertito loro dei rischi), non viene nemmeno presa in considerazione. In pratica, se ne lavano le mani. Qualunque sito che visitiate può accedere alla memoria del vostro computer e, con un po' di tempo, leggere le vostre password o qualsiasi altro dato personale. Non vi rimane che sperare che non abbiano alcun interesse a farlo E che abbiano le competenze (ed i fondi) per verificare che nessun pacchetto NPM che utilizzano faccia lo stesso. Consiglio personale: disabilitate Javascript e WebAssmbly sul vostro browser. Non utilizzate lo stesso computer per la navigazione quotidiana e l'accesso a servizi sensibili come l'home banking o l'esecuzione di programmi con accesso a dati sensibili come un password manager. Riavviate il PC dedicato a queste attività fra una attività sul web e l'altra e non eseguite mai alcun altro programma prima di avviare il browser. Se applicati sistematicamente e senza eccezioni, queste mitigazioni dovrebbero ridurre la probabilità che qualcuno entri nel vostro PC senza che ve ne accorgiate. Se vi sembrano troppo onerosi, sappiate che lo sono. Ma "this is the Web functioning as designed". Ed infatti Google offre agli sviluppatori lo Spectroscope, un plug-in di Chrome per identificare i problemi di sicurezza del proprio sito. Un po' come quando le Google Car di Google Maps mappavano i Wifi vulnerabili sul tragitto percorso: cosa mai potrebbe andare storto? Giacomo PS di seguito cerco di riportare solo i passaggi comprensibili anche dai non informatici, ma i dettagli e gli approfondimenti tecnici sono molto interessanti, ed importanti per chi sviluppa applicazioni Web in questo ecosistema malato per provare, budget permettendo, di minimizzare i danni per gli utenti (e per interrompere i progetti in cui il budget non permette queste mitigazioni per evitare guai con il GDPR). [1] https://bugzilla.mozilla.org/show_bug.cgi?id=1487081#c10 [2] https://security.googleblog.com/2021/03/a-spectre-proof-of-concept-for-spec… ______ Three years ago, Spectre changed the way we think about security boundaries on the web. It quickly became clear that flaws in modern processors undermined the guarantees that web browsers could make about preventing data leaks between applications. As a result, web browser vendors have been continuously collaborating on approaches intended to harden the platform at scale. Nevertheless, this class of attacks still remains a concern and requires web developers to deploy application-level mitigations. [...] The Spectre vulnerability, disclosed to the public in January 2018, makes use of a class of processor (CPU) design vulnerabilities that allow an attacker to change the intended program control flow while the CPU is speculatively executing subsequent instructions. For example, the CPU may speculate that a length check passes, while in practice it will access out-of-bounds memory. While the CPU state is rolled back once the misprediction is noticed, this behavior leaves observable side effects which can leak data to an attacker. In 2019, the team responsible for V8, Chrome’s JavaScript engine, published a blog post and whitepaper concluding that such attacks can’t be reliably mitigated at the software level. [...] In parallel, browser vendors and standards bodies developed security mechanisms to protect web users from these classes of attacks. [...] These mechanisms, while crucially important, don't prevent the exploitation of Spectre; rather, they protect sensitive data from being present in parts of the memory from which they can be read by the attacker. [...] Today, we’re sharing proof-of-concept (PoC) code that confirms the practicality of Spectre exploits against JavaScript engines. We use Google Chrome to demonstrate our attack, but these issues are not specific to Chrome, and we expect that other modern browsers are similarly vulnerable to this exploitation vector. We have developed an interactive demonstration of the attack available at https://leaky.page/; the code and a more detailed writeup are published on Github here. The demonstration website can leak data at a speed of 1kB/s when running on Chrome 88 on an Intel Skylake CPU. [...] For the published PoC, we implemented a simple Variant 1 gadget [...] however, Chrome's V8 team concluded that this is not the case for other gadgets: “we found that effective mitigation of some variants of Spectre, particularly variant 4, to be simply infeasible in software.” [...] By abusing the behavior of the Tree-PLRU cache eviction strategy commonly found in modern CPUs, we were able to significantly amplify the cache timing with a single read of secret data. This allowed us to leak data efficiently even with low precision timers. For technical details, see the demonstration at https://leaky.page/plru.html. [...] While operating system and web browser developers have implemented important built-in protections where possible [...], the design of existing web APIs still makes it possible for data to inadvertently flow into an attacker's process. [...] These protections mitigate Spectre-style hardware attacks and common web-level cross-site leaks, but require developers to assess the threat these vulnerabilities pose to their applications and understand how to deploy them. To assist in that evaluation, Chrome's web platform security team has published Post-Spectre Web Development and Mitigating Side-Channel Attacks with concrete advice for developers [...] To help you protect your website from Spectre, the Google Security Team has created Spectroscope, a prototype Chrome extension that scans your application and finds resources which may require enabling additional defenses. Consider using it to assist with your deployments of web isolation features.

1 0

off topic: fonti EUROPEE di notizie su cybersecurity?
by M. Fioretti May 5, 2021

May 5, 2021

chiedo scusa per l'uso personale della lista, ma la realta' e' che non saprei proprio dove altro chiedere per avere almeno una risposta adeguata, mentre da qui sono sicuro che potrebbero arrivarne piu' di una, e in tempi brevi, come serve in questo caso.... **potrei** avere un'opportunita' di lavoro come "raccoglitore"/curatore di notizie cybersecurity DA e A PROPOSITO di Europa, ma non solo. Per farlo bene, dovrei avere una raccolta piu' vasta possibile di fonti serie, da consultare giornalmente, di qualunque tipo: RSS, mailing list, newsletter, gruppi facebook, account twitter... nelle principali lingue europee. Grazie mille in anticipo a chi puo' indicarmi fonti del genere, ovviamente in privato. Marco -- Help me to continue my digital awareness blogging: https://stop.zona-m.net/christmas-2020-fundraising/

1 1

Un nuovo direttore per la Maison de l'Italie
by Andrea Trentini May 4, 2021

May 4, 2021

Buongiorno, come qualcuno di voi sa ho fatto parte per molti anni del Comitato Permanente Italiano della Maison de l'Italie (https://www.ciup.fr/maison-de-l-italie/) di Parigi mentre da un paio sono entrato a far parte del suo CdA. L'attuale direttore (Prof. Roberto Giacone) va in pensione e quindi ne stiamo cercando uno nuovo, vi allego una job offer minimale che potete far girare fra colleghi che abbiano interesse a trasferirsi a Parigi in un ambiente accademico molto interessante (la Cité internationale universitaire de Paris). Grazie mille -- |_|o|_| Andrea Trentini - http://atrent.it |_|_|o| Dipartimento di Informatica |o|o|o| Università degli Studi di Milano

1 0

Artificial intelligence research may have hit a dead end | Salon.com
by J.C. DE MARTIN May 4, 2021

May 4, 2021

https://www.salon.com/2021/04/30/why-artificial-intelligence-research-might… (Sent from my wireless device; please excuse brevity and typos (if any))

5 6

Re: [nexa] PNRR
by Stefano Quintarelli May 4, 2021

May 4, 2021

il sistema elettorale del doge di venezia e' stato invariato dal 1268 al 1797. la repubblica di veneziza e' collassata non per crisi istituzionale interna ma estena. termini come ballottaggio e broglio si devono a quell'esperienza. era un modo molto arzigogolato (ci sono molti paper sull'argomento, anche da HP) per assicurare una certa resistenza al voto strategico, alla corruzione, per consentire l'emersione di outsider, ecc. ciao, s. On 04/05/21 13:48, I Tomirotti wrote: > Cosa è il doge? > >> Il giorno 4 mag 2021, alle ore 12:51, Stefano Quintarelli <stefano(a)quintarelli.it> ha scritto: >> >> la governance e' l'essenza. >> copernicani ha lavorato per un anno sulla governance, prima di fondare l'associazione. >> >> e' non catturabile, non soggetta a cordate, contendibile. >> un misto di elezione del doge con voting theory molto recente >> >> se qualcuno fosse interessato, posso fare una video e illustrare >> >> ciao, s. >> >>> On 04/05/21 11:56, Guido Vetere wrote: >>> penso che il 90% delle persone qui abbiano (almeno) un VPS, e comunque oggi te li tirano dietro .. >>> il problema è: chi tiene la password di root? >>> sembra una banalità, e invece è una cosa profondissima :-) >>> G. >>> On Tue, 4 May 2021 at 11:31, Antonio Iacono <antiac(a)gmail.com <mailto:antiac@gmail.com>> wrote: >>> > ma avete visto che spettacolo la piattaforma dei verdi europei a >>> cui ci ha puntato Stefano? >>> > forse un "altro mondo" non è possibile, ma mettere in piedi >>> qualcosa di simile per discutere il PNRR e la sua attuazione, e più >>> in genere la politica del digitale in Italia ... >>> è wordpress con inline-comments (più qualche altro plugin) tipo questo >>> https://wpdiscuz.com/demo/ <https://wpdiscuz.com/demo/> >>> Se qualcuno a un VPS da mettere a disposizione lo posso fare io. >>> Antonio >>> _______________________________________________ >>> nexa mailing list >>> nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> >>> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >>> <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa> >>> _______________________________________________ >>> nexa mailing list >>> nexa(a)server-nexa.polito.it >>> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

1 0

OT Re: EU-DEAL ON CHATCONTROL: L’ANALISI INDISCRIMINATA DI TUTTI I CONTENUTI DELLE COMUNICAZIONI PRIVATE DIVENTA LEGGE - Pirati.io
by Giovanni Biscuolo May 4, 2021

May 4, 2021

Ciao Marco e Andrea stiamo andando leggermente off-topic rispetto alla notizia (è una notizia o no? la direttiva è stata approvata o no?) ma vorrei aggiungere un paio di riflessioni... Marco Calamari <marcoc(a)marcoc.it> writes: > On Tue, 2021-05-04 at 08:17 +0200, Andrea Trentini wrote: >> Ovviamente trovo esecrabile ogni proposta di sorveglianza globale, peggio >> ancora se veicolata dallosventolamento della pedopornografia, ma se >> l'approvassero forse le "masse" sarebbero più invogliateall'adozione di una >> "nuova Internet" (alla GNUnet - https://gnunet.org)? GNUnet non è (ancora) pronta purtroppo... e non è pronta perché le risorse per svilupparla sono scarsissime. >> O tali normative vorrebbero vietare ad esempio la crittografia >> forte?(i.e., criminalizzazione degli strumenti) > > devi davvero essere arrabbiato per sperare, anche solo lontanamente, > che il tanto peggio tanto meglio in questa occasione sia valido. Sì, io e Andrea siamo tra quelli particolarmente arrabbiati per questo stato di cose; anche se io non mi sarei espresso come lui, condivido pienamente la sua frustrazione. Innanzi tutto, caro Andrea, la maggior parte delle persone /non/ pensano che la sorveglianza globale sia sbagliata altrimenti da ECHELON in poi sarebbe successo /qualcosa/ e invece ci siamo mediamente /assuefatti/; non vedo perché norme come quelle in approvazione sulla sorveglianza globale ai fini anti-pedopornografici debbano invogliare qualcuno a sentire l'esigenza di una nuova Internet /visto/ che tutto quello che è stato scoperto (ma è stato davvero compreso?) grazie alle rivelazioni di Snowden e *prima* alla commissione d'inchiesta EU su ECHELON (la nonna dell'attuale sistema di sorveglianza globale) non ha /costretto/ chi decide a cambiare di una virgola il sistema. Per dirla tutta, _questa_ specifica norma in oggetto non cambia sostanzialmente nulla rispetto a quello che già accade normalmente, che il GDPR lo voglia o meno... i sistemi massicciamente invasivi della privacy hanno un successo ENORME e quelli che come me non vogliono usarli /sono/ guardati "male", come "mezzi" complottisti. I motivi di questa assuefazione sono diversi e includono la convinzione che ciò sia fatto "dai buoni" per il "nostro bene", che non sia possibile fare in altro modo e che "io non ho nulla da nascondere". La cosa che particolarmente mi sconcerta in tutto questo è lo scarsissimo "allarme" che la sorveglianza globale occidentale provoca in noi occidentali mentre /al contrario/ ci scandalizziamo (giustamente) per il sistema cinese o di altre nazioni /ovviamente/ brutte e cattive; mi pare evidente che /la narrazione/ *priva di analisi* che viene fatta incide drasticamente sulla scarsa percezione del problema. Dopo *ogni* piccola (simbolica?) vittoria tipo Scherms II assistiamo /sistematicamente/ al suo sabotaggio... /semplicemente/ perché il solo e UNICO modo per risolvere il problema della sorveglianza globale è avere un sistema di comunicazione (Internet) che /non la consenta/ **by design**, nessuna regola /esterna al sistema/ sarà in grado di impedire che questo accada ancora, e ancora, e ancora: per ogni epoca ci sarà il giusto "sacro" motivo per abusare di uno strumento (Internet) che semplicemente /pare/ studiato apposta per questo tipo di abusi. ...a meno che (finalmente?) qualcuno ci spieghi che Internet è un "dominio militare" e come tale debba essere gestito, il che significherebbe che verrebbe "sdoganata" l'idea della militarizzazione della società occidentale ma... ci sarebbe un problema di /narrazione/ a quel punto, non credete? > Certo che vogliono la criminalizzazione (soft) degli strumenti. Qui stiamo parlando delle istituzioni EU e capire quello che davvero vogliono è un compito da professionisti... perché vogliono anche questo: https://www.ngi.eu/ per esempio: https://www.ngi.eu/wp-content/uploads/sites/48/2021/01/NGI_InstantMessaging… --8<---------------cut here---------------start------------->8--- L’iniziativa «Internet di prossima generazione» (NGI, Next Generation Internet), promossa dalla Commissione europea, intende plasmare lo sviluppo e l’evoluzione della rete verso l’«Internet degli esseri umani». Tale Internet dovrà rispondere ai bisogni fondamentali delle persone, tra cui fiducia, sicurezza e inclusione, rispecchiando al contempo i valori e le norme in cui tutti i cittadini in Europa si riconoscono. I progetti di ricerca di NGI stanno in particolare sviluppando soluzioni di messaggistica istantanea che garantiscono una completa protezione della privacy degli utenti. --8<---------------cut here---------------end--------------->8--- Per parafrasare il Crozza-Binotto «Dobbiamo capire... c'è qualcosa che ci sta sfuggendo» :-O > Avere Tor sul pc è come spegnere il cellulare; inevitabilmente > sospetto durante un'indagine. Su questo specifico punto approfitto dell'occasione per /sottolineare/ una cosa che so che tu Marco sai benissimo /ma/ so anche che troppe persone NON riescono a comprendere fino in fondo: il problema in "sorveglianza globale" NON è "sorveglianza" ma GLOBALE. Quindi, la sorveglianza globale NON è un'indagine (che ha un numero delimitato di indagati) ma è controllo indiscriminato /fuori/ dal controllo democratico che prevede la DIVISIONE DEI POTERI legislativo, esecutivo e giudiziario. Spero sia chiato a tutti /come/ i tre poteri siano INGLOBATI nell'attuale sistema di sorveglianza globale, di cui Internet è un mezzo. > E dal punto di vista di un investigatore è perfettamente corretto, in > un mondo dove è "anormale" difendere il proprio diritto alla privacy. Io vorrei vivere in un mondo dove sia considerato normale che le persone NON siano sottoposte a sorveglianza indiscriminate attraverso la compromissione della sicurezza dei dispositivi e delle reti di comunicazione /di tutti/, con l'evidente risultato che tali sistemi *insicuri by design* sono più utilizzati dai criminali (e dagli ingordi di profitti senza scrupoli) che dai magistrati. Vorrei vivere in un mondo dove sia considerato normale intercettare le comunicazioni di coloro che sono sottoposti a indagine /anche/ attraverso la compromissione della sicurezza /solo/ dei loro dispositivi, con l'evidente vantaggio che solo coloro che sono autorizzati possano legalmente effettuare tali compromissioni. C'è sempre il rischio che le compromissioni vengano effettuate da criminali ma /almeno/ dovrebbero alzare il **lo (perdonatemi il francesismo) dalle loro comode scrivanie invece di sfruttare i bug del software e Internet. La rete di comunicazione DEVE essere anonima, crittografata e non deve essere possibile correlare "i comunicanti": NON ci sono compromessi possibili. ...e sapete qual'è la cosa tragica di tutto questo: «SI - PUÓ - FARE!» :-D Saluti, Giovanni. -- Giovanni Biscuolo Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché.

3 2

EU-DEAL ON CHATCONTROL: L’ANALISI INDISCRIMINATA DI TUTTI I CONTENUTI DELLE COMUNICAZIONI PRIVATE DIVENTA LEGGE - Pirati.io
by J.C. DE MARTIN May 4, 2021

May 4, 2021

https://pirati.io/2021/04/eu-deal-on-chatcontrol-lanalisi-indiscriminata-di… (Sent from my wireless device; please excuse brevity and typos (if any))

8 10

PNRR
by Angelo Raffaele Meo May 4, 2021

May 4, 2021

carissimi, esattamente due mesi or sono, a nome di un centinaio di ricercatori e studiosi e di alcune decine di associazioni, inviammo la lettera che vi allego a Draghi e ad alcuni ministri. Il punto di partenza era il seguente: "...Fortunatamente, a livello mondiale, negli ultimi anni, è esplosa una splendida opportunità di rinascita rappresentata dall’avvento del software libero e, più in generale, dell’informatica libera. Nel mondo alcuni milioni di programmatori hanno operato e continuano ad operare su centinaia di migliaia di progetti diversi che attuano sicuramente tutte le funzionalità dei programmi software proprietari. Molte centinaia di migliaia di moduli hardware liberi, figli della architettura Arduino nata nel nostro Paese, sono prodotte ogni anno nella sola Cina. Al fine di cogliere l’opportunità per il nostro Paese di un nuovo mercato industriale corrispondente a benefici economici dell’ordine di alcuni miliardi all’anno, cosi come di promuovere un uso più trasparente e democratico dell’informatica, ci permettiamo di suggerire alle S.V. Illustrissime i seguenti provvedimenti.,," "...In secondo luogo, riteniamo che nell’ambito delle attività finanziate con il fondo per la ripresa “Next Generation EU”, non possano essere riconosciuti i costi relativi a software proprietario. Per incentivare lo sviluppo di un’industria europea del software libero attuando gli scopi del fondo (che guarda alle generazioni future e ai valori dell’Unione Europea) si dovranno finanziare solo servizi relativi a software libero..." Ho letto quello che ho trovato sul PNRR in partenza. Non ho trovato traccia di indicazioni parenti delle nostre richieste. Ho letto frasi generiche che mi fanno temere il riferimento a prodotti stranieri. Sono speventato. Ho ragione ad esserlo? Raf

6 15

FOSS Programme Office nella pubblica amministrazione / ricerca / educazione
by Giacomo Tenaglia May 4, 2021

May 4, 2021

Salve, lavoro al CERN e con alcuni colleghi stiamo cercando di promuovere un approccio più strutturato all software libero. Uno dei punti di discussione è la creazione di un ufficio dedicato, che tipicamente è chiamato "Open Source Programme Office". Stiamo cercando persone che abbiano esperienza di creazione / gestione di uffici simili nel settore pubblico / ricerca / educazione e che siano disponibili a fare una chiacchierata informale sull'argomento - via video o mail. Se siete interessati potete scrivermi in privato. Grazie e buona giornata, Giacomo Tenaglia

1 0