May 2021 - nexa - server-nexa.polito.it

R: stallmansupport.org

by Riccardo Nanni

Care e cari, fatta la premessa che non conosco Angelo Raffaele di persona e non conosco bene il caso Stallman, mi permetto un commento più generale (che non è un'accusa personale a nessuno, ma un invito a riflettere sull'uso del linguaggio). Il fatto che uomini si permettano di dire, senza elementi per provare le proprie affermazioni, che accuse di molestie sessuali non abbiano fondamento è esattamente uno dei motivi per cui tanti casi di molestie sessuali restano impuniti: le donne non sono credute e quando denunciano vengono rivittimizzate, spesso con commenti che mirano a giustificare gli atti di molestia e/o violenza. E questa è solo una parte del problema - vi invito a leggere i dati ISTAT partendo da questo link: https://www.istat.it/it/archivio/235994. Questo è un invito a credere alle donne quando sollevano questioni di discriminazione e violenza e ad evitare affermazioni categoriche che ne mettano in dubbio la veridicità. Da uomini non viviamo sulla nostra pelle certe forme di discriminazione ed è nostro dovere portare rispetto a chi invece ne soffre e decide di parlarne - e magari possiamo anche provare a capire in che modo noi per primi, quotidianamente e involontariamente, contribuiamo a rafforzare le discriminazioni e la violenza. Grazie per l'attenzione. A presto, Riccardo Nanni ________________________________ Da: nexa <nexa-bounces(a)server-nexa.polito.it> per conto di Angelo Raffaele Meo <meo(a)polito.it> Inviato: mercoledì 5 maggio 2021 10:44 A: nexa(a)server-nexa.polito.it <nexa(a)server-nexa.polito.it> Oggetto: Re: [nexa] stallmansupport.org caro Juan Carlos Gentile, sto completando un articolo sul software libero che sarà pubblicato dall'Accademia delle Scienze. Il capitolo più grosso è dedicato a Stallman e finisce così:"Pensiamo che le notizie sulle sue presunte molestie sessuali non abbiano fondamento. Comunque, i meriti scientifici di Richard Stallman non possono essere messi in discussione" Raf. Il 04/05/21 02:25, Juan Carlos Gentile Fag�ndez ha scritto: > Oh, caro P. Meo ! > > Non pensa lei che 'nexa' deve scrivere e firmare supportanto Stallman? http://stallmansupport.org > > Io penso sia fondamentale. > > Scusate il mio italiano (che non e mio :) > > best > > juan > > _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

May 5, 2021

Re: [nexa] stallmansupport.org

by Angelo Raffaele Meo

caro Juan Carlos Gentile, sto completando un articolo sul software libero che sarà pubblicato dall'Accademia delle Scienze. Il capitolo più grosso è dedicato a Stallman e finisce così:"Pensiamo che le notizie sulle sue presunte molestie sessuali non abbiano fondamento. Comunque, i meriti scientifici di Richard Stallman non possono essere messi in discussione" Raf. Il 04/05/21 02:25, Juan Carlos Gentile Fag�ndez ha scritto: > Oh, caro P. Meo ! > > Non pensa lei che 'nexa' deve scrivere e firmare supportanto Stallman? http://stallmansupport.org > > Io penso sia fondamentale. > > Scusate il mio italiano (che non e mio :) > > best > > juan > >

May 5, 2021

Re: [nexa] PNRR

by D. Davide Lamanna

On 05/05/21 01:24, ilbancodeivolontari(a)libero.it wrote: > Si potrebbe tentare di considerare o voler considerare altre cause a monte che lo hanno determinato. Si sta girando attorno ad un supposto problema big dati, quando il problema non sono i dati in se > Se i dati hanno potenzialmente del valore... dovremmo domandarci perché quei dati hanno valore in un contesto in cui non sappiamo non ci interessa affrontare per cultura da dove nascono i valori da dove nasce ciò che genera valore, e come questi valori sono estratti gestiti, con quale circolarietà, da chi è per quale finalità sono e non sono fatti circolare ? > mi rendo conto di non avere proprietà dialettiche per esprimere quanto percepisco, ma forse ci sono state sottratte culturalmente anche quelle, come vengono valorizzati dati personali o collettivi dai quali si ricava valore, e.... per bilanciare la sensazione di danno si voglia rendere partecipe lo stesso fornitore di dati (ogni singola persona che ne facesse richiesta) con una residuale gratificazione. > Ho la sensazione che la storia si ripeta, su concetti pseudo valoriali; dalle circostanze temporali non riconosciuti come pseudo. > Se provassimo a vedere con le competenze culturali attuali lo spostamento della "governance" di qualche generazione e cultura di tempi passati .. nella gestione i ciò che è valore reale .. ne intravedo un cambiamento di forma ma il mantenimento della stessa sostanza, benefici per pochi a scapito di molti. > Pertanto una possibile via di uscita potrebbe essere un cambio di paradigma culturale, sui valori reali, estratti dall'agire delle persone , senza un ritorno a vantaggio del miglioramento di quell'agire favorevole alla creatività. > Di fatto a guardarci intorno ci troviamo e ci sentiamo ... in croce, in potenziali ristrettezze e condizionamenti indotte dallo stesso tipo di "governance". > Carlo A. E' un discorso complesso, che comprendo a tratti. Ci scorgo dentro il disagio, certamente comune a tutt* qui, di affrontare positivamente un ambito, quello del data analytics, che suscita orrore per come si è imposto sulla scena e terrore per le conseguenze che ne intravediamo. Ma ci scorgo anche una voce sottile che propone di cimentarsi intellettualmente con la questione, provare ad ipotizzare usi positivi che motivino una eventuale appropriazione collettiva del metodo da parte di comunità autonome. Prima o poi ne dovremo parlare. Anche semplicemente per concludere che era una pessima idea. O forse no... D.

May 5, 2021

A Spectre proof-of-concept for a Spectre-proof web

by Giacomo Tesio

Ciao a tutti, come forse ricorderete, secondo Mozilla e Chromium, "this is the Web functioning as designed" [1], ma dopo 3 anni da Spectre (e Meltdown), Google cerca di scaricare la responsabilità della sicurezza dei suoi utenti sugli sviluppatori web. [2] L'unica soluzione semplice, che ridurrebbe enormemente la superficie di attacco (disabilitare l'esecuzione automatica di JavaScript/WASM e permetterne l'abilitazione sito per sito su richiesta degli utenti e dopo aver avvertito loro dei rischi), non viene nemmeno presa in considerazione. In pratica, se ne lavano le mani. Qualunque sito che visitiate può accedere alla memoria del vostro computer e, con un po' di tempo, leggere le vostre password o qualsiasi altro dato personale. Non vi rimane che sperare che non abbiano alcun interesse a farlo E che abbiano le competenze (ed i fondi) per verificare che nessun pacchetto NPM che utilizzano faccia lo stesso. Consiglio personale: disabilitate Javascript e WebAssmbly sul vostro browser. Non utilizzate lo stesso computer per la navigazione quotidiana e l'accesso a servizi sensibili come l'home banking o l'esecuzione di programmi con accesso a dati sensibili come un password manager. Riavviate il PC dedicato a queste attività fra una attività sul web e l'altra e non eseguite mai alcun altro programma prima di avviare il browser. Se applicati sistematicamente e senza eccezioni, queste mitigazioni dovrebbero ridurre la probabilità che qualcuno entri nel vostro PC senza che ve ne accorgiate. Se vi sembrano troppo onerosi, sappiate che lo sono. Ma "this is the Web functioning as designed". Ed infatti Google offre agli sviluppatori lo Spectroscope, un plug-in di Chrome per identificare i problemi di sicurezza del proprio sito. Un po' come quando le Google Car di Google Maps mappavano i Wifi vulnerabili sul tragitto percorso: cosa mai potrebbe andare storto? Giacomo PS di seguito cerco di riportare solo i passaggi comprensibili anche dai non informatici, ma i dettagli e gli approfondimenti tecnici sono molto interessanti, ed importanti per chi sviluppa applicazioni Web in questo ecosistema malato per provare, budget permettendo, di minimizzare i danni per gli utenti (e per interrompere i progetti in cui il budget non permette queste mitigazioni per evitare guai con il GDPR). [1] https://bugzilla.mozilla.org/show_bug.cgi?id=1487081#c10 [2] https://security.googleblog.com/2021/03/a-spectre-proof-of-concept-for-spec… ______ Three years ago, Spectre changed the way we think about security boundaries on the web. It quickly became clear that flaws in modern processors undermined the guarantees that web browsers could make about preventing data leaks between applications. As a result, web browser vendors have been continuously collaborating on approaches intended to harden the platform at scale. Nevertheless, this class of attacks still remains a concern and requires web developers to deploy application-level mitigations. [...] The Spectre vulnerability, disclosed to the public in January 2018, makes use of a class of processor (CPU) design vulnerabilities that allow an attacker to change the intended program control flow while the CPU is speculatively executing subsequent instructions. For example, the CPU may speculate that a length check passes, while in practice it will access out-of-bounds memory. While the CPU state is rolled back once the misprediction is noticed, this behavior leaves observable side effects which can leak data to an attacker. In 2019, the team responsible for V8, Chrome’s JavaScript engine, published a blog post and whitepaper concluding that such attacks can’t be reliably mitigated at the software level. [...] In parallel, browser vendors and standards bodies developed security mechanisms to protect web users from these classes of attacks. [...] These mechanisms, while crucially important, don't prevent the exploitation of Spectre; rather, they protect sensitive data from being present in parts of the memory from which they can be read by the attacker. [...] Today, we’re sharing proof-of-concept (PoC) code that confirms the practicality of Spectre exploits against JavaScript engines. We use Google Chrome to demonstrate our attack, but these issues are not specific to Chrome, and we expect that other modern browsers are similarly vulnerable to this exploitation vector. We have developed an interactive demonstration of the attack available at https://leaky.page/; the code and a more detailed writeup are published on Github here. The demonstration website can leak data at a speed of 1kB/s when running on Chrome 88 on an Intel Skylake CPU. [...] For the published PoC, we implemented a simple Variant 1 gadget [...] however, Chrome's V8 team concluded that this is not the case for other gadgets: “we found that effective mitigation of some variants of Spectre, particularly variant 4, to be simply infeasible in software.” [...] By abusing the behavior of the Tree-PLRU cache eviction strategy commonly found in modern CPUs, we were able to significantly amplify the cache timing with a single read of secret data. This allowed us to leak data efficiently even with low precision timers. For technical details, see the demonstration at https://leaky.page/plru.html. [...] While operating system and web browser developers have implemented important built-in protections where possible [...], the design of existing web APIs still makes it possible for data to inadvertently flow into an attacker's process. [...] These protections mitigate Spectre-style hardware attacks and common web-level cross-site leaks, but require developers to assess the threat these vulnerabilities pose to their applications and understand how to deploy them. To assist in that evaluation, Chrome's web platform security team has published Post-Spectre Web Development and Mitigating Side-Channel Attacks with concrete advice for developers [...] To help you protect your website from Spectre, the Google Security Team has created Spectroscope, a prototype Chrome extension that scans your application and finds resources which may require enabling additional defenses. Consider using it to assist with your deployments of web isolation features.

May 5, 2021

Re: [nexa] PNRR

by D. Davide Lamanna

On 04/05/21 22:16, Stefano Zacchiroli wrote: > On Tue, May 04, 2021 at 09:19:44PM +0200, D. Davide Lamanna wrote: >>> Questa ultima opzione è tipica dell'economia del commoning, del >>> /mettere in comune/. >> >> E qui si potrebbero dire delle cose, forse. Qualcun* ha dei >> riferimenti da condividere sul tema? > > Tra gli altri, Morozov ne ha scritto diffusamente. Ecco un paio di pezzi > rilevanti: > > https://newleftreview.org/issues/ii91/articles/evgeny-morozov-socialize-the… > https://newleftreview.org/issues/ii116/articles/evgeny-morozov-digital-soci… Grazie mille! D.

May 5, 2021

Grazie per: off topic: fonti EUROPEE di notizie su cybersecurity?

by M. Fioretti

Come da oggetto. Grazie a tutti coloro che mi hanno inviato link molto interessanti. A buon rendere, Marco On Thu, Apr 29, 2021 18:33:49 PM +0200, Marco Fioretti wrote: > **potrei** avere un'opportunita' di lavoro come > "raccoglitore"/curatore di notizie cybersecurity DA e A PROPOSITO di > Europa, ma non solo. Per farlo bene, dovrei avere una raccolta piu' > vasta possibile di fonti serie... -- Help me to continue my digital awareness blogging: https://stop.zona-m.net/christmas-2020-fundraising/

May 5, 2021

Re: [nexa] PNRR

by ilbancodeivolontari＠libero.it

Si potrebbe tentare di considerare o voler considerare altre cause a monte che lo hanno determinato. Si sta girando attorno ad un supposto problema big dati, quando il problema non sono i dati in se Se i dati hanno potenzialmente del valore... dovremmo domandarci perché quei dati hanno valore in un contesto in cui non sappiamo non ci interessa affrontare per cultura da dove nascono i valori da dove nasce ciò che genera valore, e come questi valori sono estratti gestiti, con quale circolarietà, da chi è per quale finalità sono e non sono fatti circolare ? mi rendo conto di non avere proprietà dialettiche per esprimere quanto percepisco, ma forse ci sono state sottratte culturalmente anche quelle, come vengono valorizzati dati personali o collettivi dai quali si ricava valore, e.... per bilanciare la sensazione di danno si voglia rendere partecipe lo stesso fornitore di dati (ogni singola persona che ne facesse richiesta) con una residuale gratificazione. Ho la sensazione che la storia si ripeta, su concetti pseudo valoriali; dalle circostanze temporali non riconosciuti come pseudo. Se provassimo a vedere con le competenze culturali attuali lo spostamento della "governance" di qualche generazione e cultura di tempi passati .. nella gestione i ciò che è valore reale .. ne intravedo un cambiamento di forma ma il mantenimento della stessa sostanza, benefici per pochi a scapito di molti. Pertanto una possibile via di uscita potrebbe essere un cambio di paradigma culturale, sui valori reali, estratti dall'agire delle persone , senza un ritorno a vantaggio del miglioramento di quell'agire favorevole alla creatività. Di fatto a guardarci intorno ci troviamo e ci sentiamo ... in croce, in potenziali ristrettezze e condizionamenti indotte dallo stesso tipo di "governance". Carlo A. > Il 04/05/2021 21:19 D. Davide Lamanna <davide.lamanna(a)binarioetico.it> ha scritto: > > > On 04/05/21 19:52, Vincenzo Mario Bruno Giorgino wrote: > > [cut] > > la terza > > opzione prevede che i cittadini ne abbiano la sovranità e possano > > metterli in comune affinché ne traggano vantaggio collettivo. /And > > everything in between.../ > > A me pare che questo sia il nodo da affrontare in questi tempi. > > Concordo. > > > Questa > > ultima opzione è tipica dell'economia del commoning, del /mettere in > > comune/. > > E qui si potrebbero dire delle cose, forse. Qualcun* ha dei riferimenti > da condividere sul tema? > > Grazie. > > D. > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

May 4, 2021

Re: [nexa] PNRR

by Stefano Zacchiroli

On Tue, May 04, 2021 at 09:19:44PM +0200, D. Davide Lamanna wrote: > > Questa ultima opzione è tipica dell'economia del commoning, del > > /mettere in comune/. > > E qui si potrebbero dire delle cose, forse. Qualcun* ha dei > riferimenti da condividere sul tema? Tra gli altri, Morozov ne ha scritto diffusamente. Ecco un paio di pezzi rilevanti: https://newleftreview.org/issues/ii91/articles/evgeny-morozov-socialize-the… https://newleftreview.org/issues/ii116/articles/evgeny-morozov-digital-soci… (che non sono *solo* sull'aspetto personal data, ma lo trattano e lo contestualizzano politicamente molto bene) Ciao -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

May 4, 2021

Re: [nexa] Proposta di regolamento EU sull'Intelligenza Artificiale

by Giacomo Tesio

Della proposta di regolamento mi preoccupano molti aspetti, speravo di riuscire ad approfondire meglio, ma vi invito a leggerla personalmente e non limitarvi ai miei commenti. In generale, vi vedo voragini e loop-hole mastodontici. Non definisce l'AI, dice che ci dovrebbe essere una definizione ma non propone alcun criterio per distinguere l'AI dal resto del software. Invece di fornire un principio generale che qualifichi una applicazione della AI come "high-risk" elenca alcuni casi specifici (peraltro omettendo le reti di comunicazione fra le infrastrutture strategiche). In realtà il principio generale sarebbe semplice da scrivere: è "high-risk" ogni applicazione della AI che utilizzi dati di origine umana o possa tecnicamente causare danni ad esseri umani. On Tue, 04 May 2021 20:26:27 +0200 Giovanni Biscuolo wrote: > Sono solo io che vedo l'incongruenza in "to address opacity [...] a > certain degree of transparency should be required": /non/ spiegatela > al "operaio di carate Brianza" l'AI, spiegatela (e documentatela) ai > vostri colleghi scienziati, no? Qualcosa di "abbastanza trasparente" > è scientifico? Si dice che è necessario "un certo grado di trasparenza" e la possibilità di interpretare l'output per le persone, ma non si considera che non è l'output il problema di molte AI, ma il processo applicato per calcolarlo. E' quello che dovrebbe essere trasparente: non giustificare l'output. > > Una cosa a cui, secondo me, nel regolamento non è stato dato il > > giusto peso, seppur "considerata" è la complessità e > > l'incomprensibilità dei sistemi AI (di cui ai punti 47 e 48). > > Condivido in pieno la tua consierazione, in particolare in merito > all'incomprensibilità: per essere documentata l'AI deve essere > compresa, pare un'ovvietà ma con il deep-learning e le reti neurali > /mi pare/ ancora non ci siamo. Infatti si dice che è necessario una supervisione umana, ma non si chiarisce come possa un essere umano supervisionare l'elaborazione di una "rete neurale" con milioni di layers. In sostanza si prevede un Homer Simpson capro espiatorio sacrificale. Si parla di qualità dei dati etc, senza considerare che è sempre possibile imporre ad una rete neurale un certo bias, semplicemente selezionando quali dati utilizzare nella sua calibrazione in una pletora di dati di ottima qualità. Non si impone di mantenere tutti i dati utilizzati e tutti i modelli calibrati e cross-validati. Insomma, ad occhio questa proposta non è stata scritta per tutelare efficacemente i cittadini, ma per confonderli e sedarli. Giacomo

May 4, 2021

Re: [nexa] PNRR

by D. Davide Lamanna

On 04/05/21 19:52, Vincenzo Mario Bruno Giorgino wrote: [cut] > la terza > opzione prevede che i cittadini ne abbiano la sovranità e possano > metterli in comune affinché ne traggano vantaggio collettivo. /And > everything in between.../ > A me pare che questo sia il nodo da affrontare in questi tempi. Concordo. > Questa > ultima opzione è tipica dell'economia del commoning, del /mettere in > comune/. E qui si potrebbero dire delle cose, forse. Qualcun* ha dei riferimenti da condividere sul tema? Grazie. D.

May 4, 2021