November 2022 - nexa - server-nexa.polito.it

Re: [nexa] Nis 2

by 380°

Mauro Alovisio <mauro.alovisio(a)gmail.com> writes: > Gent.mi > > Segnalo > https://www.cybersecitalia.it/nis-2-il-parlamento-ue-approva-la-direttiva-b… aggiungo un abstract a fini archivistici: --8<---------------cut here---------------start------------->8--- La Nis 2, in sintesi, stabilirà la base per le misure di gestione del rischio di sicurezza informatica e gli obblighi di segnalazione in tutti i settori coperti dalla direttiva, come l’energia, i trasporti, la salute e le infrastrutture digitali. Nel dettaglio, istituirà formalmente la rete europea dell’organizzazione di collegamento per le crisi informatiche, Eu-CyClone, che sosterrà la gestione coordinata degli incidenti di sicurezza informatica su larga scala. Mentre ai sensi della vecchia direttiva Nis gli Stati membri erano responsabili di determinare quali entità avrebbero soddisfatto i criteri per qualificarsi come operatori di servizi essenziali, il nuvo testo introduce una regola di limite di dimensione. Ciò significa che rientreranno nel suo campo di applicazione tutte le medie e grandi entità operanti nei settori o che forniscono servizi contemplati dalla direttiva. La norma include disposizioni aggiuntive per garantire la proporzionalità, un livello più elevato di gestione del rischio e criteri di criticità per la determinazione degli enti coperti. Il testo chiarisce inoltre che la direttiva non si applicherà agli enti che svolgono attività in settori quali la difesa o la sicurezza nazionale, la pubblica sicurezza, le forze dell’ordine e la magistratura. Sono esclusi dal campo di applicazione anche i Parlamenti e le banche centrali. Poiché anche le pubbliche amministrazioni sono spesso oggetto di attacchi informatici, Nis 2 si applicherà agli enti della pubblica amministrazione a livello centrale e regionale (gli Stati membri possono decidere però che si applichi anche a loro). --8<---------------cut here---------------end--------------->8--- Saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 11, 2022

Re: [nexa] "Mysterious company with government ties plays key internet role"

by 380°

Buongiorno, grazie della segnalazione "J.C. DE MARTIN" <juancarlos.demartin(a)polito.it> writes: > *Mysterious company with government ties plays key internet role* > > /TrustCor Systems vouches for the legitimacy of websites. But its > physical address is a UPS Store in Toronto.// > / > By Joseph Menn > > Nov 8 2022 > > An offshore company that is trusted by the major web browsers and other > tech companies to vouch for the legitimacy of websites has connections > to contractors for U.S. intelligence agencies and law enforcement, > according to security researchers, documents and interviews. > > Google’s Chrome, Apple’s Safari, nonprofit Firefox and others allow the > company, TrustCor Systems, to act as what’s known as a root certificate > authority, a powerful spot in the internet’s infrastructure that > guarantees websites are not fake, guiding users to them seamlessly. Ma dai! Non è solo quello, per la miseria! I certificati X.509 emessi dalle Certification Autority che sono incluse nella PKI (un'entità /eterea/, direi /vaporware/) sono elemento essenziale per consentire a tutti di sostenere che via HTTPS "la connsessione è sicura e le informazioni (ad esempio password o numero di carta di credito) restano private quando trasmesse" Non solo! X.509 è alla base del funzionamento di TLS/SSL - cioè l'incapsulamento in un protocollo crittografato di molte altre trasmissioni su Internet: email (IMAP/POP e SMTP), XMPP, ecc. [1] - e la PKI è usata per verificare la validità dei certificati [2]. É troppo noioso riuscire a "riassumere giornalisticamente" il concetto, anche per il Post? Ci sarebbero poi anche le "firme digitali" (S/MIME, eIDAS) ma la questione si fa ancora più complessa (complicata?!?) e non riassumibile giornalisticamente :-) > The company’s Panamanian registration records show that it has the > identical slate of officers, agents and partners as a spyware maker > identified this year as an affiliate of Arizona-based Packet Forensics, > which public contracting records and company documents show has sold > communication interception services to U.S. government agencies for more > than a decade. É "solo" uno dei casi già noti di (in questo caso /sospetta/) compromissione della CA: https://en.wikipedia.org/wiki/Certificate_authority#CA_compromise Dopotutto cosa c'è di strano?!? --8<---------------cut here---------------start------------->8--- Like all businesses, CAs are subject to the legal jurisdictions they operate within, and may be legally compelled to compromise the interests of their customers and their users. Intelligence agencies have also made use of false certificates issued through extralegal compromise of CAs, such as DigiNotar, to carry out man-in-the-middle attacks. Another example is a revocation request of the CA of the Dutch government, because of a Dutch law passed in 2018, giving new powers for the Dutch intelligence and security services --8<---------------cut here---------------end--------------->8--- (https://en.wikipedia.org/wiki/X.509#Problems_with_certification_authorities) "Legally compelled to compromise"... i certificati X.509 delle CA che fanno parte della PKI, spero sia abbastanza chiaro. Vale la pena ricordare anche che «American data spies will never care where the servers are» [3] --8<---------------cut here---------------start------------->8--- American companies will never be able to resist the demands of American intelligence services. It doesn't matter if their servers are located in Virginia or Paris or on the damn moon. --8<---------------cut here---------------end--------------->8--- I certificati X.509 sono... dati? :-D Vale solo per l'intelligence USA? Il furto di identità ("digitale", "su Internet") finalizzato alla raccolta di dati (signals) è legale in caso sia necessario per ragioni di sicurezza nazionale? Le agenzie di intelligence sono autorizzate a compiere simili operazioni anche se illegali? > continua qui: > <https://www.washingtonpost.com/technology/2022/11/08/trustcor-internet-addr…> Saluti, 380° [1] https://en.wikipedia.org/wiki/X.509#Major_protocols_and_standards_using_X.5… [2] la PKI è distribuita dai vendor dei sistemi operativi e installata/aggiornata su tutti i computer e gli smartphone come parte dell'installazione o aggiornamento di sistema [3] https://world.hey.com/dhh/american-data-spies-will-never-care-where-the-ser… -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 11, 2022

Re: [nexa] implementazione parziale spid

by Alberto Cammozzo

Grazie per le risposte. Per chiarire a Stefano, si tratta di una università pubblica, quindi PA. A quanto capisco la differenza si gioca tra tutti gli "utenti" dei servizi in rete e i "cittadini" che sono un sottoinsieme dei primi. Forse lo spirito della norma pensava ai primi, ma la formulazione limita l'applicazione ai secondi . Ciao, Alberto On 10/11/22 18:17, Giovanni Battista Gallus wrote: > Caro Alberto, > l'obbligo di SPID, in estrema sintesi, vale solo per i cittadini e per i servizi esposti in rete (non vale ancora, peraltro, per imprese e professionisti, perché occorre un decreto di cui, salvo mio errore, si sono perse le tracce). > Lo dice l'art. 64 CAD - [Le pp.aa] "utilizzano esclusivamente > le identita' digitali SPID e la carta di identita' elettronica ai > fini dell'identificazione dei cittadini che accedono ai propri > servizi in rete". > Quest'obbligo non vale per i servizi "interni". > > Ciao > G.Battista > > > > > -- > Avv. Giovanni Battista Gallus > Patrocinante in Cassazione > LL.M. Master of Laws - Ph.D. > ISO/IEC 27001/2013 Lead Auditor > > Array - Studio Legale > > Via Castelvì n. 9 > 09129 Cagliari (Italy) > phone +390707966538 fax +390702041360 > > Piazza San Nazaro in Brolo 15 > 20121 Milano (Italy) > phone +390287075914 fax +391782709429 > > e-mail gallus(a)array.law > PEC g.gallus(a)legalmail.it > twitter @gbgallus > > http://www.array.eu > > PGP key fingerprint > 1278 C257 1372 8307 FD8A B625 502B E542 4123 3AED > > > Sent with Proton Mail secure email. > > ------- Original Message ------- > On Thursday, November 10th, 2022 at 12:09, Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> wrote: > > >> Una domanda su SPID: a quanto mi risulta dal 28 febbraio 2021 ogni >> amministrazione è obbligata ad usarlo per autenticare i cittadini. >> >> Esiste un obbligo simile anche per gli utenti più o meno interni? Ad >> esempio docenti e studenti di una università? >> >> Mi trovo ad avere a che fare con una università che (diversamente da >> altre) ha solo parzialmente implementato l'accesso via SPID, per cui >> l'unico servizio che lo usa al 100% è webmail (che è di Google), gli >> altri sono in sostanza limitati alla sola lettura, e nemmeno sempre. >> >> La piena funzionalità è disponibile solo tramite l'accesso via >> username/password, in aggiunta particolarmente farraginoso: ad esempio >> la password non può superare gli 11 caratteri. >> >> Cosa si può fare per richiedere la piena implementazione? Grazie a chi >> mi sa rispondere! >> >> Alberto >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Nov. 10, 2022

Nis 2

by Mauro Alovisio

Gent.mi Segnalo https://www.cybersecitalia.it/nis-2-il-parlamento-ue-approva-la-direttiva-b… Buona serata

Nov. 10, 2022

Re: [nexa] implementazione parziale spid

by Giovanni Battista Gallus

Caro Alberto, l'obbligo di SPID, in estrema sintesi, vale solo per i cittadini e per i servizi esposti in rete (non vale ancora, peraltro, per imprese e professionisti, perché occorre un decreto di cui, salvo mio errore, si sono perse le tracce). Lo dice l'art. 64 CAD - [Le pp.aa] "utilizzano esclusivamente le identita' digitali SPID e la carta di identita' elettronica ai fini dell'identificazione dei cittadini che accedono ai propri servizi in rete". Quest'obbligo non vale per i servizi "interni". Ciao G.Battista -- Avv. Giovanni Battista Gallus Patrocinante in Cassazione LL.M. Master of Laws - Ph.D. ISO/IEC 27001/2013 Lead Auditor Array - Studio Legale Via Castelvì n. 9 09129 Cagliari (Italy) phone +390707966538 fax +390702041360 Piazza San Nazaro in Brolo 15 20121 Milano (Italy) phone +390287075914 fax +391782709429 e-mail gallus(a)array.law PEC g.gallus(a)legalmail.it twitter @gbgallus http://www.array.eu PGP key fingerprint 1278 C257 1372 8307 FD8A B625 502B E542 4123 3AED Sent with Proton Mail secure email. ------- Original Message ------- On Thursday, November 10th, 2022 at 12:09, Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> wrote: > Una domanda su SPID: a quanto mi risulta dal 28 febbraio 2021 ogni > amministrazione è obbligata ad usarlo per autenticare i cittadini. > > Esiste un obbligo simile anche per gli utenti più o meno interni? Ad > esempio docenti e studenti di una università? > > Mi trovo ad avere a che fare con una università che (diversamente da > altre) ha solo parzialmente implementato l'accesso via SPID, per cui > l'unico servizio che lo usa al 100% è webmail (che è di Google), gli > altri sono in sostanza limitati alla sola lettura, e nemmeno sempre. > > La piena funzionalità è disponibile solo tramite l'accesso via > username/password, in aggiunta particolarmente farraginoso: ad esempio > la password non può superare gli 11 caratteri. > > Cosa si può fare per richiedere la piena implementazione? Grazie a chi > mi sa rispondere! > > Alberto > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Nov. 10, 2022

"Mysterious company with government ties plays key internet role"

by J.C. DE MARTIN

*Mysterious company with government ties plays key internet role* /TrustCor Systems vouches for the legitimacy of websites. But its physical address is a UPS Store in Toronto.// / By Joseph Menn Nov 8 2022 An offshore company that is trusted by the major web browsers and other tech companies to vouch for the legitimacy of websites has connections to contractors for U.S. intelligence agencies and law enforcement, according to security researchers, documents and interviews. Google’s Chrome, Apple’s Safari, nonprofit Firefox and others allow the company, TrustCor Systems, to act as what’s known as a root certificate authority, a powerful spot in the internet’s infrastructure that guarantees websites are not fake, guiding users to them seamlessly. The company’s Panamanian registration records show that it has the identical slate of officers, agents and partners as a spyware maker identified this year as an affiliate of Arizona-based Packet Forensics, which public contracting records and company documents show has sold communication interception services to U.S. government agencies for more than a decade. [...] continua qui: <https://www.washingtonpost.com/technology/2022/11/08/trustcor-internet-addr…>

Nov. 10, 2022

Mark Zuckerberg’s Message to Meta Employees (sul ridimensionamento)

by 380°

Buonasera, A seguito dei recenti risultati finanziari [1], Meta attua il licenziamento del 13% dei dipendenti, il taglio delle spese inutili e il blocco assunzioni per tutto Q1 2023 Una mossa che, da fonti bene informate (?), pare sia stata necessaria per rispondere alle pressoni degli investitori: https://www.msn.com/en-us/money/companies/meta-shares-pop-5-as-wall-street-… --8<---------------cut here---------------start------------->8--- Investors have been concerned about Meta's rising costs and expenses, which jumped 19% year over year in the third quarter to $22.1 billion. [...] Meta's stock has lost more than 71% of its value so far this year and the company became the worst performer in the S&P 500 last week. --8<---------------cut here---------------end--------------->8--- Zuckerberg spiega così il perché dell'ultima mossa: https://about.fb.com/news/2022/11/mark-zuckerberg-layoff-message-to-employe… «Mark Zuckerberg’s Message to Meta Employees» November 9, 2022 --8<---------------cut here---------------start------------->8--- At the start of Covid, the world rapidly moved online and the surge of e-commerce led to outsized revenue growth. Many people predicted this would be a permanent acceleration that would continue even after the pandemic ended. I did too, so I made the decision to significantly increase our investments. Unfortunately, this did not play out the way I expected. Not only has online commerce returned to prior trends, but the macroeconomic downturn, increased competition, and ads signal loss have caused our revenue to be much lower than I’d expected. In this new environment, we need to become more capital efficient. We’ve shifted more of our resources onto a smaller number of high priority growth areas — like our AI discovery engine, our ads and business platforms, and our long-term vision for the metaverse. We’ve cut costs across our business, including scaling back budgets, reducing perks, and shrinking our real estate footprint. We’re restructuring teams to increase our efficiency. But these measures alone won’t bring our expenses in line with our revenue growth, so I’ve also made the hard decision to let people go. [...] For example, as we shrink our real estate footprint, we’re transitioning to desk sharing for people who already spend most of their time outside the office. We’ll roll out more cost-cutting changes like this in the coming months. We’re also extending our hiring freeze through Q1 with a small number of exceptions. I’m going to watch our business performance, operational efficiency, and other macroeconomic factors to determine whether and how much we should resume hiring at that point. [...] I’m currently in the middle of a thorough review of our infrastructure spending. As we build our AI infrastructure, we’re focused on becoming even more efficient with our capacity. Our infrastructure will continue to be an important advantage for Meta, and I believe we can achieve this while spending less. Fundamentally, we’re making all these changes for two reasons: our revenue outlook is lower than we expected at the beginning of this year, and we want to make sure we’re operating efficiently across both Family of Apps and Reality Labs. [...] This post contains forward-looking statements regarding our future business plans and expectations. These forward-looking statements are only predictions and may differ materially from actual results due to a variety of factors. Because some of these risks and uncertainties cannot be predicted or quantified and some are beyond our control, you should not rely on our forward-looking statements as predictions of future events. More information about potential risks and uncertainties that could affect our business and financial results is more fully detailed under the caption “Risk Factors” in our Quarterly Report on Form 10-Q filed with the Securities and Exchange Commission (SEC) on October 27, 2022, which is available on our Investor Relations website at investor.fb.com and on the SEC website at www.sec.gov. In addition, please note that the date of this post is November 9, 2022, and any forward-looking statements contained herein are based on assumptions that we believe to be reasonable as of this date. We undertake no obligation to update these statements as a result of new information or future events. --8<---------------cut here---------------end--------------->8--- Mentre mi pare abbastanza chiaro il risparmio in termini di costi legati al personale (incluso nel OPEX), mi pare molto fumoso il risparmio CAPEX... ma soprattutto come pensano di risollevare la voce "Revenue"? ...col metaverso? recuperando nell'ad-tech? Saluti, 380° [1] dei primi tre trimestri, vedremo il Q4 Q1: https://s21.q4cdn.com/399680738/files/doc_financials/2022/q1/Meta-03.31.202… Q2: https://s21.q4cdn.com/399680738/files/doc_news/Meta-Reports-Second-Quarter-… Q3: https://s21.q4cdn.com/399680738/files/doc_news/Meta-Reports-Third-Quarter-2… -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 10, 2022

implementazione parziale spid

by Alberto Cammozzo

Una domanda su SPID: a quanto mi risulta dal 28 febbraio 2021 ogni amministrazione è obbligata ad usarlo per autenticare i *cittadini*. Esiste un obbligo simile anche per gli utenti più o meno interni? Ad esempio docenti e studenti di una università? Mi trovo ad avere a che fare con una università che (diversamente da altre) ha solo parzialmente implementato l'accesso via SPID, per cui l'unico servizio che lo usa al 100% è webmail (che è di Google), gli altri sono in sostanza limitati alla sola lettura, e nemmeno sempre. La piena funzionalità è disponibile solo tramite l'accesso via username/password, in aggiunta particolarmente farraginoso: ad esempio la password non può *superare* gli 11 caratteri. Cosa si può fare per richiedere la piena implementazione? Grazie a chi mi sa rispondere! Alberto

Nov. 10, 2022

Re: [nexa] What TikTok does to your mental health: ‘It’s embarrassing we know so little’

by M. Fioretti

On Wed, Nov 09, 2022 12:02:30 PM +0100, 380° wrote: > Se nella domanda a TikTok sostituissimo qualsiasi altro fenomeno X - sia > digitale che analogico - di successo, la domanda avrebbe ancora senso? > > É vero che "i social" usano ogni mezzo per creare "dipendenza da > attenzione" e per ottenerla martellano proponendo contenuti /alienanti/, > ma davvero basta togliere di mezzo o correggere d'autorità "X social" > per eliminare la dipendenza? > > Ovvero: l'alienazione arriva prima o dopo l'uso di X? direi senza alcun dubbio prima. se non c'e' azione/formazione a) **IN FAMIGLIA** (perche' pure l'idea a che a qualsiasi cosa educativa possa o debba pensarci la scuola e' mezza impossibile, mezza pericolosa) e b) PRIMA del momento in cui un ragazzino arriva a usare certi mezzi da solo, poi l'alienazione arriva comunque, con o senza social, e mettere qualunque pezza dopo e' cento volte piu' difficile. Nel caso dei social, se confondi come il 90% dei genitori italiani: "imparare presto a usare internet e' bello e necessario" (giusto, ma fattibilissimo da pc fisso in salotto) con "eccoti lo smartphone per la prima comunione" se poi ti ritrovi il figlio cyberbullizzato, cyberbullo o anche solo con problemi da privazione del sonno non puoi prendertela piu' di tanto con la scuola, lo stato o "X social" Marco -- Help me write my NEXT MILLION WORDS for digital awareness: https://stop.zona-m.net/2021/10/funding-2021-2022/

Nov. 10, 2022

“Automaticamente illegali”. Una proposta per i sistemi di intelligenza artificiale

by Daniela Tafani

Gentile Marco, ho molto apprezzato il tuo articolo sulle "bolle giuridiche" e ho utilizzato questa tua espressione in un mio post di oggi, nel quale segnalo una proposta che può forse interessare a questa lista: https://btfp.sp.unipi.it/it/2022/11/automaticamente-illegali-una-proposta-p… [https://btfp.sp.unipi.it/wp-content/uploads/2022/11/facedetection.jpg]<https://btfp.sp.unipi.it/it/2022/11/automaticamente-illegali-una-proposta-p…> "Automaticamente illegali". Una proposta per i sistemi di intelligenza artificiale > Bollettino telematico di filosofia politica<https://btfp.sp.unipi.it/it/2022/11/automaticamente-illegali-una-proposta-p…> btfp.sp.unipi.it Overlay journal of political philosophy Buona serata, Daniela

Nov. 9, 2022