September 2022 - nexa - server-nexa.polito.it

Creating a model democratic alternative to the surveillance state - Ishan Sharma - Bulletin of Atomic Scientists

by Diego.Latella

Ishan Sharma Creating a model democratic alternative to the surveillance state Bulletin of Atomic Scientists, Sept. 8, 2022 https://thebulletin.org/premium/2022-09/creating-a-model-democratic-alterna… -- Dott. Diego Latella - Senior Researcher CNR/ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it [1]) FM&&T Lab. (http://fmt.isti.cnr.it) CNR/GI-STS (http://gists.pi.cnr.it) https://www.isti.cnr.it/People/D.Latella - ph: +390506212982, fax: +390506212040 =================== I don't quite know whether it is especially computer science or its subdiscipline Artificial Intelligence that has such an enormous affection for euphemism. We speak so spectacularly and so readily of computer systems that understand, that see, decide, make judgments, and so on, without ourselves recognizing our own superficiality and immeasurable naivete with respect to these concepts. And, in the process of so speaking, we anesthetise our ability to evaluate the quality of our work and, what is more important, to identify and become conscious of its end use. […] One can't escape this state without asking, again and again: "What do I actually do? What is the final application and use of the products of my work?" and ultimately, "am I content or ashamed to have contributed to this use?" -- Prof. Joseph Weizenbaum ["Not without us", ACM SIGCAS 16(2-3) 2--7 - Aug. 1986] Links: ------ [1] http://www.isti.cnr.it

Sept. 26, 2022

Re: [nexa] segnalazione contro Monitora PA

by 380°

Buongiorno Alessandro, entriamo nello specifico giuridico, nell'auspicio che possa essere fatta chiarezza sul fatto che adottare strumenti (software) come quelli di Monitora PA (et al) possa configurarsi come "abuso dell'esercizio di un diritto". Spero che tu Alessando e altri giuristi in lista mi aiutino ad analizzare questo specifico punto, perché ho ragione di temere che semmai il Garante dovesse pubblicamente pronunciarsi in merito alla segnalazione ricevuta dallo Studio Lisi et al, non lo farà certo in merito a questo specifico punto che /credo/ esuli dalle sue competenze, limitate alla privacy appunto; alla fine rischia di rimanere solo un po' di FUD, quindi. ...oppure dovremmo sentire il Tar del Piemonte per avere delucidazioni in merito? alessandro marzocchi <alemarzoc(a)gmail.com> writes: > Enrico Nardelli - ed altri prima di lui - hanno chiesto opinioni giuridiche > in argomento, Mi permetto di ricordare il punto sollevato da Enrico: >> questa frase dell'articolo pubblicato su Agenda Digitale >> >> ...le modalità con cui sono state formulate le richieste degli “attivisti” presentano i >> connotati tipici dell’abuso nell’esercizio di un diritto, che si configura quando le >> finalità del suo esercizio eccedono la ratio legis di tutela, per assumere connotati >> pretestuosi e nocivi... [...] >> mi farebbe piacere avere un parere da qualche esperto di diritto > ero un giurista Allora potresti aiutarci ad analizzare quanto esposto specificamente nella parte 4 al punto 4.2 a pag. 26 della segnalazione al Garante ( https://studiolegalelisi.it/wp-content/uploads/2022/09/Segnalazione-Garante… ) in questi passaggi: --8<---------------cut here---------------start------------->8--- [...] Il TAR del Friuli, in particolare, con sentenza n. 145/2020, ha evidenziato come, in effetti, la Legge del 1990 riconosca indubbiamente un diritto di accesso il quale, tuttavia, non deve essere usato, in modo abusivo, al fine di portare ad un controllo generalizzato sulla Pubblica Amministrazione. L’attività in esame, come evidenziano anche i proclami del gruppo in questione, disvela, invece, il reale interesse avuto di mira e, cioè, l'interesse a un controllo generalizzato dell'attività della P.A. Non si può, quindi, che concordare con il Tar del Friuli e con il consolidato indirizzo giurisprudenziale (cfr. C.d.S., Sez. III, 12 marzo 2018, n. 1578; id., Sez. IV, 19 ottobre 2017, n. 4838; id., Sez. V, 21 agosto 2017, n. 4043; id., Sez. IV, 9 novembre 2015, n. 5092) secondo il quale il Legislatore, mediante l'accesso agli atti ex art. 22 e ss. della l. n. 241 del 1990, non ha introdotto un'azione popolare volta a consentire un controllo generalizzato sull'attività amministrativa, ma un’azione che deve trovare giustificazione in un interesse concreto e attuale. --8<---------------cut here---------------end--------------->8--- Riferendosi alla legge 241 del 1990 sul c.d. "diritto di accesso agli atti amministraivi" [2] credo che i passaggi riportati sopra si possano riferire solo alla c.d. "richiesta FOIA" di Monitora PA nei confronti delle scuole e non ai DSAR (Data Subject Access Request) relativi a GDPR e Google Analytics (et al) ...però due righe sotto scrivono: --8<---------------cut here---------------start------------->8--- Da ciò, e per quanto sopra esposto circa i potenziali rischi e pericoli, si ritiene che un’azione di c.d. “DSAR weaponization” possa rientrare a pieno titolo in tale fattispecie in concreto. --8<---------------cut here---------------end--------------->8--- Quindi si tratterebbe di "DSAR weaponization" perché /per estensione/ la legge 241/1990 relativa all'accesso agli atti amministrativi e le relative sentenze citate si applicherebbero anche al GDPR (che non è un atto amministrativo): ho capito bene? Non essendo giurista, non mastico pane e sentenze a colazione quindi ad una prima lettura non riesco a capire se i riferimenti [1] alla sentenza del Tar del Friuli e al "consolidato indirizzo giurisprudenziale" sono pertinenti o tirati per i capelli in modo analogo a come lo sono le altre /lamentatio/ in merito alla (impossibile) applicabilità del GDPR quando c'è di mezzo Google Analytics. Anzi sono talmente imbranato da non riuscire nemmeno a trovare i testi cui si fa riferimento: - https://www.giustizia-amministrativa.it/provvedimenti-tar-friuli-venezia-gi… «Ricerche tutti provvedimenti» inserisco 2020 come anno e 145 come numero, esce una tabella con un sacco di sigle NRG: 201900368 Sezione: 1 Parte: FLC CGIL DI PORDENONE Tipo Udienza: CC Data Udienza: 12/02/2020 Numero Provvedimento: 202000145 Data Pubblicazione: 08/05/2020 Tipo Provvedimento: SENTENZA BREVE Relatore: BARDINO NICOLA Presidente: SETTESOLDI ORIA Esito: DICHIARA INAMMISSIBILE Non riesco però a trovare il testo della sentenza breve - https://www.giustizia-amministrativa.it/provvedimenti-cds «Consiglio di Stato - Attività giurisdizionale Ricerche - Tutti i provvedimenti» - 12 marzo 2018 sentenza n. 1578 - 19 ottobre 2017 sentenza n. 4838 - 21 agosto 2017 sentenza n. 4043 - 9 novembre 2015 sentenza n. 5092 anche in questo caso il risultato della ricerca di ciascun provvedimento restituisce solo alcuni metadati, non il testo della sentenza Per favore, dove posso trovare le sentenze? Non sono giurista ma se mi spiegate forse riesco a capire anche io. > ricorro a memorie datate per due riflessioni. > La prima è un antico detto romano: qui suo iure utitur neminem laedit, cioè > chi afferma un proprio diritto non fa danni. La contestazione dello Sudio Lisi et al afferma invece che "fa danni" per il modo in cui è stato posto in essere da Monitora PA (et al), configurandolo come abuso di esercizio del diritto sui generis, anzi come nuovissima fattispecie di /auspicato/ reato denominata “DSAR weaponization”, come da qualche tempo qualcuno sostiene: https://resource.revealdata.com/en/blog/taming-dsar-request-beast-ediscovery --8<---------------cut here---------------start------------->8--- How the DSAR Shield Become a Sword One additional complicating factor that may not have initially been anticipated is the weaponization of DSAR requests by activists and cybercriminals alike. The result is a steady climb in the volume of DSARS, with a 66% increase just since 2020. [...] DSARs: Weapons of Mass Disruption Why are mass DSAR requests so effective at causing organizational disruption? Coordinated mass DSAR requests can create a massive administrative bottleneck for targeted corporations due to the complexity and lack of transparency in many organization’s data infrastructure for client data combined with the pressure of a no more than one month period of time to respond within. There is some precedent for “complex” DSARs receiving extensions of not more than 2 additional months. Recent studies have found that organizations can have as many as 26 individuals involved in managing the DSAR process and a cost as steep as $1,400 per response absent the right technology to accelerate the review, redaction and identification process. Some larger, multinational, or more notorious information collecting organizations are facing DSAR volumes in the hundred per month. --8<---------------cut here---------------end--------------->8--- Già, mi viene in mente quel dirigente di Fabebook che si lagnava del fatto che i loro sistemi sono così complessi che nessuno sa esattamente dove diavolo stanno i dati: porelli, mica è colpa loro, è **il sistema** che è troppo complesso. Pensate che catastrofe se loro fossero costretti ad applicare il GDPR :-O Sostanzialente è /esattamente/ a questo che ci si riferisce quando ci si lamenta della "DSAR weaponization": «a massive administrative bottleneck for targeted corporations due to the complexity and lack of transparency in many organization’s data infrastructure» Detto in altre parole: «non abbiamo idea di come sono trattati i tuoi dati ma non è colpa nostra: è la complessità, la mancanza di trasparenza, il sistema operativo, i terremoti, le cavalletteee!» Nel caso specifico di Monitora PA secondo me ci sono anche tutti i presupposti per l'aggravante di essere una "Mass weaponization of DSAR", perché **l'attacco** è generalizzato a (quasi) tutte le PA: crimine cibernetico contro l'umanità! Inoltre, se passasse la tesi dell'aumento di costo ingiustificato da parte delle PA dovuto alla complessità di gestire i DSAR, Monitora PA rischierebbe di dover rispondere di danno erariale alla Corte dei Conti. > La secondo è una domanda: l'abuso di diritto - "lite" temeraria - potrebbe > essere di chi protesta contro chi critica? > A me pare che Monitora PA eserciti un dovere diffuso di sorveglianza > civica, può meritare opinioni diverse ma non vedo come criticarla > "aggressivamente", Non dimentichiamo anche che nel /tritacarne/ delle "carte bollate" è finito anche un privato cittadino che /forse/ non desidava che i suoi DSAR, anche in forma di estratto, fossero pubblicati con tanto di nome e cognome. ...a ben guardare, chi è che pratica la "weaponization of DSARS"?!? Saluti, 380° [...] [1] anzi mi ci è voluto un bello sforzo anche solo per capire l'acronimo "C.d.S", che dopo attenta analisi ho capito non essere "codice della strada" ma [2] http://qualitapa.gov.it/sitoarcheologico/relazioni-con-i-cittadini/comunica… -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Sept. 26, 2022

Re: [nexa] segnalazione contro Monitora PA

by mauro gorrino

Intanto sul sito del Ministero degli interni dedicato ai risultati elettorali, https://elezioni.interno.gov.it/, non può mancare google analytics <script async src="https://www.googletagmanager.com/gtag/js?id=UA-39126249-1"></script> Il giorno lun 26 set 2022 alle ore 13:10 Marco A. Calamari <marcoc_maillist(a)marcoc.it> ha scritto: > > On lun, 2022-09-26 at 12:28 +0200, 380° wrote: > > Ciao Giacomo, > > grazie per il "riassunto delle puntate precedenti" > > Comunque carissimi hacker di Monitora PA et al, mi spiace fare il > bastardo antipatico, ma è probabile che presto (tempo indefinito, > sospensione /eterna/) questa storia si risolverà con un accordo tra la > Commissione EU e il governo USA di rinnovata adeguatezza dei > trasferimenti verso di /loro/ (perché il contrario "non è dato"). > > > Vedi caso, ho suggerito a chi di dovere di affrontare l'argomento Privacy Shield 2/ Schrems III nel keynote speech di e-privacy, giovedì mattina. > > Confido che raccolga l'invito. > > Stay tuned. Marco > > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Sept. 26, 2022

Re: [nexa] segnalazione contro Monitora PA

by Marco A. Calamari

On lun, 2022-09-26 at 12:28 +0200, 380° wrote: > Ciao Giacomo, > > grazie per il "riassunto delle puntate precedenti" > > Comunque carissimi hacker di Monitora PA et al, mi spiace fare il > bastardo antipatico, ma è probabile che presto (tempo indefinito, > sospensione /eterna/) questa storia si risolverà con un accordo tra la > Commissione EU e il governo USA di rinnovata adeguatezza dei > trasferimenti verso di /loro/ (perché il contrario "non è dato"). Vedi caso, ho suggerito a chi di dovere di affrontare l'argomento Privacy Shield 2/ Schrems III nel keynote speech di e-privacy, giovedì mattina. Confido che raccolga l'invito. Stay tuned. Marco

Sept. 26, 2022

Re: [nexa] segnalazione contro Monitora PA

by 380°

Ciao Giacomo, grazie per il "riassunto delle puntate precedenti" Comunque carissimi hacker di Monitora PA et al, mi spiace fare il bastardo antipatico, ma è probabile che presto (tempo indefinito, sospensione /eterna/) questa storia si risolverà con un accordo tra la Commissione EU e il governo USA di rinnovata adeguatezza dei trasferimenti verso di /loro/ (perché il contrario "non è dato"). Giacomo Tesio <giacomo(a)tesio.it> writes: > Ciao 380° (e scusa il leak) mavà, ma che leak: guarda la mia firma ;-) dico solo che se mi firmo 380° c'è un motivo... politico [...] > Devo trovare il tempo di pubblicare le risposte più belle dell'ultimo > giro, ma per GA le trovi qui: > http://monitora-pa.it/2022/06/12/una-passeggiata-tra-i-fiori.html dove tra altro si legge: --8<---------------cut here---------------start------------->8--- Vi informiamo di avere già provveduto alla rimozione di Google Analytics (GA) dal sito e di averlo sostituito con lo strumento messo a disposizione per le Pubbliche Amministrazioni dall'Agenzia per l'Italia Digitale, "Web Analytics". --8<---------------cut here---------------end--------------->8--- uno sforzo immane, inefficiente ed economicamente proibitivo: vero?!? E le organizzazioni di categoria, preso atto della realtà dei fatti che l'uso di GA et al è contro il GDPR, cosa aspettano a mettere in piedi strumenti simili per i loro associati? [...] >> > Ci si può nascondere dal Garante... ma da noi no! :-) >> >> questa è bella > > Non tanto, se ci pensi bene. tantissimo bella invece, se ci ripensi con un minimo di distacco > Lo Stato non dovrebbe avere bisogno di Monitora PA per rispettare le proprie leggi. > Né per farle rispettare. > > Gli strumenti che abbiamo scritto dovrebbero esistere da due anni. > > E da due anni dovrebbero essere usati dalle Autorità competenti per proteggere i cittadini. > La loro identità, la loro intimità, le loro fragilità... dovrebbero, ma nulla di tutto questo è stato fatto: /tecnicamente/ le autorità competenti hanno risorse e strumenti per poter applicare /sistematicamente/ il GDPR et al ma non lo hanno fatto: per chi detiene il potere far valere un proprio diritto deve essere **amministrativamente** una corsa a ostacoli che scoraggi il 95% dei cittadini ...poi arrivate voi coi vostri strumenti informatici che mettono seriamente in crisi [1] la **amministrazione** dei vostri diritti e la reazione da parte di un pezzo del mondo giuridico è quella di farvi le pulci, perchè - lo ribadisco - finché vi **limitate** a fare segnalazioni al Garante da singoli cittadini - magari con l'intermediazione di un avvocato - va tutto bene, ma se lo fate /sistematicamente/ allora stiamo **abusando** di un diritto (c'è qualcuno che dubita che contattare il Titolare per chiedere conto di come vengono (ab)usati i propri dati personali non sia un diritto?). ...che poi l'abuso di diritto sarebbe peggio dell'eccesso di legittima difesa? :-D A tal proposito voglio qui richiamare le parole di Stanzione in una delle sue prime interviste da presidente: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9458830 --8<---------------cut here---------------start------------->8--- Q: L'opinione pubblica ha spesso l'impressione che la tutela della privacy riguardi, sostanzialmente, la gente ricca e famosa... A: "Impressione più che legittima, considerata anche l'immagine pubblica certamente più forte di una certa fascia sociale della popolazione, quella ricca e famosa cui si accenna. Il nuovo Garante ha intenzione di promuovere una vera "cultura della privacy", a livello popolare, diretta a far comprendere il concetto, l'idea, la filosofia sottesa alla disciplina, soprattutto nei confronti delle categorie meno protette, minori, anziani, disagiati..." --8<---------------cut here---------------end--------------->8--- Se potessi confrontarmi con Stanzione gli spiegherei che io faccio parte di una minoranza di /disagiati/ che però ha compreso abbastanza bene il concetto e la filosofia sottesa alla disciplina, tanto da poter /dimostrare/ che per "avere privacy" è *molto* più efficace rifare Internet - ma NON basta - che cercare di applicare il GDPR (che non è inutile "in astratto", ma con questa Internet lo è de facto) e mi piacerebbe tanto che a sua volta voglia promuovere, innanzitutto all'interno delle istituzioni, una vera "cultura informatica" diretta a far comprendere il concetto, l'idea, la filosofia sottesa alla disciplina [...] >> beh nella segnalazione sostengono il contrario, sarebbe opportuno un >> chiarimento... del Garante :-D > > Concordo! sono curioso di vedere la prossima puntata... [...] >> https://monitora-pa.it/2022/08/02/Domande_allo_StudioLisi_sulla_risposta_pe… >> >> c'è una risposta pubblica? > > Si, la trovi qui dopo "l'autorevole risposta del Partito Pirata": > > https://studiolegalelisi.it/novita/google-analitycs-e-la-crociata-di-monito… No, in realtà la risposta alle domande la trovi qui (e non era ancora nella Wayback Machine)... in PDF :-(: https://studiolegalelisi.it/wp-content/uploads/2022/09/Risposta-a-Giacomo-T… > Io però non ho avuto modo di dedicarle il tempo che merita (può sembrare impossibile, > ma Monitora PA è un hack molto impegnativo). > > Ad una scorsa veloce ho visto che hanno indirettamente riconosciuto l'invalidità > dei consensi ottenuti con il cookie banner precedente (sostituendolo > prontamente) Andrea Lisi scrive questo, leggi bene: --8<---------------cut here---------------start------------->8--- [...] anche alla luce dei Suoi preziosi suggerimenti, l’informativa breve riportata sul cookie banner è stata integrata, in modo da rendere manifesto, anche al più “fiducioso” degli utenti, che accettando il posizionamento dei cookie di Google Analytics, i propri dati personali potrebbero essere comunicati da Google - su specifica richiesta - ad autorità di sicurezza statunitensi. Ulteriori e più specifiche informazioni sono state, inoltre, inserite nella privacy policy del sito, ponendo in evidenza che “l’utilizzo di Google Analytics potrebbe comportare il trasferimento dei dati personali dell’utente verso gli Stati Uniti, il cui regime giuridico non garantisce un livello di protezione equivalente a quello vigente all’interno dell’Unione Europea in conformità al GDPR. Accettando il posizionamento dei cookie di Google Analytics, pertanto, l’utente è consapevole dei possibili rischi di tale trasferimento, comunque non richiesto né autorizzato dal Titolare del trattamento, dovuti alla mancanza di una decisione di adeguatezza ai sensi dell’articolo 45, par. 3 del GDPR, o di garanzie adeguate ai sensi dell’articolo 46 del GDPR”. --8<---------------cut here---------------end--------------->8--- Ti confermo che ad oggi il "cookie banner" e la privacy policy dello studio dicono esattamente così (https://studiolegalelisi.it/privacy-policy/ archiviato qui: https://archive.ph/ocsjC) Direi che si dimostra, se ce ne fosse ancora bisogno, che più che con i malsopportati attivisti Andrea Lisi et al stanno conducendo una battaglia **sottotraccia** /contro/ le autorità per la privacy europee, che si permettono anche di sbeffeggiare pubblicamente con dichiarazioni come quella della loro privacy policy La posizione di aperta sfida alle authority europee vieve ribadita da questa frase: --8<---------------cut here---------------start------------->8--- ho ricevuto rassicurazioni, da parte dei consulenti tecnici di mia fiducia, sulla assenza di trattamenti di dati personali riconducibili agli stessi utenti, da me effettuati in qualità di autonomo Titolare. Tali dati, infatti, vengono acquisiti direttamente da Google, che ne determina finalità e mezzi del trattamento e non vengono condivisi con il gestore del sito. --8<---------------cut here---------------end--------------->8--- «Non sono io Titolare che mando i dati a Google, sono loro che li /sifonano/ autonomamente, lo dicono i tecnici!» :-D La lettera di risposta si chiude sostanzialmente anticipando ch Lisi assieme a un gruppo di esperti del settore stava preparando una segnalazione al garante perché vuole le le questioni emerse siano dibattute in un confronto aperto e trasparente. ...in una sorta di dibattito /sospeso/ senza soluzione di continuità, in cui le cose vanno avanti così come sono per inerzia, secondo leggi cosmologiche relative all'eternità dei dibattiti. [...] > Ma ripeto, l'ho scorsa molto velocemente e non ho verificato se abbiano risposto > a tutte le domande che avevo posto. No, mi pare proprio che non abbiano risposto a tutto, ma non ho voglia di fare questo tipo di analisi, abbi pazienza [...] Buon lavoro a tutta Monitora PA! Saluti, 380° [1] che poi è questo il nocciolo del successo di Monitora PA così come di altri hack (tipo il copyleft): usare l'informatica per sovvertire la normale (bacata) amministrazione; a questo servono gli hack :-D P.S.: ci sarebbero hack estremamente più efficaci per la privacy di quelli che sfruttano il GDPR, ma ne ho già parlato troppe volte P.P.S.: spero che almeno intuitivamente molti di voi comincino a comprendere (non condividere, dico solo comprendere) le ragioni di chi ha messo in piedi sistemi come il Great Firewall https://en.wikipedia.org/wiki/Great_Firewall -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Sept. 26, 2022

John Willinsky (Stanford University) A Workshop on Adding Copyright Reform to the Open Access Agenda | Mercoledì 5 ottobre, ore 17.00 | Evento in presenza

by Nexa Media

Gentilissimi, vi segnaliamo che *mercoledì 5 ottobre*, dalle ore 17.00 alle ore 18.00 in punto, presso il Salone d'Onore del Castello del Valentino, Viale Mattioli 39, Torino <https://www.google.com/maps/place/Viale+Mattioli,+39,+10125+Torino+TO/@45.0…>, si terrà un incontro con ospite *John Willinsky* della Stanford University: /*"A Workshop on Adding Copyright Reform to the Open Access Agenda"*/. Il Prof. Willinsky partirà dal suo nuovo libro Copyright's Broken Promise. How to Restore the Law's Ability to Promote the Progress of Science <https://mitpress.mit.edu/9780262544412/copyrights-broken-promise/>, MIT Press, 2022 (Open access) per riflettere sul diritto d'autore e sulle sue possibili riforme. Maggiori informazioni sull'evento: https://nexa.polito.it/john-willinsky L'evento si terrà nella sola forma in presenza, presso la sede sopra indicata. Grazie per l'attenzione, Cordiali saluti, -- Anita Botta Communication Manager Nexa Center for Internet & Society Politecnico di Torino – DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: https://nexa.polito.it/ mail: anita.botta(a)polito.it tel: 011 090 7219

Sept. 26, 2022

Communication in a world of pervasive surveillance

by Giacomo Tesio

This thesis is the culmination of more than a decade of research into the topic of surveil- lance and the uses of data collected through surveillance. The research that follows in- cludes discussions with insiders and analysis of both previously published and unpub- lished information. We still lack full information on many topics, notably the names of perpetrators. This has several causes: the nature of the topics covered, the legally threat- ening markings on many documents, and the political power of those who would suppress publication. There can be considerable personal consequences for following this direc- tion of research. Several colleagues face serious legal, political, social, and health issues resulting from their participation in, and contributions to, this research topic. Many aspects of this research started as investigative journalism rather than science. Documents first published by news organizations under the byline of the author of this thesis are reproduced here in full and credited appropriately. Sensitive, classified, or otherwise secret internal documents are provided to ensure that their content is witnessed firsthand, to make them freely accessible on the Internet and in libraries, and to ensure that they are not erased from history. The perspective in this thesis is necessarily dominated by the United States of America, whose activities impact nearly every person on planet Earth. The focus on America is deeply political: it is the moral duty of every citizen of the United States to address serious faults in policy and to assist in the process of accountability. Democratic discussion covering technical and non-technical topics of various government or corporate activities is important and necessary. The evidence and findings discussed in this thesis touch on myriad controversial issues ranging from political spying on world leaders to drone assassination of human beings who faced no legal charges and are afforded no day in court. The sheer number of the surveillance systems that we document in subsequent chap- ters reflects the industrial scale of data collection in the twenty-first century. We hope that future researchers will take up the challenge of addressing each covert program as a research subject to fully and completely explore, and to freely share their findings with the wider world in the spirit of open academic discussion. This kind of basic research is crucial to anti-surveillance software and hardware development. One example is the gen- eral idea of the mixnet, an anonymity mechanism designed to withstand very powerful adversaries who possess a long memory. How might the evolution of mixnets be shaped by understanding the concrete systems that attack privacy and anonymity infrastructure? Researchers may even feel inspired to build their own countermeasures, and perhaps full solutions, that encompass more than the purely technical. We offer several examples of such solutions in the chapters that follow. By applying mathematics and computer science to build countermeasures to surveillance systems, we can protect people individually and at scale, reducing these systems to historical footnotes. Mass surveillance programs present a temptation so great that even very intelligent people imagine the trade-offs to be worthwhile. Many people cannot imagine a future in which their government is blatantly corrupt, or has indeed collapsed. Yet history teaches unambiguously that such changes may come quickly, unexpectedly, and those who seek to exploit the entropic nature of the situation will use all technical, social, economic, and political levers to accomplish their goals. This knowledge should, but often does not, temper support for mass surveillance; this is a blind spot that is not to be dismissed lightly. The machinery of mass surveillance is simply too dangerous to be allowed to exist. We must work to ensure that no one will be able to say that they did not know, or that they were not warned. We must use all of the tools in our toolbox – economic, social, cultural, political, and of course, cryptographic – to blind targeted and mass surveillance adversaries. The goal is justice [Pon11, "The method is transparency, the goal is justice."] and this thesis encourages a method of designing, building, deploying, and using crypto- graphic protocols centered around human liberty to ensure it Continua su https://pure.tue.nl/ws/portalfiles/portal/197416841/20220325_Appelbaum_hf.p… Giacomo

Sept. 25, 2022

GAO Report - Nuclear Weapons Cybersecurity: NNSA Should Fully Implement Foundational Cybersecurity Risk Management Practices

by Diego.Latella

GAO Report - Nuclear Weapons Cybersecurity: NNSA Should Fully Implement Foundational Cybersecurity Risk Management Practices _"The National Nuclear Security Administration (NNSA) is increasingly relying on advanced computers and integrating digital systems into weapons and manufacturing equipment. But, these systems could be hacked._ _Federal laws and policies suggest 6 key practices to set up a cybersecurity management program, such as assigning risk management responsibilities. However, NNSA and its contractors haven't fully implemented these practices._ _Additionally, NNSA and its contractors rely on subcontractors for services and equipment, but we found that oversight of subcontractors' cybersecurity was inconsistent. Our recommendations [1] address these issues."_ https://www.gao.gov/products/gao-22-104195?utm_campaign=usgao_email&utm_con… Diego -- Dott. Diego Latella - Senior Researcher CNR/ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it [2]) FM&&T Lab. (http://fmt.isti.cnr.it) CNR/GI-STS (http://gists.pi.cnr.it) https://www.isti.cnr.it/People/D.Latella - ph: +390506212982, fax: +390506212040 =================== The quest for a war-free world has a basic purpose: survival. But if in the process we learn how to achieve it by love rather than by fear, by kindness rather than compulsion; if in the process we learn how to combine the essential with the enjoyable, the expedient with the benevolent, the practical with the beautiful, this will be an extra incentive to embark on this great task. Above all, remember your humanity. -- Sir Joseph Rotblat I don't quite know whether it is especially computer science or its subdiscipline Artificial Intelligence that has such an enormous affection for euphemism. We speak so spectacularly and so readily of computer systems that understand, that see, decide, make judgments, and so on, without ourselves recognizing our own superficiality and immeasurable naivete with respect to these concepts. And, in the process of so speaking, we anesthetise our ability to evaluate the quality of our work and, what is more important, to identify and become conscious of its end use. […] One can't escape this state without asking, again and again: "What do I actually do? What is the final application and use of the products of my work?" and ultimately, "am I content or ashamed to have contributed to this use?" -- Prof. Joseph Weizenbaum ["Not without us", ACM SIGCAS 16(2-3) 2--7 - Aug. 1986] Links: ------ [1] https://www.gao.gov/product_recommendations/GAO-22-104195 [2] http://www.isti.cnr.it

Sept. 25, 2022

Re: [nexa] segnalazione contro Monitora PA

by alessandro marzocchi

- - - Date: Sat, 24 Sep 2022 20:24:14 +0200 From: Enrico Nardelli <nardelli(a)mat.uniroma2.it> - - - Enrico Nardelli - ed altri prima di lui - hanno chiesto opinioni giuridiche in argomento, ero un giurista, ricorro a memorie datate per due riflessioni. La prima è un antico detto romano: qui suo iure utitur neminem laedit, cioè chi afferma un proprio diritto non fa danni. La secondo è una domanda: l'abuso di diritto - "lite" temeraria - potrebbe essere di chi protesta contro chi critica? A me pare che Monitora PA eserciti un dovere diffuso di sorveglianza civica, può meritare opinioni diverse ma non vedo come criticarla "aggressivamente", qui sta la domanda sulla cd lite temeraria, non risponderei processualmente in questi termini ma considererei due brevi righe da inviare agli esponenti e render pubbliche sulla piazza digitale. In lista ci sono giuristi più adeguati, meglio leggere le loro opinioni. Cordialmente, Duccio (Alessandro Marzocchi)

Sept. 25, 2022

Re: [nexa] segnalazione contro Monitora PA

by Enrico Nardelli

Grazie per la risposta Giacomo, non posso certo essere io a dire cosa intendevano Lisi e i suoi co-autori con quel passaggio. Certamente, quanto scrivi in questa mail è un'analisi precisa di un punto specifico dell'articolo in questione, ed è quanto io auspicavo andasse fatto quando ho invitato a rimanere sulla sostanza delle questioni in gioco senza autoproclamarsi partigiani in lotta contro i republichini semplicemente perché qualcuno ha idee diverse dalle nostre. Le idee si possono sconfiggere solo con la forza delle argomentazioni, mentre demonizzare gli avversari non mi sembra un approccio vincente sul lungo periodo. Sulla mia simpatia per quanto state facendo mi sono già espresso qua e in altri contesti. Se poi risulta anche immacolato sul piano giuridico e catalizzatore di effetti sistemici, come io auspico, non potrò che essere ancora più contento, perchè il tema è di fondamentale importanza per il nostro futuro digitale. Ciao, Enrico Il 24/09/2022 23:30, Giacomo Tesio ha scritto: > Buona sera Enrico, > > On Sat, 24 Sep 2022 20:24:14 +0200 Enrico Nardelli wrote: > >> ...le modalità con cui sono state formulate le richieste degli “attivisti” >> presentano i connotati tipici dell’abuso nell’esercizio di un diritto, che >> si configura quando le finalità del suo esercizio eccedono la ratio legis >> di tutela, per assumere connotati pretestuosi e nocivi... >> >> non è stata discussa né da te né da Beppe, prima che io scrivessi il mio >> commento (non so se sia stata discussa dopo). >> >> A me sembra un questione interessante, su cui mi farebbe piacere avere un >> parere da qualche esperto di diritto. > Anzitutto bisognerebbe capire di quale diritto gli autori stessero parlando. > > Il diritto di segnalare un illecito all'autorità garante? > Il diritto di scaricare il dataset AgID-IPA (CC-BY 4.0)? > Il diritto di visitare un sito web? > Il diritto di scrivere software? > > Questi sono i diritti che esercitiamo con l'osservatorio automatizzato. > > > Per i FOIA, abbiamo chiesto ad ogni scuola 6 documenti specifici. > > Sulla legittimità di tali richieste si è espresso l'Avvocato Antonio Perrini > di 42LawFirm: https://yewtu.be/watch?v=0ETCVcF-HIs > > > > D'altro canto, giusto stasera l'avvocato Andrea Lisi ha condiviso sulla nostra > chat questo intervento: > >> Il Garante chiarirà (spero) alcube questioni, ma non avrà alcun interesse a >> sanzionare un movimento di attivisti che comunque perseguono finalità >> legittinime e condivisibili. Se non ne fossi convinto non avrei mai >> inoltrato la segnalazione. >> A me interessa che il Garante chiarisca il suo punto di vista e cintribuisca >> a fare chiarezza interpretativa. > Insomma... mette già le mani avanti. :-) > > > > Giacomo -- EN ===================================================================== Prof. Enrico Nardelli Presidente di "Informatics Europe" Direttore del Laboratorio Nazionale "Informatica e Scuola" del CINI Dipartimento di Matematica - Università di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma home page: http://www.mat.uniroma2.it/~nardelli blog: http://link-and-think.blogspot.it/ tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it online meeting: https://blue.meet.garr.it/b/enr-y7f-t0q-ont ===================================================================== --

Sept. 25, 2022