May 2024 - nexa - server-nexa.polito.it

Per informazione

by Andrea Barontini

sviluppi chat-control: https://www.patrick-breyer.de/en/majority-for-chat-control-possible-users-w…

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Giacomo Tesio

Il giorno Fri, 31 May 2024 12:00:50 +0200 Antonio <antonio(a)piumarossa.it> ha scritto: > > Le comunità si caratterizzano per le regole che proteggono un bene > > in comune (che può essere materiale o immateriale): ovvero l'esatto > > contrario di assumere che tutti i membri si comportino come si > > comporterebbe il più idealista e corretto dei membri. > > Regole? Già. Che si tratti di licenze, di statuti associativi o di consuetudini trasmesse oralmente (ma non meno inviolabili e vincolanti) le comunità non si caratterizzano tanto (o non solo) per il bene che mettono in comune (talvolta persino astratto e intangibile, come può essere la fede in una religione) ma dalle regole che si danno per custodirlo, per regolare l'accesso ad esso sia all'interno che dall'esterno della comunità stessa. Ti consiglio al riguardo il lavoro di Elinor Ostrom. > Cattedrale e non bazaar? Anche il bazaar ha le sue regole. E scommetterei che le punizioni per i ladri sono... definitive. ;-) > Github, [...] Gitlab [...] Radicle [1]? [...] gitprep [2]? Già che viriamo sul tecnico, io sto lavorando molto bene con Fossil https://fossil-scm.org Si tratta di un progetto veramente interessante, che NON si basa su git ed in effetti ha molti vantaggi sia tecnici che sociologici. Tuttavia Fossil non risponde alla tua domanda: > Tu cosa proponi? Ho sono pieno di idee e proposte, sistemi operativi, linguaggi di programmazione, licenze... c'è tanto lavoro da fare. La meno eretica la conosci già: http://www.tesio.it/documents/HACK.txt Giacomo

May 31, 2024

MEMENTO | Convegno "Di dati e di despoti. Scienza aperta, ricerca, repubblica" | 3-4 giugno 2024

by Nexa - Media

Gentilissime, gentilissimi, Vi ricordiamo che lunedì 3 giugno dalle ore 14.30 e martedì 4 giugno dalle ore 9.00 si terrà il convegno organizzato dal Dipartimento di Scienze Politiche dell'Università di Pisa, dal titolo: "Di dati e di despoti. Scienza aperta, ricerca, repubblica". Parteciperanno all'incontro, tra gli altri, la Prof.ssa Maria Chiara Pievatolo (trustee del Centro Nexa) e il Prof. Maurizio Borghi (co-direttore del Centro Nexa). L'evento si terrà IN PRESENZA presso l'Aula Magna Nuova del Palazzo della Sapienza - Via Curtatone e Montanara 15, Pisa. Per maggiori dettagli è possibile consultare la pagina web dell'incontro: https://nexa.polito.it/di-dati-e-di-despoti Cordiali saluti, -- Valeria Bergantino Communication Officer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it<mailto:valeria.bergantino@polito.it> tel: 3473443585

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Antonio

> Le comunità si caratterizzano per le regole che proteggono un bene in > comune (che può essere materiale o immateriale): ovvero l'esatto > contrario di assumere che tutti i membri si comportino come si > comporterebbe il più idealista e corretto dei membri. Regole? Non ti seguo. Cattedrale e non bazaar? Github, da quest'anno, ha introdotto l'autenticazione a due fattori per una maggiore protezione contro la compromissione degli account sfruttata per distribuire codice dannoso. E' servita? No. Se non ad abbandonare definitivamente Github (nel mio caso). Passare da Github a Gitlab può servire? Ci spostiamo su Radicle [1]? O ancora, ognuno con il suo portable GitHub, magari basato su gitprep [2]?. Tu cosa proponi? A. [1] https://radicle.xyz/ [2] https://github.com/yuki-kimoto/gitprep

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Giacomo Tesio

Ciao Antonio, Il giorno Fri, 31 May 2024 09:44:16 +0200 Antonio ha scritto: > L'open source è "fiducia" Ma non era un modello di sviluppo che prescinde dalla fiducia? :-D ``` Why do people prefer using open source software? [...] Control. Many people prefer open source software because they have more control over that kind of software. They can examine the code to make sure it's not doing anything they don't want it to do, and they can change parts of it they don't like. [...] Security. Some people prefer open source software because they consider it more secure and stable than proprietary software. Because anyone can view and modify open source software, someone might spot and correct errors or omissions that a program's original authors might have missed. And because so many programmers can work on a piece of open source software without asking for permission from original authors, they can fix, update, and upgrade open source software more quickly than they can proprietary software. ``` https://opensource.com/resources/what-open-source > io mi fido degli altri sviluppatori perché do per scontato che > agiscano come me, ovvero, da volontario, per il bene degli altri In realtà, nessuna comunità funziona così. Le comunità si caratterizzano per le regole che proteggono un bene in comune (che può essere materiale o immateriale): ovvero l'esatto contrario di assumere che tutti i membri si comportino come si comporterebbe il più idealista e corretto dei membri. Se ti potessi fidare che nessuno ridurrà l'utilità del bene comune per gli altri, non avresti proprio bisogno di una comunità. Al contrario, proprio perché non puoi fidarti, hai bisogno di regole che limitino e vincolino l'accesso al bene in comune, in modo che nessuno ne possa ridurre l'utilità che questo ha per gli altri a proprio vantaggio. > Quando si rompe la fiducia, e in questo caso si è rotta, per > ripristanarla occorre qualche passetto in più. Direi questo caso evidenzia come si possa solo ripartire dal via. XZ è solo uno delle migliaia di software opensource compromessi, di cui ci siamo accorti solo per una serie incredibile di coincidenze. Che poi i software proprietari siano ancor più vulnerabili, è un'altra questione (piuttosto ovvia). Giacomo

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Antonio

> In ogni caso, una valutazione negativa di un diritto alla privacy ed al > parziale/totale anonimato > di tutti, sviluppatori non commerciali inclusi, mi pare traspaia anche dalle > tue parole. > Sbaglio ad interpretarle così? Io tengo all'anonimato quanto te. Mi riferivo solo a questo caso. Perché non si è fatta avanti la Linux Foundation per "aiutare", dato che xz è, tra l'altro, anche parte del kernel linux? Nel dubbio, io non installerò questa versione e, anzi, provvederò ad eliminare completamente xz (nei limiti del possibile). L'open source è "fiducia", io mi fido degli altri sviluppatori perché do per scontato che agiscano come me, ovvero, da volontario, per il bene degli altri (del nostro caso, della comunità open source). Quando si rompe la fiducia, e in questo caso si è rotta, per ripristanarla occorre qualche passetto in più. A.

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Marco A. Calamari

On ven, 2024-05-31 at 08:54 +0200, Antonio wrote: > ... ... > > Ok, immagino ciò che alcuni di voi stiano pensando. > Alcuni sviluppatori open source sono molto attenti alla privacy e preferiscono > l'anonimato, ma dopo un caso del genere non sarebbe stato più opportuno agire > alla luce del sole? Da membro poco attivo della comunità, a titolo personale, ti rispondo tranquillamente di no. Te lo motivo: 1) in realtà serve una cambiamento nella valutazione delle collaborazioni proprie ed altrui 2) l'approccio alla privacy e ad altre questioni di una comunità globale poco accoppiata (loosely coupled) ha un'inerzia fortissima, e comunque non è la causa del problema, che è esterna alla comunità, essendo un problema di guerra asimmetrica. 3) il problema vero credo sia l'inclusione selvaggia di qualsiasi cosa che funzioni in prodotti comnerciali chiusi e poco verificati, per massimizzare i profitti. Su questo, credo, si dovrebbe agire, se si vuole essere efficaci. In ogni caso, una valutazione negativa di un diritto alla privacy ed al parziale/totale anonimato di tutti, sviluppatori non commerciali inclusi, mi pare traspaia anche dalle tue parole. Sbaglio ad interpretarle così? JM2C. Grazie a tutti. Marco

May 31, 2024

Re: [nexa] [CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)

by Antonio

... > La backdoor Xz è stata la parte finale di una campagna durata due anni > di attività, *si tratta di operazioni di human intelligence* molto > elaborate e che richiedono tempo e persone. Due anni di /lavoro/ per > avere una backdoor aperta circa tre settimane prima che venga > rilevata. C'è stato un approccio che è durato mesi prima che il > *personaggio di Jia Tan* (JiaT75 questo lo pseudonimo di chi ha > diffuso il codice malevolo all'interno del progetto Xz originale) > fosse ben posizionato per ricevere un ruolo di fiducia nel progetto, > da parte di chi segue la manutenzione diretta ( /Lasse Collin/ è > invece il suo nome). Fermo restando che Lasse Collin non è il vero nome dello sviluppatore, ma va beh, ognuno si presenta su Internet come vuole, a che punto siamo dopo due mesi? Pochi giorni fa [1] è uscita la versione 5.6.2 di xz-utils che mette una "pezza" su tutto ciò che di "malevolo" è stato fatto da JiaT75. C'è una cosa, però, di strano ... "Sam James is now a supporting maintainer. The x...(a)tukaani.org email address forwards to me and him." Ovvero quello che mesi prima era stato fatto con Jia Tan (la condivisione della mail). Ma chi è questo Sam James, qualcuno l'ha mai visto di persona? Di lui si sa soltanto quello che afferma, ovvero che: "I'm a maths student from the UK. I enjoy learning, no matter what the topic is, and generally try to make things better, whatever they are. I've loved playing with Linux since I was 11, and haven't stopped since then. Pleased to be finally giving back to my favourite distro and the wider community. I'm passionate about security and that's why my main focus of contributions is in that area: helping the security project, some tangential topics like security-critical packages in tree, and Gentoo Hardened! And I like getting stuck in." [2] Ok, immagino ciò che alcuni di voi stiano pensando. Alcuni sviluppatori open source sono molto attenti alla privacy e preferiscono l'anonimato, ma dopo un caso del genere non sarebbe stato più opportuno agire alla luce del sole? A. [1] https://www.mail-archive.com/xz-devel@tukaani.org/msg00681.html [2] https://archives.gentoo.org/gentoo-project/message/0c047ccf685c8879c0044e9c…

May 31, 2024

Re: [nexa] Automated Fortress Europe

by Carlo Blengino

Grazie Fabio! Migrazione, asilo e gestione del controllo delle frontiere, insieme al law enforcement (ed ovviamente alla gigantesca eccezione della "sicurezza nazionale") sono i grandi buchi neri dell'AI Act (e questo al di là delle buone intenzioni del legislatore europeo che a tratti emergono nel complesso impianto normativo disegnato dall'AIAct). E la gratitudine e la riconoscenza per il lavoro che fate e che fanno molte ONG nel settore immigrazione e frontiere è ancor maggiore se si considera che quel mondo lì non ha voce, né può averla. Se infatti le attività di contrasto, il law enforcement, riguarda tutti noi cittadini "visibili" e "integrati" e capaci di reazione (almeno teoricamente), la grande "sandbox" delle frontiere, la sperimentazione in reale della sorveglianza automatizzata sulla pelle dei migranti è una zona non solo cieca e oscura, ma fisiologicamente destinata a rimaner tale. Leggerò con grande attenzione e, lo dico ancora una volta, con sincera gratitudine! CB Il giorno gio 30 mag 2024 alle ore 09:53 fabio chiusi via nexa < nexa(a)server-nexa.polito.it> ha scritto: > Cari amici della lista Nexa, > > un breve messaggio per salutarvi con affetto e per condividere il frutto > del lavoro degli ultimi mesi, che penso possa interessarvi. > > Con i colleghi di AlgorithmWatch abbiamo collaborato per lungo tempo con > una importante trasmissione di notizie e satira tedesca, ZDF Magazin > Royale, a un'inchiesta su come automazione e AI vengono usate ai confini > dell'UE per gestire e controllare i fenomeni migratori; in particolare, ci > siamo concentrati sui progetti di ricerca e innovazione a tema finanziati > dall'UE con milioni di euro negli ultimi anni, e sulla visione che emerge > per il futuro del rapporto tra automazione e "people on the move" in UE. > > Io per AlgorithmWatch ho condotto la ricerca e l'inchiesta, su cui poi si > è innestato il lavoro del team giornalistico di ZDF, che ha anche prodotto > il segmento satirico andato in onda qualche giorno fa sulla tv tedesca. > > Ve ne lascio i link: > > -- La versione di ZDF, che include il video del segmento satirico che > hanno ricavato dal nostro lavoro di ricerca: https://fuckoffai.eu/en/ (anche > il nome del sito si spiega con una risata) > > -- La base giornalistica e scientifica delle affermazioni fatte, nella > nostra inchiesta integrale: > https://algorithmwatch.org/en/automated-fortress-europe/. > > Per chi volesse saperne di più, insieme alla collega e amica Antonella > Napolitano abbiamo parlato della "Automated Fortress Europe" oggetto > dell'inchiesta anche in un talk a re:publica 2024, manifestazione appena > conclusasi: https://youtu.be/ZB41Xsu4zgE?si=bF2vTYnNL4jYaIaO > > Ogni feedback è, come sempre, il benvenuto. > > A presto, e buona giornata a tutti. > > f. > > > > -- *Avv. Carlo Blengino* *Via Duchessa Jolanda n. 19,* *10138 Torino (TO) - Italy* *tel. +39 011 4474035* Penalistiassociati.it

May 30, 2024

Automated Fortress Europe

by fabio chiusi

Cari amici della lista Nexa, un breve messaggio per salutarvi con affetto e per condividere il frutto del lavoro degli ultimi mesi, che penso possa interessarvi. Con i colleghi di AlgorithmWatch abbiamo collaborato per lungo tempo con una importante trasmissione di notizie e satira tedesca, ZDF Magazin Royale, a un'inchiesta su come automazione e AI vengono usate ai confini dell'UE per gestire e controllare i fenomeni migratori; in particolare, ci siamo concentrati sui progetti di ricerca e innovazione a tema finanziati dall'UE con milioni di euro negli ultimi anni, e sulla visione che emerge per il futuro del rapporto tra automazione e "people on the move" in UE. Io per AlgorithmWatch ho condotto la ricerca e l'inchiesta, su cui poi si è innestato il lavoro del team giornalistico di ZDF, che ha anche prodotto il segmento satirico andato in onda qualche giorno fa sulla tv tedesca. Ve ne lascio i link: -- La versione di ZDF, che include il video del segmento satirico che hanno ricavato dal nostro lavoro di ricerca: https://fuckoffai.eu/en/ (anche il nome del sito si spiega con una risata) -- La base giornalistica e scientifica delle affermazioni fatte, nella nostra inchiesta integrale: https://algorithmwatch.org/en/automated-fortress-europe/. Per chi volesse saperne di più, insieme alla collega e amica Antonella Napolitano abbiamo parlato della "Automated Fortress Europe" oggetto dell'inchiesta anche in un talk a re:publica 2024, manifestazione appena conclusasi: https://youtu.be/ZB41Xsu4zgE?si=bF2vTYnNL4jYaIaO Ogni feedback è, come sempre, il benvenuto. A presto, e buona giornata a tutti. f.

May 30, 2024