- nexa - server-nexa.polito.it

MEMENTO | Incontro intorno al volume "La regolazione giuridica dell'intelligenza artificiale" | 7 giugno 2024, ore 15.00
by Nexa - Media June 5, 2024

June 5, 2024

Gentilissime, gentilissimi, Vi ricordiamo che venerdì 7 giugno alle ore 15.00 si terrà l'incontro intorno al volume "La regolazione giuridica dell'intelligenza artificiale" di Ermanno Bocchini (Giappichelli Editore). Parteciperà alla discussione, tra gli altri, il Prof. Maurizio Borghi (co-direttore del Centro Nexa). L'evento si terrà IN PRESENZA presso la Sala Agorà dell'I3P - Incubatore di Imprese Innovative del Politecnico (Corso Castelfidardo 30/a, Torino). Per maggiori dettagli è possibile consultare la pagina web dedicata: https://nexa.polito.it/la-regolazione-giuridica-dell-intelligenza-artificia… Cordiali saluti, -- Valeria Bergantino Communication Officer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it<mailto:valeria.bergantino@polito.it> tel: 3473443585

1 0

Software libero e open source tra potenzialità e criticità: tre esperienze a confronto
by Alessandra Moi June 4, 2024

June 4, 2024

Webinar del Gruppo di studio sulle tecnologie dell’informazione nelle biblioteche e biblioteche digitali (TBID) dedicato al software libero e open source. https://www.aib.it/eventi/software-libero-e-open-source/ Giuseppe Aceto, Matteo Ruffoni e Giovanni Bergamin racconteranno esperienze vive sull’applicazione e l’uso di strumenti open source declinate all’interno del mondo dell’università, della scuola e delle biblioteche. Durante il webinar i tre relatori ci parleranno dei risultati positivi ma anche degli ostacoli incontrati nelle loro esperienze, con l’obiettivo di fornire degli spunti per iniziare a fare scelte consapevoli riguardo l’uso di strumenti alternativi a quelli forniti, spesso con limitazioni tecniche e funzionalità opache, dalle grandi piattaforme commerciali proprietarie. Modera Lorenzo Gobbo (Università della Svizzera italiana) *Giovedi 13 giugno 2024, 17:00-19:00https://zoom.us/j/92903336132 <https://zoom.us/j/92903336132>* Vi aspettiamo! Alessandra Moi

1 0

"Banning smartphones from school? What a brilliant idea"
by J.C. DE MARTIN June 3, 2024

June 3, 2024

*Banning smartphones from school? What a brilliant idea * Catherine Price <https://www.theguardian.com/profile/catherine-price> /New York’s governor backs a plan to remove smartphones from the classroom. Here are some suggestions for how it might work/ Sun 2 Jun 2024 On Thursday, Kathy Hochul, the New York governor, announced plans <https://www.theguardian.com/us-news/article/2024/may/30/new-york-smartphone…> to sponsor legislation that would ban smartphones in schools as part of her broader effort to protect children from technology’s negative effects. She intends to introduce the bill later this year so that it can be considered during New York’s next legislative session, which begins in January. Hochul’s announcement should come as welcome news to anyone concerned about the effects of smartphones and social media on students’ attention spans, relationships, learning and mental health. However, given that it could be more than a year before the bill goes into effect – provided it’s passed to begin with – caregivers and school administrators may be wondering what they can do to shield their children from technology’s worst traits now. Simply put: a lot! Here are some suggestions for parents and schools, based on my professional research – and my personal experience as a parent. [...] continua qui: https://www.theguardian.com/lifeandstyle/article/2024/jun/02/banning-smartp…

2 1

173° Mercoledì di Nexa | 12 giugno 2024, ore 17.00
by Nexa - Media June 3, 2024

June 3, 2024

Gentilissime, gentilissimi, Vi invitiamo a partecipare al 173° Mercoledì di Nexa, che si terrà mercoledì 12 giugno, alle ore 17.00, con un incontro dal titolo "Metaverso come logica spaziale del digitale". Ospite dell'incontro: Simone Arcagni (Università di Palermo). L'incontro si terrà IN PRESENZA e ONLINE. SEDE FISICA dell'incontro: Centro Nexa su Internet e Società, Politecnico di Torino, Via Boggio 65/a, Torino (1° piano). Per accedere alla sala si raccomanda di suonare al citofono Portineria e di seguire le indicazioni segnalate lungo il percorso. QUI<https://nexa.polito.it/contatti> maggiori informazioni su come raggiungerci. STANZA VIRTUALE dell'incontro: https://didattica.polito.it/VClass/NexaEvent Di seguito maggiori dettagli: https://nexa.polito.it/mercoledi-173 Cordiali saluti, -- Valeria Bergantino Communication Officer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it<mailto:valeria.bergantino@polito.it> tel: 3473443585

1 0

Speech Synthesis Markup Language
by maurizio lana June 2, 2024

June 2, 2024

buonasera, per una riflessione sulla produzione di audiolibri per persone non vedenti qualcuno sa dove in Italia e fuori si lavora a livello di ricerca e/o applicativo su text-to-speech differenziato per tipologia di testo? (cioè un TTS che non dia una lettura piatta ma dia una resa espressiva appropriata al tipo di testo e ai singoli passaggi di testo). so di SSML (Speech Synthesis Markup Language) ma non ho la minima idea se esistano dei repository di testi annotati in SSML, né se sia obsoleto o avanzato, né di quali sistemi software possano ricevere in input un testo annotato in SSML. grazie dell'aiuto! Maurizio ------------------------------------------------------------------------ che faresti se vivessi così? mau mau, con chi fugge ------------------------------------------------------------------------ Maurizio Lana - 347 7370925

2 1

Stealing everything you’ve ever typed or viewed on your own Windows PC is now possible with two lines of code — inside the Copilot+ Recall disaster
by Daniela Tafani June 2, 2024

June 2, 2024

Stealing everything you’ve ever typed or viewed on your own Windows PC is now possible with two lines of code — inside the Copilot+ Recall disaster e the Copilot+ Recall disaster. Kevin Beaumont I wrote a piece recently about Copilot+ Recall, a new Microsoft Windows 11 feature which — in the words of Microsoft CEO Satya Nadella- takes “screenshots” of your PC constantly, and makes it into an instantly searchable database of everything you’ve ever seen. As he says, it is photographic memory of your PC life. I got ahold of the Copilot+ software and got it working on a system without an NPU about a week ago, and I’ve been exploring how this works in practice, so we’ll have a look into it that shortly. First, I want to look at how this feature was received as I think it is important to understand the context. The overwhelmingly negative reaction has probably taken Microsoft leadership by surprise. For almost everybody else, it won’t have. This was like watching Microsoft become an Apple Mac marketing department. At a surface level, it is great if you are a manager at a company with too much to do and too little time as you can instantly search what you were doing about a subject a month ago. In practice, that audience’s needs are a very small (tiny, in fact) portion of Windows userbase — and frankly talking about screenshotting the things people in the real world, not executive world, is basically like punching customers in the face. The echo chamber effect inside Microsoft is real here, and oh boy… just oh boy. It’s a rare misfire, I think. I think it’s an interesting entirely, really optional feature with a niche initial user base that would require incredibly careful communication, cybersecurity, engineering and implementation. Copilot+ Recall doesn’t have these. The work hasn’t been done properly to package it together, clearly. A lot of Windows users just want their PCs so they can play games, watch porn, and live their lives as human beings who make mistakes.. that they don’t always want to remember, and the idea other people with access to the device could see a photographic memory is.. very scary to a great many people on a deeply personal level. Windows is a personal experience. This shatters that belief. I think they are probably going to set fire to the entire Copilot brand due to how poorly this has been implemented and rolled out. It’s an act of self harm at Microsoft in the name of AI, and by proxy real customer harm. More importantly, at the time I pointed out this fundamentally breaks the promise of security in Windows. I’d now like to detail why. Strap in — this is crazy. I’m going to structure this as a Q&A with myself now, based on comments online, as it’s really interesting seeing how some people handwave the issues away. Q. The data is processed entirely locally on your laptop, right? A. Yes! They made some smart decisions here, there’s a whole subsystem of Azure AI etc code that process on the edge. Q. Cool, so hackers and malware can’t access it, right? A. No, they can. Q. But it’s encrypted. A. When you’re logged into a PC and run software, things are decrypted for you. Encryption at rest only helps if somebody comes to your house and physically steals your laptop — that isn’t what criminal hackers do. For example, InfoStealer trojans, which automatically steal usernames and passwords, are a major problem for well over a decade — now these can just be easily modified to support Recall. Q. But the BBC said data cannot be accessed remotely by hackers. A. They were quoting Microsoft, but this is wrong. Data can be accessed remotely. This is what the journalist was told for some reason: Q. Microsoft say only that user can access the data. A. This isn’t true, I can demonstrate another user account on the same device accessing the database. Q. So how does it work? A. Every few seconds, screenshots are taken. These are automatically OCR’d by Azure AI, running on your device, and written into an SQLite database in the user’s folder. This database file has a record of everything you’ve ever viewed on your PC in plain text. OCR is a process of looking an image, and extracting the letters. Q. What does the database look like? A: Q. How do you obtain the database files? A. They’re just files in AppData, in the new CoreAIPlatform folder. Q. But it’s highly encrypted and nobody can access them, right?! A. Here’s a few second video of two Microsoft engineers accessing the folder: Q. …But, normal users don’t run as admins! A. According to Microsoft’s own website, in their Recall rollout page, they do: In fact, you don’t even need to be an admin to read the database — more on that in a later blog. Q. But a UAC prompt appeared in that video, that’s a security boundary. A. According to Microsoft’s own website (and MSRC), UAC is not a security boundary: Q. So… where is the security here? A. They have tried to do a bunch of things but none of it actually works properly in the real world due to gaps you can drive a plane through. Q. Does it automatically not screenshot and OCR things like financial information? A. No: Q. How large is the database? A. It compresses well, several days working is around ~90kb. You can exfiltrate several months of documents and key presses in the space of a few seconds with an average broadband connection. Q. How fast is search? On device, really fast. Q. Have you exfiltrated your own Recall database? A. Yes. I have automated exfiltration, and made a website where you can upload a database and instantly search it. I am deliberately holding back technical details until Microsoft ship the feature as I want to give them time to do something. I actually have a whole bunch of things to show and think the wider cyber community will have so much fun with this when generally available.. but I also think that’s really sad, as real world harm will ensue. Q. What kind of things are in the database? A. Everything a user has ever seen, ordered by application. Every bit of text the user has seen, with some minor exceptions (e.g. Microsoft Edge InPrivate mode is excluded, but Google Chrome isn’t). Every user interaction, e.g. minimizing a window. There is an API for user activity, and third party apps can plug in to enrich data and also view store data. It also stores all websites you visit, even if third party. Q. If I delete an email/WhatsApp/Signal/Teams message, is it deleted from Recall? A. No, it stays in the database indefinitely. Q. Are auto deleting messages in messaging apps removed from Recall? A. No, they’re scraped by Recall and available. Q. But if a hacker gains access to run code on your PC, it’s already game over! A. If you run something like an info stealer, at present they will automatically scrape things like credential stores. At scale, hackers scrape rather than touch every victim (because there are so many) and resell them in online marketplaces. Recall enables threat actors to automate scraping everything you’ve ever looked at within seconds. During testing this with an off the shelf infostealer, I used Microsoft Defender for Endpoint — which detected the off the shelve infostealer — but by the time the automated remediation kicked in (which took over ten minutes) my Recall data was already long gone. Q. Does this enable mass data breaches of website? A. Yes. The next time you see a major data breach where customer data is clearly visible in the breach, you’re going to presume company who processes the data are at fault, right? But if people have used a Windows device with Recall to access the service/app/whatever, hackers can see everything and assemble data dumps without the company who runs the service even being aware. The data is already consistently structured in the Recall database for attackers. So prepare for AI powered super breaches. Currently credential marketplaces exist where you can buy stolen passwords — soon, you will be able to buy stolen customer data from insurance companies etc as the entire code to do this has been preinstalled and enabled on Windows by Microsoft. Q. Did Microsoft mislead the BBC about the security of Copilot? A. Yes. Q. Have Microsoft mislead customers about the security of Copilot? A. Yes. For example, they describe it as an optional experience — but it is enabled by default and people can optionally disable it. That’s wordsmithing. Microsoft’s CEO referred to “screenshots” in an interview about the product, but the product itself only refers to “snapshots” — a snapshot is actually a screenshot. It’s again wordsmithing for whatever reason. Microsoft just need to be super clear about what this is, so customers can make an informed choice. Q. Recall only applies to 1 hardware device! A. That isn’t true. There are currently 10 Copilot+ devices available to order right now from every major manufacturer: https://www.microsoft.com/en-gb/windows/copilot-plus-pcs#shop Additionally, Microsoft’s website say they are working on support for AMD and Intel chipsets. Recall is coming to Windows 11. Q. How do I disable Recall? A. In initial device setup for compatible Copilot+ devices out of the box, you have to click through options to disable Recall. In enterprise, you have to turn off Recall as it is enabled by default: WindowsAI Policy CSP - Windows Client Management Learn more about the WindowsAI Area in Policy CSP. learn.microsoft.com The Group Policy object for this has apparently been renamed (the MS documentation is incorrect): Q. What are the privacy implications? Isn’t this against GDPR? A. I am not a privacy person or a legal person. I will say that privacy people I’ve talked to are extremely worried about the impacts on households in domestic abuse situations and such. Obviously, from a corporate point of view organisations should absolutely consider the risk of processing customer data like this — Microsoft won’t be held responsible as the data processor, as it is done at the edge on your devices — you are responsible here. Q. Are Microsoft a big, evil company? A. No, that’s insanely reductive. They’re super smart people, and sometimes super smart people make mistakes. What matters is what they do with knowledge of mistakes. Q. Aren’t you the former employee who hates Microsoft? A. No. I just wrote a blog this month praising them: Breaking down Microsoft’s pivot to placing cybersecurity as a top priority My thoughts on Microsoft’s last chance saloon moment on security. doublepulsar.com Q. Is this really as harmful as you think? A. Go to your parents house, your grandparents house etc and look at their Windows PC, look at the installed software in the past year, and try to use the device. Run some antivirus scans. There’s no way this implementation doesn’t end in tears — there’s a reason there’s a trillion dollar security industry, and that most problems revolve around malware and endpoints. Q. What should Microsoft do? A. In my opinion — they should recall Recall and rework it to be the feature it deserves to be, delivered at a later date. They also need to review the internal decision making that led to this situation, as this kind of thing should not happen. Earlier this month, Microsoft’s CEO emailed all their staff saying “If you’re faced with the tradeoff between security and another priority, your answer is clear: Do security.” We will find out if he was serious about that email. They need to eat some humble pie and just take the hit now, or risk customer trust in their Copilot and security brands. Frankly, few if any customers are going to cry about Recall not being immediate available — but they are absolutely going to be seriously concerned if Microsoft’s reaction is to do nothing, ship the product, slightly tinker or try to wordsmith around the problem in the media. https://doublepulsar.com/recall-stealing-everything-youve-ever-typed-or-vie…

2 1

Ten big questions on AI and the news - Columbia Journalism Review
by Anna Masera June 2, 2024

June 2, 2024

10 domande su Ai e giornalismo (via Mathew Ingram, Columbia Journalism Review): https://www.cjr.org/the_media_today/big_questions_ai_journalism_aspen.php Inviato da iPhone

1 0

Per informazione
by Andrea Barontini May 31, 2024

May 31, 2024

sviluppi chat-control: https://www.patrick-breyer.de/en/majority-for-chat-control-possible-users-w…

1 0

[CDT:L-1] (supply chain attack) Backdoor su Xz: il problema è molto più grande... (parte 1)
by 380° May 31, 2024

May 31, 2024

Attenzione: NO PANIC, è molto probabile che i vostri sistemi "GNU/Linux" non siano affetti da questa backdoor in XZ (ora risolta): per saperlo, iscrivetevi, se non lo siete già, alla newsletter di sicurezza della distribuzione che state utilizzando (o rivolgetevi a un professionista). Buongiorno, per diversi giorni il mio alter ego si è occupato con una certa _apprensione_ di questa vicenda, ora per fortuna l'apprensione sta scemando e può lavorare con più calma alle misure per mitigare questi rischi... e lasciarmi scrivere qui in merito. Qualcuno in lista almeno ne avrà sentito palare ma forse la maggior parte ancora non sa che il 29 Marzo 2024 è stato scoperto il peggior supply chain attack ad oggi conosciuto. La vulnerabilità è tecnicamente conosciuta come CVE-2024-3094 e il NIST gli assegna un punteggio di 10 (su 10), ma potrebbe benissimo essere 10 cum laude: https://nvd.nist.gov/vuln/detail/CVE-2024-3094 I dettagli tecnici e _sistemistici_ sono relativamente (poco) complessi e NON trascurabili per poter avere una chiara e precisa comprensione del /modus vivendi/ ma soprattutto del /modus operandi/ che ha reso possibile questo attacco... "nucleare". In merito si stanno scrivendo fiumi di parole, molte delle quali a sproposito, anche da parte di "esperti del settore", come purtroppo accade quando si tratta di "cose complesse" (non complicate!) di informatica ;-(. In questa prima parte, come /introduzione/ alla questione vi consiglio un articolo che ritengo meritevole. Prima però voglio sottolineare una opportuna quanto agghiacciante considerazione di Bruce Schneier: https://www.schneier.com/blog/archives/2024/04/xz-utils-backdoor.html --8<---------------cut here---------------start------------->8--- Given how lucky we were to detect this one, I believe this kind of operation has been successful in the past. --8<---------------cut here---------------end--------------->8--- e una totalmente inopportuna e altrettanto superficiale: --8<---------------cut here---------------start------------->8--- We simply have to stop building our critical national infrastructure on top of random software libraries managed by lone unpaid distracted—or worse—individuals. --8<---------------cut here---------------end--------------->8--- Ecco finalmente l'articolo introduttivo: https://www.insicurezzadigitale.com/backdoor-su-xz-il-problema-e-molto-piu-… «Backdoor su Xz: il problema è molto più grande, non è l'open source e non si risolve con un aggiornamento. Una storia incredibile» Dario Fadda, 2024-04-11 --8<---------------cut here---------------start------------->8--- Mondo Linux in allarme da alcuni giorni, grande eco per la vulnerabilità rilevata su Xz il 29 marzo appena passato. Una backdoor installata sul codice open source della libreria largamente utilizzata per la compressione di dati che utilizza l'algoritmo [lzma], che *permette di eseguire codice da remoto su un server SSH* senza averne l'autenticazione. Questi sono i fatti, ma il contenuto di questo articolo vuole rispondere ad altre domande che sorgono naturalmente: come fa una utility di compressione ad agire su SSH? Chi ha installato questa backdoor e come ci è riuscito? Proviamo a vederci chiaro, ma di sicuro premetto che le favolette dell'instabilità di un progetto open source e dell'hacker annoiato nella propria stanza, non reggono. [lzma] <https://it.wikipedia.org/wiki/Algoritmo_Lempel-Ziv-Markov> Come funziona la backdoor su Xz? ╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌ Non mi dilungherò in analisi dettagliate e tecniche sul funzionamento di questa backdoor, già ampiamente dibattute ([qui] e [qui]), ma giusto due righe per chiarirne il concetto base. Vista l'efficienza della libreria Xz, è da sempre utilizzata da molti altri software che necessitano di effettuare compressione dati (soprattutto nella gestione dei loro pacchetti). Tra gli utilizzatori c'è pure OpenSSH, il software più utilizzato per effettuare connessioni sicure tra client e server (gestire da remoto la shell, quindi la completa amministrazione, di un computer disposto altrove) via SSH. Il pacchetto OpenSSH non ha però la diretta dipendenza della libreria Xz. Qui dobbiamo prestare attenzione a questo passaggio, perché è il primo punto di complicazione di *come è stato congegnato l'atterraggio verso SSH* /senza farsi beccare/: OpenSSH ha una funzionalità di notifica sui sistemi operativi che utilizzano *SystemD* che è governata da una libreria “libsystemd” che a sua volta utilizza una seconda libreria che si chiama “liblzma” che è parte del progetto Xz! Un bel giro, per iniettare del codice malevolo ed arrivare a destinazione, sicuramente niente di /fatto in casa/. [qui] <https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27> [qui] <https://gynvael.coldwind.pl/?lang=en&id=782> Come è stato possibile? ╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌ La backdoor Xz è stata la parte finale di una campagna durata due anni di attività, *si tratta di operazioni di human intelligence* molto elaborate e che richiedono tempo e persone. Due anni di /lavoro/ per avere una backdoor aperta circa tre settimane prima che venga rilevata. C'è stato un approccio che è durato mesi prima che il *personaggio di Jia Tan* (JiaT75 questo lo pseudonimo di chi ha diffuso il codice malevolo all'interno del progetto Xz originale) fosse ben posizionato per ricevere un ruolo di fiducia nel progetto, da parte di chi segue la manutenzione diretta ( /Lasse Collin/ è invece il suo nome). L'account su GitHub di *Jia Tan viene registrato nel 2021*. Non opererà però subito su Xz, ma inizia scrivendo un commit per un altro pacchetto open source “libarchive”. Con questo commit aggiunge una vulnerabilità pure li che nessuno discute mai e che quindi, ad oggi potrebbe far considerare *non sicuro pure libarchive*. In sintesi, Jia Tan e altri attori hanno lavorato per introdurre una backdoor nel progetto XZ, utilizzando varie tattiche per aumentare il controllo sul progetto e cercando di far includere la versione compromessa in diverse distribuzioni di Linux. La storia ╌╌╌╌╌╌╌╌╌ Subito dopo i fatti del 2021 appena descritti è un susseguirsi di attività che portano fino ai giorni attuali. [...] La gravità ╌╌╌╌╌╌╌╌╌╌╌ Da come si sono articolati gli eventi, possiamo comprendere bene la gravità della situazione e di come l'organizzazione dietro questo attacco, sia enormemente organizzata. Va ricordato che la versione vulnerabile di Xz è rimasta operativa per [tre settimane] circa (dal 9 marzo 2024), in ogni caso è plausibile che gli sforzi di questi due anni per condurre l'operazione, mirino ai ritardi negli aggiornamenti, prima che tutti i sistemi coinvolti (vista la diffusione dello strumento Xz), vengano raggiunti dagli aggiornamenti necessari per sanare il problema. Il modus operandi di questa cronologia di eventi, è il tipico stile di operazione di human intelligence che punta a *sconvolgere il bersaglio* (Lasse Collin, mantenitore del progetto), dal punto di vista psicologico (capendo su che leve operare): ecco cosa scrive Lasse in una mailing-list nel 2022 quando aumentavano le pressioni per far aggiungere un altro contributore al progetto Xz. [immagine del messaggio: https://www.mail-archive.com/xz-devel@tukaani.org/msg00567.html] Sottolinei un problema che qualcuno non è in grado di risolvere, ti fai spalleggiare da altri utenti (finti, della tua organizzazione malevola), e ti rendi disponibile a risolverlo. È il modo migliore per entrare nella cerchia della fiducia, di un debole preso dallo sconforto per mille altre ragioni. Ci sono voluti 12 mesi di lavoro per passare da essere nessuno, a essere un contributore del progetto Xz. Per un progetto così ampio è poco, non è tanto tempo. Il lavoro psicologico di questa organizzazione in questo caso è stato preponderante nella testa di Lasse Collin. [tre settimane] <https://git.tukaani.org/?p=xz.git;a=summary> Chi sono i responsabili? ╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌╌ Difficile dirlo. GitHub ha sospeso il progetto Xz bloccandone la pagina di riferimento, ha anche bannato Lasse Collin come responsabile del disastro, e questo è ancora più inaccettabile anche visto gli sforzi (stipendiati zero Euro) da quando esiste Xz ad oggi, e dal 29 marzo ad ora per offrire supporto nel mitigare i danni [documentando tutto]. GitHub ha anche ovviamente bannato l'account di JiaT75 che ha fisicamente firmato gli aggiornamenti malevoli del programma, certo. Ma questo account non esiste, è stato creato ad hoc solo per questa lunghissima operazione, come lui ne possono esistere mille in giro. Sottolineo l'aggressività della campagna: Jia Tan ha cercato di far integrare la sua modifica vulnerabile anche su progetti terzi come 1Password (gestore di password largamente utilizzato), su Ubuntu e su Fedora. Progetti enormi che coinvolgerebbero una marea di utenti in tutto il mondo. Fortunatamente l'operazione è stata interrotta, ma la responsabilità in cose così grandi e impattanti (per me) è una sola: un gruppo sponsorizzato (anche finanziariamente) da uno Stato. Alcuni indizi portano alla Cina (o comunque all'oriente) per eventuali dettagli di orari di operatività e lingua parlata dagli utenti coinvolti, ma è difficile dirlo con certezza. Sicuramente si può dire che dietro ci sia una *organizzazione criminale dalle grosse capacità economiche*: ne sono state spese più dal 2021 ad oggi nella conduzione di questa campagna mirata all'installazione della backdoor, che in tutta la vita del progetto Xz per la sua realizzazione. *Il software open source è sicuro?* Sì, lo è eccome. La comunità è il cuore pulsante di ogni progetto e nel mondo è pieno di persone che vogliono offrire supporto reale per migliorare un progetto, a volte nato per hobby. È quando il progetto matura e diventa di proporzioni ciclopiche che deve arrivare il vero supporto da parte della comunità. Non si lascia uno sviluppatore da solo in balia del mondo, mentre tutti /fanno i soldi/ con la sua libreria. Non si lascia mai che un progetto abbia una persona da sola che pubblichi delle modifiche al codice, senza che altri occhi le abbiano viste e riviste. [documentando tutto] <https://tukaani.org/xz-backdoor/> --8<---------------cut here---------------end--------------->8--- Se avete compreso la pericolosità di questa _classe_ di backdoors (spiegherò nella prossima parte /quale/ classe), vi lascio immaginare cosa potrebbe succedere se con un sistema _analogo_ qualcuno riuscisse a impiantare una backdoor del genere in una libreria usata dal sistema operativo _proprietario_ della Intel Management Engine... o /qualsiasi/ sistema di out-of-band management (che è sostanzialmente un sistema operativo "embedded") con accesso via LAN: https://en.wikipedia.org/wiki/Out-of-band_management Intuite la portata della falla /sistemistica/ di sicurezza? :-O Fine della prima parte. Saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

8 19

MEMENTO | Convegno "Di dati e di despoti. Scienza aperta, ricerca, repubblica" | 3-4 giugno 2024
by Nexa - Media May 31, 2024

May 31, 2024

Gentilissime, gentilissimi, Vi ricordiamo che lunedì 3 giugno dalle ore 14.30 e martedì 4 giugno dalle ore 9.00 si terrà il convegno organizzato dal Dipartimento di Scienze Politiche dell'Università di Pisa, dal titolo: "Di dati e di despoti. Scienza aperta, ricerca, repubblica". Parteciperanno all'incontro, tra gli altri, la Prof.ssa Maria Chiara Pievatolo (trustee del Centro Nexa) e il Prof. Maurizio Borghi (co-direttore del Centro Nexa). L'evento si terrà IN PRESENZA presso l'Aula Magna Nuova del Palazzo della Sapienza - Via Curtatone e Montanara 15, Pisa. Per maggiori dettagli è possibile consultare la pagina web dell'incontro: https://nexa.polito.it/di-dati-e-di-despoti Cordiali saluti, -- Valeria Bergantino Communication Officer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it<mailto:valeria.bergantino@polito.it> tel: 3473443585

1 0