- nexa - server-nexa.polito.it

Fighting COVID-19 Disinformation Monitoring Programme
by Antonio Iacono April 20, 2021

April 20, 2021

"Platforms signatories of the Code of Practice on Disinformation take further action against COVID-19 vaccines disinformation by providing users with tools to access reliable information on their services, the March COVID-19 monitoring programme reports highlight. The reports published today highlight the actions taken by the platforms in February 2021 in in the context of the COVID-19 disinformation monitoring programme set up under the 10 June 2020 Joint Communication. Platforms have taken strong action to limit disinformation around COVID-19 vaccines, continue giving prominence to authoritative information on their services and help EU citizens coping with the COVID-19 crisis." [1] Da "studiare" i report diffusi, e scaricabili dalla stessa pagina, da Google, Microsoft, TikTok, Twitter Antonio [1] https://digital-strategy.ec.europa.eu/en/library/reports-february-actions-f…

1 0

Britain intervenes in Nvidia’s $40 billion Arm takeover on national security concerns
by Giuseppe Attardi April 19, 2021

April 19, 2021

Vi ricorderete che a inizio anno, con Stefano Quintarelli, ci eravamo fatti promotori di una lettera di segnalazione alle autorità regolatorie europee, in particolare la commissaria Vestager e la presidente Van der Leyen, riguardo ai rischi della ventilata acquisizione di ARM Holdings da parte di Nvidia. La lettera portavano tra i firmatari Herman Hauser, Federico Faggin, Pasquale Pistorio. A sua volta Hauser ha scritto una lettera aperta al primo ministro inglese (www.saveArm.co.uk <http://www.savearm.co.uk/>). Il governo britannico oggi ha deciso di intervenire: https://www.cnbc.com/2021/04/19/nvidia-takeover-of-arm-faces-uk-government-… <https://www.cnbc.com/2021/04/19/nvidia-takeover-of-arm-faces-uk-government-…> — Beppe

1 0

GAO - Information Technology and Cybersecurity: Significant Attention Is Needed to Address High-Risk Areas - GAO-21-422T
by Diego.Latella April 19, 2021

April 19, 2021

Nuovo documento del Government Accountability Office: Information Technology and Cybersecurity: Significant Attention Is Needed to Address High-Risk Areas GAO-21-422T April 16, 2021 ----- Credo possa essere di interesse, specie in relazione ai prossimi processi di digitalizzazione. Dalla relativa pagina web: Fast Facts The federal government spends more than $100 billion on IT and cyber-related investments annually--but many of them have failed or performed poorly, have been poorly managed, and have security weaknesses. Improving IT acquisitions and operations management and ensuring cybersecurity have been on our High Risk List [1] since 2015 and 1997, respectively. We testified that little progress has been made. The federal government and agencies must take action. For example, the government should develop and execute a comprehensive cybersecurity strategy. Agencies have yet to implement many of our critical recommendations in these areas. https://www.gao.gov/products/gao-21-422t?utm_campaign=usgao_email&utm_conte… Buona lettura Diego -- Dott. Diego Latella - Senior Researcher CNR-ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it [2]) FM&&T Lab. (http://fmt.isti.cnr.it) https://www.isti.cnr.it/People/D.Latella - ph: +390506212982, mob: +39 348 8283101, fax: +390506212040 Links: ------ [1] https://www.gao.gov/high-risk-list [2] http://www.isti.cnr.it

1 0

87° Nexa Lunch Seminar | 28 Aprile 2021 | Modalità Telematica
by Nexa Media April 19, 2021

April 19, 2021

Gentilissimi, vi segnaliamo che l'87° Nexa Lunch Seminar, /*"I rischi della sovranità digitale"*/, con ospiti *Simone Basso* (OONI) e *Edoardo Celeste* (Dublin City University), si svolgerà *mercoledì 28 aprile, dalle ore 13.00 alle ore 14.00*, in *modalità telematica*, utilizzando il software open source di conference call *Jitsi Meet*. Per chi vorrà partecipare live al seminario sarà possibile accedere alla conference call attraverso il seguente link: https://meet.nexacenter.org/LunchSeminar <https://meet.nexacenter.org/LunchSeminar> Nexa Center for Internet and Society Newsletter Se non visualizzi correttamente questo messaggio clicca qui <https://nexa.polito.it/lunch-87> NEXA 87° Nexa Lunch Seminar Mercoledì 28 aprile 2021, ore 13.00 - 14.00 Politecnico di Torino https://nexa.polito.it/lunch-87 <https://nexa.polito.it/lunch-87> I rischi della sovranità digitale Speaker Simone Basso (OONI) e Edoardo Celeste (Dublin City University) This event will be webcast live: https://nexa.polito.it/nexa-hangout-on-air <https://nexa.polito.it/nexa-hangout-on-air> L'INCONTRO SI SVOLGERÀ IN MODALITÀ TELEMATICA UTILIZZANDO IL SOFTWARE DI CONFERENCE CALL *JITSI MEET*. Per partecipare all'incontro: https://meet.nexacenter.org/LunchSeminar <https://meet.nexacenter.org/LunchSeminar> Si raccomanda di accedere al link sopra indicato utilizzando il browser *Google Chrome* per una migliore resa del servizio. Negli ultimi anni, l’espressione *‘sovranità digitale’* è divenuta di uso comune tra politici e media europei. Si tratta di un neologismo che a prima vista può sembrare ossimorico: da un lato, il concetto di *sovranità*, legato all’idea di stato, popolo e territorio, dall’altro, l’*universo digitale* che evoca l’immagine di un mondo virtuale e senza confini. Il presente incontro proporrà una definizione della nozione di ‘sovranità digitale’, partendo da un’analisi storica del concetto di sovranità e arrivando ad esaminare come la sovranità si articoli nell’*era digitale*. Il lunch seminar presenterà in maniera interdisciplinare una serie di esempi contemporanei di come gli *stati* esercitino la propria sovranità digitale mediante *strumenti informatici e giuridici*, talvolta di concerto con grandi multinazionali private. Si discuteranno i fini dell’esercizio della sovranità digitale, mettendo in luce come spesso in *Europa* la difesa dei diritti fondamentali mascheri il perseguimento di sovranismo digitale e politiche protezioniste. L’evento terminerà con una serie di questioni aperte in merito alla possibilità di riconciliare differenti sovranità statali in uno spazio in principio senza confini fisici nel rispetto del pluralismo e della diversità dei valori sociali fondamentali. BIOGRAFIE - e informazioni supplementari [BassoCeleste] *Simone BASSO* si occupa di misure di censura e di performance su internet. Dal 2010 al 2017 è stato ricercatore presso il Centro Nexa su Internet e Società, dove ha sviluppato un tool di misure di performance, Neubot <https://neubot.nexacenter.org/>. Nel 2018, è stato Information Controls Fellow presso Open Technology Fund <https://www.opentech.fund/>. In questo contesto ha co-sviluppato con Measurement Lab <https://www.measurementlab.net/> il sistema di misure di internet performance ndt7 <https://github.com/m-lab/ndt-server>, usato da milioni di utenti ogni giorno. Dal 2019, lavora per il progetto OONI <https://ooni.org/>, per cui si occupa di ricerca e sviluppo legati alle misure di censura su internet. *Edoardo CELESTE* è Assistant Professor in Law, Technology and Innovation alla Dublin City University. Nella sua ricerca esplora l’evoluzione del costituzionalismo contemporaneo nell’era digitale. Per Hart ha recentemente curato il libro Data Protection Beyond Borders: Transatlantic Perspectives on Extraterritoriality and Sovereignty <https://www.bloomsburyprofessional.com/uk/data-protection-beyond-borders-97…>. *Letture consigliate e link utili:* * Simone Basso, /‘Measuring DoT/DoH Blocking Using OONI Probe: a Preliminary Study’ <https://www.ndss-symposium.org/wp-content/uploads/dnspriv21-02-paper.pdf>/, DNS Privacy 2021 Workshop at NDSS Symposium. * Edoardo Celeste, /‘Digital Sovereignty in the EU: Challenges and Future Perspectives’ <http://doras.dcu.ie/25498/>/ in Federico Fabbrini, Edoardo Celeste and John Quinn (eds), Data Protection Beyond Borders: Transatlantic Perspectives on Extraterritoriality and Sovereignty (Hart 2021). * Milton Mueller, /‘Will the Internet Fragment? Sovereignty, Globalization and Cyberspace’/ (Polity 2017). * Tim Wu, /‘Cyberspace Sovereignty? – The Internet and the International System’/ (1997) 10 Harvard Journal of Law & Technology 647. * Diwen Xue, Reethika Ramesh, ValdikSS, Leonid Evdokimov, Andrey Viktorov, Arham Jain, Eric Wustrow, Simone Basso, Roya Ensafi, /‘Throttling of Twitter in Russia’ <https://throttletwitter.com/>/, 2021. Che cosa sono il Centro Nexa e i cicli di incontri “Mercoledì di Nexa” e “Nexa Lunch Seminar” <https://www.facebook.com/nexa.center/> <https://twitter.com/nexacenter> <https://www.youtube.com/user/NexaCenter> #nexalunchseminar <https://twitter.com/search?q=%23nexalunchseminar&src=typd> #SimoneBasso <https://twitter.com/bassosimone> #EdoardoCeleste <https://twitter.com/EdoCeles> Il Centro Nexa su Internet & Società del Politecnico di Torino (Dipartimento di Automatica e Informatica) dal 2006 è un centro di ricerca indipendente e interdisciplinare che, in collaborazione con l'Università di Torino, studia Internet (e più in generale le Tecnologie digitali) e i suoi rapporti con la società. Maggiori informazioni all'indirizzo: http://nexa.polito.it/about <http://nexa.polito.it/about>. Durante i “*Mercoledì di Nexa*”, che si tengono *ogni 2° mercoledì del mese* alle *ore 18 in punto*, il Centro Nexa su Internet e Società apre le sue porte non solo agli esperti e a tutti coloro i quali lavorano con Internet, ma anche a semplici appassionati e cittadini. Il ciclo di incontri intende approfondire, con un linguaggio preciso ma accessibile, i temi legati alla Rete: motori di ricerca, Creative Commons, social networks, open source/software libero, neutralità della rete, libertà di espressione, privacy, file sharing, big e open data, smart cities e molto altro. Al centro di quasi tutti gli incontri un ospite pronto a dialogare con i direttori del Centro Nexa, il Prof. Juan Carlos De Martin del Politecnico di Torino e il Prof. Marco Ricolfi dell'Università di Torino, nonché lo staff e i Fellows del Centro Nexa. Maggiori informazioni sui Mercoledì di Nexa, incluso un elenco di tutti i “Mercoledì” passati, sono disponibili all'indirizzo: http://nexa.polito.it/mercoledi <http://nexa.polito.it/mercoledi>. Si segnala inoltre che dal maggio 2012 *ogni 4° mercoledì* del mese *dalle ore 13 alle ore 14* il Centro Nexa organizza anche i "*Nexa Lunch Seminar*". Una lista di tutti i “Lunch Seminar” passati è disponibile all'indirizzo: http://nexa.polito.it/lunch-seminars <http://nexa.polito.it/lunch-seminars>. See our events calendar <http://nexa.polito.it/events> if you're curious about future luncheons, discussions, lectures, and conferences not listed in this email. Our events are free and open to the public, unless otherwise noted. Responsabile Comunicazione Centro Nexa su Internet & Società: *Anita Botta*, tel: +39 011 090 7219, Mob: +39 347 131 3903, anita.botta(a)polito.it <mailto:anita.botta@polito.it>. Maggiori informazioni sui Mercoledì di Nexa e i Nexa Lunch Seminar, sono disponibili all'indirizzo: http://nexa.polito.it/events <http://nexa.polito.it/events>. Weekly Events Newsletter. Sign up <http://nexa.polito.it/mailing-lists> to receive this newsletter if this email was forwarded to you. To manage your subscription preferences, please click here <https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa>. Connect & get involved: Jobs, internships, and more <http://nexa.polito.it/get-involved>. Cordiali saluti,   -- Anita Botta Communication Manager Nexa Center for Internet & Society Politecnico di Torino – DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino _web:_ https://nexa.polito.it/ <https://nexa.polito.it/> _mail:_anita.botta@polito.it <mailto:anita.botta@polito.it> tel: 011 090 7219

1 0

Re: [nexa] Il ritorno di RMS
by Giuseppe Attardi April 18, 2021

April 18, 2021

Sono pienamente d’accordo, e ho avuto esperienze simili quando ho lavorato con RMS e quando l’ho scorrazzato in Italia la prima volta che venne a parlare contro i brevetti software in parlamento. Soprattutto sono d’accordo che le battaglie cruciali da condurre, oltre al Free Software, sono proprio quelle citate da Stefano: cloud, piattaforme free basate su entrate pubblicitarie (surveillance capitalism), tra cui i social media. Siamo stati drogati dai servizi “free” intesi come “gratis” al punto che non ci siamo accorti da non essere più per niente “free”, ma schiavi di chi ci controlla, manipola e vende i nostri profili. Purtroppo per uscire da un’intossicazione il primo passo è riconoscere di essere intossicati: cosa molto difficile nell’attuale situazione. Del resto i responsabili della situazione ci spiegano che ci stanno pensando loro. In una recente intervista Yan LeCun ha spiegato che ormai Facebook è tutto basato su AI e che ogni testo, immagine o video passa attraverso sistemi che decidono cosa è lecito, cosa viola il copyright, cosa è fake o cosa è istigazione a reati. Quindi siamo in buone mani. — Beppe > On 26 Mar 2021, at 11:26, <nexa-request(a)server-nexa.polito.it> <nexa-request(a)server-nexa.polito.it> wrote: > > On Thu, Mar 25, 2021 at 1:41 AM Giacomo Tesio <giacomo(a)tesio.it <mailto:giacomo@tesio.it>> wrote: > >> Credo sia autoevidente che Stallman è un personaggio problematico > > > RMS è sempre stato problematico. Punto. Credo anche altri in questa lista > ricordino quando lo portavamo in giro per l'Italia a sostenere il software > libero (fine anni 90 e inizi 2000): dovevamo avere sempre un piano di > damage control. Prima o poi sapevamo che avrebbe detto o fatto qualcosa di > socialmente inaccettabile e dovevamo essere pronti a intervenire per > distogliere l'attenzione, riportarla alle sue idee sul software libero. > > Non dimentico episodi in bilico tra il disgustoso, l'inopportuno e > l'offensivo. E i commenti che ho dovuto gestire post-incontri con senatori, > dirigenti locali, professori universitari, amministratori di aziende che mi > dicevano dopo l'evento "concetti interessanti ma non me lo portare più". > > A un certo punto, la persona RMS era diventata più un problema che un > supporto alla diffusione delle idee. > > >> per i GAFAM. >> > > Mi pare che godano di ottima salute, né la FSF né RMS gli fanno un baffo. > La FSF da decenni è totalmente inefficace sui temi che contano. E RMS è > responsabile di questo: non ha gli strumenti cognitivi per capire i > problemi creati da mobile (non ha un cellulare), social media (non li > usa), cloud (pensa sia il computer di un altro). > > E i suoi pochi amici, quando hanno provato a fargli capire che stava > ignorando il futuro, sono stati cacciati e diventati ex-amici. Non sono > autorizzato a lasciare dettagli, ma già se guardi la lista di ex membri del > board vedrai nomi che sono andati a fare altre cose e chiediti perché. > > Circondato solo da yesmen, un uomo solo da sempre, fragile mentalmente, non > ha avuto amici e parenti che lo aiutassero. E ora il board l'ha di nuovo > messo in condizioni orribili per uno come lui. Sono in pena.

15 32

Salto di paradigma
by Antonio Iacono April 18, 2021

April 18, 2021

Thomas Kuhn, nel suo libro "La struttura delle rivoluzioni scientifiche" (1962) sosteneva che il progresso scientifico non è un'evoluzione continua, ma piuttosto una "serie di pacifici interludi interrotti da violente rivoluzioni intellettuali". La rivoluzione industriale prima e quella informatica dopo lo sono state. In queste rivoluzioni una visione concettuale del mondo è stata sostituita da un'altra. Fino a che un paradigma funziona, non c'è motivo di cambiarlo. Quando però cambiano cose, scenari, persone, tecnologie, conoscenze e condizioni ambientali, restare legati ai vecchi paradigmi può essere dannoso, perfino distruttivo. La pandemia è uno di quegli eventi che ha la forza scatenante di avviare il cambiamento. Tuttavia, esistono diversi livelli di sensibilità ai segnali di cambiamento: alcuni colgono subito i primi segnali deboli, tutti gli altri invece reagiscono solo quando i segnali sono diventati fortissimi, addirittura catastrofici. Le persone più sensibili non vengono capite e apprezzate, perché la loro voce è troppo debole di fronte all'ottuso brusio delle maggioranze, alla silenziosa pervicacia dei privilegi cristallizzati, al "tutto tornerà come prima". Mi appello alle persone sensibili di questa lista, che so che ci sono, pur in modalità "lurker". Fate sentire la vostra voce, anche con brevi commenti una-tantum. Antonio

7 16

Ridurre a quattro ore la giornata lavorativa
by Antonio Iacono April 18, 2021

April 18, 2021

"L'ozio è essenziale per la civiltà e nei tempi antichi l'ozio di pochi poteva essere garantito soltanto dalle fatiche di molti. Tali fatiche avevano però un valore non perché il lavoro sia un bene, ma al contrario perché l'ozio è un bene. La tecnica moderna ci consente di distribuire il tempo destinato all'ozio in modo equo, senza danno per la civiltà. La tecnica moderna infatti ha reso possibile di diminuire in misura enorme la quantità di fatica necessaria per assicurare a ciascuno i mezzi di sostentamento. Ciò fu dimostrato in modo chiarissimo durante la guerra. A quell'epoca tutti gli uomini arruolati nelle forze armate, tutti gli uomini e le donne impiegati nelle fabbriche di munizioni, tutti gli uomini e le donne impegnati nello spionaggio, negli uffici di propaganda bellica o negli uffici governativi che si occupavano della guerra, furono distolti dal loro lavoro produttivo abituale. Ciò nonostante, il livello generale del benessere materiale tra i salariati, almeno dalla parte degli alleati, fu più alto che in qualsiasi altro periodo. Il vero significato di questo fenomeno fu mascherato dalle operazioni finanziarie: si fece credere infatti che, mediante prestiti, il futuro alimentasse il presente. Il che, naturalmente, non era possibile; un uomo non può mangiare una fetta di pane che ancora non esiste. La guerra dimostrò in modo incontrovertibile che, grazie all'organizzazione scientifica della produzione, è possibile assicurare alla popolazione del mondo moderno un discreto tenore di vita sfruttando soltanto una piccola parte delle capacità di lavoro generali. Se al termine del conflitto questa organizzazione scientifica, creata per consentire agli uomini di combattere e produrre munizioni, avesse continuato a funzionare riducendo a quattro ore la giornata lavorativa, tutto sarebbe andato per il meglio. Invece fu instaurato di nuovo il vecchio caos: coloro che hanno un lavoro lavorano troppo, mentre altri muoiono di fame senza salario." "L'elogio dell'ozio" di Bertrand Russell (1935)

1 0

Portare a 4 le ore settimanali di Tecnologia nelle scuole medie
by Antonio Iacono April 17, 2021

April 17, 2021

L'Educazione Tecnica è stata introdotta nella scuola secondaria di primo grado, come materia obbligatoria, nel 1977 (prima esisteva "Applicazione Tecniche" ma solo come materia facoltativa). Le ore erano 3 su 30 settimanali. Con la riforma Moratti (L. 53/2003) le cose di complicano. A dispetto dello slogan delle tre I (inglese, impresa e informatica), le tre ore di educazione tecnica vengono soppresse, ne rimarrà solo una ma accorpata a Scienze. Nel 2005 si torna a 2 ore. E fino ad oggi è così. Io ritengo sia ora di portare le 2 ore a 4, di cui una espressamente dedicata a Robotica educativa. In questi giorni ho "perlustrato" Internet in cerca di iniziative legate alla robotica educativa (o micro-robotica). Ho notato che la stragrande maggioranza proviene dalle scuole dell'infanzia, primarie o secondarie di secondo grado. Non sono un pedagogista ma, imho, i bambini fino agli 8/9 anni sono ancora troppo piccoli per ricevere stimoli utili dall'insegnamento della robotica. La fascia d'età ideale dovrebbe essere quella tra i 10 e i 14 anni. Antonio

7 15

Dependency Hell Confusion: Supply Chain Attack
by Giovanni Biscuolo April 17, 2021

April 17, 2021

Buongiorno, la notizia è "vecchia" (9 Feb 2021) ma non mi pare passata in lista. Io sono _certo_ che il problema rigrarda tutti noi e mi piacerebbe che - almeno spiritualmente - la cosa sia sentita anche al di fuori dei "ristretti" circoli dei progrrammatori. Simili questioni riguardano _tutti_ perché coinvolgono anche "Developers Italia", anche il GARR, anche i servizi erogati dalla PA, anche le banche... e così via, perché oggi è praticamente impossibile mettere assieme una "web app" senza incappare in simili problemi. Succinta introduzione per chi non sapesse cosa sono "npm", "pip" o "rubygem": sono programmi che servono a installare altri programmi da "stores" dedicati; possono installare intere applicazioni utente oppure - come nei casi descritti nell'articolo - installare librerie utilizzate in altre applicazioni, quindi sono *ampiamente* usate come vettore per un "supply chain attack" per tentare di compromettere interi sistemi, compresi quelli di build del software distribuito attraverso altri canali, tipo quelli degli aggiornamenti ufficiali. Da qualche anno a questa parte, siccome il ciclo di distribuzione "tradizionale" [1] del software è impegnativo e molti sviluppatori non ne vogliono proprio sapere perché devono assolutamente distribuire il software... ieri, sono fioriti sistemi - uno per ciascun linguaggio di programmazione (javascript con npm in testa) - che consentono di caricare qualsiasi software semplicemente aprendo un account in uno di quegli store, dando al proprio pacchetto *qualsiasi* nome ancora disponibile (namespacing what?!?) e distribuendolo ad altri utenti e programmatori in modo da creare una catena intricatissima (dependency hell) di dipendenze tra pacchetti, ciascuno con la propria versione, spesso aggiornati "a manetta" come se non ci fosse un domani (e come se non esistesse proprio la questione del "Trusting Trust" dal 1980 circa). Io pensavo che la situazione fosse già abbastanza malmessa, però l'autore del post che vi inoltro ha illustrato che davvero non c'è limite al peggio e ora non solo esiste il "dependency hell", esiste il... "Dependency Hell Confusion" (sigla coniata da me, distribuita in Public Domain). ...sembra il titolo di un film horror :-D Ovviamente fioccheranno gli howto qui e howto la su come fare lo slalom [2] per evitare di cambiare pista (adottare un sistema decente di distribuzione del software), però questo tipo di problemi è presente *da anni* [3] nel mondo del software libero e non: poco, pochissimo viene fatto per *stroncarlo* definitivamente; cosa ci sara mai di così complesso che lo impedisce?!?! (io ho qualche sospetto e _non_ c'entra con la malizia o i servizi segreti) Se pensate che questo sia un problema solo di alcuni "smanettoni" che mettono insieme codice come hobby nel fine settimana vi sbagliate di grosso perché l'autore del pezzo parla, con discrezione, di colossi "Big Tech" come PayPal, Apple e Microsoft. La cosa divertente è che nel giro di poche ore dalla pubblicazione dell'articolo un sacco di imitatori - probabilmente a caccia di una delle innumerevoli succulente taglie sui bug - si sono precipitati a fare la stessa cosa [4] [5] con 1500 pacchetti npm e 3653 pacchetti pip [6] - subito rimossi dal repository PyPI - in un giorno. Ah, giusto per essere chiari: non è che non ci sia soluzione eh, la soluzione l'hanno "scoperta" anni fa quelli che si occupano, appunto, di distribuzioni software. ...e dopo il mio bello sproloquio, ecco l'articolo in questione: https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610 Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies The Story of a Novel Supply Chain Attack Alex Birsan, 9 Feb 2021 --8<---------------cut here---------------start------------->8--- [...] Results The success rate was simply astonishing. From one-off mistakes made by developers on their own machines, to misconfigured internal or cloud-based build servers, to systemically vulnerable development pipelines, one thing was clear: squatting valid internal package names was a nearly sure-fire method to get into the networks of some of the biggest tech companies out there, gaining remote code execution, and possibly allowing attackers to add backdoors during builds. This type of vulnerability, which I have started calling dependency confusion, was detected inside more than 35 organizations to date, across all three tested programming languages. The vast majority of the affected companies fall into the 1000+ employees category, which most likely reflects the higher prevalence of internal library usage within larger organizations. Due to javascript dependency names being easier to find, almost 75% of all the logged callbacks came from npm packages — but this does not necessarily mean that Python and Ruby are less susceptible to the attack. In fact, despite only being able to identify internal Ruby gem names belonging to eight organizations during my searches, four of these companies turned out to be vulnerable to dependency confusion through RubyGems. One such company is the Canadian e-commerce giant Shopify, whose build system automatically installed a Ruby gem named shopify-cloud only a few hours after I had uploaded it, and then tried to run the code inside it. The Shopify team had a fix ready within a day, and awarded a $30,000 bug bounty for finding the issue. Another $30,000 reward came from Apple, after the code in a Node package which I uploaded to npm in August of 2020 was executed on multiple machines inside its network. The affected projects appeared to be related to Apple’s authentication system, externally known as Apple ID. When I brought up the idea that this bug may have allowed a threat actor to inject backdoors into Apple ID, Apple did not consider that this level of impact accurately represented the issue and stated: Achieving a backdoor in an operational service requires a more complex sequence of events, and is a very specific term that carries additional connotations. However, Apple did confirm that remote code execution on Apple servers would have been achievable by using this npm package technique. [...] --8<---------------cut here---------------end--------------->8--- Saluti, Giovanni. [1] tipo tutte quelle attività noiose che svolgono i mainteiners dei pacchetti delle varie distribuzioni [2] https://github.blog/2021-02-12-avoiding-npm-substitution-attacks/ [3] https://link.springer.com/chapter/10.1007%2F978-3-030-52683-2_2 «Backstabber’s Knife Collection: A Review of Open Source Software Supply Chain Attacks» [4] https://www.bleepingcomputer.com/news/security/copycats-imitate-novel-suppl… [5] https://blog.sonatype.com/pypi-and-npm-flooded-with-over-5000-dependency-co… [6] https://www.theregister.com/2021/03/02/python_pypi_purges/ -- Giovanni Biscuolo Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché.

2 1

Reproducible Builds: Increasing the Integrity of Software Supply Chains
by Stefano Zacchiroli April 17, 2021

April 17, 2021

Visto che i build riproducibili sono spesso citati in lista, in particolare in relazione agli attacchi alla "software supply chain", mi permetto di segnalare questo articolo di prossima pubblicazione su IEEE Software di cui sono co-autore, sperando di fare cosa gradita. È un articolo sostanzialmente divulgativo sui "reproducible builds" e di come questi aiutino ad aumentare la fiducia nella software supply chain, in particolare per il software libero. Presenta inoltre l'esperienza del progetto Reproducible Builds https://reproducible-builds.org/ nel rendere riproducibile una larghissima parte della distribuzione Debian. L'articolo è destinato ai vari professionisti del software, ma accessibile a chiunque si interessi di software in senso lato. Qua i dettagli bibliografici ed un link ad un preprint open access: Chris Lamb, Stefano Zacchiroli Reproducible Builds: Increasing the Integrity of Software Supply Chains To appear in IEEE Software. IEEE, 2021 https://arxiv.org/abs/2104.06020 Abstract: Although it is possible to increase confidence in Free and Open Source Software (FOSS) by reviewing its source code, trusting code is not the same as trusting its executable counterparts. These are typically built and distributed by third-party vendors, with severe security consequences if their supply chains are compromised. In this paper, we present reproducible builds, an approach that can determine whether generated binaries correspond with their original source code. We first define the problem, and then provide insight into the challenges of making real-world software build in a "reproducible" manner --- this is, when every build generates bit-for-bit identical results. Through the experience of the Reproducible Builds project making the Debian Linux distribution reproducible, we also describe the affinity between reproducibility and quality assurance (QA). A presto -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »

1 0