- nexa - server-nexa.polito.it

Re: [nexa] Un caso di "intercettazione telematica", in Europa (Hetzner, Germania) [CDT:L0]

by Stefano Quintarelli

On 24/10/23 18:12, 380° wrote: > We tend to assume this is lawful interception Hetzner and Linode were > forced to setup based on German police request. Another possible, > although much more unlikely scenario is an intrusion on the internal > networks of both Hetzner and Linode targeting specifically jabber.ru — > much harder to believe but not entirely impossible. > > As of 20 Oct 2023, we’re still waiting for the adequate reply from > Hetzner and Linode to our inquiries. questo e' un punto importante. devono dare risposte ASAP rischiano l'abbandono di clienti. (io per primo) ciao, s.

Oct. 24, 2023

Re: [nexa] Un caso di "intercettazione telematica", in Europa (Hetzner, Germania) [CDT:L0]

by 380°

Buongiorno Damiano, grazie mille per la segnalazione! Giusto per ribadire per l'ennesima volta il concetto: tutto questo non è affatto nuovo e tantomeno "strano"; Internet è così: fa schifo, compreso TLS. Giusto per ribadire che avere un server in hosting in un datacentre è sicuro *al massimo* così, come descritto nell'articolo... e non comincio neanche di striscio a raccontare cosa è possibile fare avendo accesso _fisico_ a una macchina. Se pensate che io esageri, è solo perché non avete analizzato abbastanza lo stato delle cose :-(. Trattandosi questa di una mailing list di studio di Internet, *nulla* di quello che è accaduto nell'attacco MiTM in oggetto può essere _percepito_ come troppo tecnico :-) Un attacco MiTM è descritto qui https://it.wikipedia.org/wiki/Attacco_man_in_the_middle --8<---------------cut here---------------start------------->8--- un attacco informatico in cui qualcuno segretamente ritrasmette o altera la comunicazione tra due parti che credono di comunicare direttamente tra di loro --8<---------------cut here---------------end--------------->8--- e deve essere chiaro che viene usato molto, ma molto più spesso di quanto gli stessi "addetti ai lavori" riescano a immaginare nei loro peggiori incubi, su *tutto* lo spettro del layer di rete ISO/OSI. Leggenda vuole che la Germania, nella desolazione europea, fosse tra le nazioni più "garantiste" da questo punto di vista... ma viviamo in tempi... Forse si salverà solo la neutrale Svizzera?!? Damiano Verzulli <damiano(a)verzulli.it> writes: [...] Per la cronaca, l'articolo dice che i provider sono Hetzner e Linode e che l'attacco è stato eseguito in datacentre tedeschi. Precisamente, le macchine sotto attacco sono state: 1 server dedicato Hetzner, 2 VPS Linode. > e poi "aggiungere" un livello di gestione lato TLS (ossia, mettendosi > in mezzo fra i client sparsi su Internet, ed il server che era li in > casa) facendo in modo che entrambi (client e server) parlassero TLS, > senza rendersi conto che lui, pero', era nel mezzo (a guardare e > potenzialmente alterare il relativo traffico). Per espandere un pochino: da quello che emerge NON si è trattato di una intrusione nelle 3 macchine in oggetto ma "solo" di un attacco MiTM che, grazie al "magheggiamento" con le connessioni di rete e coi certificati X.505, ha consentito di intercettare **in chiaro** connessioni crittografate via TLS tra i client (il software usato dagli utenti per comunicare) e il server di chat XMPP (aka Jabber) [...] > Che io sappia, è la prima volta che vedo "documentato" uno schema del > genere. Forse non un caso così specifico (attacco MiTM a un server XMPP), ma ormai ci sono innumerevoli casi documentati (mi si perdoni l'approssimazione, non ho dati sotto mano). Possiamo soprassedere sui "magheggiamenti" lato rete (cioè "rubare" la connessione internet ad un'altra macchina) perché sono sì molto tecnici ma davvero molto, ma molto banali: progettarli e metetrli in pratica per un tecnico di rete è davvero di una banalità disarmante. Ciò su cui non *dobbiamo* soprassedere è l'insicurezza dell'infrastruttura dei "certificati TLS/SSL", detta PKI (Public Key Infrastructure), documentata ormai da almeno 23 anni: https://en.wikipedia.org/wiki/X.509#Security Tipo l'affare DigiNotar del 2011 (https://en.wikipedia.org/wiki/DigiNotar) ...e anche questo dipende sostanzialmente dal fatto che la X.509 PKI è stata progettata coi piedi, come spiega brillantemente Peter Gutmann (University of Auckland) https://www.cs.auckland.ac.nz/~pgut001/pubs/pkitutorial.pdf «Everything you Never Wanted to Know about PKI but were Forced to Find Out» --8<---------------cut here---------------start------------->8--- To understand the X.509 PKI, it’s necessary to understand the history behind it Why does X.509 do otherwise straightforward things in such a weird way? [The] standards have been written by little green monsters from outer space in order to confuse normal human beings and prepare them for the big invasion — comp.std.internat • Someone tried to explain public-key-based authentication to aliens. Their universal translators were broken and they had to gesture a lot • They were created by the e-commerce division of the Ministry of Silly Walks --8<---------------cut here---------------end--------------->8--- > I dettagli, sono qui: > > https://notes.valdikss.org.ru/jabber.ru-mitm/ --8<---------------cut here---------------start------------->8--- The attacker has issued several new TLS certificates using Let’s Encrypt service which were used to hijack encrypted STARTTLS connections on port 5222 using transparent MiTM proxy. The attack was discovered due to expiration of one of the MiTM certificates, which haven’t been reissued. There are no indications of the server breach or spoofing attacks on the network segment, quite the contrary: the traffic redirection has been configured on the hosting provider network. The wiretapping may have lasted for up to 6 months overall (90 days confirmed). We believe this is lawful interception Hetzner and Linode were forced to setup. [...] But nothing stood out. We noticed the only uncommon record in the kernel log on Hetzner dedicated machine, it lost the physical network link for 19 seconds on 18 July 2023: [Tue Jul 18 12:58:29 2023] igb 0000:04:00.0 enp4s0: igb: enp4s0 NIC Link is Down [Tue Jul 18 12:58:48 2023] igb 0000:04:00.0 enp4s0: igb: enp4s0 NIC Link is Up 1000 Mbps Full Duplex, Flow Control: RX/TX [...] In other words, the encrypted connection interception of the same kind happens both on Hetzner dedicated and Linode VPS machines. [...] It became clear that the affected Linode VM have uncommon network setup compared to regular Linode instances, possibly have been isolated into separate VLAN. [...] After checking crt.sh certificate transparency database, rogue certificates have been discovered which were not issued by any of jabber.ru servers. There are two genuine certificates used in XMPP service: the one issued for xmpp.ru, *.xmpp.ru and the other one is for jabber.ru, *.jabber.ru. [...] 18 July 2023 issuing time is about the same when Hetzner server has lost network link for several seconds. [...] Summary and finale * The attacker managed to issue multiple SSL/TLS certificates via Let’s Encrypt for jabber.ru and xmpp.ru domains since 18 Apr 2023 * The Man-in-the-Middle attack for jabber.ru/xmpp.ru client XMPP traffic decryption confirmed to be in place since at least 21 July 2023 for up to 19 Oct 2023, possibly (not confirmed) since 18 Apr 2023, affected 100% of the connections to XMPP STARTTLS port 5222 (not 5223) * The attacker failed to reissue TLS certificate and MiTM proxy started to serve expired certificate on port 5222 for jabber.ru domain (Hetzner) * The MiTM attack stopped shortly after we begun our investigation and network tests on 18 Oct 2023, along with tickets to Hetzner and Linode support team, however passive wiretapping (additional routing hop) is still in place at least on a single Linode server * Neither servers appear to be hacked * Both Hetzner and Linode network appear to be reconfigured specifically for this kind of attack for the XMPP service IP addresses [...] the attacker have been able to execute any action as if it is executed from the authorized account, without knowing the account password. This means that the attacker could download account's roster, lifetime unencrypted server-side message history, send new messages or alter them in real time. End-to-end encrypted communications, such as OMEMO, OTR or PGP, are protected from the interception only if both parties have validated the encryption keys. The users are asked to check their accounts for new unauthorized OMEMO and PGP keys in their PEP storage, and change passwords. We tend to assume this is lawful interception Hetzner and Linode were forced to setup based on German police request. Another possible, although much more unlikely scenario is an intrusion on the internal networks of both Hetzner and Linode targeting specifically jabber.ru — much harder to believe but not entirely impossible. As of 20 Oct 2023, we’re still waiting for the adequate reply from Hetzner and Linode to our inquiries. --8<---------------cut here---------------end--------------->8--- > Ne è nato un piccolo thread (ancora piu' tecnico) sulla community ITNOG > [1] dove provavo a riflettere su come "detectare" tali situazioni e, ove > necessario, "impedirle". Ogni attacco MiTM ha le sue tecniche di individuazione e mitigazione, l'articolo ne elenca alcuni speficifi per i certificati, altri per XMPP (paragrafo «Could you prevent or monitor this kind of attack?») Ovviamente c'è anche un thread su Hacker News: https://news.ycombinator.com/item?id=37961166 [...] > [1] https://t.me/IT_NOG/99331/115800 [...] Saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Oct. 24, 2023

Un caso di "intercettazione telematica", in Europa (Hetzner, Germania)

by Damiano Verzulli

Segnalo un articolo un po' tecnico che descrive uno scenario nel quale il traffico XMPP (un protocollo utilizzato per servizi a-la "chat" sincrona), seppur protetto da crittografia (TLS), è stato oggetto di intercettazione, verosimilmente da parte delle autorita' tedesche. In particolare, il provider tedesco che offriva l'infrastruttura "cloud" con la quale veniva gestito il relativo "server" (parliamo di "jabber.ru" e di "xmpp.ru"), si è adoperato per "riorganizzare" il collegamento Internet del server in esame (isolandolo dal resto dell'infrastruttura e lasciandolo connesso, in disparte dal resto) e poi "aggiungere" un livello di gestione lato TLS (ossia, mettendosi in mezzo fra i client sparsi su Internet, ed il server che era li in casa) facendo in modo che entrambi (client e server) parlassero TLS, senza rendersi conto che lui, pero', era nel mezzo (a guardare e potenzialmente alterare il relativo traffico). E' interessante osservare che il tutto è emerso alla luce del sole, solo a causa di una "distrazione" di un qualche tecnico... che si è "dimenticato" di rinnovare un certificato TLS ( che quindi è scaduto, portanto i client a.. innervosirsi... e cosi' innescando l'analisi tecnica degli admin). Che io sappia, è la prima volta che vedo "documentato" uno schema del genere. I dettagli, sono qui: https://notes.valdikss.org.ru/jabber.ru-mitm/ Ne è nato un piccolo thread (ancora piu' tecnico) sulla community ITNOG [1] dove provavo a riflettere su come "detectare" tali situazioni e, ove necessario, "impedirle". Saluti, DV [1] https://t.me/IT_NOG/99331/115800 -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Oct. 24, 2023

Trasparenza dell’algoritmo, la Cassazione: sì al rating reputazionale, se in linea con la privacy

by don Luca Peyron

Buona lettura dl https://www.cybersecurity360.it/legal/privacy-dati-personali/trasparenza-de… _________________________ don Luca Peyron Pastorale Universitaria - Apostolato Digitale Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Oct. 24, 2023

MEMENTO | 108° Nexa Lunch Seminar | 25 ottobre 2023, ore 13.00

by Valeria Bergantino

Gentilissime, gentilissimi, Vi ricordiamo che *mercoledì 25 ottobre*, dalle ore 13.00 alle ore 14.00, si terrà il *108° Nexa Lunch Seminar* con un incontro dal titolo: /*"Analisi e report di trasferimenti di dati personali verso domini extra-EEA"*/. Ospite dell'incontro: *Lorenzo Laudadio* (Politecnico di Torino). _L'incontro si terrà IN PRESENZA e ONLINE._ _SEDE FISICA_ dell'incontro: Centro Nexa su Internet e Società, Politecnico di Torino, Via Boggio 65/a, Torino (1° piano). Per accedere alla sala si raccomanda di suonare al citofono *Portineria* e di seguire le indicazioni lungo il percorso. QUI <https://nexa.polito.it/contatti> maggiori informazioni su come raggiungerci. _STANZA VIRTUALE _dell'incontro: https://didattica.polito.it/VClass/NexaEvent Per maggiori dettagli è possibile consultare la pagina web dell'evento: https://nexa.polito.it/lunch-108 Cordiali saluti, -- Valeria Bergantino Communication Officer Nexa Center for Internet & Society Politecnico di Torino - DAUIN Via Pier Carlo Boggio, 65/A - 10138 Torino web: https://nexa.polito.it/ mail: valeria.bergantino(a)polito.it <mailto:valeria.bergantino@polito.it> tel: 3473443585

Oct. 23, 2023

Open letter: European Parliament must stand strong on AI Act fundamental rights protections - Access Now

by Daniela Tafani

Open letter: European Parliament must stand strong on AI Act fundamental rights protections - Access Now For the attention of Brando Benifei MEP and Dragoş Tudorache MEP, We, the undersigned organisations, are writing to you in advance of the trilogue negotiation on the Artificial Intelligence Act on October 24 to encourage you to uphold the vital fundamental rights protections included in the Parliament’s position. It is absolutely essential that the AI Act puts people first, and regulates the use of AI in law enforcement, migration, and national security. As the true democratic representatives of the people of the European Union in these negotiations, the responsibility lies with you to resist pressure to reduce essential fundamental rights protections, and to overcome the intransigence of the co-legislators on key issues related to law enforcement, migration, transparency, and accountability. The Parliament’s position added essential protections for fundamental rights, such as bans on biometric mass surveillance in public spaces, emotion recognition, predictive policing, and biometric categorisation, as well as prohibiting the export of such systems. These are truly dystopian uses of AI that undermine the core of our rights, our freedoms, and our democracy. These uses of AI are objectively incompatible with our fundamental rights, and this has been confirmed by the European Data Protection Board and European Data Protection Supervisor in their joint opinion on the AI Act, where they called for precisely these prohibitions. In the Council’s general approach, as well as in recent compromise texts, dangerous loopholes have been presented to allow law enforcement and migration authorities to escape essential public transparency obligations. This would deprive affected people of essential, basic information about the most harmful AI systems that can be used and misused against them. A blanket exemption has also been added for systems developed or used for national security purposes, which contradicts both the treaties and the jurisprudence of the courts. The fundamental rights of people affected by AI cannot be compromised. Sacrificing essential protections for fundamental rights would render the AI Act unacceptable and unfit for purpose. We call on you to resist attempts to dilute these essential protections, as well as other key achievements of the Parliament position, such as fundamental rights impact assessments (FRIAs). If a political deal is reached at the expense of these vital issues, then two and a half years of work on this file will have been for nothing. Please stand up for the rights of the people of the European Union, defend the Parliament mandate, and ensure that the AI Act brings real protections for people. Signatories Access Now, European Digital Rights (EDRi) The Border Violence Monitoring Network (BVMN) European Center for Not-for-Profit Law (ECNL)Amnesty International Lafede.cat – Organitzacions per la Justícia Global Panoptykon Foundation Elektronisk Forpost Norge (EFN) Algorights European Network Against Racism (ENAR) AlgorithmWatch Fair Trials Media Contact If you would like to arrange an interview with one of our Access Now experts, have a question, or are interested in further information on any of our areas of focus, please contact press [at] accessnow [dot] org. Subscribe to receive media alerts. Related Artificial Intelligence Read More Contact Careers How We Use Your Data Media Usage Code of Conduct Site Terms of Use Crafted by Cornershop Creative Facebook Twitter Instagram YouTube LinkedIn TikTok https://www.accessnow.org/press-release/european-parliament-must-stand-stro…

Oct. 23, 2023

Fwd: Oggi 21 ottobre: Global Encryption Day

by Andrea Trentini

-------- Forwarded Message -------- Subject: Oggi 21 ottobre: Global Encryption Day Date: Sat, 21 Oct 2023 07:17:05 +0200 From: Valerio Bozzolan <gnu(a)linux.it> To: soci(a)lists.linux.it Segnalo, Oggi, 21 ottobre, e' il Global Encryption Day (#GlobalEncryptionDay) Qui materiali utili per i propri social: https://www.globalencryption.org/events/ged/2023-social-toolkit/ Buona condivisione! P.S. Se una persona traduttrice avesse tempo libero, è benvenuta nel farsi avanti, per tradurre almeno un comunicato in italiano: https://www.globalencryption.org/events/ged/campaign-in-a-box/ Nel caso, meglio avvisare qui per mail, cosi' non lo facciamo in due. Ciau :) -boz -- Valerio Bozzolan Italian Linux Society - direttore volontario https://www.ils.org/ https://www.linux.it/ E-mail sent from Evolution from a random GNU/Linux distribution, delivered from my Postfix mailserver. Have fun with software freedom! -- Mailing list info: https://lists.linux.it/listinfo/soci

Oct. 21, 2023

How Meta and AI companies recruited striking actors to train AI

by J.C. DE MARTIN

*How Meta and AI companies recruited striking actors to train AI* /Hollywood actors are on strike over concerns about the use of AI, but for as little as $300, Meta and a company called Realeyes hired them to make avatars appear more human./ Eileen Guoarchive October 19, 2023 https://www.technologyreview.com/2023/10/19/1081974/meta-realeyes-artificia…

Oct. 20, 2023

Re: [nexa] Marc Andreessen e' fuori come un balcone

by 380°

Stefano Quintarelli <stefano(a)quintarelli.it> writes: > soldi? ma che è questa, una micro-chat whatsapp?!? un piccolo sforzo, suvvia :-D [...] saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Oct. 20, 2023

"Jon Stewart’s Apple TV Plus show ends, reportedly over coverage of AI and China"

by J.C. DE MARTIN

*Jon Stewart’s Apple TV Plus show ends, reportedly over coverage of AI and China * /According to reports, The Problem With Jon Stewart has been effectively canceled over editorial disagreements with Apple. / https://www.theverge.com/2023/10/19/23924549/jon-stewart-apple-ai-china-can…

Oct. 20, 2023