- nexa - server-nexa.polito.it

No Cookies, No Problem — Using ETags For User Tracking
by Giacomo Tesio July 9, 2020

July 9, 2020

Questo hack è fantastico nella sua assoluta semplicità. Permette di aggirare bellamente sia la normativa che moltissimi tool progettati per tutelare la privacy degli utenti in quei strumenti di sorveglianza chiamati "Web browsers". A chi (come me) non ci aveva pensato, può insegnare moltissimo. Di seguito riporto solo la spiegazione dell'attacco, disarmante nella sua semplicità. L'unica vera difesa, al momento, è disabilitare la cache del browser. Però la vulnerabilità dei browser sarebbe semplice da correggere in questo caso, invalidando la cache localmente: non inviare mai l'ETag registrato al server, inviare eventualmente una richiesta HEAD o una OPTIONS per ottenere l'ETag attuale della risorsa ed eventualmente effettuare la GET se necessario. Nei commenti c'è un altro trucchetto analogo (e persino più difficile da notare in un log proxy) che si basa sui redirect 301. Triste la conclusione dell'autore, preoccupato che i legislatori possano imporre agli sviluppatori dei browser di chiudere queste vulnerabilità che, seppure invasive della privacy, permettono (a suo dire) continua innovazione. Per (S)fortuna, è una preoccupazione triste quanto ingenua. Giacomo ___ Using Cache Technology To Track And Identify Users While ETags serve a useful purpose when used for caching, the feature can also be hijacked and intentionally misused for user tracking. Here is how I did it for my example above: 1) I built a website with three pages 2) I embedded the same iFrame on each of the pages. This iFrame is simply a white 1x1 pixel, which is invisible for the user. 3) When this iFrame resource is requested, I am creating a random ID via PHP on the server side. I use this ID to override the ETag ID for the iFrame, which is usually issued automatically. 4) Every time a user requests one of the three pages (and therefore requests that iFrame), my ETag ID is included in the request. Then, I am checking on the server side, if that ID exists or whether this is a first time request without an ETag. → If ETag exists: Returning visitor. Keep the ID and send the same one back. → If ETag does not exist: New visitor. New ID. From then on, this ID will be included in all request headers of this user’s device on the site. 5) As a last step — here is how this ETag ID finds its way into the analytics: I print the ID from the request/response headers in the iFrame on server side. Invisible for the user, this iFrame now contains the user’s ID. Then I pick it up from there on client side via JavaScript and simply include this ID in my analytics tracking request instead of a cookie ID. Continua su https://levelup.gitconnected.com/no-cookies-no-problem-using-etags-for-user…

1 0

LibreOffice 7 sarà solo per uso personale... o così dirà di essere
by Giacomo Tesio July 9, 2020

July 9, 2020

In allegato lo screenshot della finestra di informazioni della prossima versione di LibreOffice, che sarà "Personal Edition", specificando in grassetto che "The Personal Edition is supported by volunteers and intended for individual use". Qui le scuse "Board" a riguardo: https://blog.documentfoundation.org/blog/2020/07/06/board-statement-on-the-… Qui il Marketing Plan per il 2020/2025 https://nextcloud.documentfoundation.org/s/jzryGw7XDkJadmo#pdfviewer E' utile notare che le scuse non sono accompagnate da una proposta di rettifica. Ed è interessante considerare che la licenza non verrà modificata, per cui l'uso "personale" servirà solo a stressare i responsabili delle varie organizzazioni che hanno adottato Libre Office, ma non avrà alcuna forza legale. Per ora. E' sempre divertente notare come l'open source, passo dopo passo, cercando di non farsi notare, rimuova ogni applicazione dei valori che dice di brandire. "Non si può vietare l'uso X dell'open source!" "Non si può vietarne lo sfruttamento commerciale!" ROTFL! ! ! :-D Non esiste alcun FOSS. L'Open Source è solo uno strumento di marketing (e propaganda). Il software libero è tutta un'altra cosa. Giacomo

3 3

NYTimes: Virus-Tracing Apps Are Rife With Problems. Governments Are Rushing to Fix Them.
by Enrico Nardelli July 9, 2020

July 9, 2020

https://www.nytimes.com/2020/07/08/technology/virus-tracing-apps-privacy.ht… ---- In April, Norway released a smartphone app, Smittestopp <https://play.google.com/store/apps/details?id=no.simula.smittestopp> or “stop infection,” that records users who come into close contact for more than 15 minutes and sends alerts if they have been exposed to the coronavirus <https://www.nytimes.com/news-event/coronavirus>. “We can all help stop the spread of infection and save lives,” Prime Minister Erna Solberg said <https://www.regjeringen.no/no/aktuelt/ny-app-vil-stoppe-smitte-raskere/id26…> in a statement at the time. “If many people download the Smittestopp app, we can open up society more and get our freedom back.” Within two weeks, nearly 900,000 people — or about one out of five Norwegians older than 16 —had started using the app <https://www.fhi.no/nyheter/2020/1-av-5-deler-data-fra-smittestopp-appen-med…>. But by mid-June, the government had temporarily turned off the service after data protection regulators there said Norway had so few coronavirus cases that the risks of intensified surveillance outweighed the app’s as yet unproven public health benefits. This week, the country’s data watchdog formally imposed an interim ban on the app <https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2020/vedtar-midlertidi…>. Norway is one of many countries that rushed out apps to trace and monitor the coronavirus this spring, only to scramble to address serious complaints that soon arose over extensive user data-mining or poor security practices. Human rights groups and technologists have warned that the design of many apps put hundreds of millions of people at risk for stalking, scams, identity theft or oppressive government tracking — and could undermine trust in public health efforts. The problems have emerged just as some countries are poised to deploy even more intrusive technologies, including asking hundreds of thousands of workers to wear virus-tracking wristbands <https://www.reuters.com/article/us-health-coronavirus-singapore-tech/singap…> around the clock. ... -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

2 1

Che cos'è un Tech Worker
by Giacomo Tesio July 8, 2020

July 8, 2020

La nostra organizzazione si chiama “Tech Workers Coalition”: la scelta del nome ovviamente non è casuale ma è frutto di riflessioni avvenute a monte della creazione della prima sezione in USA. Ma che cos’è esattamente un Tech Worker? Perché questa dicitura? Vediamo di ripercorrere insieme le idee che stanno dietro a questo termine che, fino a pochi anni fa, era molto raro. Vi sono dietro al termine due idee fondamentali: 1) Un lavoratore che lavori nell’industria tecnologica deve organizzarsi con tutte le persone che ha intorno, a prescindere dalle differenze di mansione e di salario. 2) Un tecnico (per esempio un informatico) o un creativo (per esempio un grafico) sono lavoratori come gli altri, nonostante spesso non ne siano consapevoli e siano immersi in una cultura che li inquadra come potenziali imprenditori in attesa, o come imprenditori che hanno fallito a mettersi in proprio per mancanza di talento o di forza di volontà. [...] i programmatori italiani, pur avendo condizioni lavorative sicuramente migliori di tante altre figure, non godono minimamente degli stessi privilegi delle loro controparti americane. Se in USA un ingegnere del software pagato 160.000 dollari l’anno richiede parecchio impegno per essere convinto di avere interessi comuni con una donna messicana che gli pulisce la scrivania, in Italia una programmatrice che lavora 10 ore al giorno ed è pagata 25.000 euro nonostante diversi anni di esperienza, sarà molto più facile da convincere. La distanza tra lei e la persona che le serve il pranzo in mensa è molto minore. [...] In USA, buona parte del settore tecnologico si è sviluppato in una dimensione ideologica molto specifica che oggi per semplicità chiamiamo Ideologia Californiana, dal nome dell’omonimo articolo di Richard Barbrook e Andy Cameron. Oltre alla natura salvifica e liberatoria della tecnologia, la cancellazione della sua dimensione politica e l’esaltazione della competizione, questa ideologia ha lasciato un’altra impronta importante sul settore tech: l’idea che ogni persona con competenze tecniche non sia un lavoratore, ma un imprenditore di sé stesso, associato temporaneamente e per libera scelta ad una o all’altra azienda per coltivare interessi specifici per poi, prima o dopo, mettersi in proprio. Quest’idea si è tradotta in tante storture del mondo tech, come ad esempio l’incentivo a cambiare spesso azienda, l’ostilità alla sindacalizzazione o la pressione a coltivare le proprie competenze lavorative durante il tempo libero, portando spesso a comportamenti disfunzionali, isolamento sociale, stress, fear of missing out e in generale ad un’erosione tra tempo del lavoro e tempo personale. L’IT italiano, pur esistendo in una società diversa, ha importato in parte questi valori alieni nella provincia dell’Impero, con un senso di emulazione, spesso goffa, dei modi e dei costumi della Capitale: la Silicon Valley. [...] buona parte dello sviluppo tecnologico in Italia è fatto in una condizione di entreprecariato. Titolo di un libro di Silvio Lorusso, questo termine descrive la condizione in cui il lavoro precario e l’imprenditorialità si confondono in maniera tossica e il lavoratore è costretto a spendere tempo ed energie nel promuovere sé stesso ai clienti, nel costruirsi un brand personale, il tutto senza il ritorno economico legato al prendersi il rischio imprenditoriale. [...] Quindi il Tech Worker vuole opporsi a questa idea del lavoro. Creare software, creare tecnologia, è un lavoro e chi lo svolge è un lavoratore. [...] L’obiettivo non è creare un conflitto tra questi lavoratori, ma liberare entrambi dalla pressione economica, psicologica e sociale operata da questa ideologia. Continua su https://twc-italia.org/news/2020-07-05-tech-workers/ Giacomo

1 0

Priorities for the COVID-19 Economy
by Giuseppe Attardi July 7, 2020

July 7, 2020

Se non l’avete visto: https://www.project-syndicate.org/commentary/covid-2020-recession-how-to-re… <https://www.project-syndicate.org/commentary/covid-2020-recession-how-to-re…> La pandemia avrà l’effetto di accelerare processi già in corso e francamente, secondo me, sottovalutati. We know from both economic theory and history that markets alone are ill suited to manage such a transition, especially considering how sudden it has been. There’s no easy way to convert airline employees into Zoom technicians. And even if we could, the sectors that are now expanding are much less labor-intensive and more skill-intensive than the ones they are supplanting. Moreover, in the case of the pandemic, there will be a third effect: rising inequality. Because machines cannot be infected by the virus, they will look relatively more attractive to employers, particularly in the contracting sectors that use relatively more unskilled labor. We shouldn’t bail out firms – like old-line retailers – that were already in decline before the crisis; to do so would merely create “zombies,” ultimately limiting dynamism and growth. Nor should we bail out firms that were already too indebted to be able to withstand any shock. Now that government spending is being unleashed on a massive scale, the public has a right to demand that companies receiving help contribute to social and racial justice, improved health, and the shift to a greener, more knowledge-based economy.

4 3

Linux Day Online 2020
by Roberto Guido July 7, 2020

July 7, 2020

Immagino qui tutti conoscano il Linux Day, la manifestazione annuale che - il quarto sabato di ogni ottobre - attiva centinaia di volontari in tutto il Paese con l'obiettivo comune di promuovere, divulgare, informare sulle tematiche della consapevolezza e delle libertà digitali tramite decine di eventi locali che si svolgono in città diverse ma nello stesso giorno. Nel 2020 ne ricorre la ventesima edizione. Ed un anniversario così eccezionale, che cade in circostanze (quelle imposte dalla diffusione del COVID-19) così eccezionali, non poteva che essere celebrato in modo eccezionale. Il Linux Day 2020 si svolgerà in forma di manifestazione nazionale, unificata e online. Articolata su due giorni, sabato 24 e domenica 25 ottobre, e su diverse sessioni tematiche popolate da talk e interventi. Sul sito si trova il form per la Call for Papers https://www.linuxday.it/2020/partecipa/ aperta fino al 31 luglio, destinata ad accogliere i contributi di coloro che vorranno far parte di questa inedita iniziativa. Come per ogni Linux Day sono benvenute proposte di ogni tipo, da quelle divulgative rivolte a coloro che vogliono saperne un poco di più sull'argomento a quelle intese ad approfondire aspetti tecnici, culturali, legali e professionali del software libero e open source. -- Roberto Guido http://www.madbob.org/

1 0

Can Silicon Valley be fixed or should we burn it all down?
by Giuseppe Attardi July 7, 2020

July 7, 2020

https://onezero.medium.com/can-silicon-valley-be-fixed-or-should-we-burn-it…

1 0

Spies, Lies, and Stonewalling: What It’s Like to Report on Facebook - Columbia Journalism Review
by J.C. DE MARTIN July 7, 2020

July 7, 2020

https://www.cjr.org/special_report/reporting-on-facebook.php/ (Sent from my wireless device; please excuse brevity and typos (if any))

1 0

L'Unione Europea lancia l'allarme: Microsoft ci controlla i dati
by Giovanni Biscuolo July 6, 2020

July 6, 2020

Buongiorno, mi segnalano questo interessante articolo che commenta il documento segnalato oggi da Marco Ciurcina del European Data Protection Supervisor, al quale dedico una email separata tra poco. Spero sia sufficientemente chiaro a tutti che è ovvio che il problema non è solo con i servizi di Microsoft, anzi il problema con quel contratto Microsoft è SOLO la punta dell'iceberg profondo 11Km e largo come un intero oceano. Spero sia anche sufficientemente chiaro che sperare di fermare l'iceberg con il Titanic del GDPR è peggio che illusorio; servono infrastrutture digitali sotto il proprio controllo: macchine, software, persone competenti e una valanga di buona volontà. Punto. L'Unione Europea lancia l'allarme: Microsoft ci controlla i dati https://www.corriere.it/esteri/20_luglio_05/unione-europea-lancia-allarme-m… --8<---------------cut here---------------start------------->8--- [...] L’autorità riferisce di «una serie di problemi riguardanti la localizzazione dei dati, il loro trasferimento internazionale e il rischio che i dati stessi siano rivelati in modo illegale». L’accusa è molto delicata, dato che sembra coinvolgere anche gli archivi digitali della Bce: «Le istituzioni europee – si legge – non sono state in grado di controllare la localizzazione di una larga parte dei dati gestiti da Microsoft, né hanno controllato adeguatamente ciò che è stato trasferito fuori dalla Ue e come». Inoltre, «c’è stata anche una mancanza di adeguate salvaguardie a protezione dei dati che hanno lasciato il territorio dell’Unione europea» e «le istituzioni della Ue hanno avuto a loro disposizione poche garanzie a difesa dei privilegi e delle immunità». Impossibile poi per Bruxelles «assicurarsi che Microsoft rivelasse dati personali solo nella misura permessa dalla legge europea». --8<---------------cut here---------------end--------------->8--- Io non ci credo che parte degli "archivi digitali" della BCE siano DENTRO Microsoft :-O .Saluti, Giovanni- -- Giovanni Biscuolo

2 1

EDPS: Outcome of own-initiative investigation into EU institutions’ use of Microsoft products and services
by Giovanni Biscuolo July 6, 2020

July 6, 2020

Buongionro, il Re è nudo: sull'insostenibile inconsistenza del GDPR (aka "Se nemmeno le istrituzioni europee sono in grado di esercitare il controllo sui propri dati significa che nel digitale siamo messi male, ma proprio male, male, al limite dell'irrecuperabile".): https://edps.europa.eu/sites/edp/files/publication/20-07-02_edps_euis_micro… --8<---------------cut here---------------start------------->8--- [...] The EDPS made the following key findings in its investigation into the EU institutions’ use of Microsoft products and services. First, the licensing agreement between Microsoft and the EU institutions allowed Microsoft to define and change the parameters of its processing activities carried out on behalf of EU institutions and contractual data protection obligations. The discretion that Microsoft had, amounted to a broad right for Microsoft to act as a controller. Given the EU institutions’ role as public service institutions, the EDPS did not consider this appropriate. The EDPS recommended to EU institutions that they act to retain controllership. Second, EU institutions needed to put in place a comprehensive and compliant controller-processor agreement and documented instructions of the EU institutions to the processors. Their lack of control over which sub-processors Microsoft used and lack of meaningful audit rights also presented significant issues. The EDPS made recommendations on how to improve the controller-processor agreement and put robust audit checks in place. Third, EU institutions faced a number of linked issues concerning data location, international transfers and the risk of unlawful disclosure of data. They were unable to control the location of a large portion of the data processed by Microsoft. Nor did they properly control what was transferred out of the EU/EEA and how. There was also a lack of proper safeguards to protect data that left the EU/EEA. EU institutions also had few guarantees at their disposal to defend their privileges and immunities and ensure that Microsoft would only disclose personal data insofar as permitted by EU law. The EDPS made recommendations to assist EU institutions in addressing these issues. Fourth, the EDPS considered the technical measures that the Commission had put in place to stem the flow of personal data generated by Microsoft products and services and sent to Microsoft. The EDPS recommended that all EU institutions perform tests using a revised and comprehensive approach, share among them the knowledge and technical solutions they developed to prevent unauthorised data flows to Microsoft and inform each other of any data protection issues they identify with the products or services. Fifth, the EU institutions had insufficient clarity as to the nature, scope and purposes of the processing and the risks to data subjects to be able to meet their transparency obligations towards data subjects. The EDPS recommended that EU institutions seek the clarity and assurances allowing them to keep data subjects properly informed. [...] --8<---------------cut here---------------end--------------->8--- ...e questo è solo l'inizio, il rapporto va letto tutto, anche a piccole dosi. Saluti, Giovanni. P.S.: lascia una strana sensazione di SMARRIMENTO anche a voi il fatto che analisi di contratti come questo vengano svolte DOPO più di due anni dalla loro stipula, quasi come se le istituzioni europee non avessero sufficienti risorse legali per farlo PRIMA?!? P.P.S.: il solo fatto che siano le istituzioni europee a dover contrattare per ottenere qualche emendamento ai contratti standard di una di queste aziende e non IL CONTRARIO la dice lunga sul livello di potere che certe aziende sono riuscite a ottenere, ben oltre quello delle nazioni, anche coalizzate assieme nella EU. -- Giovanni Biscuolo

1 1