- nexa - server-nexa.polito.it

la madre di tutte le vulnerabilità: memory unsafety.
by Giovanni Biscuolo May 26, 2020

May 26, 2020

Buongiorno nexiani, <premessa> molti di voi sanno già di cosa si tratta ma per coloro che non sanno di cosa si tratta mi permetto una brevissima spiegazione del concetto opposto - la memory safety - estrapolata e tradotta da Wikipedia [1] --8<---------------cut here---------------start------------->8--- La memory safety (sicurezza della memoria) è la condizione di essere protetti da svariati errori software e vulnerabilità di sicurezza quando si gestisce l'accesso alla memoria --8<---------------cut here---------------end--------------->8--- Esistono linguaggi di programmazione che sono storicamente memory unsafe, tra questi il C/C++, e ne esistono altri che sono memory safe, tra questi Java, Rust e molti altri. Quando si verificano errori di programmazione nella gestione della memoria in linguaggi memory unsafe, succede che i programmi abortiscono, nel migliore dei casi, oppure espongono il sistema alle vulnerabilità di sicurezza che possono essere usate da un attaccante a proprio vantaggio. Con in linguaggi memory safe questi problemi non si verificano perché hanno meccanismi di individuazione degli errori prima che il programma scriva effettivamente in locazioni della memoria che non deve usare. (Se mi sbaglio mi corrigerete) </premessa> Perdonate la piccola divagazione, torno al punto. Un amico mi segnala questo documento di Google (non trovo a quando è aggiornato): https://www.chromium.org/Home/chromium-security/memory-safety: --8<---------------cut here---------------start------------->8--- The Chromium project finds that around 70% of our serious security bugs are memory safety problems. Our next major project is to prevent such bugs at source. [...] Around 70% of our high severity security bugs are memory unsafety problems (that is, mistakes with C/C++ pointers). Half of those are use-after-free bugs. [...] we are reaching the limits of sandboxing and site isolation. [...] We can no longer derive sufficient innovation from more processes or stronger sandboxes (though such things continue to be necessary). [...] We’re tackling the memory unsafety problem — fixing classes of bugs at scale, rather than merely containing them — by any and all means necessary, including: [...] Using safer languages anywhere applicable --8<---------------cut here---------------end--------------->8--- Poi c'è un grafico che tradurrei così: - minor costo, minor miglioramento: migliorare il codice C++ eliminando gli errori - maggior costo, maggior miglioramento: usare componenti in Rust (un linguaggio memory safe) La memory unsafety è la bestia nera della sicurezza software... da sempre, praticamente da quando si programma; per dare un'idea di quanto pesa, cito https://alexgaynor.net/2019/aug/12/introduction-to-memory-unsafety-for-vps-…: --8<---------------cut here---------------start------------->8--- A recent study found that 60-70% of vulnerabilities in iOS and macOS are caused by memory unsafety. Microsoft estimates that 70% of all vulnerabilities in their products over the last decade have been caused by memory unsafety. Google estimated that 90% of Android vulnerabilities are memory unsafety. An analysis of 0-days that were discovered being exploited in the wild found that more than 80% of the exploited vulnerabilities were due to memory unsafety. [...] These vulnerabilities are exploited, to the peril of hospitals, human rights dissidents, and health policy experts [...] --8<---------------cut here---------------end--------------->8--- Una classe di software dove i problemi di memory safety sono all'ordine del giorno e un rischio costante per gli utenti sono i browser web, perché sono maledettamente complessi e _soprattutto_ perché interpretano codice Javascript scaricato dalle pagine che si visitiamo (se non glielo si impedisce, con evidenti conseguenze sull'esperienza utente nella navigazione). Non vorrei aprire qui una flamewar sui linguaggi di programmazione, l'argomento è complesso e non può essere discusso efficacemente via email: dico solo che ho studiato ed è da quando ho iniziato a studiare c'è sempre qualcuno che sostiene che con la buona pratica egli è capace di evitare errori di memoria in C/C++ e sono gli altri che non sono capaci di programmare. Riporto qui la **provocazione** di Gaynor (non è il solo ad aver scritto cose analoghe): --8<---------------cut here---------------start------------->8--- Using C and C++ is bad for society, bad for your reputation, and it’s bad for your customers. --8<---------------cut here---------------end--------------->8--- La questione potrebbe essere riassunta così, secondo quanto ho capito fino ad ora: 1. per diversi "componenti" di basso livello (per esempio il kernel) il vantaggio competitivo di C è ancora alto (soprattutto per la quantità di codice già scritto) e forse vale la pena investire molte ore/uomo per eliminare gli errori di gestione della memoria; 2. per i componenti più ad alto livello (applicativi) varrebbe la pena cominciare a investire seriamente sulla riscrittura del software con linguaggi memory safe. Perché lo dico qui? Perché sul software c'è ancora una mole imponente di lavoro da fare e in questa mole buona parte dello spazio è occupata dalla soluzione di questa classe di problemi che *quotidianamente* rendono insicuri i nostri sistemi digitali. Se anche Google valuta che continuare a buttare via ore e ore di sessioni di debugging per risolvere i problemi di memoria costa meno che riscrivere il (o almeno parti del) software in linguaggi memory safe, se la stessa cosa sono costretti a fare in centinaia di aziende grandi e piccole, significa che abbiamo un problema che *forse* il mercato per come è strutturato oggi non riesce a risolvere da solo. Io non lo so qual'è la soluzione, sempre che esista una soluzione applicabile (actionable). Questo dibattito però non deve rimanere "confinato" agli specialisti e TANTOMENO essere declassato a una questione di "gusti" dei programmatori sul linguaggio che preferiscono: anche i non programmatori _devono_ sapere di cosa si tratta e questo dibattito dovrebbe diventare pubblico, dovrebbe diventare **politico**; oltre che di competenze qui si tratta di avere anche adeguate risorse per affrontare questi problemi, che NON SONO dei programmatori, sono di tutti noi, sono _anche_ di sicurezza nazionale. ...però mi rendo conto di essere anche piuttosto ingenuo nello sperare che questo possa diventare un dibattito politico :-D Cordiali saluti. Giovanni. [1] https://en.wikipedia.org/wiki/Memory_safety -- Giovanni Biscuolo

2 1

Fwd: June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf
by Diego Latella May 26, 2020

May 26, 2020

> Begin forwarded message: > > From: ACM Learning Center <learning(a)acm.org> > Subject: June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf > Date: 26 May 2020 at 16:45:19 CEST > To: Diego Latella <diego.latella(a)CNR.IT> > > ACM TechTalks <https://learning.acm.org/techtalks> > May 26, 2020 > " > June 8 Talk on the ACM Code of Ethics with Don Gotterbarn and Marty Wolf > > Register now <https://webinars.on24.com/acm/gotterbarnwolf?partnerref=bull1> for the next free ACM TechTalk, "Leveraging the ACM Code of Ethics Against Ethical Snake Oil and Dodgy Development," presented on Monday, June 8 at 12:00 PM ET/9:00 AM PT by Don Gotterbarn, Professor Emeritus at East Tennessee State University and Co-Chair of the ACM Committee on Professional Ethics (COPE), and Marty J. Wolf, Professor at Bemidji State University and Co-Chair of the ACM Committee on Professional Ethics (COPE). Keith Miller, Professor at University of Missouri – Saint Louis, will moderate the questions and answers session following the talk. > > Leave your comments and questions with our speaker now and any time before the live event on ACM's Discourse Page <https://on.acm.org/t/leveraging-the-acm-code-of-ethics-against-ethical-snak…>. And check out the page after the webcast for extended discussion with your peers in the computing community, as well as further resources on computing ethics. > > (If you'd like to attend but can't make it to the virtual event, you still need to register to receive a recording of the TechTalk when it becomes available.) > > Note: You can stream this and all ACM TechTalks on your mobile device, including smartphones and tablets. > > We did it! The ACM revised, and with overwhelming support from its members, approved its updated Code of Ethics and Professional Conduct. Ethical champions enforcing the Code will make ethical lapses at tech companies a thing of the past. The Code has us covered. But, wait: THAT…IS…NOT…HOW…IT…WORKS! > > Computing professionals are masters at using specialized knowledge as they navigate the complex process of developing systems. It is unlike any other production process in history. Unfortunately, the nature of computing is such that it leads us to fail to notice significant ethical challenges and to know how to address them. > > The most insidious ethical challenges are those where there is unrecognized intentional harm. We identify some of the elements that contribute to unnoticed ethical challenges such as subtle privacy violations in COVID-19 tracking systems. We then suggest concrete strategies and specific proactive interventions that can be used by management, human resources, and developers to identify unnoticed ethical challenges and, importantly, address other serious challenges. These strategies change the software development process so that the odds of needing an ethical champion are lessened and, in the rare event that one is needed, odds are good that there are quite a few computing professionals around who know how to help. > > Duration: 60 minutes (including audience Q&A) > > Presenter: > Don Gotterbarn, Professor Emeritus, East Tennessee State University; Co-Chair, ACM Committee on Professional Ethics (COPE) > Don Gotterbarn has extensive experience both in academia and software systems development, working on systems for the U.S. Navy, the Saudi Arabian Navy, vote-counting machines, and missile defense. > > He has spent several decades promoting responsible computing practices, including as director of the Software Engineering Ethics Research Institute and as a visiting professor at the Centre for Computing and Social Responsibility in England. He has taught at institutions like the University of Southern California, at government agencies like NSA, the Australian Department of Defense, and was a visiting scientist Carnegie Mellon’s Software Engineering Institute. He led the 2018 update of the ACM Code of Ethics and the development of the IEEE/ACM Software Engineering Code of Ethics and Professional Practice. These contributions to responsible computing have resulted in him being awarded the ACM Outstanding Contribution Award (2005), the International Society for Ethics and Information Technology Joseph Weizenbaum Award (2010), and the ACM Presidential Award (2018). > > Marty J. Wolf, Professor, Bemidji State University; Co-Chair, ACM Committee on Professional Ethics (COPE) > Marty J. Wolf is a Professor of Computer Science at Bemidji State University in Bemidji, Minnesota. He has over 30 years of experience teaching undergraduate computer science and has published research in theoretical computer science, bioinformatics, and graph theory. Over the last 20 years his research has focused on collaborative projects in computing and information ethics and the philosophy of computation. He has developed and taught a stand-alone computing ethics course to computer science undergraduates as well as computing ethics courses for non-CS majors. He is currently Co-chair of the ACM Committee on Professional Ethics and was part of the team that led the recent update to the ACM Code of Ethics. He has extensive experience on interdisciplinary projects that involve the teaching of computing ethics. He is currently co-PI on a grant from the Mozilla Foundation to develop mechanisms for computer science faculty to better incorporate social and ethical issues into standard computer science projects. > > Moderator: > Keith Miller, Professor, University of Missouri – Saint Louis > Keith W. Miller is the Orthwein Endowed Professor for Lifelong Learning in the Sciences at the College of Education of the University of Missouri – Saint Louis (UMSL). Prof. Miller also holds tenure in its Dept. of Computer Science. He has a PhD in Computer Science, an MS in Mathematics, and a BS in Education. Prof. Miller’s community partners include the Saint Louis Science Center, and Girls Inc. of St. Louis. Prof. Miller’s research interests include computer ethics, the use of technology in education, software testing, and (thanks to Don Gotterbarn) codes of ethics. He has authored or co-authored over 90 journal papers and hundreds of presentations. Because of Marty Wolf, Keith’s Erdos number is currently three. More information at http://learnserver.net/faculty/keithmiller/curriculum-vitae/ <http://learnserver.net/faculty/keithmiller/curriculum-vitae/>. > > Visit learning.acm.org/techtalks-archive <https://learning.acm.org/techtalks-archive> for our full archive of past TechTalks. > > > Association for > Computing Machinery > 1601 Broadway, 10th Floor, New York, NY 10019 > > > Copyright © 2020, ACM, Inc. All rights reserved > > You are subscribed with: diego.latella(a)cnr.it <mailto:diego.latella@cnr.it> > > Unsubscribe <https://optout.acm.org/unsubscribe.cfm?rm=FUNBIGLEAA02361345FC0FEBE7499C50B…> > > Connect with us: > > > <https://www.facebook.com/pages/ACM-Association-for-Computing-Machinery/1792…> <https://twitter.com/TheOfficialACM> <https://www.linkedin.com/company/association-for-computing-machinery?trk=na…> > <https://www.youtube.com/user/TheOfficialACM> <https://www.instagram.com/theofficialacm/> <https://www.flickr.com/photos/theofficialacm> <mailto:acmhelp@acm.org> > > Dott. Diego Latella - Senior Researcher CNR-ISTI, Via Moruzzi 1, 56124 Pisa, Italy (http:www.isti.cnr.it) FM&&T Lab. (http://fmt.isti.cnr.it) http://www.isti.cnr.it/People/D.Latella - ph: +390506212982, mob: +39 348 8283101, fax: +390506212040 =================== The quest for a war-free world has a basic purpose: survival. But if in the process we learn how to achieve it by love rather than by fear, by kindness rather than compulsion; if in the process we learn how to combine the essential with the enjoyable, the expedient with the benevolent, the practical with the beautiful, this will be an extra incentive to embark on this great task. Above all, remember your humanity. -- Sir Joseph Rotblat =================== I don't quite know whether it is especially computer science or its subdiscipline Artificial Intelligence that has such an enormous affection for euphemism. We speak so spectacularly and so readily of computer systems that understand, that see, decide, make judgments, and so on, without ourselves recognizing our own superficiality and immeasurable naivete with respect to these concepts. And, in the process of sospeaking, we anesthetise our ability to evaluate the quality of our work and, what is more important, to identify and become conscious of its end use. […] One can't escape this state without asking, again and again: "What do I actually do? What is the final application and use of the products of my work?" and ultimately, "am I content or ashamed to have contributed to this use?" -- Prof. Joseph Weizenbaum ["Not without us", ACM SIGCAS 16(2-3) 2–7, Aug. 1986]

1 0

Codice aperto di Immuni
by Giuseppe Attardi May 26, 2020

May 26, 2020

Come richiesto a più voci, il codice di Immuni è stato rilasciato Open Source. Ora è possibile farne una code review, analizzarlo e provare a migliorarlo. Chi ha dei dubbi se i dati vengano raccolti da Google o Apple, lo potrà verificare. Se teme che ciò avvenga all’interno della libreria di supporto, potrà verificarlo facendo sniffing dei pacchetti. https://www.agendadigitale.eu/sanita/immuni-prima-analisi-del-codice-bene-m… —

5 4

Small governments big failure
by Giuseppe Attardi May 26, 2020

May 26, 2020

https://www.project-syndicate.org/commentary/small-governments-big-failure-…

2 1

Thai Database Leaks 8.3 Billion Internet Records
by Alberto Cammozzo May 26, 2020

May 26, 2020

<https://rainbowtabl.es/2020/05/25/thai-database-leaks-internet-records/?=ma…> I recently discovered an exposed ElasticSearch database when browsing BinaryEdge and Shodan. This database appears to be controlled by a subsidiary of a major Thailand-based mobile network operator named Advanced Info Service (AIS). According to Wikipedia, AIS is "Thailand's largest GSM mobile phone operator with 39.87 million customers" as of 2016. The database was likely controlled by AIS subsidiary Advanced Wireless Network (AWN). It contained a combination of DNS query logs and NetFlow logs for what appears to be AWN customers. Using this data it is quite simple to paint a picture of what a person does on the Internet. I made multiple attempts to contact AIS to get the database secured without success. At that point I contacted Zack Whittaker – a journalist from TechCrunch – for assistance. We were still unable to make contact with AIS. I then contacted the Thailand National CERT team (ThaiCERT). ThaiCERT who was able to make contact with AIS, and we were successful in getting the database secured. [...]

1 0

Project Gutenberg oscurato (via DNS) in Italia
by Giovanni Biscuolo May 25, 2020

May 25, 2020

Buongiorno, come parte del procedimento penale n. 52127/20 RGNR - n. 35139/2020 RG GIP acceso presso Procura della Repubblica presso Tribunale di Roma è stata emessa una notifica di sequestro preventivo del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della GdF che include tra altri anche l'oscuramento - tramite oscuramento DNS - di http://www.gutenberg.org/ Questo l'annuncio del progetto: https://twitter.com/gutenberg_org/status/1264512881309085702 Il decreto di sequestro preventivo è qui: https://web.archive.org/web/20200525125134/https://lumendatabase.org/file_u… gutemberg.org è elencato per ben **due** volte: 1. al punto A.25) («in esecuzione di un medesimo disegno criminoso...») 2. al punto 25 del paragrafo «A sostegno di tale ricostruzione, gli operanti hanno individuato i seguenti siti [...] quindi gli operanti hanno provveduto ad estrapolare la relativa home page di accesso e ad individuarne gli elementi identificativi, ovvero: [segue scheda simil whois records per ogni sito, tra cui gnutemberg.org, n.d.r.]» Il documento prosegue poi: --8<---------------cut here---------------start------------->8--- Gli operanti hanno, dunque, verificato quanto effettivamente contenuto nei siti internet sopra indicati, raccogliendo materiale di cui al documento allegato 29. [...] Ciò premesso, le indagini finora condotte sono altamente significative per la sussistenza del fumiu boni iuris del reato ipotizzato, risultando accertate le illecite condotte di divulgazuione del contenuto di pubblicazioni protette dal diritto d'autore attraverso le reti telematiche sopra indicate. [...] il fine di lucro emergendo dagli introiti delle inserzioni pubblicitarie a pagamento. [...] consentire il legittimo sequestro preventivo mediante "oscuramento" di un intero sito telematico o di una pagina web [...] ORDINA il sequestro preventivo dei seguenti siti internet e/o risorse web: [OMISSIS] 14) quotidianionline.blogspot.com [OMISSIS] nonché dei "canali" sotto indicati tramite la piattaforma "Telegram" [OMISSIS] mediante oscuramento con notifica a tutti gli Internet Service Provider italiani al fine di inibirne il raggiungimento da parte degli utenti residenti sul territorio dello Stato Italiano. --8<---------------cut here---------------end--------------->8--- Manca l'allegato 29 nel quale dovrebbe essere raccolto il materiale che prova che anche www.gnutemberg.org stesse distribuendo materiale protetto dal diritto d'autore. Saluti, Giovanni. -- Giovanni Biscuolo

1 1

Copiare i dati e formattare il disco costituisce appropiazione indebita
by Diego Giorio May 25, 2020

May 25, 2020

Mi sembra che non sia ancora passato in lista: https://www.lexology.com/library/detail.aspx?g=58d623c7-984c-4f11-892b-9f9d… Buona settimana D.

4 5

Mark Thompson, grande capo del New York Times: «Fra dieci anni l’addio al giornale su carta, ma poi viene il meglio» – L’intervista
by don Luca Peyron May 25, 2020

May 25, 2020

Un pezzo interessante tra sponde dell'Oceano. Buona lettura dl https://www.open.online/2020/05/24/mark-thompson-new-york-times/?fbclid=IwA… _________________________ www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

2 1

Reminder | 78° Nexa Lunch Seminar | 27 Maggio 2020
by Nexa Media May 25, 2020

May 25, 2020

Gentilissimi, vi ricordiamo che mercoledì 27 maggio, dalle ore 13.00 alle ore 14.00, si svolgerà il 78° Nexa Lunch Seminar, con un incontro dal titolo: *Deep learning e grafi semantici per la comunità scientifica del Politecnico di Torino*. Ospite: /Giovanni Garifo//(Centro Nexa)./ L'incontro si svolgerà in *modalità telematica*, utilizzando il software open source di conference call *Jitsi Meet*. Per chi vorrà partecipare live al seminario sarà quindi possibile accedere alla conference call attraverso il seguente link: https://meet.nexacenter.org/LunchSeminar Per chi non potrà partecipare alla conference call sarà possibile, come di consueto, seguire il seminario live via web sul canale YouTube del Centro Nexa all'indirizzo: https://www.youtube.com/watch?v=nmKAIyfdAho Maggiori informazioni sull'incontro sono disponibili alla pagina: https://nexa.polito.it/lunch-78 Cordiali saluti,   -- Anita Botta Communication Manager Nexa Center for Internet & Society Politecnico di Torino – DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino _web:_ https://nexa.polito.it/ _mail:_anita.botta@polito.it <mailto:anita.botta@polito.it> tel: 011 090 7219

1 0

Russia's request for Delta Chat user data ... declined.
by Giacomo Tesio May 25, 2020

May 25, 2020

E' decisamente ora di provare Delta.Chat! Giacomo https://delta.chat/en/2020-05-01-roskamnadzor On April 27th we received a letter from Roskomnadzor, the russian supervisor of communications and information technology. They requested us to provide access to Delta Chat user data and register with their state-run provider registry. We declined for the simple reason that Delta Chat developers have no access to user data whatsoever. Delta Chat is a decentralized messenger and doesn’t have their own servers. You choose the e-mail provider which you trust yourself and we don’t know about your choices. Besides, even e-mail providers won’t see Delta Chat message contents because messages are end-to-end encrypted via Autocrypt. Big cheers to the e-mail ecosystem which has a standardized separation of apps (MUAs) from message transport (MTAs), and a planetary-scale and diversely operated system at that … even if a little messy and slow-moving ;)

3 2