- nexa - server-nexa.polito.it

Diritti, Democrazia e Software Libero
by Fabio Pietrosanti (naif) April 23, 2020

April 23, 2020

Ciao a tutti, attorno al tema della app di contact tracing non ho visto ragionamenti approfonditi sull'impatto sui diritti dei cittadini della scelta della licenza copyleft del software. Credo che siamo di fronte a un primo caso in cui la scelta di una licenza di software libero, possa avere un sensibile impatto sulla trasparenza della intera operazione di compressione dei diritti fondamentali introdotta dal contact tracing digitale. Vorrei che considerassimo tutti un dettaglio fondamentale sotto il piano dei diritti del cittadino: L'adozione di una licenza opensource come MPL2 non consente al cittadino di conoscere quale codice software gira all'interno della App di CT sul suo telefonino. Questo perché la MPL2 è una licenza copyleft di tipo "weak" e che interviene solo sui file rilasciati MPL2 e non sul software risultante, che può essere proprietario, essendo come definito dalla licenza un "Larger Work". Cioè io posso rilasciare a T0 una app MPL2, ma a T1 aggiungere "2 file di codice sorgente" con licenza proprietaria che contengono funzionalità nascoste o non documentate, rilasciare un aggiornamento della app compilata che mi verrà consegnato sul telefonino tramite appstore update, e non avere alcun diritto di sapere che ci sono questi due file in più. Ma allora come sarebbe possibile attribuire dei diritti di trasparenza al cittadino, che ha installato la app di CT sul suo cellulare, affinché possa sempre e comunque accedere ai codici sorgenti (client e server) della esatta edizione di app che sta girando sul suo telefonino? Scegliendo come licenza libera la GNU AGPL-3, per la messa in riuso e pubblicazione del codice sorgnte della applicazione. Già, perché se client e server (app mobile e backend) fossero rilasciate con licenza libera AGPL3, ogni utente (cittadino) avrebbe il diritto di accedere ai codici sorgenti della esatta version di applicazione che gira sul suo telefonino, oltre alla esatta versione di server di raccolta dati con cui questa sta interloquendo. Ovvero, la scelta della AGPL3 toglie ogni dubbio, sarebbe una scelta di trasparenza, che fornisce *a ogni cittadino* il diritto di ricorrere in tribunale per avere l'esatta versione dei codici sorgenti della applicazione di contact tracing che ha in uso. Riassumendo l'impatto della licenza copyleft sui diritti dei cittadini: - MPL2: Il cittadino non ha diritto di conoscere quale sia il codice sorgente della applicazione software sul suo telefonino, né del server che riceve i dati. - AGPL3: Il cittadino ha diritto di conoscere quale sia il codice sorgente della applicazione software sul suo telefonino oltreché del server che riceve i dati. Non ho mai visto un caso così calzante e rilevante come questo in cui la scelta di una licenza di "weak copyleft" impatti così tanto diritti fondamentali dei cittadini. Mi sono sbagliato? Fabio

6 14

"Do We Need a New IP?"
by J.C. DE MARTIN April 23, 2020

April 23, 2020

Do We Need a New IP? Marco Hogewoning <https://labs.ripe.net/Members/marco_hogewoning> — 22 Apr 2020 A number of recent publications have addressed Huawei’s proposal for a new internet-like architecture, called “New IP”, which aims to develop a set of protocols that could replace the current Internet. We believe that any evolution of the Internet should be left to the IETF, and we want to explain why. The proposal has been put forward in the International Telecommunication Union (ITU). As part of our ongoing participation in the ITU and the Internet Engineering Task Force (IETF), we have been tracking this and related work for a while now and used our ITU membership to send a response <https://www.ripe.net/participate/internet-governance/multi-stakeholder-enga…> objecting to this course of action. [...] https://labs.ripe.net/Members/marco_hogewoning/do-we-need-a-new-ip

2 1

Immuni e PEPP-PT NTK
by Giuseppe Attardi April 23, 2020

April 23, 2020

Il documento del MID contiene alcune rassicurazioni: https://innovazione.gov.it/un-aggiornamento-sull-applicazione-di-contact-tr… <https://innovazione.gov.it/un-aggiornamento-sull-applicazione-di-contact-tr…> In particolare sul fatto che il codice sarà distribuito con licenza Open Source. Secondo me però rimangono da chiarire alcuni aspetti tecnici e procedurali. Il documento cita iniziative europee quali PEPP-PT, DP-3T, ROBERT. Ma queste non sono equivalenti in termini di garanzie di privacy e di scelte architettura. Mentre DP-3T adotta un approccio decentralizzato, simile e compatibile con il framework di Apple&Google, e a TCN di Covid Watch, che lo ha proposto e realizzato per primo (https://covid-watch.org/press_releases/google_apple_press_release <https://covid-watch.org/press_releases/google_apple_press_release>), PEPP-PT nella versione NTK adotta una versione semicentralizzata e ROBERT una soluzione interamente centralizzata. Non sono differenze da poco. Queste proposte, eccetto NTK, che è uscito il 17/3, sono emerse DOPO la chiusura della call (26/3): PEPP-PT il 1/4, DP-3T il 3/4, Apple&Google il 10/4. Pertanto è dubbio che la versione sottoposta alla call da Bending Spoons potesse essere in linea con esse. È dubbio quindi che ciò che è stato valutato e scelto dalla Task Force sia quello che è stato sottomesso. Questo tra l’altro pone dubbi di validità, perché se a Bending Spoons è stato concesso di rivedere la propria soluzione, si sarebbe dovuto consentire anche ad altri di risottomettere delle variazioni. In ogni caso il codice che il governo ha acquisito non può essere compliant con queste proposte, anche perché quelli che ha pubblicato i sorgenti finora sono TCN e DP-3T. Invece, dalle indiscrezioni giornalistiche, parrebbe che Immuni adotti il protocollo PEPP-PT NTK, in quanto sarebbe in grado di inviare una segnalazione all’utente che è risultato vicino a un contagiato. Questo passaggio prevede la possibilità di decifrare gli identificativi pseudo anonimi e di risalire all’utente. Già solo questo è preoccupante. A questo punto, mi pare cruciale che sia il governo a dover effettuare la scelta e assicurarsi che venga adottata nell’implementazione. Inoltre, le istituzioni italiane dovrebbero essere rappresentate direttamente nei gruppi di lavoro in cui si sviluppano queste tecnologie, che come si è visto, sono tuttora in pieno sviluppo. Inoltre, Apple&Google si dichiarano disponibili a discutere con le autorità sanitarie nazionali sulla finalizzazione e sull’uso del loro framework. Questo mi porterebbe a dire che bisognerebbe chiedere al governo: 1. Di affidare a una rappresentanza di tecnici la progettazione finale dell’architettura e del protocollo da adottare per Immuni. Tale gruppo potrebbe essere composto dai tecnici del task force, da personale di Bending Spoons e da tecnici del SSN. 2. Il processo di definizione delle scelte tecniche e dell’architettura dovrebbero esser trasparente e aperto, non svolto da persone obbligate a un NDA 3. Il gruppo suddetto dovrebbe essere incaricato di rappresentare ufficialmente l’Italia negli opportuni gruppi di lavoro internazionali 4. Il gruppo di lavoro dovrebbe qualificarsi come interlocutore con Apple&Google In tal modo il controllo della soluzione potrebbe tornare sotto legata del governo senza lasciare carta bianca a una società privata. — Beppe

6 10

l'approccio sistemico degli esperti inglesi per l'uscita dall'emergenza
by Enrico Nardelli April 23, 2020

April 23, 2020

Si tratta del rapporto dell'Ada Lovelace Institute di cui abbiamo già parlato in lista Ho iniziato a farne una presentazione in italiano, che si trova qua https://link-and-think.blogspot.com/2020/04/la-visione-sistemica-degli-espe… ritenendo possa essere utile ad un dibattito più informato. -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

1 0

A European contact-tracing app might be more privacy-invading than Apple and Google’s.
by J.C. DE MARTIN April 23, 2020

April 23, 2020

https://slate.com/technology/2020/04/europe-contact-tracing-privacy-apple-g… (Sent from my wireless device; please excuse brevity and typos (if any))

1 0

France’s Inria and Germany’s Fraunhofer detail their ROBERT contact-tracing protocol
by Giuseppe Attardi April 23, 2020

April 23, 2020

Pessima idea quella di centralizzare tutti i dati per calcolare un punteggio di rischio personalizzato. Questa sì che è una soluzione di sorveglianza invasiva. Andrebbero raccolti solo il minimo indispensabile di dati e conservati per il trmpo necessario al tracciamento dell’infezione. Altri protocolli, basati sulla raccolta solo delle chiavi giornaliere degli infetti, riducono il totale dei dati quindicinali per tutta Italia a circa 1GB. Sono dati ephemeral, per cui quelli di 15 giorni prima sarebbero inutili anche qualora qualcuno tentasse di appropriarsene. — Beppe https://techcrunch.com/2020/04/20/frances-inria-and-germanys-fraunhofer-det…

3 5

UBER going into delivery services
by Luigi Scorca April 22, 2020

April 22, 2020

Ne avevo scritto due anni fa: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3346379 Era solo questione di tempo. "Uber is introducing two new types of services, the company announced this week <https://www.uber.com/newsroom/moving-more-of-what-matters-with-delivery/>, including Uber Direct and Uber Connect. Direct is a delivery platform for retail items, while Connect is a peer-to-peer package delivery service, for sending goods to family and friends. This marks the most aggressive foray yet for Uber into courier services, after it already introduced grocery items to its Uber Eats platform as the coronavirus pandemic continues to suppress its ride-hailing business" https://techcrunch-com.cdn.ampproject.org/c/s/techcrunch.com/2020/04/20/ube… Luigi

1 0

Articolo sul Manifesto rigurado la "Lettera Aperta ai decisori" di Nexa
by Roberto Resoli April 22, 2020

April 22, 2020

https://ilmanifesto.it/la-app-che-non-disturba-i-manovratori-della-rete/ Ho il forte dubbio che l'autore non abbia nemmeno letto il testo della lettera, visto che dichiara quasi subito: "Bandiera di tutto il dibattito è una lettera aperta ai decisori, firmata dal gotha dell’intellighenzia digitale italiana che spiega perché la soluzione Immuni sia comunque il meglio possibile." O che comunque l'abbia letta con la lente del proprio pregiudizio. rob

5 6

La app Immuni e il diritto alla salute ex art. 32 cost.
by Roberto Resoli April 22, 2020

April 22, 2020

Riporto qui alcune note di un giurista, che mi sembrano assai pertinenti. «Il cuore dell'ordinanza n. 10/2020 del commissario Arcuri è questo: RITENUTO che il contact tracing tracciatura dei contatti è una delle azioni di sanità pubblica utilizzate per la prevenzione e contenimento della diffusione di molte malattie infettive e rappresenta un elemento importante all’interno di una strategia sostenibile post-emergenza e di ritorno alla normalità; CONSIDERATO che il contact tracing può infatti aiutare ad identificare individui potenzialmente infetti prima che emergano sintomi e, se condotto in modo sufficientemente rapido, può impedire la trasmissione successiva dai casi secondari;RITENUTO che l’uso della tecnologia in ambito di contact tracingappare in grado di dare un contributo rilevante per un tracciamento di prossimità molto più efficiente e rapido di quello tradizionale che non sempre si rivela efficace e comporta maggior dispendio di risorse;CONSIDERATO che un softwaredi contact tracingcostituisce, ai sensi dell'art. 122 del citato del decreto-legge 17 marzo 2020, n. 18, un bene strumentale particolarmente utile a contenere e contrastare l’emergenza epidemiologica COVID-19, da acquisire ai sensi della citata disposizione unitamente ad ogni attività o servizio necessario per lo sviluppo del software stesso; L'ordinanza in nessuna parte delle premesse cita l'articolo 32 Cost. che riconosce il diritto alla salute come diritto fondamentale dell'individuo. Quindi non è la salute diritto fondamentale del singolo ad essere protetta. L'interesse della collettività alla salute può essere realizzato mediante obblighi ad un trattamento sanitario e in ogni caso la dignità umana costituisce il limite invalicabile di qualsiasi trattamento, sanitario o non sanitario. La app è un trattamento sanitario? No è una azione di sanità pubblica, NON un trattamento sanitario. E' una azione che rientra nel novero delle attività amministrative di sanità pubblica. Nulla a che vedere quindi con un trattamento sanitario. Se l'articolo 32 non è citato, se da nessuna parte si connette questa app con il diritto alle cure e all'assistenza sanitaria, esattamente questa app chi e cosa protegge che sia coerente con l'art. 32 Cost., visto che non è citato nell'ordinanza?»

1 0

Re: [nexa] Immuni e PEPP-PT NTK
by Giuseppe Attardi April 22, 2020

April 22, 2020

Il motivo è semplice. Se vuoi sapere se stato infettato, devi poter considerare tutti i contagiati. Dato che le app conservano i dati solo localmente, nessuna delle app avrebbe accesso ai dati di tutti i contagiati. Per questo è inevitabile la raccolta in un posto unico. Il problema vale anche per le app di diversi paesi: se mi infetto a Pisa, ma la settimana scorsa ero a Barcellona, il SSN deve essere informato. Data la delicatezza del processo, è necessario che gli unici attori siano le autorità sanitarie ufficialmente riconosciute. -- > On 22 Apr 2020, at 13:21, nexa-request(a)server-nexa.polito.it wrote: > > From: Davide Carboni <dcarboni(a)gmail.com <mailto:dcarboni@gmail.com>> > Cc: Nexa <nexa(a)server-nexa.polito.it <mailto:nexa@server-nexa.polito.it>> > Subject: Re: [nexa] Immuni e PEPP-PT NTK > Message-ID: > <CAO1McFd3SCBr+7sZRjnv7FoTPPoJLHeoPS5RtUMuzaUqOi8iHQ(a)mail.gmail.com <mailto:CAO1McFd3SCBr+7sZRjnv7FoTPPoJLHeoPS5RtUMuzaUqOi8iHQ@mail.gmail.com>> > Content-Type: text/plain; charset="utf-8" > > Faccio due considerazioni se posso. E' un'emergenza? Allora ci sta che il > Governo affidi direttamente o alcune procedure vengano cortocircuitate, se > in Italia si potesse applicare il principio di accountability la cosa > funzionerebbe senza problemi. Tuttavia mi chiedo, perché dovrebbe esistere > una app del Governo invece di una moltitudine? Sembra assurdo ma in realtà > il Governo dovrebbe far produrre alla task force dei requisiti che possano > essere certificati prima di apporre un marchio "covid19" o simili e > lasciare che N applicazioni vengano sviluppate, sono abbastanza sicuro ne > vedremo parecchie e di migliori di quelle di cui stiamo parlando.

1 0