- nexa - server-nexa.polito.it

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Giuseppe Attardi

Concordo. Giovedì mi trovavo al Garante della Privacy per un seminario su La Guerra dei Cookie. Alla fine il vicedirettore mi ha chiesto che suggerimenti potevo dare a loro su normative per difendere i cittadini. Ho risposto che nessuna misura potrà essere efficace se si mette il singolo contro la grande azienda: il confronto è troppo squilibrato tra chi detiene enormi poteri, tecnologici e finanziari. Nella presentazione avevo usato la metafora del gigante contro un insetto. Quindi il mio suggerimento è stato che le difese devono avvenire a livello collettivo, non individuale, che il valore dei dati sta nella collezione, non nel dato singolo. Pertanto la protezione deve avvenire sul bene comune, che è la raccolta complessiva dei dati. Pertanto la loro difesa andrebbe affidata a una cooperativa di utenti, come quelle che gestiscono i Beni Comuni, secondo le indicazioni della premio Nobel Elinor Ostrom. Nella fattispecie andrebbero create delle cooperative di dati, che io chiamo Digital Utopia, a cui i cittadini aderiscono e affidano i propri dati e la gestiine, anche economica, di ciò che essi fanno in rete. Queste organizzazioni dovrebbero negoziare con le aziende i termini e l’uso di tali beni comuni, anche remunerandoli eventualmente. Tali remunerazioni, insieme con le donazioni da parte degli associati, consentirebbero loro di mantenersi, offrire servizi agli associati e svolgere studi e ricerche per migliorare e aumentare il valore dei beni comuni. In particolare, per la gestione dei cookie, invece di dovermi sobbarcare singolarmente di scegliere e leggere ogni due minuti le condizioni di accettazione, un utente potrebbe aderire una volta per tutte a una cooperativa di cui si fida, a cui delegare la scelta di come utilizzare i cookie. Un team di esperti della cooperativa si occuperebbe di decidere quali sia la migliore politica da adottare a seconda dei casi. Nello specifico della posta, ricercatori e studenti universitari potrebbero affiliarsi ad un’associazione a cui affidare la gestione della posta elettronica in modalità autonoma dalle aziende private. Questa associazione potrebbe poi negoziare con le università la fornitura del servizio, o pagando, come adesso pagano Exchange e GMAil, o entrando come soci nell’associazione stessa. Va sens dire che un’associaziine del genere esiste già, anche se sottoutilizzata per questi fini. — Beppe > > Date: Fri, 27 Jan 2023 14:13:01 +0100 > From: "J.C. DE MARTIN" <demartin(a)polito.it> > To: nexa(a)server-nexa.polito.it > Subject: Re: [nexa] mail studenti UniMi outsourced a Microsoft > Message-ID: <954ce58e-e1de-7dd8-19d8-dbb0019b7b4b(a)polito.it> > Content-Type: text/plain; charset="utf-8"; Format="flowed" > > Esatto: la soluzione deve essere istituzional-politica. > > Scaricare tutto sui singoli, ovvero, pretendere comportamenti più o meno > eroici da parte dei singoli invocando principi, anche sacrosanti, non > solo non è, a mio avviso, moralmente difendibile, ma non funzionerà _mai_. > > jc > > >> On 27/01/23 13:39, Antonio Vetro' wrote: >> Condivido di aver fatto una cosa molto simile, da genitore, per uno >> dei miei figli alla scuola materna (!!). >> >> Nonostante tanta perseveranza e telefonate con il preside, non ha >> portato risultati, e siamo stati anche oggetto di discriminazioni in >> alcune circostanze >> (es. l’anno scorso non abbiamo potuto svolgere i colloqui con gli >> insegnanti, perché fruibili solo attraverso l’account google >> dell’alunno, nemmeno per telefono!). >> >> Non abbiamo ceduto e non lo faremo perché finché è la materna i danni >> al bimbo sono davvero limitati. >> >> Tuttavia, non mi sentirei di consigliare questa strada ad altri >> genitori, soprattutto se meno addentro la questione, >> che deve -a mio avviso- essere affrontata a livello politico, invece >> di essere scaricata a livello individuale, >> come tante altre cose (es. questione ambientale, ecc). >> >> Un caro saluto, >> Antonio >> >> >>> Il giorno 27 gen 2023, alle ore 13:28, graffio via nexa >>> <nexa(a)server-nexa.polito.it> ha scritto: >>> >>> Ciao, >>> approfitto per riportare la mia esperienza di genitore di una >>> studentessa di un primo liceo scientifico di Roma. >>> >>> Senza chiedere nessun consenso, un giorno mi è arrivata la seguente mail: >>> >>> "Gentile Genitore. >>> le comunico che è stato creato l'account alla posta del Liceo Cavour >>> e ai servizi Gsuite per suo figlio/a. >>> Il nome utente è: nome.cognome.stud@ >>> <mailto:nome.cognome.stud@liceocavour.edu.it>liceopincopallino >>> <mailto:angela.antonucci.stud@liceocavour.edu.it>.edu.it >>> <mailto:nome.cognome.stud@liceocavour.edu.it> >>> la password è così composta: sezioneliceopincopallinonumeroordineregistro >>> >>> esempio mario.rossi.stud(a)liceopincopallino.edu.it >>> <mailto:angela.antonucci.stud@liceocavour.edu.it> >>> 1Aliceopincopallino3 >>> >>> La password dovrà essere modificata al primo accesso. >>> Cordiali saluti" >>> >>> Ho risposto chiedendo gentilmente di verificare se la piattaforma >>> utilizzata fosse a norma con le direttive europee in materia di >>> privacy, corredando la mail con una serie di riferimenti al GDPR, >>> alla Schrems II, al rapporto sulle violazioni della privacy di Human >>> Right Watch, etc. >>> >>> In risposta alla mia mi è stata inviata l'informativa sulla privacy >>> di Google, che, secondo la responsabile, avrebbe potuto fugare i miei >>> dubbi. Nella stessa mail però, ed è questa la cosa importante, c'era >>> scritto anche: >>> "In ogni caso, se Lei ritenesse rischioso per sua figlia l'utilizzo >>> di questa piattaforma, può benissimo non dare il Suo consenso. I >>> docenti organizzeranno il proprio lavoro anche tenendo conto della >>> Sua scelta." >>> >>> A seguito di questo scambio la responsabile ha scritto alla >>> coordinatrice di classe, con me in copia: >>> "ti informo che il genitore della studentessa XXXXXXXX non ha >>> acconsentito all'utilizzo della Gsuite per la propria figlia. >>> Ti chiedo la cortesia di informare i colleghi del Consiglio di Classe. >>> Se su Classroom dovessero essere assegnate attività o inseriti >>> documenti, vi chiedo la cortesia di farli avere all'alunna per le vie >>> brevi, ad esempio utilizzando delle fotocopie. >>> Tenete anche conto che la studentessa non è in possesso della mail >>> istituzionale." >>> >>> Vi sembra una strada da proporre anche ad altrie che potrebbe >>> smuovere le acque? >>> >>> buon tutto >>> >>> -- >>> Maurizio "Graffio" >>> Pillole di informazione digitale -https://pillole.graffio.org >>> "C.I.R.C.E. -https://circex.org" >>> AvANa -https://avana.forteprenestino.net/ >>> Lynx -https://www.lynxlab.com >>>

Jan. 28, 2023

Re: [nexa] Blackout Libero Mail

by Marco Giustini

Non volendo per nulla sminuire l'importante discussione sul problema della privacy dei servizi offerti da GAFAM e nello specifico da Google, c'è da dire che c'è un abisso di affidabilità che separa il servizio fornito da Libero da quello fornito da Google. All'interno del "male" in sostanza ci può essere il "peggio". Strutturalmente un problema come quello emerso con il blackout, dovuto ad un conflitto software tra il programma di posta e lo storage esternalizzato, non sarebbe potuto emergere in Google essendo tutto internalizzato. Il giorno ven 27 gen 2023 alle ore 09:22 Antonio <antonio(a)piumarossa.it> ha scritto: > Breve commento dello scrittore e giornalista Ottavio Olita. > "Il lunghissimo blackout è la più forte dimostrazione di quanto sia > pericolosa una gestione monopolistica di qualunque forma di > comunicazione ... > La vita democratica deve reggersi sulla pluralità delle fonti, sulla > possibilità di accedere senza veti alle informazioni e a diffonderle per > un pieno esercizio delle libertà del cittadino" > > > https://www.articolo21.org/2023/01/quarto-giorno-di-inspiegabile-blackout-p… > > A. > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Jan. 28, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Damiano Verzulli

Il 27/01/23 19:07, Andrea Trentini ha scritto: > On 27/01/2023 19:03, Damiano Verzulli wrote: >> ... >> Tutto cio' per dire che... benvenga il problema sollevato da >> UniMilano (che nei miei dati, figura fra i SELF-HOSTED)... ma la >> situazione è _MOLTO_ piu' ampia. > > dal 6 febbraio dovrebbe risultare studenti.unimi.it a MS e resto > self-hosted Confermo (lo dicevo per dire che i miei dati, sono destinati a "peggiorare"). Tra l'altro, nel caso di UniMI, alcune voci "affidabili" mi dicono che sebbene fra i tecnici interni ci siano degli "appassionati di tecnologie Microsoft", la scelta, in realta' è stata _POLITICA_. Ossia: è dall'alto che è arrivato l'input di... procedere in questo senso. Scommetto un braccio che... il commerciale Microsoft è andato a bussare in Segreteria del Direttore Generale e si è presentato, con un biglietto da visita con, sullo sfondo, la scritta "CRUI": https://ict.crui.it/microsoft/ Insomma: vale (molto) piu' un commerciale sconosciuto... con un buon biglietto da visita... ed una referenza verbale (di CRUI)... che il tuo "staff tecnico" che, da anni, fa si che quel servizio funzioni ed apporti valore e competenze sul tuo territorio... Tristezza. È per questo che chiedo --anche con un po' di insistenza-- a chi ha dei "bei biglietti da visita" di... provare a fare cose "analoghe"... Saluti, DV -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Andrea Trentini

On 27/01/2023 19:03, Damiano Verzulli wrote: > ... > Tutto cio' per dire che... benvenga il problema sollevato da UniMilano (che nei miei dati, figura > fra i SELF-HOSTED)... ma la situazione è _MOLTO_ piu' ampia. dal 6 febbraio dovrebbe risultare studenti.unimi.it a MS e resto self-hosted -- Andrea Trentini ⠠⠵ http://atrent.it Dip.to di Informatica Università degli Studi di Milano

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Damiano Verzulli

Il 27/01/23 14:16, Maria Chiara Pievatolo ha scritto: > [...] > La soluzione dovrebbe essere istituzionale - ma le istituzioni vanno > in direzione contraria. Sul fatto che --in ambito "Posta Elettronica degli studenti affidata a Google/Microsoft"-- le istituzioni vadano in direzione contraria.... ho appena messo assieme alcuni numeri. Ho fatto rigirare il "robottino" che feci a suo tempo (febbraio 2021), per veriicare la situazione della Posta negli Atenei [1] (posta "istituzionale"). Rispetto ad allora, 4 ulteriori Atenei hanno spento i server "interni" e sono migrati verso il cloud. Abbiamo perso, quindi: - SISSA – Scuola Internazionale Superiore di Studi Avanzati (a Microsoft) - Università di Palermo (a Microsoft) - Università Mediterranea di Reggio Calabria (a Microsoft) - Università di Sassari (a Google) Ho anche provato a vedere cosa succede per i domini "@studenti.<univ>.it". Da una prima scrematura (dettagli: in fondo): - 20 Atenei hanno la posta dei propri studenti su Google - 20 Atenei hanno la posta dei propri studenti su Microsoft - 7 Atenei ce l'hanno INTERNAMENTE (self-hosted) - di 19 Atenei... non sono riuscito (rapidamente) a trovare dettagli. Tutto cio' per dire che... benvenga il problema sollevato da UniMilano (che nei miei dati, figura fra i SELF-HOSTED)... ma la situazione è _MOLTO_ piu' ampia. Un saluto, DV =========================================== Google => studenti.iuav.it => studenti.uniba.it => studenti.unibas.it => studenti.unibg.it => studenti.unibs.it => studenti.unicam.it => studenti.unich.it => studenti.unicz.it => studenti.unisalento.it => studenti.unipd.it => studenti.unimore.it => studenti.unipa.it => studenti.uniroma1.it => studenti.unisa.it => studenti.uniss.it => studenti.unite.it => studenti.unitn.it => studenti.unistrasi.it => studenti.unitus.it => studenti.uniupo.it Microsoft => studenti.univr.it => studenti.poliba.it => studenti.unica.it => studenti.unical.it => studenti.unicampania.it => studenti.unicas.it => studenti.unict.it => studenti.unimc.it => studenti.unime.it => studenti.unimol.it => studenti.uninsubria.it => studenti.unior.it => studenti.uniparthenope.it => studenti.unipg.it => studenti.unipi.it => studenti.unipr.it => studenti.unirc.it => studenti.uniroma4.it => studenti.unistrapg.it => studenti.units.it Self-Hosted: => studenti.unifi.it => studenti.unige.it => studenti.unimi.it => studenti.unina.it => studenti.unisannio.it => studenti.unibo.it => studenti.polito.it Ignoti: => studenti.gssi.it => studenti.imtlucca.it => studenti.polimi.it => studenti.sissa.it => studenti.sns.it => studenti.sssup.it => studenti.unife.it => studenti.unifg.it => studenti.unimib.it => studenti.unipv.it => studenti.uniroma2.it => studenti.uniroma3.it => studenti.unisi.it => studenti.unito.it => studenti.uniud.it => studenti.uniurb.it => studenti.univaq.it => studenti.unive.it => studenti.univpm.it [1] http://dvblog.soabit.com/la-posta-elettronica-negli-atenei-italiani/ -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Damiano Verzulli

Il 27/01/23 17:30, Andrea Trentini ha scritto: > [...] > vi tengo posted qui a valle di una mail al DPO potrebbe essere utile --ai fini del confronto con il DPO-- dare un'occhiata a questo "panel": Effetto Covid-19: gli effetti del lockdown sulla sicurezza informatica. Come cambia la difesa quando il perimetro sparisce: esperienze => https://www.eventi.garr.it/en/ws20/programme/speaker-en/642-nicla-diomede#S6 Fu tenuto lo scorso novembre 2020, in occasione del GARR-Workshop 2020, e vide la partecipazione (fra gli altri) di: - Pierluigi Perri - DPO UniMilano - Guido Scorza - Garante Privacy Il panel era moderato da Nicla Diomede (che attualmente è responsabile CyberSec in Roma Capitale) e fu stimolato proprio dall'allora recente invalidazione del cosiddetto "Privacy Shield", che prima forniva alle societa' USA la possibilita' di "bypassare" alcune restrizioni del GDPR e che, invece, grazie a Max Shrems, fu invalidato... Pur essendo passati due anni... la situazione credo sia rimasta invariata. Anzi: il focus delle autorita' è certamente aumentato rispetto ad allora... Bye, DV -- Damiano Verzulli e-mail:damiano@verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Giacomo Tesio

Capisco... e mi scuso per aver frainteso. On Fri, 27 Jan 2023 18:04:33 +0100 J.C. DE MARTIN wrote: > La via maestra è, a mio avviso, la mobilitazione /collettiva/ Sarei felicissimo di partecipare ad una tale mobilitazione collettiva. Onestamente però, non so come si organizza. Se hai suggerimenti o contatti che possano produrre una tale mobilitazione, ti prego di condividerli. > ma ovviamente ben vengano anche le iniziative dei singoli, se > possono essere in qualche modo utili, anche solo indirettamente. Una comunità non si riduce ad un insieme di singoli individui, ma non c'è comunità che non ne comprenda almeno una. In attesa di una mobilitazione collettiva, in attesa delle soluzioni "politico-istituzionali"... che possiamo fare noi singoli individui? Siamo costretti a difendere come possibile le persone che amiamo (e di cui rispondiamo alla nostra Coscienza, ancor prima che alla Legge). D'altro canto, proprio gli individui possono rendere evidente il costo dell'uso di certe tecnologie di controllo di massa, esigendo il rispetto della Legge e diventando (faticosamente) incomprimibili sassolini fra gli ingranaggi. Giacomo

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by J.C. DE MARTIN

Caro Giacomo, scrivere che la soluzione deve essere "istituzional-politica" non vuole affatto dire che allora i cittadini devono rassegnarsi. Al contrario significa che i cittadini dovrebbero mobilitarsi affinché le istituzioni e/o la politica, qualunque cosa "istituzione" e "politica" vogliano dire nello specifico contesto e per lo specifico problema. Quale tipo di mobilitazione? La via maestra è, a mio avviso, la mobilitazione /collettiva/, ma ovviamente ben vengano anche le iniziative dei singoli, se possono essere in qualche modo utili, anche solo indirettamente. Ciao, jc On 27/01/23 16:19, Giacomo Tesio wrote: > Salve Juan Carlos, > > On Fri, 27 Jan 2023 14:13:01 +0100 J.C. DE MARTIN wrote: > >> Esatto: la soluzione deve essere istituzional-politica. > La Politica è una cosa da cittadini. > E' troppo importante per lasciarla alle istituzioni. > > Almeno in una democrazia. > > >

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Giacomo Tesio

On Fri, 27 Jan 2023 17:30:45 +0100 Andrea Trentini wrote: > esatto, pensavo di scrivere al nostro DPO > https://www.unimi.it/it/ateneo/normative/privacy > e chiedere lumi > > [...] > > vi tengo posted qui a valle di una mail al DPO Sebbene il compito del DPO sia tutelare i diritti degli interessati, non è lui a rispondere di eventuali illeciti. Non è dunque al DPO che devi scrivere in prima battuta per segnalare gli illeciti che riscontri, ma al Titolare (eventualmente mettendo in copia il DPO), perché è il Titolare a doverne rispondere. Questa cosa l'abbiamo imparata con la primissima PEC di Monitora PA, che indirizzammo appunto ai DPO delle diverse PA, molti dei quali ci presero pubblicamente in giro per la nostra ignoranza. Da uno fummo definiti spregiativamente "collettivo hacker studentesco" cosa che noi in realtà considerammo un grande complimento! Gli hacker studiano sempre! Da quando abbiamo iniziato a scrivere ai Titolari non abbiamo più ricevuto critiche di questo tipo. Dunque, non scrivere al DPO se non in copia: è al Titolare che devi segnalare l'illecito e chiedere la sua interruzione. Così se non lo sana in un tempo utile (che devi definire nella richiesta) potrai fare segnalazione al Garante allegando la tua richiesta. Il Titolare potrebbe infatti non avere le competenze per comprendere l'illecito e il DPO potrebbe... aver perso di vista... una sentenza o due... un pronunciamento o due... E questo rapporto del EDPB che chiarisce in modo cristallino il problema è molto recente (del 18 gennaio 2023) quindi potrebbe non essere stato ancora... letto con la dovuta cura... https://edpb.europa.eu/system/files/2023-01/edpb_20230118_cef_cloud-basedse… > > Inoltre viste le tue competenze e la tua autorevolezza, un allegato > > tecnico sarebbe di sicura utilità per il Garante. > > non mi ritengo esperto di normative... Intendevo che potresti scrivere un'allegato tecnico spiegando come il transito delle mail in entrata/uscita dai server Microsoft comporta la possibilità di accedere a messaggi non cifrati (la maggioranza) e metadati da parte di Microsoft. Non credo che serva al Titolare del Trattamento (il rapporto del EDPB sopra è cristallino in proposito da un punto di vista legale), ma paradossalmente una analisi chiara dal punto di vista tecnico può essere oggettivamente utile al Garante. Giacomo

Jan. 27, 2023

Re: [nexa] mail studenti UniMi outsourced a Microsoft

by Andrea Trentini

On 27/01/2023 15:49, Giacomo Tesio wrote: > ... > Sì, puoi fare segnalazione al Garante di qualsiasi violazione del GDPR > di cui vieni a conoscenza (fermo restando che, segnalazioni palesemente > false sono probabilmente perseguibili). direi che questa non lo è, a meno che il DPO (vedi sotto) non abbia risposte esaurienti > Se vuoi una mano, non esitare a chiedere: ho una certa esperienza in > proposito: volentieri, grazie > ... > E' buona prassi comunque richiedere al Titolare del Trattamento > l'interruzione dell'illecito prima di effettuare la segnalazione. > Se il Titolare non risponde entro un tempo congruo (30 giorni?) o > se ti risponde che "Microsoft dice che andrà tutto bene", allora puoi > fare la segnalazione al Garante. esatto, pensavo di scrivere al nostro DPO https://www.unimi.it/it/ateneo/normative/privacy e chiedere lumi > Inoltre viste le tue competenze e la tua autorevolezza, un allegato > tecnico sarebbe di sicura utilità per il Garante. non mi ritengo esperto di normative... > Non hai certo bisogno del mio aiuto, ma nel caso, sappi che sono felice > di fare il possibile. vi tengo posted qui a valle di una mail al DPO > Detto questo, poiché scrivi tu stesso da @unimi.it immagino tu abbia > modo di segnalare ad un qualche gruppo studentesco un po' battagliero > la possibilità di effettuare un RECLAMO, cosa che tu non puoi fare, per > la casella email, fintanto che anche la tua non viene spostata sul > cloud Microsoft. per ora siamo "salvi" > Il reclamo infatto lo possono fare solo gli interessati, in quanto era quello che immaginavo > vittime della violazione del GDPR per cui sporgono reclamo appunto. > > Naturalmente, se non lo sei ancora per la Mail (dal MX record vedo > ancora un ip del GARR e dagli header SMTP dell'ultima mail che ho > ricevuto qualche mese fa da @unimi.it deduco che M$ non controlli > ancora il canale) lo potresti essere per altri servizi, come Teams > o OneDrive o SharePoint che UNIMI potrebbe aver sciaguratamente > affidato a Microsoft già in passato. già, a livello di ateneo siamo "Microsoftizzati" (Teams, OneDrive, ...) mentre il dip.to aggiunge Zoom per le lezioni (in lockdown), cmq vedo poca sensibilità anche tra i colleghi :( (oltre che negli studenti, come altri hanno segnalato, e confermo) -- Andrea Trentini ⠠⠵ http://atrent.it Dip.to di Informatica Università degli Studi di Milano

Jan. 27, 2023