- nexa - server-nexa.polito.it

The CIA’s ‘Pokémon Go’ App is Doing What the Patriot Act Can’t
by Alberto Cammozzo July 31, 2016

July 31, 2016

[...] Firstly, the app requires an excessive amount of permissions on a user’s device, including the ability to read your contacts, find accounts on your device, and access your camera. The app even requires full access to a user’s Google account, which it can then use to read your emails, send emails from your account, browse your Google Drive documents and photos, etc. But apparently that’s just “a mistake” and will be “corrected soon.” Secondly, the game’s privacy policy contains such gems as: “We may disclose any information about you (or your authorized child) that is in our possession or control to government or law enforcement officials or private parties.” What could go wrong? But wait, it gets worse! The maker of the app? Niantic Labs. Never heard of them? That’s because until last year they were an internal start-up of none other than Google, the NSA-linked Big Brother company. Even now Google remains one of Niantic’s major backers. Niantic was founded by John Hanke, who also founded Keyhole, Inc., the mapping company which was created with seed money from In-Q-Tel, the CIA’s venture capital arm, and which was eventually rolled into Google Maps. So yes, the Pokémon game currently taking the internet by storm (and scooping up all their data, including activities, movements and communications) was created by a CIA-linked businessman who gestated his company at Google. [...] <https://www.corbettreport.com/the-cias-pokemon-go-app-is-doing-what-the-pat…>

1 0

Obama Finally Decides Who’s In Charge When America Comes Under Cyberattack
by Alberto Cammozzo July 31, 2016

July 31, 2016

The White House has placed the Justice Department squarely in charge of responding to cyberthreats against the United States, under a presidential directive issued Tuesday. At the same time, the Homeland Security Department will immediately help agencies and companies, if requested, stanch the bleeding from a hacker assault on networks, or “assets,” President Barack Obama said. For years, there has been confusion in the private sector and internally among agencies about who’s in charge when hackers hit the homeland. Justice will take the lead in “threat response” or investigating a system attack on site, identifying the perpetrator and breaking up attack operations because foreign adversaries often are involved. “In view of the fact that significant cyberincidents will often involve at least the possibility of a nation-state actor or have some other national security nexus, the Department of Justice, acting through the Federal Bureau of Investigation and the National Cyber Investigative Joint Task Force, shall be the federal lead agency for threat response activities,” the directive states. <http://www.defenseone.com/technology/2016/07/obama-finally-decides-whos-cha…>

1 0

Re: [nexa] publica Moglen's keynote: "The last kilometer, the last chance"
by J.C. DE MARTIN July 30, 2016

July 30, 2016

"This is the last generation in which the human race gets a choice." .... "By 2025 it will be all over". Il keynote address di Eben Moglen e Mishi Choudhary all'ultima edizione di Re:publica a Berlino: https://youtu.be/-T4bZ5R-MH8 juan carlos

1 0

How To Fool AI Into Seeing Something That Isn’t There
by Alberto Cammozzo July 30, 2016

July 30, 2016

How To Fool AI Into Seeing Something That Isn’t There [...] Today, neural nets are quite good at recognizing faces and spoken words—not to mention objects, animals, letters, and words. But they do make mistakes—sometimes egregious mistakes <http://www.telegraph.co.uk/technology/google/11710136/Google-Photos-assigns…>. “No machine learning system is perfect,” says Kurakin. And in some cases, you can actually fool these systems into seeing or hearing things that aren’t really there. As Kurakin explains, you can subtly alter an image so that a neural network will think it includes something it doesn’t, an these alterations may be imperceptible to the human eye—a handful of pixels added here and another there. You could change several pixels in a photo of an elephant, he says, and fool a neural net into thinking it’s a car. Researchers like Kurakin call these “adversarial examples.” And they too are security holes. With their new paper [1], Kurakin, Bengio, and Goodfellow show that this can be a problem even when a neural network is used to recognize data pulled straight from a camera or some other sensor. Imagine a face recognition system that uses a neural network to control access to a top-secret facility. You could fool it into thinking you’re someone who you’re not, Kurakin says, simply by drawing some dots on your face. Goodfellow says this same type of attack could apply to almost any form of machine learning, including not only neural networks but things like decision trees <https://en.wikipedia.org/wiki/Decision_tree_learning> and support vector machines <https://en.wikipedia.org/wiki/Support_vector_machine>—machine learning methods that have been popular for more than a decade, helping computer systems make predictions based on data. In fact, he believes that similar attacks are already practiced in the real world. Financial firms, he suspects, are probably using them to fool trading systems used by competitors. “They could make a few trades designed to fool their competitors into dumping a stock at a lower price than its true value,” he says. “And then they could buy the stock up at that low price.” In their paper, Kurakin and Goodfellow fool neural nets by printing an adversarial image on a piece of a paper and showing the paper to a camera. But they believe that subtler attacks could work as well, such as the previous dots-on-the-face example. “We don’t know for sure we could do that in the real world, but our research suggests that it’s possible,” Goodfellow says. “We showed that we can fool a camera, and we think there are all sorts of avenues of attack, including fooling a face recognition system with markings that wouldn’t be visible to a human.” [...] <https://www.wired.com/2016/07/fool-ai-seeing-something-isnt/> [1] <https://arxiv.org/pdf/1607.02533v1.pdf>

1 0

"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"
by J.C. DE MARTIN July 30, 2016

July 30, 2016

*"A Famed Hacker Is Grading Thousands of Programs — and May Revolutionize Software in the Process"** * Kim Zetter July 29 2016, 4:00 p.m. At the Black Hat cybersecurity conference in 2014, industry luminary Dan Geer, fed up with the prevalence of vulnerabilities in digital code, made a modest proposal: Software companies should either make their products open source so buyers can see what they’re getting and tweak what they don’t like, or suffer the consequences if their software failed. He likened it to the ancient Code of Hammurabi, which says that if a builder poorly constructs a house and the house collapses and kills its owner, the builder should be put to death. No one is suggesting putting sloppy programmers to death, but holding software companies liable for defective programs, and nullifying licensing clauses that have effectively disclaimed such liability, may make sense, given the increasing prevalence of online breaches. The only problem with Geer’s scheme is that no formal metrics existed in 2014 for assessing the security of software or distinguishing between code that is merely bad and code that is negligently bad. Now, that may change, thanks to a new venture from another cybersecurity legend, Peiter Zatko, known more commonly by his hacker handle “Mudge.” […] Continua qui: https://theintercept.com/2016/07/29/a-famed-hacker-is-grading-thousands-of-…

1 0

R: Re: R: R: SPID e wi-fi federata con un sistema di accesso unico
by Francesco Pizzetti July 29, 2016

July 29, 2016

Posso sbagliarmi ma la sua testimonianza spinge,anzi impone, approfondimenti molto importAntiFranco Pizzetti Inviato dal mio dispositivo Samsung -------- Messaggio originale -------- Da: Diego Giorio <dgiorio(a)hotmail.com> Data: 29/07/16 09:29 (GMT+01:00) A: Giuseppe Attardi <attardi(a)di.unipi.it>, nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico In effetti io l'ho sottoscritto con le Poste, e non mi hanno chiesto documenti o altri dati, ma ho usato il sistema che uso per entrare in Bancoposta per ottenere le credenziali SPID. saluti a tutti S. From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giuseppe Attardi <attardi(a)di.unipi.it> Sent: Friday, July 29, 2016 7:20 AM To: nexa(a)server-nexa.polito.it Subject: Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it wrote: In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. — Beppe

3 2

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico
by SASSANO ANNA PIA (ADPA) July 29, 2016

July 29, 2016

Gentile professor Pizzetti le ulteriori informazioni su quanto mi ha cortesemente segnalato: · "allegato su informativa privacy che sembra non reperibile": è quello che le ho fornito nell'e.mail reperibile nell'area PosteID del sito di Poste https://posteid.poste.it/risorse/condivise/doc/informativa_privacy.pdf · "dove e come è richiesto il consenso specifico": durante il processo di registrazione al servizio PosteID; · "come revocare il consenso e in che modo e forma": i consensi sono modificabili nella sezione «profilo» dell'area PosteID del sito di Poste dal momento in cui è stata completata la registrazione. All'interno dell'informativa è anche indicata ai clienti la possibilità di rivolgersi al Centro Servizi Privacy di Poste Italiane per variare i consensi stessi o esercitare gli altri diritti dalla normativa.Tale informazione è riportata altresì nella sezione "Richiedi Assistenza" del sito https://posteid.poste.it/ · "l'informativa dice che i dati relativi a servizio SPID non sono mai trattati per profilazione": come ho già avuto modo di rappresentarle nella mia precedente e.mail, la profilazione se autorizzata riguarda soltanto i prodotti/servizi attivi che il cliente ha con Poste Italiane. Quindi non riguarda mai, come peraltro esplicitato dall'informativa, i dati acquisiti durante la registrazione né l'informazione sull'unico dato conosciuto, il Service Provider a cui si chiede di accedere. Su quest'ultimo tema, visto che l'interesse per il WIFI è da indirizzare su quanto viene a conoscenza dei Service Provider, Le segnalo che la bozza di Convenzione pubblicata sul sito di AGID http://www.agid.gov.it/notizie/2016/07/27/spid-pubblicata-bozza-convenzione…, che dovranno sottoscrivere i Service Provider Privati per i servizi che esporranno sul circuito SPID in quanto regolamenta i limiti entro cui i SP potranno utilizzare i dati ricevuti dagli IDP per l'accesso ai servizi, riporta la seguente dicitura "il Service Provider è legittimato alla profilazione dell'utente ai soli fini commerciali del Service Provider e limitatamente ai consensi relativi al trattamento dei dati personali secondo le vigenti regole sulla privacy". Spero siano state informazioni utili. Cordiali Saluti Anna Pia Sassano ________________________________ La presente comunicazione elettronica contiene informazioni aziendali non private. Eventuali risposte alla presente potrebbero essere conosciute, per motivi organizzativi e di sicurezza, dal personale di Poste Italiane S.p.A.

1 0

Google adempie agli impegni presi con il Garante italiano e migliora le sue politiche di privacy
by Mauro Alovisio July 29, 2016

July 29, 2016

Gent.mi/me segnalo dal sito del garante privacy Buon fine settimana Mauro Alovisio *http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/5305211 <http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/…>* *Google adempie agli impegni presi con il Garante italiano e migliora le sue politiche di privacy* *Informazioni più chiare e accessibili, consenso più articolato, nuovi strumenti per controllare i propri dati* Google ha adempiuto agli impegni presi con il Garante della privacy per rendere conforme il trattamento dei dati degli utenti alla normativa italiana. Si è conclusa positivamente la verifica da parte dell'Autorità sugli adempimenti prescritti nel provvedimento del luglio 2014 <http://www.garanteprivacy.it/garante/doc.jsp?ID=3283078>e disciplinati nel protocollo di verifica <http://www.garanteprivacy.it/garante/doc.jsp?ID=3740038> che Google ha sottoscritto all'inizio dello scorso anno. Nel corso dei 18 mesi concessi a Google il Garante ha effettuato verifiche presso la sede di Mountain View e ha ricevuto aggiornamenti trimestrali sull'attuazione delle prescrizioni. Il protocollo prevedeva l'implementazione di una serie di misure che garantissero la tutela dei dati personali degli utenti dei circa 70 servizi diversi offerti e obbligassero Google al rispetto delle regole. Ecco in sintesi le misure adottate dalla società. *Informativa agli utenti* Le informazioni fornite agli utenti sul trattamento dei loro dati sono più numerose e messe a disposizione in maniera più agevole. L'informativa esplicita ora le diverse finalità per le quali i dati sono raccolti e utilizzati, compresa la profilazione che prevede anche l'incrocio dei dati tra le diverse funzionalità offerte. L'informativa è stata resa più accessibile grazie a un link diretto che ne consente la visualizzazione con un solo click di distanza da ogni pagina del dominio. Sono state aggiunte inoltre informative per singoli prodotti e servizi. Sono stati inseriti link per agevolare contatti con la società e predisposto un modulo per l'esercizio dei diritti da parte degli utenti. *Consenso all'uso dei dati* Google ha implementato le misure per acquisire il consenso all'uso dei dati non solo per gli utenti autenticati, ma anche - sulla base di una specifica prescrizione del Garante - di quelli non autenticati. E' stato utilizzato un meccanismo che impone all'utente di effettuare necessariamente una scelta prevedendo, tramite la presentazione di un banner, la richiesta di consenso ripetuta per tre volte nell'arco di due mesi, fino a impedire l'accesso ai servizi finché la scelta non venga effettuata. Gli utenti potranno negare il consenso o rilasciarne uno anche parziale rispetto ai diversi scopi per i quali i dati possono essere usati, a partire dalla profilazione. Per la gestione dei propri dati personali, gli utenti autenticati (che cioè dispongono di un account) possono utilizzare un nuovo servizio denominato "My Account" che contiene informazioni sulla privacy, la sicurezza e gli strumenti a disposizione per controllare i propri dati. Per gli utenti non autenticati è disponibile una versione semplificata di "My account" che consente di personalizzare le ricerche sia sul motore di ricerca che su YouTube, controllare la tipologia di annunci visualizzati e scegliere di non ricevere pubblicità mirata. Migliorate anche le impostazioni degli annunci con la possibilità di selezionare le categorie di interesse o disattivare la pubblicità personalizzata. *Esercizio dei diritti di privacy* Gli utenti possono ora, in particolare, disattivare e sospendere la raccolta dei dati per la cronologia delle ricerche e delle localizzazioni o per l'attività vocale e audio. Come per la manifestazione del consenso, anche il diritto di opposizione al trattamento dei dati può essere esercitato in modo "granulare", cioè anche solo rispetto ad alcuni servizi e incroci di dati tra servizi diversi. Gli utenti avranno a disposizione un meccanismo di facile utilizzo per poter dialogare con Google ed esercitare i loro diritti, come chiedere copie dei dati o farli rettificare. *Cancellazione e conservazione dei dati* In linea con quanto richiesto dal Garante, Google rende inaccessibili i dati dell'utente autenticato 24 ore dopo la richiesta dell'interessato e li cancella entro 2 mesi, se i dati sono su sistemi attivi, o entro 6 mesi, se sono archiviati su sistemi di back up. I cosiddetti "dati di sistema", necessari a Google per fornire i propri servizi (es. i file di log), vengono invece anonimizzati allo scadere di tempi di conservazione predefiniti. Riguardo, in particolare, al tempo unico di conservazione indicato da Google per i cookie (18 mesi), il Garante si è riservato un ulteriore approfondimento per verificare se possano essere individuati tempi di conservazione diversificati in base al maggiore o minore potere identificativo dei cookie. L'Autorità si è riservata ulteriori approfondimenti anche sulle tecniche di anonimizzazione utilizzate. *"I miglioramenti adottati da Google sono il risultato dell'attività intrapresa dal Garante italiano per tutelare al meglio la privacy on line degli italiani e di una modalità di confronto con Google che ci pare abbia portato buoni frutti *- ha commentato Antonello Soro, Presidente dell'Autorità Garante*. Lo consideriamo un primo significativo passo. La nostra azione di vigilanza e controllo nei confronti di Mountain View infatti non si fermerà. Proseguiremo nelle verifiche, anche in collaborazione con le altre Autorità europee, affinché i dati degli utenti siano sempre più protetti e i loro diritti riconosciuti dai colossi del web".* *Roma, 29 luglio 2016*

1 0

Il Centro Nexa collaborerà col Master in Giornalismo di Torino - Le iscrizioni scadono il 30 agosto
by Giuseppe Futia July 29, 2016

July 29, 2016

Gentilissimi, siamo lieti di segnalarvi che il Centro Nexa su Internet & Società collaborerà con l'edizione 2016/2018 del Master in Giornalismo "Giorgio Bocca" di Torino. C'è tempo fino al 30 agosto 2016 alle ore 12 per iscriversi (il bando è disponibile qui: http://www.formazione.corep.it/giornalismo/doc/bando_giornalismo_TORINO_161… ). Vi invitiamo a condividere il bando con tutti coloro che possono essere interessati. Ulteriori informazioni sono disponibili nel comunicato stampa: http://www.formazione.corep.it/giornalismo/comunicato_it.pdf. Cordiali saluti, -- ------------------------------------------------- Giuseppe Futia Communication Manager Nexa Center for Internet & Society Politecnico di Torino - DAUIN Corso Duca degli Abruzzi, 24 - 10129 Torino web: http://nexa.polito.it mail: giuseppe.futia(a)polito.it tel. +39 011 090 7219

2 1

Re: [nexa] R: R: SPID e wi-fi federata con un sistema di accesso unico
by Giuseppe Attardi July 29, 2016

July 29, 2016

> On 28 lug 2016, at 20:53, nexa-request(a)server-nexa.polito.it wrote: > > In sintesi: chi prende l'identità PosteID non solo può usarla per i servizi di Poste ma può anche utilizzarla per accedere ai servizi che hanno aderito al circuito SPID Questo mi era sfuggito, quindi lo SPID di Poste non è un servizio nativo svolto in concessione e per conto dello stato italiano, ma un servizio ancillario a un servizio privato preesistente. — Beppe

2 1