Mozilla foundation chiede di entrare nel procedimento come cointeressata o almeno amicus curiae, sospettando che dietro al NIT ci sia la famigerata "TOR browser vulnerability" e richiedendo la disclosure dell'exploit in anticipo sulla difesa *Mozilla Wants Heads-Up From FBI on Tor Browser Hack* Mozilla, the organization behind Firefox, has long worried that the Tor Browser vulnerability might still be out there, could be exploited by bad actors, and could exist in Firefox, which is much more widely used than the Tor Browser. So while it seems likely that the FBI will go to great lengths not to turn over the code – possibly dropping the case altogether – Mozilla’s top lawyer, Denelle Dixon-Thayer, is now arguing “that the government must disclose the vulnerability to us before it is disclosed to any other party.” She explained: “Court ordered disclosure of vulnerabilities should follow the best practice of advance disclosure that is standard in the security research community. In this instance, the judge should require the government to disclose the vulnerability to the affected technology companies first, so it can be patched quickly.” <https://theintercept.com/2016/05/12/mozilla-wants-heads-up-from-fbi-on-tor-b...> Mozilla has a legitimate interest in these proceedings. Courts have long recognized the ability of “corporations and business entities” to intervene in criminal proceedings “to protect privileged or confidential information or documents obtained, or property seized, during a criminal investigation.” [...] Similarly Mozilla has an interest in pre-review disclosure in this case to avoid causing potential harm to innocent Firefox users. The Court should, therefore, allow Mozilla to intervene to mitigate the risks of such disclosure. <https://blog.mozilla.org/press/files/2016/05/Mozilla-Motion-to-Intervene-or-...> A. On 03/05/2016 16:45, Alberto Cammozzo wrote:
Ciao, la difesa dice qualcosa di più forte oltre a discutere la chain of custody: sostiene di aver dimostrato che la sicurezza del computer è stata compromessa dal Network Investigation Toolkit (NIT), e quindi l'accusato non può essere ritenuto responsabile per il materiale che contiene.
[...] the defense will challenge the Government’s case by arguing to the jury that child pornography found on the computer or other devices seized from Mr. Michaud’s home came from somewhere or someone else, or at least that the Government cannot prove beyond a reasonable doubt that Mr. Michaud intentionally downloaded illegal pictures. In this regard, it is now undisputed that the Government inserted “malware” onto Mr. Michaud’s computer that compromised and overrode its security settings. Therefore, either pornography from “Website A” itself was mistakenly or recklessly sent to his computer, or else the pornography came from other sources (such as viruses or remote users that gained access to the computer) after the security settings on Mr.Michaud’s computer had been compromised by the Government’s NIT. [...] the NIT inevitably compromised the computer’s security features. The extent of this problem is still unclear only because a full assessment cannot be done without examining the NIT code. <https://s3.amazonaws.com/pacer-documents/184/218206/19716743261.pdf>
Questo mi pare un punto importante in tutti i casi di indebolimento della sicurezza (vedi backdoor nella crittografia).
Alberto
On 03/05/2016 13:38, Claudio Agosti wrote:
Ciao, nelle 2 mail precedenti non ho dato opinioni, mi son limitato a riportare link e commenti sullo stato delle cose, però possiamo anche sbilanciarci con della fantasia, e chiederci cosa vorremmo vedere succedere...
Se quel che sta succedendo è un tira e molla di giudici che invalidano (alcuni aspetti) e regolamenti che ne disciplino l'uso che cercano di raffinarsi, dovrebbero essere pensati di limiti forti (e comunque, sempre e solo di tecnologia auditata, ogni utlizzo rendicontato da terze parti, e mai al di fuori di un processo) che vincolino le funzionalità (GPS o download di file? microfono acceso sempre = ambientale o microfono solo quando hai una chiamata altrimenti cifrata = intercettazione ?), e molto altro.
In questo momento non c'è ancora qualcosa che impedisca questo:
Inline image 1
come leggevo dal post di Carlo, il probema posto dal giudice italiano non affronta ancora la "chain of custody" che invece viene sollevata dal giudice US.
screenshot da https://s3.amazonaws.com/s3.documentcloud.org/documents/1348002/rcs-9-techni...
2016-05-03 13:12 GMT+02:00 Blengino <blengino@penalistiassociati.it <mailto:blengino@penalistiassociati.it>>:
Cosa vuol dire?: Usarli fuori dal processo (quindi non trasparente) o nel processo (quindi con audit)?
Fuori dal processo fa qualche anno di galera per chi lo fa, per qualche decina di reati dal 615 ter c.p. in avanti, non scherziamo! Nel processo, sin che non c'è una legge che superi i diritti costituzionali comprimibili solo per legge e con le garanzie tecniche e giuridiche adeguate ad uno stato democratico, si generano prove inutilizzabili e pericolose!
-----Messaggio originale----- Da: nexa [mailto:nexa-bounces@server-nexa.polito.it <mailto:nexa-bounces@server-nexa.polito.it>] Per conto di Stefano Quintarelli Inviato: martedì 3 maggio 2016 11:46 A: Claudio Agosti; nexa Oggetto: Re: [nexa] FBI Chooses Secrecy Over Locking Up Criminals
Il 3 maggio 2016 11:14:58 Claudio Agosti <claudio.agosti@logioshermes.org <mailto:claudio.agosti@logioshermes.org>> ha scritto:
> Per questo, alcune teorie, indicano che il trojan dovrebbe essere > auditato da terze parti, e che sia diviso in "moduli" (GPS, file > collection, accesso al microfono per fare ambientale, accesso al > microfono solo a telefonate attive), così che siano usabili a seconda della tipologia di reato. > > poi che ci dovrebbe essere un accounting costante delle attivitià del > trojan, così che difesa ed accusa posssano ricostruire i passi. > > Le FdO negli anni passati si sono sempre ben guardate dal portare dati > così collezionati come prove, perchè sapevano sarebbero state > contestate, per cui dove possibile son stati usati come indizi investigativi.
Usarli fuori dal processo (quindi non trasparente) o nel processo (quindi con audit)?
_______________________________________________ nexa mailing list nexa@server-nexa.polito.it <mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa
-- Claudio Agosti, http://www.journalismfestival.com/news/guilty-by-proximity-ijf16-hackers-cor...
_______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa
_______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa