carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni. Cosa ne pensate? Raf Meo
Lavorando in un ente pubblico, ho auspicato in diversi articoli e convegni che a livello nazionale o europeo si mettano a disposizione sistemi cloud dedicati alle pa, quindi pienamente d'accordo. Però il problema di certi monopoli resta: oggi è capitato a sistemi Windows, ma può succedere anche ad altri. Nè un sistema operativo sviluppato ad hoc, al di là dei costi, sarebbe più sicuro ed efficiente. Stesso discorso per applicativi e sistemi di sicurezza: un cloud dedicato alla pa con Windows e Crowdstrike avrebbe fatto la fine di tutto il resto. So di essere vecchio e retrogrado, ma una copia (o anche due o tre) dei dati nella cassaforte dell'ufficio, un sistema anche ridotto di riserva continuo a preferirlo. Buona domenica a tutti D. Il Sab 20 Lug 2024, 19:28 Angelo Raffaele Meo <angelo.meo@polito.it> ha scritto:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni. Cosa ne pensate? Raf Meo
Concordo. Aggiungo: come siamo potuti arrivare a questo? Le infrastrutture di sicurezza civile stabilmente prodotte, commercializzate e gestite da privati, fuori dal controllo dello Stato e in condizioni di asimmetria conoscitiva, tecnologica, logistica crescenti. Rileggere il percorso che ci ha portato qui, da questo angolo di osservazione, sarebbe essenziale. Benedetto Ponti Inviato da Outlook per Android<https://aka.ms/AAb9ysg> ________________________________ From: nexa <nexa-bounces@server-nexa.polito.it> on behalf of Angelo Raffaele Meo <angelo.meo@polito.it> Sent: Saturday, July 20, 2024 7:28:39 PM To: nexa@server-nexa.polito.it <nexa@server-nexa.polito.it> Subject: [nexa] sul disastro informatico carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni. Cosa ne pensate? Raf Meo
Avete sicuramente letto ieri questa intervista a Morozov. Morozov “I governi schiavi delle big tech così siamo tutti insicuri” CrowdStrike, cioè il sistema di cybersicurezza che ha provocato il black-out di ieri creando enormi disagi in tutto il mondo. Morozov, basta davvero così poco per mandare il mondo in tilt? «Quello che è accaduto ci pone di fronte a tre grandi questioni. La prima è che la maggior parte dei servizi dell’economia globale è nella mani di Microsoft. La seconda riguarda il fatto che quasi tutte le infrastrutture digitali usano servizicloud,cioè lontani. La terza questione, è che le grandi aziende come Microsoft optano per l’autoregolamentazione del settore piuttosto che per una rigorosa supervisione da parte del governo. Per questo per rendere i servizi sicuri sono necessarie società terze come CrowdStrike». Qual è l’alternativa? «Abbandonare l’autoregolamentazione, sottoponendo tutte le infrastrutture digitali allo stesso tipo di stress testche imponiamo alle banche dopo la crisi finanziaria del 2008. Ma questo implica scelte e investimenti: smettere di smantellare i dipartimenti IT (quelli che supervisionano all’installazione e la manutenzione dei sistemi di rete informatica all’interno di un’azienda,ndr),ha un costo». Lei ha scritto molto di Google, Facebook, Twitter: cediamo continuamente informazioni personali. Siamo ingenui, schiavi dell’algoritmo? «La nostra dipendenza dalle aziende tecnologiche ha una lunga storia ed è il risultato di un fallimento politico. Dire che siamo schiavi dell’algoritmo significa minimizzare e banalizzare il ruolo che la cattiva politica ha avuto nel lasciarci senza alcuna opzione. Con quale logica possiamo celebrare il fatto che per cercare alcune informazioni di base su qualcosa che sta accadendo nel nostro quartiere, chiediamo l’interazione con una società multinazionale con sede a Mountain View, California, ovvero Google? È molto meno razionale di quanto pensiamo». La paura, durante il black-out, è stata quella di un grande attacco informatico: è uno scenario possibile? «Periodicamente, qualcuno del settore della sicurezza informatica parla di un «11 settembre digitale» o di una «cyber-Pearl Harbor». Non si è verificato alcun evento del genere. Ed è ironico che l’esperienza più vicina a un 11 settembre digitale sia stata questo incidente di CrowdStrike: non un attacco, ma un malfunzionamento del software che avrebbe dovuto proteggerci dall’attacco stesso». Dopo episodi come quello di oggi, serve una riflessione: ma cosa si può fare? «Dobbiamo capire che la sicurezza informatica non è diversa dalla sicurezza in quanto tale: è un bene pubblico. I giganti della tecnologia come Microsoft hanno passato un decennio a promuovere idee come la “Convenzione di Ginevra digitale”, che, nonostante il nome umanitario, mira in realtà a privare i governi del potere di regolare il cyberspazio, delegando invece le aziende private a farlo. Ed è ironico che l’azienda sia adesso finita vittima della sua stessa retorica». Il giorno sab 20 lug 2024 alle 19:28 Angelo Raffaele Meo < angelo.meo@polito.it> ha scritto:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni. Cosa ne pensate? Raf Meo
"Angelo Raffaele Meo" <angelo.meo@polito.it> writes:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio.
un "cloud" di stato per tutti i servizi dei trasporti, ospedali, pubbliche amministrazioni... così che un singolo "baco" fermi proprio tutto, non solo il 5% circa dei servizi globali? io suggerirei umilmente che gli amministratori di sistema tornino a fare il loro mestiere e non si limitino a fare i cliccatori di icone come troppo spesso a me _pare_ accada... ...perché installare quella roba, che include "roba" che gira (almeno) in "ring 0", impostando l'aggiornamento automatico (che è di default, che io sappia) senza prevedere un test di aggiornamento *prima* del "deployment" in produzione... non è un lavoro serio
Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni.
io dubito seriamente si sia trattato di un baco, non capisco perché "tutti" escludono un supply chain attack... a meno che si dia per scontato che i respèonsabili della distribuzione di quell'aggiornamento siano deficienti un caro saluto, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.
On 21/07/2024 11:09, 380° via nexa wrote:
"Angelo Raffaele Meo" <angelo.meo@polito.it> writes:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio.
un "cloud" di stato per tutti i servizi dei trasporti, ospedali, pubbliche amministrazioni... così che un singolo "baco" fermi proprio tutto, non solo il 5% circa dei servizi globali?
tanto più che (se non erro) il Polo Strategico Nazionale è in realtà un subappalto verso i GAFAM... -- Andrea Trentini ⠠⠵ http://atrent.it public key ID: 0xA7A91E3B Dip.to di Informatica Università degli Studi di Milano
Il cloud è un'architettura centralizzata capace di far cadere con un aggiornamento software una rete progettata per resistere agli attacchi nucleari Battute a parte, le infrastrutture critiche di interesse nazionale dovrebbe stare su cloud privata (nel senso: dello Stato) ad es. fatta con OpenStack, o al limite usare approcci ibridi. Ma quando si fanno tavoli tecnici nella PA, a capotavola siede sempre un executive GAFAM, per non parlare di quel VP Amazon che, chiamato direttamente dal Bomba, doveva risolvere tutto con la forza del suo narcisismo. La dipendenza tecnologica è stata la precisa scelta della nostra classe politica, ahimè di ogni colore. Ben vengano gli aggiornamenti antivirus killer, almeno ci aprono gli occhi, sempre che non sia ormai tardi. We have lingered in the chambers of the sea By sea-girls wreathed with seaweed red and brown Till human voices wake us, and we drown. G. On Sun, 21 Jul 2024 at 11:42, Andrea Trentini <andrea.trentini@unimi.it> wrote:
On 21/07/2024 11:09, 380° via nexa wrote:
"Angelo Raffaele Meo" <angelo.meo@polito.it> writes:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio.
un "cloud" di stato per tutti i servizi dei trasporti, ospedali, pubbliche amministrazioni... così che un singolo "baco" fermi proprio tutto, non solo il 5% circa dei servizi globali?
tanto più che (se non erro) il Polo Strategico Nazionale è in realtà un subappalto verso i GAFAM...
-- Andrea Trentini ⠠⠵ http://atrent.it public key ID: 0xA7A91E3B Dip.to di Informatica Università degli Studi di Milano
On Sun, Jul 21, 2024 11:09:09 AM +0200, 380° via nexa wrote:
"Angelo Raffaele Meo" <angelo.meo@polito.it> writes:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio.
un "cloud" di stato per tutti i servizi dei trasporti, ospedali, pubbliche amministrazioni... così che un singolo "baco" fermi proprio tutto, non solo il 5% circa dei servizi globali?
esatto. Senza contare i problemi di controllo/sorveglianza che questo comporterebbe: https://stop.zona-m.net/2018/06/data-stored-by-governments-no-thanks/ Come potete notare dalla data, Morozov ce l'ha non da ieri, l'idea discutibile che "all consumer data is stored by the government" Marco
Il 20/07/24 19:28, Angelo Raffaele Meo ha scritto:
carissimi, su La Stampa di oggi, Riccardo Luna, commentando il crollo di ieri del sistema mondiale delle Telecomunicazioni, si pone la domanda: "Saremmo più sicuri con un cloud di Stato?" e risponde immediatamente: "lo escludo". Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. Non è possibile che un piccolo baco di una piccola azienda di cui sino ad oggi ignoravamo l'esistenza provochi un disastro di quelle dimensioni. Cosa ne pensate?
Penso che, "cloud" a parte (parola "nebulosa", che nel marketing ha un senso diverso da quello che gli stai attribuendo), il percorso di acquisizione del controllo sulle tecnologie digitali sarà ancora lungo. In Italia (grazie al tuo lavoro di tanti anni fa) abbiamo norme d'avanguardia (art. 68 e 69 CAD). Ma le norme non bastano ad impedire fenomeni di "cattura regolatoria", che possono operare su piani diversi da quello del formale adempimento alle norme (del CAD, del codice degli appalti, ecc.). IMHO, per perseguire l'interesse pubblico in ambito tecnologico servono competenze e cultura del bene comune, soprattutto in chi fa le scelte politiche. Chi ha interessi diversi, lo sa bene. m.c.
Raf Meo
-- Avv. Marco Ciurcina Via San Quintino, 32 10121 Torino TO tel +39 011 4546112 cell +39 335 6650910
Il 20/07/24 7:28 PM, Angelo Raffaele Meo ha scritto:
[...sul cloud di Stato...] Io invece non solo non lo escludo, ma lo voglio. Non solo per ragioni ideologiche, ma concrete. [...] Cosa ne pensate?
Nel mio modestissimo "piccolo", ritengo che il problema *NON* sia determinato dall'ownership dell'infrastruttura fisica. Per me -- dipendente pubblico che opera servizi "pubblici" -- fa poca differenza operare sul "mio" PC in ufficio, sui sistemi server che "resistono" in sala-server, a 20 metri dal mio ufficio, sui sistemi virtualizzati che --prima del mio arrivo-- sono stati delocalizzati su infrastruttura CINECA [marketplace ACN, ex-AGID], oppure su sistemi di Hetzner [fisicamente dislocati in Germania, in Finlandia o anche, eventualmente, in USA], o su Aruba... [per restare in Italia] o altri "cloud-provider". Il problema è il "controllo" che su tali sistemi si riesce a esercitare. Nel mio caso specifico, il controllo che desidero (...e che mi crea problemi quando mi manca) è massimo: sono ormai diverse le situazioni nelle quali mi è servito arrivare a leggere i sorgenti per affrontare/risolvere problemi lavorativi reali... Chiaramente mi si puo' obiettare: "Ma ti serve il codice del kernel di linux? Ti servono i sorgenti dei firmware che fanno funzionare i tuoi server? Ed i firmware ed i software dei router e degli switch che usi per collegarti ai server?" etc. etc. - Sono argomenti che mi sono chiari, ma la cui trattazione dettagliata esula dalla domanda del Prof. Meo... Tornando al punto, quindi, per me non c'e' alcun problema ad ospitare un servizio "critico" su una piattaforma Azure (o AWS o GCP).... ma non bisogna rinunciare al "controllo". Per "controllo" intendo, fra gli altri, due aspetti fondamentali: 1 - massimizzare la facilita' di "spostarsi" altrove, in modo da poter rintuzzare azioni di enforcing di lock-in, banalmante: aumenti i prezzi? Problemi zeri, mi sposto altrove... in 30 minuti (o meno). Mi throttli il networking? Problemi zero; mi sposto. Qualcun altro diventa piu' competitivo con i prezzi? Ottimo; mi sposto. ...cose di questo genere. Ed e' il motivo principale per cui, per quanto mi riguarda, "cloud" è un termine che si puo' assimilare esclusivamente a IaaS (utilizzo le tue CPU, la tua memoria ed il tuo storage... ma dall'OS in su, è tutto rigorosamente sotto il mio controllo). Mi si obiettera' che questo *NON* è "cloud"... e parziamente sono d'accordo. Ma di nuovo, una trattazione dettagliata sull'argomento esula dalla domanda da cui siamo partiti... (ed a cui cerco di rispondere) 2 - garantirsi i massimi livelli di flessibilita' circa la "riservatezza" dei dati archiviati ed il traffico in transito. Se, quindi, uso una VM su Azure e so che i dati che ospitera' sono "delicati", mi preoccupero' di utilizzare storage "cifrato", ovviamente con tecnologie "aperte" (nello specifico, ZFS encrypted, per BOOT, ROOT e DATA), spostando molto in basso l'asticella del "rischio" che devo comunque accettare. D'altro canto --sempre in riferimento alla domanda del Prof. Meo-- l'approccio esattamente contrario, ossia: ospito il 100% delle applicazioni e dei dati all'interno del mio datacenter, incurante del "controllo" che posso operarvi... mi espone comunque a problemi potenziamlente seri (a partire da quelli relativi alla tutela dei dati ospitati, anche nei confronti del personale *INTERNO*, ed ai temi di cybersecurity [comunque fondamentali, se i servizi sono erogati on-line...]) Tornando alla domanda, la mia amarezza è che questo "controllo" (su tutta l'infrastruttura) che a me sta tanto a cuore è totalmente fuori dai radar delle discussioni. Ed anche a livello politico, si riduce tutto al termine "sovranita' digitale"... ma tipicamente utilizzato in discussioni che finiscono la... e che quindi nessuno sviscera nemmeno sommariamente per capire IN CONCRETO di che si tratta... L'unica cosa che in parte mi consola, è che se spostiamo l'attenzione dall'infrastruttura (che a me interessa) ai "dati", vedo che molte cose sono accadute negli ultimi ~5 anni (forse piu'). Ormai il tema degli open-data e, piu' recentemente, dell'open-science... possono quasi essere considerati mainstream. Magari fra 10 anni... qualcuno parlera' anche di "open-infrastructure", includendo in queste *anche* gli stack software... Ma io, purtroppo, non saro' li a festeggiare: saro' ad un passo dalla pensione. Il mio timeout, detto in altri termini, purtroppo temo sia scattato :-( Un caro saluto, DV -- Damiano Verzulli e-mail: damiano@verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html
participants (10)
-
380° -
Andrea Trentini -
Angelo Raffaele Meo -
Benedetto Ponti -
Damiano Verzulli -
de petra giulio -
Diego Giorio -
Guido Vetere -
M. Fioretti -
Marco Ciurcina