Blog di "Il Disinformatico"
Sono stato diffidato dagli autori di Dostupno
24 de Fevereiro de 2019, 5:32 |
| Immagine tratta da un video promozionale di Dostupno. |
L’aspetto tecnico interessante della diffida è che conferma esplicitamente l’esistenza di un “database” (questo è il termine tecnico usato nella diffida che contiene perlomeno dei “numeri” (presumo di telefono degli utenti), cosa che stride parecchio, in termini di GDPR, con quelle “Norme sulla Privacy” costituite da un lorem ipsum (che sono state nel frattempo aggiornate e poi riportate al lorem ipsum, ma è troppo tardi).
La diffida, in sintesi, chiede a me e altri di provvedere all’“immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate” e cita due articoli del codice penale italiano (articolo 615 bis, interferenza illecita nella vita privata, e articolo 595, diffamazione).
Ho risposto come segue:
Egregio Avv. [omissis],
in risposta alla Sua comunicazione di diffida, le chiedo di chiarirne i contenuti, che ho trovato piuttosto criptici. Specificamente, con riferimento alle parole della diffida "immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate", Le chiedo di chiarire:
1. Che cosa intende per "blocco"
2. Da dove dovrebbe avvenire la richiesta "cancellazione"
3. Quali sarebbero, esattamente, le "notizie illegittimamente acquisite e pubblicate"
Con riferimento alle ipotesi di "interferenza illecita nella vita privata" e "diffamazione", le chiedo di chiarire:
4. In cosa consisterebbe, specificamente, questa presunta "interferenza"
5. Quali sarebbero, specificamente, i contenuti diffamatori
6. Se lei e i suoi assistiti sono al corrente del significato del termine tecnico "effetto Streisand".
Distinti saluti,
Paolo Attivissimo
Vi terrò aggiornati. Intanto pubblico qui il contenuto delle “Norme sulla Privacy” di Dostupno, aggiornate guarda caso dopo il mio articolo. Questa versione è stata poi rimossa:
PRIVACY POLICY
Informativa Privacy
1. INTRODUZIONE
Per fornire il Servizio, è necessario prelevare lo stato del proprio dispositivo affinchè lo stesso possa ricevere i messaggi
La presente informativa contiene una descrizione delle tipologie di dati che verranno raccolti, delle finalità per le quali tali dati verranno trattati, dei soggetti ai quali essi potranno essere comunicati e fornisce ulteriori informazioni utili per permettere agli Utenti di prestare il proprio consenso informato al trattamento dei propri dati personali.
La presente Privacy Policy è stata redatta in conformità del GDPR ( Regolamento Europeo sulla Protezione dei Dati )
2. RACCOLTA DELLE INFORMAZIONI E CHIUSURA DELL'ACCOUNT
I dati vengono raccolti solo in fase di registrazione descritta nel paragrafo 2.1 che segue.
2.1 Registrazione
Nel processo di registrazione dei messaggi, sono richiesti dati quali il solo numero telefonico del dispositivo ( affinchè possa ricevere messaggi da altri utenti ).
2.2 Chiusura dell'account
Il gestore del Servizio potrà decidere di chiudere il suo account sull'App in qualsiasi momento.
In caso di chiusura del suo account per qualsiasi motivo i suoi dati personali saranno cancellati.
3. UTILIZZO DELLE INFORMAZIONI (FINALITA' E MODALITA'DEL TRATTAMENTO)
I dati raccolti dall'App vengono trattati per le seguenti finalità:
Offrire il Servizio, fare in modo che possa essere contattato;
Si precisa in particolare che:
I suoi dati verranno prevalentemente trattati con strumenti elettronici o comunque automatizzati.
5. COMUNICAZIONE E AMBITO DI DIFFUSIONE DEI DATI
I suoi dati personali non verranno comunicati a nessuno
I suoi dati personali, raccolti nell'ambito dell'utilizzo del Servizio, non saranno oggetto di diffusione.
2019/02/23 18:15
La mia mail all’avvocato è stata respinta:
Final-Recipient: rfc822; [omissis]@pecstudio.it
Action: failed
Status: 5.0.0
Remote-MTA: dns; mail.sicurezzapostale.it. (89.97.236.171, the server for the domain pecstudio.it.)
Diagnostic-Code: smtp; 554 <paolo.attivissimo@gmail.com> Sender address rejected by smtpproxy: Access denied
Last-Attempt-Date: Sat, 23 Feb 2019 08:31:58 -0800 (PST)
L’avevo comunque mandata in copia CC agli altri interessati citati nella mail di diffida.
2019/02/24 9:15
Le “Norme sulla Privacy” di Dostupno sono tornate ora al lorem ipsum, con buona pace del GDPR e probabilmente anche delle regole di Google Play. Contengono anche un banner pubblicitario variabile, cosa piuttosto bizzarra per una norma sulla privacy.
Il codice sorgente di questa pagina è ancora più interessante (ho sostituito i simboli di maggiore e minore con dei guillemet, ossia ‹ e ›, e lo riporto qui come blocco unico perché è così nell’originale): è davvero un bel po’ di codice per un semplice lorem ipsum.
‹!doctype html›‹html lang="en"› ‹head›‹title›policydostuponohtml - IF Inspreifon‹/title›‹meta name="description" content="IF Inspreifon il virtuale diventa reale. - policydostuponohtml" /›‹meta name="keywords" content="if, inspreifon, if inspreifon. app if" /›‹meta charset="utf-8" /›‹meta property="og:title" content="policydostuponohtml - IF Inspreifon"/›‹meta property="og:description" content="IF Inspreifon il virtuale diventa reale. - policydostuponohtml" /›‹meta name="fragment" content="!"/›‹meta property="og:site_name" content="IF Inspreifon"›‹meta property="og:url" content="http://www.if-inspreifon.com/policydostuponohtml"/› ‹meta name="twitter:title" content="policydostuponohtml - IF Inspreifon"/› ‹meta name="twitter:description" content="IF Inspreifon il virtuale diventa reale. - policydostuponohtml" /› ‹meta name="robots" content="all" /›‹meta name="revisit-after" content="10 days" /›‹meta name="viewport" content="width=1024" /›‹link href="http://attivissimo.blogspot.com//www.flazio.com/css/animations.css" rel="stylesheet" /›‹link href="http://attivissimo.blogspot.com//customstyle.css" rel="stylesheet" /›‹link href="https://www.flazio.com/img/favicon.png?n=222" rel="icon" type="image/x-icon" /›‹link rel="alternate" hreflang="it" href="http://www.if-inspreifon.com/it/policydostuponohtml"/›‹link rel="alternate" hreflang="ru" href="http://www.if-inspreifon.com/ru/policydostuponohtml"/›‹link rel="alternate" hreflang="en" href="http://www.if-inspreifon.com/en/policydostuponohtml"/›‹style›@font-face {font-family: 'Open Sans';src: url('//www.flazio.com/componenti/font/OpenSansR.woff') format('woff');font-style: normal;}html{-webkit-text-size-adjust: 100%;}*{ margin:0; /*text-rendering: optimizeLegibility;*/}#mc5 h1,#mc5 h2,#mc5 h3{font-weight: 400;}body, #website {overflow-x: hidden;overflow-y: scroll;background: #ffffff;margin: 0;font-family:'Open Sans',sans-serif; position: absolute; top: 0px; left: 0px; width: 100%; height: 100%; /*-webkit-font-smoothing: antialiased;*/-webkit-overflow-scrolling: touch;}div, span {max-height: 100000px;}.testoc{line-height: 1.2; vertical-align:top;}body.flazioNoScroll{overflow: hidden !important;}body *::-webkit-scrollbar { width: 8px;}body *::-webkit-scrollbar-thumb { border-radius: 15px; background: rgba(153, 156, 161, 0.8);}body *::-webkit-scrollbar-track { border-radius: 5px; border: 1px solid rgba(255,255,255,0.1); background: rgba(0,0,0,0.1);} .yscrollbar { position: absolute; top: 0; right: 0; width: 10px; background: red; z-index:30000; -webkit-border-radius: 15px; -moz-border-radius: 15px; border-radius: 15px; /* Background */ background: rgba(0, 0, 0, 0.2); /* Border bottom light */ border-bottom: 1px solid rgba(255, 255, 255, 0.1); /* Inner top shadow */ -moz-box-shadow: inset 0 3px 5px rgba(0, 0, 0, 0.1); -webkit-box-shadow: inset 0 3px 5px rgba(0, 0, 0, 0.1); box-shadow: inset 0 3px 5px rgba(0, 0, 0, 0.1); } .yscroller { background: #bbd; position: relative; top: 0; left: 0; width:100%; height:70px; cursor: pointer; } .yscroller:hover { background: #bbd; position: relative; top: 0; left: 0; cursor: pointer; -webkit-border-radius: 15px; -moz-border-radius: 15px; border-radius: 15px; } .yscroller:active { background: #003399; position: relative; top: 0; left: 0; width:100%; height:70px; cursor: pointer; } ‹/style›‹script›titoloSito = "IF Inspreifon";‹/script›‹script›function tracker(page){_paq.push(['setCustomUrl', '/' + page]);_paq.push(['setDocumentTitle', window.document.title]);_paq.push(['trackPageView']);} var _paq = _paq || []; /*_paq.push(['trackPageView']);*/ _paq.push(['enableLinkTracking']); (function() {var u="//www.sbbanalytics.com/";_paq.push(['setTrackerUrl', u+'js/']);_paq.push(['setSiteId', '2025']);var d=document, g=d.createElement('script'), s=d.getElementsByTagName('script')[0];g.type='text/javascript'; g.async=true; g.defer=true; g.src=u+'js/'; s.parentNode.insertBefore(g,s); })();‹/script›‹script type="application/ld+json"›{ "@context": "http://schema.org", "@type": "WebSite", "name": "IF Inspreifon", "url": "http://www.if-inspreifon.com"}‹/script›‹script›window["onlyChat"]=false;‹/script›‹script›window["enableSocial"]=false;‹/script›‹/head› ‹body oncontextmenu="return false"› ‹div id="website"› ‹div id="aCC5" style="position:absolute; z-index:100; left: 50%; top: 0;"›‹div id="mc5" style="position:absolute; z-index:150; left: -500px; top: 0px;"›‹/div› ‹/div› ‹script src="http://attivissimo.blogspot.com//www.flazio.com/componenti/js/jquery.js"›‹/script› ‹script src="http://attivissimo.blogspot.com//www.flazio.com/componenti/js/jquery-ui.js"›‹/script› ‹script›$.xhrPool = [];$.xhrPool.abortAll = function() { $(this).each(function(idx, jqXHR) { jqXHR.abort(); }); $.xhrPool = [];};$.ajaxSetup({ cache:true, data:{ version: "224-90f", __ca: 68866685 }, beforeSend: function(jqXHR) { $.xhrPool.push(jqXHR); }, complete: function(jqXHR) { var index = $.xhrPool.indexOf(jqXHR); if (index › -1) { $.xhrPool.splice(index, 1); } }});window["pageCortesia"] = null;window['hf'] = true;/*$.get("//t.flazio.com/t.php");*/ $.support.cors = true;window.currentPage = '/policydostuponohtml';if(self!=top){$.post('manager/includer.php',{'f':'segnalat'});$.post('manager/includer.php',{'f':'segnalat','top':top.window.location.host});};var allineamento='t';var zab324d3f6e='it|ru|en';var z6ea53f0ab3='1550995778';$.getScript("//www.flazio.com/componenti/mainPushHF.js",function(){main=new main(); main.status='2'; main.zae702ed5f5=68866685; });‹/script›‹/div› ‹div id="fb_pixel"›‹/div›‹script›$("body").addClass("opsNoSocial");‹/script›‹script src="https://www.flazio.com/ops/js/opsclient.js"›‹/script›‹script src="https://www.flazio.com/ops/js/opsChat.js"›‹/script›‹script src="https://www.flazio.com/ops/js/opsUI.js"›‹/script›‹script›if(typeof $ !== "undefined"){ $(function() {$(window).on('change_page', function(){if(typeof(eADVManagerSettings) !== "undefined"){eADVManagerSettings.r(window); var old = document.querySelectorAll('body › [id^="eadv_pos_"]'); for(var a=0;a‹old.length;a++) {old[a].parentElement.removeChild(old[a]); }; var divs = document.querySelectorAll('body › .eadv-banner'); for(var b=0;b‹divs.length;b++) {if(divs[b].getAttribute('data-size') === 'richmedia') continue;divs[b].removeAttribute('data-delivered'); };}});});}‹/script›‹script type="text/javascript" src="https://advertiser.thrivelabs.io/tracker/js?id=THR-8b1f257a473202b1"›‹/script›‹script›track("THR-8b1f257a473202b1",new Date());‹/script›‹img height="1" width="1" style="border-style:none;" alt="" src="http://attivissimo.blogspot.com//insight.adsrvr.org/track/evnt/?adv=863f42s&ct=0:4gebjxe&fmt=3"/›‹script›window['cookieTranslation'] = {"title":"Disclosures","text1":"This site uses either your own or third-party profiling cookies that track your navigation as shown in the cookie policy.","text2":"If you want to know more or deny all or some cookies, check out the ","text3":"To agree to the use of cookies, close the banner or log in to the site in another way.","cookiePolicy":"cookie policy"};‹/script›‹/body›‹/html›
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
La strana, stranissima storia di Dostupno, l’“anti-WhatsApp” (con diffida)
23 de Fevereiro de 2019, 14:24
In tanti mi avete segnalato la bizzarra storia di Dostupno, un’app Android che è stata pubblicizzata da numerosi siti di notizie come un “anti-WhatsApp” che consentirebbe di “inviare messaggi anche senza connessione Internet” e ha collezionato oltre 50.000 installazioni.
Ma le indagini degli utenti di Reddit (in particolare questa e questa) hanno rivelato che Dostupno è davvero difficile da considerare come un concorrente di WhatsApp o, a dire il vero, di qualunque app di messaggistica: il suo funzionamento “anche senza connessione Internet” si basa sul far squillare il telefono del destinatario un certo numero di volte e consente di mandare soltanto dieci messaggi preimpostati. Conversazioni? Foto? Non se parla nemmeno.
Le indagini (proseguite anche qui) rivelano poi che Dostupno è un colabrodo dal punto di vista della sicurezza e della privacy: il database che contiene i messaggi preimpostati dai vari utenti è accessibile a chiunque e quindi chiunque può “recuperare l'intera lista di numeri registrati, nonché di messaggi scambiati tra gli utenti dell'app, tutto rigorosamente memorizzato in chiaro, senza alcun tipo di criptazione“, spiega Lo_acker. E per un’altra app legata a Dostupno ci sono anche le password salvate in chiaro e liberamente scaricabili.
Il database di Dostupno è risultato talmente accessibile e mal protetto che qualcuno lo ha cancellato.
Ma la cosa più interessante è la reazione dei due creatori di Dostupno: un comunicato stampa che è davvero difficile leggere senza chiedersi se abbiano mai visto o sentito parlare di un corso base di comunicazione al pubblico. Anche perché a dicembre 2018 i creatori avevano pubblicato un altro comunicato con frasi come “Le parole che trovano il luogo nelle idee di un gruppo di persone che lavora allo scopo di trasformare i sogni dalla realtà virtuale in quella reale, rendendo possibile l’impossibile ai limiti del surreale”.
E questo è solo l’inizio, perché i video di presentazione di Dostupno sono talmente malfatti e amatoriali, con audio distorto e incomprensibile, da rappresentare una nuova frontiera del kitsch informatico. Considerate per esempio Dostupno sempre con te ita (sic), che inizia con un cantante che per un minuto e 50 secondi... beh, guardate il video.
A 1:50 compare (non si capisce perché) una signorina in bikini, e poi si sente una voce registrata malissimo che dice “I messaggi sono gratuiti” con il tono di voce di qualcuno che si è appena svegliato o sta recitando sotto la minaccia delle armi. Il resto del video è altrettanto sconnesso, con la partecipazione di vari fruttivendoli. Non sto scherzando.
Oppure provate a guardare la “presentazione” dell’app: ventisei minuti di una persona ripresa in controluce che parla in modo incomprensibile a causa della registrazione pessima.
La qualità dell’audio e delle voci sembra essere un problema ricorrente dell’azienda IF Inspreifon che sta dietro a Dostupno: provate ad ascoltare le descrizioni sonore che trovate qui nella sezione “Chi siamo” del sito aziendale. A quanto pare un microfono decente e uno speaker non narcotizzato sono al di sopra del budget. L’inglese, poi, è particolarmente esilarante: meno male che si tratta di “Personale qualificato con conoscenza linguistica di tutto il mondo”.
E per finire, se andate sulla pagina di Google Play che ospita Dostupno e cliccate sulle Norme sulla privacy, questo è quello che compare:
Dovrebbe essere abbastanza ovvio, con premesse come queste, che non solo Dostupno non è l’anti-WhatsApp, ma è l’antitesi di ogni regola basilare di programmazione, di gestione della privacy e di professionalità. Se avete affidato a quest’app i vostri dati, è molto probabile che siano sparsi per tutta Internet insieme a quelli degli altri cinquantamila utenti che incautamente hanno installato quest’app davvero bizzarra.
Morale della storia: installare qualunque app di provenienza sconosciuta solo perché promette di far risparmiare è un pessimo modo di gestire i propri dati. Tenetelo a mente la prossima volta che qualcuno vi offre qualcosa gratis.
2019/02/23 17:20 Gli autori di Dostupno mi diffidano
Ho ricevuto via mail una diffida redatta da un avvocato che dichiara di rappresentare i due creatori di Dostupno. L’aspetto tecnico interessante della diffida è che conferma esplicitamente l’esistenza di un database che contiene perlomeno dei numeri (presumo di telefono degli utenti), cosa che stride parecchio, in termini di GDPR, con quelle “Norme sulla Privacy” costituite da un lorem ipsum (che sono state nel frattempo aggiornate, ma è troppo tardi). Questo è il loro contenuto attuale, che ho archiviato a imperitura memoria.
PRIVACY POLICY
Informativa Privacy
1. INTRODUZIONE
Per fornire il Servizio, è necessario prelevare lo stato del proprio dispositivo affinchè lo stesso possa ricevere i messaggi
La presente informativa contiene una descrizione delle tipologie di dati che verranno raccolti, delle finalità per le quali tali dati verranno trattati, dei soggetti ai quali essi potranno essere comunicati e fornisce ulteriori informazioni utili per permettere agli Utenti di prestare il proprio consenso informato al trattamento dei propri dati personali.
La presente Privacy Policy è stata redatta in conformità del GDPR ( Regolamento Europeo sulla Protezione dei Dati )
2. RACCOLTA DELLE INFORMAZIONI E CHIUSURA DELL'ACCOUNT
I dati vengono raccolti solo in fase di registrazione descritta nel paragrafo 2.1 che segue.
2.1 Registrazione
Nel processo di registrazione dei messaggi, sono richiesti dati quali il solo numero telefonico del dispositivo ( affinchè possa ricevere messaggi da altri utenti ).
2.2 Chiusura dell'account
Il gestore del Servizio potrà decidere di chiudere il suo account sull'App in qualsiasi momento.
In caso di chiusura del suo account per qualsiasi motivo i suoi dati personali saranno cancellati.
3. UTILIZZO DELLE INFORMAZIONI (FINALITA' E MODALITA'DEL TRATTAMENTO)
I dati raccolti dall'App vengono trattati per le seguenti finalità:
Offrire il Servizio, fare in modo che possa essere contattato;
Si precisa in particolare che:
I suoi dati verranno prevalentemente trattati con strumenti elettronici o comunque automatizzati.
5. COMUNICAZIONE E AMBITO DI DIFFUSIONE DEI DATI
I suoi dati personali non verranno comunicati a nessuno
I suoi dati personali, raccolti nell'ambito dell'utilizzo del Servizio, non saranno oggetto di diffusione.
La diffida, in sintesi, chiede a me e altri di provvedere all’“immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate” e cita due articoli del codice penale italiano (articolo 615 bis del codice penale, interferenza illecita nella vita privata, e articolo 595 del codice penale, Diffamazione).
Ho risposto come segue:
Egregio Avv. [omissis],
in risposta alla Sua comunicazione di diffida, le chiedo di chiarirne i contenuti, che ho trovato piuttosto criptici. Specificamente, con riferimento alle parole della diffida "immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate", Le chiedo di chiarire:
1. Che cosa intende per "blocco"
2. Da dove dovrebbe avvenire la richiesta "cancellazione"
3. Quali sarebbero, esattamente, le "notizie illegittimamente acquisite e pubblicate"
Con riferimento alle ipotesi di "interferenza illecita nella vita privata" e "diffamazione", le chiedo di chiarire:
4. In cosa consisterebbe, specificamente, questa presunta "interferenza"
5. Quali sarebbero, specificamente, i contenuti diffamatori
6. Se lei e i suoi assistiti sono al corrente del significato del termine tecnico "effetto Streisand".
Distinti saluti,
Paolo Attivissimo
Vi terrò aggiornati.
2019/02/23 18:15
La mia mail all’avvocato è stata respinta:
Final-Recipient: rfc822; [omissis]@pecstudio.it
Action: failed
Status: 5.0.0
Remote-MTA: dns; mail.sicurezzapostale.it. (89.97.236.171, the server for the domain pecstudio.it.)
Diagnostic-Code: smtp; 554 <paolo.attivissimo@gmail.com> Sender address rejected by smtpproxy: Access denied
Last-Attempt-Date: Sat, 23 Feb 2019 08:31:58 -0800 (PST)
L’avevo comunque mandata in copia CC agli altri interessati citati nella mail di diffida.
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Puntata del Disinformatico RSI del 2019/02/22
22 de Fevereiro de 2019, 15:48
È disponibile lo streaming audio e video della puntata del 22 febbraio del Disinformatico della Radiotelevisione Svizzera.
La versione podcast solo audio (senza canzoni, circa 20 minuti) è scaricabile da questa sezione del sito RSI (link diretto alla puntata) oppure qui su iTunes (per dispositivi compatibili) e tramite le app RSI (iOS/Android); la versione video (canzoni incluse, circa 60 minuti) è nella sezione La radio da guardare del sito della RSI ed è incorporata qui sotto.
Buona visione e buon ascolto!
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Il test pubblico del software di voto elettronico svizzero rivela problemi seri; meglio così
22 de Fevereiro de 2019, 15:43
Una di questi informatici è Sarah Jamie Lewis, ex addetta alla sicurezza informatica di Amazon dopo aver lavorato per l’agenzia di intelligence britannica GCHQ e ora executive director della Open Privacy Research Society, a Vancouver, in Canada.
In una serie di tweet impietosi e in un’intervista a Motherboard, Sarah Jamie Lewis ha messo in luce alcune carenze del codice sorgente del software di voto elettronico, che deve essere accessibile agli esperti, come da Ordinanza della Cancelleria Federale, ma è stato invece reso disponibile a tutti su Internet da ignoti. Questo è in violazione delle disposizioni di utilizzo, ma ha consentito a molti più esperti di esaminare il software e di criticarlo senza le restrizioni previste dagli accordi di partecipazione al test.
Il risultato non è incoraggiante. Ecco alcuni stralci dalla serie di tweet:
So, I took a look at swiss online voting system code that someone leaked, and having written, deployed and audited large enterprise java code...that thing triggers every flag.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
The core reencryption mixnet code is spread across dozens of different files, not included the auxiliary/utility/deployment packages.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
Also this work in progress is reassuring pic.twitter.com/v93km0T41E
oh ffs, how about some basic defense in depth people. This is not how you start a function designed to verify a proof as being correct.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
*headdesk* pic.twitter.com/NRtIWGdwZR
There is an entire javascript package dedicated to collecting entropy in that codebase.— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
Hope that was well audited. pic.twitter.com/7xIhJapLrR
Definitely want to make sure that clients using a browser that has been out of extended support for 5 years are generating secure random numbers too. pic.twitter.com/HZGx5PEzSQ— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
La sua non è l’unica voce che esprime dubbi:
I'm dying :D pic.twitter.com/IPBQqJdGj2— Malapropismus (@malapropismus) 18 febbraio 2019
Il suo thread di commenti su Twitter, troppo lungo e articolato da riportare integralmente qui, si conclude così:
Anyway, I wish the swiss election team the best of luck in ensuring that the thousands of new, highly configurable, ZKP code, written in Java, decomposed over hundreds of files, is up to the standard of securing national elections.— Sarah Jamie Lewis (@SarahJamieLewis) February 18, 2019
Il problema di fondo del software di voto, sviluppato dalle Poste Svizzere e dalla società Scytl di Barcellona, è che non è software open source, ma è proprietario, per cui non è liberamente ispezionabile in piena trasparenza.
Le condizioni di accesso infatti ribadiscono che “The published code, including the source code, is the intellectual property of the companies Scytl and Post CH Ltd. The code in question is proprietary and not subject to a free and open source software (FOSS) licence” e che “Post CH Ltd must be consulted before any findings may be published”, per cui i ricercatori devono avere il permesso delle Poste per pubblicare i propri risultati. Questo limita fortemente l’ispezionabilità del codice e non aiuta a raggiungere l’obiettivo di “creare
fiducia nell’opinione pubblica”.
Dal canto loro, le Poste Svizzere hanno risposto, tramite la portavoce Nathalie Dérobert, che il test d’intrusione non è concepito per validare il codice o dimostrare la sicurezza del sistema, ma solo per aiutare gli sviluppatori a capire quali migliorie devono fare. A giudicare dalle critiche fatte online, le migliorie da mettere in cantiere saranno tante.
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Il test pubblico del software di voto elettronico svizzero rivela problemi seri
22 de Fevereiro de 2019, 2:13Una di questi informatici è Sarah Jamie Lewis, ex addetta alla sicurezza informatica di Amazon dopo aver lavorato per l’agenzia di intelligence britannica GCHQ e ora executive director della Open Privacy Research Society, a Vancouver, in Canada.
In una serie di tweet impietosi e in un’intervista a Motherboard, Sarah Jamie Lewis ha messo in luce alcune carenze del codice sorgente del software di voto elettronico, che deve essere accessibile agli esperti, come da Ordinanza della Cancelleria Federale, ma è stato invece reso disponibile a tutti su Internet da ignoti. Questo è in violazione delle disposizioni di utilizzo, ma ha consentito a molti più esperti di esaminare il software e di criticarlo senza le restrizioni previste dagli accordi di partecipazione al test.
Il risultato non è incoraggiante. Ecco alcuni stralci dalla serie di tweet:
So, I took a look at swiss online voting system code that someone leaked, and having written, deployed and audited large enterprise java code...that thing triggers every flag.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
The core reencryption mixnet code is spread across dozens of different files, not included the auxiliary/utility/deployment packages.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
Also this work in progress is reassuring pic.twitter.com/v93km0T41E
oh ffs, how about some basic defense in depth people. This is not how you start a function designed to verify a proof as being correct.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
*headdesk* pic.twitter.com/NRtIWGdwZR
There is an entire javascript package dedicated to collecting entropy in that codebase.— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
Hope that was well audited. pic.twitter.com/7xIhJapLrR
Definitely want to make sure that clients using a browser that has been out of extended support for 5 years are generating secure random numbers too. pic.twitter.com/HZGx5PEzSQ— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
La sua non è l’unica voce che esprime dubbi:
I'm dying :D pic.twitter.com/IPBQqJdGj2— Malapropismus (@malapropismus) 18 febbraio 2019
Il suo thread di commenti su Twitter, troppo lungo e articolato da riportare integralmente qui, si conclude così:
Anyway, I wish the swiss election team the best of luck in ensuring that the thousands of new, highly configurable, ZKP code, written in Java, decomposed over hundreds of files, is up to the standard of securing national elections.— Sarah Jamie Lewis (@SarahJamieLewis) February 18, 2019
Il problema di fondo del software di voto, sviluppato dalle Poste Svizzere e dalla società Scytl di Barcellona, è che non è software open source, ma è proprietario, per cui non è liberamente ispezionabile in piena trasparenza.
Le condizioni di accesso infatti ribadiscono che “The published code, including the source code, is the intellectual property of the companies Scytl and Post CH Ltd. The code in question is proprietary and not subject to a free and open source software (FOSS) licence” e che “Post CH Ltd must be consulted before any findings may be published”, per cui i ricercatori devono avere il permesso delle Poste per pubblicare i propri risultati. Questo limita fortemente l’ispezionabilità del codice e non aiuta a raggiungere l’obiettivo di “creare
fiducia nell’opinione pubblica”.
Dal canto loro, le Poste Svizzere hanno risposto, tramite la portavoce Nathalie Dérobert, che il test d’intrusione non è concepito per validare il codice o dimostrare la sicurezza del sistema, ma solo per aiutare gli sviluppatori a capire quali migliorie devono fare. A giudicare dalle critiche fatte online, le migliorie da mettere in cantiere saranno tante.
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
