Gen 12, 2024 Marina Londei Approfondimenti, Attacchi, Minacce, RSS 0

---

Uno dei problemi principali nel campo dell’intelligenza artificiale sono gli attacchi di adversarial machine learning, ovvero tutti quegli attacchi volti a compromettere il corretto funzionamento dei sistemi di apprendimento automatico usando input creati ad hoc.

Per questo motivo NIST, il National Institute of Standards and Technology degli Stati Uniti, ha pubblicato un documento approfondito dove si identificano i principali tipi di attacco contro i sistemi di machine learning e le possibili mitigazioni al fine di aiutare sviluppatori e aziende a riconoscere e gestire i rischi dei sistemi.

“Forniamo una panoramica delle tecniche e delle metodologie di attacco che prendono in considerazione tutti i tipi di sistemi di intelligenza artificiale. Descriviamo anche le attuali strategie di mitigazione riportate in letteratura, ma queste difese attualmente non hanno garanzie solide di eliminare completamente i rischi. Incoraggiamo la comunità a proporre soluzioni migliori” ha affermato Apostol Vassilev, informatico del NIST e uno degli autori della pubblicazione.

Un problema di dati

L’Istituto sottolinea che, poiché i sistemi si basano su grandi volumi di dati per funzionare, l’affidabilità dei dataset è uno dei problemi più sentiti: non solo le fonti di dati potrebbero essere non attendibili, ma i cybercriminali possono corrompere le informazioni, sia in fase di addestramento che durante l’operatività vera e propria.

“Poiché i dataset usati per addestrare l’IA sono troppo grandi per essere monitorati efficacemente dalle persone, non c’è ancora un modo infallibile per proteggere l’IA dagli errori” scrive l’Istituto.

La classificazione del NIST

Il documento considera quattro principali tipi di attacco e li classifica ulteriormente in base ad altri criteri, quali l’obiettivo dell’attaccante, le capacità e la conoscenza in possesso.

Gli attacchi di evasion (evasione) avvengono dopo che un sistema è stato messo in funzione e consistono nell’alterare gli input per cambiare il modo in cui il sistema risponde. Tra gli esempi principali ci sono gli attacchi che colpiscono i veicoli a guida autonoma: un attaccante potrebbe alterare la segnaletica stradale, sia i cartelli che i segnali orizzontali, per compromettere il funzionamento dell’algoritmo e creare situazioni di pericolo.

Gli attacchi di poisoning (avvelenamento) avvengono invece durante la fase di training tramite l’introduzione di dati corrotti. Il NIST riporta come esempio l’inserimento di tracce audio con linguaggio inappropriato tra record di conversazioni, così che il chatbot impari a usare certe parole o espressioni quando interagisce con un utente.

Gli attacchi di privacy si verificano durante lo sviluppo dei sistemi e mirano a ottenere informazioni sensibili sull’algoritmo o sui dati di training per usarli in maniera malevola. Un attaccante può porre delle specifiche domande al chatbot per ottenere informazioni sul suo funzionamento e usarle per effettuare il reverse engineering e individuare i punti deboli del modello; questo consente di individuare le fonti di addestramento del modello e inserire esempi malevoli per fare in modo che l’IA fornisca risposte errate.

Quest’ultima attività rientra negli attacchi di abuse volti a inserire informazioni non corrette in una sorgente dati, come una pagina web o un documento disponibile online dai quali il modello apprende. Diversamente dagli attacchi di avvelenamento, in questo caso l’attaccante compromette la sorgente dati in uso.

Gli autori del documento sottolineano che la maggior parte degli attacchi è facile da eseguire e non richiede conoscenze approfondite; al contrario, fare in modo che il sistema disimpari certi comportamenti e logiche è molto complesso. La guida offre numerose indicazioni su come mitigare i rischi, anche se gli autori specificano che le difese in uso sono incomplete e che gli sviluppatori devono essere coscienti di questi limiti.

“Nonostante i notevoli progressi compiuti dall’IA e dall’apprendimento automatico, queste tecnologie sono vulnerabili agli attacchi che possono causare guasti spettacolari con conseguenze disastrose” ha spiegato Vassilev. “Esistono problemi teorici di sicurezza degli algoritmi di IA che semplicemente non sono ancora stati risolti. Se qualcuno dice il contrario, è un ciarlatano”.

---

---

---

https://www.securityinfo.it/2024/01/12/nist-identifica-i-tipi-di-attacco-contro-i-sistemi-di-ia/?utm_source=rss&utm_medium=rss&utm_campaign=nist-identifica-i-tipi-di-attacco-contro-i-sistemi-di-ia

Il Garante per la Protezione dei Dati Personali ha pubblicato il vademecum per proteggere gli utenti dai rischi privacy sui dispositivi “fitness tracker”. Questo dispositivi misurano le prestazioni sportive (rilevando ad esempio i passi fatti, la distanza percorsa in bicicletta o di corsa, le calorie consumate durante una determinata attività fisica, ecc.) e monitorano e registrano alcuni parametri di stato psicofisico (ad esempio, il battito cardiaco, la pressione sanguigna, il livello di stress, le ore dormite, la quantità di acqua bevuta, il peso, le calorie e le tipologie di cibo mangiate).

Si tratta di ausili utili per tentare di mantenere un buono stato di forma o per migliorare le performance sportive. Tuttavia occorre sempre ricordare che tali strumenti:

• sono in grado di raccogliere moltissimi dati, anche di natura sensibile, cioè riferiti al nostro stato psico-fisico e di salute, che potrebbero anche essere trasmessi a terzi per finalità non sempre conosciute. Inoltre, app e dispositivi fitness tracker hanno anche funzioni di geolocalizzazione che possono tracciare la nostra posizione e i nostri spostamenti in un preciso momento e nel tempo;
• sono integrati nell’Internet delle cose (IoT), sono cioè capaci di dialogare e scambiare dati con altre app e altri dispositivi come il pc o lo smartphone. Ciò aumenta notevolmente le possibilità di trattamento e diffusione dei dati personali raccolti da tali strumenti, per finalità e con modalità di cui non sempre siamo consapevoli. Potrebbe anche accadere che il fitness tracker raccolga a sua volta dati da altri dispositivi (computer, smartphone, ecc.) e app con cui è interconnesso;
• hanno una spiccata “vocazione social”, cioè possiedono funzionalità che consentono di condividere obiettivi, sfide e risultati con altri utenti, spesso sconosciuti.

Quando si utilizzano tali strumenti è quindi sempre bene farlo con consapevolezza e adottando alcune importanti accortezze.

1. LEGGI SEMPRE BENE L’INFORMATIVA

Cerca di capire quanti e quali dati verranno raccolti e come verranno utilizzati, consultando l’informativa sul trattamento dei dati personali.

In particolare verifica:

• chi tratterà i tuoi dati personali e con quali finalità
• per quanto tempo verranno conservati
• se possono essere condivisi con terze parti per finalità commerciali o di altro tipo
• L’informativa dovrebbe essere sempre disponibile:
• Nella confezione del dispositivo
• Sul sito web del produttore del dispositivo
• Sul sito web della app o nel market da cui viene scaricata

2. MINIMIZZA IL TRATTAMENTO DEI DATI

Verifica quali e quanti dati siano assolutamente indispensabili per il normale funzionamento della app o del dispositivo di monitoraggio.

Ad esempio, puoi scegliere di tenere traccia della durata seduta di corsa o bicicletta e la distanza percorsa, anche senza necessariamente rilevare il battito cardiaco.

Inoltre, potresti disattivare alcune funzioni non essenziali nella comune attività di fitness (vale a dire, non professionistica): come, ad esempio le funzioni per monitorare il sonno, i pasti, ecc.

Se per il download dell’app di monitoraggio delle prestazioni sportive e/o per la sua installazione è prevista la creazione di un profilo personale, prova a fornire solo i dati strettamente necessari all’attivazione del servizio.

Se possibile, usa uno pseudonimo: in questo modo, nel caso di condivisione social dei tuoi dati, puoi limitare la possibilità che altri utenti, o in genere soggetti terzi, associno facilmente alla tua identità reale le informazioni sulle tue prestazioni o sulla forma fisica.

3. PRUDENZA CON LE CONNESSIONI

Il dispositivo e la app fitness tracker possono richiedere l’accesso ai dati o alle funzioni di altri device (es: lo smartphone) o di altre app (es: quelle per il monitoraggio dell’attività fisica di base a volte installate di default negli smarphone). Ciò può comportare una ulteriore potenziale diffusione e un trattamento di dati personali che è invece sempre bene evitare o almeno limitare.

Se la connessione ad altri dispositivi non è indispensabile al funzionamento del dispositivo o della app, non concedere l’autorizzazione.

In caso contrario:

• limita in ogni caso al minimo la condivisione di dati;
• cerca di leggere bene l’informativa nella parte relativa alla condivisione di dati.

Il problema si pone ovviamente anche in senso inverso. Se possibile, non permettere l’accesso di app e dispositivi fitness tracker ad alcuni dati presenti sullo smartphone, sul computer o in altre app che non sono strettamente necessari al tracciamento dell’attività sportiva (come i contatti in rubrica, le foto, l’agenda o il microfono).

Ricorda infine che eventuali malintenzionati potrebbero usare queste condivisioni di accesso per cercare di veicolare virus e malware, sottrarre dati personali o prendere il controllo di alcuni dispositivi (compresi quelli domotici).

4. NON DIRE TUTTO A TUTTI

Se decidi di attivare le funzioni di condivisione social di obiettivi, risultati e, in generale, di dati sul tuo stato di forma psico-fisica, valuta sempre con attenzione quali informazioni stai redendo accessibili e a chi.

Se possibile, limita il numero di informazioni condivise e seleziona gli utenti che potranno visualizzarle (ad esempio: solo amici e conoscenti).

Soprattutto fai attenzione a non diffondere in modalità social, volontariamente o involontariamente, dati delicati, come quelli da cui si può desumere lo stato di salute o sulla geolocalizzazione. Immagina ad esempio i rischi insiti nel diffondere pubblicamente informazioni da cui si possono desumere eventuali problemi fisici, oppure sui percorsi che si è soliti fare di corsa o in biciletta, rendendo quindi noto il tragitto e gli orari e i giorni in cui si è lontani da casa.

5. ATTENZIONE ALLA SICUREZZA

Per utilizzare dispositivi ed app con maggiore sicurezza, puoi adottare alcune semplici accortezze di base, sempre valide nell’utilizzo di strumenti tecnologici:

• impostare password di accesso complesse e sicure;
• aggiornare periodicamente la app alle nuove versioni, che contengono di solito anche miglioramenti sul fronte della sicurezza;
• impostare una autenticazione di accesso a più fattori;
• installare sul dispositivo un software antivirus in grado di proteggere anche i dati personali da eventuali violazioni;
• scaricare le app tramite siti web e market ufficiali.

Se connetti app e dispositivi tramite Bluetooth o wi-fi, ricorda che eventuali malintenzionati potrebbero sfruttare eventuali falle di sicurezza per accedere alle tue informazioni o addirittura prendere il controllo dei dispositivi.

Quindi, ad esempio:

• disconnetti il dispositivo e, in generale, spegni il Bluetooth quando non li usi;
• connetti il tuo dispositivo a una rete wi-fi solo se sei certo degli standard di sicurezza adottati contro virus e rischi di intrusione. Evita dunque connessioni pubbliche che non puoi verificare, come quelle di palestre, centri sportivi, spiagge, bar, ristoranti, ecc..

6. CANCELLA I DATI

Se possibile, cancella periodicamente i dati raccolti dal dispositivo e dalla app, considerando anche quelli eventualmente trasmessi ad un altro dispositivo (ad esempio lo smartphone). Laddove previsto, accedi al sito web cui fanno riferimento ed elimina i dati relativi al tuo profilo utente.

7. TUTELA I MINORI

In generale, è meglio evitare l’utilizzo da parte dei minori di dispositivi e app per il monitoraggio delle prestazioni sportive, se non sotto la supervisione di un adulto.

I più piccoli, infatti, sono meno consapevoli e più esposti al rischio di una raccolta e diffusione incontrollata di dati personali.

8. SE NON LO USI, SPEGNILO

Chiediti se per te è assolutamente indispensabile indossare e tenere acceso il dispositivo fitness tracker 24 ore su 24.

Se non lo vuoi spegnere, come nel caso dei braccialetti utilizzabili anche come orologi da polso, puoi almeno decidere di disattivare alcuni sensori e/o alcune funzioni di rilevamento.

9. NON DARE VIA I TUOI DATI

Nel caso in cui decidessi di vendere o regalare il tuo dispositivo fitness tracker, o comunque di liberartene, ricorda di disattivare l’account personale creato per l’utilizzo e di provvedere alla cancellazione di tutti i dati eventualmente registrati nel dispositivo e sulla app.

Se non usi più una app sportiva, disinstallala dallo smartphone e verifica che contemporaneamente siano cancellati tutti i dati che ha raccolto, sia in locale (cioè nel dispositivo o nella app) che sulla piattaforma del fornitore della stessa app e dei servizi collegati.

Informati anche se i tuoi dati siano eventualmente conservati sui server dell’azienda che produce il dispositivo o l’app fitness tracker ed eventualmente chiedine la cancellazione.

10. IMPARA A DIFENDERTI

Il Regolamento UE/2016/679 in materia di protezione dati prevede che i sistemi elettronici siano prodotti e configurati per ridurre al minimo la raccolta e il trattamento di dati personali (privacy by design e privacy by default). I dati devono inoltre essere trattati in modo trasparente nei confronti dell’interessato (principio di trasparenza) e adeguati, pertinenti e limitati a quanto previsto dalla finalità (principio di minimizzazione).

Tali principi debbono essere conosciuti e rispettati dai produttori di dispositivi digitali e dai fornitori di servizi di comunicazione ed eventualmente certificati.

E’ però sempre importante ricordare che le prime e più importanti linee di difesa da possibili violazioni della nostra privacy sono la consapevolezza nell’uso delle tecnologie e l’accortezza nel diffondere i nostri dati personali.

https://www.key4biz.it/fitness-tracker-come-proteggere-la-privacy-i-suggerimenti-del-garante/474046/

Gen 03, 2024 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

La crociata di Google contro i cookie di terze parti sta per partire: a partire dal 4 gennaio la compagnia comincerà a testare Tracking Protection, una nuova funzionalità parte dell’iniziativa Privacy Sandbox che limita il tracking cross-site restringendo di default l’accesso alle pagine da parte dei cookie terzi.

Il test avverrà per una piccola parte degli utenti Chrome, i quali verranno selezionati casualmente. Chi rientrerà nei test riceverà una notifica e verrà informato del blocco dei cookie impostato di default. Se un sito non dovesse funzionare senza cookie e Chrome si dovesse accorgere del problema, il browser consentirà all’utente di disabilitare temporaneamente la funzionalità.

Tracking Protection: il primo step verso Privacy Sandbox

Lanciata nel 2019, Privacy Sandbox mira a tutelare la privacy degli utenti eliminando i cookie di terze parti, limitando il monitoraggio nascosto. 

Google sta lavorando con altri stakeholder per identificare nuovi standard per il web che permettano da una parte di garantire la riservatezza delle informazioni degli utenti, e dall’altra continuare a proporre annunci rilevanti. L’idea alla base dell’iniziativa è di aggregare le informazioni sulle persone invece di tracciare il singolo, mostrando determinati annunci a un gruppo di utenti accomunati da interessi affini.

Esistono già alcune API pensate per definire categorie di interessi su cui basare gli annunci, misurare la conversione delle pubblicità e aggregare le statistiche su utenti e campagne di marketing.

“Con Tracking Protection, Privacy Sandbox e tutte le funzionalità che lanceremo in Chrome, continueremo a lavorare per creare un web più privato che mai e universalmente accessibile a tutti” ha affermato Anthony Chavez, VP, Privacy Sandbox di Google.

Il test coinvolgerà solo l’1% degli utenti Chrome. Tracking Protection è il primo passo del percorso di Google nell’eliminazione graduale dei cookie di terze parti, previsto in conclusione per la seconda metà del 2024.

---

---

---

https://www.securityinfo.it/2024/01/03/stop-ai-cookie-di-terze-parti-su-chrome-ecco-tracking-protection/?utm_source=rss&utm_medium=rss&utm_campaign=stop-ai-cookie-di-terze-parti-su-chrome-ecco-tracking-protection

Google has indicated that it is ready to settle a class-action lawsuit filed in 2020 over its Chrome browser’s Incognito mode. Arising in the Northern District of California, the lawsuit accused Google of continuing to “track, collect, and identify [users’] browsing data in real time” even when they had opened a new Incognito window.

The lawsuit, filed by Florida resident William Byatt and California residents Chasom Brown and Maria Nguyen, accused Google of violating wiretap laws. It also alleged that sites using Google Analytics or Ad Manager collected information from browsers in Incognito mode, including web page content, device data, and IP address. The plaintiffs also accused Google of taking Chrome users’ private browsing activity and then associating it with their already-existing user profiles.

Google initially attempted to have the lawsuit dismissed by pointing to the message displayed when users turned on Chrome’s incognito mode. That warning tells users that their activity “might still be visible to websites you visit.”

Judge Yvonne Gonzalez Rogers rejected Google’s bid for summary judgement in August, pointing out that Google never revealed to its users that data collection continued even while surfing in Incognito mode.

“Google’s motion hinges on the idea that plaintiffs consented to Google collecting their data while they were browsing in private mode,” Rogers ruled. “Because Google never explicitly told users that it does so, the Court cannot find as a matter of law that users explicitly consented to the at-issue data collection.”

According to the notice filed on Tuesday, Google and the plaintiffs have agreed to terms that will result in the litigation being dismissed. The agreement will be presented to the court by the end of January, with the court giving final approval by the end of February.

https://arstechnica.com/?p=1992954

Apple’s AirTags are meant to help you effortlessly find your keys or track your luggage. But the same features that make them easy to deploy and inconspicuous in your daily life have also allowed them to be abused as a sinister tracking tool that domestic abusers and criminals can use to stalk their targets.

Over the past year, Apple has taken protective steps to notify iPhone and Android users if an AirTag is in their vicinity for a significant amount of time without the presence of its owner’s iPhone, which could indicate that an AirTag has been planted to secretly track their location. Apple hasn’t said exactly how long this time interval is, but to create the much-needed alert system, Apple made some crucial changes to the location privacy design the company originally developed a few years ago for its “Find My” device tracking feature. Researchers from Johns Hopkins University and the University of California, San Diego, say, though, that they’ve developed a cryptographic scheme to bridge the gap—prioritizing detection of potentially malicious AirTags while also preserving maximum privacy for AirTag users.

The Find My system uses both public and private cryptographic keys to identify individual AirTags and manage their location tracking. But Apple developed a particularly thoughtful mechanism to regularly rotate the public device identifier—every 15 minutes, according to the researchers. This way, it would be much more difficult for someone to track your location over time using a Bluetooth scanner to follow the identifier around. This worked well for privately tracking the location of, say, your MacBook if it was lost or stolen, but the downside of constantly changing this identifier for AirTags was that it provided cover for the tiny devices to be deployed abusively.

In reaction to this conundrum, Apple revised the system so an AirTag’s public identifier now only rotates once every 24 hours if the AirTag is away from an iPhone or other Apple device that “owns” it. The idea is that this way other devices can detect potential stalking, but won’t be throwing up alerts all the time if you spend a weekend with a friend who has their iPhone and the AirTag on their keys in their pockets.

In practice, though, the researchers say that these changes have created a situation where AirTags are broadcasting their location to anyone who’s checking within a 30- to 50-foot radius over the course of an entire day—enough time to track a person as they go about their life and get a sense of their movements.

“We had students walk through cities, walk through Times Square and Washington, DC, and lots and lots of people are broadcasting their locations,” says Johns Hopkins cryptographer Matt Green, who worked on the research with a group of colleagues, including Nadia Heninger and Abhishek Jain. “Hundreds of AirTags were not near the device they were registered to, and we’re assuming that most of those were not stalker AirTags.”

Apple has been working with companies like Google, Samsung, and Tile on a cross-industry effort to address the threat of tracking from products similar to AirTags. And for now, at least, the researchers say that the consortium seems to have adopted Apple’s approach of rotating the device public identifiers once every 24 hours. But the privacy trade-off inherent in this solution made the researchers curious about whether it would be possible to design a system that better balanced both privacy and safety.

https://arstechnica.com/?p=1992899

Users of UniFi, the popular line of wireless devices from manufacturer Ubiquiti, are reporting receiving private camera feeds from, and control over, devices belonging to other users, posts published to social media site Reddit over the past 24 hours show.

“Recently, my wife received a notification from UniFi Protect, which included an image from a security camera,” one Reddit user reported. “However, here’s the twist—this camera doesn’t belong to us.”

Stoking concern and anxiety

The post included two images. The first showed a notification pushed to the person’s phone reporting that their UDM Pro, a network controller and network gateway used by tech-enthusiast consumers, had detected someone moving in the backyard. A still shot of video recorded by a connected surveillance camera showed a three-story house surrounded by trees. The second image showed the dashboard belonging to the Reddit user. The user’s connected device was a UDM SE, and the video it captured showed a completely different house.

Less than an hour later, a different Reddit user posting to the same thread replied: “So it’s VERY interesting you posted this, I was just about to post that when I navigated to unifi.ui.com this morning, I was logged into someone else’s account completely! It had my email on the top right, but someone else’s UDM Pro! I could navigate the device, view, and change settings! Terrifying!!”

Two other people took to the same thread to report similar behavior happening to them.

Other Reddit threads posted in the past day reporting UniFi users connecting to private devices or feeds belonging to others are here and here. The first one reported that the Reddit poster gained full access to someone else’s system. The post included two screenshots showing what the poster said was the captured video of an unrecognized business. The other poster reported logging into their Ubiquiti dashboard to find system controls for someone else. “I ended up logging out, clearing cookies, etc seems fine now for me…” the poster wrote.

Yet another person reported the same problem in a post published to Ubiquiti’s community support forum on Thursday, as this Ars story was being reported. The person reported logging into the UniFi console as is their routine each day.

“However this time I was presented with 88 consoles from another account,” the person wrote. “I had full access to these consoles, just as I would my own. This was only stopped when I forced a browser refresh, and I was presented again with my consoles.”

Ubiquity on Thursday said it had identified the glitch and fixed the errors that caused it.

“Specifically, this issue was caused by an upgrade to our UniFi Cloud infrastructure, which we have since solved,” officials wrote. They went on:

1. What happened?

1,216 Ubiquiti accounts (“Group 1”) were improperly associated with a separate group of 1,177 Ubiquiti accounts (“Group 2”).

2. When did this happen?

December 13, from 6:47 AM to 3:45 PM UTC.

3. What does this mean?

During this time, a small number of users from Group 2 received push notifications on their mobile devices from the consoles assigned to a small number of users from Group 1.

Additionally, during this time, a user from Group 2 that attempted to log into his or her account may have been granted temporary remote access to a Group 1 account.

The reports are understandably stoking concern and even anxiety for users of UniFi products, which include wireless access points, switches, routers, controller devices, VoIP phones, and access control products. As the Internet-accessible portals into the local networks of users, UniFi devices provide a means for accessing cameras, mics, and other sensitive resources inside the home.

“I guess I should stop walking around naked in my house now,” a participant in one of the forums joked.

To Ubiquiti’s credit, company employees proactively responded to reports, signaling they took the reports seriously and began actively investigating early on. The employees said the problem has been corrected, and the account mix-ups are no longer occurring.

It’s useful to remember that this sort of behavior—legitimately logging into an account only to find the data or controls belonging to a completely different account—is as old as the Internet. Recent examples: A T-Mobile mistake in September, and similar glitches involving Chase Bank, First Virginia Banks, Credit Karma, and Sprint.

The precise root causes of this type of system error vary from incident to incident, but they often involve “middlebox” devices, which sit between the front- and back-end devices. To improve performance, middleboxes cache certain data, including the credentials of users who have recently logged in. When mismatches occur, credentials for one account can be mapped to a different account.

In an email, a Ubiquiti official said company employees are still gathering “information to provide an accurate assessment.”

https://arstechnica.com/?p=1991239

The Tor Project announced on Monday that it has removed many relays due to the high risk they posed to the network’s integrity and users.

A blog post published by the anonymity network’s maintainers reveals that directory authorities have voted in favor of removing the relays associated with a for-profit scheme that involves the payment of cryptocurrency tokens.  

“We consider these relays to be harmful to the Tor network for a number of reasons, including that certain of the relays do not meet our requirements, and that such financial schemes present a significant threat to the network’s integrity and the reputation of our project as they can attract individuals with malicious intent, put users at risk, or disrupt the volunteer-driven spirit that sustains the Tor Community,” the Tor Project explained. 

It added, “As part of our assessment and due diligence into the matter, we engaged with relay operators and were often presented with scenarios in which relay operators associated with this scheme were putting themselves at risk by lacking the awareness of what project they were actually contributing to or operating relays in unsafe or high-risk regions. It has become clear to us that this scheme is not beneficial to the Tor network or the Tor Project.”

While the cryptocurrency project in question has not been named, it seems to be ATOR, which claims its goal is to enhance the Tor network through rewards paid in the ATOR cryptocurrency to relay operators.  

The value of ATOR plummeted on Monday after the Tor Project made its announcement, dropping to below $1 after reaching an all-time high of $2 just days before the relays were removed. Over 1,000 nodes have been reportedly shut down.

Following the Tor Project’s decision, ATOR maintainers said they plan to develop their own decentralized peer-to-peer routing network. 

The Tor Project last week published a financial report for the period between July 1, 2021, and June 30, 2022, revealing that it had a total of nearly $7 million in revenue and support.

The US government continues to account for the largest chunk of revenue, contributing with more than 50% of the total ($3.2 million), followed by individual donations ($1.7 million), and governments other than the US ($450,000).  

Related: Amazon Rolls Out Independent Cloud for Europe to Address Stricter Privacy Standards

Related: US Officials Make Case for Renewing FISA Surveillance Powers

Related: Apple, Civil Liberty Groups Condemn UK Online Safety Bill

https://www.securityweek.com/tor-network-removes-risky-relays-associated-with-cryptocurrency-scheme/

The Republican chairman of the House Intelligence Committee called Thursday for the renewal of a key US government surveillance tool as he proposed a series of changes aimed at safeguarding privacy.

The proposals by Rep. Mike Turner are part of a late scramble inside Congress and the White House to guarantee the reauthorization of Section 702 of the Foreign Intelligence Surveillance Act, which allows spy agencies to collect emails and other communications. They emerged from a congressional working group and are expected to form the basis of a legislative package that Turner hopes can be passed before Section 702 expires at the end of the year.

“We believe that before the end of the year, we will have a significant package of reforms that will be unprecedented, and at the same time, we will have the renewal of 702,” Turner told reporters.

The section of law at issue permits U.S. officials to collect without a warrant the communications of targeted foreigners who are outside the country and suspected of posing a national security threat. The government also captures the communications of American citizens and others in the U.S. when they’re in contact with those targeted foreigners.

The program has come under scrutiny in the last year following revelations that FBI analysts improperly searched the database of intelligence, including for information about people tied to the Jan. 6, 2021, riot at the U.S. Capitol and the racial justice protests of 2020.

The changes described by Turner are meant to heighten the penalties for such abuses, including by allowing Congress to trigger a mandatory inspector general review into alleged violations, and to tighten restrictions on queries, especially ones that are politically sensitive. He also called for allowing only a limited group of FBI supervisors and attorneys to authorize queries of people inside the U.S.

Much of the debate so far has centered on whether U.S. officials should be required to obtain a warrant before accessing intelligence on people inside the U.S.

A bill introduced last week by Democratic Sen. Ron Wyden and other lawmakers included a warrant requirement. The White House, however, has said such a proposal would cross a “red line,” and FBI Director Christopher Wray told lawmakers at a hearing Wednesday that a mandate for a court order would be legally unnecessary and would snarl vital investigations at a time of rising terrorism threats.

“At a time when the FBI director is claiming that we have the largest threat to national security … it would be incredibly dangerous and detrimental for us to either allow 702 to expire or to saddle it in a way that it’s unusable,” Turner said.

Turner said his proposal would require a warrant only when the database query seeks evidence of a specific crime — but not for searches related to national security.

Additional legislative proposals are expected. Asked Thursday about the status of negotiations with Rep. Jim Jordan, the Republican chairman of the House Judiciary Committee, Turner said Jordan had indicated that he planned to submit a different proposal.

Related: US Officials Make Case for Renewing FISA Surveillance Powers

Related: UK Introduces Mass Surveillance With Online Safety Bill

https://www.securityweek.com/key-gop-lawmaker-calls-for-renewal-of-surveillance-tool-as-he-proposes-changes-to-protect-privacy/

Steam has long sought to strike the right balance between convenience, community, and private refuge. Until recently, sharing your gaming history was either public, exclusive to your friends, or turned off entirely. A screenshot from a noted Steam watcher suggests that a “Mark as Private” option could be coming for individual games that you’re not keen on anyone, including friends, knowing you’ve put some time into.

Posting on X (formerly Twitter), Pavel Djundik, creator of the Steam insight tool SteamDB, shows options on the three-dot menu to the right of a game, with the last being “Mark as Private.” A tooltip on the option reads, “Mark this game as private and hide it from my friends.” Djundik’s example is Counter-Strike 2, which, perhaps in some circles, is a game worth hiding.

Some folks may be concerned to show the massive hour counts they’ve put into certain games. Others might be concerned about certain obsessive or ignoble achievements in games standing out in their timeline. More likely, of course, are the kinds of adult and fetish games with which Steam has a highly confusing relationship. The replies to Djundik’s tweet suggest that people get this, though they also have some suggestions about other refinements, like finer-grained friend management tools.

At the moment, the “Privacy Settings” for Steam profiles let you choose between three levels that affect all the games you play: Public, Friends Only, and Private. You can set your profile, game details, friends list, “inventory” (those strange playing cards), comments, and screenshots to each of these settings. But soon, it seems, you can share most of your gaming life with friends, or the whole web, while certain games are just for you. It would be beneficial if you could set the privacy in place straight from the purchase page, as adding a game to your inventory is another thing Steam often broadcasts.

“Private” settings on Steam have previously had some problems, as Ars reported in 2013. Over time, Valve shifted to a “private by default” stance, incidentally eliminating sales and playtime data tools like Steam Spy. It’s unclear whether a private setting for games will affect statistics-keeping tools like SteamDB or sales of adult-minded games, generally.

https://arstechnica.com/?p=1982241

Motori di ricerca, IA e privacy

La scelta del motore di ricerca non è solo legata alla velocità e la pertinenza dei risultati, ma anche alla privacy. Dal 1990 ad oggi, anno in cui è andato online il primo search engine Archie, sono stati lanciati più di 20 motori di ricerca.

Google è certamente il più noto ed utilizzato al mondo, ma non certo l’unico. Negli ultimi tempi si parla tanto di intelligenza artificiale (IA) e di assistenti virtuali, ma sono anni che si impiegano queste tecnologie per affinare le attività di ricerca online.

Il fattore privacy ha reso ancora più particolare la scelta di questi motori e ogni browser offre numerose opzioni extra per integrare diverse soluzioni.

Fondamentale, prima di impostare un motore di ricerca come predefinito, è fare molta attenzione al modo in cui le ricerche vengono effettuate, alla sicurezza informatica e al trattamento dei dati personali.

Google

Google è sicuramente il più usato dagli utenti di internet, con una quota dell’83% delle ricerche effettuate in tutto il mnondo, ma anche il più potente, visto che alimenta siti come YouTube ed integra diverse funzionalità, tra cui Google Workspace.

Quest’anno la Big Tech di Mountain View ha introdotto Bard, un assistente di ricerca basato su IA.

I motori di ricerca utilizzano da anni algoritmi di intelligenza artificiale per identificare modelli, personalizzare risultati di ricerca e annunci per singoli utenti, ma le cose stanno cambiando molto rapidamente.

L’IA generativa ci ha catapultati in una nuova era e non passerà molto tempo prima che anche Google possa disporre di assistenti virtuali sia per attività di ricerca, sia per la generazione di contenuti.

Il problema, al momento, è che questo motore di ricerca raccoglie anche un gran volume di dati utente e sfrutta le nostre informazioni per la personalizzazione dei risultati, creando qualche problema in termini di privacy.

Bing

Il principale competitor di Google è certamente Bing. Il motore di ricerca di Microsoft è il secondo più utilizzato al mondo, con ottimi risultati in termini di integrazione di soluzioni IA.

Il bot di ricerca Bing Chat è direttamente alimentato da ChatGPT, una delle IA generative più note al mondo. Questa soluzione avanzata aiuta a perfezionare le ricerche, selezionare e valutare le fonti e a convalidare i risultati, anche se non sempre in maniera soddisfacente.

Le ricerche di immagini, video e mappe su Bing sono considerate tra le migliori al mondo. I suoi detrattori hanno notato che le pagine con i risultati possono sembrare molto simili a quelle di Google, in alcuni casi addirittura non è semplice distinguerle.

Il motore di Microsoft, inoltre, offre anche un programma a premi. Ogni volta che si effettuano ricerche e magari si fanno anche degli acquisti l’utente guadagna dei punti, che poi possono essere riscattati sotto forma di buoni regalo o donazioni. Per ogni ricerca si guadagno 5 punti in media.

Anche in questo caso, però, il motore di ricerca raccoglie molti dati personali per rendere i risultati cercati il più possibile “su misura” utente, con diversi problemi in termini di privacy.

DuckDuckGo

Meno popolare e performante dei due precedenti, DuckDuckGo è al momento uno dei migliori motori di ricerca in termini di tutela dei dati personali.

Non li memorizza, non traccia la nostra navigazione, ne raccoglie coockie, con il risultato che si vedono comunque gli annunci ma non personalizzati in relazione alle nostre attività online.

DuckDuckGo sfrutta crawler di proprietà e incorpora anche altri motori di ricerca, ma non Google, cercando di diversificare così l’offerta dei risultati e offrire un’esperienza utente alternativa.

Come specificato, il punto forte di questa tecnologia è l’attenzione alla privacy, ma anche la semplificazione delle operazioni di ricerca, con una pagina di risultati più elementare e allo stesso tempo più facile da navigare (se cerchi il miglior router o il Pc che costa meno, non ti servono centinaia di migliaia di risultati).

Starpage

Sullo stesso livello del precedente, c’è Startpage. Un motore di ricerca che valorizza la privacy e anche la sicurezza. Evita di tracciare gli utenti e di registrare cronologie di navigazione, impedendo anche ad occhi indiscreti di spiare le nostre attività o di raccogliere dati a nostra insaputa.

La nota dolente è che questa attenzione all’utente rende le ricerche online più lente delle soluzioni alternative.

Tra le funzionalità di base la visualizzazione anonima delle pagine, senza condivisione dei dati personali, grazie alla rimozione del proprio indirizzo IP prima di inviare la query, e il servizio di posta elettronica StartMail.

Yahoo

È sicuramente uno dei vecchi motori di ricerca presenti in rete. Yahoo esiste infatti dal 1994 e oggi integra Bing per la creazione delle pagine dei risultati (il che ha come conseguenza una certa similarità nell’output finale dei due motori).

Tante le funzionalità base offerte, da quelle più comuni (meteo, news, sport e tendenze), al popolare servizio di posta elettronica Yahoo Mail, fino alla pagina dedicata ai mercati finanziari.

Molto apprezzato il servizio open source Yahoo Maps.

The post Motori di ricerca, ecco i migliori in termini di risultati e di protezione della privacy appeared first on Key4biz.

https://www.key4biz.it/motori-di-ricerca-ecco-i-migliori-in-termini-di-risultati-e-di-protezione-della-privacy/465934/