Privacy? Si mangia?

Tech Zone
161

OSINT investigation documenting how age verification laws in Brazil, the UK, and the US create mandatory markets for biometric surveillance infrastructure controlled by intelligence-linked companies.

Age Verification as Mass Surveillance Infrastructure

Age verification laws in Brazil, the United Kingdom, and the United States are creating mandatory markets for biometric identity verification infrastructure that doubles as surveillance. The same investor, Peter Thiel, simultaneously controls the surveillance analytics company (Palantir) and funds the identity verification company (Persona via Founders Fund). A coordinated legislative pipeline creates the legal demand for these services across borders. The identity verification ecosystem is now converging with the AI agent infrastructure, positioning identity as a prerequisite for every automated transaction on the internet.

162

Pikachu Shocked Face Stunned - Surprised Meme

163

Bellissimo sito, e apprezzo la sezione su systemd (Notice of Surveillance Detection - TBOTE Project) che fa capire molte cose, ovvero di come Poettering e soci stiano cercando di farci soldi su queste cose senza dichiararlo esplicitamente.

164

bisogna mettere in programma di mollare systemd, ma è un dito al culo.

165

Io sul mio desktop (Gentoo) uso OpenRC. Sull’ultimo portatile ho installato arch per comodità, e di default installa systemd, anche se mi sembra che supporti openrc gaurdando la wiki. Ovviamente OpenRC è old-style rispetto a systemd ma ci farò un pensiero.

166

Gentoo l’ho usata per molto tempo, ma all’epoca la cultura dei maintainer non mi sembrava ideale. Arch molto meglio, quindi mi toccherá guardare Artix.

167

ma eri anche su #gentoo-it ai tempi di Freenode? :look:

168

no, non bazzicavo IRC.

169

Non sono mai stato gran che sociale, ma parte del problema è che ero uno studente povro e non avevo la connessione internet a casa, dove avrei potuto cazzeggiare.

Gli aggiornamenti software li recuperavo quando ero in biblioteca in uni, e poi a un certo punto ero riuscito ad agganciarmi a reti wifi di alcuni vicini di casa (ovviamente, amici della postale, non mi sono mai sognato di craccare le WEP e WPA del caso, e anzi, anche quando le reti erano aperte non le ho mai usate).

2 Likes
170
171

L’app di Age Verification dell’EU pronti via è uno scolapasta.

172

Avevo letto. E’ un cazzata. L’exploit non espone un cazzo ma vabbe’, oramai chiunque con accesso a un LLM si mette a fare il giornalista.

173

io ho visto questo video di matteo flora dove parla delle 9 vulnerabilità cercando di spiegarle ai non addetti ai lavori

174

avevo letto molto velocemente ma ancora non è uscita?

e leggevo poi sono vulnerabilità che prevedono tipo jailbreak del dispositivo o cmq che è già bello che bucato il device stesso e sono categorizzate come cve 3.1 tipo come livello…

mi sembra un modo per non sapere che scrivere o parlarne per fare contenuto e buttare merda a prescindere.

1 Like
175

Esattamente. Anche perche’, considerando che sta cosa succedera’ oramai, e’ chiaro. L’alternativa e’ che invece abbiamo il bellissimo modello inglese in cui la tua identita’ la verificano enti privati.

Il che mi fa pensare.

176

ho riletto e confermo che si sta enfatizzando la cosa tra l’altro su una demo e/o prototipo quindi manco il “sistema finale”

se vogliamo proprio puntare sulla discussione in termini di mera sicurezza e che non ne vedo parlare tanto in giro tra le critiche ed anche se sistemano i bug e sulla aggirabilità:

qualsiasi sistema locale (sul dispostivo) è sempre in parte aggirabile.
un qualsiasi minore può entrare cmq in possesso di un telefono/device di un adulto
si possono condividere credenziali
puoi tranquillamente bypassare lato dispositivo

quindi anche se fai una roba perfetta non risolverebbe tutto :dunno:

1 Like
Nerd - Agorà system security team
177

cmq non so se scriverlo qui per il tema privacy ma giorni fà è morto

Michael Rabin tra i padri dell’informatica teorica moderna

in breve ha cambiato il modo in cui pensiamo agli algoritmi (introducendo la probabilità), e dato strumenti fondamentali alla crittografia

praticamente è grazie a lui che abbiamo internet sicuro e le banche online :sisi:

1 Like
178

Più a tema enshittification che privacy, però…

I want to show you something absolutely insane here. Google today announced “A new way to explore the web with AI Mode in Chrome” (see link below). The main new feature is that now, instead of people going to your site separately, your site will open inside Google AI mode, so that AI mode never goes away.

For those of us who are as old as me, you instantly recognize what this really is. 20 years ago, there was a trend where platforms would try to embed publisher sites directly into theirs using iframes. It became so bad that every publisher started blocking it. It was called ‘framekilling’. We absolutely would not allow other sites to embed our sites into theirs.

But now, Google has decided to build this directly into Chrome when using their AI service. They are not technically doing it with iframes, but it’s the same thing. They are now embedding our sites into their AI pages.

The crazy thing about this is that Google itself doesn’t allow this. Google started blocking iframe embedding back in the early 2000s. Then in the late 2000s, Microsoft invented a browser feature called “X-Frame-Options: DENY / SAMEORIGIN”. This was a specific browser setting that denied iframes (and/or other frames) from embedding sites into others. This was then adopted by Chrome, after which Google used it to protect their own site from being embedded by others.

So, if you today try to embed Google.com into your site, you will be blocked from doing it (see second screenshot below). So, Google not only knows that this kind of behavior is unacceptable, they have now gone 180 and decided that every single publisher should just be embedded into their site and systems.

For 20 years Google has been blocking what it today announced it will do to every other site online directly in Chrome. So, I looked up if Google’s new AI mode was respecting this, and it’s not. In their demonstration, they show that they can do this with Sharkninja.com, but they have:

content-security-policy: frame-ancestors ‘self’
x-frame-options: SAMEORIGIN

This explicitly tells the browser “do not embed this page” … and yet, in Chrome when using Google AI mode, Google now embeds their site into their AI page. This means they will also do this to publishers, and there is no technical way for us to block it. They are overriding the browser’s own protection for it.

Google announcement: Google upgrades AI Mode in the Chrome browser

(BTW: Just a personal note. On my site, I also have ‘x-frame-options: SAMEORIGIN’, which means that, as a publisher, I have also declared that I do not allow any third party to embed my site into theirs … which Google’s AI mode website in Chrome will completely ignore and just do anyway)

continuate pure a usare chrome e tutti i chromium-based perchè “firefox è brutto :dentone:”, aiutate solo google a fare il cazzo che vuole…

4 Likes
179

bho anche qui, ci sono si preoccupazioni leggitime ma parla di cose tecnichesi abbastanza in modo allarmistico e un po impreciso

ok che ha tirato fuori il riferimento storico degli iframe però bho non mi tornano un po di cose nelle sue affermazioni

tra le tante come cazzo fai ad ignorare gli X-Frame-Options e i CSP lato browser quando sono dichiarate a monte (in testo lato server)

poi si il tema del controllo dei contenuti dei publisher è reale e c’è anche da prima imho dell’AI questa filosofia

google ormai sta spostando traffico da “click ai siti e richiami vari con le ads etc” a “risposte dentro la piattaforma stessa “Google”

180

Tangenziale a quel discorso ma e’ da quando ho messo su un pihole sull’home server che ho scoperto la tana del bianconiglio su quanto chrome (e derivati) siano una roba da mani in faccia.

In sostanza i browser hanno tutti questa opzione “DNS over HTTPS” (DoH) che sulla carta ha un suo senso (googlate per sapere perche’). Il problema e’ che con la giustificazione della sicurezza sono iper aggressivi sul permetterti di decidere di usare DNS personali. Te ne accorgi brutalmente con un pihole perche’ vai a vedere i clienti connessi sulla dashboard di pihole e vedrai che no ti ciccia fuori il PC.

Lo fanno ovviamente tutti i browser moderni ma il problema e’ che mentre browser come firefox hanno una semplice spunta da togliere nelle opzioni (a tuo rischio ma anche a tuo controllo) i browser basati su chromium hanno un ulteriore layer, sempre per la tua protezione sia chiaro, che rende le cose un filo piu’ complicate per cui e’ un po’ come dover rispondere a un indovinello che dice “Dimmi cosa vuoi ma usa una doppia negazione per negare la negazione della doppia negazione che neghi. Pero’ sorridi quando me lo chiedi. E sii positivo.”

Siccome alla fine questo e’ un forum generalista ho fatto fare un riassunto a claude cosi che sia una roba breve e non scritto a cazzo come farei io adesso che ho letteralmente 10 minuti e sto cucinando le pizze :asd:

I browser moderni basati su Chromium (Chrome, Edge) aggirano il DNS personalizzato attraverso due livelli distinti, entrambi presentati come misure di protezione per l’utente, ma con implicazioni significative su chi controlla in ultima istanza i tuoi dati di navigazione.

Il primo livello è il DNS over HTTPS (DoH). Invece di inviare le richieste DNS attraverso il percorso standard sulla porta 53, dove il router e i resolver locali come Pi-hole possono intercettarle e filtrarle, il DoH cifra quelle richieste e le instrada direttamente verso resolver di terze parti, tipicamente gestiti da Google o Cloudflare. La configurazione di rete locale viene ignorata completamente. Non si tratta di una scelta dell’utente: è abilitato per impostazione predefinita.

Il secondo livello è più sottile e meno documentato: il resolver DNS asincrono integrato di Chromium. Anche quando il DoH viene esplicitamente disabilitato nelle impostazioni del browser, Chromium non torna a usare il resolver del sistema operativo come fa Firefox. Continua invece a utilizzare il proprio client DNS interno, che opera in modo indipendente dallo stack di rete del sistema operativo. Disabilitare la policy BuiltInDnsClientEnabled non incide su questo comportamento, come confermato dalla documentazione ufficiale del codice sorgente di Chromium.

Entrambi i meccanismi centralizzano di fatto la risoluzione DNS presso il produttore del browser. Ogni dominio visitato transita attraverso infrastrutture di proprietà o gestite da Google o Microsoft, indipendentemente dal server DNS assegnato dal router, dall’ISP o dal paese. Questo fornisce a tali aziende una visibilità persistente e dettagliata sulle abitudini di navigazione dell’utente, al di fuori della giurisdizione delle leggi nazionali sulla protezione dei dati, e senza possibilità di ricorso concreto. In pratica, sostituisce un’infrastruttura DNS localmente responsabile con una controllata da una società privata straniera.

Nota: Chromium e’ il 90% di quello che gira oggi come browser. Se non e’ Firefox, e’ Chromium (Chrome, Edge, Brave, etc).

Sta roba l’utente normale (parliamoci chiaro, il 95% dell’utenza non ha un home server) non la scopre MAI.

3 Likes