Your Window to Inspiration: Seamlessly Browse Tumblr!
Cybersecurity - Blog Posts
Attacco ai database: 10 bilioni di credenziali esposte
Attacco ai database: secondo NordPass oltre Oltre dieci bilioni di credenziali utente sono state lasciate esposte online grazie a database non protetti. La scoperta è stata fatta grazie anche alla collaborazione di un white hacker che ha scoperto per l’esattezza in numeri: 9.517 database non garantiti contenenti 10.463.315.645 voci, che includono come e-mail, password e numeri di telefono di 20 paesi diversi.
I database più a rischio sono stati registrati in Cina (4000), Stati Uniti (3000) e India (520), con il risultato di 2,6 miliardi potenziali utenti che potrebbero essere inclusi nei database.
Leggi su Andrea Biraghi Blog
Attacchi hacker: come proteggere i database del sito web
Come proteggere i database del vostro sito web da attacchi hacker?
Leggi su CyberSecurity Italia
Cybersecurity e Covid: cosa hanno in comune?
Un concetto che viene insegnato agli studenti di sicurezza informatica è che non c’è alcuna sicurezza assoluta: ovvero “nessuna iniziativa di sicurezza e’ tale da garantire, con assoluta certezza, l’ assenza di rischi informatici“. Allo stesso modo di un nuovo malaware o ransomware, non ci è stato possibile prevedere come il nuovo Coronavirus avrebbe influenzato – e in quale misura – le nostre vite, la nostra società, la nostra economia.
Leggi l’articolo su Andrea Biraghi Blog - Cybersecurity e Covid: agilità e resilienza contro le minacce informatiche
Digital transformation amazing challenge | Andrea Biraghi
Digital transformation amazing challenge: opportunities and need of change to survive and thrive. Andrea Biraghi
2020 represents a decisive year in the world of service companies, not only for the economic impact that the Covid-19 pandemic has had and will have, but also because it will be the watershed among the companies that will be able to seize this opportunity/need of change to be able to survive and then thrive, and those that will remain anchored to an old way of operating.
If, on the one hand, manufacturing companies are closely linked to the production sites where workers work, the whole world of the economy of digital and financial services has had to suddenly work remotely, through the so-called smart or agile working. There are countries where this habit was much more developed, for example in the Scandinavian peninsula where 21% of people already worked remotely in 2019, but there are countries like Italy where only 6% of workers had the opportunity to work from home. The global average of remote working in developed countries is around 15% for this type of company, with a continuous growth rate in recent years.
Continue ...
Cyberwar 2020: siamo nel pieno di uno cyber guerra tra Israele ed Iran?
Cyberwar 2020: tra gli obiettivi degli attacchi informatici le infrastrutture critiche. Secondo quanto riportato da SecurityAffairs sembra che gli ultimi attacchi gli analisti della sicurezza abbiano affermato che ci troviamo nel mezzo di una guerra cinbernetica in cui Israele e Iran sono tra gli attori.
I cyber sabotaggi sembrano avere nemici invisibili. Nelle ultime settimane infatti l'Iran ha affrontato un'ondata mortale di esplosioni e incendi in siti militari e civili sensibili, tra cui un incidente che ha causato danni enormi a un'importante struttura nucleare. Nessuno così sa ufficialmente perché stia accadendo o chi sia il responsabile.
Leggi l’articolo su Andrea Biraghi Cybersecurity Blog - La Cyberwar nel 2020: cyber sabotaggi e nemici invisibili
Attacchi informatici ai sistemi Scada e ICS | Andrea Biraghi
ttacchi informatici su ICS-SCADA: come proteggere le infrastrutture critiche dagli incidenti che coinvologono i sistemi che monitorano e controllano da remoto impianti industriali ed infrastrutturali?
Andrea Biraghi rileva la crescente necessità di proteggere le infrastrutture – in special modo quelle pubbliche – parallelamente alla necessità di ridurre la temepistica sulla previsione degli attacchi e ridurre al minimo la potenziale esposizione alle minacce informatiche e ai cyber attacchi.
Riconoscimento facciale e privacy: quali i progressi?
Riconoscimento facciale: la tecnologia va utilizzata pensando prima di tutto alle conseguenze che può avere e alla luce di questi fatti vanno create delle regole soprattutto in materia di sperimentazione.
La buona notizia, ad oggi, è che i ricercatori hanno trovato il modo - almeno temporaneamente - di causare problemi a determinate classi di algoritmi di riconoscimento facciale, sfruttando i punti deboli dell'algoritmo di allenamento o del modello di riconoscimento risultante.
Leggi - Riconoscimento facciale e machine learning: una corsa contro il tempo e lo sviluppo
Rassegna stampa delle notizie su Leonardo Spa, azienda italiana attiva nei settori della difesa, dell’aerospazio, sicurezza e cybersecurity.
su -> Andrea Biraghi Medium
Leonardo CyberSecurity e NATO
Il nuovo accordo “NCIRC — CSSS” (NATO Security Incident Response Capability — Cyber Security Support Services) che riguarda le attività di sicurezza cibernetica erogate da Leonardo (ex Finmeccanica) nell’ambito del programma NCIRC — FOC (Full Operational Capability), è stato esteso per altri 18 mesi. PNATO e UE stanno rafforzando la loro cooperazione in materia di difesa informatica, in particolare nei settori dello scambio di informazioni , formazione, ricerca ed esercitazioni.
Leggi su Andrea Biraghi Cyber Security Ultime Notizie
Infrastrutture critiche: il Covid moltiplica i rischi
Infrastrutture critiche e Covid: i cambiamenti apportati dalla pandemia globale COVID 19 stanno esacerbando le vulnerabilità nell'economia globale, tra cui il rischio di paralizzare gli attacchi informatici contro infrastrutture critiche come la rete elettrica.
l modo di vivere del nostro Vecchio Contintente e quella del mondo sta per essere cambiato per sempre? Gli eventi degli ultimi mesi fanno riflettere. Le crescenti tensioni in atto, aggravate dall’epidemia, non solo mettono in chiaro la fragilità dei nostri sistemi ma ci avvertono di un rischio dal quale biosgna mettersi al riparo. Oggi dipendiamo come non mai da Internet che sostiene a sua volta le infrastrutture critiche, come la distriubuzione di energia elettrica. A rischio quindi sono le infrastrutture pubbliche: esempio è stata l’incursione informatica nel sistema idrico israeliano, un attacco hacker “altamente accurato”.
Leggi tutto su Andrea Biraghi Blog
Sicurezza informatica 2020: da cosa ci dovremo difendere
Sicurezza informatica 2020: il rapporto Clusit 2020 ci avvisa che i nuovi attaccanti non sono più "hackers" ma:
"decine e decine di gruppi criminali organizzati transnazionali che fatturano miliardi, multinazionali fuori controllo dotate di mezzi illimitati, stati nazionali con i relativi apparati militari e di intelligence, i loro fornitori e contractors, gruppi state-sponsored civili e/o paramilitari ed unità di mercenari impegnati in una lotta senza esclusione di colpi". Rapporto Clusit 2020
Il cyber spazio ha assunto un ruolo primario nei nuovi scenari geopolitici internazionali: Geopolitica, Cyberspazio, Netwar e Cyberwar sono le stesse parole che raccontano della guerra cibernetica - una hybrid warfare - del nostro secolo. Oggi, tutto ciò che accade nel mondo reale si riflette nel Cyberspazio: per chi pianifica la sicurezza nazionale questo significa spionaggio, ricognizione, propaganda, bersagli e quindi guerra. Conoscere la geopolitica del Cyber Spazio e usare metodologie di intelligence possono contribuire a fronteggiare gli attacchi è oggi quanto mai importante.
Leggi tutto su Andrea Biraghi CyberSecurity Blog
Masslogger malware: le utlime analisi in rete
Masslogger Malware: secondo gli esperti di cybersecurity del CERT Agid, potrebbe essere ben presto usato in campagne su obiettivi nel nostro paese. Acquistabile a buon mercato, ne è stato ipotizzato l'utilizzo nel prossimo futuro anche nello scenario italiano.
L'analisi di CERT Agid informa che non si trovano attualmente in circolazione vere e proprie analisi di MassLogger: principalmente ci sono immagini di dump delle stringhe o delle connessioni. Inoltre si è scoperto che il gruppo che vende MassLogger possiede anche un account github NYANxCAT (o NYAN CAT).
Tra le ultime analisi in rete relative a questo maware c'è quella di FR3D - Fred HK, ricercatore e sviluppatore della Malbeacon che nomina in modo divertente il masslogger una "creazione di Frankestein".
Leggi tutto su Masslogger malware: Italia a rischio di attacchi - Andrea Biraghi
Cyber Attacchi e hybrid warfare
Tra gli obiettivi degli attacchi informatici le infrastrutture critiche: il cyber spazio ha assunto un ruolo primario nei nuovi scenari geopolitici internazionali. Ultimo è l’attacco informatico che sta colpendo l’Australia da mesi che sta preoccupando gli analisti di sicurezza a livello mondiale. A confermarlo è il primo ministro Scott Morrison.
Geopolitica, Cyberspazio, Netwar e Cyberwar sono le stesse parole che raccontano della guerra cibernetica – una hybrid warfare – del nostro secolo.
Leggi di più : Cyber spionaggio e attacchi a infrastrutture critiche rivelano tensioni geopolitiche
Leggi anche: Infrastrutture critiche e cybersecurity: le sfide alla sicurezza
Guerra cibernetica: defacing e cyber attacchi | Andrea Biraghi
Cyberwarfare e Internet of Things mettono alla prova la Cybersecurity
Cyberwarfare e Internet of Things: l'utlimo studo di BitDefende registra un aumento - per questo tipo di attacchi informatici - di circa il 38%. APT, furto di proprietà intelletuale e cyberspionaggio sono invece in aumento el 37%, senza dimenticare le minacce chatbot per quanto riguarda i social media networks.
Sempre lo studio di BitDefendere rivela che la maggiornanza delle aziende non aveva un piano di emergenza per affrontare l'epidemia Covid-19 [dato rivelato dall'intervista a più della metà (50%) dei professionisti nel settore della sicurezza informatica (60% invece il dato italiano)].
Leggi l’articolo - Andrea Biraghi - CyberWarfare e Internet of Things: essenziale la pianificazione
Maze Ramsomware 2020: attacchi e nuove strategi di gruppo nel Cybercrime
Maze Ramsomware, il ransomware delle estorsioni online non si ferma.
Le ultime notizie riportano nuovi attacchi: tra gli attacchi recenti - dati e studio su SecurityAffair.co - che sono stati rilevati comprendono una famosa società di servizi IT, la Threadstone Advisors LLP, corporate advisory specializzata in fusioni e acquisizioni, un appaltatore missilistico nucleare Usa.
Tra i recenti attacchi registrati e denunciati attreverso i media vi è quello di una società di servizi IT multi-miliardaria, con sede nel New Jersey che è l'ultima vittima del famigerato gruppo ransomware Maze che sembrava colpire una vulnerabilità Citrix. Come prova del raid sono stati pubblicati i dati finanziari sottratti alll'azienda.
Un altro attacco è stato subito da un appaltatore missilistico nucleare Usa Westech International: gli hacker sono così riusciti ad accedere alle informazioni sensibili ed è probabile che l'attacco al ransomware del labirinto abbia implicazioni significative. Si prevede che il gruppo di hacking coinvolto nell'attacco del ransomware Maze tenterà di vendere i dati a una nazione "ostile".
Continua a leggere: Ramsomware Maze: i recenti attacchi
CyberCrime: quali sono i paesi più a rischio?
NorthVPN ha classificato 50 paesi in tutto il mondo e ha scoperto che nella più alta fascia si rischio si trovano i paesi più sviluppati.
Ciò significa che economie ad alto reddito, infrastrutture tecnologiche avanzate, alti livelli di urbanizzazione e digitalizzazione comportano un livello più elevato di crimini informatici e quindi un aumento di vulnerabilità. Questa potrebbe essere una nota dolente per l'Italia sotto asedio di malware e ransomware, cosa che, su scala mondiale, le ha fatto scalare le vette per ciò che concerne malware e macromalware. Non ultimo il Netwire malware che ha preso di mira proprio l'Italia - sino al 2012 - nei suoi target toccando uno dei settori più forti.
Un’ora in più su Internet aumenta la vulnerabilità al CyberCrime
Il rapporto di NorthVPN allerta sulle aree più pericolose al mondo per svolgere attività online: uno dei fattori presi in considerazione è il tasso di penetrazione di Internet da parte della popolazione.
Cybercrime vulnerabilità dei paesi: L'informazione curiosa che emerge dal rapporto è che tra i fattori con maggior impatto al rischio ci sono: l'esposizione alle minacce e il reddito. Questo collocherebbe il Regno Unito (UK) al primo posto e gli Stati Uniti d'America (USA) al secondo.
Leggi l’articolo - Cybercrime: vulnerabilità dei paesi a confronto nel report di NorthVPN
Cyber Range Leonardo: il campo di addestramento per la Cyber Difesa
Articolo intergrale su Andrea-Biraghi-Cyber-Security
Leonardo Cyber Range è un poligono virtuale, composto da una infrastruttura Hardware e software che permette di simulare complessi sistemi ICT. In materia di Difesa e Sicurezza la Cyber Security diventa sempre di più un’arma strategica e Leonardo stava lavorando ad un vero e proprio “poligono virtuale” in campo informatico (IT), il primo cyber range italiano per la Difesa e per gestire le infrastrutture critiche: i possibili scenari vengono virtualizzati per sviluppare strategie e componenti di difesa con l’intelligenza artificiale (AI).
Andrea Biraghi: ex capo divisione Cyber Security e information Systems
Video intervista ad Andrea Biraghi, ex capo della Divisione Cyber Security e Security and information Systems per la sicurezza dei sistemi informativi e la protezione cyber delle infrastrutture critiche.
Leonardo Infrastrutture critiche Centro di Chieti: la possibiltà di prevedere un attacco, quando arriverà di che tipologia sarà.
“Immaginiamo le nostre reti come un fortino ai tempi del West con i sodlati che dovevano proteggere il forte contro gli indiani che lo attaccavano. Cosa si faceva? I soldati, per sapere quello che stava per succedere, utilizzavano gli scouts, figure che andavano in avanscoperta e cercavano di sapere da dove sarebbe arrivato l’attacco, di che tipologia sarebbe stato, se erano pochi o erano tanti. Questo è esattamente ciò che cerchiamo di fare”. Andrea Biraghi
Leggi tutto su Andrea Biraghi: intelligence per la sicurezza informatica e nazionale
Ingegneria Sociale: l’arte di hackerare gli umani | Andrea Biraghi
Cosa è l’ingegneria sociale e perchè sepre più spesso ne sentiamo parlare?
Questo argomento preme al settore della Cyber Security nella misura in cui gli attacchi messi in moto dall’ingegneria sociale, sfruttando le debolezze umane, possano mettere in moto degli attacchi basati su computer.
Gli attacchi quindi possono essere di due tipi: attacchi basati sulla persona e attacchi basati sui computer.Per entrambi vi è il solito modus operandi:viene selezionata la vittima (meglio se facilmente manipolabile) e vengono raccolte informazioni, viene staibilito un contatto con la vittima che subisce la manipolazione, terminato l’attacco il criminale sparisce nel nulla.
Leggi di più su Andrea Biraghi CyberSecurity Blog
#cybersecurity: #socialengineering l’arte di hackerare gli umani #andreabiraghi #Cybercrime
Cosa è l’APP Immuni?
Articolo completo su Andrea Biraghi CyberSecurity
L’APP, studiata per sistemi IOS e Android per il tracciamento dei soggetti risultati positivi al virus dell’emergenza Covid-19. Tale applicazione, sviluppata da Bending Spoons – società italiana – che ci promette di diventare lo strumento per poter tornare alla normalità nella così detta Fase 2, è ultimamente molto discussa, ancora molto tempo prima che ne venisse spiegato il reale funzionamento o le caratteristiche.
Vediamo, però, quali informazioni ci riportano e maggiroi testate giornalitiche e le riviste specializzate al riguardo.
....leggi l’articolo integrale su http://www.andreabiraghicybersecurity.com
Secondo quanto riporta Avvenire, invece, vi sono ancora delle incognite legate all’efficacia del sistema. Oramai è noto che l’applicazione non è stata rivista sotto l’aspetto dela sicurezza, non potendosi valutare in modo adeguato gli aspetti relativi alla Cyber Security e alla resistenza o meno ad attività di reverse enginering, od altre tipologie di attacco informatico.
Ma vediamo quali punti riassume il quotidiano circa i limiti rilevati. Le questioni aperte riguardano la gestione della sicurezza: questo potrebbe permettere infatti ai criminali informatici di raccogliere i dati via etere e poi ritrasmetterli. “Inoltre, secondo altri esperti di cyber sicurezza, la preoccupazione per la tutela dei dati degli utenti potrebbe essere legata a possibili attacchi via bluetooth”. Tra le questioni ancora aperte c’è la faccenda relativa ai dati a rischio, sul ruolo di Sogei e di Bending Spoons, ma ancora più preoccupante sarebbero i limiti della volontarietà.
CSIRT Italia ai nastri di partenza il 6 Maggio 2020
CyberSecurity e Sicurezza Nazionale: dal 6 maggio potremo dire addio a CERT-PA e CERT Nazionale che trasferiranno le loro funzioni al al CSIRT Italia.
L’articolo integrale è su Andrea Biraghi CyberSecurity Blog
Cosa cambierà dunque? Il CSIRT, Computer Security Incident Response Team istituito presso il Dis, dunque è ai nastri di partenza, mentre le altre due strutture tremineranno tutti i loro servizi, sia reattivi che proattivi e cesseranno di esistere come soggetti autonomi.
Ecco i suoi compiti principali:
Definzione di procedure e tecniche per la prevenzione e la gestione degli incidenti informativi
Ricezione delle notifiche su incidenti relativi alla sicurezza, gestione dell’evento informandone gli Stati UE coinvolti
Garanzia della collaborazione all’interno della rete Csirt parallelamente allo scambio di informazioni.
Covid19 e spazio cibernetico: il contagio corre anche sul digitale
Scritto da Andrea Biraghi - 23 Aprile 2020.
Covid19 e spazio cibernetico: mentre il coronavirus si diffonde tra le persone, con la stessa velocità circolano fake news in rete, e disinformazione in rete, creando in modo rapido confusione e poca certezza delle fonti di informazione.
In un articolo di IspiOnline, “La pandemia ed il virus 2.0” si parla di propagazione della pandemia di Coronavirus sul quinto dominio, ovvero lo spazio cibernetico. Le ripercussioni sono sintetizzate in tre macro settori:
Attacchi cibernetici
Fake News | Disinformazione
Privacy e Controllo
70 percent of digital transformation projects fail to reach their stated goals. This is often because these projects are built from bottom up. In order to successfully undergo digital transformation, there has to be a collaboration of minds that is led from the top and requires every member of the board to play a vital role in the process.
To Know more visit>>> How is Cybersecurity Paving it Way in a 5G World?
In an event at the Brookings Institution on October 23rd, Richard Spencer, Navy Secretary, said that the service is struggling to beat back threats to cybersecurity and the supply chain. He remarked that “We are woefully behind”. He added that the service is planning to improve facing cyber threats. The newly established positions of special assistant/chief information officer filled by Aaron Weis prove this.
This job includes four directorates who are aimed at modernizing the service for a digital age and protecting the Navy by keeping it strictly against cyber threats. It is not the same as once it was years ago as the thinking and level of engagement on cyber have evolved in the last year.
Banks are in the pursuit of finding feasible ways of securing systems and services from rampant cybersecurity threats. There have been enough financial frauds in the recent past to drive banking institutions into considering novel methods of risk monitoring and prevention. Data analytics offers impactful solutions in this respect.
Analytics solutions that have been customized to deliver anti-fraud services to banking firms are enabling a modern, technology-driven approach in managing security concerns. Intelligence and automation are the mainstays of advanced analytics solutions, making fraud analytics the key for relevant and reliable security capabilities.
The extent to which fraud analytics can save banks from exposure to risks depends on the security features provided by the vendors, as well as on a banking firm's ability to implement the solutions optimally. This article talks about the events leading up to the widespread adoption of fraud analytics in banking and what banks can expect from the analytics tools.
Scope of Overcoming Challenges
Adopting advanced technology has become viable from a financial and utility point of view. High network speeds, cloud computing, artificial intelligence, machine learning, IoT, and data analytics are making their way into every-day business applications. As advantageous as these technologies might be for banks, they have given rise to cybersecurity risks. Cybercriminals are....
Enterprise Security with Data Integrity
A report by IBM stated that more than one billion personal records were attacked in 2014. The Enterprise Security Group (ESG) said that from 2013 to 2015, 49 percent of companies experienced data breaches. More on this: https://goo.gl/hVg8xM
How Businesses Can Fight Ransomware Attacks? Six Ways to Protect Your Organisation
Many small and medium-sized organisations have been affected by it and have paid ransoms because they did not back up their data and did not have an option to recover it as well. Many times organisations have, or they are forced out of business.
The most affected industry is healthcare as hospitals have to pay ransom if they did not back up the patient data as they need to retrieve the data promptly to access records of patients who require immediate care.
Therefore to protect the organization from a ransomware attack, it is essential to follow the steps mentioned: https://goo.gl/JufCfG
Adopt These Five Effective Solutions to Overcome IoT Security Challenges
Internet of Things (IoT) is the trending technology nowadays, and it is gearing up fast to connect any hardware devices to the smart devices. The increasing threat to Internet of Things has led to an urge to find practical solutions which may address this issue and reduce the rate at which cyber actors are attacking IoT devices.
Here are Five solutions that can be adapted to increase the security of IoT devices: https://goo.gl/X8tZDy
Suggested: Cyber Security Predictions to Safeguard your Businesses
Source: Cybersecurity APAC
Brain Waves Can be Used to Detect Potentially Harmful Personal Information
Cyber security and authentication have been under attack in recent months as, seemingly every other day, a new report of hackers gaining access to private or sensitive information comes to light. Just recently, more than 500 million passwords were stolen when Yahoo revealed its security was compromised.
Securing systems has gone beyond simply coming up with a clever password that could prevent nefarious computer experts from hacking into your Facebook account. The more sophisticated the system, or the more critical, private information that system holds, the more advanced the identification system protecting it becomes.
Fingerprint scans and iris identification are just two types of authentication methods, once thought of as science fiction, that are in wide use by the most secure systems. But fingerprints can be stolen and iris scans can be replicated. Nothing has proven foolproof from being subject to computer hackers.
“The principal argument for behavioral, biometric authentication is that standard modes of authentication, like a password, authenticates you once before you access the service,” said Abdul Serwadda a cybersecurity expert and assistant professor in the Department of Computer Science at Texas Tech University.
“Now, once you’ve accessed the service, there is no other way for the system to still know it is you. The system is blind as to who is using the service. So the area of behavioral authentication looks at other user-identifying patterns that can keep the system aware of the person who is using it. Through such patterns, the system can keep track of some confidence metric about who might be using it and immediately prompt for reentry of the password whenever the confidence metric falls below a certain threshold.”
One of those patterns that is growing in popularity within the research community is the use of brain waves obtained from an electroencephalogram, or EEG. Several research groups around the country have recently showcased systems which use EEG to authenticate users with very high accuracy.
However, those brain waves can tell more about a person than just his or her identity. It could reveal medical, behavioral or emotional aspects of a person that, if brought to light, could be embarrassing or damaging to that person. And with EEG devices becoming much more affordable, accurate and portable and applications being designed that allows people to more readily read an EEG scan, the likelihood of that happening is dangerously high.
“The EEG has become a commodity application. For $100 you can buy an EEG device that fits on your head just like a pair of headphones,” Serwadda said. “Now there are apps on the market, brain-sensing apps where you can buy the gadget, download the app on your phone and begin to interact with the app using your brain signals. That led us to think; now we have these brain signals that were traditionally accessed only by doctors being handled by regular people. Now anyone who can write an app can get access to users’ brain signals and try to manipulate them to discover what is going on.”
That’s where Serwadda and graduate student Richard Matovu focused their attention: attempting to see if certain traits could be gleaned from a person’s brain waves. They presented their findings recently to the Institute of Electrical and Electronics Engineers (IEEE) International Conference on Biometrics.
Brain waves and cybersecurity
Serwadda said the technology is still evolving in terms of being able to use a person’s brain waves for authentication purposes. But it is a heavily researched field that has drawn the attention of several federal organizations. The National Science Foundation (NSF), funds a three-year project on which Serwadda and others from Syracuse University and the University of Alabama-Birmingham are exploring how several behavioral modalities, including EEG brain patterns, could be leveraged to augment traditional user authentication mechanisms.
“There are no installations yet, but a lot of research is going on to see if EEG patterns could be incorporated into standard behavioral authentication procedures,” Serwadda said.
Assuming a system uses EEG as the modality for user authentication, typically for such a system, all variables have been optimized to maximize authentication accuracy. A selection of such variables would include:
The features used to build user templates.
The signal frequency ranges from which features are extracted
The regions of the brain on which the electrodes are placed, among other variables.
Under this assumption of a finely tuned authentication system, Serwadda and his colleagues tackled the following questions:
If a malicious entity were to somehow access templates from this authentication-optimized system, would he or she be able to exploit these templates to infer non-authentication-centric information about the users with high accuracy?
In the event that such inferences are possible, which attributes of template design could reduce or increase the threat?
Turns out, they indeed found EEG authentication systems to give away non-authentication-centric information. Using an authentication system from UC-Berkeley and a variant of another from a team at Binghamton University and the University of Buffalo, Serwadda and Matovu tested their hypothesis, using alcoholism as the sensitive private information which an adversary might want to infer from EEG authentication templates.
In a study involving 25 formally diagnosed alcoholics and 25 non-alcoholic subjects, the lowest error rate obtained when identifying alcoholics was 25 percent, meaning a classification accuracy of approximately 75 percent.
When they tweaked the system and changed several variables, they found that the ability to detect alcoholic behavior could be tremendously reduced at the cost of slightly reducing the performance of the EEG authentication system.
Motivation for discovery
Serwadda’s motivation for proving brain waves could be used to reveal potentially harmful personal information wasn’t to improve the methods for obtaining that information. It’s to prevent it.
To illustrate, he gives an analogy using fingerprint identification at an airport. Fingerprint scans read ridges and valleys on the finger to determine a person’s unique identity, and that’s it.
In a hypothetical scenario where such systems could only function accurately if the user’s finger was pricked and some blood drawn from it, this would be problematic because the blood drawn by the prick could be used to infer things other than the user’s identity, such as whether a person suffers from certain diseases, such as diabetes.
Given the amount of extra information that EEG authentication systems are able glean about the user, current EEG systems could be likened to the hypothetical fingerprint reader that pricks the user’s finger. Serwadda wants to drive research that develops EEG authentication systems that perform the intended purpose while revealing minimal information about traits other than the user’s identity in authentication terms.
Currently, in the vast majority of studies on the EEG authentication problem, researchers primarily seek to outdo each other in terms of the system error rates. They work with the central objective of designing a system having error rates which are much lower than the state-of-the-art. Whenever a research group develops or publishes an EEG authentication system that attains the lowest error rates, such a system is immediately installed as the reference point.
A critical question that has not seen much attention up to this point is how certain design attributes of these systems, in other words the kinds of features used to formulate the user template, might relate to their potential to leak sensitive personal information. If, for example, a system with the lowest authentication error rates comes with the added baggage of leaking a significantly higher amount of private information, then such a system might, in practice, not be as useful as its low error rates suggest. Users would only accept, and get the full utility of the system, if the potential privacy breaches associated with the system are well understood and appropriate mitigations undertaken.
But, Serwadda said, while the EEG is still being studied, the next wave of invention is already beginning.
“In light of the privacy challenges seen with the EEG, it is noteworthy that the next wave of technology after the EEG is already being developed,” Serwadda said. “One of those technologies is functional near-infrared spectroscopy (fNIRS), which has a much higher signal-to-noise ratio than an EEG. It gives a more accurate picture of brain activity given its ability to focus on a particular region of the brain.”
The good news, for now, is fNIRS technology is still quite expensive; however there is every likelihood that the prices will drop over time, potentially leading to a civilian application to this technology. Thanks to the efforts of researchers like Serwadda, minimizing the leakage of sensitive personal information through these technologies is beginning to gain attention in the research community.
“The basic idea behind this research is to motivate a direction of research which selects design parameters in such a way that we not only care about recognizing users very accurately but also care about minimizing the amount of sensitive personal information it can read,” Serwadda said.
I'm seeing a lot of posts on my dash today encouraging folks to start archiving their favorite online resources, in case they might be at risk of disappearing in the near future. Since privacy and data ownership are major interests of mine, it seems like a good time to share a bit of what I know! I hope that some of this might be helpful--please feel free to reach out if there's a specific question that comes to mind! 💕
(My bona fides, in case anyone wants to know: I do work in tech, with over fifteen years of experience in the same. Linux systems administration is a hobby of mine, and privacy, particularly as it relates to tech, is very near and dear to my heart. That said, I am not an infosec professional, so you may want to supplement this guidance with your own research, depending on your threat model.)
General advice
If you rely heavily on traditional cloud storage providers, like Google Drive and Dropbox, now is the time to start exporting your important files to a more secure location. Data stored with most online platforms is encrypted at rest, but the encryption keys are stored on the server's side, meaning that the contents of your files can still be accessed by the service providers themselves. This also means that your files and their contents are vulnerable to data breaches, DMCA takedown requests, subpoenas, and the oh-so-popular AI scraping that has wormed its way into nearly every tech product of note. (Including Tumblr! Lucky us!) Saving files on your own computer is one option, but if you want something closer to the Google Drive experience, Proton Drive is my recommendation. Free accounts get 5 GB of storage, and all data is end-to-end encrypted, which means even Proton can't read the contents of your files. A suite of document features were rolled out earlier this year, including rich text editing, collaboration, and sharing, so if you use Google Docs for writing, you can use Proton in pretty much the same way. I also use Proton for my email, and I'm happy to vouch for them--they are nonprofit-backed, EU-based, and all of their products are built on privacy from the ground up. If you have an Apple device, you can also turn on Advanced Data Protection for your iCloud account, which will enable end-to-end encryption for most services. (Notably, mail, contacts, and calendars will remain unchanged, to ensure compatibility with standard protocols.) This might be a good option for folks who already have iCloud services and who don't want to set up anything new. You can learn more about how to enable this feature here.
Archiving websites
There are a number of ways to archive specific webpages, depending on how much content you want to preserve and how tech-y of a solution you're willing to tolerate. A web clipper is probably the most straightforward option: install one of the listed notes apps, install the web clipper browser extension, open the page you want to save, and clip clip clip. The images and text (with formatting) will be stripped from the page and saved to a note in your app. Both Joplin and Obsidian's apps are available cross-platform:
Joplin + Joplin Web Clipper
Obsidian + Obsidian Web Clipper
Notes you create in Joplin are encrypted before being saved to your device, while Obsidian's notes are saved to a location of your choosing in plain-text Markdown format. If you aren't sure which to choose, choose Obsidian--it's a little easier to use right out of the box.
If you want to preserve the full context of the webpages you save, similar to what you'd see on archive.org, SingleFile is a browser extension that lets you save complete web pages as a single HTML file. You'll find links to the various browser extensions, as well as documentation, on the project's GitHub page:
Note that these files can get pretty big. In general, I'd recommend a web clipper for most cases, but it's good to have multiple options on hand!
Other tips
Even in the absence of major geopolitical events, it's worth remembering that anything you see online can change or be removed at any time. Keep backups of anything that's important to you. (And make sure you back up your computer, too!) Have an alternate contact method for your online friends, in case one platform goes down or otherwise becomes inaccessible.
Consider signing up for a Signal account, if you haven't already, and recommend that your friends and family do the same. It's a free end-to-end encrypted chat platform, and unlike some privacy-focused chat protocols (looking at you, Matrix), it's easily accessible to non-techies. Don't use email, DMs, Discord, Slack, etc. for any communication that you expect to keep private. Any platform that can access your messages will give them up to authorities if compelled to do so by a court order or subpoena. This is not a theoretical risk. It is happening to people in the US right now. I am being so, so serious about this.
If you're looking for a new creative hobby, why not teach yourself a little HTML and CSS? Neocities is a great place to build your own website, and it's free. And it's fun! (If you make something, please drop the link, because I want to see.)
Breathe. We have to survive this, somehow. Log off for today, if you have to. Drink some water. Pet a cat. Sit outside and watch the birds, just for a few minutes. Believe that we will be okay, however you can. ❤️
lets see if any of this does anything