Re: [Hackmeeting] un concept di leaking

Fabio Pietrosanti (naif) wrote:
> Olà,
>
> negli ultimi giorni ho brainstormato questo concept di metodologia di
> leaking alternativo a wikileaks, in qualche modo simile a openleaks.org
> (con la "s") e che avevo chiamato openleak.org (senza la "s"), ma che
> magari sarà da cambiargli nome per evitare confusione rispetto a openleaks.

riassumo qui l'analisi e espongo un paio di dubbi..

hai analizzato le varie fasi che deve passare un ipotetico wikileaks o
un suo clone:

1) protezione delle fonti (essenziale, e nulla da dire)
2) leak selection (filtrare il pattume ricevuto alla ricerca di quella
minima pepita d'oro. hai identificato che è uno sforzo che non scala,
quindi se uno volesse fare un Denial of Service organizzativo a WL
potrebbe anche organizzari con l'invio di fuffa malfatta. Ma quant'è
questa percentuale e questo sforzo ?)
3) gestione del leak (nel generico di dire "abbiamo i cable, abbiamo la
ricetta della cocacola e quella del valium, quale rilasciamo per prima ?
come la gestiamo ?")

gestione del leak l'hai divisa in:
4) leak validation (l'organizzazione convalida l'informazione con le sue
verifiche incrociate, anche questa risorsa non scala e viste le
tempistiche maggiori per leggere, capire, contestualizzare, correlare,
un DoS organizzativo a questo punto si realizzarebbe mandando fuffa
benfatta, a differenza di quella malfatta che veniva filtrata prima)

5) razionalizzazione dell'informazione (non l'ho capita bene, cosa deve
essere razzionalizzato in un leak ?)

6) pubblicazione del leak (organizzare mirror, dare una preview ai
giornalisti perché si preparino, ecc...)

mentre il concetto di openleak vede le differenze:

A) non esiste "il portale di leaking" ma "un sacco di entità tramite il
quale fare leaking" (le ho chiamate entità perché puo' avvenire in vari
modi) peculiarità di queste entità, è che essendo distribuite, possono
essere localizzate (es: l'entità di leaking italiana, l'entità di
leaking isolana)

B) l'entità di leaking riceve i leaker (si capisce bene dallo schema
"OpenLeak Architecture"), si fa fare la submission, fa i suoi check di
spam ecc... e se non è spam passa al punto C. se è spam, è moderato
dall'amministratore del portale di leak (e se non è spam, va al punto C)

C) viene inoltrata la segnalazione ai giornalisti designati dicendogli:
"tra N giorni sarà pubblico questo leak" il giornalista sa di essere uno
dei tanti che l'ha ricevuto e non puo' farlo passare in silenzio.

vulnerabilità:

se in B, un entità di leaking, è rogue, il leak non avviene e viene noto
al rogue che quello specifico dato è stato leakato. per questo serve un
forte web of trust che parte da un pugno di elementi fidati.

se in C il giornalista non valuta il leak, si sputtana, ma fa perdere
autorevolezza al meccanismo di openleak.

se in C si abusa dell'informazione anonima, non verificabile, ma
plausibile, si inserisce un elemento di disiformazione nella catena
dell'informazione. es: sapendo che X giornali apprezzerebbero una
notizia di un certo tipo, posso forgiargliela a mano. e come si puo'
valutare la sua veridicità ? non so quale fosse il processo di analisi
di WL, ma davanti a un buon fake, cosa avrebbero fatto ? è un tipo di
valutazione demandabile a dei giornalisti locali ?


tutto quello che è autorevolezza, integrità, anonimato, si risolve in
software. ma quello che è una valutazione imparziale... mah.