Rust contro i bug di Memoria del Firmare. Riscrivere in logica Shim le librerie è la chiave
Google ha sostenuto l’implementazione di Rust nel firmware di basso livello, promuovendo la traduzione del codice legacy come mezzo per combattere i bug che minacciano la sicurezza dell’accesso alla memoria.
In un nuovo post sul blog, il team di Android sostiene che il passaggio da C o C++ a Rust nel firmware esistente fornirà garanzie di sicurezza della memoria a livelli inferiori al sistema operativo che non dispone di standard di sicurezza.
Secondo gli esperti, la perdita di produttività in questo caso è trascurabile, anche la dimensione dei codici Rust è comparabile, l’importante è sostituire i codici base per gradi, iniziando con quelli nuovi e più critici. Il processo non richiederà molti sforzi e nel tempo il numero di vulnerabilità di accesso alla memoria sarà significativamente ridotto.
Riscrivere gradualmente il codice delle librerie utilizzando la logica Shim
Per facilitare la transizione, è possibile ad esempio, creare un sottile strato Rust, il preloader Shim , che copierà l’API C ed esporterà per la base di codice esistente. “Shim funge da wrapper attorno all’API della libreria Rust, collegando l’API C esistente e l’API Rust”, spiegano gli esperti. “Questo è quello che si fa di solito, riscrivendo le librerie o sostituendole con un’alternativa a Rust.”
Secondo Google, fino a poco tempo fa, i bug di sicurezza nella memoria erano la principale fonte di vulnerabilità in Chrome e Android. Grazie all’implementazione di linguaggi di programmazione in grado di liberare i prodotti da questa piaga, tra il 2019 e il 2022 il numero annuo di tali errori nel sistema operativo mobile è stato ridotto da 223 a 85.
L’anno scorso, Microsoft ha avviato il processo di migrazione del kernel di Windows su Rust.
La versione 11 della build del sistema operativo, rilasciata a maggio 2023, conteneva driver in questo linguaggio. Allo stesso tempo, si è saputo dei piani del colosso tecnologico per aumentare in modo simile la sicurezza del processore Pluton, che non ha ancora trovato un utilizzo diffuso.
Rust la chiave dei bug di memoria
Il linguaggio di programmazione Rust è stato progettato per risolvere problemi legati alla sicurezza della memoria e alla gestione concorrente dei dati, affrontando alcune delle vulnerabilità più comuni presenti in linguaggi come C e C++. Ecco i principali tipi di bug che Rust risolve:
1. Bug di gestione della memoria (Memory Safety Issues)
- Dereferenziazione di puntatori nulli (Null Pointer Dereference): In linguaggi come C e C++, è comune che i puntatori nulli causino crash del programma o comportamenti imprevisti. Rust previene questo problema usando il tipo Option, che fornisce un modo sicuro di gestire valori che potrebbero essere nulli.
- Use-After-Free: Questo bug si verifica quando un programma tenta di accedere a un’area di memoria che è già stata liberata. In Rust, grazie al sistema di proprietà (ownership) e al concetto di borrow checker, non è possibile accedere alla memoria dopo che è stata rilasciata.
- Double Free: In C o C++, liberare la stessa area di memoria due volte può causare instabilità o vulnerabilità. Rust gestisce la liberazione della memoria in modo automatico e sicuro attraverso la sua gestione di ownership, prevenendo il rischio di liberazioni multiple della stessa risorsa.
2. Race conditions e problemi di concorrenza (Concurrency Bugs)
- Data Race: Una data race si verifica quando due thread accedono contemporaneamente alla stessa memoria, con almeno uno che esegue un’operazione di scrittura, senza la necessaria sincronizzazione. Rust usa tipi come Mutex e RwLock, e il borrow checker assicura che le risorse condivise siano accessibili in modo sicuro, prevenendo le data race a compile-time.
- Thread Safety: Rust applica rigorose regole di concorrenza e sincronizzazione attraverso il sistema di tipi, assicurandosi che le risorse condivise tra thread siano sicure da usare.
3. Buffer overflow
- Questo è uno dei bug di sicurezza più comuni in linguaggi come C e C++, dove l’accesso a buffer di memoria oltre i limiti definiti può causare comportamenti imprevisti o vulnerabilità di sicurezza. Rust impedisce questo bug grazie al suo controllo rigoroso dei limiti degli array e delle slice, rendendo impossibile l’accesso fuori dai limiti a meno che non sia esplicitamente consentito.
4. Dangling Pointers
- Un dangling pointer è un puntatore che fa riferimento a una locazione di memoria che non è più valida. In Rust, il sistema di ownership impedisce la creazione di puntatori invalidi o di riferimenti a memoria liberata, eliminando i dangling pointers.
5. Memory Leaks
- Anche se Rust non garantisce di prevenire ogni perdita di memoria (poiché può esserci memoria ciclicamente referenziata che non viene rilasciata), è molto più difficile incorrere in memory leaks rispetto a linguaggi come C/C++. La gestione della memoria basata su ownership e il sistema di borrowing fanno sì che le risorse vengano rilasciate automaticamente quando non sono più utilizzate.
6. Errori di tipo (Type Safety Issues)
- Rust è un linguaggio fortemente tipizzato, e molte operazioni che in altri linguaggi potrebbero fallire a runtime vengono bloccate a compile-time. Questo impedisce errori legati al tipo di dati, come assegnare valori a variabili di tipo incompatibile o effettuare operazioni non valide tra tipi diversi.
7. Stack Overflow per ricorsione non controllata
- Rust include l’uso di tail-call optimizations per ridurre il rischio di overflow dello stack nelle funzioni ricorsive. Anche se non previene completamente il problema, il suo sistema di tipi e la gestione delle risorse rendono più facile evitare errori di questo tipo.
L'articolo Rust contro i bug di Memoria del Firmare. Riscrivere in logica Shim le librerie è la chiave proviene da il blog della sicurezza informatica.
NIS2: il Decreto Legislativo di Attuazione della Direttiva (UE) 2022/2555 in ambito Italia
Il Decreto Legislativo di attuazione della direttiva (UE) 2022/2555, noto anche come NIS2, segna un importante passo avanti nella gestione della sicurezza informatica in Italia e nell’Unione Europea. Con la finalità di rafforzare la protezione delle infrastrutture critiche e migliorare la resilienza delle aziende contro le crescenti minacce informatiche, questo decreto introduce nuovi obblighi per i soggetti considerati essenziali e importanti.
Struttura del Decreto
Il decreto si articola in 6 Capi e 44 articoli, e sostituisce il precedente Decreto Legislativo n. 65 del 2018, che implementava la prima direttiva NIS (Network and Information Systems) del 2016. Le nuove disposizioni mirano a rafforzare il livello di sicurezza delle reti e dei sistemi informativi, soprattutto per quanto riguarda i soggetti considerati essenziali e importanti. Tra questi figurano fornitori di servizi di cloud computing, data center, piattaforme di social network, motori di ricerca online e mercati digitali.
Obblighi per i Soggetti Essenziali e Importanti
Un elemento cruciale del decreto è l’obbligo, per gli organi di amministrazione e direttivi delle aziende considerate essenziali e importanti, di approvare e sovrintendere all’implementazione delle misure di gestione dei rischi per la sicurezza informatica. Questi organi sono inoltre responsabili delle violazioni del decreto e devono assicurarsi che i dipendenti ricevano una formazione continua in materia di sicurezza informatica (Articolo 23).
L’articolo 24 specifica le misure di gestione dei rischi, che devono includere l’uso di tecnologie sicure e aggiornate, la protezione contro accessi non autorizzati, e la gestione e registrazione degli incidenti di sicurezza. Inoltre, si pone particolare attenzione alla continuità operativa e alla rapidità di ripristino delle attività in caso di incidenti.
Notifica di Incidenti Significativi e Quasi-Incidenti
Il decreto impone l’obbligo di notifica tempestiva degli incidenti significativi entro 24 ore dalla loro rilevazione, con una relazione dettagliata da fornire entro 72 ore. Questi incidenti devono essere accompagnati da informazioni riguardanti il loro impatto e le misure di mitigazione adottate. Inoltre, il decreto introduce l’obbligo di notificare anche i “quasi-incidenti”, ovvero quegli eventi che potrebbero avere un impatto significativo ma che non hanno ancora causato danni rilevanti (Articolo 25 e 26).
Tempistica e Fase di Prima Applicazione
La fase di prima applicazione del decreto prevede una serie di scadenze ben definite. In particolare, i fornitori di servizi di dominio, cloud, data center e altre categorie devono registrarsi sulla piattaforma digitale predisposta entro il 17 gennaio 2025. Gli obblighi previsti dagli articoli 23, 24 e 29 dovranno essere rispettati entro diciotto mesi dalla ricezione della comunicazione da parte delle autorità competenti. La registrazione iniziale e gli aggiornamenti annuali dei dati saranno cruciali per garantire il monitoraggio continuo da parte delle autorità.
Implicazioni e Importanza
Il recepimento di questa direttiva in Italia rappresenta un ulteriore passo avanti verso la protezione delle infrastrutture critiche e delle informazioni sensibili contro minacce informatiche in costante evoluzione. L’Agenzia per la Cybersicurezza Nazionale (ACN) è confermata come l’autorità competente per l’attuazione delle disposizioni del decreto, rafforzando così il quadro normativo italiano in materia di cybersecurity.
Attività e Scadenze per le Aziende
Le aziende rientranti nel campo di applicazione della direttiva dovranno affrontare una serie di obblighi e scadenze. Di seguito sono riportate le principali attività richieste:
- Dal 18 ottobre 2024
- l’Agenzia per la Cybersicurezza Nazionale dovrà mettere a disposizione un portale per le iscrizioni, le aziende che ritengo far parte dei soggetti che rientrano nella direttiva potranno e dovranno iscriversi.
- Ogni anno dal 1 gennaio al 28 febbraio
- Le aziende devono registrarsi o aggiornare la propria registrazione sulla piattaforma digitale, fornendo informazioni quali ragione sociale, recapiti, punto di contatto e settore di appartenenza.
- Entro il 31 marzo di ogni anno
- L’Agenzia per la Cybersicurezza Nazionale (ACN) redige l’elenco aggiornato dei soggetti registrati e comunica ai partecipanti la loro inclusione o permanenza nell’elenco, oppure la loro eventuale rimozione.
- Dal 15 aprile al 31 maggio di ogni anno
- Le aziende che hanno ricevuto una notifica dall’ACN devono fornire informazioni aggiornate sui propri indirizzi IP pubblici, i nomi a dominio utilizzati e i responsabili della sicurezza.
- Dal 1 maggio al 30 giugno di ogni anno
- Le aziende devono comunicare e aggiornare le informazioni relative alle attività e ai servizi forniti, includendo dettagli necessari per l’assegnazione di una categoria di rilevanza.
Conclusione
Il Decreto Legislativo di attuazione della direttiva (UE) 2022/2555 rappresenta un tassello fondamentale per la creazione di un ambiente digitale più sicuro e resiliente. Le aziende dovranno adeguarsi a una serie di nuovi obblighi che includono la gestione dei rischi informatici, la notifica tempestiva di incidenti e l’aggiornamento periodico delle informazioni sulla sicurezza. L’implementazione di queste misure non solo contribuirà a rafforzare la sicurezza delle infrastrutture critiche, ma promuoverà anche una maggiore fiducia nel mercato digitale europeo. Le scadenze previste richiedono un’attenta pianificazione e collaborazione tra aziende e autorità competenti, al fine di garantire un’efficace protezione contro le minacce informatiche emergenti
L'articolo NIS2: il Decreto Legislativo di Attuazione della Direttiva (UE) 2022/2555 in ambito Italia proviene da il blog della sicurezza informatica.
Vittoria per la giustizia fiscale. La Ue «piega» Apple sulle tasse non pagate
@Notizie dall'Italia e dal mondo
Il nuovo articolo di @valori@poliversity.it
I “tax ruling” erano aiuti di Stato: Apple deve pagare 13 miliardi di euro all'Irlanda. Una vittoria storica per la giustizia fiscale
L'articolo Vittoria per la giustizia fiscale. La Ue «piega» Apple sulle tasse non pagate proviene da valori.it/ue-piega-apple-tasse…
Notizie dall'Italia e dal mondo reshared this.
EU consumer groups slam ‘manipulative’ video game spending tactics
European consumer groups on Thursday (12 September) accused the world's biggest video game companies of "purposefully tricking" consumers, including children, to push them to spend more.
2024 Tiny Games Contest: Micro One-Armed Bandit Hits the Cuteness Jackpot
They don’t call slot machines one-armed bandits for nothing. And although it’s getting harder and harder to find slot machines with actual pull-able handles instead of just big buttons, you can easily simulate the handle at home with the right kind of limit switch, as [Andrew Smith] did with their micro slot machine.
This baby slot machine is built around the Adafruit 5×5 NeoPixel grid, which is an add-on for the QT Py. As you’ll see in the brief demo video after the break, the switch actuates on release, which starts the lights a-spinning. [Andrew] says the constraints of the SAMD21-powered QT Py made this a particularly fun challenge.
Whereas most physical slot machines have different reel sequences, this build uses just one. [Andrew] declared hex values to ID each color, and then created the reel manually with different color frequencies. When the lever is released, the columns are animated and slowly to come to rest at a random offset. You can check out the code on GitHub.
youtube.com/embed/NdhRO1JrY0I?…
EU antitrust chief Vestager to leave Commission with a bang
EU antitrust chief Margrethe Vestager is concluding her mandate at the European Commission with two major victories as the top EU court ruled against Apple’s Irish tax arrangements and Google’s anti-competitive practices.
"If another user interacting with the chatbot asked the ‘Victim’ where she lived, the chatbot could provide the Victim’s true home address followed by ‘Why don’t you come over?'"
"If another user interacting with the chatbot asked the ‘Victim’ where she lived, the chatbot could provide the Victim’s true home address followed by ‘Why don’t you come over?x27;"
Stalker Allegedly Created AI Chatbot on NSFW Platform to Dox and Harass Woman
"If another user interacting with the chatbot asked the ‘Victim’ where she lived, the chatbot could provide the Victim’s true home address followed by ‘Why don’t you come over?'"Jason Koebler (404 Media)
like this
reshared this
reshared this
ambiguità trenitalia
"se non si è ancora effettuato il check-in, è ammesso il cambio data e ora fino alle 23:59 del giorno precedente la data del viaggio, salvo diverse disposizioni regionali;
se non si è ancora effettuato il check-in, è ammesso il cambio ora fino alle 23:59 del giorno del viaggio, salvo diverse disposizioni regionali;"
da lefrecce.it/Channels.Website.W…
…confesso che ci ho messo unpo' a trovare la differenza
Adesso i droni assomigliano ai corazzati. La novità dall’Australia
[quote]Non solo droni iraniani, artiglieria e corazzati sudcoreani o, addirittura, caccia di quinta generazione turchi. C’è un’altra potenza regionale che, da qualche tempo, sta investendo con forza nel suo ecosistema difesa, ivi compreso uno stimolo all’innovazione dell’industria: l’Australia. Da
Bianca Berlinguer: “Boccia voleva dire che la sua nomina è stata bloccata da Arianna Meloni”
@Politica interna, europea e internazionale
Berlinguer: “Secondo Boccia la sua nomina è stata bloccata da Arianna Meloni” Si infittisce il giallo della mancata intervista di Maria Rosaria Boccia a È sempre Cartabianca: dopo le parole dell’aspirante consigliera dell’ex ministro della Cultura
Ephos porta l’Italia nel gotha delle start-up Nato. I 10 vincitori di Diana
[quote]L’italiana Ephos, azienda basata nel milanese dedita allo sviluppo di infrastrutture per tecnologie quantiche, è una delle più promettenti start-up dell’Alleanza Atlantica. È stata infatti una delle 10 giovani aziende selezionate da Diana (Defence innovation accelerator for the north Atlantic) per passare alla seconda fase del
Maria Rosaria Boccia e l’intervista saltata: “Volevano solo fare gossip, così m’hanno bloccata 2 ore in camerino”
@Politica interna, europea e internazionale
Maria Rosaria Boccia e l’intervista saltata: “Volevano solo fare gossip” Si tinge sempre più di giallo la mancata intervista di Maria Rosaria Boccia a È sempre Cartabianca: l’aspirante consigliera dell’ex ministro della Cultura Sangiuliano ha infatti
VIDEO. La Giordania al voto tra la guerra a Gaza e la crisi economica
@Notizie dall'Italia e dal mondo
Il 10 settembre si è votato nel regno hashemita segnato da manifestazioni e proteste per l'offensiva israeliana contro la Striscia e dall'insoddisfazione popolare per i rapporti con Tel Aviv e Washington. Ne abbiamo parlato con Mariam Abu Samra, ricercatrice presso le
VIDEO. La Giordania al voto tra la guerra a Gaza e la crisi economica
@Notizie dall'Italia e dal mondo
Il 10 settembre si è votato nel regno hashemita segnato da manifestazioni e proteste per l'offensiva israeliana contro la Striscia e dall'insoddisfazione popolare per i rapporti con Tel Aviv e Washington. Ne abbiamo parlato con Mariam Abu Samra, ricercatrice presso le
Diagnosi e strumenti del Rapporto Draghi. La guida di Braghini
[quote]L’atteso, denso e realistico Rapporto Draghi, pone i governi di fronte alla necessità di cambiamenti urgenti e radicali, spaziando da cauti dettagli tecnici a grandi iniziative pan-europee. In uno scenario europeo confuso e contrastato, la prudenza esige un approccio pragmatico che si soffermi sulla
Misure e contromisure. Ecco come Cina e Usa si sfidano sui droni
[quote]Cina e Stati Uniti si stanno preparando ai conflitti del futuro, sviluppando misure e contromisure per nuovi scenari tattici. In un’intervista rilasciata al notiziario di Stato cinese, un membro dell’Esercito popolare di liberazione (Pla) ha dichiarato che le esercitazioni anti-drone condotte dalle Forze armate di Pechino sono riuscite a
youtube.com/watch?v=sXEEjDn2qv…
lantidiplomatico.it/dettnews-m…
Perché al trumpiano Colby piace il rapporto Draghi sull’Ue
[quote]Elbridge Colby potrebbe avere un ruolo di primo piano nella sicurezza nazionale degli Stati Uniti se il candidato repubblicano, l’ex presidente Donald Trump, dovesse essere rieletto a novembre. Per lui, già deputy assistant secretary al Pentagono nella prima amministrazione Trump e mente della Strategia di difesa nazionale del 2018, c’è
Perché Maria Rosaria Boccia ha deciso di rinunciare all’intervista: “Mi stai registrando?”. Il retroscena
@Politica interna, europea e internazionale
Perché Maria Rosaria Boccia ha deciso di rinunciare all’intervista Perché Maria Rosaria Boccia ha deciso all’ultimo momento di rinunciare all’intervista già fissata a È sempre Cartabianca? Sulla vicenda emergono diversi retroscena. “Non sono
Concita De Gregorio: “Maria Rosaria Boccia mi ha detto che non era l’amante di Sangiuliano”
@Politica interna, europea e internazionale
Maria Rosaria Boccia ora nega di essere stata l’amante dell’allora ministro della Cultura Gennaro Sangiuliano. Lo riferisce la giornalista Concita De Gregorio, che ha parlato con la donna prima della trasmissione tv È sempre Cartabianca, dove Boccia avrebbe
Giallo a “È sempre Cartabianca”: Maria Rosaria Boccia rinuncia all’intervista e resta nei camerini: “Non se la sente” | VIDEO
@Politica interna, europea e internazionale
Maria Rosaria Boccia rinuncia all’intervista a “È sempre Cartabianca” Si tinge di giallo la mancata intervista di Maria Rosaria Boccia a È sempre Cartabianca: l’aspirante consigliera dell’ex ministro della Cultura Sangiuliano,
50 miliardi per l’Africa, la Cina si rilancia
@Notizie dall'Italia e dal mondo
Nell'ultimo summit di Pechino con i paesi dell'Africa, la Cina ha promesso di finanziare con decine di miliardi le economie locali, puntando a rinsaldare la propria egemonia sul continente
L'articolo 50 miliardi per l’Africa, la Cina si rilancia proviene da pagineesteri.it/2024/09/11/afr…
Il calciomercato dei record serve a fingere di saper stare a galla
@Notizie dall'Italia e dal mondo
Il nuovo articolo di @valori@poliversity.it
Mai così tanti scambi nel calciomercato, necessari ai club solo per fingere di saper nuotare mentre in realtà stanno già annegando
L'articolo Il calciomercato dei record serve a fingere di saper stare a galla proviene da Valori.
La pochette di Cinzia Dal Pino
Cinzia Dal Pino è ricca e amante del ben vestire. Se dobbiamo fidarci della roba da lei stessa sparpagliata sul Libro dei Ceffi, uno stabilimento balneare a Viareggio assicura introiti sufficienti a frequentare taverne costose e a servirsi presso sarti dello stesso livello, qualsiasi cosa risulti ai servizi tributari.
I ricchi amanti del ben vestire indulgono con frequenza a un sistema di valori e credenze in cui la propensione a liberarsi in modo spiccio e cruento di qualsiasi presenza sgradita gode di aperta approvazione sociale. La corrente mentalità versiliese inoltre è caratterizzata da una venalità deteriore che si accorda ottimamente con il resto del quadro: nessuna meraviglia che Cinzia Dal Pino si sia rivalsa di una rapina uccidendo a freddo Said Malkoun (alias di Nourdine Mezgoui, risulterà poi) straziandolo con una costosissima autovettura e recuperando poi la propria pochette.
Testa per dente, come nella prassi quotidiana dei sionisti e degli "occidentali" in genere.
Da una col diploma di ragioniere.
Da una col diploma di ragioniere e con i cassetti pieni, di pochette.
Solo che la ben vestita Cinzia non aveva messo in conto la morbosa curiosità della gendarmeria, che l'avrebbe beccata senza il minimo sforzo e che di lì a qualche ora l'avrebbe accompagnata in un posto dove le pochette servono a poco, dove difficilmente si fa sfoggio di eleganza e dove altrettanto difficoltoso è l'accesso a pietanze ricercate. L'esecutivo di Roma non ha ancora depenalizzato l'omicidio volontario per motivi futili e abietti, e fino a oggi si è anche malauguratamente dimenticato di includere la superiorità razziale tra le attenuanti generiche.
A fronte di questa seccante situazione Cinzia cincischia, annaspa, almanacca e pinzimonia per giustificare il non giustificabile.
Sono state pochette anche le sue argomentazioni, insomma.
In un contesto in cui la pochezza è fra le caratteristiche essenziali.
Alzatisi dal letto presumibilmente a ore ignobili e preparatisi al turno in sale da bagno che le Dal Pino nemmeno si degnerebbero di frequentare, i gendarmi non devono aver gradito molto.
Nonostante il web sia stato lordato da molti apologeti, la signora Dal Pino ha davanti un futuro piuttosto magro.
Post scriptum. Secondo il "Corriere Fiorentino" Cinzia Dal Pino aveva passato la serata in un posto dove cuociono pesci e li vendono a prezzi molto alti.
Siccome pioveva, le avevano prestato un ombrello.
Dopo aver recuperato la pochette, Cinzia è tornata a restituirlo.
Un senso della cortesia e delle priorità che rivela un mondo intero.
Con il Piano Draghi rischiamo di dire addio alla responsabilità delle imprese
@Notizie dall'Italia e dal mondo
Il nuovo articolo di @valori@poliversity.it
Nel rapporto Draghi sulla competitività europea, due diligence e rendicontazione di sostenibilità sono descritte come oneri eccessivi per le imprese
L'articolo Con il Piano Draghi rischiamo di dire addio alla valori.it/rapporto-draghi-resp…
𝔻𝕚𝕖𝕘𝕠 🦝🧑🏻💻🍕 reshared this.
ifanews.it/italia-nostra-ha-de…
Lo sai che puoi salvare messaggi in bozza su Mastodon, anche se non usi app come Fedilab e Tusky?
Ecco come salvare una bozza su #Mastodon:
1) Seleziona la modalità "solo persone menzionate"
2) Scrivi il messaggio SENZA MENZIONARE NESSUNO
3) Pubblica il messaggio (siccome non hai menzionato nessuno, solo tu vedrai il tuo messaggio)
4) Aggiungi un segnalibro al messaggio (così potrai trovarlo nella sezione "segnalibri")
COMPLIMENTI: HAI SALVATO IL TUO MESSAGGIO!
Per riaprirlo potrai cliccare sul menu e
1) cliccare "modifica" se vuoi solo modificare
2) cliccare su "elimina e riscrivi" per cambiare la visibilità da "Solo utenti menzionati" a quella che vuoi tu e pubblicare.
like this
reshared this