Quante volte ti è capitato di accendere il computer al mattino e… zac! Trovarsi di fronte alla famigerata notifica “La password è scaduta e deve essere cambiata!”? Quante volte hai dovuto creare una nuova password, cercando di ricordare l’ennesima combinazione complessa e incomprensibile? È una situazione che, oltre ad essere frustrante, può compromettere anche la produttività, sia per l’utente che per il reparto IT.

Immagina la frustrazione di un cliente costretto a far fronte a questa sfida quotidiana: creare una nuova password che rispetti tutte le regole aziendali, combinando lettere maiuscole, minuscole, numeri e caratteri speciali, e senza dimenticare la lunghezza richiesta dalla policy aziendale. E guai a lui se non ci riesce! Questa continua necessità di cambiamento non è solo una seccatura per l’utente, ma rappresenta anche un rischio in termini di gestione delle credenziali e di supporto IT, alimentando pratiche insicure come la scrittura delle password su post-it attaccati allo schermo.

Ma ci siamo mai chiesti: “È davvero necessario affrontare questa tortura ogni 90 giorni?” Non sarebbe meglio avere una password robusta, che non debba mai essere cambiata?

La risposta, purtroppo, non è così semplice. Sebbene possa sembrare allettante abbandonare completamente il cambio periodico delle password, rinunciare a questa pratica senza una strategia alternativa potrebbe esporre l’azienda a vulnerabilità gravi, trasformando quello che inizialmente sembrava un risparmio in un rischio maggiore per la sicurezza.

Le normative dietro le policy di sicurezza: storia ed evoluzione

L’obbligo di una rotazione periodica delle password non è soltanto una pratica aziendale consolidata, ma trova le sue radici nelle normative come il GDPR (Regolamento Generale sulla Protezione dei Dati) e la recente NIS2 (Direttiva sulla Sicurezza delle Reti e dei Sistemi Informatici). Questi regolamenti impongono alle aziende di adottare misure di sicurezza adeguate per proteggere i dati personali e i sistemi critici, e il cambio periodico delle password è stato a lungo considerato un pilastro fondamentale per minimizzare il rischio di compromissione delle credenziali.

Questa pratica nasce negli anni ’90, in un’epoca in cui gli attacchi brute-force rappresentavano una minaccia significativa. All’epoca, gli hacker avevano il tempo (e la pazienza) di provare miliardi di combinazioni finché non riuscivano a decifrare la tua password, magari una bella “123456” (ammettilo, l’hai usata almeno una volta nella vita). Con sistemi di sicurezza meno sofisticati, il cambio frequente delle password era una strategia efficace per bloccare tali attacchi.

Tuttavia, con l’evoluzione delle tecnologie di sicurezza, come l’hashing (un processo che trasforma la password in una stringa di caratteri che non può essere decifrata) e il salting (l’aggiunta di un valore casuale alla password prima di applicare l’hashing, che rende il processo molto più difficile da violare), oggi le password sono meglio protette e gli attacchi brute-force sono diventati meno comuni. Nonostante questo, il cambio password ogni 90 giorni continua a essere utilizzato da molte aziende, spesso più per inerzia che per reale necessità, trasformandosi in una sorta di rituale aziendale che pochi si sentono di mettere in discussione.

Il problema delle password riciclate

Quando obblighiamo gli utenti a cambiare password troppo spesso, non stiamo migliorando la sicurezza, ma stiamo creando un disastro prevedibile. La “Password123!” diventa magicamente “Password124!”, poi “Password125!” e così via. Prevedibili, banali e incredibilmente facili da decifrare, queste password “a tappe” non proteggono nessuno e trasformano la sicurezza in un’illusione.

Inoltre, secondo Gartner, tra il 20% e il 50% delle chiamate all’help desk riguardano il reset di password dimenticate, e ogni richiesta può costare all’azienda fino a 70 dollari. Quindi, mentre pensi di proteggere i dati, in realtà stai spendendo soldi e tempo in modo poco saggio. Questo meccanismo di protezione finisce per essere un enorme fardello per tutti: per gli utenti, per il supporto IT e, ovviamente, per il bilancio aziendale.

Immagina una piccola azienda con 100 dipendenti, ognuno che resetta la propria password una volta al mese: il costo annuale per il reset delle password può superare i 70.000 dollari. Questi sono soldi che potrebbero essere meglio investiti in soluzioni più efficaci.

La tentazione della password “eterna”

Alcune aziende hanno scelto di adottare password che non scadono mai, come tentativo di ridurre i costi e le lamentele. Sì, proprio così, una password robusta che puoi usare per sempre, senza fastidiose notifiche ogni tre mesi. Ma è davvero sicuro? Non proprio.

Anche la password più complicata e impronunciabile può essere violata, soprattutto se riutilizzata su siti come Facebook o Netflix. Secondo un sondaggio di LastPass, il 91% delle persone sa che riutilizzare le password è rischioso, ma il 59% lo fa comunque. Così, mentre si pensa di aver trovato una soluzione pratica, si rischia inconsapevolmente di esporre il proprio sistema a potenziali minacce, rendendo più facile l’accesso agli hacker.

E non dimentichiamoci un altro fattore preoccupante: in media, ci vogliono circa 207 giorni per accorgersi che qualcuno ha violato un sistema. 207 giorni in cui un hacker potrebbe usare le tue credenziali come chiavi d’accesso, muovendosi liberamente nei sistemi aziendali senza che nessuno se ne accorga. Se la password non scade mai, questo diventa un problema enorme.

Nel contesto della normativa NIS2, che richiede un approccio di sicurezza avanzato per i settori critici, una simile vulnerabilità può mettere a rischio intere infrastrutture e servizi essenziali. La strategia quindi non può limitarsi a una sola soluzione.

La soluzione: stop agli incubi da password!

Allora, cosa facciamo? Continuiamo a torturare gli utenti con il cambio password ogni 90 giorni o rischiamo tutto con le password eterne? La risposta non sta in un semplice “o l’uno o l’altro”.

Il vero segreto della sicurezza oggi non sta nel cambio frequente della password, ma creare passphrase più lunghe e intelligenti: combinazioni di parole memorabili ma impossibili da indovinare. Oltre a questo, l’autenticazione a due fattori (2FA) offre una protezione addizionale, inviando un codice di verifica su dispositivi personali e rendendo le credenziali più difficili da sfruttare.

Ma per ottenere il massimo della sicurezza, le aziende devono anche considerare strumenti come i password manager, che generano e memorizzano password complesse per gli utenti, alleviando il peso della memoria e migliorando la sicurezza complessiva.

Conclusione: stop alle vecchie abitudini!

Il panorama della sicurezza informatica è in costante evoluzione, così come le normative che lo regolano, dal GDPR alla NIS2. In questo contesto, continuare a seguire vecchie abitudini come il cambio password obbligatorio ogni 90 giorni rischia di risultare controproducente. Tuttavia, abbandonare del tutto questa pratica senza adottare alternative efficaci potrebbe esporre le aziende a gravi vulnerabilità.

Per garantire una protezione robusta, è necessario adottare un approccio strategico che combini strumenti moderni e best practice. Passphrase lunghe e memorabili, l’autenticazione a più fattori e l’uso di password manager sono elementi chiave per un sistema di sicurezza più efficiente. Non si tratta solo di conformità alle normative, ma di implementare soluzioni che migliorino la sicurezza senza sacrificare la produttività aziendale.

Investire in queste strategie non solo aumenta la resilienza contro le minacce informatiche, ma riduce anche i costi operativi e il carico sul supporto IT. Un cambiamento verso un modello di gestione delle password più moderno e consapevole rappresenta un vantaggio competitivo, garantendo una maggiore protezione dei dati e un ambiente di lavoro più sereno per tutti gli utenti.

L'articolo Cambio password ogni 90 giorni: Necessità o una farsa della sicurezza? proviene da il blog della sicurezza informatica.

Mi avevano parlato di questo album, ma io, come spesso accade, avevo ignorato il suggerimento.
Pensavo fosse uno di quei dischi che vengono ascoltati da un determinato tipo di persone. Quali fossero, poi, queste persone, lascio alla fantasia del lettore immaginarlo.
Pensavo la stessa cosa della musica dell'altro protagonista di questo disco: #IOSONOUNCANE. E Chissà che io non recuperi al più presto anche con lui.
Spira, prodotto appunto da IOSONOUNCANE, è un disco meraviglioso.
Credo che, se non fosse un disco italiano, potrebbe avere il risalto che hanno avuto pietre miliari come "Untrue" di Burial o altri gamechanger della musica inglese o americana.
Perchè le canzoni di Spira (complici anche le origini sarde dei due protagonisti) sono simili a tutto quello che c'è stato prima, ma allo stesso tempo rappresentano una piccola rivoluzione nell'indie Italiano (e non solo) e creano quasi un nuovo genere. Che poi sarebbe una specie di trip hop sardo (per chi ha i miei riferimenti culturali) , ma in realtà è qualcosa di più.
La voce di #DanielaPes racconta (con una lingua che potrebbe essere benissimo inventata da quanto è ermetica) di cose piccole, intime, e maestose. A volte droneggia. A volte è ostinata, a volte si apre ad armonie meravigliose, a volte è jazz. Non vi faccio la recensione traccia per traccia per il momento perché me lo sto ascoltando di gusto e ho paura di rovinare l'idillio.
Voto : 8.5 .

djpanini

2024-11-17 18:14:42

Che disco!
trovarobato.bandcamp.com/album…

SPIRA, by Daniela Pes

7 track album

^Trovarobato

The UE1 tape reader in its nearly finished glory. Note the resistor to regulate the motor speed. (Credit: David Lovett, Usagi Electric)
On today’s installment of UE1 vacuum tube computer construction, we join [David Lovett] once more on the Usagi Electric farm, as he determines just how much work remains before the project can be called done. When we last left off, the paper tape reader had been motorized, with the paper tape being pulled through smoothly in front of the photodiodes. This left [David] with the task to create a PCB to wire up these photodiodes, put an amplification circuit together (with tubes, of course) to amplify the signal from said photodiodes, and add some lighting (two 1-watt incandescents) to shine through the paper tape holes. All of this is now in place, but does it work?

The answer here is a definite kinda, as although there are definitely lovely squiggles on the oscilloscope, bit 0 turns out to be missing in action. This shouldn’t have come as a major surprise, as one of the problems that Bendix engineers dealt with back in the 1950s was effectively the same one: they, too, use the 9th hole on the 8-bit tape as a clock signal, but with this whole being much smaller than the other holes, this means not enough light passes through to activate the photodiode.

Excerpt from the Bendix G-15 schematics for the tape reader, showing the biasing of the clock signal photodiode. (Credit: David Lovett, Usagi Electric)
Here, the Bendix engineers opted to solve this by biasing the photodiode to be significantly more sensitive. This seems to be the ready-made solution for the UE1’s tape reader, too. After all, if it worked for Bendix for decades, surely it’ll work in 2024.

Beyond this curveball, the rest of the challenges involve getting a tape punched with known data on it so that the tape reader’s output can actually be validated beyond acknowledging the presence of squiggles on the scope display. Although the tape guiding mechanism seems more stable now, it also needs to be guided around in an endless loop due to the way that the UE1 computer will use the tape. Much like delay line memory, the paper tape will run in an endless loop, and the processor will simply skip over sections until it hits the next code it needs as part of a loop or jump.

With semi-modern components, paper tape is easy to handle. Automatic tape feed only adds a little complexity.

youtube.com/embed/aEkxFtYOGUg?…

hackaday.com/2024/11/17/comple…

A couple of weeks back, we covered an interesting method for prototyping PCBs using a modified CNC mill to 3D print solder onto a blank FR4 substrate. The video showing this process generated a lot of interest and no fewer than 20 tips to the Hackaday tips line, which continued to come in dribs and drabs this week. In a world where low-cost, fast-turn PCB fabs exist, the amount of effort that went into this method makes little sense, and readers certainly made that known in the comments section. Given that the blokes who pulled this off are gearheads with no hobby electronics background, it kind of made their approach a little more understandable, but it still left a ton of practical questions about how they pulled it off. And now a new video from the aptly named Bad Obsession Motorsports attempts to explain what went on behind the scenes.

To be quite honest, although the amount of work they did to make these boards was impressive, especially the part where they got someone to create a custom roll of fluxless tin-silver solder, we have to admit to being a little let down by the explanation. The mechanical bits, where they temporarily modified the CNC mill with what amounts to a 3D printer extruder and hot end to melt and dispense the solder, wasn’t really the question we wanted answered. We were far more interested in the details of getting the solder traces to stick to the board as they were dispensed and how the board acted when components were soldered into the rivets used as vias. Sadly, those details were left unaddressed, so unless they decide to make yet another video, we suppose we’ll just have to learn to live with the mystery.

What do mushrooms have to do with data security? Until this week, we’d have thought the two were completely unrelated, but then we spotted this fantastic article on “Computers Are Bad” that spins the tale of Iron Mountain, which people in the USA might recognize as a large firm that offers all kinds of data security products, from document shredding to secure offsite storage and data backups. We always assumed the “Iron Mountain” thing was simply marketing, but the company did start in an abandoned iron mine in upstate New York, where during the early years of the Cold War, it was called “Iron Mountain Atomic Storage” and marketed document security to companies looking for business continuity in the face of atomic annihilation. As Cold War fears ebbed, the company gradually rebranded itself into the information management entity we know today. But what about the mushrooms? We won’t ruin the surprise, but suffice it to say that IT people aren’t the only ones that are fed shit and kept in the dark.

Do you like thick traces? We sure do, at least when it comes to high-current PCBs. We’ve seen a few boards with really impressive traces and even had a Hack Chat about the topic, so it was nice to see Mark Hughes’ article on design considerations for heavy copper boards. The conventional wisdom with high-current applications seems to be “the more copper, the better,” but Mark explains why that’s not always the case and how trace thickness and trace spacing both need to be considered for high-current applications. It’s pretty cool stuff that we hobbyists don’t usually have to deal with, but it’s good to see how it’s done.

We imagine that there aren’t too many people out there with fond memories of Visual Basic, but back when it first came out in the early 1990s, the idea that you could actually make a Windows PC do Windows things without having to learn anything more than what you already knew from high school computer class was pretty revolutionary. By all lights, it was an awful language, but it was enabling for many of us, so much so that some of us leveraged it into successful careers. Visual Basic 6 was pretty much the end of the line for the classic version of the language, before it got absorbed into the whole .NET thing. If you miss that 2008 feel, here’s a VB6 virtual machine to help you recapture the glory days.

And finally, in this week’s “Factory Tour” segment we have a look inside a Japanese aluminum factory. The video mostly features extrusion, a process we’ve written about before, as well as casting. All of it is fascinating stuff, but what really got us was the glow of the molten aluminum, which we’d never really seen before. We’re used to the incandescent glow of molten iron or even brass and copper, but molten aluminum has always just looked like — well, liquid metal. We assumed that was thanks to its relatively low melting point, but apparently, you really need to get aluminum ripping hot for casting processes. Enjoy.

youtube.com/embed/CKu-jfDm8SY?…

hackaday.com/2024/11/17/hackad…

Formerly known as Unidentified Flying Objects, Unidentified Anomalous Phenomena (UAP) is a category of observations that are exactly what the UAP label suggests. This topic concerns the US military very much, as a big part of national security involves knowing everything that appears in the skies. This is the reason for the development of a new sensor suite by the Pentagon called GREMLIN. Recently, a new report has provided more details about what this system actually does.

Managed by the All-domain Anomaly Resolution Office (AARO) within the DoD, GREMLIN blends many different sensors, ranging from radar to ADS-B and RF monitors, together to establish a baseline and capture any anomalies within the 90-day monitoring period to characterize them.

UAPs were a popular topic even before the 1950s when people began to see them everywhere. Usually taking the form of lights or fast-moving objects in the sky, most UAP reports can be readily classified as weather balloons, satellites like Starlink, airplanes, the Northern Lights, the ISS, or planets like Mars and Venus. There are also curious phenomena such as the Hessdalen lights, which appear to be a geological, piezoelectric phenomenon, though our understanding of such natural lighting phenomena remains limited.

But it is never aliens, that’s one thing we know for sure. Not that UFO’s don’t exist. Really.

hackaday.com/2024/11/17/uss-uf…

We’re not very far into the AI revolution at this point, but we’re far enough to know not to trust AI implicitly. If you accept what ChatGPT or any of the other AI chatbots have to say at face value, you might just embarrass yourself. Or worse, you might make a mistake designing your next antenna.

We’ll explain. [Gregg Messenger (VE6WO)] asked a seemingly simple question about antenna theory: Does an impedance mismatch between the antenna and a coaxial feedline result in common-mode current on the coax shield? It’s an important practical matter, as any ham who has had the painful experience of “RF in the shack” can tell you. They also will likely tell you that common-mode current on the shield is caused by an unbalanced antenna system, not an impedance mismatch. But when [Gregg] asked Google Gemini and ChatGPT that question, the answer came back that impedance mismatch can cause current flow on the shield. So who’s right?

In the first video below, [Gregg] built a simulated ham shack using a 100-MHz signal generator and a length of coaxial feedline. Using a toroidal ferrite core with a couple of turns of magnet wire and a capacitor as a current probe for his oscilloscope, he was unable to find a trace of the signal on the shield even if the feedline was unterminated, which produces the impedance mismatch that the chatbots thought would spell doom. To bring the point home, [Gregg] created another test setup in the second video, this time using a pair of telescoping whip antennas to stand in for a dipole antenna. With the coax connected directly to the dipole, which creates an unbalanced system, he measured a current on the feedline, which got worse when he further unbalanced the system by removing one of the legs. Adding a balun between the feedline and the antenna, which shifts the phase on each leg of the antenna 180° apart, cured the problem.

We found these demonstrations quite useful. It’s always good to see someone taking a chatbot to task over myths and common misperceptions. We look into baluns now and again. Or even ununs.

youtube.com/embed/wA9JpHxOsTo?…

youtube.com/embed/Sk4dRH-kXZE?…

hackaday.com/2024/11/17/school…

Non ho mai usato friendica ma sono pratico con il fediverso sopratutto con mastodon sull'istanza livellosegreto.it

Su mastodon, almeno su quel server, non è possibile scrivere tanto testo, quindi ho deciso di aprire qui un profilo pubblico.

Quello di cui vorrei ogni tanto parlare (preferisco la qualità alla quantità) è ciò che mi appassiona, ovvero:
-opensource e privacy (grapheneos, aosp, fdroid, scelte di vita relative)
-dipendenza dalla tecnologia (approccio alla vita sana e alternative contro le dipendenze tecnologiche, in tutti i sensi possibili)
-musica (ascolto musica da veramente una vita, ho una cultura immensa e vorrei condividerla e ascoltare ciò che propongono di bello gli altri)
-cinema (ne guardo assai poco ma un tempo ero fissato con il cinema asiatico!)
-vita sotto la salute mentale (ero hikikomori e ora vivo con assistenza psichiatria, sarebbe interessante parlarne approfonditamente senza dare informazioni banali)
-altro (non mi viene in mente molto ora ma spero apprezzerete i vari argomenti!!)

Non ho app del fediverso ma faccio tutto via browser quindi, essendo che mi sono appena iscritto, mi ci vorrà un po' per ingranare e crearmi un feed interessante! Spero che comunque sia gradita la mia presenza qui.

Un saluto!