Quante volte si sente dire che è impossibile fare innovazione in Europa seguendo le regole? Certamente, i giganti della Silicon Valley hanno tutto l’interesse ad un ragionamento in senso opposto: prima si propone sul mercato la scintillante novità tecnologica, puntando sull’effetto “wow” e prescindendo da ogni regola. Insomma: anarco-capitalismo negli intenti, ma anche la realtà statunitense non tollera alcuni eccessi soprattutto se investono il funzionamento del mercato e i consumatori, tant’è che gli interventi in tema antitrust e la stessa Federal Trade Commission non si può dire che abbia la mano leggera a riguardo.

In Europa gli innovatori hanno più volte rappresentato il “nodo” della privacy e del GDPR come un ostacolo alla “voglia di fare”. Che però significa più “voglia di fatturare”, diciamo la verità.

Adeguarsi ad una normativa ha dei costi, quindi ben si può comprendere il ragionamento se lo condiamo con la giusta dose di onestà intellettuale. Se qualcuno si presenta come buon imprenditore o manager dell’innovazione dovrà tenerne conto prima di lanciare un prodotto o servizio, piuttosto che lamentarsi dopo.

Altrimenti rischia di apparire poco credibile o poco capace. O altrimenti una combinazione di entrambe le cose.

Rispettare le regole di protezione dei dati costa?

Assolutamente sì. E chi dice il contrario tendenzialmente o segue degli idealismi che comportano un certo grado di miopia selettiva, o altrimenti vuole difendere il proprio business.

Dopodiché, è abbastanza evidente che una buona regolamentazione può produrre esternalità positive o prevenire esternalità negative in quanto introduce dei correttivi all’interno del mercato. Ma questo dovrebbe essere alla base di ogni ragionamento sull’opportunità o meno di introdurre, o riesaminare, determinate norme.

Il costo per le iniziative imprenditoriali di innovazione trova – o meglio: deve trovare – un bilanciamento proporzionato nelle tutele cui la norma provvede. E poiché gran parte delle innovazioni sono data-driven, viene da sé che un elemento cruciale è costituito dalle normative in materia di protezione dei dati personali che provvedono anche a garantire una libera circolazione degli stessi. La linea di indirizzo e di interpretazione è il voler perseguire un’innovazione sostenibile ed umanocentrica che abbia impatti negativi minimi nei confronti delle persone e dei loro diritti fondamentali. Per meglio dire: impatti accettabili a fronte dei benefici conseguiti.

Se però un’azienda sceglie di risparmiare e non curarsi delle regole realizza un risparmio nell’immediato e consegue un vantaggio competitivo nei confronti di chi altrimenti si è preoccupato di seguire le “regole del gioco”. Questo comporta una violazione delle regole di concorrenza, motivo per cui già nel prossimo futuro c’è una maggiore attenzione da parte dell’Antitrust sull’impiego dei dati.

che viola le regole di una corretta concorrenza. Motivo per cui ci si attende una sempre maggiore dell’Antitrust sugli aspetti dell’impiego dei dati.

Attenzione però nell’indulgere nel rispetto quasi-sacrale di una regola, fino al punto di ritenerla giusta by default. E soprattutto insindacabile o impermeabile ai mutamenti di contesto derivanti dalla continua evoluzione tecnologica che ha una velocità naturalmente maggiore rispetto all’iperproduzione normativa made-in-EU.

Il giardino nella giungla e altre allucinazioni made-in-EU.

Si indulge spesso nella superbia propria del vecchio continente di ritenersi un giardino nella giungla e presentare dunque la propria produzione normativa come il migliore dei mondi possibili. Spesso in modalità panglossiana, ricordando Voltaire, e assolutamente apodittica quanto autoreferenziale. Questa è un’allucinazione a tutti gli effetti, poiché – restando nella volontà di declinare citazioni letterarie – Ci son più cose in cielo e in terra, Orazio, di quante ne sogni la tua filosofia. Figuriamoci rispetto a quante ne possa immaginare una norma che spesso dà la sensazione d’esser stata redatta da chi della materia regolata, eufemisticamente parlando, ha una comprensione limitata o fondata su ragionamenti fallaci.

Internet ha interconnesso il mondo e noi oggi lo vorremmo dividere in uno Splinternet in cui c’è un riverbero di culture, norme e quant’altro che ricordano le ombre sulla caverna di platonica memoria. Rassicuranti e confortanti quel tanto che basta per dare un’impressione che tutto corrisponda ai migliori desiderata.

Quanto poi quel velo di Maya viene smentito dalla realtà che semplicemente si presenta alla porta in tutta la sua immanenza, alcuni cercano addirittura di ergere nuovi castelli di regole e così si indulge nel micromanagement normativo che vorrebbe plasmare il mondo. Il condizionale è d’obbligo perché se mancano le risorse per attuare questo cambiamento, il fatto di desideralo soltanto può essere uno spunto utile per una frasetta motivazionale o un tatuaggio e poco più.

Il made-in-EU si è nutrito per lungo tempo della convinzione d’essere il centro del mondo, ma il fenomeno della trasformazione digitale ha decisamente spostato e sta scomponendo sempre più l’Axis Mundi e forse un domani potrebbe addirittura perdere senso come concetto. Un percorso irreversibile di cui si dovrà tenere conto prima di difendere le proprie allucinazioni per ragioni di principio.

Piuttosto, forse sarebbe bene riconsiderare i ragionamenti valorizzando i principi generali delle norme operandosi affinché questi vengano condivisi a livello internazionale. Condividendone i valori.

Altrimenti, tanto i lamenti del “In Europa non si può fare innovazione” quanto quelli del “Ma perchè il mondo non si piega alle nostre regole…” saranno destinati a perdersi come lacrime nella pioggia degli innumerevoli futuri che mai potranno essere realizzati.

Fine prima pars destruens.

Sipario.

L'articolo Innovazione o rispetto delle regole: la falsa dicotomia che svela l’inadeguatezza dell’approccio made-in-EU proviene da il blog della sicurezza informatica.

Single Sideband, or SSB, has been the predominant amateur radio voice mode for many decades now. It has bee traditionally generated by analogue means, generating a double sideband and filtering away the unwanted side, or generating 90 degree phase shifted quadrature signals and mixing them. More recent software-defined radios have taken this into the CPU, but here’s [Georg DG6RS] with another method. It uses SDR techniques and a combination of AM and FM to achieve polar modulation and generate SSB. He’s provided a fascinating in-depth technical explanation to help understand how it works.

The hardware is relatively straightforward; an SI5351 clock generator provides the reference for an ADF4351 PLL and VCO, which in turn feeds a PE4302 digital attenuator. It’s all driven from an STM32F103 microcontroller which handles the signal processing. Internally this means conventionally creating I and Q streams from the incoming audio, then an algorithm to generate the phase and amplitude for polar modulation. These are fed to the PLL and attenuator in turn for FM and AM modulation, and the result is SSB. It’s only suitable for narrow bandwidths, but it’s a novel and surprisingly simple deign.

We like being presented with new (to us at least) techniques, as it never pays to stand still. Meanwhile for more conventional designs, we’ve got you covered.

hackaday.com/2025/03/03/its-ss…

L’Art.4 comma 5 del GDPR recita quanto segue: ““pseudonimizzazione – il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”

Negli ultimi anni, la crescente attenzione verso la protezione dei dati personali ha portato a un interesse significativo verso approcci fondamentali per garantire la privacy, specialmente in un contesto in cui le informazioni personali sono sempre più raccolte e trattate da organizzazioni di ogni tipo.

Pseudonimizzazione e Anonimizzazione

Negli ultimi anni si è avuto un interesse significativo per le tecniche di pseudonimizzazione e anonimizzazione dei dati. È un errore comune confondere queste due metodologie di trattamento del dato, tuttavia, sebbene la loro differenziazione sia sottile, risulta profondamente importante nelle procedure per rendere difficile o addirittura a precludere totalmente l’identificazione di un soggetto.

Entrambi i metodi sono regolati da normative, quali il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea, che stabilisce linea guida su come gestire i dati personali.

Nello specifico la pseudonimizzazione è quel procedimento con il quale s’impedisce l’identificazione di un individuo, consistente nel sostituire gli identificatori diretti del soggetto interessato con pseudonimi. L’anonimizzazione, invece, implica la rimozione definitiva di tutte le informazioni identificabili, rendendo impossibile l’associazione dei dei dati ad un soggetto ben determinato.

Un Approccio Organico e Integrato per la Protezione dei Dati

Pensare che la pseudonimizzazione si possa comunque raggiungere con l’ausilio di software è tuttavia rischioso; l’anonimato infatti deve essere garantito da due fronti operativi diversi ma correlati tra loro. Il primo di natura organizzativo dovrà gestire il valore del dato, disaccoppiandolo definitivamente dall’identità dell’individuo, mentre il secondo sarà da supporto, svolgendo le operazioni del caso.

Ma perché applicare tale misura?

Il GDPR già dal considerando 26 prova a fornire una spiegazione circa l’applicazione: “ L’applicazione della pseudonimizzazione ai dati personali può ridurre i rischi per gli interessati e aiutare i titolari del trattamento e i responsabili del trattamento a rispettare i loro obblighi di protezione dei dati. L’introduzione esplicita della «pseudonimizzazione» nel presente regolamento non è quindi intesa a precludere altre misure di protezione dei dati.”

Da ciò si deduce l’importante aspetto della non esclusività di applicazione, ma di integrazione al compendio delle altre misure di sicurezza sulla protezione dei dati. In ambito sanitario, cosi come in quello finanziario, questa misura assume rilevanza sia per l’utente finale che per le azienda che può continuare a usufruire del dato seppur pseudonimizzato.

Sta in questo passaggio che si trova la sostanziale differenza con l’anonimizzazione, la quale comporta la rimozione definitiva di tutte le informazioni identificabili. Sebbene infatti offra un livello di protezione della privacy più elevato, può limitare l’utilizzabilità dei dati per scopi futuri. Ovviamente il dato pseudonimizzato può correre il rischio di essere ricostruito, come specificato nel Considerando 75 del GDPR, si potrà incorrere nella “decifratura non autorizzata” sfruttando il principio del “disaccoppiamento”.

In cosa consiste il disaccoppiamento

Grazie alle numerose tecnologie, sfruttando i differenti privilegi forniti all’utente, vengono mantenuti visibili solo le informazioni strettamente necessarie oscurando le altre.

Il punto debole del sistema, risiede nella logica applicativa per lo scambio dei dati da presentare all’utente finale. Il codice applicativo dovrà essere solido e dovranno essere applicate misure di sicurezza sulle banche dati ove sono contenuti i dati.

Un approccio comune alla pseudonimizzazione è rappresentato dall’hashing, ovvero la trasformazione di una stringa di input, in una di lunghezza fissa tramite funzioni crittografiche. Questo comporta un rischio, se l’algoritmo è noto, la re-identificazione diventa possibile. Per garantire la sicurezza, il titolare del dato dovrà mantenere al sicuro l’algoritmo utilizzato, in modo da renderlo inaccessibile a soggetti non autorizzati.

Questa segregazione sarà fondamentale per preservare l’integrità del processo. Inoltre per mitigare i rischi di attacchi di forza bruta o con dizionari precalcolati, sarà necessario adottare strategie, quali la tecnica del salting ovvero l’aggiunta di un valore casuale in input prima dell’hashing.

L’Equilibrio tra Protezione dei Dati e Utilizzo Legittimo

Tra le linee guida introdotte troviamo anche il concetto di “dominio di pseudonimizzazione“. Esso definisce il contesto in cui i dati vengono trattati come pseudonimizzati, distinguendo tra due configurazioni principali.

Quello di dominio interno, in cui solo alcune unità operative all’interno di un’organizzazione hanno accesso ai dati e quello di dominio esterno, in cui i dati pseudonimizzati sono oggetto di condivisione con soggetti esterni. Se tali soggetti non dispongono delle informazioni necessarie per effettuare la de-pseudonimizzazione, i dati per loro saranno in senso proprio anonimizzati.

Una via di mezzo tra la pseudonimizzazione e l’anonimizzazione è l’oscuramento di specifiche informazioni, impedendo cosi l’accesso tramite logiche legate all’applicazione e al database che contiene i dati.

Attualmente, l’ampia interpretazione del concetto di “dato personale” porta a un’applicazione generalizzata del GDPR, anche in situazioni in cui si sottopongono i dati a processi di de-identificazioni avanzati. Questo crea oneri e rischi significativi, specialmente per startup e aziende, che spesso si trovano a sostenere costi elevati di compliance o ad abbandonare progetti di valorizzazione dei dati per timor di violare la normativa.

In un contesto in cui gli algoritmi sono in continua evoluzione e aggiornamento, la gestione dei dati personali diventa sempre più complessa e cruciale. Le tecniche di pseudoanonimizzazione e anonimizzazione devono adattarsi a queste dinamiche, rispondendo alle sfide emergenti legate alla privacy e alla sicurezza. Con l’avanzamento delle tecnologie e l’aumento della capacità di elaborazione dei dati, è fondamentale riflettere su come queste pratiche possano garantire una protezione efficace degli individui. È quindi fondamentale adottare un approccio equilibrato che consideri sia la necessità di proteggere la privacy degli individui, sia l’importanza di utilizzare i dati per scopi legittimi e utili.

L'articolo GDPR: Protezione o Illusione? Il Problema della Pseudonimizzazione proviene da il blog della sicurezza informatica.

La botnet Vo1d, che attacca i dispositivi Android TV, continua a crescere rapidamente e ha già infettato più di 1,5 milioni di dispositivi in ​​226 Paesi. Secondo i ricercatori di XLab, la botnet utilizzata per organizzare reti proxy anonime, ha raggiunto il picco il 14 gennaio 2025, con 800.000 bot attivi in ​​quel momento.

Il primo attacco su larga scala di Vo1d è stato registrato da specialisti Dott. Web nel settembre 2024, quando furono identificati 1,3 milioni di dispositivi infetti in 200 Paesi. Tuttavia, la campagna attuale dimostra che la botnet ha solo ampliato la sua portata dalla sua scoperta.

Gli sviluppatori di Vo1d hanno implementato meccanismi di sicurezza avanzati, tra cui la crittografia RSA e un algoritmo XXTEA personalizzato, nonché un’infrastruttura fault-tolerant basata sull’algoritmo di generazione del dominio (DGA). Ciò rende molto più difficile rilevare e distruggere una botnet.

Una delle più grandi botnet degli ultimi anni

Vo1d è più grande in scala rispetto a molte botnet note, tra cui Bigpanzi, Mirai. Il numero più alto di contagi è stato registrato in Brasile (25%), seguito da Sudafrica (13,6%), Indonesia (10,5%), Argentina (5,3%), Thailandia (3,4%) e Cina (3,1%). Un picco particolarmente significativo è stato registrato in India, dove il numero di dispositivi infetti è aumentato da 3.900 a 217.000 in 3 giorni.

I ricercatori di XLab ritengono che la causa di tali picchi sia un meccanismo di “affitto e restituzione”. Presumibilmente, il meccanismo per la vendita dei servizi proxy XLab funziona in questo modo:

• Fase di noleggio. All’inizio di un periodo di noleggio, i bot vengono reindirizzati dalla rete principale di Vo1d per eseguire operazioni sui tenant, causando un calo improvviso del numero di dispositivi infetti nel pool attivo di Vo1d, poiché i bot vengono temporaneamente rimossi dal suo controllo.
• Fase di ritorno. Una volta terminato il periodo di locazione, i bot tornano alla rete Vo1d. Questo processo di reintegrazione provoca un forte aumento del numero di dispositivi infetti poiché i bot tornano attivi sotto il controllo di Vo1d.

Anche la portata dell’infrastruttura di comando e controllo (C2) è impressionante: l’operazione utilizza 32 seed DGA (Domain Generation Algorithm) per creare oltre 21.000 domini C2. La comunicazione tra i bot e i server C2 è protetta da una chiave RSA a 2048 bit, rendendo impossibile intercettare e sostituire i comandi anche quando il dominio viene identificato.

Oltre a creare reti proxy anonime, il Vo1d viene utilizzato anche per frodi sui clic e per aumentare le visualizzazioni pubblicitarie. La botnet è in grado di emulare l’attività degli utenti, generando clic e visualizzazioni per gli inserzionisti fraudolenti. Ciò è facilitato da plugin speciali che simulano il comportamento degli utenti reali e dalla piattaforma Mzmess SDK, che distribuisce le attività tra i bot.

Come proteggere Android TV dalle infezioni

Nonostante l’uso diffuso di Vo1d, gli utenti di Android TV possono ridurre al minimo il rischio di infezione adottando alcune semplici misure di sicurezza.

1. Acquista dispositivi da produttori fidati e venditori ufficiali. In questo modo si riduce la probabilità che sia presente un malware preinstallato.
2. Aggiornamenti regolari del firmware e della sicurezza. Gli aggiornamenti risolvono vulnerabilità che potrebbero essere sfruttate dagli aggressori.
3. Evita di installare app esterne a Google Play. L’utilizzo di store di terze parti o firmware personalizzati aumenta il rischio di infezione.
4. Disabilitare l’accesso remoto. Se la funzione non viene utilizzata, è meglio disattivarla per eliminare la possibilità di controllo remoto.
5. Isolamento dei dispositivi IoT. Installare Android TV su una rete separata può aiutare a proteggere altri dispositivi contenenti dati sensibili.

Il Vo1d continua a essere una delle minacce più grandi per i dispositivi Android TV e non è chiaro quali nuovi metodi di infezione potrebbero utilizzare i gestori della botnet. Tuttavia, un approccio intelligente alla sicurezza informatica può ridurre significativamente la probabilità di entrare a far parte di una rete dannosa.

L'articolo Android TV posseduti da Vo1d: il tuo telecomando sta lavorando per gli hacker? proviene da il blog della sicurezza informatica.

In case you weren’t aware, Apple devices around you are constantly scanning for AirTags. Now, imagine you’re carrying your laptop around – no WiFi connectivity, but BLE’s on as usual, and there’s a little bit of hostile code running at user privileges, say, a third-party app. Turns out, it’d be possible to make your laptop or phone pretend to be a lost AirTag – making it and you trackable whenever an iPhone is around.

Thenroottag website isn’t big on details, but the paper ought to detail more; the hack does require a bit of GPU firepower, but nothing too out of the ordinary. The specific vulnerabilities making this possible have been patched in newer iOS and MacOS versions, but it’s still possible to pull off as long as an outdated-firmware Apple device is nearby!

Of course, local code execution is often considered a game over, but it’s pretty funny that you can do this while making use of the Apple AirTag infrastructure, relatively unprivileged, and, exfiltrate location data without any data connectivity whatsoever, all as long as an iPhone is nearby. You might also be able to exflitrate other data, for what it’s worth – here’s how you can use AirTag infrastructure to track new letter arrivals in your mailbox!

hackaday.com/2025/03/03/hijack…

Oggi sono rientrato da Malaga.

Malaga è Spagna, è Europa, e io amo l'Europa: unita, comune a tutti noi e - mi auguro - da ora in poi più forte.

Anche l'Italia è Europa, ma da qualsiasi Paese io provenga, ogni volta che ci ritorno, che ritorno a casa, ho un'impressione pessima del nostro Paese, che dura qualche ora, a volte un giorno o 2, perché ho ancora gli occhi dell'esploratore. Quelli del cittadino che vive qui ci mettono un po', a tornare.

Con quegli occhi vedo un Paese decadente, triste, che cade letteralmente in pezzi, mentre il resto dell'Europa va avanti.

E' vero, in alcuni Paesi europei sto meglio che in Italia, per i miei problemi di salute, ma non è solo questo. Parlo della qualità delle strade, dei trasporti, di cosa vedi quando ti guardi in giro: piste ciclabili, panorami urbani, lungomare, autostrade, aeroporti, eccetera.

Certo, ci sono anche ell'estero posti come quelli che ho appena descritto, ma ho la netta sensazione che nel nostro Paese tutti questi problemi siano...più densi, più presenti.

Se viaggiate spesso in Europa, vi chiedo: sono pazzo io o anche voi avete questa sensazione?