A cura di Aldo Di Mattia, Director of Specialized Systems Engineering and Cybersecurity Advisor Italy and Malta di Fortinet

All’inizio del 2024, CISA (Cybersecurity and Infrastructure Security Agency) ha introdotto il Secure by Design Pledge, che delinea sette obiettivi per lo sviluppo e l’implementazione di software sicuri. Fortinet è stata tra i primi firmatari e sostenitori di questa iniziativa, che si allinea con i processi di sviluppo dei propri prodotti, da tempo basati sui principi del secure by design e del secure by default.

Fortinet lavora costantemente per incrementare l’installazione delle patch di sicurezza rilasciate, in linea con uno degli obiettivi stabiliti dalla CISA nel Secure by Design Pledge. Questo impegno ha rappresentato un’opportunità importante per misurare i progressi e determinare se le modifiche apportate stavano migliorando in modo tangibile la posizione di sicurezza dei clienti.
Aldo Di Mattia, Director of Specialized Systems Engineering and Cybersecurity Advisor Italy and Malta di Fortinet
In primo luogo, Fortinet ha cercato di capire perché alcuni clienti non aggiornavano i loro dispositivi quando venivano rilasciati gli aggiornamenti. Le ragioni più ricorrenti erano due:

• Preoccupazione di destabilizzare una rete funzionante
• Mancanza di tempo e risorse

Raggiunta questa consapevolezza, Fortinet ha lavorato per risolvere entrambi i problemi, semplificando il processo di patching nonostante le loro difficoltà specifiche. Qui di seguito sono illustrati i passi compiuti per risolvere ogni problema e i dati raccolti per determinare se questi sforzi sono stati coronati da successo.

Sfida del cliente n. 1: preoccupazioni per la destabilizzazione di una rete funzionante

Pur comprendendo che può essere problematico dare disservizio ad una rete funzionante, è fondamentale che i team IT e di sicurezza applichino le patch il prima possibile per ridurre la possibilità che gli aggressori sfruttino una vulnerabilità. Fortinet raccomanda sempre ai clienti di effettuare un’analisi immediata del rischio e di effettuare l’aggiornamento più rapidamente possibile. Allo stesso tempo, l’azienda comprende perché non si voglia bloccare un’infrastruttura di rete, dal momento che i responsabili IT e della sicurezza sono costantemente in bilico tra il potenziamento delle misure di sicurezza e l’eventuale interruzione della normale operatività.

Come Fortinet ha affrontato questa sfida

Per semplificare il processo decisionale dei clienti in merito a quando e come applicare una patch rilasciata da Fortinet, sono state introdotte delle etichette di funzionalità e maturità per le release del firmware. Di conseguenza, gli amministratori possono accertare rapidamente se il firmware contiene solo correzioni di bug o se la release contiene funzionalità supplementari. La messa a disposizione di questi dati aggiuntivi fornisce agli amministratori di rete, in modo rapido e chiaro, informazioni utili per le loro valutazioni e una maggiore affidabilità nelle loro decisioni su come e quando implementare un aggiornamento.

Ad oggi, i clienti hanno risposto che in questo modo è molto più semplice prendere decisioni basate sul rischio e sull’adozione di una release nei loro ambienti, in base alla criticità della loro attività e alla necessità di nuove funzionalità specifiche.

Sfida del cliente n. 2: mancanza di tempo e di risorse

Fortinet lavora con clienti di tutte le dimensioni e operanti in tutti i settori. Una cosa che accomuna quasi tutte le organizzazioni è l’impatto della carenza di competenze in materia di cybersecurity. Questo è evidente dai numeri seguenti, che mostrano un’adozione relativamente lenta delle patch da parte dei clienti (circa 40.000 aggiornamenti al mese), nonostante la presenza di una fix di una “high-severity” inclusa nella release 7.2.5.

Il tasso di aggiornamento è raddoppiato dalla release 7.2.5 alla 7.2.6, rappresentato nel grafico seguente. Questo andamento è stato confermato con le release successive, in quanto i clienti diventano sempre meno preoccupati delle “novità” presenti nelle release.

Secondo il rapporto 2024 Global Cybersecurity Skills Gap di Fortinet, nell’ultimo anno, l’86% dei leader d’azienda in Italia ha dichiarato di aver subito una violazione che può essere parzialmente attribuita alla mancanza di skill di cybersecurity nei team che si occupano di rete e di sicurezza. L’impatto è considerevole se si tiene in conto che il 58% dei partecipanti ha dichiarato di attribuire tali attacchi alla mancanza di consapevolezza sul tema della sicurezza da parte delle loro organizzazioni e dei propri dipendenti. Non da ultimo, il 44% ha evidenziato come siano stati necessari da 1 a 3 mesi per recuperare i danni derivanti dagli attacchi subiti.

Tuttavia, nonostante la scarsità reale o percepita di risorse in un’organizzazione, gli aggiornamenti devono avvenire a un ritmo più veloce.

Figura 1: Tasso di aggiornamento dei clienti Fortinet dalla versione FortiOS 7.2.5 alla 7.2.6

Come Fortinet ha affrontato questa sfida

Per contribuire ad aumentare l’adozione delle patch, Fortinet ha scelto di utilizzare un metodo simile a quello utilizzato dal settore della telefonia mobile per l’aggiornamento automatico dei dispositivi. Nella fase iniziale di prova, i dispositivi di fascia bassa per i piccoli uffici e per gli uffici domestici, oltre che per le piccole e medie imprese, sono stati impostati per l’aggiornamento automatico nelle seguenti condizioni:

• La funzione di aggiornamento automatico è abilitata come impostazione predefinita sui dispositivi di fascia bassa (100F e inferiori). Può essere abilitata dall’amministratore anche su altri dispositivi.
• Il dispositivo non è gestito centralmente da FortiManager.
• L’aggiornamento passerà solo alla release successiva e più stabile all’interno dello stessa versione, per cui:
  
  • L’aggiornamento da 7.2.8 (maturo) a 7.2.9 (maturo) verrà effettuato.
  • Non verrà eseguito l’aggiornamento da 7.2.8 (maturo) a 7.4.4 (feature).

  
  

• I clienti possono disattivare questa funzione in qualsiasi momento, se lo desiderano.

Questa funzione di aggiornamento automatico di FortiOS è stata introdotta nella versione 7.2.6 ed è stata attivata per la prima volta con la versione 7.2.7. I risultati sono immediatamente evidenti, come mostrato di seguito:

Figura 2: Tasso di aggiornamento tra i clienti Fortinet dopo l’implementazione della funzione di aggiornamento automatico

La versione 7.2.7 è stata implementata su quasi 200.000 dispositivi in pochi giorni, riducendo la possibilità per gli attaccanti informatici di sfruttare le vulnerabilità corrette nell’aggiornamento.

Questa funzione sarà estesa ad altri modelli nelle prossime release.

Semplificare il percorso verso il rafforzamento della postura di sicurezza

Nel tempo, queste iniziative continueranno a migliorare la sicurezza dei clienti Fortinet e a impedire agli attaccanti informatici di sfruttare le vulnerabilità note. Misurare i progressi rispetto ai sette obiettivi delineati nel CISA Secure by Design Pledge permette all’azienda di capire il successo degli sforzi e offre l’opportunità di trovare nuovi modi per semplificare ulteriormente la sicurezza dei propri clienti.

Si tratta di un altro passo avanti per mantenere l’impegno preso dall’azienda di continuare a sviluppare e innovare anche in questo ambito.

L'articolo L’impegno di Fortinet nel secure by design: misurare i progressi nella sicurezza informatica proviene da il blog della sicurezza informatica.

It all started with a gift idea: a star-field lamp in the form of a concrete sphere with lightpipes poking out where the stars are, lit up from the inside by LEDs. When you’re making one of these, maybe-just-maybe you’d be willing to drill a thousand holes and fit a thousand little plastic rods, but by the time you’re making a second, it’s time to build a machine to do the work for you.

So maybe we quibble with the channel name “Unnecessary Automation,” but we won’t quibble with the results. It’s a machine that orients a sphere, drills the hole, inserts the plastic wire, glues it together with a UV-curing glue, and then trims the end off. And if you like crazy machines, it’s a beauty.

The video goes through all of the design thoughts in detail, but it’s when it comes time to build the machine that the extra-clever bits emerge. For instance, [UA] used a custom 3D-printed peristaltic pump to push the glue out. Taking the disadvantage of peristaltic pumps – that they pulse – as an advantage, a custom housing was designed that dispensed the right amount between the rollers. The rolling glue dispenser mechanism tips up and back to prevent drips.

There are tons of other project-specific hacks here, from the form on the inside of the sphere that simplifies optic bundling and routing to the clever use of a razor blade as a spring. Give it a watch if you find yourself designing your own wacky machines. We think Rube Goldberg would approve. Check out this video for a more software-orientated take on fiber-optic displays.

youtube.com/embed/rHU8OqQk5KI?…

youtube.com/embed/3xhgEyMeA1I?…

hackaday.com/2025/03/23/unnece…

What a long, strange trip it’s been for NASA astronauts Suni Williams and Bruce Wilmore, who finally completed their eight-day jaunt to space after 289 days. The duo returned to Earth from the ISS on Tuesday along with two other returning astronauts in a picture-perfect splashdown, complete with a dolphin-welcoming committee. For the benefit of those living under rocks these past nine months, Williams and Wilmore slipped the surly bonds way back in June on the first crewed test flight of the Boeing Starliner, bound for a short stay on the ISS before a planned return in the same spacecraft. Alas, all did not go to plan as their ride developed some mechanical difficulties on the way upstairs, and so rather than risk their lives on a return in a questionable capsule, NASA had them cool their heels for a couple of months while Starliner headed home without them.

There’s been a lot of talk about how Butch and Suni were “stranded,” but that doesn’t seem fair to us. Sure, their stay on the ISS was unplanned, or at least it wasn’t Plan A; we’re sure this is always a contingency NASA allows for when planning missions. Also unfortunate is the fact that they didn’t get paid overtime for the stay, not that you’d expect they would. But on the other hand, if you’re going to get stuck on a work trip, it might as well be at the world’s most exclusive and expensive resort.

Speaking of space, while it’s statistically unlikely that anyone reading this will ever get there, you can still get a little taste of what space travel is like if you’re willing to give up ten days of your life to lie in a waterbed. What’s more, the European Space Agency will pay you 5,000 euros to do it. The experiment is part of the ESA’s Vivaldi III campaign, an exploration of the effects of extended spaceflight on the human body. The “waterbed” thing is a little misleading, though; since the setup is designed to simulate the posture the body takes in microgravity, they use a tank of water (heated, we hope) with a waterproof cover to submerge volunteers up to their torso. This neutral body posture looks pretty comfortable if you’re sleeping in space, but we tend to think it’d get annoying pretty quickly down here. Especially for potty breaks, which aren’t done astronaut-style but rather by being transferred to a trolley which lets you do your business without breaking from the neutral posture. Still, 5,000 euros is 5,000 euros.

Bad news for the meme-making community, as it appears AI might be coming for you, too. A recent study found that LLMs like ChatGPT can meme better than humans, at least under certain conditions. To come to that conclusion, researchers used some pretty dank meme templates and pitted humans against ChatGPT-4o to come up with meme-worthy captions. They also had a different group of humans collaborate with the LLM to come up with meme captions, which for practical purposes probably means the humans let the chatbot do the heavy lifting and just filtered out the real stinkers. When they showed the memes to crowdsourced participants to rate them on humor, creativity, and shareability, they found that the LLM consistently produced memes that scored higher across all three categories. This makes sense when you think about it; the whole job of an LLM is to look at a bunch of words and come up with a consensus on what the next word should be. Happily, the funniest memes were written by humans, and the human-LLM collaborations were judged more creative and shareable. So we’ve got that going for us, which is good.

We noted the passing of quite a few surplus electronics shops in this space before, and the closing of each of them, understandable as they may, marks the end of an era. But we recently learned about one surplus outfit that’s still going strong. Best Electronics, which specializes in Atari retrocomputing, has been going strong for over 40 years, a neat trick when Atari itself went bankrupt over 30 years ago. While they appear to have a lot of new old stock bits and bobs — they’re said to have acquired “thousands and thousands” of pallets of Atari goods from their Sunnyvale warehouse when the company folded — they also claim to spend a lot of money on engineering development. Their online presence is delightfully Web 1.0, making it pretty hard to sort through, but we think that development is mainly upgraded PCBs for things like joysticks and keyboards. Whatever they’re doing, they should just keep on doing it.

And finally, have you ever seen a knitted breadboard? Now you have, and while it’s of no practical value, we still love it. Alanna Okun made it for the ITP Stupid Hackathon at NYU back in February. There aren’t any instructions or build docs, so it’s not clear how it works, but from the photos we’d guess there’s either conductive yarn or solid copper wire knitted into the pattern to serve as bus bars.

hackaday.com/2025/03/23/hackad…

Surely by now you’ve at least heard of RTL-SDR — a software project that let’s cheap TV tuner dongles work as a software-defined radios. A number of projects and tools have spun off the original effort, but in his latest video, [Tech Minds] shows off a particularly unique take. It’s a Web browser-based radio application that uses WebUSB, so it doesn’t require the installation of any application software. You can see the program operating in the video below.

There are a few things you should know. First, you need the correct USB drivers for your RTL-SDR. Second, your browser must support WebUSB, of course. Practically, that means you need a Chromium-type browser. You may have to configure your system to allow raw access to the USB port, too.

Watching the video, you can see that it works quite well. According to the comments, it will work with a phone, too, which is an interesting idea. The actual Web application is available as open source. It isn’t going to compete with a full-fledged SDR program, but it looked surprisingly complete.

These devices have grown from a curiosity to a major part of radio hacking over the years. Firefox users can’t use WebUSB — well, not directly, anyway.

youtube.com/embed/INFu8jUHNhM?…

hackaday.com/2025/03/23/rtl-sd…

Doing it yourself may not get you the most precise lab equipment in the world, but it gets you a hands-on appreciation of the techniques that just can’t be beat. Today’s example of this adage: [Stoppi] built an atomic force microscope out of mostly junk parts and got pretty good results, considering. (Original is in German; read it translated here.)

The traditional AFM setup uses a piezo micromotor to raise and lower the sample into a very, very fine point. When this point deflects, it reads the height from the piezo setup and a motor stage moves on to the next point. Resolution is essentially limited by how fine a point you can make and how precisely you can read from the motion stages. Here, [stoppi]’s motion stage follows the traditional hacker avenue of twin DVD sleds, but instead of a piezo motor, he bounces a laser off of a mirror on top of the point and reads the deflection with a line sensor. It’s a clever and much simpler solution.

A lot of the learnings here are in the machine build. Custom nichrome and tungsten tips are abandoned in favor of a presumably steel compass tip. The first-draft spring ended up wobbling in the X and Y directions, rather than just moving in the desired Z, so that mechanism got reinforced with aluminum blocks. And finally, the line sensors were easily swamped by the laser’s brightness, so neutral density filters were added to the project.

The result? A nice side effect of the laser-bouncing-off-of-mirror setup is that the minimum resolvable height can be increased simply by moving the line sensors further and further away from the sample, multiplying the deflection by the baseline. Across his kitchen, [stoppi] is easily able to resolve the 35-um height of a PCB’s copper pour. Not bad for junk bin parts, a point from a crafts store, and a line sensor.

If you want to know how far you can push a home AFM project, check out [Dan Berard]’s absolutely classic hack. And once you have microscope images of every individual atom in the house, you’ll, of course, want to print them out.

hackaday.com/2025/03/23/buildi…

Her father:
God does no wrong, and He wanted this to wake people up," he told Children’s Health Defense. "He’s woken us up for sure, to start a better life and come closer to Him.

foxnews.com/health/parents-gir…

In light of the current events in Palestine, a large number of filmmakers have made their films about #Palestine available online for free. In this post, I share with you links to films you can view and share to get the message out to the world:

generazionemagazine.it/una-lis…

Una lista di film sulla Palestina disponibili gratuitamente - Generazione Magazine

In light of the current events in Palestine, a large number of filmmakers have made their films about Palestine available online for free.

^{Redazione Generazione (Generazione Magazine)}