Parliamo di sicurezza dei linguaggi di programmazione. Avete mai sentito dire che esistono linguaggi di programmazione sicuri e altri meno?

Io si, ma mi sono sempre chiesto cosa ciò possa significare in pratica. Credo sia arrivato il momento di scoprirlo assieme.

Per non perderci nei meandri dei linguaggi di programmazione cercherò di concentrarmi solo su una categoria, ovvero su quei linguaggi più adatti allo sviluppo di applicazioni web.

La sicurezza è un aspetto fondamentale nello sviluppo di applicazioni web ed ogni linguaggio ha le proprie caratteristiche e best practice da rispettare per garantire la sicurezza delle applicazioni. Naturalmente non tutti gli aspetti di sicurezza dipendono dal linguaggio di programmazione, è importante anche l’architettura generale del sistema e l’hardware su cui gira, per non parlare poi delle persone che in qualche modo interagiscono col processo di sviluppo. Noi cercheremo però di focalizzare il nostro interesse su quegli aspetti di sicurezza che hanno a che fare col linguaggio di programmazione impiegato o con i framework derivati.

Ci tengo a dire, prima di iniziare, che esistono differenze tra linguaggi intrinsecamente sicuri e best practices per lo sviluppo sicuro, che valgono generalmente per tutti i linguaggi o specificatamente per un linguaggio.

I primi, quelli intrinsecamente sicuri, possiedono delle funzionalità create apposta per impedire il verificarsi di problemi di sicurezza semplificando, in un certo qual modo, la vita al programmatore.

HTML e CSS

Tanto per cominciare, anche se non si tratta propriamente di linguaggi di programmazione, dobbiamo considerare HTML e CSS. Ricordiamo brevemente che HTML significa Hyper Text Markup Language e che serve per strutturare il contenuto delle pagine web mentre CSS significa Cascading Style Sheets e si utilizza per formattare i contenuti delle pagine web e per indicare al browser come questi devono essere visualizzati. In linea di massima HTML e CSS sono sempre in qualche modo impiegati nella realizzazione di applicazioni web ed è importante considerare l’interazione di questi, tra essi e con altri framework e linguaggi.

Per quanto riguarda la sicurezza in HTML e CSS possiamo affermare che trattandosi di linguaggi che si occupano del contenuto dell’applicazione o pagina web è di fondamentale importanza validare e sanificare gli input utente per prevenire attacchi di tipo Cross-Site Scripting e minacce simili. Per migliorare la sicurezza è consigliato l’uso di un layer aggiuntivo chiamato Content Security Policy (CSP). Attraverso le CSP lo sviluppatore può definire quali risorse possono essere caricate dal browser per ogni pagina, attenuando così i rischi di attacchi XSS, Clickjacking e simili.

Python

Uno dei linguaggi più utilizzati per produzione di applicazioni web è Python. In particolare due dei framework più noti che permettono lo sviluppo in Python sono Django e Flask.

Per quanto riguarda Django, ricordiamo che si tratta di un framework web open source per lo sviluppo di applicazioni web con il linguaggio Python. Questo framework è stato progettato per facilitare la creazione di applicazioni web complesse e ad alte prestazioni in modo rapido e semplice. Tra le sue caratteristiche, di rilievo per la sicurezza, vi è la presenza di un sistema di autenticazione e autorizzazione integrato, che supporta la gestione degli utenti, dei permessi e delle sessioni. Inoltre Django ha adottato una architettura chiamata Model-View-Template (MVT) allo scopo di separare logicamente i dati dalla logica di presentazione e dalla logica di controllo, questo è da considerare sicuramente come un vantaggio dal punto di vista della sicurezza.

Questo tipo di architettura riduce i rischi che eventuale codice malevolo venga inserito o eseguito nel contesto errato, per esempio le SQL injection. Grazie all’autoescape automatico anche attacchi XSS possono essere evitati, infatti Django possiede una funzione che converte i caratteri speciali in ingresso, tramite template utente, in testo normale prevenendo così eventuali azioni dannose. I caratteri speciali vengono infatti così convertiti: diventa [code][code]> diventa >& diventa &" diventa &quot.[/code][/code]

Django migliora la protezione da attacchi Cross-Site Request Forgery utilizzando token che assicurano che le richieste provengano da fonti autorizzate.
Flask a differenza di Django è un framework di sviluppo molto leggero che richiede, se necessaria, l’implementazione manuale di molte funzionalità di sicurezza come la protezione CSRF. L’uso di estensioni di sicurezza come Flask-Security può aiutare a rafforzare la protezione dell’applicazione.

Javascript

JavaScript è un linguaggio di programmazione essenziale per lo sviluppo web, utilizzato per creare contenuti dinamici e interattivi nei siti web. Funziona sia lato client, per migliorare l’esperienza utente, che lato server, grazie a runtime come Node.js, permettendo la creazione di applicazioni web scalabili e performanti. Oltre al web, è impiegato nello sviluppo di app mobile, desktop e nell’Internet of Things (IoT).

Per quanto riguarda la sicurezza occorre differenziare tra lato client e lato server.

Per quanto attiene il lato client, il codice viene eseguito nel browser dell’utente, ed è vulnerabile a manipolazioni e attacchi XSS. È dunque di cruciale importanza evitare le injection di codice non sicuro e gestire correttamente i dati provenienti dall’utente.

Con riferimento alla gestione delle vulnerabilità in Javascript, come in altri linguaggi, occorre utilizzare librerie di terze parti verificate e aggiornate, e applicare politiche di sicurezza rigorose come la CSP.

Lato server (Node.js): Evitare l’esecuzione di codice non attendibile e implementare pratiche sicure per la gestione delle dipendenze e la configurazione del server, adottando misure e metodologie atte a garantire che le librerie e i componenti software esterni utilizzati in un progetto non introducano vulnerabilità o problemi di sicurezza.

PHP

PHP (Hypertext Preprocessor) è un linguaggio di scripting lato server ampiamente utilizzato per lo sviluppo web. E’ stato progettato per creare contenuti dinamici e interattivi su pagine web. La sua facilità d’uso, unita a una curva di apprendimento accessibile, ha reso PHP uno dei linguaggi più popolari per lo sviluppo di siti e applicazioni web. E’ particolarmente adatto per la gestione di database, la generazione di pagine HTML dinamiche e l’integrazione con vari sistemi di gestione dei contenuti (CMS) come WordPress, Drupal e Joomla. PHP dispone di un’ampia gamma di librerie e framework, come Laravel e Symfony.

PHP è stato molto criticato per problemi di sicurezza ma ultimamente sono state introdotte funzionalità di sicurezza migliorate. In ogni caso è importante sanificare l’input utente e utilizzare funzioni sicure per le query SQL, per esempio attraverso l’uso di librerie come PHP Data Object, per prevenire SQL injection. E’ inoltre necessario mantenere il server PHP sempre aggiornato e configurare correttamente le impostazioni di sicurezza.

Ruby

Ruby è un linguaggio di programmazione dinamico, interpretato e orientato agli oggetti. Conosciuto per la sua sintassi semplice ed espressiva ed apprezzato per la sua capacità di favorire la produttività degli sviluppatori. Ampiamente utilizzato per lo sviluppo web grazie a framework come Ruby on Rails, che semplifica la creazione di applicazioni web robuste e scalabili. Oltre al web development, Ruby trova applicazione anche nello scripting, nell’automazione dei task e nello sviluppo di applicazioni desktop.

Dal punto di vista sicurezza, Ruby on Rails come framework per lo sviluppo di applicazioni web, fornisce diverse protezioni integrate per prevenire vulnerabilità comuni come XSS (Cross-Site Scripting), SQL injection e CSRF (Cross-Site Request Forgery). Per quanto riguarda XSS vale il concetto di “escaping” automatico dei dati di output, ciò significa che i dati inseriti dagli utenti sono automaticamente filtrati per evitare che codice JavaScript dannoso venga eseguito nel browser. Invece, per prevenire SQL InjectionRails utilizza un ORM (Object-Relational Mapping) chiamato ActiveRecord che automatizza la generazione di query SQL parametrizzate. In questo modo previene efficacemente l’SQL injection, in quanto i parametri delle query vengono trattati separatamente dai comandi SQL, evitando l’inserimento di codice SQL dannoso direttamente nelle query. In merito ad attacchi di tipo CSRF (Cross-Site Request Forgery), Rails implementa l’uso di token CSRF generati automaticamente. Questi token vengono inclusi in ogni form e richiesta AJAX generata da Rails. Il framework verifica che il token CSRF inviato corrisponda a quello generato dal server, impedendo così che le richieste provenienti da siti esterni non autorizzati siano eseguite.

Un ulteriore meccanismo di sicurezza, chiamato “Strong Parameters“, è stato introdotto in Rails per controllare quali parametri sono accettabili. Questo aiuta a prevenire l’inserimento di dati non desiderati o malevoli attraverso le richieste HTTP.

Java

Java è un linguaggio di programmazione ad alto livello, orientato agli oggetti e fortemente tipizzato, creato negli anni ’90. È uno dei linguaggi più popolari e diffusi nel mondo dello sviluppo software, grazie alla sua portabilità, alla robustezza del suo sistema di tipizzazione e alla sua ampia adozione sia in ambito enterprise sia nel settore delle applicazioni desktop e mobili. Java è molto conosciuto anche grazie alla sua virtual machine (JVM) che consente l’esecuzione del codice Java su diverse piattaforme senza la necessità di doverlo ricompilare. Oltre alla libreria standard, esiste un vasto ecosistema di framework e strumenti di sviluppo, come Spring Framework, che semplificano la creazione di applicazioni scalabili e robuste per il web e altri contesti.

Per quanto riguarda gli aspetti di sicurezza, Spring Security è un modulo potente per gestire autenticazione e autorizzazione, offrendo protezione contro CSRF e altre minacce.

L’uso di Java e dei suoi framework richiede una gestione accurata della configurazione per prevenire l’accesso non autorizzato e la divulgazione di dati sensibili. Mantenere aggiornato l’ambiente di runtime (JVM) e il framework stesso è cruciale per evitare vulnerabilità note.

C# (C Sharp)

C# è un linguaggio di programmazione sviluppato da Microsoft nel 2000 come parte della piattaforma .NET. Si tratta di un linguaggio orientato agli oggetti, fortemente tipizzato e progettato per essere robusto, sicuro e adatto allo sviluppo di una vasta gamma di applicazioni tra cui siti e applicazioni Web.

C# combina elementi presi da C, C++ e Java, offrendo una sintassi moderna e intuitiva che facilita lo sviluppo di software complesso. È noto per la sua affidabilità, prestazioni elevate e per il supporto integrato per il garbage collection, che semplifica la gestione della memoria. C# è ampiamente utilizzato per lo sviluppo di applicazioni desktop Windows, applicazioni web tramite ASP.NET, applicazioni mobile con Xamarin e una varietà di altre soluzioni basate sulla piattaforma .NET, comprese le applicazioni cloud con Azure. Grazie alla sua interoperabilità con altre tecnologie Microsoft e alla sua continua evoluzione attraverso il framework .NET Core e .NET 5 e successivi, C# continua a essere una scelta popolare tra gli sviluppatori per la creazione di software robusto e scalabile.

In particolare, parlando di sicurezza nello sviluppo di applicazioni Web con ASP.NET occorre dire che offre strumenti avanzati per la protezione contro attacchi XSS, CSRF e SQL injection. Tra questi ASP.NET Identity per gestire in modo sicuro l’autenticazione e l’autorizzazione degli utenti.

Stiliamo una graduatoria di sicurezza

Per riassumere, se dovessi stilare una graduatoria tra i differenti sistemi analizzati (seppur molto sommariamente) attribuendo punteggi da 0 a 10, direi che:

1. Java: 10. Ottima sicurezza intrinseca, gestione robusta della memoria e forte tipizzazione. Framework come Spring Security offrono protezioni avanzate contro molte vulnerabilità comuni.
2. Ruby (Ruby on Rails): 9. Fornisce protezioni integrate contro XSS, SQL injection e CSRF grazie a meccanismi come ActiveRecord e i token CSRF generati automaticamente.
3. C# (ASP.NET): 9. ASP.NET offre strumenti avanzati per la protezione contro attacchi XSS, CSRF e SQL injection, inclusi meccanismi come ASP.NET Identity e l’implementazione automatica di token CSRF.
4. Python (Django): 8. Include una serie di misure di sicurezza come il sistema di autenticazione integrato, il supporto per template sicuri e la gestione delle sessioni.
5. PHP: 7. Ha migliorato significativamente la sua sicurezza nel corso degli anni, ma richiede attenzione nella gestione delle query SQL e nella validazione degli input per prevenire SQL injection e altre vulnerabilità comuni.
6. JavaScript: 6. E’ vulnerabile agli attacchi XSS, soprattutto quando eseguito lato client. L’uso di librerie di terze parti e politiche di sicurezza come CSP sono fondamentali per mitigare questi rischi.
7. Python (Flask): 6. E’ un framework più leggero rispetto a Django e richiede una maggiore implementazione manuale di funzionalità di sicurezza come la protezione CSRF. L’uso di estensioni come Flask-Security può migliorare la sicurezza dell’applicazione.
8. HTML e CSS: 5. Pur essendo essenziali per la strutturazione e la presentazione delle pagine web, HTML e CSS non offrono nativamente meccanismi di sicurezza avanzati. La sanitizzazione degli input è cruciale per prevenire attacchi XSS.

E’ ovvio che questa graduatoria si basa su considerazioni generali e non esclude la possibilità che, rispettando le best practices dei differenti linguaggi e framework e con le corrette configurazioni, tutti questi linguaggi possano essere utilizzati in modo sicuro per lo sviluppo di applicazioni web.

Consigli Generali sulla Sicurezza

Nei paragrafi precedenti abbiamo visto alcune caratteristiche di sicurezza dei linguaggi di programmazione più utilizzati in ambito sviluppo di applicazioni Web. Non dobbiamo però mai dimenticare, nonostante gli aiuti diretti dei linguaggi di programmazione, di applicare sempre e comunque le best practices per lo sviluppo sicuro, brevemente riassunte qui sotto:

• Aggiornamenti: Mantenere sempre aggiornato il software, inclusi i linguaggi di programmazione, framework e librerie.
• Input Sanitation: Validare e sanificare tutti i dati in ingresso per prevenire iniezioni di codice.
• Autenticazione e Autorizzazione: Implementare meccanismi robusti per garantire che solo gli utenti autorizzati possano accedere a determinate funzionalità.
• Crittografia: Utilizzare protocolli di crittografia per proteggere i dati in transito e a riposo.
• Log e Monitoraggio: Tenere traccia delle attività sospette e monitorare l’integrità del sistema.

Per finire, programmare è anche una questione di collaborazione e buonsenso.

Scrivere e leggere il codice da soli non è bene. Occorre scrivere il codice, commentarlo, e farlo leggere e revisionare ad un altro programmatore.

Ricordiamo sempre il detto: quattro occhi vedono meglio di due!

L'articolo Sicurezza dei Linguaggi di Programmazione: Qual è il Più Sicuro per le Tue App Web? proviene da il blog della sicurezza informatica.

I moderni processori Intel, comprese le CPU delle generazioni Raptor Lake e Alder Lake (cioè le 12a e 13a generazione di processori Intel “Core”), sono vulnerabili a un nuovo attacco Branch Target Injection (BTI) ad alta precisione chiamato “Indirector”.

Scoperto dai ricercatori Luyi Li, Hosein Yavarzadeh e Dean Tullsen dell’Università della California di San Diego, Indirector sfrutta le vulnerabilità nell’Indirect Branch Predictor (IBP) e nel Branch Target Buffer (BTB), due componenti critici delle CPU Intel, per manipolare l’esecuzione speculativa e rubare informazioni sensibili. Questo attacco rappresenta una significativa minaccia alla sicurezza, aggirando le difese esistenti. I dettagli completi saranno presentati al prossimo USENIX Security Symposium nell’agosto 2024.

BTI

Gli attacchi Branch Target Injection (BTI) sfruttano le caratteristiche delle moderne CPU per reindirizzare il flusso di controllo di un programma, basandosi sul funzionamento della branch prediction. La branch prediction, utile a migliorare le prestazioni della CPU, è una tecnica utilizzata da queste ultime per prevedere la direzione che prenderà il flusso di esecuzione di un programma, migliorando così l’efficienza.

Quando la CPU incontra un’istruzione di ramo (come una condizione IF), deve decidere quale percorso seguire prima di conoscere il risultato dell’istruzione. Per evitare di rimanere inattiva, la CPU predice il risultato e continua l’esecuzione speculativa lungo il percorso previsto.

Esempi di BTI nella vulnerabilità SPECTRE

Componenti della Branch Prediction:

1. Branch Target Buffer (BTB): Utilizzato per prevedere gli indirizzi di destinazione dei rami diretti (cioè, le istruzioni di salto che hanno una destinazione fissa).
2. Return Stack Buffer (RSB): Utilizzato per gestire le chiamate di funzione e i relativi ritorni.
3. Indirect Branch Predictor (IBP): Progetta per prevedere gli indirizzi di destinazione dei rami indiretti, ovvero quei salti il cui indirizzo di destinazione non è noto a priori e deve essere calcolato durante l’esecuzione.

Dettagli della violazione

Gli attacchi BTI sfruttano queste tecniche di branch prediction per eseguire codice speculativo, che è una forma di esecuzione in cui la CPU tenta di prevedere i prossimi passi di un programma. Gli attacchi come Spectre e Meltdown [1] hanno dimostrato che queste esecuzioni speculative possono essere manipolate per accedere a dati sensibili.

Gli attacchi BTI mettono in luce vulnerabilità fondamentali nella progettazione delle CPU moderne, sfruttando l’interazione tra branch prediction ed esecuzione speculativa. Anche con difese come l’Indirect Branch Predictor Barrier (IBPB) e altre mitigazioni, esistono ancora vettori di attacco che possono essere utilizzati per compromettere la sicurezza dei processori.

Gli attacchi come Spectre (CVE-2017-5753 e CVE-2017-5715) e Meltdown (CVE-2017-5754) hanno mostrato che è possibile indurre la CPU a eseguire operazioni che portano alla divulgazione non autorizzata di informazioni sensibili attraverso esecuzioni speculative, evidenziando la necessità di miglioramenti continui nelle tecniche di mitigazione e nella progettazione hardware delle CPU.

Indirector e Nuovi Vettori di Attacco

Il nuovo attacco, denominato Indirector, sfrutta vulnerabilità specifiche dell’IBP per eseguire attacchi precisi e mirati, ignorando le difese esistenti. I principali meccanismi utilizzati includono:

1. iBranch Locator: Uno strumento che utilizza tecniche per identificare gli indici e i tag dei rami indiretti, permettendo di localizzare esattamente le voci IBP pertinenti.
2. Iniezioni IBP/BTB: Manipolazioni delle strutture di previsione per eseguire codice speculativo.
3. Bypass ASLR: Tecniche che aggirano la randomizzazione del layout dello spazio degli indirizzi (ASLR), facilitando l’accesso e la manipolazione del flusso di controllo dei processi protetti.

L’attacco Indirector evidenzia come le moderne CPU Intel, tra cui Raptor Lake e Alder Lake, siano vulnerabili a queste tecniche di BTI. Questo attacco potrebbe essere sfruttato per divulgare informazioni sensibili dai processori. La ricerca suggerisce che, nonostante le difese implementate dopo Spectre e Meltdown, esistono ancora vulnerabilità che possono essere sfruttate per compromettere la sicurezza delle CPU.

Misure di Mitigazione

Per mitigare questi attacchi, è possibile utilizzare barriere come l’**Indirect Branch Predictor Barrier (IBPB)** e di rafforzare la progettazione dell’unità di branch prediction (BPU) con tag più complessi, crittografia e randomizzazione.

L’IBPB è una misura di sicurezza che invalida le predizioni dei rami indiretti durante i cambi di contesto, come il passaggio da un utente all’altro. Su Linux, l’IBPB è attivato automaticamente durante le transizioni alla modalità SECCOMP (un meccanismo di sandboxing) o durante attività con rami indiretti limitati nel kernel. Tuttavia, l’uso frequente di IBPB può causare un calo delle prestazioni fino al 50%, rendendone difficile l’implementazione aggressiva in ambienti che richiedono alte prestazioni, come browser o sandbox.

Per mitigare ulteriormente gli attacchi, dovrebbe essere migliorata la progettazione della BPU. Intel ha già introdotto campi come Core-ID e Privilege Level nella progettazione del loro Indirect Branch Predictor (IBP) per prevenire aliasing tra rami indiretti eseguiti su diversi core o a diversi livelli di privilegio. Tuttavia, i ricercatori propongono di integrare tag più complessi, crittografia e randomizzazione nelle future progettazioni della BPU per fornire un isolamento più fine tra diversi domini di sicurezza, riducendo così la superficie di attacco.

Conclusioni

Gli attacchi BTI come Indirector mostrano la continua evoluzione delle tecniche di attacco contro le CPU moderne. Nonostante le misure di sicurezza implementate, la complessità e la sofisticatezza delle CPU moderne offrono ancora vettori di attacco che richiedono ulteriori ricerche e miglioramenti nelle difese hardware e software. Le vulnerabilità side-channel possono diventare minacce persistenti se non opportunatamente patchate e studiate, lasciando spazio ad un alto numero di bersagli vulnerabili agli attaccanti.

L'articolo CPU Intel Vulnerabili! Nuovo Attacco “Indirector” Minaccia Rileva Dati Sensibili proviene da il blog della sicurezza informatica.

At Hackaday, we comb the world of tech in search of good things to bring you. Today’s search brought up something very familiar, [Jazzy Jane] has an Advance E1 tube signal generator, the same model as the unit on the shelf above where this is being written. It’s new to her, so she’s giving it a teardown and fixing any safety issues before powering it on.

For a 70+ year old unit, the quality of these instruments was such that they remain useful and reliable to this day. Unsurprisingly a few things need looking at, such as an aged mains lead and a pair of filter caps in the power supply which haven’t aged well. These parts failed on the E1 here too, and while she’s taking the time to order appropriate replacements we have to admit to being cheapskates and robbing parts with an appropriate working voltage for ours from a nearby PC power supply.

Where this one becomes rather interesting is in an extra switch and socket. It’s a wafer switch with a load of capacitors, and the best guess is it provides some adjustability for the inbuilt audio oscillator which had a fixed frequency on stock models. This is part one of a series though, so we’re looking forward to finding out its purpose in the next installment. Take a look at the video below the break, and if that’s not enough, we seem to have had more than one piece of vintage British test equipment here of late.

youtube.com/embed/9qbQV58ECMI?…

USB drives are incredibly useful, both storing files for transport between different computers and for creating bootable drives that let us use or install other operating systems on our computers. While online file storage systems like Dropbox and Google Drive have taken over a large percentage of the former task from USB drives, they have not been able to act as bootable media, ensuring that each of us have a few jump drives lying around. That might not be the case anymore, though, as this guide is the first we know of to be able to use Google Drive to boot to a Linux system.

Unlike the tried-and-true jump drive methods, however, this process is not straightforward at all. It relies on two keys, the first of which is FUSE which allows a filesystem to be created in userspace. The second is exploiting a step in boot process of Linux systems where the kernel unpacks a temporary filesystem, called initramfs, in order to load the real filesystem. Normally a user doesn’t interact much with this step, but that doesn’t mean it’s impossible. A tool called dracut allows using an existing Linux installation to build a custom initramfs and in this case, the custom initramfs is built to include the proper support for both networking and FUSE.

The proof of concept in this demonstration originally ran in a container, using an existing project called google-drive-ocamlfuse to interact with Google Drive itself. From there, after sorting out some issues with root access, networking, malfunctioning symlinks, and various timeouts on the (perhaps predictably) slow system, the whole contraption was moved over to a laptop so it could be tested on real hardware. Everything runs, and although the original creator of this behemoth admits it is a bit “silly” they note that there may be some real-world use cases for something like this. We still won’t expect everyone to throw out their jump drives anytime soon, though. If you’re not feeling like your Linux skills are up to the challenge of something like this, we’d recommend you start with our own [Al Williams]’s Linux Fu series.

Most 3D printer filament soaks up water from the air, and when it does, the water passing through the extruder nozzle can expand, bubble, and pop, causing all kinds of mayhem and unwanted effects in the print. This is why reels come vacuum sealed. Some people 3D print so much that they consume a full roll before it can soak up water and start to display these effects. Others live in dry climates and don’t have to worry about humidity. But the rest of us require a solution. To date, that solution has been filament driers, which are heated elements in a small reel-sized box, or for the adventurous an oven put at a very specific temperature until the reel melts and coats the inside of the oven. The downside to this method is that it’s a broad stroke that takes many hours to accomplish, and it’s inefficient because one may not use the whole roll before it gets soaked again.

In much the same way that instant water heaters exist to eliminate the need for a water heater, [3DPI67] has a solution to this problem, and it involves passing the filament through a small chamber with a heating element and fan circulating air. The length of the chamber is important, as is the printing speed, since the filament needs to have enough time in the improvised sauna to sweat out all its water weight. The temperature of the chamber can’t get above the glass transition temperature of the filament, either, which is another limiting factor for the dryer. [3DPI67] wrote up a small article on his improvised instant filament heater in addition to the video.

So far, only TPU has been tested with this method, but it looks promising. Some have suggested a larger chamber with loops of filament so that more can be exposed for longer. There’s lots of room for innovation, and it seems some math might be in order to determine the limits and optimizations of this method, but we’re excited to see the results.

youtube.com/embed/9ldRN2B4iJY?…

Una significativa violazione dei dati ha coinvolto il Ministero della Giustizia e dei Diritti Umani (Kemenkumham) in Indonesia.

Secondo un post su un forum di hacker, un attore di minacce sotto lo pseudonimo “Guzmanloeraxxx” ha presumibilmente divulgato le credenziali di accesso email dei dipendenti di Kemenkumham. Questa violazione se confermata comporterebbe seri rischi per la sicurezza nazionale e la fiducia pubblica.

Attualmente, non siamo in grado di confermare con precisione l’accuratezza delle informazioni riportate, poiché non è stato rilasciato alcun comunicato stampa ufficiale sul sito web riguardante l’incidente.

Kemenkumham

Kemenkumham, abbreviazione di Kementerian Hukum dan Hak Asasi Manusia, è il Ministero della Giustizia e dei Diritti Umani della Repubblica dell’Indonesia. Questo ministero è responsabile della gestione degli affari legali e dei diritti umani nel paese.

Dettagli della possibile Violazione

Entità Coinvolta:

• Ministero della Giustizia e dei Diritti Umani (Kemenkumham)

Dati Compromessi:

• Credenziali di accesso email, inclusi nomi utente e password

Rischi Potenziali:

• Accesso non autorizzato a comunicazioni sensibili
• Manipolazione dei dati
• Furto di identità
• Potenziale abuso per attività dannose di vario tipo

L’Impatto

I dati divulgati consentono l’accesso agli account email ufficiali utilizzati dai dipendenti di Kemenkumham, potenzialmente compromettendo informazioni sensibili del governo. Individui non autorizzati potrebbero sfruttare queste informazioni per accedere a comunicazioni riservate e manipolare dati, portando al furto di identità e altre attività dannose.

La violazione evidenzia gravi vulnerabilità di sicurezza nei sistemi del ministero, sottolineando la necessità di misure immediate e robuste di cybersicurezza. I rischi associati a questa violazione sono ampi, incluso il potenziale per gli attaccanti di accedere a comunicazioni interne e ad altri dati sensibili, che potrebbero impattare la sicurezza nazionale e minare la fiducia pubblica nelle istituzioni governative.

Cosa Significa

Le implicazioni di questa violazione sono significative. L’accesso non autorizzato agli account email ufficiali potrebbe portare a:

• Fughe di informazioni sensibili
• Potenziale spionaggio
• Manipolazione dei dati governativi
• Furto di identità che coinvolge dipendenti governativi e persone associate

In risposta a questa violazione, è cruciale che Kemenkumham conduca un’indagine approfondita e implementi protocolli di sicurezza stringenti per prevenire futuri incidenti. Le azioni immediate dovrebbero includere il cambiamento di tutte le password compromesse, il miglioramento delle misure di sicurezza delle email e il monitoraggio di eventuali tentativi di accesso non autorizzati.

Questo incidente se confermato mostra ancora una volta ll’importanza della cybersicurezza nella protezione delle informazioni sensibili del governo e nel mantenimento dell’integrità delle istituzioni pubbliche.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC Dark Lab monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Possibile compromissione di Dati: Credenziali appartenenti a Kemenkumham sul darkweb proviene da il blog della sicurezza informatica.

It’s official: [Engineer Bo] wins the internet with a video titled “Finding NEMA 17,” wherein he builds a dynamometer to find the best stepper motor in the popular NEMA 17 frame size.

Like a lot of subjective questions, the only correct answer to which stepper is best is, “It depends,” and [Bo] certainly has that in mind while gathering the data needed to construct torque-speed curves for five samples of NEMA 17 motors using his homebrew dyno. The dyno itself is pretty cool, with a bicycle disc brake to provide drag, a load cell to measure braking force, and an optical encoder to measure the rotation of the motor under test. The selected motors represent a cross-section of what’s commonly available today, some of which appear in big-name 3D printers and other common applications.

[Bo] tested each motor with two different drivers: the TMC2209 silent driver to start with, and because he released the Magic Smoke from those, the higher current TB6600 module. The difference between the two drivers was striking, with lower torque and top speeds for the same settings on each motor using the TB6600, as well as more variability in the data. Motors did better across the board with the TBC6600 at 24 volts, showing improved torque at higher speeds, and slightly higher top speeds. He also tested the effect of microstepping on torque using the TBC6600 and found that using full steps resulted in higher torque across a greater speed range.

At the end of the day, it seems as if these tests say more about the driver than they do about any of the motors tested. Perhaps the lesson here is to match the motor to the driver in light of what the application will be. Regardless, it’s a nice piece of work, and we really appreciate the dyno design to boot — reminds us of a scaled-down version of the one [Jeremey Fielding] demonstrated a few years back.

youtube.com/embed/MNTuMiNC2TU?…

The Parkside range of tools as sold in European Lidl stores may be reasonably priced, but it contains some products of far better quality than their modest cost would suggest. This means that Parkside hacking has become as much of a cottage industry as IKEA hacking, and they’re a firm favorite for modifications. [Gabriel-LG] has taken a Parkside robot mower, and converted it from a relatively mundane device to a fully-connected smart robot, with the aid of an ESP32.

The hardware is surprisingly simple, as all that’s really needed is a stop/go command. This can be readily found by hooking up to the input from the mower’s rain sensor, allowing the ESP to control its operation. Then there’s an accelerometer to allow it to count motion, and a hookup tot he battery to measure voltage. The firmware uses ESPHome, resulting in a mower now connected to home automation.

This isn’t the first time we’ve shown you someone upgrading the smarts on robot mover, and of course we’ve also taken a tour through the history of lawn mowers in general.

Cisco sta risolvendo una vulnerabilità di command injection zero-day in NX-OS. Ad aprile, questo bug è stato sfruttato dal gruppo di hacker di spionaggio informatico legato alla Cina Velvet Ant, installando malware con diritti di root sugli switch vulnerabili.

La vulnerabilità è stata identificata come CVE-2024-20399 colpisce l’interfaccia della riga di comando di NX-OS, consentendo a un utente malintenzionato locale di eseguire comandi arbitrari con diritti di root.

“Questa vulnerabilità è dovuta alla convalida errata degli argomenti passati a determinati comandi di configurazione della CLI. Un utente malintenzionato potrebbe sfruttare la vulnerabilità utilizzando i dati modificati come argomento per un comando CLI vulnerabile“, ha affermato Cisco.

Si sottolinea che per sfruttare con successo questo bug, l’aggressore dovrà prima autenticarsi come amministratore sul dispositivo vulnerabile. Il CVE-2024-20399 interessa gli switch Cisco MDS 9000, Nexus 3000, Nexus 5500, Nexus 5600, Nexus 6000, Nexus 7000 e Nexus 9000. Versioni firmware aggiornate sono attualmente disponibili per tutti i dispositivi.

Il rapporto dell’azienda rileva inoltre che Cisco è a conoscenza dello sfruttamento di questo problema nell’aprile 2024. Inizialmente la vulnerabilità e i relativi attacchi sono stati scoperti dagli specialisti della società di sicurezza informatica Sygnia, i quali sottolineano che questa attività era collegata allo spionaggio informatico e al gruppo di hacker cinese Velvet Ant.

Ricordiamo che il mese scorso i ricercatori di Sygnia avevano avvertito che Velvet Ant installava da molti anni malware personalizzati sui dispositivi F5 BIG-IP per ottenere un accesso costante alla rete interna dell’azienda presa di mira e rubare dati.

Come è ormai noto, il gruppo di hacker ha utilizzato un bug di Cisco NX-OS per lanciare malware precedentemente sconosciuti su dispositivi vulnerabili, connettersi ad essi da remoto, scaricare file aggiuntivi ed eseguire codice.

“Dato che la maggior parte degli switch Nexus non hanno accesso diretto a Internet, per sfruttare questa vulnerabilità, gli hacker devono prima ottenere l’accesso alla rete interna di un’organizzazione. Di conseguenza, il rischio complessivo per le organizzazioni è ridotto a causa delle difficoltà legate all’ottenimento dell’accesso necessario”, scrivono i ricercatori di Sygnia.

Tuttavia, l’azienda ha anche osservato che, nonostante le difficoltà nello sfruttare vulnerabilità come CVE-2024-20399, gruppi come Velvet Ant utilizzano solitamente dispositivi di rete scarsamente protetti per garantire un accesso costante agli ambienti aziendali.

L'articolo Cisco Risolve Vulnerabilità 0Day in NX-OS. Gli Hacker Cinesi di Velvet Ant la sfruttavano da Aprile proviene da il blog della sicurezza informatica.

Eccoci qui. Dopo aver trascorso gli ultimi anni leggendo tra il fediverso e il web alternativo, ho deciso di creare il mio posto dove le persone orientate alla libertà possano discutere di libertà nell'informatica e nella società. Lo scopo generale è ricreare le vibrazioni familiari dell'era BBS mettendo insieme strumenti vecchi e moderni, da IRC a Mastodon. Ecco dove spiego tutto:

- [ENG] dmi.unict.it/nfarceri/articles…
- [ITA] dmi.unict.it/nfarceri/articles…

Benvenuti a casa... vostra!

Questo è il primo articolo di questo sito, dove vengono introdotti gli scopi del sito stesso. In sintesi, il sito ha lo scopo di ricreare il feeling familiare e comunitario delle BBS degli anni '80 e '90 aggregando insieme più strumenti, vecchi e mod…

^{www.dmi.unict.it}

Throughout history, clean and potable water has been one of the most prized possessions, without which no human civilization could have ever sustained itself. Not only is water crucial for drinking and food preparation, but also for agriculture, cleaning and the production of countless materials, chemicals and much more. And this isn’t a modern problem: good water supplies and the most successful ancient cultures go hand in hand.

For instance, the retention and management of fresh water in reservoirs played a major role in the Khmer Empire, with many of its reservoirs (baray) surviving to today. Similarly, the Anuradhapure Kingdom in Ceylon (now Sri Lanka) featured massive reservoirs like Kala Wewa that was constructed in 460 CE with a capacity of 123 million m3. In the New World, the Maya civilization similarly created reservoirs with intricate canals to capture rainwater before the dry season started, as due to the karst landscape wells were not possible.

Keeping this water fresh and free from contaminants and pollution was a major problem for especially the Maya, with a recent perspective by Lisa J. Lucera in PNAS Anthropology suggesting that they used an approach similar to modern day constructed wetlands to keep disease and illness at bay, while earlier discoveries also suggest the use of filtration including the use of zeolite.

Resource Management

In climates where rainfall is plentiful, and where wells can fill in gaps, extensive water management is not a major concern. This is where the civilizations of Mesoamerica provide good illustrations of the effects this can have on societies, with the Aztec and Inca using aqueducts to bring mountain spring water to their cities, while the Maya in their region with a karst topography had to capture every drop of rainwater before it would vanish within the hollowed-out structures that are a distinctive feature of these soluble carbonate rock landscapes.

This meant that the only time when the Maya could refill their reservoirs was when it rained, which also placed significant restrictions on how much water would be available to any population. It is postulated that it was a drought and reservoir pollution led to the eventual abandonment of the Mayan city of Tikal (ti ak’al in Yucatac Maya, but Yax Mutal (‘First Mutal’) according to inscriptions within the city) after the Late Classic Period (~900 CE). This preceded the Terminal Classic period, during which much of the lowlands were abandoned.

There is strong palaeoclimatological evidence for a sustained drought between 800 – 1000 CE (likely related to the Medieval Warm Period) in and around the Yucatán Peninsula, coinciding when archeological evidence shows a reduced human presence in these lowlands by the Maya. It’s thought that these droughts coincided with epidemic diseases in combination with dense populations and intensification of agriculture with associated ecological destruction. The post-classical Maya period featured far less dense cities, and despite the often used term of ‘Classic Maya Collapse’, Mayan society was only regionally affected and persists to this day, despite efforts by European invaders and associated occupation over the centuries.

Filtration

Hypothetical scheme of the ancient water purification system at Tikal. Macro-crystalline quartz crystal sand and zeolite filtration system positioned just upstream of, or within the reservoir ingress. (Credit: Kenneth Barnett Tankersley et al, 2020, Scientific Reports)
Water filtration is something that happens not just with man-made structures and mechanisms, as anyone who uses water from springs and wells uses knows. The granular structure of soil serves to filter out larger and smaller contaminants as well as bacteria and other potential disease carriers. This same principle can be applied with artificial water filtration systems, with the Corriental water reservoir at the city of Tikal providing evidence that the Mayans even used the zeolite mineral for its water purification properties.

This was discovered by Kenneth Barnett Tankersley and colleagues, and published in 2020 in the journal Scientific Reports. They discovered that the water in this reservoir was filtered through a mixture of zeolite and coarse crystalline quartz. Zeolite is interesting, as it has adsorbent and ion-exchange properties which make it a popular choice even today for water purification to the point where most zeolite is synthesized for this and other purposes.

As for whether this extensive filtration in Mayan reservoirs was common is unknown, as the authors succinctly point out that the number of excavations of these reservoirs is quite limited. The presence of zeolite would have significantly helped with filtering out contamination from microbial sources like cyanobacteria and toxins such as cinnabar. The latter is both a historically common brilliant red pigment as well as a good source of toxic mercury due to its mercury sulfide composition. Unfortunately this kind of filter does not help against mercury from volcanic sources due to its very small particle size, meaning that this type of contamination would have built up over the years in reservoirs.

Circle Of Life

LiDAR map of Tikal highlighting some of its reservoirs. LiDAR-derived hillshade image created by Francisco Estrada-Belli of the PAQUNAM LiDAR Initiative with additions by Christopher Carr and Nicholas Dunning.
The term ‘constructed wetland‘ pretty much gives away the concept: these create an artificial wetland ecosystem where plant and often also animal life work to treat sewage, greywater, stormwater runoff, and wastewater in general. They provide both a filtration function and a remediation one, with the vegetation along with microbial life serving to break down and process excess elements, while maintaining a healthy pH and nutrient levels.

In the mostly stagnant water reservoirs which the Maya maintained, preventing the build-up of organisms and harmful pollutants was essential, leading to likely extensive use of aquatic plants in these reservoirs. This is reflected in the headdresses, architecture and other elements of Mayan culture where the clean water-loving water lily (nymphaea ampla) is prominently displayed and associated with prosperity and the leadership.

Likely many different aquatic plants were used in combination with water lilies, along with various types of fish. This would have helped to deal with pests like mosquitoes and their aquatic offspring, reduce evaporation and creating a self-sustaining cycle where the waste from the fish would have provided nutrients for the plants, who themselves would have provided shade and food for these fish. Settlement maps show that the Maya did not generally build residences near the reservoirs, likely keeping human waste run-off to a minimum.

This healthy system did however begin to break down during the Late and Terminal Classic period, with the sediment record showing a gradual increase in contamination from cyanobacteria and human waste. This gives a sobering insight into the final years of the city of Tikal and areas like it that got hit worst by the drought.

Lessons For Today

Although we often like to regard droughts and access to potable water as historical problems, even today one in four humans does not have access to safe drinking water, with unsafe water being responsible for about a million deaths each year. Unsafe water can include water that is contaminated with infectious diseases such as cholera, with much of Africa and Asian countries like India heavily affected in this manner, but even wealthy countries like the US seeing its share of drinking water contamination incidents, with that of Flint, Michigan, being just one of many.

Such forms of contamination and lack of access to safe drinking water are obviously issues that ought to be resolved and prevented as well as possible once the cause has been determined. These days we don’t necessarily have to rely on constructed wetlands courtesy of modern technology, but they could be very beneficial as a self-sustaining water purification system.

As the US Geological Survey (USGS) points out, we are dealing with increasing drought since 2000 as well. This doesn’t merely translate into less rain, but also the rain and melting patterns, not to mention the availability of groundwater. This becomes apparent in periods of extreme drought interrupted by extreme rain accompanied with floods. As this makes water availability less predictable for drinking water and agriculture, the creation of reservoirs may be advisable, both to reduce the impact of floods and as buffers for dry periods.

Today we have many reservoirs that were formed due to dams blocking the course of rivers, but something similar could be done for rainwater, not unlike historical cisterns that once used to be extensively used throughout the world, like the famous Basilica Cistern below the city of Istanbul. It’s perhaps ironic that many of such cisterns were abandoned over the years, even as the need for them becomes more apparent today.

How do you talk USB Power Delivery (PD)? Grab a PHY? Use a MCU with one built-in? Well, if you’re hardcore enough, you can do it with just a few resistors and GPIOs. [eeucalyptus] shows you their implementation of USB-PD on a CH32V003, which has no PD peripheral, building a PD trigger, everything is open source, and they walk you through the entire thing including low-level PD basics, too!

It helps that CH32V003 is a 32-bit MCU with a good few resources and peripherals, for instance, an internal comparator. Other than that, you don’t need much in terms of hardware resources, but you do need a steady hand — parts of the firmware had to be written in assembly to keep up with PD timing. Want to tinker with the fruit of this research, perhaps, further build upon the code? There’s an example board on GitHub, too!

Want to try your own luck with this method? There’s a schematic, and logic analyzer captures, and a board to refer to. Again, more than enough information on every single low-level detail! Otherwise, grab an MCU pre-programmed to talk PD, maybe a trigger board chip, or maybe even a PD PHY and implement PD communications with it directly – it’s pretty easy!

We thank [Julianna] for sharing this with us!

Image by [MakerM0] via Hackaday.IO[MakerM0]’s LangCard is an entry into our 2024 Business Card Challenge that just so happens to fit the Keebin’ bill as well.

You might label this a pocket cyberdeck, and that’s just fine with me. The idea here is to have a full-keyboard development board for learning programming languages like CircuitPython, MicroPython, C++, and so on, wherever [MakerM0] happens to be at a given moment.

Open up the LangCard and you’ll find an RP2040 and a slim LiPo battery. I’m not sure what display that is, but there are probably a few that would work just fine were you to make one of these fun learning devices for yourself.

Calling All Tiny Keyboard Makers!

Image by [sporewoh] via KBDIt seems that [sporewoh], who has been featured here before for building magnificent tiny keyboards, is holding a tiny keyboard design contest, which is being sponsored by PCBWay.

All the rules and such are available over on GitHub. Basically, you need to create a new design, publish the open-source design somewhere along with the source files, and, ideally, build a functional prototype. Entries are made official by sharing in the appropriate channel of [sporewoh]’s Discord.

Entries will be scored on novelty and innovation, size/portability, viability, reproducibility, and presentation. Submissions aren’t due until September 10th, so you have a bit of time to really think about what you’re going to do. The prizes include PCBWay credits as well as kits designed by [sporewoh]. How small can you go and still be able to type at least 20 WPM? That’s a requirement, by the way.

The Centerfold: It’s a Tasty Snacks Board

That’s right; we’ve got a gallery this time. I simply couldn’t decide which picture best conveyed the deliciousness of this thing. I mean, the first shot is a good thought, but you really don’t get right away that it’s a Ring Pop knob, and that’s vitally important information.

Anyway, this is a Le Chiffre that has been quite smoothly 3D-printed in marble filament. [CattiDaddi] says they got that by using a matte print bed. I wish I knew what keycaps those are, because that is a sneaky typeface they have going.

Do you rock a sweet set of peripherals on a screamin’ desk pad? Send me a picture along with your handle and all the gory details, and you could be featured here!

Historical Clackers: the Forgotten History of Chinese Keyboards

The IPX keyboard. Image via IEEE Spectrum
Here is quite an interesting bit of history as it relates to China’s ability to survive the ravages of time, which pivots on their use of character-based script.

The story begins with a talk that took place decades ago, and follows the path of one audience member who came to change the course of Chinese keyboard history — a Taiwanese cadet named Chan-hui Yeh.

After graduating with a B.S. in electrical engineering, Yeh went on to earn an M.S. in nuclear engineering and a Ph.D. in electrical engineering. He then joined IBM, although it wasn’t to revolutionize Chinese text technologies; he was helping to develop computational simulations for large-scale manufacturing plants. But the talk stuck with him.

Yeh eventually quit his job and developed the IPX keyboard, which had 160 main keys with 15 characters each. A daughter keyboard was used to choose the character on a given key, and there were nearly 120 levels of “Shift” to change all the 160 keys’ character assignments.

See that picture with the spiral-bound book? The 160 keys are underneath the book, and the user presses the pages to access the pressure pads beneath. The booklets had up to eight pages, each with 2,400 characters. The total number of potential symbols was just under 20,000.

The IPX keyboard is just the first of three interesting inputs described within this history. You owe it to yourself to devote time to reading this one.

Thanks to [juju] for sending this in!

ICYMI: One-Handed Keyboard Does It Without Chording

Image by [Dylan Turner] via Hackaday.IOUsually when we talk about operating an entire keyboard with one hand and leaving the other free for mousing or holding a beer, chording — pressing multiple keys at once like on a piano — is very much on the table. Keyboards like the Infogrip BAT come to mind.

But that isn’t always the case. Take for example the one-handed PCD Maltron, which I think must have inspired [Dylan Turner]’s one-handed keyboard.

[Dylan]’s design puts 75 keys in close reach of one hand’s worth of fingers, and doesn’t let the thumb off easy like on a standard keyboard. All the Function keys are there, and the arrow keys are in a familiar layout. There is even an Insert/Delete cluster. Everything is up on GitHub if you want to make your own.

Got a hot tip that has like, anything to do with keyboards? Help me out by sending in a link or two. Don’t want all the Hackaday scribes to see it? Feel free to email me directly.

BreachForum continua ad essere prolifico con nuovi exploit in vendita al miglior offerente, questa volta parliamo di una vulnerabilità RCE (come root) su EntroLink VPN. Secondo il venditore “tikila”, tramite una ricera utilizzando ZoomEye il totale dei dispositivi vulnerabili ammonta a più di 35.000.

Come di consueto per l’acquistoè necessario contattare un middleman e fornire una prova di pagamento valida.

Al momento, non possiamo confermare la veridicità della notizia, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo deve essere considerato come ‘fonte di intelligence’.

EntroLink è un dispositivo per permettere agli utenti di connetersi in modo sicuro alla rete aziendale, bersaglio perfetto per gli attacanti e una 0-da di questo tipo può mettere a rischio l’intera postura di sicurezza da remoto. Il dispositivo in question è stato sempre sotto la mira di threat actors, in particolare per attacchi ransomware.

Si consiglia fortemente di effettuare analisi attive e continue sulla rete e sui dispositivi in questione finchè non verrà rilasciata una disclosure ufficiale da enti competenti con seguente patch. La RCE permette esecuzione come root indicando una compromissione totale del dispositivo e questo richiede un controllo maggiore, monitoraggio di ogni attività eseguita al suo interno e del traffico in entrata.

L'articolo Allarme Sicurezza: Minaccia RCE su Decine di Migliaia di Dispositivi EntroLink VPN proviene da il blog della sicurezza informatica.

Gli scienziati del Karolinska Institutet in Svezia hanno fatto un passo avanti nella ricerca sul cancro creando nanorobot “origami di DNA” che possono distruggere specificamente le cellule tumorali nei topi. Questa innovazione, descritta nella rivista Nature Nanotechnology , dimostra il potenziale della nanotecnologia nel rivoluzionare il trattamento del cancro e offre speranza per future applicazioni negli esseri umani.

Questa notizia arriva poco dopo l’audace previsione del famoso futurista Raymond Kurzweil, che nel suo ultimo libro, The Singularity is Nearer, pubblicato il 25 giugno, ha predetto che i nanorobot saranno presto in grado di estendere la vita umana fino a 1.000 anni. Kurzweil prevede che entro il 2030 i nanorobot medici consentiranno alle persone di superare i limiti degli organi biologici.

La ricerca svolta dagli degli scienziati del Karolinska

Queste previsioni stanno diventando sempre più reali grazie al lavoro degli scienziati del Karolinska Institutet, che hanno sviluppato nanorobot in grado di trovare e distruggere le cellule tumorali con una precisione senza precedenti, senza intaccare i tessuti sani. Al centro di questo risultato ci sono nanostrutture costruite utilizzando il DNA, chiamate “origami del DNA”. Il design tridimensionale di tali nanorobot consente loro di essere sensibili al pH e di funzionare in modo autonomo.

La testa del nanorobot contiene una cavità che nasconde sei ligandi citotossici disposti in un esagono. Questi peptidi sono in grado di legarsi ai recettori della morte sulle cellule tumorali e attivarli. In normali condizioni fisiologiche, come pH 7,4, i ligandi rimangono nascosti, rendendo il nanorobot inerte e innocuo. Tuttavia, a pH 6,5, caratteristico dei tessuti cancerosi, viene attivato il “meccanismo di uccisione” e le strutture del DNA si dispiegano, esponendo i ligandi citotossici. Questi ligandi attivano quindi i recettori della morte sulla superficie delle cellule tumorali, provocando l’apoptosi o la morte cellulare programmata.

La tecnica dell’origami del DNA consente un controllo preciso della disposizione spaziale dei ligandi, garantendo l’attivazione ottimale dei recettori della morte, che è fondamentale per un’efficace uccisione cellulare. Questo livello di precisione nel colpire e attivare i recettori della morte distingue questa tecnologia dai tradizionali trattamenti contro il cancro, che spesso mancano della stessa specificità e possono causare effetti collaterali significativi.

Una nano-struttura a forma di esagono

“Questa nanostruttura peptidica esagonale diventa un’arma letale”, ha spiegato il dottor Björn Högberg, professore di biochimica medica e biofisica e autore principale dello studio. “Se fosse usata come medicina, ucciderebbe indiscriminatamente le cellule del corpo, il che sarebbe altamente indesiderabile. Per aggirare questo problema, abbiamo nascosto l’arma all’interno di una nanostruttura di DNA.”

I nanorobot, costituiti da pochi nanometri, possono svolgere compiti specifici all’interno del corpo a livello molecolare. In questo caso i nanorobot sono dotati di sensori e agenti biochimici in grado di riconoscere e attaccare le cellule tumorali. L’uso del DNA per creare nanorobot garantisce che siano biocompatibili, consentendo loro di muoversi nel corpo senza causare reazioni negative.

Una volta introdotti nel corpo, i nanorobot origami di DNA viaggiano attraverso il sistema circolatorio, rilevando le cellule tumorali in base al livello di acidità caratteristico dei tumori maligni. Una volta raggiunto l’obiettivo, i nanorobot rilasciano un agente terapeutico che provoca la morte cellulare e distrugge efficacemente le cellule tumorali.

Test altamente promettenti. Ridotto il tumore del 70%

Nei test sperimentali su topi con tumori al seno umano, i nanodispositivi hanno dimostrato una significativa riduzione della crescita del tumore, ottenendo una riduzione fino al 70%. Questo impressionante successo apre la strada a ulteriori ricerche e possibili sperimentazioni cliniche sugli esseri umani.

Le potenziali implicazioni di questa tecnologia sono profonde. I nanorobot origami di DNA potrebbero rivoluzionare i trattamenti contro il cancro offrendo un’alternativa più mirata e meno invasiva ai metodi attuali. La capacità di colpire con precisione le cellule tumorali risparmiando i tessuti sani potrebbe aprire nuove possibilità per la terapia del cancro, rendendola più efficace e meno dannosa rispetto a metodi come la chemioterapia e le radiazioni.

Inoltre, i principi alla base di questa tecnologia potrebbero essere applicati ad altre malattie in cui la morte cellulare mirata è benefica, come alcune malattie autoimmuni e le infezioni virali. La versatilità e la programmabilità dell’origami del DNA lo rendono un potente strumento nello sviluppo di trattamenti medici avanzati.

Ma ci vorrà ancora del tempo

Nonostante i risultati promettenti, gli scienziati avvertono che rimangono diverse sfide prima che la tecnologia possa essere ampiamente utilizzata nella pratica clinica. Questi includono la garanzia della stabilità e della longevità dei nanorobot nel corpo umano, l’aumento della produzione di queste nanostrutture e test rigorosi per individuare effetti collaterali inattesi.

“Ora dobbiamo indagare se questo funziona in modelli di cancro più avanzati che sono più simili alla vera malattia umana”, ha spiegato il dottor Yang Wang, coautore dello studio e ricercatore del Dipartimento di biochimica medica e biofisica del Karolinska Institutet. “Dobbiamo anche scoprire quali effetti collaterali ha questo metodo prima che venga testato sugli esseri umani.”

Gli scienziati intendono inoltre esplorare la possibilità di creare nanorobot origami di DNA più mirati in grado di legarsi esclusivamente a determinati tipi di cancro. Ciò può essere ottenuto modificando la disposizione delle proteine ​​o dei peptidi sulla superficie del dispositivo.

In caso di successo, questa tecnologia potrebbe rappresentare una svolta nel campo dell’oncologia, fornendo un nuovo strumento altamente efficace per combattere uno dei problemi più persistenti dell’assistenza sanitaria.

Questa svolta potrebbe anche essere l’inizio di molte nanotecnologie che porteranno al futuro previsto da Raymond Kurzweil, in cui la sopravvivenza umana non sarà più limitata dai limiti biologici.

L'articolo La vita umana raggiungerà i 1000 anni! I Nano Robot Origami DNA ci salveranno dal Cancro? proviene da il blog della sicurezza informatica.

Un ingegnere informatico ha scoperto qualcosa che preoccuperà i proprietari di letti intelligenti Sleep Number: una connessione nascosta che consente a Sleep Number di connettersi in remoto all’hub di controllo del letto all’insaputa del proprietario.

I letti intelligenti Sleep Number sono vere meraviglie tecnologiche. Non solo monitorano il sonno, la respirazione e la frequenza cardiaca, ma mantengono anche la temperatura ottimale del materasso in base alle tue preferenze.

La storia è iniziata con Dillon Mills, che stava sviluppando un plugin per Homebridge per disabilitare alcune funzioni del letto e attivare l’automazione domestica intelligente se i sensori non rilevavano la presenza sul materasso. La popolarità del plugin ha causato un carico significativo sui server pubblici di Sleep Number e l’azienda ha chiesto a Mills di disabilitare l’estensione.

Non volendo dipendere dai server di Sleep Number, Mills ha deciso di trovare un modo per accedere al letto localmente. Utilizzando un analizzatore logico e dispositivi UART -TTY, Mills è riuscito ad accedere alla console del dispositivo.

L’ingegnere ha descritto in dettaglio il processo per ottenere l’accesso root all’hub, attraverso la connessione del dispositivo UART al connettore J16 e la modifica delle variabili dell’ambiente di boot. Si è scoperto che era possibile aggirare i file crittografati manipolando gli argomenti di avvio, consentendo l’accesso alla partizione root del dispositivo.

Connettore J16

Analizzando il file system, l’ingegnere ha scoperto una backdoor attraverso la quale Sleep Number poteva connettersi all’hub tramite SSH, probabilmente per eseguire la manutenzione.

Inoltre, l’hub è gestito da una versione 2018 di Linux, il che solleva ancora più domande sulla sicurezza. Mills ha consigliato di disattivare il Wi-Fi sull’hub e di utilizzare solo il Bluetooth per controllare il letto.

Hub di controllo del numero di sonno

Tuttavia, ci sono alcune buone notizie. Mills è riuscito a ottenere il pieno controllo del dispositivo e ha scritto una guida per impostare il controllo locale della rete dei letti. Ora puoi disconnettere il letto dal Wi-Fi e utilizzare il Bluetooth per controllare le impostazioni e monitorare i sensori. Puoi anche, ad esempio, impostare il livello di sonno, controllare l’illuminazione e il riscaldamento dei piedi.

Il processo richiede alcune conoscenze tecniche e la disponibilità di determinate attrezzature. Tuttavia, il manuale è scritto in un linguaggio accessibile e i componenti necessari sono poco costosi. Puoi collegare un adattatore USB-UART se hai bisogno di accedere alla console del dispositivo o installare un Raspberry Pi Pico W per fornire l’accesso tramite SSH senza la necessità di aprire l’hub e connettere il lettore.

La guida di Mills ti consente di creare un server per la gestione e il monitoraggio locale, che non solo ti consente di monitorare il letto senza connetterti ai server di Sleep Number, ma fornisce anche funzionalità intelligenti per il letto nel caso in cui l’azienda fallisca o chiuda giù i suoi server.

L'articolo Hackerare i Sogni! Rilevata una backdoor nascosta nei dispositivi Sleep Number proviene da il blog della sicurezza informatica.

The processing power of computers keeps growing, helping users to solve increasingly complex problems faster. A side effect is that passwords that were impossible to guess just a few years ago can be cracked by hackers within mere seconds in 2024. For example, the RTX 4090 GPU is capable of guessing an eight-character password consisting of same-case English letters and digits, or 36 combinable characters, within just 17 seconds.

Our study of resistance to brute-force attacks found that a large percentage of passwords (59%) can be cracked in under one hour.

How passwords are typically stored

To be able to authenticate users, websites need a way to store login-password pairs and use these to verify data entered by the user. In most cases, passwords are stored as hashes, rather than plaintext, so that attackers cannot use them in the event of a leak. To prevent the password from being guessed with the help of rainbow tables, a salt is added before hashing.

Although hashes are inherently irreversible, an attacker with access to a leaked database can try to guess the passwords. They would have an unlimited number of attempts, as the database itself has no protection against brute-forcing whatsoever. Ready-made password-guessing tools, such as hashcat, can be found online.

Methodology

Our study looked at 193 million passwords found freely accessible on various dark web sites. Kaspersky does not collect or store user passwords. More details are available here and here.

We estimated the time it takes to guess a password from a hash using brute force and various advanced algorithms, such as dictionary attacks and/or enumeration of common character combinations. By dictionary we understand here a list of character combinations frequently used in passwords. They include, but are not limited to real English words.

Brute force attacks

The brute-force method is still one of the simplest and most straightforward: the computer tries every possible password option until one works. This is not a one-size-fits-all approach: enumeration ignores dictionary passwords, and it is noticeably worse at guessing longer passwords than shorter ones.

We analyzed the brute-forcing speed as applied to the database under review. For clarity, we have divided the passwords in the sample into patterns according to the types of characters they contain.

• a: the password contains only lowercase or only uppercase letters.
• aA: the password contains both lowercase and uppercase letters.
• 0: the password contains digits.
• !: the password contains special characters.

The time it takes to crack a password using the brute-force method depends on the length and the number of character types. The results in the table are calculated for the RTX 4090 GPU and the MD5 hashing algorithm with a salt. The speed of enumeration in this configuration is 164 billion hashes per second. The percentages in the table are rounded.

The most popular type of passwords (28%) includes lowercase and uppercase letters, special characters and digits. Most of these passwords in the sample under review are difficult to brute-force. About 5% can be guessed within a day, but 85% of this type of passwords take more than a year to work out. The crack time depends on the length: a password of nine characters can be guessed within a year, but one that contains 10 characters, more than a year.

Passwords that are least resistant to brute-force attacks are the ones that consist of only letters, only digits or only special characters. The sample contained 14% of these. Most of them can be cracked within less than a day. Strong letter-only passwords start at 11 characters. There were no strong digit-only passwords in the sample.

Smart brute-force attacks

As mentioned above, brute force is a suboptimal password-guessing algorithm. Passwords often consist of certain character combinations: words, names, dates, sequences (“12345” or “qwerty”). If you make your brute-force algorithm consider this, you can speed up the process:

• bruteforce_corr is an optimized version of the brute-force method. You can use a large sample to measure the frequency of a certain password pattern. Next, you can allocate to each variety a percentage of computational time that corresponds to its real-life frequency. Thus, if there are three patterns, and the first one is used in 50% of cases, and the second and third in 25%, then per minute our computer will spend 30 seconds enumerating pattern one, and 15 seconds enumerating patterns two and three each.
• zxcvbn is an advanced algorithm for gauging password strength. The algorithm identifies the pattern the password belongs to, such as “word, three digits” or “special character, dictionary word, digit sequence”. Next, it calculates the number of iterations required for enumerating each element in the pattern. So, if the password contains a dictionary word, finding it will take a number of iterations equal to the size of the dictionary. If a part of the pattern is random, it will have to be brute-forced. You can calculate the total complexity of cracking the password if you know the time it takes to guess each component of the pattern. This method has a limitation: successful enumeration requires specifying a password or assuming a pattern. However, you can find the popularity of patterns by using stolen samples. Then, as with the brute-force option, allocate to the pattern an amount of computational time proportional to its occurrence. We designate this algorithm as “zxcvbn_corr”.
• unogram is the simplest language algorithm. Rather than requiring a password pattern, it relies on the frequency of each character, calculated from a sample of passwords. The algorithm prioritizes the most popular characters when enumerating. So, to estimate the crack time, it is enough to calculate the probability of the characters appearing in the password.
• 3gram_seq, ngram_seq are algorithms that calculate the probability of the next character depending on n-1 previous ones. The proposed algorithm starts enumerating one character, and then sequentially adds the next one, while starting with the longest and most frequently occurring n-grams. In the study, we used n-grams ranging from 1 to 10 characters that appear more than 50 times in the password database. The 3gram_seq algorithm is limited to n-grams up to and including three characters long.
• 3gram_opt_corr, ngram_opt_corr is an optimized version of n-grams. The previous algorithm generated the password from the beginning by adding one character at a time. However, in some cases, enumeration goes faster if you start from the end, from the middle or from several positions simultaneously. *_opt_* algorithms check the varieties described above for a specific password and select the best one. However, in this case, we need a password pattern that allows us to determine where to start generating from. When adjusted for different patterns, these algorithms are generally slower. Still, they can provide a significant advantage for specific passwords.

Also, for each password, we calculated a best value: the best crack time among all the algorithms used. This is a hypothetical ideal case. To implement it, you will need to “guess” an appropriate algorithm or simultaneously run each of the aforementioned algorithms on a GPU of its own.

Below are the results of gauging password strength by running the algorithms on an RTX 4090 GPU for MD5 with a salt.

The bottom line is, when using the most efficient algorithm, 45% of passwords in the sample under review can be guessed within one minute, 59% within one hour, and 73% within a month. Only 23% of passwords take more than one year to crack.

Importantly, guessing all the passwords in the database will take almost as much time as guessing one of them. During the attack, the hacker checks the database for the hash obtained in the current iteration. If the hash is in the database, the password is marked as cracked, and the algorithm moves on to working on the others.

The use of dictionary words reduces password strength

To find which password patterns are most resistant to hacking, we calculated the best value for an expanded set of criteria. For this purpose, we created a dictionary of frequently used combinations of four or more characters, and added these to the password pattern list.

• dict: the password contains one or more dictionary words.
• dict_only: the password contains only dictionary words.

The majority (57%) of the passwords reviewed contained a dictionary word, which significantly reduced their strength. Half of these can be cracked in less than a minute, and 67% within one hour. Only 12% of dictionary passwords are strong enough and take more than a year to guess. Even when using all recommended character types (uppercase and lowercase letters, digits and special characters), only 20% of these passwords proved resistant to brute-forcing.

It is possible to distinguish several groups among the most popular dictionary sequences found in passwords.

• Names: “ahmed”, “nguyen”, “kumar”, “kevin”, “daniel”;
• Popular words: “forever”, “love”, “google”, “hacker”, “gamer”;
• Standard passwords: “password”, “qwerty12345”, “admin”, “12345”, “team”.

Non-dictionary passwords comprised 43% of the sample. Some were weak, such as those consisting of same-case letters and digits (10%) or digits only (6%). However, adding all recommended character types (the aA0! pattern) makes 76% of these passwords strong enough.

Takeaways

Modern GPUs are capable of cracking user passwords at a tremendous speed. The simplest brute-force algorithm can crack any password up to eight characters long within less than a day. Smart hacking algorithms can quickly guess even long passwords. These use dictionaries, consider character substitution (“e” to “3”, “1” to “!” or “a” to “@”) and popular combinations (“qwerty”, “12345”, “asdfg”).

This study lets us draw the following conclusions about password strength:

• Many user passwords are not strong enough: 59% can be guessed within one hour.
• Using meaningful words, names and standard character combinations significantly reduces the time it takes to guess the password.
• The least secure password is one that consists entirely of digits or words.

To protect your accounts from hacking:

• Remember that the best password is a random, computer-generated one. Many password managers are capable of generating passwords.
• Use mnemonic, rather than meaningful, phrases.
• Check your password for resistance to hacking. You can do this with the help of Password Checker, Kaspersky Password Manager or the zxcvbn
• Make sure your passwords are not contained in any leaked databases by going to haveibeenpwned. Use security solutions that alert users about password leaks.
• Avoid using the same password for multiple websites. If your passwords are unique, cracking one of them would cause less damage.

A cura di Antonio Madoglio, SE Director Italy di Fortinet

Nel corso degli anni, all’interno delle organizzazioni si sono sedimentate molteplici soluzioni pensate per difenderle secondo le diverse esigenze di sicurezza informatica; esse, tuttavia, non sempre dialogano tra di loro e questo rende più difficile la gestione e incrementa la complessità nella correlazione delle informazioni in caso di incidenti. Per questo motivo le aziende stanno passando dall’adozione di singoli prodotti best-of-breed a un approccio di tipo piattaforma: in questo modo, diventa possibile semplificare la gestione del network, aumentare l’efficacia e ridurre, di conseguenza, anche i costi. Questa scelta è ancor più necessaria se si considera che da qualche anno a questa parte, grazie alla diffusione dello smart working, i dipendenti sono abituati a lavorare da luoghi che non coincidono necessariamente con l’ufficio, ampliando così i margini del perimetro aziendale.
Antonio Madoglio, SE Director Italy di Fortinet
Possiamo iniziare la disamina sul tema con una semplice domanda: perché esistono ancora singoli prodotti che rispondono a esigenze specifiche? La risposta risiede nella natura stessa della cybersecurity e delle infrastrutture, che è di per sé dinamica. Dal momento che il panorama delle minacce informatiche è in costante evoluzione, è necessario creare difese che siano al passo con i tempi, il che comporta sostanzialmente l’ideazione di soluzioni sempre nuove per affrontare i rischi e le opportunità sfruttate dai cybercriminali.

È assolutamente sensato combinare più componenti singoli e di uso comune in un’unica soluzione, andando così a semplificare le operation e integrare le funzioni critiche. Affinché tutto ciò avvenga nel modo adeguato è necessaria però una profonda interoperabilità tra gli elementi; avere elementi diversi che condividono lo stesso sistema operativo comporta di fatto un notevole vantaggio, ben diverso dal semplice tentativo di unire tra loro delle tecnologie di fatto progettate per funzionare come stand-alone. Senza una base operativa comune qualsiasi interoperabilità sarebbe solo superficiale; è il caso di quelle aziende che, nella fretta di proporsi sul mercato, acquistano singoli prodotti di altri vendor. Tuttavia, invece di prendersi il tempo necessario per integrare completamente le loro funzioni e operation in un tool unificato, si limitano ad apporre il loro nome e ad aggiungere l’etichetta “piattaforma” al pacchetto che ne risulta, rinunciando così agli impegni della propria roadmap.

Un altro tema di particolare importanza è quello dei costi operativi: tutte le organizzazioni che si trovano a dover gestire tante tecnologie diverse tra loro vorrebbero ridurli, aumentando nel contempo l’efficacia della propria postura di sicurezza. Un approccio basato su una piattaforma di cybersecurity univoca può consentire il raggiungimento di questo obiettivo integrando i singoli prodotti, riducendo le spese generali e consentendo l’automazione nativa su più soluzioni.

Tuttavia, non tutte le proposte sono uguali e non tutti i fornitori sono in grado di supportare al meglio i business nel loro percorso; molte soluzioni, che vengono proposte dai vendor come altamente interoperabili, sono in realtà agglomerati composti da elementi molto distinti tra loro, con sistemi operativi, linguaggi di programmazione, strutture dati, API e console di gestione diversi – riuniti con una modalità di collaborazione molto superficiale. Quando si decide di utilizzare una piattaforma è pertanto assolutamente necessario scegliere adeguatamente il proprio fornitore. La decisione presa potrebbe, infatti, avere un impatto significativo sull’organizzazione.

Fortinet può essere utile alle realtà che desiderino abbandonare l’uso esclusivo di singoli prodotti in quanto è stata fondata oltre vent’anni fa proprio sul principio della convergenza tra networking e sicurezza, con una particolare attenzione al concetto di “security by design”. La piattaforma Security Fabric è composta dal portafoglio più integrato e aperto del settore, supportato da un unico sistema operativo (FortiOS), un agente unificato (FortiClient), una console di gestione (FortiManager), un data lake (FortiAnalyzer), API aperte e integrazione con oltre 500 prodotti di terze parti, compresi quelli dei suoi concorrenti. Inoltre, FortiOS è in grado di supportare oltre trenta diverse applicazioni di secure networking e cybersecurity, quattordici delle quali sono accelerate dalle SPU FortiASIC personalizzate.

I clienti possono decidere di adottare in toto la proposta di Fortinet Security Fabric oppure utilizzare gli elementi di cui è composta come base solida per iniziare a incorporare piattaforme funzionali o suite nella propria infrastruttura già esistente. Un vero e proprio viaggio nel rafforzamento dell’infrastruttura aziendale contro gli attacchi, che può avvenire in modo graduale, all’insegna della flessibilità e in base alle esigenze delle singole realtà aziendali.

L'articolo L’approccio di piattaforma: un viaggio che le aziende devono poter affrontare in sicurezza proviene da il blog della sicurezza informatica.

In the monthly Ladybird Browser update video which we’ve placed below, SerenityOS founder [Andreas Kling] announced an interesting development. The browser has been forked from the OS that has been its progenitor, and both projects will now proceed separately. This frees the browser from the SerenityOS insistence on avoiding external libraries, and allows it to take advantage of stable, fast, and mature open source alternatives. This is already paying dividends in compatibility and speed, and is likely to lead further towards a usable everyday browser as time goes by.

As the world of fully-featured web browser engines has contracted from a number of different projects to little more than Google’s Blink and Mozilla’s Gecko, Ladybird has found itself in an unexpected position. It is vital that the browser market retains some competition and does not become a Google monoculture, so while it might not seem so at first glance, the news of Ladybird going alone has the potential to be one of the most far-reaching open source stories of the year.

If you’d like to try Ladybird you’ll have to get your hands slightly dirty and build it yourself, but we’d expect ready-built versions to appear in due course. We took a look at an earlier version of Ladybird last year, as well as SerenityOS itself.

youtube.com/embed/cbw0KrMGHvc?…

[ZXGuesser] has pulled off a true feat of Meccano engineering: building a Meccano Hellschreiber machine. The design is a close replica of the original Siemens Feld-Hell machine as documented here. What is Hellschreiber, you might ask? It’s a very neat method of sending written messages over the air by synchronizing a printing wheel on the receiving end with pulses generated on the transmitter. By quickly moving the print wheel up and down, arbitrary figures can be printed out. If you want to learn more about Hellschreiber, check out this excellent Hackaday post from almost a decade ago!

The Mastodon thread linked above goes into more detail about the difficulty in building this behemoth — and the slight regret of sticking with the authentic QWERTZ keyboard layout! In order to use the Hellschreiber mode, you have to keep up a steady rhythm of typing at about 2.5 characters per second, otherwise, the receiving end will see randomly spaced gaps between each letter. So while having to type at a steady speed [ZXGuesser] also had to work with a slightly different keyboard layout. Despite this difficulty, some very good quality output was generated!

Incredibly, the output looks just like the output from the original, century-old design. We think this is an absolutely incredible accomplishment, and we hope [ZXGuesser] doesn’t follow through on disassembling this amazing replica — or if they do, we hope it’s documented well enough for others to try their hand at it!

Thanks [BB] for the tip!

Recentemente, un attore malintenzionato ha presumibilmente diffuso un database contenente informazioni sui dipendenti di Electronic Arts (EA) risalente al 2022. La notizia della fuga di dati è stata confermata dall’attore stesso, che ha spiegato le motivazioni dietro la sua decisione di rendere pubblici i dati.

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’.

Le Motivazioni del Leaker

L’attore malintenzionato ha dichiarato: “Ho recentemente notato che è stato creato un nuovo account usa e getta per cercare di vendere questa violazione dei dati, ma è già passata di mano (4-5 persone). Poiché stanno affermando che vogliono venderla solo una volta a un unico acquirente, la divulgherò io stesso. Non so come questa persona abbia ottenuto il database, ma non era mai destinato ad essere venduto.”

Questa affermazione evidenzia un certo grado di disappunto nei confronti delle azioni di terzi che stavano tentando di monetizzare la violazione. L’attore ha inoltre aggiunto: “Non ho voglia di scrivere i dettagli della violazione, quindi sto rubando le informazioni da un altro post.”

I Dati Compromessi

Il database divulgato contiene un’ampia varietà di informazioni, suddivise in diversi file. Ecco una panoramica dei dati compromessi:

• 34.993 record di utenti: comprendenti nome completo, email di lavoro, numero di telefono, posizione dell’ufficio e gruppi di lavoro.
• 1.105 applicazioni registrate in Microsoft Active Directory: con URL e configurazioni.
• 64.243 gruppi
• 8.073 contatti

Questi file rappresentano una miniera d’oro di informazioni per chiunque voglia sfruttare i dati per attività illecite, come il phishing o altre forme di attacchi informatici.

Conclusione

La violazione dei dati di EA rappresenta un serio campanello d’allarme per tutte le aziende, sottolineando l’importanza di adottare misure di sicurezza robuste per proteggere le informazioni sensibili. Mentre EA affronta le conseguenze di questa fuga di dati, l’intero settore deve riflettere sulla necessità di rafforzare la propria resilienza contro le minacce informatiche.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC Dark Lab monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Un Threat Actors Diffonde un Database dei Dipendenti della Electronic Arts (EA) del 2022 proviene da il blog della sicurezza informatica.

Il Dipartimento della Difesa degli Stati Uniti sta esplorando attivamente le opportunità per integrare tecnologie specializzate e aperte. Questa propensione è per supportare l’implementazione delle iniziative 5G e FutureG, con particolare attenzione all’architettura aperta.

Alla conferenza TechNet Cyber ​​​​di Baltimora, i funzionari del Pentagono hanno discusso delle opportunità per reti pubbliche, private e ibride. È stato notato che esiste un bisogno naturale di reti più esclusive e sicure nel campo della sicurezza nazionale. A volte non esiste alcuna infrastruttura di rete wireless nelle zone di combattimento remote.

In queste circostanze, il ministero raccomanda l’uso di reti di accesso radio aperto ( ORAN ) per le reti private. Tali reti forniscono un maggiore controllo sullo scambio di informazioni. Secondo Juan Ramirez, direttore del team interfunzionale 5G del Pentagono, nei prossimi anni dovrebbero emergere i requisiti a supporto dell’architettura ORAN, a seconda delle opportunità di bilancio.

Tuttavia, le reti private non sono sempre la soluzione migliore. Ad esempio, nelle aree con infrastrutture esistenti, non è necessario creare nuove reti private. Tuttavia, nei luoghi in cui non esiste una copertura adeguata, ha più senso utilizzare reti private per fornire le comunicazioni.

Date le crescenti tensioni geopolitiche tra Cina e Stati Uniti nello Stretto di Taiwan, tali decisioni diventano particolarmente rilevanti. Per garantire la connettività in qualsiasi ambiente, il Pentagono sta esaminando ORAN. La tecnologia consente a più fornitori di operare come un’unica rete e offre maggiore flessibilità di scalabilità.

Il Pentagono sta promuovendo attivamente la ricerca sull’ORAN mentre lavora verso l’implementazione standard del 5G nelle installazioni militari e nelle basi intelligenti. Il Dipartimento spera di ricevere ulteriore sostegno dal Congresso attraverso futuri progetti di legge sui finanziamenti alla difesa.

Il budget del Pentagono per il 2024 richiedeva 143 miliardi di dollari per ricerca, sviluppo e sperimentazione di tecnologie avanzate. Tra queste il 5G e l’intelligenza artificiale. Gran parte della spesa negli ultimi anni è stata destinata alla prototipazione. L’Ufficio del Segretario alla Difesa svolge un ruolo chiave in questo processo. Ma si suggerisce anche che i singoli servizi pianifichino i propri budget tenendo presente il 5G.

La promozione delle idee sviluppate dall’Alleanza ORAN verso un codice completamente open source garantirà la necessaria rapidità di introduzione di nuove funzioni e la capacità di innovare rapidamente, ha osservato Ramirez.

L'articolo Il Pentagono Spinge sul 5G: Tecnologie O-RAN, Aperte e Sicure per le Future Reti Militari proviene da il blog della sicurezza informatica.

Il mondo della sicurezza informatica è in costante evoluzione e, purtroppo, le vulnerabilità nei software sono all’ordine del giorno. Recentemente, è stata scoperta una vulnerabilità critica (CVE-2024-5326) nel plugin “Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX” per WordPress, una delle piattaforme più popolari per la creazione di siti web. Questa vulnerabilità potrebbe essere sfruttata per modificare arbitrariamente opzioni del sito, mettendo a rischio la sicurezza dei siti che utilizzano questo plugin.

Descrizione della Vulnerabilità

Il plugin PostX, fino alla versione 4.1.2 inclusa, presenta una falla di sicurezza dovuta alla mancanza di un controllo delle capacità sull’azione ‘postx_presets_callback’. Questa mancanza di autorizzazione permette a utenti autenticati con accesso di livello Contributor o superiore di modificare arbitrariamente le opzioni del sito. Questo tipo di vulnerabilità consente, tra le altre cose, di abilitare la registrazione di nuovi utenti e di impostare il ruolo predefinito per i nuovi utenti come Amministratore, conferendo così poteri amministrativi a nuovi utenti registrati.

Implicazioni della Vulnerabilità

Le implicazioni di questa vulnerabilità sono gravi. Un attaccante con accesso di livello Contributor potrebbe:

1. Abilitare la Registrazione degli Utenti: Questo potrebbe permettere a chiunque di registrarsi sul sito.
2. Impostare il Ruolo di Default come Amministratore: Questo consente ai nuovi utenti di avere pieni diritti amministrativi, inclusa la possibilità di modificare, cancellare contenuti, installare plugin malevoli e persino bloccare l’accesso agli amministratori legittimi.
3. Compromettere la Sicurezza del Sito: Una volta ottenuto l’accesso amministrativo, un attaccante potrebbe installare backdoor, raccogliere dati sensibili e lanciare ulteriori attacchi sia interni che esterni.

POC

La scoperta di una (POC) per questa vulnerabilità evidenzia quanto sia facile per un attaccante sfruttare questa falla. Ecco un esempio di come potrebbe essere eseguita:

1. Accesso come Contributor: L’attaccante si autentica sul sito come utente con privilegi di Contributor.
2. Esecuzione dell’Azione Vulnerabile: Utilizzando uno strumento di invio di richieste HTTP, come cURL o un’estensione per browser come Postman, l’attaccante invia una richiesta alla funzione ‘postx_presets_callback’.
3. Modifica delle Opzioni: L’attaccante modifica le impostazioni critiche, come l’abilitazione della registrazione degli utenti e l’impostazione del ruolo di default a “Administrator”.

Esempio di Richiesta Malevola:

POST /wp-admin/admin-ajax.php?action=postx_presets_callback
Content-Type: application/x-www-form-urlencoded
Cookie: wordpress_logged_in_

preset_option=new_user_registration&default_role=administrator

Mitigazione e Aggiornamenti

Per mitigare questa vulnerabilità, è essenziale che gli amministratori di siti WordPress che utilizzano il plugin PostX aggiornino immediatamente il plugin all’ultima versione disponibile, che dovrebbe contenere un fix per questo problema. Inoltre, si consiglia di:

1. Limitare i Privilegi degli Utenti: Assicurarsi che solo gli utenti di cui si ha piena fiducia abbiano accesso ai ruoli con capacità di Contributor o superiori.
2. Monitorare le Modifiche: Utilizzare plugin di sicurezza per monitorare e registrare le modifiche alle opzioni del sito.
3. Applicare Patching e Aggiornamenti Regolari: Mantenere aggiornati tutti i plugin e il core di WordPress per prevenire lo sfruttamento di vulnerabilità conosciute.

Conclusione

La vulnerabilità CVE-2024-5326 nel plugin PostX rappresenta una minaccia significativa per i siti WordPress che ne fanno uso. È cruciale che gli amministratori di sistema prendano misure immediate per aggiornare il plugin e proteggere i loro siti da potenziali attacchi. La sicurezza informatica richiede vigilanza costante e aggiornamenti regolari per garantire che le piattaforme rimangano sicure e protette contro le nuove minacce.

L'articolo Il POC per il CVE-2024-5326 sul plugin PostX di WordPress è online proviene da il blog della sicurezza informatica.