@Informatica (Italy e non Italy 😁) I carabinieri di Genova hanno identificato e denunciato un 40enne pugliese per truffa in quanto ritenuto responsabile di avere circuito un genovese di 60 anni convincendolo a effettuare un bonifico di 39mila euro
Within the world of CAD there are the well-known and more niche big commercial players and there are projects like FreeCAD that seek to bring a OSS solution to the CAD world. As with other OSS projects like the GIMP, these OSS takes on commercial software do not always follow established user interactions (UX), which is where Ondsel sought to bridge the gap by giving commercial CAD users a more accessible FreeCAD experience. This effort is now however at an end, with a blog post by Ondsel core team member [Brad Collette] providing the details.
The idea of commercializing OSS is by no means novel, as this is what Red Hat and many others have done for decades now. In our article on FOSS development bounties we touched upon the different funding models for FOSS projects, with the Linux kernel enjoying strong commercial support. The trick is of course to attract such commercial support and associated funding, which is where the development on the UI/UX and feature set of the core FreeCAD code base was key. Unfortunately the business case was not strong enough to attract such commercial partners and Ondsel has been shutdown.
As also discussed on the FreeCAD forum, the Ondsel codebase will likely be at least partially merged into the FreeCAD code, ending for now the prospect of FreeCAD playing in the big leagues with the likes of AutoCAD.
Once upon a time, computers didn’t really have enough resources to play back high-quality audio. It took too much RAM and too many CPU cycles and it was just altogether too difficult. Instead, they relied upon synthesizing audio from basic instructions to make sounds and music. [caiannello] has taken advantage of this with the WAV2VGM project.
The basic concept is straightforward enough—you put a WAV audio file into the tool, and it spits out synthesis instructions for the classic OPL3 sound card. The Python script only works with 16-bit mono WAV files with a 44,100 Hz sample rate.
Amazingly, check the samples, and you’ll find the output is pretty recognizable. You can take a song with lyrics (like Still Alive from Portal), turn it into instructions for an OPL3, and it’s pretty intelligible. It sounds… glitchy and damaged, but it’s absolutely understandable.
It’s a fun little retro project that, admittedly, doesn’t have a lot of real applications. Still, if you’re making a Portal clone for an ancient machine with an OPL3 compatible sound chip, maybe this is the best way to do the theme song? If you’re working on exactly that, by some strange coincidence, be sure to let us know when you’re done!
If you ask someone who grew up in the late 1970s or early 1980s what taught them a lot about programming, they’d probably tell you that typing in programs from magazines was very instructive. However, it was also very boring and error-prone. In fact, we’d say it was less instructional to do the typing than it was to do the debugging required to find all your mistakes. Magazines hated that and, as [Tech Tangents] shows us in a recent video, there were efforts to make devices that could scan barcodes from magazines or books to save readers from typing in the latest Star Trek game or Tiny Basic compiler.
The Cauzin Softstrip was a simple scanner that could read barcodes from a magazine or your printer if you wanted to do backups. As [Tech Tangents] points out, you may not have heard of it, but at the time, it seemed to be the future of software distribution.
We were impressed that [Tech Tangent] had enough old magazines that he had some of the original strips. Byte Magazine had tried to promote a similar format, but there was no hardware made to read those barcodes.
Of course, there were other systems. For example, the HP-41C famously had a barcode scanner, although creating your own was clunky unless you reverse-engineered the “proper” format (which was done). The basic hardware used there also worked with Byte’s format, but you still had to interface the odd scanner to your computer.
Cauzin sidestepped all this with their product, which was simple-to-interface hardware with software support for the major platforms. However, by the time it was on the market, cheap magnetic media and modem-based bulletin boards were destroying interest in loading software from paper.
This is a great look at an almost forgotten technology. You could probably build something modern to scan these if you had the urge. These days, it would be easy enough to design your own system. Modern laser printers would probably make very dense barcodes.
Palo Alto Networks ha avvisato i clienti di limitare l’accesso ai propri firewall a causa di una potenziale vulnerabilità RCE nell’interfaccia di gestione PAN-OS. Nel suo avvertimento l’azienda afferma di non disporre ancora di ulteriori informazioni sulla presunta vulnerabilità, ma sottolinea di non aver ancora rilevato segni di sfruttamento attivo.
“Palo Alto Networks è a conoscenza di segnalazioni riguardanti una vulnerabilità legata all’esecuzione di codice in modalità remota attraverso l’interfaccia di gestione PAN-OS. Al momento non conosciamo i dettagli della vulnerabilità descritta. Stiamo monitorando attivamente l’emergere di segnali di sfruttamento”, scrive l’azienda.
Per questo Palo Alto consiglia vivamente i clienti di assicurarsi che l’accesso all’interfaccia di gestione sia configurato correttamente, in conformità con le nostre raccomandazioni. I client Cortex Xpanse e Cortex XSIAM con il modulo ASM possono verificare le istanze rivolte a Internet visualizzando gli avvisi generati dalla regola della superficie di attacco di accesso amministratore del firewall di Palo Alto Networks.
L’azienda consiglia inoltre di bloccare l’accesso da Internet all’interfaccia di gestione del firewall con PAN-OS e di consentire le connessioni solo da indirizzi IP interni attendibili.
È interessante notare che il giorno prima della pubblicazione di questo avviso, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha segnalato attacchi in corso che sfruttano una vulnerabilità critica in Palo Alto Networks Expedition ( CVE-2024-5910 ; punteggio CVSS 9,3). Questo problema di bypass dell’autenticazione è stato risolto nel luglio 2024 e gli aggressori possono utilizzarlo in remoto per reimpostare le credenziali dell’amministratore sui server Expedition accessibili tramite Internet.
Sebbene CISA non abbia fornito informazioni dettagliate su questi attacchi, il mese scorso i ricercatori di Horizon3.ai hanno pubblicato un exploit PoC che combina CVE-2024-5910 con una vulnerabilità di command injection ( CVE-2024-9464 ), consentendo l’esecuzione non autenticata di attacchi arbitrari. comandi sui server Expedition.
È stata identificata una nuova campagna di phishing in cui i criminali informatici, sfruttando una vulnerabilità in Microsoft Excel, distribuiscono una variante del malware fileless Remcos RAT in grado di compromettere i sistemi aziendali. Ecco tutti i dettagli e come difendersi
Il ransomware Ymir sfrutta metodi evoluti di occultamento e crittografia, modificando la memoria per diventare invisibile e quindi riuscire a trafugare credenziali. Ecco come difendersi
Il regolamento di esecuzione della NIS2, oltre la sua funzione primaria di conformità, risulta essere uno strumento versatile e utile anche per organizzazioni non obbligate ad applicare la direttiva UE, ad esempio per l’esecuzione di audit di sicurezza. Ecco perché
Computer Windows sono nel mirino di attori delle minacce che sfruttano la tecnica della concatenazione di file ZIP per distribuire payload malevoli negli archivi compressi, bypassando il rilevamento da parte delle soluzioni di sicurezza. Ecco come mitigare il rischio
Si chiama Fabrice il pacchetto Python malevolo che, sfruttando l’assonanza del nome con quello della libreria SSH Fabric, riesce a trarre in inganno gli utenti sviluppatori per indurli a scaricare un pacchetto malevolo PyPI che, una volta installato, ruba dati sensibili e scarica altri malware. Ecco tutti i dettagli
In caso di emergenza, l’intelligenza artificiale può supportare le aziende nelle fasi di ripristino di un backup dati, rendendo le attività più rapide ed efficienti. L’AI è diventata una necessità fondamentale per stare al passo con il cyber crime e una risorsa vitale a supporto della memoria aziendale
Padroneggiare l’informazione è sempre stato uno strumento bellico di primo livello, prima ancora che fake news e deepfake mettessero a disposizione dei combattenti mezzi tanto insidiosi. Saper gestire la narrativa e la contro-narrativa avversaria ha, dunque, una valenza strategica: ecco perché
La Cassazione ha recentemente confermato la legittimità di un licenziamento irrogato a seguito dell’accertamento di un furto da parte di un cassiere, certificato dall’utilizzo di una telecamera del sistema di videosorveglianza installato a seguito di accordo sindacale
Le linee guida tecniche per l’attuazione della NIS2 appena presentate da ENISA contengono le misure di sicurezza informatica per le entità critiche nel settore delle infrastrutture digitali: tra queste, anche quelle per una corretta gestione degli incidenti di sicurezza. Che c’è da sapere
Il secondo report quadrimestrale per il 2024 ci descrive una situazione aggiornata del ransomware a livello globale e italiano. La necessità è sempre quella di considerare scenari di protezione aggiornati con gli attuali rischi. Vediamo le numeriche e la loro distribuzione
In a new installment on computer history, [Bradford Morgan White] takes us through the sordid history of Cyrix, as this plucky little company created the best math co-processors (FasMath) and then a range of interesting x86-compatible CPUs that would give competing x86 CPUs a run for their money. Even though Cyrix played by the rules of licensing agreements, Intel would keep suing Cyrix repeatedly since the 1980s well into 1990s, for a total of seventeen times until Cyrix counter-sued for patent violations in May of 1997.
This case was settled between Cyrix and Intel, with a cross-licensing agreement established. Unfortunately these mounting legal costs and the stresses of keeping up with the competition (i.e. Intel) was proving too much and Cyrix was sold off to National Semiconductor, who wasn’t enthusiastic about competing with Intel. After this Cyrix got split up into Geode (sold to AMD) and Cyrix Technologies (sold to VIA). Interestingly, VIA’s x86 patent licenses and patents ended up being the foundation of Zhaoxin: a joint venture between VIA and Shanghai’s government which produces x86 CPUs for primarily the Chinese market.
We looked at the Cyrix Cx486DLC processor a while ago, and why their 386 upgrade options were perhaps not that great. Their later CPUs have however left a strong legacy that seems to endure in some way to this day.
We have often wondered if people dreamed in black and white before the advent of photography. While color pictures eventually became the norm, black and white TV was common for many years. After all, a TV set was a big investment, so people didn’t run out and buy the latest TV every year. Even if you did buy a new or used TV, a black and white model was much less expensive and, for many years, some shows were in black and white anyway. RCA, of course, wanted you to buy a color set. [PeriscopeFilm] has a 1963 promotional film from RCA extolling the virtues of a color set. The video also shows something about how the sets were made, as you can see below.
We aren’t sure we’d have led with the idea that color could save your life in this context, but we have to salute the melodrama. There is a good bit of footage of picture tube manufacturing, although the technical detail is — understandably — aimed at the general public.
You do get a look at the shadow mask and piles of colored phosphor. The manufacturing process seems oddly manual, although there is some automation involved. If you ever wondered how each little dot of phosphor gets placed precisely, the film answers that question.
The spectrometers the operators use in the electron gun build lack computer interfaces, so they have many discrete controls. We wondered if a modern assembly line could have that open flame, too.
It is amazing to think how many of these tubes were built worldwide in, say, the 1970s. Our guess is there are very few CRTs made today, although surely someone somewhere is turning out a few for some reason. We wonder how today’s factory compares to the one in the film.
RCA was a pioneer in bringing color TV to the United States and the world. Who remembers degaussing a color TV?
moreover, afaik there were little important differences between CRTs built for the northern emisphere and those for the southern emisphere (basically degaussing was inverse)
Simple bots, updates to Loops, and Flipboard takes over some automated RSS accounts.
The News
The upcoming shutdown of the botsin.space server has lead to some renewed experimentation and development work around bots on the fediverse. Terence Eden has built a bot to be as simple as possible, needing only 2 files to run. This bot can be bridged to Bluesky as well.
Some more updates on Loops, with some crucial missing features now being added: tapping the Home button brings you to the top of the feed, a pull to refresh, and tabs for notification, search and explore. Loops is also taking a decidedly different approach from other fediverse platforms; while many fediverse platforms pride themselves on not having an algorithmic feed, developer Daniel Supernault is working on placing For You Page is becoming front-and-center for Loops. In turn this makes it difficult for new Loops servers to set up and compete, and Supernault is actively considering having the flagship loops.video server function as the centralised service for the For You algorithm.
Flipboard is taking over the accounts on the press.coop server. Press.coop was a fediverse server that mirrors the RSS feeds of news organisations, and republished them on an unofficial press.coop account. In the press release, press.coop owner Dick Hardt says that he noticed that now that Flipboard is part of the fediverse, these news organisations already have a more official presence on the fediverse via Flipboard. ActivityPub allows for an easy transfer here, if you followed a press.coop account you are now automatically following the corresponding Flipboard account instead.
The fediverse has tied up user names quite strictly to fediverse servers: your username handle contains the server name itself, following the convention of @username@serverdomain.tld. This means your account is tied up to the server and server domain, which does occasionally lead to issues with servers disappearing because the domain is not available anymore. This convention is not in fact mandated by ActivityPub, and the ‘WebFinger Split-Domain Canary‘ is a showcase that it is possible to have an account where the domain in the username is different from the server that the account is on. For developers interested in experimenting what is further possible in the fediverse this might be an interesting direction to look at.
Heise.de has consistently been sharing statistics on the sources of traffic to their news site, and for the last two weeks Mastodon has overtaken X in traffic, with Bluesky and Threads far behind.
In This Issue
* A Note From The Editor
* Features
* Upcoming Events
* Featured Streamer: Kristoffer Lislegaard
* Closing Remarks
A Note From The Editor
Welcome back! I took the month of October off as a matter of personal mental health…
L’annuncio della joint venture tra Leonardo e Rheinmetall inizia a dare i suoi primi frutti, fungendo da catalizzatore per altri esponenti dell’industria nazionale della Difesa. Iveco defence vehicles (Idv), divisione del Gruppo Iveco specializzata
“Come definito da Robert Leonhard nel suo libro ‘L’arte della manovra’, la ‘guerra di manovra’ è ‘il mezzo per sconfiggere… il nemico’. L’obiettivo è raggiungere la vittoria, non il mantenimento della competizione. Per ottenere questa vittoria è necessaria un’aggressività che,
[Morley Kert] had a problem. He’s a big fan of the lovely Fortune Chair from Heller Furniture. Only, he didn’t want to pay $1,175 for a real one. The solution? He printed his own instead!
The basic concept is simple. Capture or recreate the geometry of the fancy expensive designer chair, and then print it out on a 3D printer. That would be easy, except for scale. Chairs have to be both big enough to seat humans, and strong enough to carry their weight. For the average 3D printer owner, meeting the big requirement is difficult, since most printers are quite small compared to chairs.
[Morley] gets around this in the typical fashion—he prints the chair in multiple segments. Indeed, we’ve seen [Morley] tackle a similar project before, too. Only, last time, he had the benefit of a print farm and some easily-accessible geometry for the target object. This time, he’s working very much more from scratch, and chose to print everything at home. That made things quite a bit harder.
@Notizie dall'Italia e dal mondo Il Consiglio di Sicurezza delle Nazioni Unite ha dato avvio al dibattito sulla proposta di risoluzione presentata dalla Gran Bretagna per fermare i combattimenti e portare soccorso alla popolazione stremata L'articolo SUDAN. ONU chiede un corridoio
La Camera dei deputati ha approvato in via definitiva il disegno di legge per la ratifica e l’esecuzione della Convenzione sull’istituzione del GCAP (Global Combat Air Programme), firmata a Tokyo il 14 dicembre 2023. Con 215 voti favorevoli e 43 contrari (Movimento Cinque Stelle e
L’Unione europea potrebbe realizzare il più grande investimento di sempre sulla Difesa, pari a quasi 400 miliardi di euro. Secondo un articolo del Financial Times, Brussels starebbe valutando di reindirizzare una parte consistente del bilancio comune, circa 392 miliardi di euro, verso il
Tra un mese devo fare un piccolo intervento che, per quanto veloce, richiederà l'anestesia totale. Mi fa più paura questa che l'operazione in sé (è la prima volta). 🙄
USB 2 is the USB we all know and love. But about ten years ago, USB got an upgrade: USB 3.0. And it’s a lot faster. It started off ten times the speed of USB 2, with 5 Gbps, and later got 20 Gbps and 40 Gbps revisions. How does that work, and how do you hack on it? Well, for a start, it’s very different from USB 2, and the hacking differs in many important ways.
In fact, USB 3 is an entirely separate interface from USB 2, and it does not depend on USB 2 in any way whatsoever – some people think that USB 3 negotiation happens through USB 2, but that’s a complete myth. USB 2 and USB 3 are electrically, physically, and logically distinct interfaces. Except for the fact that USB 3 is backwards compatible with USB 2, they are simply entirely different.
This also means that every USB-A port with USB 3 capabilities (typically blue, but not always) carries two interfaces; indeed, if you want, you can split a typical USB 3 port into a USB 3-only USB-A port and a USB 2-only USB-A port. USB 3-only ports are not legal per USB 3 standard, you’re expected to keep USB 2 there, but only for user convenience; you can split it with a hub and get, like, three extra USB 2 branches for your own use. Even if it’s forbidden, it works flawlessly – it’s what I’m currently using to connect my mouse to my laptop as I’m typing this!
Not to say that USB 3 is all easy to work with – there’s a fair bit of complexity.
For A More Civilized Age
USB 3 is fully differential, and full duplex. It’s still point-to-point, but unlike USB 2 with its pseudodifferential half-duplex transmitters, there are two differential pairs – one RX, one TX. It’s like UART: TX on one end connects to RX on the other end, RX connects to TX, so the two pairs have to be crossed over, typically, inside the cable – for instance, high-speed USB-C cables have the USB 3-intended pairs crossed-over by default! Oh, and you have to put series capacitors on each end, at each TX output.
By [Unconventional2], CC BY-SA 4.0In this way, USB 3 physical layer is just like PCIe; in fact, it can be done using basically the same hardware inside the chip! The routing requirements are tougher than USB 2, so you really want to make sure the tracks are impedance-matched, and use a four-layer PCB instead of a two-layer one. Wondering about routing USB 3? Refer to my guide on routing PCIe, keeping the above restrictions in mind. Here’s a bonus – unlike USB 2, you can flip the pair polarity for ease of routing!
Device detection isn’t done with resistors – instead, the USB 3 peripheral produces regular pulses on the TX pair, known as LPFS mode, and the peripheral on the other end listens to the RX pair for these pulses. That’s also how polarity flips get compensated for.
There are no resistors to add, though if you want to connect different USB 3 devices on your board, you might need to take care of some common mode level matching every now and then, like niconico shows us in detail in the extensive readme for their wonderful PCB housing a USB 2 – USB 3 transaction translator.
Just like PCIe, you’re not expected to handle USB 3 yourself. Unlike USB 2, you can’t quite hand-wire it either – there are products of Eastern manufacture that do, and the failures are quite prominent. If you are shopping for USB 3 hubs and find one with a captive cable, be careful – it might be wired in a lax way, neglecting USB 3 requirements, and you won’t be able to fix it without buying a new hub. Better stick to USB 3 hubs equipped with microUSB3 and USB-C ports!
If you want your links to work guaranteed, don’t hand-wire them, rather, use impedance-matched traces on your PCB as much as possible, PCB track quality really matters here, and could easily limit your speed; even big companies might screw it up!
For instance, [WifiCable] has tinkered on a laptop with USB 3 ports limited to 5 Gbps mode by a chipset setting, and once the setting was unlocked, the ports would negotiate 10 Gbps mode, but had constant stability issues. I’ve also seen Dell route a USB 3 link over an FPC, only to get stability issues with certain kinds of hubs.
The Three Versions
You might have heard of the USB 3 naming shenanigans, with like fifteen different names and logos used to refer to different USB3 versions – like USB 3.0 USB 3.1, USB 3.1 Gen 2, USB 3.2, and so on. I am pleased to inform you there are only three versions – the dozen different names and logos are duplicates of each other, a marketing strategy that confused people more than it helped, nothing more. If you want to learn more about how it came, you can read here, but let’s be fair, you likely don’t need to know that.
These are as big as they look, and haven’t really caught on. by [Anil Öztas], CC BY-SA 4.0 There are only three USB 3 versions as far as cold hard hacking is concerned – you can refer to them as 5 Gbps, 10 Gbps, and 20 Gbps. The 10G bps is just 5 Gbps but overclocked in a few different ways. The 20 Gbps version requires USB-C, and, to simplify it, is like two USB 3 links ganged together. You can’t just put two links together to get 20 Gbps mode, though – it does require a different USB 3 peripheral, and it doesn’t work like two USB3 links, even though it has backwards compatibility.
As for matters more physical, there’s four different connectors you will see USB 3 on – USB-A, USB-B, microUSB 3, and USB-C, each of them getting extra two pairs of pins, and, for the first three, an extra GND pin. This GND line helps provide a more stable ground reference, is perhaps not as much encumbered by the ground current, and with the GND pin placed between the two pairs, it helps prevent crosstalk. USB-A is used on hosts, USB-B and microUSB3 are mainstays on devices, and USB-C, in its universality, can be used everywhere.
remember, microUSB3 is backwards compatible with microUSB cables! By [William.wl.li], CC BY-SA 4.0On some devices of Eastern manufacture, in the dark days before USB-C, you might have seen USB-A used as a device port, and the devices would come bundled with the forbidden USB A-to-A cable. MicroUSB3 has the reputation for being finicky, and USB-B 3 is quite bulky, to the point where not all devices could even afford the added height. If you’re in a pinch and you need a USB 3 device port, you can still use USB-A – people will call it cursed, but you might as well wear this badge proudly.
Nowadays, if USB-C isn’t an option because you can’t be bothered to find a mux, a device with microUSB3 would be my second choice. The trick is to buy a few USB-C to microUSB3 cables on Aliexpress. I swear by them, and if you have some microUSB3 devices at home, you should grab two or three cables like that and never worry about microUSB3 again. Not that the forbidden A-A cable is hard to find nowadays, either!
Last thing to mention is, you might see USB 3 cables and sockets in an initially unexpected place – carrying a PCIe x1 link, again, in hardware of Eastern design. USB 3 cables are only used there for the extra lines: USB 2 pins carry REFCLK, and the two high-speed pairs carry, DRAIN typically carries GND, and the USB2 VBUS and GND tend to carry two PCIe link management signals.
This is an unspoken standard across Eastern vendors of many PCIe accessories – you might see slight pinout variations, but nothing too major. Honestly, I respect that a lot, I’ve recommended it to my hardware hacker friends as a way to expose PCIe, and it’s something that I believe is a decent option, especially given the abundance of hardware that uses USB 3 connectors for PCIe. Is it standards compliant? No. Could someone call it cursed? Yes. Is it a viable way to carry a PCIe x1 link? Also yes. Is it easy to implement? Yes, again. Is it cheap? Without a doubt. If you really need x4 and guaranteed high speeds, you might want to go for Oculink, but until then, the abusing USB 3 hardware will do just fine.
There’s more I could say about USB 3, but for now, I hope this is more than sufficient for you to wade through USB 3 waters, for whatever hacks and projects you might be exploring. Got questions, corrections, or advice? Ever make something cool with USB 3? Tell us all in the comments down below!
Annunci: Meta vuole essere "meno illegale", ma molto più fastidioso... Nella battaglia sull'uso illegale dei dati personali per la pubblicità, Meta ha annunciato un'altra variazione: Questa volta Meta proverà annunci "meno personalizzati", che potrebbero infastidire gli utenti e indurli ad acconsentire. mr12 November 2024
Annunci: Meta è orgoglioso di essere "meno illegale", ma presto più fastidioso Nella battaglia sull'uso illegale dei dati personali per la pubblicità, Meta ha annunciato un'altra variazione: Questa volta Meta proverà annunci "meno personalizzati", che potrebbero infastidire gli utenti e indurli ad acconsentire. mr12 November 2024
The Secret Service has used a technology called Locate X which uses location data harvested from ordinary apps installed on phones. Because users agreed to an opaque terms of service page, the Secret Service believes it doesn't need a warrant.
The Secret Service has used a technology called Locate X which uses location data harvested from ordinary apps installed on phones. Because users agreed to an opaque terms of service page, the Secret Service believes it doesnx27;t need a warrant.#FOIA #Privacy
The Secret Service has used a technology called Locate X which uses location data harvested from ordinary apps installed on phones. Because users agreed to an opaque terms of service page, the Secret Service believes it doesn't need a warrant.
L’Open Web Application Security Project (OWASP) è un’organizzazione senza scopo di lucro che sviluppa standard di sicurezza per le applicazioni e le API (Application Programming Interface). I suoi progetti, tra cui la “Top Ten”, sono utilizzati come riferimento per la sicurezza applicativa a livello mondiale.
Oggi, con la diffusione dei modelli linguistici di grandi dimensioni (LLM, Large Language Models), OWASP ha introdottouna nuova lista Top Ten specifica per aiutare a identificare e mitigare i rischi di sicurezza unici di questi modelli. Gli LLM, come GPT, sono suscettibili a nuove vulnerabilità, che vanno dall’esfiltrazione di dati sensibili alla manipolazione delle risposte. Comprendere e mitigare tali rischi è fondamentale, soprattutto per applicazioni critiche e sensibili.
OWASP LLM Top Ten
Vediamo subito quali sono i rischi principali, sulla base della versione 1.1, la più recente di OWASP LLM Top Ten:
Prompt Injection: input maligni progettati per indurre l’LLM a comportarsi in modi non previsti, con il rischio di esporre dati sensibili o attivare azioni non autorizzate.
Insecure Output Handling: rischi derivanti dal fatto che l’output degli LLM non viene adeguatamente sanitizzato, causando potenziali problemi di sicurezza come attacchi XSS (cross-site scripting) o esecuzione remota di codice.
Training Data Poisoning: avvelenamento dei dati usati per addestrare o affinare i modelli, con il rischio di compromettere la sicurezza, l’etica o le performance del modello stesso.
Model Denial of Service: gli attaccanti causano operazioni che richiedono molte risorse sui modelli di linguaggio di grandi dimensioni, portando a una degradazione del servizio o a costi elevati.
Supply Chain Vulnerabilities: rischi legati a componenti di terze parti, come plugin o modelli pre-addestrati, che potrebbero introdurre minacce o vulnerabilità esterne.
Sensitive Information Disclosure: rischio che gli LLM rivelino accidentalmente informazioni riservate, come dati proprietari o personali, soprattutto se i prompt degli utenti vengono riutilizzati nei dati di addestramento.
Insecure Plugin Design: vulnerabilità derivanti dall’uso di plugin che accettano input non validati, che potrebbero consentire attacchi di tipo prompt injection o l’esecuzione remota di codice.
Excessive Agency: si può verificare quando gli LLM vengono dotati di troppo potere o autonomia, con conseguenti rischi per la sicurezza e il controllo.
Overreliance: pericolo derivante dall’affidarsi ciecamente agli output degli LLM senza verificarne la validità, con il rischio di prendere decisioni errate basate su informazioni inaccurate o talvolta inventate.
Model Theft: rischio che i modelli vengano rubati da parte di attaccanti che sfruttano vulnerabilità nell’infrastruttura che li ospita.
Come mitigare i rischi
Al di là della lista, ciò che serve è acquisire dimestichezza e conoscenza su questi rischi e gestirli, occorre dunque capire come possono essere mitigati.
Per ognuno dei dieci rischi elencati nella Top Ten esistono metodi più o meno efficaci per la mitigazione. Se pensiamo alla prompt injection, il rischio numero uno nella top ten LLM, la metodologia di mitigazione più efficace consiste nell’implementare filtri di input avanzati per rilevare e bloccare potenziali attacchi.
Per mitigare i rischi legati alla gestione insicura dell’output (Insecure Output Handling), è fondamentale applicare alcune pratiche di sicurezza. In primis, l’output generato deve essere sanitizzato per evitare che contenga codice dannoso, come quello usato negli attacchi XSS. Inoltre, l’adozione di filtri linguistici è cruciale per bloccare contenuti inappropriati o dannosi, regolando i termini o le frasi che possono essere generati. Un’altra misura importante è l’uso di una struttura di risposta predeterminata, che garantisce che l’output segua un formato sicuro e controllato, riducendo il rischio di generare risposte non sicure. Infine, è essenziale implementare monitoraggio e logging delle risposte prodotte dal modello, per rilevare attività sospette e prevenire attacchi futuri.
Per contrastare il rischio di avvelenamento dei dati di addestramento (Training Data Poisoning), è essenziale adottare misure di protezione rigorose. Una pratica fondamentale è la verifica dei dati, assicurando che provengano da fonti affidabili e non siano stati manipolati, tramite tecniche di autenticazione. Inoltre, il monitoraggio della qualità dei dati è cruciale per individuare e rimuovere dati anomali o dannosi, mantenendo l’integrità del modello. È importante anche applicare tecniche di differenziazione dei dati, come la privacy differenziale, per proteggere le informazioni sensibili durante l’addestramento. Infine, è essenziale controllare le dipendenze esterne, garantendo che le fonti di dati, inclusi i modelli pre-addestrati, siano sicure e prive di vulnerabilità.
Tra le raccomandazioni generali, valide dunque per tutti, si ricorda che è bene realizzare audit regolari del modello, controlli di accesso e valutazioni di vulnerabilità.
La sicurezza degli LLM richiede il coinvolgimento di ingegneri, sviluppatori e team di sicurezza per affrontare in modo olistico i rischi.
Progetti e iniziative europee
In ambito europeo si sta cercando di gestire meglio questi nuovi rischi. Il progetto KINAITICS è un’iniziativa finanziata dall’Unione Europea che si concentra sull’analisi e la gestione delle minacce cyber-cinetiche, in particolare quelle che coinvolgono sistemi cyber-fisici e intelligenza artificiale.
Questo progetto, lanciato nell’ottobre 2022, riunisce partner da cinque Paesi europei tra cui l’Italia, include istituzioni come il Commissariat à l’Énergie Atomique (CEA) che agisce da coordinatore del progetto, oltre a diversi partner privati, per migliorare la sicurezza dei sistemi interconnessi che impiegano AI per il controllo e l’elaborazione dati.
KINAITICS si distingue per il suo approccio innovativo nello sviluppo di una matrice di minacce specifica, adattata a mitigare i rischi derivanti dall’integrazione dell’intelligenza artificiale in contesti industriali e cyber-fisici. Il progetto mira a prevenire attacchi sofisticati, come quelli basati sui digital twin di una fabbrica, che consentono a un attaccante di identificare punti vulnerabili nei cicli di produzione e introdurre misure di disturbo per sabotare i sistemi di controllo.
Un digital twin è una replica virtuale di un sistema fisico, e se compromesso, può portare a guasti nei cicli produttivi reali, manipolando i dati che alimentano i modelli. Questi attacchi dimostrano quanto sia cruciale proteggere i modelli AI avanzati, che, se vulnerabili, possono compromettere l’intero sistema cyber-fisico.
KINAITICS sviluppa tecnologie e metodologie per rilevare e difendersi da tali attacchi, creando una matrice di minacce mirata a rafforzare la sicurezza nei settori industriali. L’obiettivo complessivo è creare difese più resilienti attraverso strumenti e metodologie avanzate, integrando standard legali ed etici per garantire un uso sicuro dell’AI in vari settori industriali.
Conclusione
La sicurezza dei modelli di intelligenza artificiale, in particolare quelli linguistici avanzati, è un ambito in continua evoluzione, con rischi specifici come gli attacchi attraverso i digital twins che possono compromettere interi sistemi cyber-fisici. L’integrazione crescente dell’AI in contesti industriali e quotidiani richiede soluzioni proattive per proteggere le infrastrutture e garantire un uso sicuro delle tecnologie. L’OWASP LLM Top Ten offre una guida per identificare e mitigare i principali rischi, ma è essenziale una gestione continua e approfondita.
Poiché le minacce evolvono rapidamente, la sicurezza degli LLM non può essere considerata un compito da eseguire una sola volta, ma deve essere un processo continuo. L’adozione di misure di protezione specifiche è essenziale, ma la gestione delle vulnerabilità richiede una vigilanza costante e l’implementazione di aggiornamenti regolari, audit di sicurezza e valutazioni dei rischi. Un approccio olistico alla sicurezza, che coinvolga ingegneri, sviluppatori e team di sicurezza in un ciclo continuo di monitoraggio e miglioramento, è cruciale per prevenire nuove vulnerabilità e garantire che le tecnologie emergenti siano sempre protette da potenziali attacchi. Solo così si potrà garantire l’integrità dei modelli e proteggere le applicazioni sensibili da rischi imprevisti.
Progetti come KINAITICS, con il loro approccio innovativo alla protezione contro le minacce cyber-cinetiche, rappresentano un passo cruciale nel rafforzamento della sicurezza, mirando a prevenire attacchi sofisticati e a sviluppare difese resilienti. La sensibilizzazione dei professionisti della sicurezza è fondamentale per ridurre le vulnerabilità e assicurare che queste tecnologie avanzate siano utilizzate in modo sicuro e responsabile.
Su proposta del ministro della Difesa, Guido Crosetto, il Consiglio dei ministri ha nominato il generale Salvatore Luongo, 62 anni, (a destra nella foto) prossimo comandante generale dell’Arma dei Carabinieri. Per lui si tratta di una promozione, considerato che dal 1° giugno scorso è vicecomandante generale.
@Politica interna, europea e internazionale I giudici bloccano il trasferimento dei migranti in Albania: cosa succede adesso Ieri, lunedì 11 novembre, il Tribunale di Roma non ha convalidato il trattenimento in Albania di sette migranti egiziani e bengalesi che erano stati intercettati nei giorni precedenti dalla
On November 5th, the United States launched an LGM-30G Minuteman III ICBM from Vandenberg Space Force Base in California. Roughly 30 minutes later the three warheads onboard struck their targets 4,200 miles (6,759 km) away at the Reagan Test Site in the Marshall Islands. What is remarkable about this test is not that one of these ICBMs was fired — as this is regularly done to test the readiness of the US’ ICBMs — but rather that it carried three warheads instead of a single one.
Originally the Minuteman III ICBMs were equipped with three warheads, but in 2014 this was reduced to just one as a result of arms control limits agreed upon with Russia. This New Start Treaty expires in 2026 and the plan is to put three warheads back in the 400 operational Minuteman III ICBMs in the US’ arsenal. To this end a validation test had to be performed, yet a 2023 launch failed. So far it appears that this new launch has succeeded.
Although the three warheads in this November 5 launch were not nuclear warheads but rather Joint Test Assemblies, one of them contained more than just instrumentation to provide flight telemetry. In order to test the delivery vehicle more fully a so-called ‘high-fidelity’ JTA was also used which is assembled much like a real warhead, including explosives. The only difference being that no nuclear material is present, just surrogate materials to create a similar balance as the full warhead.
Assuming the many gigabytes of test data checks out these Minuteman III ICBMs should be ready to serve well into the 2030s at which point the much-delayed LGM-35 Sentinel should take over.
Le organizzazioni di tutto il mondo devono stare in allerta: è in corso uno sfruttamento attivo di una vulnerabilità critica nel software Veeam Backup & Replication per distribuire una nuova variante di ransomware, chiamata “Frag”. Questo nuovo attacco dimostra ancora una volta come i criminali informatici stiano diventando sempre più abili nel prendere di mira i sistemi di backup, vitali per il recupero dei dati e la continuità operativa.
Identificata come CVE-2024-40711, la vulnerabilità consente l’esecuzione di codice remoto senza autenticazione. Con un punteggio di gravità impressionante di 9.8 su 10 nella scala CVSS, il rischio di compromissione è elevato, tanto da fare di Veeam un obiettivo altamente appetibile per i cybercriminali. Il bug affligge Veeam Backup & Replicationversione 12.1.2.172 e le versioni precedenti. Nonostante Veeam abbia rilasciato delle patch correttive già da settembre 2024, numerose organizzazioni non le hanno ancora applicate.
La minaccia è stata collegata a un gruppo noto come STAC 5881, una “unità d’azione” che ha già sfruttato VPN compromesse per ottenere un accesso iniziale ai network target. Una volta penetrati, i malintenzionati fanno leva sulla vulnerabilità di Veeam per creare account amministrativi non autorizzati e proseguire con le loro operazioni malevole. STAC 5881, che in passato ha distribuito varianti di ransomware come Akira e Fog, ha ora sfoderato Frag, una versione mai vista prima, capace di colpire rapidamente e con precisione chirurgica.
Il ransomware Frag viene eseguito da riga di comando e permette agli attaccanti di specificare la percentuale di crittografia dei file. Una volta colpiti, i file assumono l’estensione “.frag”, segnando visibilmente i danni inflitti. Con l’analisi dei Sophos X-Ops, è stato possibile individuare similitudini tra Frag e le varianti precedenti, suggerendo che potrebbe trattarsi di un “nuovo attore” che adotta tattiche già consolidate. Ancora una volta, il modus operandi ruota attorno alla massimizzazione dei danni alle infrastrutture di backup, al fine di costringere le vittime a pagare il riscatto.
Perché i backup sono sotto attacco?
I backup sono una risorsa critica: permettono alle organizzazioni di ripristinare i dati senza soccombere alle richieste dei cybercriminali. Tuttavia, se questi sistemi vengono compromessi, le possibilità di recupero crollano drasticamente, aumentando la pressione sul pagamento del riscatto. Gli attacchi mirati a backup e sistemi di ripristino, come dimostrato da Frag, si stanno trasformando in una tattica prediletta dagli attori malevoli, che colpiscono il punto nevralgico della resilienza aziendale.
Consigli per difendersi
Applicare subito le patch per le versioni vulnerabili di Veeam Backup & Replication.
Isolare i server di backup da Internet, dove possibile, per ridurre l’esposizione a potenziali attacchi.
Implementare l’autenticazione multi-fattore per accedere ai sistemi di gestione dei backup, aumentando così le barriere di sicurezza.
Attivare un monitoraggio continuo per rilevare attività sospette o comportamenti anomali, fondamentali per intercettare i segnali di un potenziale attacco.
Conclusioni
Con varianti come Frag e gruppi come STAC 5881 in circolazione, le organizzazioni devono reagire con rapidità e rigore. I criminali informatici si evolvono senza tregua, pronti a colpire infrastrutture critiche e, in questo caso, i sistemi di backup su cui molte aziende fanno affidamento per sopravvivere. Il messaggio è chiaro: non possiamo permetterci di abbassare la guardia. Una patch trascurata o una protezione obsoleta possono significare il crollo dei sistemi, la perdita di dati critici e, inevitabilmente, gravi danni reputazionali e finanziari.
Per gli amministratori IT, è tempo di agire, aggiornare e proteggere – e farlo subito!
@Notizie dall'Italia e dal mondo Le nomine confermate e i nomi che circolano da più voci compongono un quadro di estremismo e intransigenza: sostegno incondizionato a Israele in tutti i consessi nazionali e internazionali, politiche di deportazione e repressione contro i migranti, scontro con l'Iran, opposizione a Cina, Cuba e alle esperienze
@Notizie dall'Italia e dal mondo Hanno ottenuto oltre il 70% dei voti nei loro distretti in Michigan e nel Minnesota. Annunciano che saranno tenaci oppositrici di Donald Trump che nel 2019 arrivò a minacciarle L'articolo Stati Uniti. Le
@Politica interna, europea e internazionale “Questi giudici devono andarsene”. Così Elon Musk commenta su X la notizia della mancata convalida da parte del Tribunale di Roma del trattenimento di sette migranti trasferiti dalle autorità italiane nei centri temporanei italiani su territorio albanese.
#Scuola, il Ministro Giuseppe Valditara ha firmato oggi il decreto che stanzia 12,8 milioni di euro a favore delle scuole con classi in cui la presenza di studenti stranieri che entrano per la prima volta nel sistema scolastico italiano supera il 20%…
#Scuola, il Ministro Giuseppe Valditara ha firmato oggi il decreto che stanzia 12,8 milioni di euro a favore delle scuole con classi in cui la presenza di studenti stranieri che entrano per la prima volta nel sistema scolastico italiano supera il 20%…
The Sentry was big iron for its day. The CPU was a 24-bit device and ran at a blistering 250 kHz. Along with a tape drive and a specialized test bed, it could test Z80s, F8s, and other Mostek products of the day. There was a disk drive, too. The 26-inch platters stored under 10 kilobytes. Despite the relatively low speed of the CPU, the Sentry could test devices running up to 10 MHz, which was plenty for the CPUs it was testing. The actual test interface ran at 11 MHz and used an exotic divider to generate slower frequencies.
According to the post, an informal count of the number of chips in the device came up with around 60,000. That, as you might expect, took a huge power supply, too.
“Optimized for engineering, sophisticated production needs, QA and test center operations, the Sentry 610 is the most versatile analytical tester available for engineering and production. It can perform the widest range of tests for the broadest range of components. At user option, the Sentry 610 can perform high-speed MaS/LSI, PCB, and bipolar tests simultaneously. It offers complete testing at the wafer level and through automatic handlers at full-rated device speeds up to 10 MHz. The wide choice of peripherals gives the Sentry 610 system massive data handling capacity to manipulate, analyze, compute and generate reports on test procedures in analyzing MaS/LSI.”
These days, you are as likely to stick test hardware on the IC as have a big machine on the outside. And even then, you probably wouldn’t have something this elaborate. But in its day, this was high-tech for sure.
The Z80 sure has had a long lifespan. It shouldn’t surprise you that Z80s need to be tested, just like everything else.
dwindling7373
in reply to Cybersecurity & cyberwarfare • • •