Gli esperti di Android Authority hanno scoperto snippet di codice nella nuova versione 24.45.33 di Google Play Services che supportano una funzionalità chiamata “Email protetta”.

Questo strumento è probabilmente progettato per creare alias e-mail monouso o ad uso limitato che inoltrano e-mail all’account principale. Gli utenti potranno disabilitare l’inoltro se inizia a essere inviato spam, il che aiuterà a mantenere la riservatezza dell’indirizzo principale. Oltre a proteggere dallo spam, la funzionalità è progettata per ridurre il rischio di tracciamento online e minimizzare l’impatto delle violazioni dei dati.

La funzione Email protetta è stata trovata anche nel menu delle impostazioni di compilazione automatica, ma un tentativo di accedere alla sezione ridireziona a una pagina vuota myaccount.google.com.

Non è ancora noto se gli indirizzi temporanei saranno unici per ciascun caso o se ci saranno restrizioni sul loro numero.

L'articolo Google rivoluziona la privacy! In Arrivo l’Email “Usa e Getta” per dire addio allo spam? proviene da il blog della sicurezza informatica.

Imagine this. A young person comes to you wanting to get started in the electronic hobby. They ask what five things should they buy to get started. Make your list. We’ll wait. We bet we can guess at least two of your items: a multimeter, and a soldering iron. [LearnElectroncsRepair] recently showed us a review of the Zotek Zoyi ZT-N2 which is a soldering iron and a multimeter in one unit. You can watch the video review below.

Honestly, when we heard about this, we didn’t think much of the combination. It doesn’t seem like having your probe get red hot is a feature. However, the probe tip replaces the soldering iron tip, so you are either soldering or measuring, but not both at the same time.

The soldering iron part looks a lot like a T100 iron with a USB connector and a little LCD screen. The device is portable, so it has a little cheap soldering iron stand. As a multimeter, it does all the basic tests, but it is only usable for low-voltage applications under 36V.

The negative lead plugs into the USB connector, so the meter runs off an internal battery. While it looks like it is usable, we couldn’t really think of many cases where this would be handy unless you are really trying to pack a lot in a small space. We’d rather throw a small meter in the bag and call it a day.

In 2017, these little soldering irons were a fresh fad. Now, they are pretty common.

youtube.com/embed/oGzb7aa8k4U?…

hackaday.com/2024/11/15/its-a-…

It’s with sadness that we note the passing of Thomas E. Kurtz, on November 12th. He was co-inventor of the BASIC programming language back in the 1960s, and though his creation may not receive the attention in 2024 that it would have done in 1984, the legacy of his work lives on in the generation of technologists who gained their first taste of computer programming through it.
For the 1980s kids who got beyond this coding masterpiece, BASIC launched many a technology career.
The origins of BASIC lie in the Dartmouth Timesharing System, like similar timesharing operating systems of the day, designed to allow the resources of a single computer to be shared across many terminals. In this case the computer was at Dartmouth College, and BASIC was designed to be a language with which software could be written by average students who perhaps didn’t have a computing background. In the decade that followed it proved ideal for the new microcomputers, and few were the home computers of the era which didn’t boot into some form of BASIC interpreter. Kurtz continued his work as a distinguished academic and educator until his retirement in 1993, but throughout he remained as the guiding hand of the language.

Should you ask a computer scientist their views on BASIC, you’ll undoubtedly hear about its shortcomings, and no doubt mention will be made of the GOTO statement and how it makes larger projects very difficult to write. This is all true, but at the same time it misses the point of it being a readily understandable language for first-time users of machines with very little in the way of resources. It was the perfect programming start for a 1970s or 1980s beginner, and once its limitations had been reached it provided the impetus for a move to higher things. We’ve not written a serious BASIC program in over three decades, but we’re indebted to Thomas Kurtz and his collaborator for what they gave us.

Thanks [Stephen Walters] for the tip.

hackaday.com/2024/11/15/basic-…

We’ll be honest. Measuring Forth words per second doesn’t seem like a great benchmark since a Forth word could be very simple or quite complex. But we think the real meaning is “up to 400 million words per second.” There was a time when that level of performance would take a huge computer. These days, a simple board that costs a few bucks can do the trick, according to [Peter Forth] in an online presentation.

The key is the use of the Milk V Duo and some similar boards. Some of these look similar to a Raspberry Pi Pico. However, this chip on board has two RISC V cores, an ARM core, and an 8051. There’s also an accelerator coprocessor for vector operations like AI or video applications.

[Peter] has some popular Forth systems ported to the machine on GitHub. This might be the easiest way to get started because, as he mentions in the video, the documentation for these boards leaves something to be desired. However, these chips have a lot of capability for a small price.

We like Forth. If you want something that is less of a port, we’ve seen some native RISC V implementations.

youtube.com/embed/3dKryMJN3KU?…

hackaday.com/2024/11/15/risc-v…

When Apple recently announced the hearing aid feature on their new AirPods Pro 2, it got the attention of quite a few people. Among these were [Rithwik Jayasimha] and friends, with [Rithwik] getting a pair together with his dad for use by his hard-of-hearing grandmother. That’s when he found out that this feature is effectively limited to the US and a small number of other countries due them being ‘regulated health features’, per Apple. With India not being on the approved countries list and with no interest in official approval legalities, [Rithwik] set to work to devise a way to bypass this restriction.

As noted in the blog post, the primary reason for using AirPods here instead of official hearing aids is due to the cost of the latter, which makes them a steal for anyone who is dealing with mild to moderate hearing loss. Following the official Hearing Aid feature setup instructions requires that your location is detected as being in an approved country. If it is, the Health App (on iOS 18.1) will popup a ‘Get Started’ screen. The challenge was thus to make the iOS device believe that it was actually in the FDA-blessed US and not India.

Merely spoofing the location and locale didn’t work, so the next step was to put the iOS device into a Faraday cage along with an ESP32 that broadcast California-based WiFi SSIDs. Once the thus treated iPad rebooted into the US, it could be used to enable the hearing aid feature. Next [Rithwik] and friends created a more streamlined setup and procedure to make it possible for others to replicate this feat.

As also noted in the blog post, the Hearing Aid feature is essentially a specially tuned Transparency mode preset, which is why using AirPods for this feature has been a thing for a while, but with this preset it’s much better tuned for cases of hearing loss.

hackaday.com/2024/11/15/bypass…

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 33 campagne malevole, di cui 19 con obiettivi italiani e 14 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 292 indicatori di compromissione (IoC) individuati.

Riportiamo a seguire il dettaglio delle tipologie illustrate nei grafici, risultanti dai dati estratti dalle piattaforme del CERT-AGID e consultabili tramite la pagina delle Statistiche.

Andamento della settimana

Sono 17 i temi sfruttati questa settimana per veicolare le campagne malevole sul territorio italiano. In particolare si rileva:

1. Banking – Tema ricorrente nelle campagne di phishing rivolte a clienti di istituti bancari italiani e non, come BPM, Intesa Sanpaolo, Crédit Agricole e Hype. Usato inoltre per una campagna italiana di smishing finalizzata a veicolare il malware Irata.
2. Rinnovo – Tema sfruttato principalmente per campagne italiane di phishing ai danni di Aruba.
3. Ordine – Argomento utilizzato per due campagne generiche finalizzate a veicolare il malware Agent Tesla, oltre ad una campagna italiana volta a distribuire il malware Snake Keylogger.
4. Documenti – Tema utilizzato per una campagna di phishing generica ai danni di DocuSign e per una ai danni di Ecount, oltre a essere stato sfruttato per una campagna internazionale finalizzata alla diffusione del malware Lumma Stealer.

Il resto dei temi sono stati utilizzati per veicolare campagne di malware e di phishing di vario tipo.

Eventi di particolare interesse:

• Una nuova ondata di malspam PEC ha impattato l’Italia. Anche questa settimana lo scopo è stato diffondere il malware Vidar attraverso link al download di file VBS. Le azioni di contrasto sono state intraprese dal CERT-AGID con il supporto dei gestori PEC.
• Individuata una campagna internazionale di phishing a tema DocuSign: email con allegati HTML spingono la vittima a effettuare il login su una replica malevola del modulo ufficiale del brand. Le credenziali rubate vengono inviate a un bot Telegram. Ulteriori dettagli nella news del CERT-AGID.

Malware della settimana

Sono state individuate, nell’arco della settimana, 8 famiglie di malware che hanno interessato l’Italia.

Nello specifico, di particolare rilievo, troviamo le seguenti campagne:

1. AgentTesla – Rilevate diverse campagne generiche a tema “Ordine” e “Pagamenti”, diffuse mediante email con allegati ZIP.
2. LummaStealer – Individuata una campagna italiana a tema “Legale” diffusa tramite email con allegato 7Z, oltre ad una campagna generica a tema “Documenti”, diffusa tramite email con allegato ZIP.
3. AsyncRAT – Scoperta una campagna generica a tema “AI”, veicolata tramite falsi siti di OpenAI contenenti link a file RAR.
4. SnakeKeylogger – Individuata una campagna italiana a tema “Ordine”, diffusa tramite mail con allegato 7Z.
5. Formbook – Rilevata una campagna italiana a tema “Pagamenti”, diffusa tramite mail con allegati 7Z, VBS e VBE.
6. Irata – Scoperta una campagna italiana a tema “Banking”, diffusa tramite SMS contenti link a file APK.
7. Vidar – Rilevata una campagna italiana a tema “Pagamenti”, veicolata tramite email provenienti da caselle PEC compromesse con allegato VBS.
8. DBatLoader – Rilevata infine una campagna generica a tema “Fornitura”, veicolata tramite email con allegato CAB.

Phishing della settimana

Sono 13 i brand della settimana coinvolti nelle campagne di phishing. Per quantità spiccano le campagne a tema Webmail generica, Aruba e Intesa Sanpaolo.

L'articolo AgentTesla in Pole Position tra i malware più diffusi in Italia nella settimana proviene da il blog della sicurezza informatica.

Autore: Kim Allamandola.

Cerco di immaginare un futuro probabile, possibile, senza scadere in un programma politico o un manifesto di ciò che vorrei, distinguendo chiaramente quale sia il futuro probabile, ciò che mi aspetto accadrà vs quel che potrebbe accadere, il futuro possibile ed auspicabile a mio giudizio.

Gli elementi base del discorso vertono sul fatto che digitalizzando la società è anacronistico aver “luoghi di lavoro” diversi da scrivania e computer per i lavori da ufficio, ovvero è anacronistico aver degli immobili interi “per l’ufficio”, mi aspetto ed auspico al contempo che il telelavoro prenda piede, con alti e bassi ma dilagando.

Mi aspetto che alcuni valutino le potenzialità di ciò che già posseggono, computer, ma anche alloggi, impianti al loro interno, e di conseguenza (ri)scoprano pian piano i vantaggi di operare sul proprio ferro, in casa propria, sul proprio terreno al posto di dipendere da giganti terzi, vale per i privati come per le attività economiche, PMI in testa, come mi aspetto che i giganti non gradiscano scomparire senza far di tutto per tener la posizione raggiunta perché è ovvio che in un mondo basato sul telelavoro per ogni lavoro così svolgibile è un mondo di risorse distribuite in cui non c’è granché posto per il gigante. Per ora i tentativi di imporre il ritorno in ufficio (RTO per gli anglofili) sono essenzialmente falliti, l’idea di trasformare palazzine di uffici vuoti in appartamenti¹ è ovunque un fallimento, ora si vuole pagar meno ed emarginare i telelavoratori mentre qualcuno spera di convertire grattacieli vuoti in datacenter ma questi sono solo segni di disperazione d’un modello che non regge più. Per dar un’idea della penetrazione corrente del telelavoro suggerisco i dati EuroStat ben riassunti da Statista.com ove appare chiaro che più un paese è avanzato più si lavora da remoto.

Fronte dell’hardware

Partiamo proprio dall’ultimo pensiero del sommario: sinora la linea prevalente è che i datacenter, ovvero i servizi che questi offrono, abbiano affidabilità memorabili, inarrivabili ad altre scale, ed in parte è vero: quand’è l’ultima volta che avete trovato Google Search down? Però così affidabili… I recenti incendi di OVH, Aruba, i vari paperacchi dai down di Office365 a AWS che impatta ora Zoom, la PSN, Hulu, ora i Roomba ed i campanelli “smart” Ring, le banche coi saldi dei C/C improvvisamente azzerati, piuttosto che sistemi di pagamento down dalla Visa al sistema di pagamenti bancari della FED, ma anche i vari “WhatsApp down” e compagnia sino ai pagamenti col POS che talvolta non vanno localmente, una volta un doppio addebito per errore, un’altra uno mancato, sono ben visibili a chiunque voglia guardare, al contempo il desktop personale, specie di chi non è proprio CL di Tartagliana memoria² quand’è l’ultima volta che vi ha lasciato a piedi in anni di onorato servizio? Per farla breve: i giganti sono parecchio affidabili, ma anche il ferro personale lo è e tutto sommato non di meno.

Da qui arrivo rapidamente al punto: il ferro medio “da GDO” sta scadendo sempre più come qualità senza che i prezzi scendano per il prodotto finito, per cui è facile aspettarsi una certa repulsione crescente verso la fast tech (hardware dalla corta vita operativa, criticato anche nel recente report (pdf) 2024 della commissione sul commercio delle Nazioni Unite) ovvero come sta avvenendo per le auto, un crollo degli acquisti, ed una riscoperta del desktop classico che complice il telelavoro torna in auge, aggiornabile, con componenti selezionabili individualmente, che se ben fatto dura 8-10 anni comodi per il grosso degli usi comuni e che dopo è ancora buono per qualche anno per altri usi (es. primo computer per un ragazzino). Il passo da qui a realizzare che “l’homelab” è una sorta di micro-datacenter è ben breve (e la popolarità crescente del “self-hosting” lo mosta), al netto di aria condizionata domestica e fotovoltaico con stoccaggio che stan divenendo popolari (prezzi speculativi nostrani a parte), ma seriamente, guardate fuori dall’Italia e anche in Italia fuori dalle città e vedrete che si, è ancora marginale, ma è dannatamente in crescita, di connessioni FTTH decisamente performanti ecc c’è tutto quel che serve per un nuovo paradigma di computing decentralizzato in cui varie aziende si rendono conto di poter operare interamente da remoto noleggiando risorse o co-locando ferro presso i propri dipendenti, realizzando la propria infra senza pagare soggetti terzi a livelli di affidabilità e costi paragonabili e pure vantaggiosi. La logistica già permette di spedire comodamente componenti, anche solo dischi rigidi pronti da inserire in una macchina, in tempi rapidi e costi bassi, la cifrature full-disk completa il quadro.

Mi aspetto quindi – e NON auspico – da un lato in una prima fase una gran discesa verso il mobile per le masse già in atto da anni e che ancora durerà un po’ di anni, ma non avendo più granché clienti che sbavano per l’iPhone appena uscito i giganti cercheranno presto altre vie di profitto dall’IoT agli wearable quali status symbols da mostrare agli amici “hey, vedi le mie nuove tapparelle a comando vocale” piuttosto che elettrodomestici come le lavatrici connesse con app che mostra il cestello mentre gira o il frigo con webcam interna da osservare mentre si è al supermercato sino al punto in cui i più vuoi per condizioni economiche, vuoi per problemi materiali di questi oggetti si arrivi ad un crollo. Auspico – e mi aspetto – dall’altro lato che non potendo lavorare con questi dispositivi, con questo modello, si ritorni al desktop che è qui per restare a dispetto d’ogni spinta contraria e dei bassi numeri d’oggi, e da li si arrivi ad un certo “movimento dei self-hoster” non più solo per nerd, anche perché il cambio generazionale porta più persone “attive” che un po’ di digitale lo conoscono, anche e soprattutto aziende, che si son bruciate le dita sul computer di qualcun altro altrimenti noto come cloud, come sta da tempo mostrando la rediviva popolarità del Desktop GNU/Linux. L’IoT stesso avrà il suo peso a spingere in questa direzione coi molti che si bruceranno (e già si son bruciati) le dita con soluzioni proprietarie ferro+servizio che cessano di funzionare o diventano abbonamenti sempre più costosi e vorranno altro aperto, integrabile e di proprietà personale. Una volta fatto l’homeserver per la domotica, il desktop con la stanza dedicata per lavorare, un po’ di apparati di rete, il passo al rackino domestico è breve.

Su scala ci vorrà oltre un decennio, ma questo mi aspetto, per quella che sarà la classe media del domani.

Fronte del software

Il modello cloud, moderna versione del modello mainframe, è da tempo che scricchiola anche se tanti ancora non sentono il rumore. Solo per citar esempi recenti abbiamo in aumento qui e la player di un certo peso che dichiarano quanto stan risparmiando uscendo “dal cloud”, articoli di divulgazione sui pentiti del cloud sino ai singoli utenti che chiedono su Reddit come fare a conservare le proprie foto in casa per non pagare abbonamenti iCloud/Google Photos ed i primi articoli su perdite di profitti dei giganti per la fuga di (ri)comincia a far da se. Non sarà rapido perché mancano sia le competenze diffuse per far da se, sia pure il software, essendo il grosso dello sviluppo moderno centrato “sul cloud” (API and co) e non avendo quasi più IT interno sostanziale nel grosso delle aziende, ma ad ogni buon conto la decentralizzazione dovrà tornare nel software come nel mondo fisico ove aspetto una forte deurbanizzazione dopo alcuni anni di ri-urbanizzazione ancora, e questo implicherà standard aperti e interoperabilità.

Un tempo tutti i sistemi di comunicazione digitale così erano, le mail tutt’oggi usate e qui per restare ad esempio dove possiamo da una GMail scrivere ad una mail privata, a YMail, Mail.ru e via dicendo, cosa non possibile per ora anche solo tra WhatsApp e FB Messenger piuttosto che Skype e Teams, pur essendo dello stesso proprietario. Di recente gli annunci di “accordi di peering” tra giganti, i “gateway” per integrare un servizio con un altro crescono. Sono ancora rumore di fondo, ma dovranno espandersi ed alla fine dovrà tornare normale comunicare tutti con tutti senza giardini recintati. L’identità digitale probabilmente avrà un ruolo chiave poiché alla fine per comunicare serve conoscere chi sono gli altri umani con cui si comunica, identità appunto, ed una volta che i più avran toccato con mano quanto è comoda l’uso andrà ben oltre i rapporti tra la PA ed il Cittadino arrivando sino ad un’integrazione DNS.

I sistemi di pagamento, per ora in moltiplicazione ed isolamento, dovranno convergere analogamente su soluzioni comuni, quindi non sarà magari OpenBank (de jure in UE/area SEPA da anni tra gli operatori del comparto, purtroppo non imposta anche verso i clienti privati³) ma qualcosa dovrà arrivare e con lei arriverà il client bancario personale, dove si può operare su più banche/attori fintech insieme in un solo posto. Anche qui non sarà il mondo aperto, ideale, possibilissimo da decenni e osteggiato con ogni mezzo dai giganti, ma sarà qualcosa di sempre più vicino a questo perché non è solo auspicabile ma è tecnicamente NECESSARIO, e qualcosa si sta già muovendo sulla scorta delle enormi commissioni munte dai broker/PSP attuali.

Man mano che arriveranno al comando generazioni che lavorano sul desktop, nate su questo anche se immersi in oggetti “mobile/IoT/cloud”, con loro questa consapevolezza arriverà e in qualche modo si imporrà il cambiamento.

fronte pan-informatico

Auto, appliances domestiche, come già accade si informatizzeranno, probabilmente la fase di servizio aumenterà ancora molto prima che i più e l’ingestibilità su scala ne imponga il rigetto. Quindi è probabile immaginare una casa con un robottino polivalente autonomo per pulire pavimenti e vetri, unica macchina con più corpi che si portano da soli sul vetro posati dall’unità sul pavimento, nella stanza dove questa aspira e lava, che possono aprire le porte, magari pian piano trasformate da battenti a scorrevoli e poi motorizzate, come è probabile che la guida autonoma arriverà alla fine, la valigia (che già esiste, commerciale da alcuni vendor) che segue da se l’umano a piote diventi comune, come il forno connesso per far partire la cottura per tempo da far partire mentre si torna a casa, ma non ci saranno le città smart sognate dai giganti perché tecnicamente sono insostenibili, alcune ne nasceranno ma la quantità di risorse necessarie per crearle e la loro intrinseca fragilità ed inevolvibilità, l’inferno che sono già oggi, le renderanno un fallimento come la Fordlandia originale e come lo sono appunto le moderne Neom, Arkadag, Innopolis, … Da queste esperienze però usciranno generazioni che vivono davvero nell’automazione moderna e quindi la comprendono quanto basta da evolverla in condizioni sostenibili.

Oggi il grosso dell’IT è impiegato a spreco, abbiamo sistemi che consumano enormi risorse per far girare mostri tenuti insieme con lo scotch, pian piano questi diverranno ingestibili, come già oggi molti sono, e questo imporrà poco alla volta il ripartire da zero e come accadde dopo la bolla delle dot-com la ripartenza sarà ripulita, poi deriverà di nuovo, ma per un po’ sarà ripulita e poco alla volta le basi si consolideranno come si deve.

Conclusioni

Io sogno ed auspico una società di piccoli immobili sparsi, che per dimensione e spazi può evolvere nel tempo, che per costruirsi implementa il new deal, col telelavoro quale chiave per deurbanizzare permettendo a tanti altri di lasciar l’urbe grazie alla massa di coloro che lavora da remoto che sono i primi “trasferibili”, alcuni che lavorano in casa ma non in remoto, come il panettiere con la bottega al piano terra e l’alloggio al primo, con i telelavoratori che realizzano un modello desktop di ritorno cancellando i grandi datacenter, sostituiti da strutture più piccole di proprietà diretta di grandi aziende e ISP, col il fotovoltaico, l’idroelettrico ove possibile, quale chiave per la resilienza. Dubito si realizzerà perché ucciderebbe i giganti, renderebbe l’Agenda 2030 una distopia nazista impossibile, però UNA PARTE di ciò si realizzerà perché tecnicamente necessaria, ed un’altra sarà un ibrido tra ciò che c’è oggi e ciò che l’Agenda 2030 summenzionata vorrebbe.

Non credo siano così vicine le auto volanti che l’EASA dà per dietro l’angolo solo con la preoccupazione di come farle accettare ai più, ma arriveranno perché il costo delle reti viarie in un mondo che cambia non è meno insostenibile anche se i più non riescono ancora ad apprezzarlo in termini di risorse consumate. I droni per le consegne dubito potranno diffondersi nelle città dense, ma lo faranno nelle aree sparse che saranno il luogo di residenza della classe media e delle classi agiate residue, l’automazione per mero invecchiamento della popolazione dovrà avvenire. Il difficile non è immaginare quanto sopra con cognizione di causa ma dire QUANDO avverrà, in che fasi, in che forma pratica. Il desktop è avvenuto, pur non nelle forme immaginate dalla Xerox e con qualche decennio di ritardo rispetto alla possibilità tecnica. Il resto avverrà se si escludono scenari apocalittici da III guerra mondiale che cancellino l’umanità, ma per quanti ed in che modo va oltre la sfera del prevedibile, divenendo più un azzardo.

ad es. primi uffici convertiti a S. Francisco, i cui costi di conversione e la mera fattibilità tecnica sono folli e spesso impossibili, per cui molti han chiesto al governo di pagare per il loro ovviamente con la proprietà che prima incassa il contributo, poi affitta a disperati ben pigiati, e sono molte le voci che insistono nel tentativo di conversione anche se è chiaro che non tiene perché le persone che li abiterebbero, poveri e disperati che non possono più permettersi una casa ben concentrati non han lavoro, non han da vivere e anche mantenerli improduttivi con redditi universali non è sostenibile. Il reddito universale per garantire dignità funziona ma in una popolazione che comunque è produttiva, ovvero come ammortizzatore sociale per aver le terga parate se si cambia/perde il lavoro per un po’, non “per intere coorti di persone radunate”.

Dalle famose e storiche Cronache di Simon Tartaglia, il BOFH (Bastard Operator From Hell) ovvero il sistemista “illustrato” anni ’90, per chi volesse riscoprire questo pezzo di cultura IT vi sono vari diversi mirror pubblici con le storie in puro classico HTML anni ’90 e ancora si trovano edizioni stampate (a prezzi folli).

OpenBank sono quelle API che ogni banca deve esporre al pubblico, per ora solo istituzionale, che permettono ad es. “l’aggiunta di un C/C anche di altra banca” nella propria pagina personale del’web-banking o app bancaria di turno. Queste permetterebbero benissimo di aver app bancarie desktop non della banca ma FLOSS usate con ogni banca, concentrando in un solo posto comodo da lavorare ogni transazione e la propria operatività bancaria (come la compravendita ti titoli ma anche solo i bonifici o sorvegliare le operazioni addebitate) e SOPRATTUTTO avendo le transazione come XML/JSON firmati digitalmente dalla banca, ricevute in PDF firmato PADES sul proprio ferro, quindi ad es. in caso di attacco alla banca per cui i dati del C/C sono compromessi si può dimostrare quanto si aveva sopra dati alla mano autenticabili in tribunale senza storie al posto di esser totalmente alla mercé della banca.

L'articolo Il Futuro del Telelavoro e l’Evoluzione dell’Ufficio: Verso un Paradigma Decentralizzato proviene da il blog della sicurezza informatica.

In the iconic 1990s TV series The X Files, David Duchovny’s FBI agent-paranormal investigator Fox Mulder has a poster on his office wall. It shows a flying saucer in flight, with the slogan “I Want To Believe”. It perfectly sums up the dilemma the character faces. And while I’m guessing that only a few Hackaday readers have gone down the full lizard-people rabbit hole, wanting to believe is probably something that a lot of us who love sci-fi understand. It would be a fascinating event for science if a real extraterrestrial craft would show up, so of course we want to believe to some extent, even if we’re not seriously expecting it to appear in a Midwestern cornfield and break out the probes any time soon.

By All Means Believe. But Don’t Wreck Your Career

The infamous Fleischmann and Pons paper from 1989 on cold fusion.
Outside the realm of TV drama and science fiction it’s a sentiment that also applies in more credible situations. Back at the end of the 1980s for example when so-called cold fusion became a global story it seemed as though we might be on the verge of the Holy Grail of clean energy breakthroughs. Sadly we never got our Mr. Fusion to power our DeLorean, and the scientific proof was revealed to be on very weak foundations. The careers of the two researchers involved were irreparably damaged, and the entire field became a byword for junk science. A more recently story in a similar vein is the EM drive, a theoretical reactionless force generator that was promising enough at one point that even NASA performed some research on it. Sadly there were no magic engines forthcoming, so while it was worth reporting on the initial excitement, we’re guessing the story won’t come back.

When evaluating a scientific or technical breakthrough that seems as miraculous as it is unexpected then, of course we all want to believe. We evaluate based on the information we have in front of us though, and we all have a credibility pyramid. There’s nothing wrong with having an interest in fields that are more hope than delivery, indeed almost every technology that powers our world will at some time have to overcome skepticism in its gestation period. Perhaps it’s best to say that it’s okay to have hope, but hope shouldn’t override our scrutiny of the proof. Of course I want a perpetual motion machine, who wouldn’t, but as a fictional engineer once allegedly said, “Ye cannae change the laws of physics”.

An Example Here In 2024

The hydrogen future is very seductive. But does it work? Jóhann Heiðar Árnason, CC BY-SA 3.0.
All this introspection has been brought to the fore for me by something very much in the present, the so-called hydrogen economy. It’s difficult to ignore our climate emergency, and among the energy solutions aimed at doing something about it, hydrogen seems very promising.

It’s really easy to make from water by electrolysis, there are several ways to turn it into useful energy, and the idea is that if you can store it for later use you’re on to a winner. We’ve seen hydrogen cars, trucks, aircraft, heavy machinery, trains, and even the gas supplanting methane in the domestic grid, so surely the hydrogen future is well under way, right?

Sadly not, because as many a pilot project has shown, it’s difficult to store or transport, it makes many existing metal fittings brittle, and the environmental benefit is often negated by the hydrogen being generated from higher carbon electrical supplies. We still want to believe, but we can’t claim it’s delivering yet.

Whenever we feature a hydrogen-based story, as for example with this experimental storage tech from Swiss researchers, there is no shortage of comments about all of hydrogen’s shortcomings, and some even accuse us of somehow being the snake-oil salesmen shilling the questionable product. I feel this misses the point, that even though in almost all cases the battery is for now the better option, we cover interesting technology stories regardless of judgements over their eventual success. Hydrogen has enough real science and engineering behind it that its problems might one day be overcome, thus we’d be doing our readers a disservice if we didn’t cover it. There are sometimes newsworthy stories upon which we very much take a credible stand based on opinion, but when it comes to pure tech stories such as a hydrogen vehicle we’re simply reporting on the story because we find it interesting and we think you will too. We don’t know that the breakthrough engineering work won’t occur, but we do know that it hasn’t yet.

So when looking at a piece of technology that’s not delivered on its promise, ask for a moment whether there’s a likely “yet” on the end of the sentence without too much of a suspension of credibility. You might find yourself pleasantly surprised.

hackaday.com/2024/11/15/i-want…

In this episode you’ll get to hear not one, not two, but three Hackaday Editors! Now that the dust has mostly settled from the 2024 Hackaday Supercon, Al Williams joins Elliot and Tom to compare notes and pick out a few highlights from the event. But before that, the week’s discussion will cover the questionable patents holding back a promising feature for desktop 3D printers, a new digital book from NODE, and the surprisingly limited history of welding in space. You’ll also hear about the challenge of commercializing free and open source software, the finicky optics of the James Web Space Telescope, and the once exciting prospect of distributing software via pages of printed barcodes.

html5-player.libsyn.com/embed/…
Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:

• iTunes
• Spotify
• Stitcher
• RSS
• YouTube
• Check out our Libsyn landing page

Direct MP3 download for offline, “easy” listening.

Episode 296 Show Notes:

News:

• Britain’s Oldest Satellite On The Move: A Space Curiosity

What’s that Sound?

• Congratulations to [Jon] for guessing this week’s sound, getting lucky with the 20-sided die, and for having the “most correct” answer to boot!

Interesting Hacks of the Week:

• Brick Layers: The Promise Of Stronger 3D Prints And Why We Cannot Have Nice Things
• A Beautifully Illustrated Guide To Making
  
  • The Pinouts Book Is Here, And It’s Just What You Need

  
  

• Building A DIY Nipkow Disk Display
  
  • Mechanical Image Acquisition With A Nipkow Disc

  
  

• NASA Announces New Trials For In-Space Laser Welding
• The End Of Ondsel And Reflecting On The Commercial Prospects For FreeCAD
• Why The Saturn V Used Kerosene For Its Hydraulics Fluid

Quick Hacks:

• Elliot’s Picks
  
  • Making A Unique Type Of Wind Gauge For Home Assistant Use
  • Retrogadgets: Oscilloscope Cameras
  • The Constant Monitoring And Work That Goes Into JWST’s Optics
  • Welcome To SubTropolis: The Limestone Mine Turned Climate-Controlled Business Complex

  
  

• Tom’s Picks:
  
  • HIDman Brings Modern Input To Vintage PCs
  • A Brief History Of Cyrix, Or How To Get Sued By Intel A Lot
  • Teaching Computers To Read — Sort Of

  
  

hackaday.com/2024/11/15/hackad…

This week starts off with examinations of a couple hardware attacks that you might have considered impractical. Take a Ball Grid Array (BGA) NAND removal attack, for instance. The idea is that a NAND chip might contain useful information in the form of firmware or hard-coded secrets.

The question is whether a BGA desolder job puts this sort of approach out of the reach of most attackers. Now, this is Hackaday. We regularly cover how our readers do BGA solder jobs, so it should come as no surprise to us that less than two-hundred Euro worth of tools, and a little know-how and bravery, was all it took to extract this chip. Plop it onto a pogo-pin equipped reader, use some sketchy Windows software, and boom you’ve got firmware.

What exactly to do with that firmware access is a little less straightforward. If the firmware is unencrypted and there’s not a cryptographic signature, then you can just modify the firmware. Many devices include signature checking at boot, so that limits the attack to finding vulnerabilities and searching for embedded secrets. And then worst case, some platforms use entirely encrypted firmware. That means there’s another challenge, of either recovering the key, or finding a weakness in the encryption scheme.

Glitches to the Rescue

Speaking of looking for those vulnerabilities, let’s talk about glitching. We’ve talked about some interesting techniques in the past, like using a peizo element from a lighter. This coverage takes the opposite technique, shorting pins to ground during code runtime. [Maurizio Agazzini] takes a look at glitching technique on the ESP32.

The key, it seems, is setting up a repeatable test case. I like a quote from the article, that the goal is to make a “world” considered non-deterministic a little more deterministic. In this case, that means understanding the exact instructions that the MCU is running, triggering an exception to know the exact state the MCU is in after the test, and exactly timing the fault attempt.

Do 36,000 attempts at different timings and pulse lengths, chart it out, and see what happens. And there are some interesting observations there. One of the most interesting rabbit holes from the article is debunking of the idea of skipped instructions as the result of glitches. What actually seems to happen, when the glitch is a crowbar circuit to ground, is that individual bits get pulled to 0. That can corrupt either the instruction or memory itself. Understanding those glitches is key to figuring out how to abuse them. We’ll be keeping an eye out for the next installment in this one.

The S in IOT Stands for Security

Claroty’s Team82 took aim at the OvrC cloud platform, an IoT remote management solution, and found some problems. And when I say “some problems”, I really mean that every device connected to the cloud controller could be fully pwned. Starting with an easy enumeration using MAC Addresses, every device could be mapped and determined if it was claimed or not. The nutty part here is that users that opted out of cloud control were just considered unclaimed devices, making takeover even easier.

Claiming a device was intended to require both the MAC Address and a unique serial number. A URL endpoint on the platform actually skipped verifying the serial number, allowing for easy claiming of any unclaimed device with only a MAC address. And claimed devices? The OvrC platform has support for device hubs, where is a local management device where a user can pair multiple individual IoT devices. Impersonate a hub, and you can force already claimed devices to the unclaimed status.

Oh, and hub devices had a hidden superuser account with a password derived from the MAC address and another knowable service tag value. And with Superuser access, there’s a diagnostics menu that includes direct command injection. So there’s that. OvrC has addressed and fixed the reported flaws, making for a bit more secure IoT devices.

BinaryFormatter is Insecure and Can’t Be Made Secure

That title isn’t the sort of thing you want to hear from your upstream vendor, about a function call you’re using in your code. Here we have Watchtowr, in their gloriously snarky style, detailing a deserialization flaw in Citrix’s Virtual Apps and Desktops. This is one of those thin client solutions, where the read hard work is done on a central machine in the server room.

One of the killer features of this enterprise app is session recording. That’s the ability to spy on observe users, and play it back later for analysis. The problem is that this data has to get serialized and streamed over the network. And in a weird turn of programming fate, the MSMQ service that handles this is accessible over HTTP. That’s SOAP over HTTP, if you really must know. And because of the reliance on BinaryFormatter, it’s remotely exploitable. This ends up as a remote code execution bug, and the resolution is as yet not entirely known. Citrix has received and confirmed the bug, and the disclosure was set for November 12, but no CVE or formal patch announcement has been made.

Bits and Bytes

I’m not sure if it’s more insulting or less insulting to fall to a ransomware attack where it’s just Windows Bitlocker that’s doing the encryption. Apparently the criminals behind ShrinkLocker have taken the approach that there’s no reason to bother actually writing encryption code for their ransomware, since Microsoft has perfectly serviceable encryption already. The good news is that as one might expect from such coding laziness, the implementation is flawed, and there is a decryptor available that can potentially recover the password.

In a strike against fraud and global computer crime, law enforcement agencies have seized a whopping 22,000 IP addresses, and made 41 arrests. Dubbed Operation Synergia II, this one is interesting in that much of the law enforcement action happened in China and other Eastern countries, with support from both Kaspersky and Interpol.

There’s a new sneaky way to smuggle malicious payloads on MacOS. This one seems to be coming from North Korea’s Lazarus group. MacOS has extended Attributes for files and directories, and can apparently be used to hold raw text. It’s not visible in Finder, but can be found with xattr command. In this case, it’s not a vulnerability, but simply a very uncommon place to sneak some malicious script onto a system.

hackaday.com/2024/11/15/this-w…

Il gruppo di hacker iraniano TA455 sta utilizzando tattiche simili a quelle del gruppo nordcoreano Lazarus per prendere di mira l’industria aerospaziale offrendo lavori falsi a partire da settembre 2023. Secondo l’azienda israeliana ClearSky gli aggressori distribuiscono il malware SnailResin che attiva la backdoor SlugResin.

TA455, noto anche come UNC1549 e Yellow Dev 13, è una divisione di APT35, conosciuta con vari nomi: Charming Kitten, CharmingCypress, ITG18 e altri. Si ritiene che il gruppo sia affiliato al Corpo delle Guardie della Rivoluzione Islamica (IRGC).

Dall’inizio del 2023, TA455 ha preso di mira le industrie aerospaziali e della difesa nei paesi del Medio Oriente come Israele, Emirati Arabi Uniti e Turchia. Gli attacchi si basano sull’ingegneria sociale utilizzando false offerte di lavoro per introdurre backdoor MINIBIKE e MINIBUS. Proofpoint riferisce che gli aggressori spesso utilizzano aziende false per contattare le vittime.

A quanto pare, TA455 ha utilizzato trucchi simili in passato, fingendosi reclutatori sui social media, comprese foto false generate dall’intelligenza artificiale e impersonando persone esistenti. PwC ne ha parlato dettagliatamente nel suo rapporto.

ClearSky rileva che TA455 utilizza metodi simili al Lazarus Group della Corea del Nord, incluso il download di DLL attraverso siti Web falsi e profili LinkedIn. Ciò potrebbe indicare tentativi di confondere le indagini o uno scambio di strumenti tra gruppi.

Gli aggressori utilizzano attacchi in più fasi utilizzando e-mail di phishing mascherate da documenti di lavoro e archivi ZIP contenenti codice dannoso. Usano anche GitHub per nascondere i server di comando e controllo, consentendo loro di mascherare il traffico e aggirare la sicurezza.

Pertanto, i criminali informatici utilizzano sempre più spesso trucchi, copiando i metodi degli altri e confondendo i confini con gli attacchi provenienti da paesi diversi. Ciò ricorda una regola che vale anche per il settore della sicurezza informatica: fidarsi, ma verificare, soprattutto se l’offerta sembra troppo allettante

L'articolo TA455 e Lazarus: alleati o rivali? Nuove Minacce e False Assunzioni Dilagano nel Cyberspace proviene da il blog della sicurezza informatica.

Understanding the nature of pH has bedeviled beginning (and not-so-beginning) chemistry students for nearly as long as chemistry has had students. It all seems so arbitrary, being the base-10 log of the inverse of hydrogen ion concentration and with a measurement range of 0 to 14. Add to that the electrochemical reactions needed to measure pH electronically, and it’s enough to make your head spin.

Difficulties aside, [Markus Bindhammer] decided to tackle the topic and came up with this interesting digital pH meter as a result. Measuring pH electronically is all about the electrode, or rather a pair of electrodes, one of which is a reference electrode. The potential difference between the electrodes when dipped into the solution under test correlates to the pH of the solution. [Markus] created his electrode by drawing molten antimony into a length of borosilicate glass tubing containing a solid copper wire as a terminal. The reference electrode was made from another piece of glass tubing, also with a copper terminal but filled with a saturated solution of copper(II) sulfate and plugged with a wooden skewer soaked in potassium nitrate.

In theory, this electrode system should result in a linear correlation between the pH of the test solution and the potential difference between the electrodes, easily measured with a multimeter. [Marb]’s results were a little different, though, leading him to use a microcontroller to scale the electrode output and display the pH on an OLED.

The relaxing video below shows the build process and more detail on the electrochemistry involved. It might be worth getting your head around this, since liquid metal batteries based on antimony are becoming a thing.

youtube.com/embed/rkgUStPq6g4?…

hackaday.com/2024/11/15/homebr…

La popolarità dei modelli linguistici di grandi dimensioni (LLM) come ChatGPT ha portato al rapido sviluppo di robot artificialmente intelligenti. Tuttavia, una nuova ricerca ha rivelato gravi vulnerabilità nei sistemi di controllo dei robot: i dispositivi autonomi possono essere hackerati e programmati per fare cose pericolose. Ad esempio, durante gli esperimenti, un robot con lanciafiamme sulla piattaforma Go2, controllato da comandi vocali, ha seguito le istruzioni per dare fuoco a una persona.

Il ruolo dei grandi modelli linguistici nel controllo dei robot

I modelli linguistici di grandi dimensioni sono una versione migliorata della tecnologia di input predittivo utilizzata negli smartphone per completare automaticamente il testo. I modelli sono in grado di analizzare testo, immagini e audio e di eseguire un’ampia gamma di compiti, dalla creazione di ricette basate su fotografie del contenuto del frigorifero alla generazione di codice per siti web.

Le capacità dei modelli linguistici hanno incoraggiato le aziende a utilizzare LLM per controllare i robot utilizzando i comandi vocali. Così Spot, il cane robot della Boston Dynamics dotato di ChatGPT, può avere maggiori informazioni su cosa fare Tecnologie simili sono utilizzate dai robot umanoidi e dai cani robot Go2 di Unitree.

Prompt Injection e Rischi di attacchi jailbreak

Come sappiamo, i Large Language Model (LLM) possono essere facilmente hackerati. Questo avviente con le “prompt injection” e quindi rendere il modello privo di filtri che consentono di non eseguire “input malevoli”. Questi jailbreak vengono costantemente scoperti come ad esempio un membro della nostra community Carlo Di Dato. L’articolo che vi invitiamo a leggere è “Come Ho Superato le Limitazioni di ChatGPT per Produrre Metanfetamine“).

Lo studio ha evidenziato la vulnerabilità dei sistemi basati su LLM agli attacchi “jailbreaking”, quando i meccanismi di difesa vengono aggirati mediante richieste speciali. Tali attacchi possono indurre i modelli a generare contenuti vietati, comprese istruzioni per creare esplosivi, sintetizzare sostanze illegali o guide per imbrogliare.

Gli scienziati hanno sviluppato l’ algoritmo RoboPAIR , in grado di attaccare i robot controllati da LLM. Durante gli esperimenti, i ricercatori hanno testato tre sistemi: il robot Go2, il modello Jackal di Clearpath Robotics e il simulatore Dolphins LLM di Nvidia. RoboPAIR è riuscito a raggiungere il successo completo aggirando la sicurezza di tutti e tre i dispositivi.

I sistemi studiati avevano diversi livelli di disponibilità. Dolphins LLM era una “scatola bianca” con accesso completamente open source, che rendeva le cose più semplici. Jackal era una “scatola grigia”: l’accesso al codice rimaneva limitato. Go2 funzionava come una “scatola nera”: i ricercatori potevano interagire con il sistema solo tramite comandi testuali. Nonostante i diversi livelli di accesso, RoboPAIR ha aggirato con successo la sicurezza di ciascun sistema.

L’algoritmo funzionava nel modo seguente: il modello linguistico d’attacco generava richieste dirette al sistema bersaglio e analizzava le risposte. Quindi le richieste sono state modificate fino a bypassare i filtri di sicurezza integrati. RoboPAIR ha utilizzato l’API del sistema di destinazione per rendere le richieste conformi a un formato che potesse essere eseguito come codice. Per verificare la fattibilità delle query, gli scienziati hanno aggiunto un “giudice” all’algoritmo, che ha tenuto conto dei limiti fisici del robot, come gli ostacoli nell’ambiente.

Conseguenze e raccomandazioni

I ricercatori sottolineano il grande potenziale del LLM nella robotica, in particolare per le ispezioni delle infrastrutture e la risposta alle catastrofi. Tuttavia, aggirare le difese può portare a vere e proprie minacce: ad esempio, un robot programmato per cercare armi elenca modi per utilizzare oggetti comuni per causare danni.

Gli autori dello studio hanno condiviso i loro risultati con i produttori di robot e le aziende di intelligenza artificiale per intraprendere azioni per migliorare la sicurezza. Secondo gli esperti, una protezione affidabile contro tali attacchi è possibile solo con uno studio dettagliato dei loro meccanismi.

Gli esperti sottolineano che le vulnerabilità del LLM derivano dalla mancata comprensione del contesto e delle conseguenze da parte dei modelli. Pertanto, il controllo umano deve essere mantenuto nelle aree critiche. Per risolvere il problema è necessario sviluppare modelli in grado di tenere conto delle intenzioni degli utenti e analizzare la situazione.

L’importanza della regolamentazione delle armi autonome

Con l’avanzamento delle tecnologie di intelligenza artificiale e robotica, la creazione e l’uso di armi autonome letali (LAWS). Questo utilizzo indiscriminato sta diventando una preoccupazione crescente a livello globale. Le armi autonome, che sono in grado di operare senza il controllo diretto dell’uomo, sollevano importanti questioni etiche, legali e di sicurezza. La capacità di un’arma di identificare, perseguire e attaccare un bersaglio senza l’intervento umano potrebbe portare a decisioni di vita o di morte prese da sistemi che non possiedono la capacità di comprendere il contesto complesso delle situazioni di conflitto.

In questo contesto, la regolamentazione diventa fondamentale per garantire che tali tecnologie non siano utilizzate in modo incontrollato o irresponsabile. La creazione di leggi e trattati internazionali che limitano lo sviluppo e l’uso di armi autonome potrebbe prevenire scenari in cui il conflitto.

Le discussioni sulla regolamentazione delle armi autonome non riguardano solo il controllo degli armamenti, ma anche la responsabilità. In assenza di una supervisione umana diretta, potrebbe essere difficile stabilire chi è responsabile in caso di incidenti. Le convenzioni internazionali devono evolversi per affrontare le nuove sfide, stabilendo chi sia legalmente responsabile e come punire gli abusi. Inoltre, la regolamentazione dovrebbe includere misure di trasparenza e monitoraggio per evitare che le armi autonome vengano utilizzate da attori statali e non statali in modo da minacciare la stabilità globale. La comunità internazionale deve impegnarsi a creare un quadro normativo che garantisca che l’evoluzione tecnologica venga utilizzata a beneficio della pace e della sicurezza globale, evitando il rischio di un futuro in cui le guerre siano combattute da macchine senza alcuna considerazione per la vita umana.

L'articolo Come un Robot Autonomo Lanciafiamme da fuoco ad una Persona! I Rischi legati ai LLM proviene da il blog della sicurezza informatica.

Oggi è un giorno speciale per gli appassionati di cybersecurity e criminologia: il libro “Algoritmo Criminale”, scritto da Pierguido Iezzi (un caro amico della community di Red Hot Cyber) insieme a Ranieri Razzante, è finalmente in edicola con Il Sole 24 Ore. Un risultato straordinario per un’opera che promette di fare luce su uno degli aspetti più complessi e inquietanti del crimine moderno: l’incontro tra tecnologia e criminalità organizzata.

Pierguido Iezzi, uno dei massimi esperti italiani di cybersecurity, ha descritto l’emozione di vedere il suo lavoro nelle edicole questa mattina. Con parole cariche di entusiasmo, ha raccontato l’impazienza e l’orgoglio di scoprire il libro esposto al pubblico, una testimonianza di quanto questo progetto sia stato per lui una missione oltre che un’opera editoriale.

“Algoritmo Criminale” non è solo un libro, ma una riflessione approfondita su come il crimine stia evolvendo grazie alla tecnologia. Scritto con la prefazione di Ivano Gabrielli, Direttore del Servizio Polizia Postale, e arricchito dalla postfazione di Antonio Nicaso, il libro esplora come le organizzazioni criminali utilizzino algoritmi, intelligenza artificiale e strumenti tecnologici avanzati per perpetrare reati sempre più sofisticati.

Pierguido Iezzi, grazie alla sua esperienza sul campo, offre una visione unica e concreta di queste dinamiche, rendendo il testo una lettura imprescindibile per chiunque voglia capire il futuro della sicurezza.

Disponibile già oggi in edicola e sullo shop online de Il Sole 24 Ore, il libro arriverà anche su Amazon e nelle librerie dal 22 novembre. Iezzi invita tutti i lettori a condividere il proprio feedback, considerandolo il regalo più bello che possano fargli. “Sapere cosa ne pensate è fondamentale”, ha scritto, sottolineando quanto tenga a creare un dialogo con chi leggerà il suo lavoro.

“Algoritmo Criminale” è un’opera che non solo informa, ma ispira. Grazie al contributo di esperti di fama internazionale, offre una panoramica dettagliata su come il crimine si stia trasformando nell’era digitale. Un tema di fondamentale importanza, affrontato con competenza e passione.

Non resta che immergersi nelle sue pagine e scoprire i segreti del crimine tecnologico.

L'articolo “Algoritmo Criminale”: Il nuovo libro di Pierguido Iezzi che Svela i Segreti del Cybercrime proviene da il blog della sicurezza informatica.

La Cyber Threat Intelligence (CTI) è una pratica che consiste nel raccogliere, analizzare e utilizzare informazioni relative alle minacce informatiche per proteggere le organizzazioni dalle attività malevoli. La CTI è diventata oggi un elemento chiave della sicurezza informatica, aiutando le organizzazioni a identificare e mitigare le minacce prima che causino dei danni concreti.

In questo articolo, esploreremo la Cyber Threat Intelligence in dettaglio, spiegando come funziona, quali sono i suoi principali vantaggi e come le organizzazioni possono implementare questa pratica per migliorare la loro sicurezza informatica.

Cos’è la Cyber Threat Intelligence

La Cyber Threat Intelligence consiste nell’analizzare i dati relativi alle minacce informatiche per identificare le intenzioni e le capacità degli aggressori. Questa pratica è essenziale per comprendere il rischio e adottare misure preventive contro attacchi informatici.

La CTI si basa su una vasta gamma di fonti di informazione, tra cui:

• Feed su avvisi inerenti la sicurezza informatica;
• Report di vulnerabilità e patch rilasciate dai fornitori di software;
• Analisi dei log di sicurezza;
• Analisi di siti web malevoli;
• Intelligenza collettiva, come gruppi di sicurezza informatica e forum online.

L’obiettivo principale della CTI è quello di aiutare le organizzazioni a comprendere le minacce informatiche che li circondano e a prepararsi per affrontare tali minacce.

Una buona Cyber Threat Intelligence dovrebbe fornire informazioni dettagliate sui tipi di minacce che possono interessare un’organizzazione, nonché sulle vulnerabilità del sistema che possono essere sfruttate dagli aggressori.

Oltre ai feed che abbiamo visto, esiste anche un altro tipo di feed proveniente direttamente dalle attività dei criminali informatici e vengono definiti “dark feed”.

Cosa sono i “dark feed”

Con il termine “dark feed” ci si riferisce a diversi contesti, ma in relazione alla cyber threat intelligence si riferisce generalmente ad una fonte di informazioni su attività criminali prelevate da Internet che non sono accessibili al pubblico in generale.

I dark feed sono quindi fonti di informazioni su minacce informatiche che provengono direttamente dall’ecosistema del cybercrime e non sono facilmente accessibili. Queste fonti possono includere forum e comunità online frequentati dl cybercrime, log delle botnet, gruppi di chat crittografati, dark web e fonti simili.

Le informazioni raccolte dai dark feed possono essere utilizzate per generare intelligence sulle minacce informatiche in corso, migliorare la comprensione delle tattiche e delle tecniche degli attaccanti e aiutare a sviluppare strategie di difesa più efficaci.

Tuttavia, poiché i dark feed possono essere fonti non ufficiali, è importante prendere in considerazione la qualità e l’affidabilità delle informazioni raccolte e verificare le fonti per ridurre il rischio di falsi positivi o informazioni errate. Va da se che più ci si avvicina alle attività dei criminali informatici, come nel caso dei dark feed, maggiore risulta essere il vantaggio strategico.

Come funziona un processo di Cyber Threat Intelligence

La Cyber Threat Intelligence funziona attraverso una serie di passaggi fondamentali:

1. Raccolta dei dati: le organizzazioni raccolgono dati da una vasta gamma di fonti, tra cui notizie, report di vulnerabilità, analisi dei log di sicurezza e intelligenza collettiva.
2. Analisi dei dati: una volta che i dati sono stati raccolti, vengono analizzati per identificare le minacce informatiche, le loro intenzioni e le loro capacità.
3. Creazione di profili delle minacce: in base all’analisi dei dati, vengono creati profili dettagliati delle minacce informatiche che possono interessare l’organizzazione.
4. Distribuzione delle informazioni: i profili delle minacce vengono distribuiti alle parti interessate all’interno dell’organizzazione, tra cui i team di sicurezza informatica, gli sviluppatori di software e i responsabili della gestione del rischio.
5. Prevenzione e mitigazione: le informazioni sui profili delle minacce informatiche vengono utilizzate per adottare misure preventive e mitigare le minacce.

Quali sono i vantaggi della Cyber Threat Intelligence

La Cyber Threat Intelligence, come abbiamo detto, aiuta le organizzazioni a comprendere meglio le minacce informatiche che circondano i loro sistemi e a proteggersi contro di esse. Questa pratica consente alle organizzazioni di identificare le aree del loro sistema che potrebbero essere vulnerabili alle minacce informatiche e di adottare misure preventive per proteggere i propri dati e le proprie informazioni.

Inoltre, la Cyber Threat Intelligence consente alle organizzazioni di prevedere le tendenze delle minacce informatiche future, il che significa che possono essere preparate per affrontare eventuali nuove minacce.

Un altro vantaggio della Cyber Threat Intelligence è che consente alle organizzazioni di collaborare tra loro per affrontare le minacce informatiche. Infatti, la condivisione di informazioni sulle minacce informatiche tra diverse organizzazioni può essere utile per tutte le parti coinvolte, poiché consente loro di imparare dalle esperienze degli altri e di identificare le tendenze delle minacce informatiche più ampie.

La CTI può essere utilizzata in vari contesti, inclusi quelli governativi, militari e commerciali. Le organizzazioni governative, ad esempio, possono utilizzare la CTI per identificare le minacce informatiche contro la sicurezza nazionale, mentre le organizzazioni commerciali possono utilizzarla per proteggere i propri sistemi e dati.

Tuttavia, l’implementazione della Cyber Threat Intelligence non è un compito facile e richiede competenze specialistiche e risorse significative. Le organizzazioni che intendono implementare la CTI devono essere pronte ad investire risorse e personale qualificato per creare e mantenere programmi di CTI efficaci.

Esempi pratici sull’utilizzo delle informazioni provenienti dalla CTI

DI seguito vogliamo riportare degli esempi pratici che possano far comprendere ai nostri lettori come la CTI possa dare supporto alle attività di intelligence delle aziende.

1. Identificazione delle vulnerabilità del sistema: utilizzando la CTI, le organizzazioni possono identificare delle vulnerabilità del proprio sistema preventivamente e adottare misure per mitigare i rischi. Ad esempio, possono installare patch di sicurezza o aggiornare il software per prevenire l’exploit delle vulnerabilità note.
2. Monitoraggio dell’attività dei malintenzionati: la CTI consente alle organizzazioni di monitorare l’attività dei malintenzionati sul proprio sistema. Le organizzazioni possono utilizzare queste informazioni per prevenire eventuali attacchi informatici e per mitigare i danni in caso di attacco.
3. Previsione delle tendenze delle minacce informatiche future: la CTI può essere utilizzata per prevedere le tendenze delle minacce informatiche future e per adottare misure preventive in anticipo. Ad esempio, le organizzazioni possono adottare misure preventive per proteggersi dalle nuove tecniche di attacco o dalle nuove minacce informatiche prima che diventino una vera e propria minaccia.
4. Condivisione di informazioni sulle minacce informatiche: le organizzazioni possono utilizzare la CTI per condividere informazioni sulle minacce informatiche con altre organizzazioni simili. Questa condivisione di informazioni può aiutare tutte le organizzazioni coinvolte a comprendere meglio le minacce informatiche e a identificare le tendenze delle minacce informatiche più ampie.
5. Protezione dei dati sensibili: utilizzando la CTI, le organizzazioni possono proteggere i propri dati sensibili da eventuali attacchi informatici. Ad esempio, possono adottare misure preventive per proteggere le informazioni di identificazione personale dei propri dipendenti o dei propri clienti.

La CTI quindi può offrire moltissimi benefici alle organizzazioni, tra cui la protezione dei propri sistemi e dati, la prevenzione degli attacchi informatici e la collaborazione tra le organizzazioni per affrontare le minacce informatiche.

Sistemi e tool a supporto della CTI

Gli analisti che lavorano in ambito della Cyber Threat Intelligence, possono beneficiare dell’utilizzo di una serie di strumenti o tool che consentono di automatizzare una serie di azioni ripetitive e manuali, in modo da concentrarsi nell’analisi dei dati.

La tipologia dei tool messi a disposizione per il mondo CTI sono:

1. Tool di raccolta dati: questi tool sono utilizzati per raccogliere dati relativi alle minacce informatiche da una vasta gamma di fonti, tra cui feed RSS, notiziari di sicurezza informatica, report di vulnerabilità e analisi dei log di sicurezza. Questi tool possono automatizzare il processo di raccolta dati e aiutare le organizzazioni a raccogliere informazioni in modo più rapido ed efficiente.
2. Tool di analisi dei dati: questi tool sono utilizzati per analizzare i dati raccolti dalle fonti di informazione. Possono essere utilizzati per identificare le tendenze delle minacce informatiche, le intenzioni degli aggressori e le vulnerabilità del sistema. Questi tool utilizzano spesso l’intelligenza artificiale e il machine learning per analizzare grandi quantità di dati in modo più efficace.
3. Tool di visualizzazione dei dati: questi tool sono utilizzati per visualizzare i dati raccolti e analizzati in modo più intuitivo e comprensibile. Possono utilizzare grafici, mappe e diagrammi per rappresentare le informazioni in modo più visivo e facile da capire.
4. Tool di condivisione delle informazioni: questi tool sono utilizzati per condividere informazioni sulle minacce informatiche tra diverse organizzazioni. Possono essere utilizzati per creare una comunità di sicurezza informatica, dove le organizzazioni possono condividere informazioni sulle minacce informatiche e collaborare per affrontare le minacce stesse.
5. Tool di gestione del rischio: questi tool sono utilizzati per gestire il rischio delle minacce informatiche e adottare misure preventive. Possono essere utilizzati per valutare la probabilità di un attacco informatico e per identificare le azioni che possono essere intraprese per mitigare i rischi.

Inoltre, ci sono anche tool di CTI gratuiti e open source che possono essere utilizzati dalle organizzazioni. Alcuni esempi di tool open source per la CTI includono MISP (Malware Information Sharing Platform), OpenCTI e ThreatPinch, ma anche Shodan.io, zoomeye.io ed altri ancora.

Pertanto vi auguriamo un fattivo studio del mondo della CTI, in quanto oggi è una tra le materie in ambito cybersecurity più utili e necessarie nel panorama delle minacce.

L'articolo Cos’è la Cyber Threat Intelligence. Scopriamo una disciplina fondamentale nella Cybersecurity proviene da il blog della sicurezza informatica.

Recentemente, un attore di minacce in un forum clandestino ha messo in vendita una violazione dei dati che presumibilmente includono informazioni sensibili di clienti italiani.

Non sappiamo ancora di quale azienda si parli ma il record sembra essere composto da id_cliente, nome, note, piva, email, azienda, cognome, password, telefono, cellulare, eliminato, codice_cliente, codice_fiscale, indirizzo_recapito, indirizzo_residenza, iscritto_newsletter. Tali campi lasciano pensare ad un sito di e-commerce online.

Nel post pubblicato, l’attore della minaccia, identificato con il nickname “dumpster“, sostiene di possedere un database di 180.000 contatti italiani. L’attaccante ha fornito un campione dei dati su Pastebin e ha dichiarato di accettare pagamenti tramite escrow.

Informazioni sull’obiettivo degli attori della minaccia

Gli attori di minaccia sembrano puntare a una vasta azienda o organizzazione italiana, data la quantità di dati personali dichiarati. Tale obiettivo può includere aziende operanti a livello nazionale con centinaia o migliaia di clienti. Tuttavia, non è stato ancora possibile confermare se i dati appartengano a una specifica azienda.

Se i dati fossero autentici, la loro esposizione comporterebbe seri rischi per le persone coinvolte, tra cui furto d’identità, attacchi di phishing mirati e altre forme di frode informatica. La presenza di password e contatti personali aumenta la vulnerabilità delle vittime a ulteriori attacchi.

La potenziale violazione rappresenta un serio rischio per la privacy dei cittadini italiani e sottolinea la necessità di misure di sicurezza avanzate per proteggere i dati personali. RHC Dark Lab seguirà l’evolversi della situazione per pubblicare ulteriori notizie sul blog, qualora ci fossero aggiornamenti sostanziali. Se ci sono persone a conoscenza dei fatti che desiderano fornire informazioni in forma anonima, possono utilizzare l’e-mail criptata dell’informatore.

L'articolo 180.000 Dati di Clienti italiani in Vendita! Qual è l’E-Commerce Sconosciuto? proviene da il blog della sicurezza informatica.

The common wisdom these days is that even if we wanted to get back to the Moon the way we did in the 1960s, we’d never be able to do it. Most of the blame for that usually falls on the loss of institutional knowledge thanks to skilled minds and hands that have been stilled by the passage of time, but the real kicker would be finding replacements for all the parts that we used back then that just aren’t made anymore. A similar problem exists for those seeking to recreate the circuits that graced the pages of the many magazines that catered to electronics hobbyists back in the day.

Take this “Space Age Decimal Computer” reproduction that [Bob Alexander] undertook. Smitten with the circuit after seeing our story about a 1966 article detailing its construction, he decided to roll one of his own. That proved to be far harder than he thought it would be. The original circuit, really little more than an adding machine using a rotary telephone dial as an input device, used neon lamp ring buffers for counting, The trouble is, while NE-2 neon lamps are still made, they aren’t made very precisely. That makes it difficult to build a working ring buffer, which relies on precise on and off voltages. That was even a problem back then; the author suggested buying 100 lamps and carefully characterizing them after aging them in to get the 60 lamps needed.

In the end, [Bob] settled for modifying the circuit while making the build look as close as possible to the original. He managed to track down the exact model of enclosure used in the original. The front panel is populated with a rotary dial just like the original, and the same neon lamps are used too, but as indicators rather than in ring buffers. Behind the scenes, [Bob] relied on 7400-series counters and decoders to make it all work — kudos for sticking with 1970s tech and not taking the easy way out with an Arduino.

The video below goes into more detail on the build and the somewhat kludgy operation of the machine, with a few excellent [Tom Lehrer] references and a nice Cybertruck dunk to boot.

youtube.com/embed/bYFRaweiN50?…

hackaday.com/2024/11/14/retro-…

Secondo fonti vicine al presidente degli Stati Uniti, Donald Trump impedirà il divieto di TikTok, che dovrebbe entrare in vigore il prossimo anno. Durante la campagna elettorale aveva promesso di “salvare” la popolare app se avesse vinto le elezioni.

TikTok, un servizio video che ha guadagnato un’enorme popolarità in tutto il mondo, rischia di essere bloccato negli Stati Uniti a causa dei requisiti stabiliti in una legge che impone a TikTok di trovare un nuovo proprietario non legato alla Cina entro il 19 gennaio.

Trump, secondo i suoi sostenitori, è già consapevole dell’importanza di TikTok per la sua campagna politica e ritiene che l’applicazione sia importante per connettersi con gli elettori. E nonostante nel 2020 abbia firmato personalmente un decreto che avrebbe potuto portare al ban di TikTok, durante la corsa elettorale ha cambiato posizione e ha promesso di tutelare il servizio.

Alcuni consiglieri del neoeletto presidente, tra cui Kellyanne Conway, sono fiduciosi che Trump, se necessario, interverrà nella situazione ed eviterà che la piattaforma venga bandita. Per fare ciò, però, potrebbe dover chiedere al Congresso di abrogare la legge o convincere il procuratore generale a non applicarla.

Se Trump decidesse di revocare il divieto, sarebbe un’inversione di rotta sorprendente per un presidente che in precedenza ha colto ogni occasione per criticare la Cina nelle sue politiche. È stato uno dei principali mandanti delle indagini su ByteDance, la società cinese proprietaria di TikTok, ma ora sembra aver cambiato tono, vedendo nell’app un potente strumento politico.

Se TikTok non riuscisse a vendere la propria partecipazione entro la fine di gennaio, la società potrebbe intentare una causa. I politici conservatori che sostengono il divieto sostengono che TikTok rappresenta una minaccia alla sicurezza nazionale a causa della possibile raccolta di dati degli americani da parte del governo cinese. Allo stesso tempo, molti americani credono che il divieto di TikTok sia più vantaggioso per gli interessi di concorrenti come Meta.

L’incertezza su TikTok continua ancora e il destino del servizio negli Stati Uniti rimane in un limbo. Tuttavia, molti esperti si aspettano che Trump difenda vigorosamente la sua posizione sulla questione una volta entrato in carica.

L'articolo Trump Ama TikTok? Una Mossa a Sorpresa verso un Disgelo con la Cina? proviene da il blog della sicurezza informatica.

To a casual observer of public discourse here in 2024 it seem extremely odd that the issue of replacing coal fired power stations with wind turbines is a matter of controversy, whether in America or Europe it’s an issue which causes some sparks to fly. The Atlantic has a recent article with a set of pictures from a gentler time in which the industrious nature of Nebraskan farmers in the 1890s receives praise as they create a wide variety of home-made wind turbines.

Farmers have always been the best hardware hackers, using what they have at hand to solve their problems and create the things they need. Perhaps out image of agricultural wind power is one of commercially produced wind pumps, but these are the generation of home-made devices which preceded that. Some of them look conventional to modern eyes, but others such as the horizontal “Jumbo” turbines have little equivalent today.

It’s easy to forget with so many energy sources at our disposal, that in the past the locality affected the choice of motive power. The Netherlands doesn’t have windmills because they are pretty, but because hundreds of years ago they lacked handy coal mines or convenient heads of water. Similarly out in the Nebraskan prairies they had plenty of wind, and never the folk to pass up on an opportunity, they made the best of it. And we’re very glad over a century later, that someone took the time to record their work.

If you’re hungry for more old-style wind power, we’ve got you covered, meanwhile 19th century America was no stranger to clever ways to use power.

Thanks [Hugh Brown] for the tip.

hackaday.com/2024/11/14/nebras…

One of the power supply boards in the Tom Evans Mastergroove SR MkIII preamplifier. (Credit: Mend it Mark, YouTube)
It’s not much of a secret that in the world of ‘audiophile gear’ there is a lot of snake oil and deception, including many products that are at best of questionable value. The Tom Evans Mastergroove SR mkIII preamplifier is one example of this, as [Mark] from the Mend it Mark YouTube channel found in a recent video when he got one to repair which the manufacturer claimed ‘could not be fixed’. This marvel of audio engineering provides amplification for record players, for the low-low price of only twenty-five thousand quid, or about 29.000 US bucks. So what’s inside one of these expensive marvels?

Claiming to be a high-end unit, with only ten units produced per year, you’d expect a gold-plated PCB with excellent noise isolation. The unit does come with an absolutely massive external power supply that dwarfs the preamplifier itself, but the real surprise came after opening up the unit itself to take a peek at the damage, some of which was caused by transport.

As it turns out, the inside of the preamplifier consists out of four stacks of rather cheap, home-made looking boards with what looks like improvised RF shielding in the form of bare PCBs and filed-off markings on many parts. In between the rat’s nest of wiring running everywhere, [Mark] had to trace the broken channel’s wiring, creating a full repair manual in the process. Along the way one of the opamp boards was found to be defective, courtesy of a single shorted tantalum capacitor.

With the tantalum capacitor replaced, [Mark] had repaired the unit, but even though the preamplifier isn’t terribly designed, the illusion of its price tag has been shattered worse than the contents of a parcel kicked across the parking lot by the Royal Mail.

Thanks to [Jim] for the tip.

youtube.com/embed/-RJbpFSFziI?…

hackaday.com/2024/11/14/repair…

There’s a lot going on in our wireless world, and the number of packets whizzing back and forth between our devices is staggering. All this information can be a rich vein to mine for IoT hackers, but how do you zero in on the information that matters? That depends, of course, but if your application involves Bluetooth, you might be able to snoop in on the conversation relatively easily.

By way of explanation, we turn to [Mark Hughes] and his Boondock Echo, a device we’ve featured in these pages before. [Mark] needed to know how long the Echo would operate when powered by a battery bank, as well as specifics about the power draw over time. He had one of those Fnirsi USB power meter dongles, the kind that talks to a smartphone app over Bluetooth. To tap into the conversation, he enabled Host Control Interface logging on his phone and let the dongle and the app talk for a bit. The captured log file was then filtered through WireShark, leaving behind a list of all the Bluetooth packets to and from the dongle’s address.

That’s when the fun began. Using a little wetware pattern recognition, [Mark] was able to figure out the basic structure of each frame. Knowing the voltage range of USB power delivery helped him find the bytes representing voltage and current, which allowed him to throw together a Python program to talk to the dongle in real-time and get the critical numbers.

It’s not likely that all BLE-connected devices will be as amenable to reverse engineering as this dongle was, but this is still a great technique to keep in mind. We’ve got a couple of applications for this in mind already, in fact.

youtube.com/embed/DO6pvIAu--E?…

hackaday.com/2024/11/14/blueto…

To tackle the growing electrification of devices, we’ll need to deploy more generation to the grid. The US Department of Energy (DOE) has unveiled a new target to triple nuclear generating capacity by 2050.

Using a combination of existing Generation III+ reactor designs, upcoming small modular and micro reactors, and “legislation like the ADVANCE Act that streamlines regulatory processes,” DOE plans to add 35 gigawatt (GW) of generating capacity by 2035 and an additional 15 GW installed per year by 2040 to hit a total capacity of 200 GW of clean, green atom power by 2050.

According to the DOE, 100 GW of nuclear power was deployed in the 1970s and 1980s, so this isn’t an entirely unprecedented scale up of nuclear, although it won’t happen overnight. One of the advantages of renewables over nuclear is the lower cost and better public perception — but a combination of technologies will create a more robust grid than an “all of your eggs in one basket” approach. Vehicle to grid storage, geothermal, solar, wind, and yes, nuclear will all have their place at the clean energy table.

If you want to know more about siting nuclear on old coal plants, we covered DOE’s report on the matter as well as some efforts to build a fusion reactor on a decommissioned coal site as well.

hackaday.com/2024/11/14/us-doe…