SpaceX’s Starship is the most powerful launch system ever built, dwarfing even the mighty Saturn V both in terms of mass and total thrust. The scale of the vehicle is such that concerns have been raised about the impact each launch of the megarocket may have on the local environment. Which is why a team from Brigham Young University measured the sound produced during Starship’s fifth test flight and compared it to other launch vehicles.

Published in JASA Express Letters, the paper explains the team’s methodology for measuring the sound of a Starship launch at distances ranging from 10 to 35 kilometers (6 to 22 miles). Interestingly, measurements were also made of the Super Heavy booster as it returned to the launch pad and was ultimately caught — which included several sonic booms as well as the sound of the engines during the landing maneuver.

Sounds were measured at eight different locations.
The paper goes into considerable detail on how the sound produced Starship’s launch and recovery propagate, but the short version is that it’s just as incredibly loud as you’d imagine. Even at a distance of 10 km, the roar of the 33 Raptor engines at ignition came in at approximately 105 dBA — which the paper compares to a rock concert or chainsaw. Double that distance to 20 km, and the launch is still about as loud as a table saw. On the way back in, the sonic boom from the falling Super Heavy booster was enough to set off car alarms at 10 km from the launch pad, which the paper says comes out to a roughly 50% increase in loudness over the Concorde zooming by.

OK, so it’s loud. But how does it compare with other rockets? Running the numbers, the paper estimates that the noise produced during a Starship launch is at least ten times greater than that of the Falcon 9. Of course, this isn’t hugely surprising given the vastly different scales of the two vehicles. A somewhat closer comparison would be with the Space Launch System (SLS); the data indicates Starship is between four and six times as loud as NASA’s homegrown super heavy-lift rocket.

That last bit is probably the most surprising fact uncovered by this research. While Starship is the larger and more powerful of the two launch vehicles, the SLS is still putting out around half the total energy at liftoff. So shouldn’t Starship only be twice as loud? To try and explain this dependency, the paper points to an earlier study done by two of the same authors which compared the SLS with the Saturn V. In that paper, it was theorized that the arrangement of rocket nozzles on the bottom of the booster may play a part in the measured result.

hackaday.com/2024/11/21/measur…

A cura diManuel Roccon e Matteo Brandi

Se i criminali informatici non dormono mai, anche le normative sulle sicurezza informatica si muovono. Ormai la direttiva NIS2, recepita con il Decreto Legislativo 138 del 4 settembre 2024, si è messa in moto. Con la NIS2, la nuova direttiva europea per la sicurezza informatica, le aziende devono prendere sul serio la protezione dei dati e garantire la business continuity e rispetto alla NIS questa si estende anche alla loro supplychain.

Noi con elmetto e piccone (sicurezza first!) abbiamo scavato a fondo nella NIS2 per portarvi solo le pepite d’oro: quei punti che riteniamo fondamentali per proteggere la tua azienda contro i criminali informatici applicando la norma.

Caro lettore, due avvertimenti però:

1. Non troverai se la tua azienda ricade o meno nella direttiva, per quello c’è articolo di Sandro Sana
2. Non troverai una analisi degli obblighi di comunicazione e/o iscrizione a piattaforme varie
3. La NIS2 comprende anche la sicurezza fisica, i disastri ambientali e la mancanza di connettività e di energia elettrica.Mancano solo le cavallette. Noi ci siamo concentrati sul cyber. Per un gruppo elettrogeno, provvedi da solo.
4. Questa è la nostra interpretazione pratica della norma, con alcuni (piccoli e pochi ma importanti) esempi applicati realmente.

Per una applicazione pratica della NIS2, il pilastro principale è l’articolo è l’art.21, in particolare nel paragrafo 2, i cui concetti sono riportati anche nell’art.24 del decreto di recepimento (DLGS 138 del 4 Settembre 2024).

Abbiamo diviso questo articolo in due parti, in questo pezzo ci dedicheremo ad approfondire fino al punto e del art. 21 del NIS2.

Articolo 21 NIS2

eur-lex.europa.eu/legal-conten…

DLGS 138 art 24

gazzettaufficiale.it/eli/id/20…

Andiamo a vederli nel dettaglio:

Politiche di analisi dei rischi e di sicurezza dei sistemi informatici

Pensare che la protezione dei sistemi aziendali consista solo in firewall e antivirus potrebbe essere l’errore numero uno. Certo, fanno parte del quadro, ma non sono la soluzione completa. Le politiche di sicurezza informatica vanno molto più in profondità: devono valutare tutti i punti deboli di un’azienda e aggiornarsi costantemente.

Ad esempio, hai mai considerato che un dipendente non formato può diventare il miglior alleato dei criminali informatici? Basta una email di phishing cliccata senza pensarci troppo.

Inoltre quanto sono importanti i tuoi dati se finissero in mani sbagliate? Molto importanti anche i sistemi DLP che monitorano e mitigano la esfiltrazione dei dati, come il blocco delle chiavette o altri supporti di memorizzazione esterni così da evitare che vengano copiati dati e portati via e/o dimenticati in giro. Possono essere create anche regole per tipologia di documento o contenuto, in modo da bloccare questi quando vengono caricati anche in internet (es. un impiegato infedele che esegue upload su qualche drive online).

È per questo che l’analisi dei rischi è fondamentale: significa mappare ogni vulnerabilità, anticipare possibili scenari e sapere come reagire. Una buona analisi dei rischi non solo individua i punti critici ma ti aiuta a distribuire meglio le risorse per la difesa, concentrando l’attenzione dove serve di più.

Sembra un foschia impenetrabile? Un faro c’è e si chiama ISO 27001. L’ISO 27001 è il sistema di gestione della sicurezza informatica che mette ordine nella tua azienda, stabilendo standard chiari su come proteggere i dati e minimizzare i rischi di attacchi informatici. Con un approccio strutturato e una protezione continua, questo strumento potente ti aiuta a chiudere le porte ai criminali informatici.

link redhotcyber.com/post/cosa-si-i…

Gestione degli incidenti

Quando i criminali informatici colpiscono, non c’è tempo per tentennamenti o “la prossima volta andrà meglio”. La tua azienda è sotto attacco e senza un piano solido, rischi di vedere tutto andare in fumo. La gestione degli incidenti informatici è la tua unica ancora di salvezza: un set di strategie per reagire all’impatto devastante di attacchi, violazioni e perdite di dati.

Quanti piani servono? Fondamentalmente due: il Disaster Recovery Plan ed il Response Plan. Vediamoli.

Disaster Recovery Plan

Un disaster recovery plan non è solo un elenco di cose da fare, ma una strategia solida che garantisce che ogni dato, file o sistema critico sia protetto e ripristinabile.

Il piano deve prevedere eventi come:

• Attacchi da criminali informatici
• Guasti ai PC
• Incendi
• Alluvioni
• Furti
• Smarrimenti
• Terremoti
• Strategie di backup
• Mancanza di energia elettrica
• Mancanza di connettività ad internet

Un piano di ripristino da disastro deve avere come minimo queste informazioni:

1. Dati di contatto (chi devo chiamare)
2. Calcolo del danno stimato
3. Piano di recupero delle attività (come si risolve)
4. Piano di continuità aziendale (come si continua nel mentre)
5. Copie dei contratti ed accordi in essere
6. Piano di esercitazione (una volta scritto, va testato per farlo conoscere a tutti)
7. Lista dei sistemi e dati critici
8. Lista degli obblighi normativi da rispettare
9. Strategia comunicativa per i clienti e gli organi di stampa

Ovviamente non deve rimanere “lettera morta”, deve essere testato, corretto e ti devi assicurare tutti abbiamo compreso quale è il proprio ruolo.

La strategia comunicativa non è un punto da sottovalutare. In base a quello che si dice e come lo si comunica, la situazione, che già non è rosea, peggiora drammaticamente se lo si fa in modo errato. Avere comunicati studiati e preparati in anticipo, è il modo per non fare ulteriori danni.

Se ti serve un template lo trovi qui: https://www.microfocus.com/media/unspecified/disaster_recovery_planning_template_revised.pdf

Response Plan

Il response plan è il fratello del disaster recovery, ma più immediato, pronto all’azione. Serve quando un criminale informatico fa il primo passo e sei già nel pieno dell’incidente. Questo piano ha un obiettivo semplice: contenere, limitare i danni e, se possibile, bloccare l’attacco. I punti cardine sono:

1. Preparazione (preparation)
2. Identificazione (identification)
3. Contenimento (containment)
4. Eradicazione (eradication)
5. Recupero (recovery)
6. Lezione imparata (lesson learned)

Preparazione: tanto banale quanto fondamentale ma anche disattesa: essere preparati. Tutto qui.

Identificazione: riconoscere l’evento che dovrebbe essere classificato come incidente informatico.

Contenimento: isolare l’incidente e non consentire che si propaghi.

Eradicazione: risolvere il problema.

Ripristino: Riparare i sistemi compromessi, recuperare i dati e far ripartire le attività interrotte durante l’incidente.

Lezione appresa: È la parte più importante. È un documento dove si descrive l’accaduto, le procedure adottate, quello che ha funzionato ma soprattutto quello che non ha funzionato.

Se non tieni traccia del passato, è difficile pianificare il futuro.

Continuità operativa, gestione del backup, ripristino in caso di disastro e gestione delle crisi

Il punto focale della normativa è la continuità operativa. La norma prevede di minimizzare e ridurre il più possibile gli effetti di un Cyber attacco nella business continuity sia sulla tua attività che sulla catena di fornitura.

Cosa di più importante di un backup per ripristinare i dati in caso di compromissione? In particolare che sia certo di riuscire a ripristinarli in tempo accettabile, anzi mi fermerei prima di riuscire a ripristinarli.

E’ di fondamentale importanza valutare bene che i nostri backup siano robusti, affidabili e inattaccabili dalle minacce informatiche e possano essere ripristinati in tempi certi e accettabili compatibili con il proprio business e quello dei nostri processi aziendali.

Come ad esempio eseguire la regola del 3-2-1 in cui utilizzare 3 copie su 2 tipologie di supporto di diverso, di cui uno offsite, che di recente, con l’aiuto delle nuove tecnologie, si è evoluto in 3-2-1-1-0, aggiungendo l’immutabilità del dato. Lo 0 finale poi sta a significare che il sistema riesca a verificare che ci siano 0 errori, così da essere sicuro che quando servono i backup, siano usabili al 100%.

Ma la tecnologia non basta. Occorre una valutazione dei tempi di RTO e RPO per valutare bene la quantità accettabile di dati che possa essere persa dall’ultimo backup ed i tempi di ripristino che siano allineati con il business dell’azienda. Considerare inoltre di tenere un numero sufficientemente di backup per non rischiare che quelli creati non siano tutti compromessi da un infezione presente sui sistemi da molto tempo!

Molti non lo considerano, ma un backup incrementale tradizionale compresso e cifrato di qualche TB in una rete, potrebbe essere ripristinabile in 1 o 2 giornate, ma per comprendere bene questo tempo è necessario fare dei test di cui parleremo tra poco…

Parliamo dei famosi backup in cloud.

“Sono tranquillo, ho il backup in cloud inattaccabile”.

Ok tutto bello e magari anche vero, ma quanto tempo ci vuole per ripristinarlo con la tua linea da 10mb/s Tera e Tera di dati? Forse è meglio pensare di andare a prenderli in bicicletta… il tuo provider ti permette di far avere i dati in tempi accettabili? Una tecnologia iperconvergente (HCI), per esempio, impiegherebbe poche decine di minuti per ripristinare i dati nel virtual storage di un’intera organizzazione.

Quindi la domanda è: le tue tecnologie attuali sono corrette e soddisfacenti per soddisfare la tua business continuity? Smarcato il piano tecnico, inoltre, sono fondamentali le esercitazioni e i test di ripristino periodici per verificare nel piano pratico che tutto funzioni. E’ necessario scrivere un documento che evidenzi cosa fare in caso di disastro, cosa iniziare a ripristinare prima in accordo con il business.

Piano che dovrebbe essere già presente per i guasti hardware, da integrare per quelli cyber, inserendo anche quelli di natura cyber.

Il famoso Disaster Recovery Plan

Finché facciamo i test interni in totale tranquillità andrà sempre tutto bene, pensiamo a un Lunedì mattina quando scopriamo che i sistemi siano totalmente offline e oltre a ripristino dei sistemi dobbiamo coordinare i vari fornitori, i clienti, la comunicazione con l’esterno, i vari reparti per arrivare al DPO in conformità alle normative vigenti in caso di data breach.

Tanto per la legge di Murphy queste cose succedono o il Venerdì sera con la variante del Sabato oppure il Lunedì mattina. In queste situazioni senza una linea da adottare ben definita il panico è assicurato e così anche la capacità di prendere scelte lucide e ponderate è seriamente compromessa.

Per cui è necessario aver già definito i possibili scenari e tutti gli step per arrivare al ripristino totale, a istituire un unità di crisi con delle persone ben identificate assieme a procedure e checklist ben definite. Nulla deve essere lasciato al caso in queste situazioni. Ne abbiamo già parlato in “Gestione degli incidenti” ma…repetita juvant!

Sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi

Nella NIS 2 aspetti relativi alla sicurezza non riguardano solo soggetti direttamente impattati, ma si estende anche alla catena di fornitura. Una particolarità: il soggetto coinvolto è responsabile (pecuniariamente) di verificare che la NIS2 venga applicata nella sua catena (situazione un po’ complicata). In poche parole i fornitori di soggetti che entrano nella NIS2, devo aver messo in pratica le raccomandazioni principali per non impattare sui clienti in caso di incidente informatico.

Questo per due motivi. Il primo è che la compromissione di un fornitore possa impattare il suo diretto cliente e bloccarne operatività. Pensiamo a un fornitore IT con i dati di accesso dei clienti che viene compromesso: il passaggio ai propri clienti potrebbe essere molto rapido. L’altro aspetto riguarda la continuità operativa: un blocco di un fornitore potrebbe impattare sull’operatività dei propri clienti con conseguente blocco della produzione.

Possiamo avere un quadro più chiaro leggendo il regolamento di esecuzione della Commissione Europea della normativa al punto 5.

eur-lex.europa.eu/legal-conten…

Il testo spiega che dovresti accertarti di verificare che la tua catena di fornitura abbia adottato i requisiti minimi per difendere se stessa e i suoi clienti.

Quindi cosa posiamo fare?

Leggendo il decreto attuativo della Commissione Europea per la direttiva 2022/2555 (NIS2), che risulta ancora in consultazione pubblica, si intravede la possibilità che nel caso in cui il fornitore non riesca a dare garanzie sulla propria sicurezza informatica, questa possa essere gestita dal cliente stesso.

Vi è mai capitato di trovare delle vulnerabilità sui software che un fornitore vi sviluppa o fornisce? Succede spesso trovarsi di fronte a un muro di gomma quando chiediamo di riconoscere la vulnerabilità sistemarla oppure chiedere delle ulteriori misure di sicurezza non previste, esempio l’implementazione del MFA. Cose sicuramente che ai fornitori costa tempo e denaro implementare….

Quindi si pone l’opzione di revisione dei contratti con i fornitori (come suggerito dal punto 5.1.4) aggiungendo per esempio delle SLA sulla risoluzione di segnalazioni incluse anche penali o rescissione del contratto. Potrebbe essere necessario verificare il background di fornitori (hanno già subito databreach in passato?) e i suoi dipendenti oltre ad obblighi di far pervenire delle prove di audit, come penetration test o vulnerability assessment fatti regolarmente sui sistemi e software dei fornitori.

Un ulteriore approfondimento di Sandro Sana qui (redhotcyber.com/post/enisa-avv…)

Sicurezza dell’acquisizione, sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione delle vulnerabilità

Sicuramente il legislatore vuole software più sicuri. Come? I casi sono così tanti che non se ne può fare un elenco. Devono essere più sicuri.

Inoltre il decreto legislativo di recepimento il quale all’art.27 al comma 1 recita: “L’Autorità nazionale competente NIS,[…], può imporre ai soggetti essenziali e ai soggetti importanti di utilizzare categorie di prodotti TIC, servizi TIC e processi TIC, di cui, rispettivamente, all’articolo 2, comma 1, lettere ff), gg) e hh), sviluppati dal soggetto essenziale o importante o acquistati da terze parti, che siano certificati nell’ambito dei sistemi europei di certificazione della cybersicurezza di cui all’articolo 49 del regolamento (UE)”

Mentre il citato articolo 49 del regolamento UE 2019/881 dice: “Strategie efficaci in materia di cibersicurezza dovrebbero essere basate su buoni metodi di valutazione dei rischi, sia nel settore pubblico che in quello privato. I metodi di valutazione dei rischi sono utilizzati a diversi livelli, e non esiste una prassi comune per quanto riguarda le modalità per una loro applicazione efficiente. […]”

Ma allora??

Ci illumina il comma 2 dell’art.27 del decreto di recepimento: “Nelle more dell’adozione di pertinenti sistemi europei di certificazione della cybersicurezza di cui all’articolo 49 del regolamento (UE) 2019/881, l’Autorità nazionale competente NIS, secondo le modalita’ di cui all’articolo 40, comma 5, puo’ imporre ai soggetti essenziali e ai soggetti importanti di utilizzare categorie di prodotti TIC, servizi TIC e processi TIC, sviluppati dal soggetto essenziale o importante o acquistati da terze parti, che siano certificati nell’ambito di schemi di certificazione riconosciuti a livello nazionale o europeo.”

Qui ci viene in soccorso l’art. 58 della NIS2 che cita le ISO/IEC 30111 e ISO/IEC 29147 che “forniscono orientamenti sulla gestione delle vulnerabilità e sulla divulgazione delle vulnerabilità” mentre l’art.79 “[…] Le misure di gestione dei rischi di cibersicurezza dovrebbero pertanto affrontare anche la sicurezza fisica e dell’ambiente dei sistemi informatici e di rete includendo misure volte a proteggere detti sistemi da guasti del sistema, errori umani, azioni malevole o fenomeni naturali, in linea con le norme europee e internazionali, come quelle di cui alla serie ISO/IEC 27000”

Prima di aprire il portafoglio per l’acquisto di un software, ti dovrai sincerare sia su come viene gestita la sicurezza dello stesso che sulle clausole contrattuali per la gestione e la risoluzione delle vulnerabilità scoperte lungo il cammino. Per chi sviluppa software poi, diventa una pratica molto consigliabile quella di far fare i test di sicurezza a soggetti che non abbiano preso parte allo sviluppo: quasi sempre più guardi il codice e meno vedi. Un paio di occhi freschi spesso sono la soluzione.

Speriamo che fin qui questi spunti ti siano stati utili, nel prossimo articolo tratteremo i rimanenti punti del art. 21 f, g, h, i, j della direttiva.

L'articolo La NIS2 applicata con esempi pratici – Parte 1 proviene da il blog della sicurezza informatica.

Hydrogen! It’s a highly flammable gas that seems way too cool to be easy to come by. And yet, it’s actually trivial to make it out of water if you know how. [Maciej Nowak] has shown us how to do just that with his latest build.

The project in question is a simple hydrogen generator that relies on the electrolysis of water. Long story short, run a current through water and you can split H₂O molecules up and make H₂ and O₂ molecules instead. From water, you get both hydrogen to burn and the oxygen to burn it in! Even better, when you do burn the hydrogen, it combines with the oxygen to make water again! It’s all too perfect.

This particular hydrogen generator uses a series of acrylic tanks. Each is fitted with electrodes assembled from threaded rods to pass current through water. The tops of the tanks have barbed fittings which allow the gas produced to be plumbed off to another storage vessel for later use. The video shows us the construction of the generator, but we also get to see it in action—both in terms of generating gas from the water, and that gas later being used in some fun combustion experiments.

Pedants will point out this isn’t really just a hydrogen generator, because it’s generating oxygen too. Either way, it’s still cool. We’ve featured a few similar builds before as well.

youtube.com/embed/zlCg-qMO9ck?…

hackaday.com/2024/11/21/simple…

Gli Usa hanno investito miliardi per cercare di sviluppare quest'arma. Ora il patto nell'Alleanza Aukus potrebbe risultare decisivo.

The post Così l’Australia diventa fondamentale per lo sviluppo dei missili ipersonici Aukus appeared first on InsideOver.

Avanzando in Libano, gli israeliani hanno scoperto arsenali del movimento sciita pieni di armi russe moderne.

The post Armi russe in mano a Hezbollah: Israele batte la pista della Siria appeared first on InsideOver.

G20, tanta volontà, l'incognita dei fatti. Una vittoria a metà per Lula e il Brasile Paese ospitante del summit.

The post G20, tanta volontà, l’incognita dei fatti. Una vittoria a metà per Lula appeared first on InsideOver.

Il giornale tedesco ricostruisce la storia del più grave attentato compiuto in Europa e tira in ballo anche la Cia.

The post Der Spiegel rivela: Nord Stream distrutto da un commando ucraino legato alla CIA appeared first on InsideOver.

Occorre molta prudenza nel dichiarare il cosiddetto stato di eccezione, o dall'esperienza pandemica non avremo tratto nessun insegnamento.

The post Lockdown climatici in Spagna? Calma, Non è ancora (o non è più) ora di Green pass appeared first on InsideOver.

Israele sta portando avanti il feroce “piano dei generali", che prevede l'espulsione completa dei palestinesi residenti al nord di Gaza

The post Gaza, 100mila palestinesi costretti a lasciare il Nord della Striscia appeared first on InsideOver.

In un'alleanza sempre più stretta con gli Usa, la Corea del Sud prova a migliorare le sue capacità di intelligence.

The post La Corea del Sud punta allo spazio per controllare le mosse del Nord appeared first on InsideOver.

i missili, gli attacchi alle reti energetiche, la svolta atomica di Putin: la sottile linea rossa verso l'escalation.

The post Dai missili di Biden alla svolta atomica di Putin: il confine con l’escalation si fa più sottile appeared first on InsideOver.

Una nave spia russa è stata intercettata e scortata fuori da acque ricche di strutture sottomarine strategiche. La strategia di Mosca.

The post Mare d’Irlanda: gasdotti, cavi dati, interconnettori elettrici e… una nave spia russa appeared first on InsideOver.

Google ha impiegato 15 anni a costruire una cultura interna volta a ridurre al minimo il rischio di azioni legali. Secondo il NYT, nelle dichiarazioni del tribunale in tre casi antitrust, i dipendenti dell’azienda sono stati sistematicamente istruiti a evitare argomenti scottanti, a non usare sarcasmo e a considerare attentamente i loro commenti.

Inoltre, nel 2008, l’azienda ha introdotto la cancellazione automatica della cronologia delle chat e tutti i dipendenti sono stati incoraggiati ad aggiungere avvocati come destinatari delle e-mail, anche se le questioni discusse non riguardavano la legge.

I giudici che esaminano i casi hanno ripetutamente criticato Google per tali pratiche. Uno di loro, James Donato, l’ha definita una “cultura sistemica della soppressione delle prove”, sottolineando che tale comportamento minaccia l’integrità della giustizia.

Il Dipartimento di Giustizia degli Stati Uniti ha inoltre osservato che Google evita di creare una base documentaria adatta ai procedimenti. In un caso è emerso che l’azienda distruggeva sistematicamente i messaggi utilizzando strumenti di messaggistica istantanea dotati di funzione di cancellazione automatica della cronologia.

Tali azioni hanno scontentato i regolatori. La Federal Trade Commission (FTC) e il Dipartimento di Giustizia hanno ricordato alle aziende che le comunicazioni elettroniche devono essere preservate come documenti giuridicamente vincolanti, soprattutto di fronte alla minaccia di contenziosi.

Google afferma che le modifiche miravano a “ottimizzare” i processi e ridurre al minimo le informazioni non necessarie. Tuttavia, dai documenti presentati in tribunale emerge che l’azienda ha cercato sistematicamente di nascondere le tracce delle discussioni.

Alcuni dipendenti di Google, temendo responsabilità, hanno continuato ad eludere le nuove regole. Ad esempio, dopo aver modificato la politica di salvataggio dei messaggi nel 2023, alcuni lavoratori sono passati ai messenger chiusi per le comunicazioni informali.

Le cause antitrust contro Google si concentrano in gran parte sulla posizione dominante dell’azienda nei mercati della pubblicità online e dei motori di ricerca. Allo stesso tempo, i tribunali sottolineano che le pratiche di cui sopra minano la fiducia nelle grandi aziende, creando l’illusione della segretezza.

Gli esperti legali ritengono che una tale strategia abbia avuto l’effetto opposto: invece di proteggere la reputazione, ha sollevato dubbi sulla trasparenza dell’azienda. Ciò mina la fiducia in Google e aumenta i sospetti sulla sua disonestà.

L'articolo Google Nel Mirino: Come La Cultura del Silenzio che Minaccia la Giustizia proviene da il blog della sicurezza informatica.

Donald Trump, preparandosi ad assumere la presidenza, ha scelto l’ex deputata Tulsi Gabbard come sua candidata per la carica di Direttore dell’intelligence nazionale (DNI) degli Stati Uniti. Questa posizione è stata creata dopo gli eventi dell’11 settembre per migliorare il coordinamento tra le varie agenzie di intelligence statunitensi, inclusa la CIA.

La nomina della Gabbard è stata oggetto di un intenso dibattito poiché gli esperti la considerano sottoqualificata per il ruolo. In precedenza ha ricoperto incarichi nelle riserve dell’esercito americano e ha rappresentato lo stato delle Hawaii al Congresso, ma non ha esperienza nella gestione di agenzie di intelligence. Una posizione così senior richiede una conoscenza approfondita dell’intelligence e della gestione, che secondo gli analisti lei non possiede.

I dubbi sulla nomina della Gabbard sono legati anche alle sue opinioni sulla politica internazionale. Si è candidata alla nomina presidenziale democratica nel 2020, posizionandosi come candidata per la pace. Nel corso della sua carriera politica, Gabbard ha cambiato più volte appartenenza al partito: iniziando come repubblicano, per poi passare ai democratici e ora di nuovo al Partito repubblicano (GOP). Allo stesso tempo, il suo sostegno a una serie di leader e paesi controversi ha suscitato critiche. Nel corso della sua carriera si è espressa a favore dei negoziati diplomatici con vari autocrati, cosa che è stata percepita in modo ambiguo dai suoi elettori.

Tra le sue dichiarazioni controverse e le sue opinioni sostenute, un certo numero di osservatori ha messo in dubbio la capacità di Gabbard di guidare efficacemente l’agenzia di intelligence. Ritengono che la sua nomina a un incarico così importante possa comportare alcuni rischi per la sicurezza nazionale degli Stati Uniti. Negli ultimi anni ha espresso posizioni che, secondo gli esperti, potrebbero indicare una tendenza a simpatizzare con politici controversi e un orientamento debole negli aspetti di sicurezza internazionale.

Alcuni osservatori hanno definito le opinioni di Gabbard un esempio di quella che è conosciuta come “politica a ferro di cavallo”, in cui le posizioni possono oscillare da sinistra a destra, attirando il sostegno di vari collegi elettorali radicali. Tali dichiarazioni di Gabbard hanno causato reazioni contrastanti tra i suoi colleghi di partito e il pubblico, poiché i suoi approcci a volte non corrispondevano alle opinioni tradizionali sulla politica estera.

Il Senato ha il compito di considerare attentamente tutti gli aspetti e i rischi associati alla candidatura di Gabbard, poiché questa nomina sarà decisiva nella questione della sicurezza nazionale degli Stati Uniti.

L'articolo Trump nomina Tulsi Gabbard come Direttore dell’Intelligence USA. Ed è Subito Polemica proviene da il blog della sicurezza informatica.

Apple ha rilasciato patch di emergenza per correggere due vulnerabilità zero-day che sono già state utilizzate negli attacchi contro i sistemi Mac basati su Intel. Questi 0day sono stati rilevati nei componenti macOS Sequoia JavaScriptCore (CVE-2024-44308) e WebKit (CVE-2024-44309).

Il CVE-2024-44308 è noto per consentire l’esecuzione di codice in modalità remota durante l’elaborazione di contenuti Web dannosi, mentre CVE-2024-44309 è noto per consentire attacchi XSS tramite contenuti Web dannosi.

Entrambi i problemi riguardavano solo i sistemi Mac basati su Intel e sono stati risolti come parte di macOS Sequoia 15.1.1. Poiché gli stessi componenti vulnerabili si trovano in altri sistemi operativi Apple, anche iOS 17.7.2 e iPadOS 17.7.2 , iOS 18.1.1 e iPadOS 18.1.1 nonché visionOS 2.1.1 hanno ricevuto patch.

Apple afferma che entrambe le falle sono state scoperte da Google Threat Analysis Group (TAG), ma non ci sono ancora dettagli su come siano state sfruttate le vulnerabilità, da chi o di che tipo di attacchi si stesse parlando.

Le recenti vulnerabilità zero-day scoperte nei sistemi Apple evidenziano ancora una volta la necessità di mantenere aggiornati i dispositivi e le applicazioni per proteggersi contro attacchi informatici sempre più sofisticati. Sebbene Apple abbia risolto rapidamente questi problemi con aggiornamenti di sicurezza, l’incidente sottolinea il crescente rischio rappresentato dalle vulnerabilità nei componenti critici del sistema operativo e dei browser web.

Le aziende e gli utenti devono essere consapevoli che gli attacchi informatici possono avvenire anche quando meno ce lo aspettiamo, e la protezione contro le minacce di tipo zero-day richiede un approccio proattivo alla gestione della sicurezza. In particolare, è fondamentale aggiornare regolarmente i sistemi operativi e le applicazioni, monitorare costantemente le minacce e adottare soluzioni avanzate di sicurezza, come firewall, antivirus e tecnologie di rilevamento delle anomalie.

Inoltre, la scoperta delle vulnerabilità da parte del Google Threat Analysis Group (TAG) mette in luce l’importanza della collaborazione tra i vari attori della sicurezza informatica, come i ricercatori e i fornitori di software, per individuare e risolvere tempestivamente le minacce. Questo episodio, che ha portato alla correzione di sei vulnerabilità zero-day da parte di Apple nel 2024, serve da monito per tutti gli utenti, sia privati che aziendali, a prendere misure preventive per proteggere i propri dispositivi e le proprie informazioni.

L'articolo Apple Rilascia Patch di Emergenza per Due Vulnerabilità Zero-Day su Mac Intel proviene da il blog della sicurezza informatica.

“Il mesto mietitore ha, talvolta, non una falce tra le mani, ma una tastiera sotto le dita.” Agostino Pellegrino.

Un aforisma che, nella sua crudezza, coglie l’essenza di una realtà sempre più pressante: la sicurezza informatica, specialmente quando riguarda enti pubblici di primaria importanza, non può essere sottovalutata.

Nella giornata di ieri, sul sito della QuAS (Cassa Assistenza Sanitaria Quadri), è apparso un messaggio all’ingresso del loro sito web che riporta quanto segue:
Avviso: Attacco Informatico al fornitore Inps Servizi – Attività a Tutela degli Iscritti

Il 19/11/24 Inps Servizi, che fornisce a QuAS i dati cumulativi dei contributi versati dalle Aziende con modello F24, ha comunicato di aver subito un attacco informatico di tipo ransomware in data 18 novembre 2024.

Precisiamo che i dati che Inps Servizi gestisce per QuAS sono unicamente relativi al totale dei contributi versati da ciascuna Azienda, senza nessun dettaglio relativo ai singoli iscritti.

L’evento non è in alcun modo riconducibile a QuAS, ma riguarda esclusivamente i sistemi di Inps Servizi e non ha avuto nessun effetto sui sistemi informatici di QuAS.

QuAS si è prontamente attivata per informare il Garante per la protezione dei dati personali e rispettare tutti gli obblighi di legge a tutela degli iscritti.

Grazie per la comprensione e la fiducia.
Sembrerebbe quindi che INPS Servizi in data 18 novembre 2024 abbia subito un attacco ransomware e abbia comunicato a QuAD che utilizza i suoi servizi l’incidente informatico. QuAD precisa che “L’evento non è in alcun modo riconducibile a QuAS, ma riguarda esclusivamente i sistemi di Inps Servizi e non ha avuto nessun effetto sui sistemi informatici di QuAS.”

Chi INPS Servizi

INPS Servizi S.p.a. (così si legge sul loro sito internet raggiungibile attraverso il capture della wayback machine) è una società per azioni in house providing interamente partecipata da INPS, sorta in data 11 giugno 2021 a seguito della modifica di denominazione, oggetto sociale e Statuto di Italia Previdenza SISPI S.p.a..

Tali modifiche sono state disposte sulla base delle previsioni contenute nell’art. 5bis del decreto legge 101/2019, convertito con modificazioni dalla legge 128/2019, con il quale è stato previsto l’affidamento ad INPS Servizi S.p.a. delle attività di Contact center multicanale (CCM) verso l’utenza dell’Istituto previdenziale e la prosecuzione delle attività che già costituivano l’oggetto sociale di Italia Previdenza SISPI S.p.a., che era stata costituita nel 2001, con il compito di fornire prodotti\servizi amministrativo-contabili, in particolare per la riscossione dei contributi e di erogazione delle prestazioni dei Fondi di previdenza complementare e integrativa e servizi di ricerca e consulenza per il mercato dell’area della previdenza e assistenza in genere.

Il sito web di INPS Servizi è Offline

Al momento in qui scriviamo (mercoledì 21/11/2024 alle 07:12) il sito di INPS Servizi risulta offline, come mostrano le print screen successive.

Sempre all’interno della sezione “chi siamo” di INPS Servizi viene riportato che l’azienda si occupa di:

• attività finalizzate alla liquidazione, in favore dei dipendenti di Poste Spa, delle buonuscite maturate fino al 28 febbraio 1998, data di trasformazione dell’Ente Poste in società per azioni, che sono materialmente erogate dalla Gestione Commissariale Fondo Buonuscita per i lavoratori di Poste Italiane S.p.a.;
• fornitura dei dati contenuti nei flussi F24 ed Uniemens, insieme con altri servizi amministrativi, necessari agli enti bilaterali per l’acquisizione dei contributi e per le altre finalità istituzionali previste dalla contrattazione collettiva in favore di lavoratori dipendenti dalle aziende che applicano i CCNL di categoria;

Con un ruolo così cruciale, INPS Servizi rappresenta un pilastro nella gestione dei dati sensibili di milioni di cittadini italiani, rendendola un obiettivo di alto valore per i cyberattacchi. L’evento non ha trovato spazio né sulla stampa nazionale né in comunicazioni ufficiali.

La lezione mancata

La sicurezza informatica degli enti pubblici italiani deve affrontare una transizione culturale.

Non si tratta solo di installare sistemi di difesa, ma di creare un ecosistema in cui la trasparenza e il coinvolgimento dei cittadini diventino principi fondanti.

INPS Servizi ha il dovere di comunicare con chiarezza, non solo per rispettare la legge, ma anche per trasparenza verso i cittadini. In un mondo in cui il “mietitore digitale” colpisce silenziosamente, è responsabilità delle istituzioni assicurarsi che nessuna tastiera, per quanto pericolosa, rimanga nell’ombra.

La fiducia dei cittadini verso le istituzioni passa non solo dall’efficienza dei servizi, ma anche dalla capacità di proteggere i dati e di affrontare con trasparenza le crisi. Gli incidenti di sicurezza informatica, specialmente quando coinvolgono realtà come INPS Servizi, non possono essere trattati come episodi marginali.

L'articolo INPS Servizi colpita da un Ransomware riporta QuAS. Ma il silenzio è assordante! proviene da il blog della sicurezza informatica.

Have you ever wondered how a magnetometer works? We sure have, which was why we were happy to stumble upon this article on simple homebrew fluxgate magnetometers.

As [Maurycy] explains, clues to how a fluxgate magnetometer works can be found right in the name. We all know what happens when a current is applied to a coil of wire wrapped around an iron or ferrite core — it makes an electromagnet. Wrap another coil around the same core, and you’ve got a simple transformer.

Now, power the first coil, called the drive coil, with alternating current and measure the induced current on the second, or sense coil. Unexpected differences between the current in the drive coil and the sense coil are due to any external magnetic field. The difference indicates the strength of the field. Genius!

For [Maurycy]’s homebrew version, binocular ferrite cores were stacked one on top of each other and strung together with a loop of magnet wire passing through the lined-up holes in the stack. That entire assembly formed the drive coil, which was wrapped with copper foil to thwart eddy currents. The sense coil was made by wrapping another length of magnet wire around the drive coil package; [Maurycy] found that this orthogonal of coils worked better than an antiparallel coil setup at reducing interference from the powerful drive coil field.

Driving the magnetometer required adding a MOSFET amp to give a function generator a little more oomph. [Maurycy] mentions that scope probes will attenuate the weak sense coil current, so we assume that the sense coil output goes right into the oscilloscope via coax. Calibrating the instrument was accomplished with a homebrew coil and some simple calculations.

This was a great demo of magnetometry methods and some of the intricacies of measuring weak fields with simple instruments. We’ve covered fluxgate magnetometer basics before and even talked about how they made pre-GPS car navigation possible.

hackaday.com/2024/11/20/simple…

You might say that the worst LEGO to step on is any given piece that happens to get caught underfoot, but have you ever thought about what the worst one would really be? For us, those little caltrops come to mind most immediately, and we’d probably be satisfied with believing that was the answer. But not [Nate Scovill]. He had to quantitatively find out one way or another.

And no, the research did not involve stepping on one of each of the thousands of LEGO pieces in existence. [Nate] started by building a test rig that approximated the force of his own 150 lb. frame stepping on each piece under scrutiny and seeing what it did to a cardboard substrate.

And how did [Nate] narrow down which pieces to try? He took to the proverbial streets and asked redditors and Discordians to help him come up with a list of subjects.

If you love LEGO to the point where you can’t bear to see it destroyed, then this video is not for you. But if you need to know the semi-scientific answer as badly as we did, then go for it. The best part is round two, when [Nate] makes a foot out of ballistics gel to rate the worst from the first test. So, what’s the worst LEGO to step on? The answer may surprise you.

And what’s more dangerous than plain LEGO? A LEGO Snake, we reckon.

youtube.com/embed/smpxDVEPb-A?…

hackaday.com/2024/11/20/steppi…

A conventional tube amplifier has a circuit whose fundamentals were well in place around a hundred years ago, so there are few surprises to be found in building one today. Nevertheless, building one is still a challenge, as [Mike Freda shows us with a stereo amplifier in the video below the break.

The tubes in question are the 12AU7 double triode and 6L6 tetrode, in this case brand new PSVANE parts from China. The design is a very conventional single-ended class A circuit, with both side of the double triode being used for extra gain driving the tetrode. The output uses a tapped transformer with the tap going to the other grid in the tertode, something we dimly remember as being an “ultra-linear” circuit.

There’s an element of workshop entertainment in the video, but aside from that we think it’s the process of characterising the amp and getting its voltages right which is the take-away here. It’s not something many of us do these days, so despite the apparent simplicity of the circuit it’s worth a look.

These modern tubes come from a variety of different sources, we’ve attempted to track them down in the past.

youtube.com/embed/zx6BmNJ8dFY?…

hackaday.com/2024/11/20/a-tube…

For a time, pocketwatches were all the rage, but they were eventually supplanted by the wristwatch. [abe] built this cyberpunk Lock’n’Watch to explore an alternate history for the once trendy device.

The build was inspired by the chunky looks of Casio sport watches and other plastic consumer electronics from the 1980s and 90s. The electronics portion of this project relies heavily on a 1.28″ Seeed Studio Round Display and a Raspberry Pi 2040 XIAO microcontroller board. The final product features a faux segmented display for information in almost the same color scheme as your favorite website.

[abe] spent a good deal of the time on this project iterating on the bezel and case to hold the electronics in this delightfully anachronistic enclosure. We appreciated the brief aside on the philosophical differences between Blender, TinkerCAD, and Fusion360. Once everything was assembled, he walks us through some of joys of debugging hardware issues with a screen flicker problem. We think the end result really fulfills the vision of a 1980s pocketwatch and that it might be just the thing to go with your cyberdeck.

We’ve seen accelerometers stuffed into old pocketwatch cases, a more useful smart pocketwatch, or you could learn how to repair and restore vintage watches.

youtube.com/embed/l75A9TUMXOs?…

hackaday.com/2024/11/20/a-cybe…

This week, Jonathan Bennett, Randal Schwartz, and Aaron Newcomb chat about Linux, the challenges with using system modules like the Raspberry Pi, challenges with funding development, and more!

youtube.com/embed/GCKJShpxa1I?…

Did you know you can watch the live recording of the show Right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

hackaday.com/2024/11/20/floss-…

What if your 3D printer could fit in a box of filament but still rival the build plate size of heavyweights? Enter the Lemontron, a free and open source portable printer making waves in the maker community for its compact form factor and budget-friendly price. Watch [James]’ video on his build story here. Built around the Positron drive—a unique mechanism introduced by [Kralyn] in 2022—the Lemontron is the latest evolution of this innovative design. Although Kralyn mysteriously disappeared, their work inspired other projects like the Positron JourneyMaker and this Lemontron.

The Lemontron started as a unibody chassis mod for the JourneyMaker but grew into a complete redesign, cutting costs in half without sacrificing performance. By eliminating expensive CNC parts, it’s entirely made from off-the-shelf components, bringing the build cost to just $413. Compare that to $800 for the JourneyMaker and $699 for the Positron v3.2 kit.

Recent video updates show the Lemontron in action, printing impressively large and complex models. It tackled a marble run with 80-degree unsupported overhangs and a ‘comically large’ Benchy, proving its capability. Its compact design, paired with robust performance, is an exciting alternative for tinkerers seeking quality on a budget.

The Lemontron is in its final development stages, with frequent updates dropping on its YouTube channel. If you’re in the market for a more “traditional” mini-printer, check out this cool suitcase model from 2014.

youtube.com/embed/jw9OEQeSKPE?…

hackaday.com/2024/11/20/if-lif…

Yesterday, Prusa Research officially unveiled their next printer, the Core ONE. Going over the features and capabilities of this new machine, it’s clear that Prusa has kept a close eye on the rapidly changing desktop 3D printer market and designed a machine to better position themselves within a field of increasingly capable machines from other manufacturers.

While some saw the incremental upgrades of the i3 MK4 as being too conservative, the Core ONE ticks all the boxes of what today’s consumer is looking for — namely high-speed CoreXY movement with a fully enclosed chamber — while still offering the build quality, upgradability, and support that the company has built its reputation on. Put simply it’s one of the most exciting products they’ve introduced in a long time, and exactly the kind of machine that many Prusa fans have been waiting for.

Unfortunately, there’s one feature that’s ominously absent from the Core ONE announcement post. It’s easy to overlook, and indeed, most consumers probably won’t even know it’s missing. But for those of us who are concerned with such matters, it’s an unspoken confirmation that an era has finally come to an end.

With the Core ONE, Prusa Research is no longer in the business of making open source 3D printer hardware, but that doesn’t mean that the printer isn’t hackable. It’s complicated, so read on.

Death by a Thousand Cuts

To say that Prusa Research pivoting away from the open source hardware (OSHW) principles that guided the company, and indeed the 3D printing community, through its early years is a disappointment would be quite an understatement. It’s a crushing blow. One which critics will use to call into question the viability of building a sustainable business model around OSHW. But it’s also not hard to see how we got to this point.
Prusa XL
The first warning sign came back in 2021, with the announcement of the Prusa XL. With this new high-end printer, the company seemed uncharacteristically hesitant to open things up, which frankly wasn’t entirely unreasonable. The pricing of the XL put it closer into the professional market than a traditional hobbyist machine, and there were some new features like tool changing and a segmented heated bed that were unique enough that they’d want to keep the details under wraps until the machine at least got a foothold in the market. So if Prusa wanted to play this one a little closer to the chest, so be it.

But things took a concerning turn last year with the release of the i3 MK4. Although Prusa still called the printer open source in their marketing, the reality was a bit more complicated. While at least some of the printer’s technical information was made available, especially the elements that were inherited from the earlier i3 models, there were several rather large omissions.

Printable parts were available only as STLs, there were no design files released for the printer’s control board, and the Nextruder (which was introduced with the XL) remained all but completely proprietary. Many argued that the MK4 didn’t meet the standards that Prusa had set with their previous printers, and that continuing to call it open source was misleading.

If it wasn’t already obvious that Prusa’s commitment to open source was beginning to waiver, Josef’s post on the Prusa Blog made his position abundantly clear. Framed as a call for discussion, the post outlined his feelings on the open source community and what he perceived as the failures of common licenses such as the GPL. While he said that the company still intended to make their machines open, the writing was clearly on the wall.

A New Chapter for Prusa

To be clear, the Core ONE is of critical strategic importance to Prusa. The company needed a revamped machine to combat increased competition from Chinese printer manufacturers, and while it’s not being marketed as a replacement for the i3 MK4, it’s not hard to see the direction the market is moving in. The i3 is a workhorse, and won’t be going away anytime soon, but the chances that it will see a MK5 at this point seem exceptionally slim.
Prusa will give you STLs for the Nextruder, but that’s about it.
But the Core ONE also represents a mostly clean slate design, one that shares relatively little with the i3. This frees Prusa from any obligation, perceived or otherwise, to continue releasing the printer’s design files. Indeed, the term “open source” only appears once in the announcement post for the printer — and that’s when referring to the firmware and slicer code, which are.

Although we don’t have documentation or an assembly guide for the Core ONE or the MK4S->Core upgrade kits yet, it looks as if very little of Prusa’s remaining open source hardware has been brought forward.

Potentially the Core ONE is using some variation of the CC BY-SA 4.0 licensed MK52 magnetic heated bed, but beyond that, we already know that Prusa is still keeping the design files for major components such as the Nextruder and xBuddy 32-bit control board under wraps for the time being.

Not Open, But Hackable

So we know that Prusa isn’t advertising the Core ONE design as open source hardware, and that only limited technical data has been released for the few components and subsystems that it inherits from the XL and MK4S. But what does that actually mean for users like us?

That’s where things get a little tricky. While Prusa’s newer printers certainly do not meet the literal requirements of OSHW, they’re still remarkably transparent in a world of proprietary black boxes. We might not get the design files for the printed parts in these new machines, but you’ll get STLs that you can run off if you need a replacement. We can also be fairly sure that Prusa will continue their tradition of releasing wiring schematics for the Core ONE as they’ve done with essentially all of their previous printers, which is more than we can say for the vast majority of consumer products.

While the lack of design files for these new Prusa printers is unfortunate on a philosophical level, it’s hard to argue that they’re any less repairable, upgradable, or hackable than their predecessors. In fact, Prusa’s actually made at least one improvement in that department — announcing that breaking off the control board’s “Appendix” security device and installing a new firmware will no longer void the printer’s warranty.
An increasingly inaccurate message on the Prusa website.
We should also consider that even Prusa’s earlier printers have not always been as open as the company would perhaps like us to believe. Sure, for the Prusa Mini you could hop on GitHub and grab the KiCad files for its mainboard, and the design files for the i3 up until the MK3 are available as GPLv2 licensed OpenSCAD code. But the company has never actually released the complete Bill of Materials for their printers, and even after years of requests from the community, they have still yet to release the source code for their bootloader as they consider it a separate project from the main GPL-licensed firmware.

Prusa has always used a somewhat piecemeal method of releasing the source and design files for their products. But it’s worked for them up to this point. The bottom line is, makers and hackers will still have plenty to work with, even if things aren’t quite as open as we’d prefer.

Becoming Your Own Enemy

On a personal note, I find myself conflicted. I’d argue that the i3 MK3 is one of the best purchases I’ve ever made, and there’s no doubt in my mind that the “Prusa Experience” — support, reliability, upgradability — is worth spending the extra money on. I’m also confident that the Core ONE is precisely the kind of machine Prusa needed to remain competitive in today’s market.
Who’s copying who?
At the same time, there were issues that I was willing to overlook because the company was producing open source hardware. When a shipping date slipped, or a firmware update introduced a new issue, I let it slide because it was for the greater good. But now that they’re no longer calling their printers open source, I can’t help but feel some of that goodwill evaporating — and I’m probably not the only one having similar thoughts.

Ultimately, the part that bothers me the most about this change in Prusa’s approach is that it all seems predicated on a bogeyman that I’m not convinced actually exists. The company line is that releasing the source for their printers allows competitors to churn out cheap clones of their hardware — but where are they?

Let’s be honest, Bambu didn’t need to copy any of Prusa’s hardware to take their lunch money. You can only protect your edge in the market if you’re ahead of the game to begin with, and if anything, Prusa is currently playing catch-up to the rest of the industry that has moved on to faster designs. The only thing Prusa produces that their competitors are actually able to take advantage of is their slicer, but that’s another story entirely. (And of course, it is still open source, and widely forked.)

So will the Prusa Core ONE be a good printer? Almost certainly. Will I buy one? Very likely. But part of me will always be disappointed that the guy with the open source hardware logo tattoo took his ball and went home as soon as the game starting getting tough.

hackaday.com/2024/11/20/with-c…

After 22 years of development, FreeCAD has at long last reached the milestone of version 1.0. On this momentous occasion, it’s good to remember what a version 1.0 is supposed to mean, as also highlighted in the release blog post: FreeCAD is now considered stable and ready for ‘real work’. One of the most important changes here is that the topological naming problem (TNP) that has plagued FreeCAD since its inception has now finally been addressed using Realthunders’ mitigation algorithm, which puts it closer to parity here with other CAD packages. The other major change is that assemblies are now supported with the assembly workbench, which uses the Ondsel solver.

Other changes include an updated user interface and other features that should make using FreeCAD easier and closer in line with industry standards. In the run-up to the 1.0 release we already addressed the nightmare that is chamfering in FreeCAD, and the many overlapping-yet-uniquely-incomplete workbenches, much of which should be far less of a confabulated nightmare in this bright new 1.0 future.

Naturally, the big zero behind the major version number also means that there will still be plenty of issues to fix and bugs to hunt down, but it’s a promising point of progress in the development of this OSS CAD package.

hackaday.com/2024/11/20/freeca…