Finalmente è tempo per la prima presentazione dell'anno! Ci verrà a trovare Raoul Dalmasso con il quale parleremo del suo libro "La storia dei quaranta o la verissima storia de li quaranta banditi di Amandola che se ne andarono a menar guerra al Turco" edito da Edizioni Malamente.
Un testo dalla narrazione pop e serrata, con un forte senso etico e politico. Sta al lettore decidere se leggerlo come un romanzo d'avventura o come una trattazione storica di eventi.
Dalmasso ci accompagna nella seconda metà del '500 nella marca del sud a suon di risse, archibugiate, fatti truci e sanguinosi ma anche di onore e giustizia, personale e sociale. Noi ci siamo lasciati trasportare dalla narrazione serrata del suo libro e siamo sicuri che conquisterà anche voi.

Anno 1565. Città di Amandola, Stato di Santa Chiesa. Tutta la Marca del Sud è infestata da una seditiosa et brigosa marmaglia de banniti. Sembra che queste terre montagnose non partoriscano altro che gente indocile e cruenta. Amandola non fa di certo eccezione. Anzi.
Quaranta banditi amandolesi vengono coinvolti nella guerra di famiglia dei Manardi che è appena ricominciata. L'intervento di Papa Pio V e i suoi birri obbligano i Quaranta a fuggire più lontano possibile dalla iustitia del Papa e dal cappio del boia. Riparano a Venezia, dove si arruolano come mercenari. La Serenissima, ben contenta di poter combattere il Male con il Peggio, li schiera nel bel mezzo della grande guerra contro il Turco.
La passeggiata terrena dei Quaranta si fa fottutamente difficile.

Ci vediamo venerdì 14 alle 18:30 in libreria, non mancate!

Art. 640 ter C.P. (Frode Informatica)
“Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.

La pena è della reclusione da uno a cinque anni e della multa da trecentonove euro a millecinquecentoquarantanove euro se ricorre una delle circostanze previste dal numero 1) del secondo comma dell'articolo 640, ovvero se il fatto produce un trasferimento di denaro, di valore monetario o di valuta virtuale o è commesso con abuso della qualità di operatore del sistema.

La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell'identità digitale in danno di uno o più soggetti.
Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o la circostanza prevista dall'articolo 61, primo comma, numero 5, limitatamente all'aver approfittato di circostanze di persona, anche in riferimento all'età”
Oggi basta scrivere all’interno del proprio browser di ricerca, la parola Trading per essere indirizzati su centinaia di siti, che promettono guadagni esorbitati mediante l’investimento di semplici somme. Ricordiamo che l’attività di Trading Online, consiste nell’acquistare e vendere titoli finanziari via computer. L’obiettivo principale di chi fa TOL consiste nel guadagnare sulla differenza di prezzo tra acquisto e vendita.

In definitiva consiste in una negoziazione telematica di titoli finanziari, quindi di un servizio finanziario fornito da società autorizzate da Consob, il cui scopo sarà quello di mettere a disposizione dei clienti, una piattaforma, su cui visualizzare i titoli presenti su numerosi mercati borsistici esteri e italiani. Queste società sono chiamate “broker online” o intermediari digitali.

Chiunque effettui tale attività, deve essere autorizzato ai sensi del DECRETO LEGISLATIVO del 24 feb 1998, n.58, dall’autorità finanziaria dello Stato in cui ha sede.

Chiarito questo aspetto, l’investitore oculato deve verificare che il consulente finanziario, deve essere in possesso di questa autorizzazione, diversamente si è preda di un operatore abusivo, non controllato. Il trader abusivo, che tratterà per sé le somme conferitegli, creando l’illusione di aver effettuato grandi guadagni, sparendo successivamente, commetterà sia il reato di abusivismo finanziario che quello di truffa (art. 640 1comma del C.P.). Infatti, in qualità di finto promotore finanziario, con più azioni esecutive di un medesimo disegno criminoso, con artifizi e raggiri indurrà la vittima in errore, ottenendo un guadagno trattenendo per se o per altri le somme dell’ignara vittima.

La tipica frode si esplica mediante la proposta di investimenti, propedeutica per l’intervento successivo sui dati di pagamento forniti dalla vittima, oppure reindirizzando il malcapitato su pagine fake, sostituite a quelle di siti affidabili, oppure sfruttando la creazione di piattaforme su misura, sostenute da numerose recensioni false.

Solitamente il primo approccio avviene tramite un falso call center o mediante l’inoltro di Email/messaggi whatapps con proposte di investimento. Ottenuto il primo aggancio si verrà messi in contatto con quello che viene presentato come un consulente personale esperto, il quale avrà il compito di seguire tutte le operazioni.

Qui sarà possibile, ravvisare i primi segnali di truffa, infatti nel linguaggio utilizzato durante le comunicazioni, i messaggi sono solitamente infarciti di errori grammaticali. Inoltre il finto broker, non fornirà mai la documentazione informativa obbligatoria, in contrasto con il testo unico delle disposizioni in materia di intermediazione finanziaria.

La vittima, a questo punto, viene indotta ad investire, mediante piattaforme che sembrano affidabili. Piattaforme di cui il sedicente consulente, fornirà direttamente l’URL. Tali pagine,verosimilmente, saranno state hackerate o create ad hoc per eseguire tale attività di truffa. Da questo momento, per la persona vittima si apriranno due scenari:

il primo, si verifica quando il soggetto sarà indotta con artifici e raggiri ad effettuare direttamente investimenti che produrranno un guadagno ingiusto a favore del falso trader o di un terzo soggetto. La seconda si verifica quando la frode sarà veicolata sfruttando un sistema informatico, situazione che incorre quando la pagina del sito su cui si effettuano gli investimenti viene hackerata, oppure nella quale il falso operatore prospetta l’istallazione di programmi che sfruttano il protocollo RDP, necessari per un controllo remoto del computer della vittima.

Questa situazione manifesta i requisiti costitutivi della frode informatica (art. 640 ter del C.P.), in quanto si configura un inganno perpetrato mediante l’uso di strumenti informatici. Fattispecie aggravata dalla minorata difesa della vittima, poiché per la giurisprudenza l’utilizzo di sistemi informatici viene considerato pregiudizievole, in quanto permissivo di operazioni effettuabili a distanza.

Nelle fattispecie indicate, presenterà un grande fattore di criticità, il recupero degli eventuali fondi investiti, poiché per la maggior parte trasferiti su conti esteri, molto spesso sotto forma di criptovaluta e quindi difficilmente oggetto di provvedimenti di sequestro e restituzione da parte della Autorità Giudiziaria.

Come nella maggior parte delle fattispecie caratterizzate da frode, la miglior tutela risulta sempre l’attenzione preventiva. Una delle strategie utilizzate dai criminali informatici sarà puntare sull’elevata redditività dei prodotti , omettendo di spiegare in maniera esatta i rischi delle operazioni di investimento. Tuttavia la materia trattata comprende argomenti complessi e articolati, sia sul lato informatico che su quello finanziario, ovviamente non colmabili mediante semplici scambi telefonici o messaggi.

L'articolo Hacker, Finti Broker e Call Center Truffaldini: Ecco Come Rubano i Tuoi Soldi proviene da il blog della sicurezza informatica.

Gli sponsor fossili di Sanremo: testi e musiche “sostenibili”, dirige l’orchestra il greenwashing

Anche quest'anno la rassegna è sostenuta da aziende che operano in settori che hanno gravi responsabilità nella crisi climatica e ambientale: da Eni a Coca-Cola, passando per Costa crociere a Suzuki.

#cambiamentoclimatico #costacrociere #crociere #eni #enigreenwashing #fontifossili #generali #greenwashing #plenitude #pubblicitàfontifossili #sanremo

Gli sponsor fossili di Sanremo: testi e musiche "sostenibili", dirige l'orchestra il greenwashing

^{Andrea Siccardo (Altreconomia)}

Interesting parts make for interesting projects, and this nifty precision voltage reference has some pretty cool parts, not to mention an interesting test jig.

The heart of [Gaurav Singh]’s voltage reference is an ADR1399, precision shunt reference from Analog Devices. The datasheet makes for pretty good reading and reveals that there’s a lot going on inside the TO-49 case, which looks unusually large thanks to a thick plastic coat. The insulation is needed for thermal stability for the heated Zener diode reference. The device also has a couple of op-amps built in, one that provides closed-loop voltage control and another that keeps the internal temperature at a toasty 95°C. The result is a reference that’s stable over a wide range of operating conditions.

[Gaurav]’s implementation maximizes this special part’s capabilities while making it convenient to use. The PCB has a precision linear regulator that accepts an input voltage from 16 V to 20 V, plus a boost converter that lets you power it from USB-C. The board itself is carefully designed to minimize thermal and mechanical stress, with the ADR1399 separated from the bulk of the board with wide slots. The first video below covers the design and construction of an earlier rev of the board.

One problem that [Gaurav] ran into with these boards was the need to age the reference with an extended period of operation. To aid in that, he built a modular test jig that completed PCBs can be snapped into for a few weeks of breaking in. The jigs attach to a PCB with pogo pins, which mate to test points and provide feedback on the aging process. See the second video for more details on that.

youtube.com/embed/Ty0r_sLv-CI?…

youtube.com/embed/RvmJLGUzDS0?…

hackaday.com/2025/02/11/precis…

T-Mobile lancia ufficialmente la versione beta pubblica della copertura satellitare-cellulare tramite rete Starlink con uno spot durante il Super Bowl 2025. Negli States la copertura prevista è di più di 1 milione e trecento mila chilometri quadrati, aree non raggiunte da stazioni radio base cellulari terrestri.

youtube.com/embed/HLw6ZovMpLI?…

Inizialmente sarà disponibile esclusivamente il servizio di messaggistica tradizionale (SMS) usufruibile attraverso la maggior parte degli smartphone di recente commercializzazione, sia per i clienti T-Mobile, oltre che per gli clienti dei loro concorrenti nazionali, tra cui Verizon e AT&T. Per accedere al servizio sarà sufficiente registrarsi tramite portale dedicato. I servizio gratuito direct-to-cell sarà disponibile fino a Luglio.

Eliminare le zone morte con il direct-to-cell

T-Mobile e SpaceX annunciarono il servizio satellitare direct-to-cell due anni e mezzo fa, ma il servizio richiedeva che fossero operativi i satelliti di nuova generazione Starlink V2. Mentre continua il dispiegamento in orbita di questa tipologia di satelliti V2 iniziato nel Febbraio 2023, già ora centinaia di questi V2 sono perfettamente operativi.
Per T-Mobile la missione è porre fine alle zone morte, cioè quelle aree del territorio dove non è presente una copertura cellulare terrestre, zone dove molto spesso non ha alcun senso costruire un’infrastruttura data la bassissima o addirittura nulla presenza abituale di utenti, oppure zone dove l’opportuna copertura del segnale è limitata o resa difficile dall’orografia non favorevole.

twitter.com/elonmusk/status/16…

Il servizio in alpha-test ha già aiutato in situazioni d’emergenza

In via del tutto emergenziale, T-Mobile aveva già temporaneamente reso disponibile il servizio di messaggistica direct-to-cell in nelle aree di Los Angeles colpite dagli incendi e ancora prima nelle aree colpite dagli uragani Helene e Milton. In queste aree il servizio di comunicazione cellulare era irregolare sul territorio o totalmente assente a causa dello stato in cui versavano la rete elettrica e tutte le infrastrutture di telecomunicazioni (torri, apparati, collegamenti in fibra).

Ora solo SMS, in futuro dati e voce, ma dove e per chi?

T-Mobile comunica che nella fase beta sarà possibile inviare e ricevere messaggi di testo (SMS) attraverso il servizio direct-to-cell (via satellite), ma non è stata ancora comunicata la data esatta in cui si aggiungeranno le funzionalità di connettività dati e chiamata vocale tradizionale. In futuro T-Mobile potrebbe estendere la copertura di questi servizi satellitari attraverso partner di roaming globali e SpaceX per offrire copertura all’estero o in acque internazionali.
T-Mobile dichiara che la maggior parte degli smartphone degli ultimi quattro anni funzionerà con il servizio T-Mobile Starlink, ma ci tiene a precisare l’elenco dei dispositivi testati e sicuramente capaci di fruttare il servizio direct-to-cell, che sono prevalentemente Apple (iPhone 14 e successivi), Google, Motorola (post-2024) e Samsung (Galaxy post-2021).

Quanto costa

La beta è gratuita per tutti gli utenti statunitensi, invece a Luglio T-Mobile Starlink verrà lanciato ufficialmente, sarà gratuito con il piano più costoso di T-Mobile, mentre avrà un costo di $15/mese per gli altri piani.
Dopo Luglio, per i beta tester di T-Mobile è previsto uno sconto di 5$/mese, per i clienti di Verizon, AT&T e altri potranno continuare ad utilizzare oppure ottenere il servizio T-Mobile Starlink senza cambiare operatore per 20 $/mese.

Convenienza

Il prezzo del servizio aggiuntivo e facoltativo al piano tariffario può sembrare alto se confrontati già ai soli piani tariffari europei e soprattutto italiani, ma che se rapportato agli abbonamenti statunitensi (~50$/mese) e piani tariffari satellitari (~2$/min) può non impensierire più di tanto o addirittura convenire. Inoltre per determinati gruppi d’utenti questo servizio può diventare fondamentale se non essenziale, andando ad affiancare, se non a sostituire, altri sistemi di comunicazione locali più voluminosi, pesanti, costosi e meno diffusi con costi davvero “irrisori”.

L'articolo T-Mobile svela la copertura satellitare via Starlink durante il Super Bowl: addio zone morte! proviene da il blog della sicurezza informatica.

I ricercatori di sicurezza informatica hanno scoperto una vulnerabilità critica nel sottosistema TCP del kernel Linux, identificata come CVE-2024-36904. Questa falla, introdotta sette anni fa, consente agli aggressori di sfruttare una race-condition, portando potenzialmente all’esecuzione di codice remoto (RCE).

La vulnerabilità deriva da una condizione di competizione nella funzione inet_twsk_hashdance(), in cui un’inizializzazione non corretta del contatore di riferimento crea opportunità di corruzione della memoria. La vulnerabilità si verifica quando il contatore di riferimento di un socket TCP time-wait viene inizializzato dopo essere stato aggiunto a una tabella hash e aver rilasciato il suo blocco.

Se un’altra operazione accede al socket prima dell’inizializzazione, incontra un contatore di riferimento azzerato. Ciò attiva gli avvisi dei meccanismi di protezione del contatore di riferimento del kernel e può portare a un vero e proprio scenario di utilizzo dopo la liberazione in condizioni specifiche. Tali scenari potrebbero consentire agli aggressori di eseguire codice arbitrario all’interno del kernel, compromettendo l’integrità del sistema.

Sebbene il kernel Linux includa misure di sicurezza per rilevare anomalie nel contatore di riferimento, questo difetto aggira tali protezioni in determinate sequenze di esecuzione. La vulnerabilità interessa diverse distribuzioni Linux, tra cui i derivati ​​di Red Hat Enterprise Linux e Fedora. I test sui kernel più recenti, come la versione 6.8, hanno confermato che il problema persiste in vari ambienti.

La falla è stata scoperta durante una ricerca di routine sulle vulnerabilità condotta da Allele Security utilizzando strumenti come il fuzzer Syzkaller. Inizialmente scambiato per un problema relativo al protocollo KCM, analisi più approfondite hanno rivelato che si trattava di un bug specifico del sottosistema TCP. La vulnerabilità è stata segnalata e corretta a maggio 2024. Tuttavia, molte distribuzioni non avevano integrato la correzione nelle loro ultime release al momento della scoperta.

La patch risolve il problema garantendo una corretta sincronizzazione durante l’inizializzazione del contatore di riferimento, prevenendo condizioni di competizione che potrebbero portare a scenari di utilizzo dopo la liberazione.

L'articolo Scoperta una falla nel Kernel Linux dopo 7 anni: ecco cosa rischi! proviene da il blog della sicurezza informatica.

Nelle ultime ore un’escalation di post nella sezione “Access Market” del famoso forum nel DarkWeb. In vendita accessi ad una azienda di software italiana “Italian B2B Enterprise Software Solutions”, ad una delle più antiche università europee “One of Europe’s most oldest Universities”, a diverse municipalità degli stati uniti e molto altro.

L’hacker, che opera sotto lo pseudonimo di MYAKO, nelle ultime ore sta postando decine di accessi a enti governativi americani, ad aziende, a istituti pubblici e privati. I prezzi (tutti non negoziabili) variano da qualche centinaio di dollari a diverse migliaia. Le tipologie di accessi in vendita sono le più varie. Si possono comprare accessi ai firewall con privilegi di root, accessi ai sistemi di management ecc.

MYAKO vende anche “know how”. Nel suo post del 4 febbraio con oggetto “Intermediate Cyber Operations Guide” dove puoi “scoprire come navigare nel complesso panorama dello sfruttamento dei sistemi, della persistenza e del pivoting dal punto di vista di qualcuno che ha costantemente dimostrato la fragilità anche delle infrastrutture più ‘sicure’.” Per 500 dollari un pacchetto completo di: how-to, tool, repository, guide step-by-step. Il tutto scritto in linguaggio chiaro e conciso per appiattire la curva di apprendimento.

MYAKO si definisce un “operatore” autonomo, non sponsorizzato da qualche nazione. Si promuove facendo riferimento a diverse pubblicazioni che “parlano” di lui. Un’interessante intervista che ha rilasciato a Osint10x mette in luce il modo in cui opera, le tecniche, le procedure (TTPs). Osint10x lo identifica anche come admin di HellCat Group. Nell’intervista lui si dice interessato solo ai soldi.

ThreatMon lo identifica come “An Emerging Threat Actor with Advanced Capabilities” che utilizza tecniche di OSINT per identificare target di alto valore. Un suo biglietto da visita: il 13 dicembre 2024 ha messo in vendita per 2000 dollari l’accesso ad un firewall di una divisione dell’FBI, accesso venduto il 14 dicembre 2024.

Altro target italiano un ente di istruzione privato italiano. Sempre in vendita accesso root al firewall.

Per concludere è importante capire che ruolo giocano gli IAB (Initial Access Broker) nel panorama dell’underground, aprendo le porte a gruppi hacker che poi sfruttano questi accessi per portare a segno attacchi più importanti e potenzialmente devastanti.

L'articolo $800 per compromettere un contractor nucleare UK? Gli IaB alzano la posta in gioco! proviene da il blog della sicurezza informatica.

Spesso parliamo degli spyware come Paragon, Pegasus e Karma. Ma alla fine , cosa consente a questi spyware di infettare i device e quindi fornire accesso e il controllo completo ad eventuale aggressore? Gli exploit Remote Code Execution (RCE) 0click 0day.

Ma anche quelli locali non sono da meno, e consentono a soluzioni analoghe di indagini forensi di poter accedere al dispositivo senza conoscere pin o password di accesso.

Infatti Apple ha rilasciato iOS 18.3.1 e iPadOS 18.3.1, risolvendo una vulnerabilità zero-day sfruttata in attacchi mirati estremamente sofisticati, sfruttando la disattivazione della modalità con restrizioni USB. L’aggiornamento è disponibile per vari dispositivi, tra cui iPhone XS e modelli successivi, nonché vari modelli di iPad Pro, iPad Air, iPad e iPad mini.

La modalità USB con restrizioni di Apple è una funzionalità di sicurezza che impedisce l’accesso non autorizzato ai dati su un dispositivo iOS. Impedisce agli accessori USB di connettersi a un dispositivo bloccato dopo un certo periodo di tempo.

L’aggiornamento risolve un problema nel framework di accessibilità che potrebbe consentire a un aggressore fisico di disattivare la modalità con restrizioni USB su un dispositivo bloccato. “Un attacco fisico potrebbe disattivare la modalità USB con restrizioni su un dispositivo bloccato. Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici presi di mira”. Apple ha affermato nelle note di rilascio .

La vulnerabilità è identificata con l’identificatore CVE-2025-24200 ed è stata segnalata da Bill Marczak del Citizen Lab presso la Munk School dell’Università di Toronto. Apple mantiene la sua politica di trattenere i dettagli sulle vulnerabilità di sicurezza fino al completamento delle indagini e alla disponibilità di patch per proteggere gli utenti. L’azienda sottolinea la sua dedizione alla sicurezza degli utenti affrontando prontamente tali problemi e fornendo aggiornamenti regolari.

Questa vulnerabilità rappresentava un rischio serio, in quanto poteva essere sfruttata in attacchi altamente sofisticati mirati a individui specifici. Apple ha riconosciuto segnalazioni di questo problema utilizzato in scenari del mondo reale. Il difetto è stato identificato come un problema di autorizzazione, che Apple ha risolto migliorando la gestione dello stato all’interno del sistema.

L'articolo Zero-day su iOS: scoperto un exploit avanzato, Apple rilascia un fix immediato! proviene da il blog della sicurezza informatica.

Nuovo allarme sicurezza per gli utenti di Zimbra Collaboration: il popolare software di comunicazione e collaborazione è stato colpito da gravi vulnerabilità che mettono a rischio la riservatezza delle informazioni aziendali. Il team di Zimbra ha rilasciato aggiornamenti urgenti per correggere queste falle critiche, ma il pericolo rimane elevato per chi non aggiorna tempestivamente.

CVE-2025-25064: SQL Injection

La vulnerabilità più critica, identificata come CVE-2025-25064, ha un punteggio CVSS di 9.8 su 10, un valore che lascia pochi dubbi sulla sua pericolosità. Il problema risiede in un difetto di validazione dei parametri nel servizio ZimbraSync Service SOAP endpoint, consentendo a un attaccante autenticato di iniettare query SQL arbitrarie. Questo potrebbe tradursi in accesso non autorizzato ai metadati delle email, compromettendo la sicurezza delle comunicazioni aziendali.

Stored XSS nel Web Client classico di Zimbra

Un’altra grave vulnerabilità riguarda il Web Client classico di Zimbra, afflitto da un bug di Stored Cross-Site Scripting (XSS). Sebbene non abbia ancora ricevuto un identificativo CVE, questa falla permette agli attaccanti di iniettare codice malevolo persistente all’interno dell’interfaccia utente, con il rischio di rubare credenziali e sessioni di autenticazione. Fortunatamente, la patch è già disponibile nelle versioni 9.0.0 Patch 44, 10.0.13 e 10.1.5.

CVE-2025-25065: SSRF e accesso non autorizzato alla rete interna

Infine, Zimbra ha corretto anche CVE-2025-25065, una vulnerabilità di Server-Side Request Forgery (SSRF) con punteggio CVSS di 5.3. Questo difetto, presente nel modulo di parsing degli RSS feed, potrebbe consentire a un attaccante di manipolare richieste HTTP per accedere a risorse interne della rete aziendale, potenzialmente aprendo la porta ad attacchi più avanzati.

Come proteggersi?

Zimbra ha rilasciato aggiornamenti critici per mitigare queste vulnerabilità, disponibili nelle seguenti versioni:

• CVE-2025-25064: corretta in Zimbra 10.0.12 e 10.1.4
• Stored XSS: risolto in Zimbra 9.0.0 Patch 44, 10.0.13 e 10.1.5
• CVE-2025-25065: mitigato in Zimbra 9.0.0 Patch 43, 10.0.12 e 10.1.4

Conclusione

Chi utilizza Zimbra deve aggiornare immediatamente i propri sistemi per evitare possibili compromissioni. Il rischio di sfruttamento è concreto e potrebbe avere impatti devastanti sulle aziende che utilizzano questo software per la gestione delle proprie comunicazioni. La tempestività nell’applicazione degli aggiornamenti di sicurezza è essenziale per ridurre al minimo il rischio di attacchi informatici.

L'articolo Vulnerabilità critiche in Zimbra: SQL Injection, Stored XSS e SSRF mettono a rischio i dati aziendali proviene da il blog della sicurezza informatica.

La privacy negli Stati Uniti è un tema di dibattito costante, soprattutto nell’era digitale. La Corte Suprema ha avuto un ruolo centrale nell’interpretazione del Quarto Emendamento, che protegge i cittadini da perquisizioni e sequestri irragionevoli.

Tuttavia, con l’avanzare della tecnologia, la sorveglianza di massa si è evoluta, sollevando interrogativi sul bilanciamento tra sicurezza nazionale e diritti individuali. In questo contesto, il Foreign Intelligence Surveillance Act (FISA) e, in particolare, la sua Sezione 702, introdotta con il FISA Amendments Act del 2008, sono strumenti legislativi controversi che influenzano la privacy negli USA e nelle sue zone di influenza.

Ma cosa vuol dire tutto questo per i cittadini americani e per gli europei che utilizzano sistemi e software di aziende statunitensi?

Il Quarto Emendamento: Origini e Sfide nell’Era Digitale

Il Quarto Emendamento della Costituzione degli Stati Uniti stabilisce che:

“Il diritto dei cittadini di godere della sicurezza personale, della loro casa, delle loro carte e dei loro beni, nei confronti di perquisizioni e sequestri ingiustificati non potrà essere violato; e non si emetteranno mandati giudiziari se non su fondati motivi sostenuti da giuramento o da dichiarazione solenne e con descrizione precisa del luogo da perquisire e delle persone da arrestare o delle cose da sequestrare.“

Storicamente, la Corte Suprema ha interpretato il Quarto Emendamento in base alle esigenze del tempo. Con l’avvento di Internet e delle telecomunicazioni digitali, la sfida è definire se e come la raccolta di dati elettronici rientri nelle protezioni costituzionali.

Il Foreign Intelligence Surveillance Act (FISA) e la Sezione 702

Il Foreign Intelligence Surveillance Act (FISA) è stato introdotto nel 1978 per regolamentare la sorveglianza sulle attività di spionaggio e terrorismo straniero. Questo atto ha istituito la Foreign Intelligence Surveillance Court (FISC), un tribunale segreto che approva richieste di sorveglianza per motivi di sicurezza nazionale. Il FISA è stato più volte aggiornato, in particolare dopo l’11 settembre 2001, per adeguarsi alle nuove minacce globali e all’espansione delle tecnologie di sorveglianza.

La Sezione 702 del FISA Amendments Act del 2008 è un’importante autorità di raccolta di intelligence che consente alla Intelligence Community (IC) di raccogliere, analizzare e condividere informazioni di intelligence su minacce alla sicurezza nazionale. La Sezione 702 autorizza la raccolta mirata di informazioni su soggetti stranieri, esclusivamente non cittadini statunitensi, ritenuti essere al di fuori del territorio degli Stati Uniti.

Criteri e Restrizioni della Sorveglianza

La Sezione 702 del FISA stabilisce criteri stringenti per determinare chi può essere soggetto a sorveglianza, garantendo al contempo la protezione della privacy dei cittadini statunitensi e di chiunque si trovi nel Paese. La normativa consente il monitoraggio esclusivamente di individui non statunitensi situati all’estero, ritenuti coinvolti in attività rilevanti per la sicurezza nazionale. Questo include soggetti che potrebbero possedere, ricevere o trasmettere informazioni sensibili relative a terrorismo, spionaggio o proliferazione di armi di distruzione di massa. L’obiettivo è prevenire potenziali minacce globali attraverso un’attività di intelligence mirata.

D’altra parte, la legge vieta categoricamente la sorveglianza di cittadini statunitensi, indipendentemente dalla loro posizione geografica, così come di qualsiasi persona fisicamente presente negli Stati Uniti. Inoltre, è proibito il cosiddetto “reverse targeting”, ovvero l’uso della sorveglianza di un soggetto straniero con l’intento di raccogliere informazioni su un cittadino statunitense o su una persona che si trovi nel territorio americano. Questo principio è essenziale per garantire che le attività di intelligence non violino le protezioni costituzionali previste dal Quarto Emendamento.

Critiche e Controversie

Nonostante la sua utilità nella lotta al terrorismo e nella protezione della sicurezza nazionale, questa disposizione legislativa ha sollevato non poche critiche per le sue implicazioni sulla privacy e i diritti civili.

Uno dei principali problemi riguarda la possibilità che, nel corso delle attività di sorveglianza, vengano raccolti incidentalmente dati di cittadini statunitensi. Sebbene la legge preveda procedure di minimizzazione per limitare l’uso improprio di tali informazioni, gruppi per i diritti civili denunciano che le forze dell’ordine potrebbero accedervi senza un mandato, aggirando così le garanzie previste dal Quarto Emendamento. Inoltre, la mancanza di trasparenza nelle decisioni della FISC e l’assenza di un controllo pubblico diretto alimentano timori su un potenziale abuso del potere di sorveglianza.

Alcuni critici sostengono che l’uso delle informazioni raccolte potrebbe andare oltre il contrasto al terrorismo e alla sicurezza nazionale, entrando in ambiti come le indagini penali interne senza le dovute garanzie procedurali. Queste preoccupazioni hanno acceso un intenso dibattito sulla necessità di riformare la normativa introducendo controlli più stringenti e maggiore supervisione.

Le Critiche delle Big Tech e la Battaglia di Ron Wyden sulla Sorveglianza USA

Negli anni, la Sezione 702 del FISA ha ricevuto critiche non solo da gruppi per i diritti civili, ma anche da colossi della tecnologia. Nel 2017, aziende come Google, Microsoft, Facebook ed Amazon hanno inviato una lettera al Congresso chiedendo una riforma della normativa per garantire maggiore trasparenza e protezione della privacy.

Nella lettera, le aziende hanno evidenziato cinque aspetti chiave da migliorare:

• Cessazione della raccolta “about”: Si chiedeva di codificare la fine della raccolta di comunicazioni che menzionano soggetti sorvegliati, ma che non sono direttamente a loro collegate.
• Supervisione giudiziaria: Le Big Tech volevano introdurre un controllo legale per l’accesso alle comunicazioni dei cittadini statunitensi, affinché l’agenzia governativa ottenesse un mandato prima di esaminare tali dati.
• Ridefinizione delle informazioni di intelligence: Una richiesta importante riguardava la limitazione della raccolta di dati su individui non statunitensi che non sono sospettati di alcun crimine.
• Maggiore trasparenza: Le aziende chiedevano il diritto di pubblicare informazioni più dettagliate sul numero e la natura delle richieste di sorveglianza ricevute.
• Chiarezza sulle ricerche nei database: È stato sollecitato un maggiore controllo su come i dati dei cittadini americani raccolti incidentalmente vengono conservati e utilizzati.

Anche dal lato politico ci sono state critiche forti contro la Sezione 702, in particolare dal senatore Ron Wyden, da sempre un sostenitore delle libertà civili. Wyden ha più volte denunciato gli abusi della sorveglianza senza mandato, evidenziando come il rinnovo della Sezione 702 avvenga ogni volta senza un dibattito pubblico adeguato.

Dopo l’ennesima proroga della legge, il senatore ha dichiarato:
“Il Senato ha atteso fino all’ultimo minuto per approvare in tutta fretta il rinnovo della sorveglianza senza mandato, nel cuore della notte. Ma non mi arrenderò. Il popolo americano sa che la riforma è possibile e che non è necessario sacrificare la libertà per avere sicurezza.”

Wyden ha inoltre sottolineato che, nonostante le promesse di riforma, emergono continuamente nuovi casi di abusi e violazioni, alimentando la sfiducia nei confronti del programma di sorveglianza.

Nonostante le pressioni delle Big Tech e del senatore Wyden per un maggiore equilibrio tra sicurezza e tutela della privacy, le loro richieste non hanno portato alle riforme auspicate, e la normativa è stata rinnovata più volte senza cambiamenti sostanziali.

Il Futuro della Privacy negli USA

Nel corso degli anni, diversi gruppi per i diritti civili hanno contestato la costituzionalità di questa normativa sulla sorveglianza. La Corte Suprema, pur non avendo ancora emesso una decisione definitiva in merito, ha progressivamente riconosciuto l’importanza di adattare il Quarto Emendamento al contesto digitale, come dimostrato nei casi Carpenter v. United States (2018) e Riley v. California (2014).

Il dibattito sulla privacy negli Stati Uniti continua a evolversi di pari passo con i progressi tecnologici e le nuove sfide legate alla sicurezza nazionale. Da un lato, le istituzioni governative sostengono che strumenti di sorveglianza avanzati siano essenziali per contrastare minacce globali sempre più sofisticate; dall’altro, attivisti e giuristi avvertono che un’espansione incontrollata della raccolta di dati potrebbe compromettere le libertà civili e creare un pericoloso precedente per il futuro. In un’epoca in cui le informazioni digitali sono al centro della vita quotidiana, il bilanciamento tra privacy e sicurezza si conferma una delle questioni più complesse del nostro tempo. Il ruolo della Corte Suprema e del legislatore sarà cruciale per definire fino a che punto il governo possa spingersi nella sorveglianza senza violare i principi costituzionali, e se le protezioni attuali siano sufficienti a garantire i diritti fondamentali dei cittadini.

L'articolo USA e Sorveglianza Globale : Alla Scoperta Della Sezione 702 del Foreign Intelligence Surveillance Act proviene da il blog della sicurezza informatica.

Disk space is allocated in clusters of a certain size. When a file is written to disk and the file size is smaller than the cluster(s) allocated for it, there is an unused portion of varying size between the end of the file’s data and the end of the allocated clusters. This unused space is the slack space, it’s perfectly normal, and [Zachary Parish] had an idea to write a tool to hide data in it.
The demo uses a usb drive, using the slack space from decoy files to read and write data.
[Zachary]’s tool is in Python and can map available slack space and perform read and write operations on it, treating the disparate locations as a single unified whole in which to store arbitrary files. A little tar and gzip even helps makes things more efficient in the process.

There’s a whole demo implemented on Linux using a usb drive with some decoy files to maximize the slack space, and you can watch it in action in the video embedded below. It’s certainly more practical than hiding data in a podcast!

Note that this is just a demo of the concept. The approach does have potential for handling secret data, but [Zachary] points out that there are — from a serious data forensics point of view– a number of shortcomings in its current form. For example, the way the tool currently structures and handles data makes it quite obvious that something is going on in the slack space.

[Zachary] created this a few years ago and has some ideas about how to address those shortcomings and evolve the tool, so if you have ideas of your own or just want to try it out, the slack_hider GitHub repository is where you want to go.

youtube.com/embed/ooYwYke9UFk?…

hackaday.com/2025/02/10/make-a…

The days that PDFs were the granny-proof Swiss Army knives of document sharing are definitely over, according to [vk6]. He has managed to pull off the ultimate mind-bender: running Linux inside a PDF file. Yep, you read that right. A full Linux distro chugging along in a virtual machine all encapsulated within a document. Just when you thought running DOOM was the epitome of it. You can even try it out in your own browser, right here. Mind-boggling, or downright Pandora’s box?

Let’s unpack how this black magic works. The humble PDF file format supports JavaScript – with a limited standard library, mind you. By leveraging this, [vk6] managed to compile a RISC-V emulator (TinyEMU) into JavaScript using an old version of Emscripten targeting asm.js instead of WebAssembly. The emulator, embedded within the PDF, interfaces with virtual input through a keyboard and text box.

The graphical output is ingeniously rendered as ASCII characters – each line displayed in a separate text field. It’s a wild solution but works astonishingly well for something so unconventional.

Security-wise, this definitely raises eyebrows. PDFs have long been vectors for malware, but this pushes things further: PDFs with computational power. We know not to trust Word documents, whether they just capable of running Doom, or trash your entire system in a blink. This PDF anomaly unfolds a complete, powerful operating system in front of your very eyes. Should we think lightly, and hope it’ll lead to smarter, more interactive PDFs – or will it bring us innocent looking files weaponized for chaos?

Curious minds, go take a look for yourself. The project’s code is available on GitHub.

youtube.com/embed/cWnN-FA3zRM?…

hackaday.com/2025/02/10/nice-p…

Blinds are great for keeping light out or letting light in on demand, but few of us appreciate having to walk over and wind them open and shut on the regular. [DIY Builder] resented this very task, so set about creating an automated system to do the job for him.

The blinds in question use a ball chain to open and close, which made them relatively easy to interface with mechanically. [DIY Builder] set up a NEMA 17 stepper motor with an appropriate 3D-printed gear to interface with the chain, allowing it to move the blinds accurately. The motor is controlled via an Arduino Nano and an A4988 stepper motor driver.

However, that only covered the mechanical side of things. [DIY Builder] wanted to take the build a step further by making the blinds voice activated. To achieve this, the Arduino Nano was kitted out with a DFRobot Gravity voice recognition module. It’s a super simple way to do voice recognition—it’s an entirely offline solution with no cloud computing or internet connection required. You just set it up to respond to simple commands and it does the rest.

The result is a voice activated blind that works reliably whether your internet is up or not. We’ve seen some other great projects in this space, too. Video after the break.

youtube.com/embed/xdABENCrh98?…

hackaday.com/2025/02/10/blinds…

Car infotainment systems somehow have become a staple in today’s automobiles, yet when it comes down to it they have all the elegance of a locked-down Android tablet. In the case of the Honda infotainment system that [dosdude1] got from a friend’s 2016/2017-era Honda Accord, it pretty much is just that. Powered by a dual-core Cortex-A15 SoC, it features a blazin’ 1 GB of RAM, 2 GB of storage and runs Android 4.2.2. It’s also well-known for crashing a lot, which is speculated to be caused by Out-of-RAM events, which is what the RAM upgrade is supposed to test.

After tearing down the unit and extracting the main board with the (Renesas) SoC and RAM, the SoC was identified as being an automotive part dating back to 2012. The 1 GB of RAM was split across two Micron-branded packages, leaving one of the memory channels on the SoC unused and not broken out. This left removing the original RAM chips to check what options the existing pads provided, specifically potential support for twin-die chips, but also address line 15 (A15). Unfortunately only the A15 line turned out to be connected.

This left double capacity (1 GB) chips as the sole option, meaning a total of 2 GB of RAM. After installation the infotainment system booted up, but only showed 1 GB installed. Cue hunting down the right RAM config bootstrap resistor, updating the boot flags and updating the firmware to work around the LINEOWarp hibernation image that retained the 1 GB configuration. Ultimately the upgrade seems to work, but until the unit is reinstalled in the car and tested it’s hard to say whether it fixes the stability issues.

Thanks to [Dylan] for the tip.

youtube.com/embed/9N1_8vz6R78?…

hackaday.com/2025/02/10/upgrad…

I ricercatori di NowSecure hanno avviato un audit di sicurezza sull’app mobile DeepSeek per iOS e hanno scoperto gravi problemi. Il principale è che l’applicazione trasmette dati sensibili senza alcuna crittografia, esponendoli al rischio di intercettazione e manipolazione. Gli esperti sottolineano inoltre che l’applicazione non rispetta le norme di sicurezza e raccoglie una grande quantità di dati sugli utenti e sui loro dispositivi.

“DeepSeek per iOS trasmette alcuni dati di accesso tramite Internet senza crittografia”, hanno scritto gli analisti. – Ciò espone tutti i dati presenti nel traffico Internet ad attacchi sia passivi che attivi. DeepSeek per iOS disattiva a livello globale App Transport Security (ATS), una funzionalità di sicurezza a livello di piattaforma iOS che impedisce l’invio di dati sensibili tramite canali non crittografati. Poiché questa protezione è disattivata, l’app può trasmettere (e lo fa) dati non crittografati su Internet.”

Il rapporto di NowSecure elenca anche una serie di debolezze nell’implementazione della crittografia dei dati degli utenti. Tra questi rientra l’uso dell’algoritmo non sicuro 3DES; chiavi simmetriche che sono le stesse per tutti gli utenti iOS e sono codificate e memorizzate sul dispositivo; riutilizzo dei vettori di inizializzazione.

Inoltre, è stato rivelato che i dati venivano trasmessi a server gestiti dalla piattaforma di cloud computing e archiviazione dati Volcano Engine, di proprietà della società cinese ByteDance, proprietaria anche di TikTok.

I ricercatori hanno avvertito che, sebbene alcuni di questi dati fossero correttamente crittografati tramite TLS, una volta decrittografati sui server controllati da ByteDance, le informazioni sarebbero potute essere abbinate ad altri dati degli utenti raccolti altrove. Ciò potrebbe in ultima analisi portare all’identificazione di individui specifici e al potenziale monitoraggio delle richieste.

Sebbene la verifica di NowSecure non sia ancora stata completata, i ricercatori si sono subito affrettati ad avvertire che l’app DeepSeek per iOS “non è progettata o preparata per fornire una protezione di base per i tuoi dati e la tua identità”.

Secondo loro, DeepSeek per iOS non rispetta nemmeno le regole di sicurezza fondamentali, deliberatamente o accidentalmente. Allo stesso tempo, gli esperti hanno ritenuto l’app DeepSeek per Android ancora più problematica e hanno consigliato di rimuoverla.

Va notato che la scorsa settimana l’Associated Press ha riferito che il sito web DeepSeek è stato creato per trasmettere i dati degli utenti all’infrastruttura di China Mobile, una società di telecomunicazioni statale cinese a cui è vietato operare negli Stati Uniti.

Ad oggi, diversi paesi, tra cui Australia, Paesi Bassi e Corea del Sud, nonché numerose agenzie governative in India e negli Stati Uniti, hanno vietato l’uso di DeepSeek sui dispositivi governativi per motivi di sicurezza nazionale.

L'articolo DeepSeek Nel Mirino! L’app iOS trasmette i dati ai backend senza crittografia! proviene da il blog della sicurezza informatica.

Bleach is a handy way to mark fabrics, and it turns out that combining bleach with a 3D-printed design is an awfully quick-working and effective way to stamp a design onto a shirt.
Plain PLA stamp with bleach gives a slightly distressed look to this design.
While conceptually simple, the details make the difference. Spraying bleach onto the stamp surface helps get even coverage, and having the stamp facing “up” and lowering the shirt onto the stamp helps prevent bleach from running where it shouldn’t. Prompt application of hot air with a heat gun (followed by neutralizing or flushing any remaining bleach by rinsing in plenty of cold water) helps keep the edges of the design clean and sharp.

We wondered if combining techniques with some of the tips on how to 3D print ink stamps would yield even better results. For instance, we notice the PLA stamp (used to make the design in the images here) produces sharp lines with a slightly “eroded” look overall. This is very much like the result of inking with a stamp printed in PLA. With a stamp printed in flex filament, inking gives much more even results, and we suspect the same might be true for bleach.

Of course, don’t forget that it’s possible to 3D print directly onto fabric if you want your designs to be a little more controlled (and possibly in multiple colors). Or, try silkscreening. Who knew there were so many options for putting designs onto shirts? If you try it out and learn anything, let us know by sending in a tip!

youtube.com/embed/LBNN1thLB3E?…

hackaday.com/2025/02/10/make-c…

Se a qualcuno interessasse avere informazioni su cosa succede laggiù io da mesi sono iscritto a questa newsletter di Haaretz e penso sia un'ottima fonte di informazioni.

haaretz.com/newsletter/single?…

Ovviamente è in inglese.

It’s been a minute since I featured a tiny keyboard, and that’s okay. But if you want to get your feet wet in the DIY keyboarding community, making a little macro pad like [Arnov Sharma]’s Paste Pal is a great place to start.

Image by [Arnov Sharma] via Hackaday.IOThis is a follow-up to his original Paste Pal, which only had two buttons for copy and paste plus an OLED display. This updated version does three more things thanks to a total of five blue (!) switches. The selected command shows up on the screen so you know what you’ve done.

Right now, [Arnov] has the Paste Pal set up to do Copy, Paste, Enter, Scroll Up, and Scroll Down, but changing the assignments is as easy as updating a few lines of code.

Paste Pal Mk. II is at heart a Seeed Xiao SAMD21, which in this case is programmed in Arduino. If you want to make things easier on yourself, you could program it in CircuitPython instead, although [Arnov] includes the Arduino code in his excellent build guide.

A Good Soldier, Indeed

RIP to [Pure-Bullfrog-2569]’s 7-year-old masterpiece of a hand-wired build, which recently gave its last keystroke.

Image by [Pure-Bullfrog-2569] via redditEvidently this beauty is heavy, crappy, and hand-wired, but I have big doubts about the crappy part. It’s built out of layers of laser cut wood and hand-painted. It took [Pure-Bullfrog-2569] the better part of a year to pull this together. And now they feel too lazy to debug it.

At the urging of many redditors, it appears that [Pure-Bullfrog-2569] will set the keyboard aside for a later date, rather than just throwing or parting it out, or hanging it on the wall.

The controller itself is dead, which was a fake Teensy anyway, so maybe they’ll solder in an RP2040 or something and bring it back to life. Apparently it sounded pretty cool to type on. I bet it did!

The Centerfold: Screens, Screens Everywhere

Image by [theslinkyvagabond] via redditDo you like screens, bro? Some people do. I myself have two, but I also used a tablet back when I was streaming so I could manage my unruly chat full of tumbleweeds and crickets. Having sort of been there, I can see why a person would want a lot of screens if they have a lot going on. Apparently [theslinkyvagabond] does, what with the three-server home lab and all to manage. Maybe it’s the relative darkness, or the fact that all the screens are currently the same, but this somehow seems cozy for a five-screen setup. No mention of the keyboards, although the one on the left looks intriguing.

Do you rock a sweet set of peripherals on a screamin’ desk pad? Send me a picture along with your handle and all the gory details, and you could be featured here!

Historical Clackers: the SEGA Pico Keyboard

I know, I know; this looks like my typical centerfold choice. But hear me out. So I was trying to get ChatGPT to trawl GitHub for new-ish hardware keyboard projects on my behalf, and it came back with this intriguing picture of a SEGA keyboard. There was also a Hello Kitty variant!
Image via Video Game Database
Now of course the actual link it listed goes to a DIY keyboard with a Raspberry Pi Pico inside, which is a nice build, by the way. You should check it out.

But anyway, back to this Japanese Fisher Price situation. It is apparently an accessory for the SEGA Pico system, which was a lot like a LeapPad, and used the same processor as the SEGA Mega Drive. It did sell in North America and Europe, but only for an unsuccessful four years before being discontinued. Apparently it has a regular PS/2 connector (Indonesian, translated) and works just fine as a computer input.

I don’t know what kind of switches this thing has, but I would love to find out. It looks fun to type on, at least. And I don’t just mean because of the colors. Those keycaps remind me of that 80s square gum with the goo inside. Freshen Up.

Finally, a Keyboard for Writers

So this floaty mechanical keyboard is the latest offering from Astrohaus, who rose to fame with their AlphaSmart NEO-like device called the Freewrite, which apparently I disliked enough to never even cover. Why bother with that when you have OG NEOs lying around? Also, those Freewrite things are pricey for what they are, and I’ve seen plenty of writer decks on Hackaday to believe that I could build my own if I wanted.
Image via Astrohaus/Freewrite
Much like the Freewrite, the Wordrunner is aimed squarely at writers. And how do we feel about it? Well, as much as I love my Kinesis Advantage, it sure doesn’t have an electromechanical word counter or a sprint timer built into it like this one does.

It looks white, but the body is all metal and feels great according to Tom’s Hardware. All Wordrunners will ship with Kailh box browns and are not hot-swappable. Well, I suppose these are for writers and not necessarily keyboard enthusiasts. Perhaps the most interesting bit is that the F keys are replaced by common writerly actions, and there are a couple of programmable macro keys on top of those.

If there’s one thing writers love, it’s watching that word count go up. I can imagine how awesome it would be to watch it spin the faster you type, although that might trigger an urge to write nonsense. But sometimes great things come from such brainstorms.

Of course I don’t love that the Wordrunner is a standard TKL rectangle, but you gotta start somewhere, I suppose. Maybe they’ll make an ergonomic one someday. Like the other products under the Astrohaus/Freewrite umbrella, this one will launch on Kickstarter. Who knows how much it will be, probably at least $200, but you can reserve one for a refundable $1 ahead of time.

Got a hot tip that has like, anything to do with keyboards? Help me out by sending in a link or two. Don’t want all the Hackaday scribes to see it? Feel free to email me directly.

hackaday.com/2025/02/10/keebin…