There’s been a lot of buzz about Meshtastic lately, and with good reason. The low-power LoRa-based network has a ton of interesting use cases, and as with any mesh network, the more nodes there are, the better it works for everyone. That’s why we’re excited by this super-affordable Meshtastic kit that lets you get a node on the air for about ten bucks.
The diminutive kit, which consists of a microcontroller and a LoRa module, has actually been available from the usual outlets for a while. But [concretedog] has been deep in the Meshtastic weeds lately, and decided to review its pros and cons. Setup starts with flashing Meshtastic to the XIAO ESP32-S3 microcontroller and connecting the included BLE antenna. After that, the Wio-SX1262 LoRa module is snapped to the microcontroller board via surface-mount connectors, and a separate LoRa antenna is connected. Flash the firmware (this combo is supported by the official web flasher), and you’re good to go.
What do you do with your new node? That’s largely up to you, of course. Most Meshtastic users seem content to send encrypted text messages back and forth, but as our own [Jonathan Bennett] notes, a Meshtastic network could be extremely useful for emergency preparedness. Build a few of these nodes, slap them in a 3D printed box, distribute them to willing neighbors, and suddenly you’ve got a way to keep connected in an emergency, no license required.
Oggi è la #GiornataInternazionaledellaDonna, la Biblioteca del #MIM ha allestito un’esposizione di libri e periodici riguardanti importanti figure femminili.
Oggi è la #GiornataInternazionaledellaDonna, la Biblioteca del #MIM ha allestito un’esposizione di libri e periodici riguardanti importanti figure femminili.
Negli ultimi giorni, il panorama della cybersecurity italiana è stato scosso da una serie di massicci data leak che hanno esposto centinaia di migliaia di informazioni sensibili di cittadini e aziende italiane. Secondo quanto riportato dalla piattaforma Recorded Future, un totale di 464.508 record compromessi è stato individuato su diversi forum del dark web, mettendo in evidenza un’escalation preoccupante delle minacce informatiche rivolte al nostro Paese.
L’origine dei dati trafugati e le piattaforme coinvolte
Le informazioni compromesse sono emerse da forum specializzati e mercati clandestini del dark web, tra cui BreachForums2, NoHide Forum, CrdPro ed Exploit Forum, noti per essere punti di incontro per hacker e cybercriminali che vendono e scambiano dati sottratti.
Secondo i report di Recorded Future, nei giorni 1 e 2 marzo 2025 sono stati pubblicati i seguenti dataset:
300.000 record su BreachForums2 (1 marzo)
140.000 record su NoHide Forum (2 marzo)
15.198 record su CrdPro (1 marzo)
9.310 record su CrdPro (2 marzo)
L’elemento più inquietante è il tasso di validità dell’85% associato a questi dati, che suggerisce che la maggior parte delle informazioni rubate è ancora utilizzabile per attività illecite, come il furto d’identità, frodi finanziarie e attacchi informatici mirati.
Quali dati sono stati esposti?
L’analisi dei database compromessi rivela una vasta gamma di informazioni personali e finanziarie, suddivise in diverse categorie di dati sensibili:
Credential Leaks: Sono state trovate enormi raccolte di email e password associate a servizi di posta elettronica, social network e piattaforme aziendali. Particolarmente preoccupante è la presenza di un dataset denominato “Yahoo EmailPass HQ Combolist”, che suggerisce una compromissione mirata degli account Yahoo italiani.
Combolists: I cosiddetti “combolists” sono raccolte di credenziali email-password di alta qualità, spesso utilizzate per attacchi di credential stuffing, ovvero tentativi automatici di accesso ad account online sfruttando combinazioni precedentemente esposte in altre violazioni.
Fullz Information: Si tratta di dati personali completi, tra cui nomi, indirizzi, numeri di telefono, email, numeri di carte di credito e altre informazioni finanziarie. La vendita di questi dati su forum del dark web indica un forte interesse da parte dei cybercriminali per il furto d’identità e le frodi economiche.
Proxy e SOCKS5 italiani: In alcuni marketplace underground sono apparsi elenchi di IP italiani compromessi, venduti come proxy per attività di anonimizzazione e attacchi informatici che simulano traffico proveniente dall’Italia. Questi strumenti vengono spesso utilizzati per bypassare controlli antifrode o per lanciare attacchi informatici da una posizione apparentemente legittima.
Yahoo Email Credentials: Un altro dato rilevante è l’esistenza di elenchi specifici di credenziali appartenenti a utenti Yahoo italiani, segno che il provider è stato particolarmente preso di mira in questa ondata di violazioni.
La diversità e l’ampiezza delle informazioni esposte dimostrano come l’ecosistema criminale del dark web sia sempre più specializzato nella raccolta e monetizzazione dei dati personali.
Le implicazioni per la cybersecurity italiana
Questi eventi sottolineano come l’Italia sia diventata un obiettivo privilegiato per gli attacchi informatici e il commercio illegale di dati. L’attuale situazione evidenzia alcune criticità fondamentali:
Scarsa consapevolezza sulla sicurezza digitale: Il numero elevato di credenziali compromesse suggerisce che molti utenti continuano a utilizzare password deboli e ripetute su più servizi, senza adottare meccanismi di protezione avanzati come l’autenticazione a due fattori (2FA).
Aumento degli attacchi di credential stuffing: La disponibilità di combolists aggiornate consente ai cybercriminali di testare automaticamente credenziali su vari servizi online, aumentando il rischio di accessi non autorizzati e furti di dati aziendali e personali.
Espansione del mercato nero dei proxy italiani: La vendita di proxy e SOCKS5 con IP italiani suggerisce un forte interesse nel mascherare attività fraudolente simulando connessioni da indirizzi riconosciuti come affidabili dalle infrastrutture di sicurezza.
Quale sarà il prossimo passo?
Se questa tendenza dovesse continuare, l’Italia potrebbe affrontare una crescente ondata di attacchi informatici mirati, con implicazioni sia per i cittadini che per le aziende. Alcuni possibili sviluppi includono:
Attacchi di phishing altamente personalizzati: Con così tante informazioni personali disponibili, i criminali potrebbero orchestrare campagne di phishing più credibili e difficili da riconoscere.
Frode finanziaria e furto d’identità: I dataset contenenti dati finanziari possono essere utilizzati per prelievi fraudolenti, acquisti online non autorizzati o schemi di social engineering per accedere a conti bancari.
Compromissione di infrastrutture aziendali: La presenza di credenziali aziendali nei database esposti potrebbe facilitare attacchi ransomware o intrusioni mirate nei sistemi informatici di imprese italiane.
Come proteggersi?
Alla luce di questi eventi, è essenziale adottare una serie di misure per ridurre l’impatto delle violazioni e prevenire future compromissioni:
Attivare l’autenticazione a due fattori (2FA) su tutti i servizi critici, impedendo accessi non autorizzati anche in caso di compromissione delle password.
Monitorare il dark web attraverso servizi specializzati per individuare in tempo reale la presenza delle proprie credenziali in eventuali data leak.
Cambiare regolarmente le password e utilizzare password manager per generare credenziali complesse e uniche per ogni servizio.
Eseguire reset periodici delle credenziali aziendali e adottare soluzioni di sicurezza avanzate per proteggere gli asset aziendali.
Sensibilizzare dipendenti e cittadini sull’importanza della cybersecurity e delle buone pratiche di sicurezza digitale.
La recente ondata di data leak è un chiaro segnale di allarme per l’Italia: la sicurezza digitale deve diventare una priorità per tutti, dalle aziende ai singoli utenti. La protezione delle informazioni personali e aziendali non può più essere sottovalutata. Solo attraverso un’azione congiunta di formazione, prevenzione e tecnologie avanzate si potrà limitare l’impatto di queste minacce e proteggere il futuro digitale del nostro Paese.
Continueremo a monitorare la situazione e a fornire aggiornamenti su Red Hot Cyber per mantenere alta l’attenzione su queste gravi minacce emergenti.
Un utente con il nickname adispystore ha pubblicato un annuncio su un noto forum underground, offrendo presunti servizi remoti e report d’esame per diverse certificazioni di sicurezza informatica, tra cui OSCP, OSEP, OSWE, CRTP e CRTE.
L’inserzione offre i seguenti servizi:
OSCP: Servizi di supporto remoto durante l’esame con un metodo dichiarato “non rilevabile”.
HTBCPTS e CBBH: Report d’esame e assistenza remota.
CRTE e CRTP: Supporto su Discord durante l’esame.
CRTO: Servizi di esame remoto.
OSWE Exam Report: Fornitura del codice sorgente, exploit RCE e report dettagliato sugli ambienti Akount e Soapbx.
OSEP Exam Writeup (14 flag) – Febbraio 2025: Disponibilità di prove a supporto.
L’utente dichiara di trattare esclusivamente su Discord con il nome adispy e avverte di non essere responsabile per eventuali transazioni effettuate con contatti che si spacciano per lui.
Le certificazioni coinvolte
Le certificazioni offerte in questo annuncio sono altamente tecniche e riconosciute nel settore della cybersecurity. Ecco una panoramica:
OSCP+ (Offensive Security Certified Professional Plus) attesta non solo l’esperienza in sicurezza informatica, ma indica anche che il professionista è aggiornato con gli ultimi standard e pratiche del settore. La designazione “+” sottolinea l’impegno per l’apprendimento continuo. Se non si mantiene il “+” attraverso formazione continua, il titolare conserva comunque l’OSCP, una certificazione pratica e tecnica che richiede di attaccare e penetrare macchine live in un ambiente controllato, utilizzando gli strumenti di Kali Linux.
HTB CPTS (Hack The Box Certified Penetration Testing Specialist): Certificazione di Hack The Box che valida competenze intermedie nel penetration testing, incluse tecniche avanzate di exploitation, privilege escalation e reportistica.
HTB CBBH (Hack The Box Certified Bug Bounty Hunter): Certificazione di Hack The Box specializzata nel bug bounty hunting e sicurezza web, con enfasi su vulnerabilità complesse in applicazioni e API.’esame testa la capacità di individuare e sfruttare vulnerabilità complesse in applicazioni web e API.
OSEP (OffSec Experienced Penetration Tester): Certificazione avanzata di Offensive Security che attesta competenze elevate nel penetration testing contro ambienti protetti. Copre tecniche di evasione di sicurezza, bypass di antivirus ed EDR, attacchi avanzati a reti Windows e Active Directory. L’ottenimento della OSEP distingue i professionisti esperti nella simulazione di attacchi sofisticati, rendendoli altamente ricercati nella cybersecurity offensiva.
OSWE (Offensive Security Web Expert): Certificazione di OffSec focalizzata sulla sicurezza avanzata delle applicazioni web. Valida le competenze nel test di penetrazione web, nell’elusione delle difese e nella creazione di exploit personalizzati per vulnerabilità critiche. I professionisti certificati OSWE sono altamente qualificati nella protezione delle organizzazioni dalle minacce web.
CRTP (Certified Red Team Professional): Certificazione focalizzata su tecniche di Red Teaming per principianti, che copre attacchi su infrastrutture Windows Active Directory, come privilege escalation e lateral movement, emulando le tattiche di attori APT.
CRTE (Certified Red Team Expert): Certificazione avanzata per professionisti esperti nel Red Teaming. Si concentra su simulazioni di attacchi complessi e avanzati contro infrastrutture aziendali, emulando le TTP (Tactics, Techniques, and Procedures) di attori APT, con enfasi su attacchi sofisticati e la gestione di ambienti complessi.
CRTO (Certified Red Team Operator): Certificazione che insegna strategie avanzate di Red Teaming. Focalizzata sulla simulazione di minacce persistenti avanzate (APTs), l’operatore acquisisce competenze nella valutazione delle difese organizzative e nell’utilizzo di strumenti e metodologie per esercizi di Red Teaming efficaci. Inoltre, enfatizza la collaborazione con i Blue Team per migliorare la postura di sicurezza complessiva.
Metodi di cheating avanzati
L’annuncio menziona l’utilizzo di metodi “non rilevabili” per il supporto remoto agli esami. Questo potrebbe indicare l’impiego di tecniche sofisticate come:
Remote Access Trojan (RAT):Malware per controllare a distanza il sistema dell’esaminando senza essere rilevato.
Virtual Machine Escaping: Uso di ambienti virtuali per eludere i controlli di sicurezza.
Obfuscation e Anti-Detection: Tecniche per nascondere attività sospette e sfuggire ai sistemi di monitoraggio.
e altro ancora
Questo caso rappresenta un tentativo di frode accademica su larga scala. L’acquisto di report d’esame o l’uso di assistenza remota durante i test non solo viola le regole delle certificazioni, ma comporta anche rischi come:
Compromissione dell’integrità professionale: Chi ottiene una certificazione in modo fraudolento potrebbe non avere le competenze richieste, creando problemi nel settore della sicurezza informatica.
Rischi legali: Essere scoperti nell’uso di questi servizi può portare alla revoca della certificazione e conseguenze legali.
Esposizione a truffe: Molti venditori su forum underground potrebbero essere truffatori, rubando denaro senza fornire alcun servizio.
Conclusioni e monitoraggio
Attualmente, non possiamo confermare l’autenticità della notizia. Le informazioni riportate provengono da fonti pubbliche accessibili su forum underground e vanno interpretate come una fonte di intelligence, non come una conferma definitiva.
RHC monitorerà l’evoluzione della vicenda per fornire eventuali aggiornamenti sul blog. Chiunque abbia informazioni aggiuntive può contattarci in forma anonima tramite la nostra mail crittografata per whistleblower.
Lucid dreaming is the state of becoming aware one is dreaming while still being within the dream. To what end? That awareness may allow one to influence the dream itself, and the possibilities of that are obvious and compelling enough that plenty of clever and curious people have formed some sort of interest in this direction. Now there are some indications that VR might be a useful tool in helping people achieve lucid dreaming.
The research paper (Virtual reality training of lucid dreaming) is far from laying out a conclusive roadmap, but there’s enough there to make the case that VR is at least worth a look as a serious tool in the quest for lucid dreaming.
One method of using VR in this way hinges on the idea that engaging in immersive VR content can create mild dissociative experiences, and this can help guide and encourage users to perform “reality checks”. VR can help such reality checks become second nature (or at least more familiar and natural), which may help one to become aware of a dream state when it occurs.
Another method uses VR as a way to induce a mental state that is more conducive to lucid dreaming. As mentioned, engaging in immersive VR can induce mild dissociative experiences, so VR slowly guides one into a more receptive state before falling asleep. Since sleeping in VR is absolutely a thing, perhaps an enterprising hacker with a healthy curiosity in lucid dreaming might be inspired to experiment with combining them.
What’s that smell? If you can’t tell, maybe a new laser system from CU Bolder and NIST can help. The device is simple and sensitive enough to detect gasses at concentrations down to parts per trillion.
The laser at the system’s heart is a frequency comb laser, originally made for optical atomic clocks. The laser has multiple optical frequencies in its output. The gas molecules absorb light of different wavelengths differently, giving each type of molecule a unique fingerprint.
Unlike traditional lasers, which emit a single frequency, a frequency comb laser can emit thousands or millions of colors at once. The inventor picked up the Nobel prize in 2005 for that work.
The gas is placed between two highly-reflective mirrors. The beam bounces in this optical cavity, although previous attempts were difficult because the cavity has a particular affinity for frequencies. The answer was to jiggle the mirrors to change the size of the cavity during measurments.
This is one of those things that doesn’t seem very complicated except — whoops — you need an exotic comb laser. But if those ever become widely available, you could probably figure out how to replicate this.
[EDIT: aggiunto FreeMusicArchive] [EDIT2: rimosso Soundcloud dopo la notizia che la musica caricata su questo sito verrà usata per addestrare le IA]
Condivido qualche #alternativa alla #YouTube Audio Library che ho trovato nel mio processo di de-#GAFAM, in particolare quelle dove è possibile trovare #musicautilizzabile anche in progetti commerciali.
Nota: è importante prestare molta attenzione alle licenze* e inserire l'attribuzione dove richiesta!
Free-Stock-Music.com Probabilmente l'alternativa più completa: buon assortimento di brani e varietà di #licenze, possibilità di filtrare in base a categoria (genere), stato d'animo, tempo, lunghezza, vocale/strumentale e altro.
Ende.app Precedentemente noto come Filmmusic.io, il progetto di Sascha Ende ha subito varie vicissitudini. La versione attuale propone esclusivamente la musica dell'artista tedesco (molti brani sono generati con l'aiuto dell'IA, ma si possono filtrare solo quelli "artigianali"), sfogliabile e filtrabile per genere, tema, stato d'animo e tag. Tutti i brani sono CC-BY.
Bandwagon.fm L'alternativa federata, che presenta per ora una scelta limitata di brani (quelli visualizzati dal link sono filtrati per la licenza CC-BY, mediante il menu si possono scegliere altre licenze tra cui PD e CC0). La raccolta è in espansione.
Freemusicarchive.org Un sito con ampia scelta di musiche, filtrabile per #licenza (qui impostata su CC-BY e PD), per genere, vocale/strumentale e lunghezza dei brani. Un po' troppa pubblicità (e anche un po' troppa musica generata con l'IA).
Archive.org Un po' più difficile è la ricerca su Archive.org, perciò quella preimpostata nel link può essere utile. Scarno l'assortimento, purtroppo (provate a cambiare la parola "background" nel campo di ricerca per avere risultati diversi).
Freesound.org Nonostante la netta predominanza di librerie di rumori e brevi suoni, anche su questo sito si può trovare della musica (seguendo il link, i risultati sono già filtrati secondo le licenze CC0 e CC-BY).
FreeToUse Nonostante il nome promettente, i brani rilasciati con la licenza di questo sito possono essere usati per video monetizzati, ma non per altre forme di vendita.
*) le licenze che permettono di usare un brano a fini commerciali (e senza dover ridistribuire l'opera con la stessa licenza) sono soltanto la PD/CC0 (pubblico dominio, attribuzione non richiesta) e la CC-BY (attribuzione richiesta). Inoltre, la licenza free-to-use permette la monetizzazione dei video (con attribuzione) ma non altre forme commerciali.
There was a time when the line between typewriters and word processing software was a bit fuzzy. [Poking Technology] found a Xerox 6040 which can’t decide what it is. It looks like a typewriter but has a monitor and a floppy drive, along with some extra buttons. You can watch him tear it down in the video below.
The old device uses a daisywheel type element, which, back then, was state of the art. A wheel had many spokes with letters and the printer would spin the wheel and then strike the plastic spoke.
Inside there is a computer of sorts. Like a lot of gear from those days, there is a huge linear power supply. The video is a couple of hours long, so you’ll have plenty of chances to see the inside. There is an 8031 on the first logic board and some odd connections for external devices. As it turns out, that board wasn’t the main wordprocessing board which is under the keyboard.
On that board, there is another small CPU and some very large gate arrays. Under an odd-looking socket, however, lives an 80188, which is sort of an 8086/8088 variant.
The video is a very long deep dive into the internals, including reverse engineering of some of the ROM chips and even a surprise or two.
Sblocco un ricordo per i babbei atlantisti europeisti. I Russi non erano allo stremo delle forze? Come mai bisogna investire 800 miliardi di euro per il riarmo per difendersi da una ipotetica invasione russa, partorita dalla mente malata della von der layen e Macron?
Just about any 3D printer can be satisfying to watch as it works, but delta-style printers are especially hypnotic. There’s just something about the way that three linear motions add up to all kinds of complex shapes; it’s mesmerizing. Deltas aren’t without their problems, though, which led [Bruno Schwander] to undertake a trio of interesting mods on his Anycubic Kossel.
First up was an effort to reduce the mass of the business end of the printer, which can help positional accuracy and repeatability. This started with replacing the stock hot-end with a smaller, lighter MQ Mozzie, but that led to cooling problems that [Bruno] addressed with a ridiculously overpowered brushless hairdryer fan. The fan expects a 0 to 5-VDC signal for the BLDC controller, which meant he had to build an adapter to allow Marlin’s 12-volt PWM signal to control the fan.
Once the beast of a fan was tamed, [Bruno] came up with a clever remote mount for it. A 3D-printed shroud allowed him to mount the fan and adapter to the frame of the printer, with a flexible duct connecting it to the hot-end. The duct is made from lightweight nylon fabric with elastic material sewn into it to keep it from taut as the printhead moves around, looking a bit like an elephant’s trunk.
Finally, to solve his pet peeve of setting up and using the stock Z-probe, [Bruno] turned the entire print bed into a strain-gauge sensor. This took some doing, which the blog post details nicely, but it required building a composite spacer ring for the glass print bed to mount twelve strain gauges that are read by the venerable HX711 amplifier and an Arduino, which sends a signal to Marlin when the head touches the bed. The video below shows it and the remote fan in action.
i paesi egemoni solitamente disincentivano i paesi formalmente elleati, di fatto sudditi, dall'avere impianti militari importanti. un esempio è il divieto all'italia di possedere armi atomiche. la russia non ha permesso ai suoi alleati di armarsi, in previsione di necessarie future invasioni. per gli usa non è invece questione di invadere i propri alleati, ma di tenerli succubi. gli stati uniti hanno permesso fino ad adesso ai paesi europei di risparmiare sulle spese militari per proprio interesse, più che per interesse europeo. per cui alla fine è buffo che trump improvvisamente pensi di poter avere elleati sia "fedeli" che "utili e potenti". un po' come la moglie ubriaca e la botte piena. ma forse semplicemente a trump non interessa proprio l'europa. ma questa può essere l'occasione buona per cominciare a esercitare piena libertà, finalmente, cominciando a disfarsi delle basi militari usa.
io continuo a non capire come si possa pensare che gli israeliani siano i buoni e i palestinesi siano i cattivi... veramente assurdo. il problema è che non è neppure questione di governanti pazzi ma proprio di popolazione civile che può meritare solo disprezzo. in un paese che qualcuno piace definire "democratico". quanto letto in questo articolo è proprio della sensibilità di una democrazia? perché se questa è democrazia, tanto vale amare putin...
Dopo gli innumerevoli video di soldati che umiliano i prigionieri e i morti palestinesi, sui social israeliani è scoppiata una nuova moda: creare contenuti che deridono i bambini di Gaza che hanno perso i genitori sotto le bombe.
Credo che in Israele siano saltati tutti i freni inibitori ormai.
Mi domando anche come gestiranno questa generazione di ventenni trasformati in assassini e criminali di guerra quando ritorneranno a casa. Non penso proprio che deporranno le armi e torneranno le persone che erano prima.
chiamano antisemitismo qualsiasi dichiarazione di disaccordo con la loro politica... e questo è in perfetta sintonia con la loro "democrazia". sarei antisemita sostenessi che non hanno il diritto come persone di vivere, ma non è così. un conto è vivere a casa propria, un altro commettere un genocidio. che poi come si possa giustificare l'operato israeliani in cisgiordania a opera dei "coloni" non lo so... non son portatori di civiltà... questo è chiaro.
ma poi qualcuno si ricorda di quando dissero agli usa "ma voi lo avete fatto con i pellerossa... perché noi non possiamo?". ma questa domanda implica qualcosa nella testa di chi ascolta? come si può ignorare? è un proposito molto chiaro... praticamente una confessione. quindi sono anche in mala fede. e noi italiani che gli andiamo dietro e sosteniamo (come a putin) dei coglioni.
Inspired by the N64: Recompiled project, XenonRecomp does something similar, except for the PowerPC-equipped Microsoft Xbox 360 game console. Based around the triple-core IBM CPU codenamed ‘Xenon‘, the Xbox 360 was released in 2005 and generally quite successful over its lifespan despite its Red Ring of Death issues. Although the current Xbox Series X supports running a number of Xbox 360 games, this is done via emulation and only 632 games out of 2,155 are supported.
This is where XenonRecomp not only promises turning the games into native (x86) software, but also allowing for a range of graphical improvements. Best of all, it allows for Xbox 360 games to be preserved instead of linked to an obsolete console. That said, much like with N64Recomp, it’s not a simple matter of running a tool over the PPC binary. You’re expected to have in-depth systems knowledge, with the tools in XenonRecomp assisting with the decompilation (into C++) and the recompilation into x86 binaries, but support for PPC instructions, VMX (vector instructions) and aspects like jump table conversion and (currently missing) MMIO support are likely to present an enterprising developer with hours of fun to implement and debug when issues arise.
After recompilation into an x86 binary, the required assets are then expected to be copied in from a (legal) copy of the original game. As a proof of concept the game Sonic Unleashedhas been ported in this manner, with [Modern Vintage Gamer] running through this port and the improvements made over the original game, as well as some issues you may encounter:
#NoiSiamoLeScuole, questa settimana racconta di tre interventi in Campania, grazie al #PNRR.
Nello specifico, una cittadella della scuola a Castel Volturno dove confluiranno le attività degli Istituti Comprensivi “Garibaldi” e “Castel Volturno Cent…
#NoiSiamoLeScuole, questa settimana racconta di tre interventi in Campania, grazie al #PNRR.
Nello specifico, una cittadella della scuola a Castel Volturno dove confluiranno le attività degli Istituti Comprensivi “Garibaldi” e “Castel Volturno Cent…
In our wider community we are all familiar with the idea of open source software. Many of us run it as our everyday tools, a lot of us release our work under an open source licence, and we have a pretty good idea of the merits of one such document over another. A piece of open source software has all of its code released under a permissive licence that explicitly allows it to be freely reproduced and modified, and though some people with longer beards take it a little too seriously at times and different flavours of open source work under slightly different rules, by and large we’re all happy with that.
When it comes to open hardware though, is it so clear cut? I’ve had more than one rant from my friends over the years about pieces of hardware which claim to be open-source but aren’t really, that I think this bears some discussion.
Open Source Hardware As It Should Be Done
To explore this, we’ll need to consider a couple of open source hardware projects, and I’ll start close to home with one of my own. My Single 8 home movie cartridge is a 3D printable film cartridge for a defunct format, and I’ve put everything necessary to create one yourself in a GitHub repository under the CERN OHL. If you download the file and load it into OpenSCAD you can quickly create an STL file for your slicer, or fiddle with the code and make an entirely new object. Open source at its most efficient, and everyone’s happy. I’ve even generated STLs ready to go for each of the supported ISO values. The beautiful EMF2024 Tildagon. CC-BY-4.0 For the second example project it’s necessary instead of a single OpenSCAD file, to consider a more complex design with multiple files. The Tildagon was the badge at the Electromagnetic Field 2024 hacker camp, and there are repositories for its hardware under the CERN OHL, and its software under an MIT licence. Using the contents of these repositories, you can make your own Tildagon in its entirety, or rework any part of it under the terms of the licence.
Of these, the film cartridge is a simple repository. Whether you download the OpenSCAD file or the STLs, there’s only one type of file and it’s unambiguous what the project comprises. But the Tildagon is much more complex device, that has many different files describing its various parts, all of which come together to make the whole. Everything required is present, and the terms of use for it all are clearly defined. For me, it’s a great example of how a complex open-source hardware project should be presented.
Open Source Hardware As It Shouldn’t Be Done
Now, imagine that instead of the EMF folks, I was the developer of the Tildagon. Imagine that I started taking files away from the repositories. The BOM first perhaps, then the KiCAD files. If I were left with just the Gerbers and the PNG schematic, I’ve in theory provided just enough resources to make a Tildagon, and with an appropriate open-source licence I could call it an open-source hardware project.
But even though I’ve granted people the right to use and modify the files in an open-source manner, can I really claim it’s as open-source as if I had released the full set of resources? Hand-editing the source of a Gerber doesn’t really count, and I agree with a point made by some of those friends I mentioned earlier. Providing as little as possible in that way is the equivalent of releasing a compiled binary, as when the convergence factor with free-as-in-beer approaches one, maybe it’s not open-source hardware after all.
Of course, the astute among you will have gathered by now that this isn’t about the Tildagon, instead I’m using it as a metaphor for something else. Though it’s tempting to do so I am not going to name and shame, but there have been a series of high-profile commercial open source hardware projects over the years that do to a greater or lesser extent just what I have described. I even have one of them on my bench, perhaps you do too. It’s not a problem if all you want is the product, but pushing the limits of open source in this way as an empty marketing ploy is not appropriate. Either something is fully open, or it should not, in my opinion at least, be allowed to describe itself as such. There’s nothing at all wrong with a closed source product, after all.
So. What’s To Be Done?
There’s a key phrase in the CERN OHL that I think is pertinent here; the idea of the “Complete source”. It’s mentioned in clause 1.8 of the text, which goes as follows: 1.8 'Complete Source' means the set of all Source necessary to Make a Product, in the preferred form for making modifications, including necessary installation and interfacing information both for the Product, and for any included Available Components. If the format is proprietary, it must also be made available in a format (if the proprietary tool can create it) which is viewable with a tool available to potential licensees and licensed under a licence approved by the Free Software Foundation or the Open Source Initiative. Complete Source need not include the Source of any Available Component, provided that You include in the Complete Source sufficient information to enable a recipient to Make or source and use the Available Component to Make the Product. This clause encapsulates perfectly how the release of all project files should be necessary for a project that wants to be called open-source. It’s important, because open source goes beyond mere ability to copy, and extends into modifying and extending the project. Without those extra files, as with my Tildagon-as-Gerbers example above, this becomes next-to-impossible. Perhaps it’s time as a community to take a slightly harder line with anything less, and instead of welcoming every shiny new toy at face value, probing a little to find out just how deep that open source hardware logo goes.
Otherwise, calling something open source hardware will inevitably lose its meaning. Is this what we want, in exchange for a few flashy commercial projects?
Open source hardware logo on PCB: Altzone, CC BY-SA 3.0.
ma putin pensava che gli unici ad avere le atomiche oltre lui fossero gli usa? avrà fatto pace con trump ma non con il resto del mondo... veramente fuori dal mondo le sue dichiarazioni. l'europa ha le risorse per difendersi. cosa pensava? mica si può trombare l'europa senza comunque causare un conflitto atomico... con o senza i fottuti usa.
Friendica è una piattaforma social straordinaria e vanta una serie di caratteristiche che la rendono unica nel panorama della federazione: • supporto a post di grandi dimensioni, formattati, con titolo e spoiler; • supporto nativo ai gruppi ActivityPub; • messaggi diretti; • galleria multimediale dove è possibile gestire foto album; • possibilità di organizzare i contatti in cerchie; • possibilità di citare (cross-post) post altrui; • importazione di feed RSS; • calendario eventi integrato; • ovviamente molto altro (fare riferimento alla documentazione ufficiale).
L'interfaccia web è ottima per accedere a tutte queste funzionalità, ma su un dispositivo mobile ci sono vincoli diversi per usabilità e leggibilità, quindi è utile avere un'app per utilizzare le più importanti tra le funzioni offerte dalla piattaforma.
Funzionalità principali:
• visualizzazione timeline con la possibilità di cambiare tipo di feed (pubblica, locale, iscrizioni e liste personalizzate); • dettaglio post, visualizzare le risposte, le ricondivisioni e gli utenti che l'hanno aggiunto ai preferiti; • dettaglio utente con visualizzazione post, post e risposte, post fissati e multimediali, e possibilità di registrarsi per le notifiche, seguirlo, visualizzare elenchi di seguaci e seguiti; • supporto ai gruppi ActivityPub, con possibilità di aprire i thread in modalità forum; • visualizzare i post di tendenza, gli hashtag e i link in tendenza e i suggerimenti su chi seguire; • seguire/smettere di seguire un hashtag e visualizzare tutti i post che lo contengono; • interagire con i post (ricondividere, aggiungere ai preferiti o segnalibri) e – nel caso dei propri post – modificarli, cancellarli o fissarli sul profilo; • ricerca globale di hashtag, post e utenti in base a termini di ricerca; • personalizzare l'aspetto dell'app cambiando i colori, font o dimensione del testo, ecc. • effettuare l'accesso tramite il protocollo OAuth2; • visualizzare e modificare i dati del proprio profilo; • visualizzare e filtrare l'elenco notifiche; • gestire le richieste di essere seguito; • visualizzare la lista dei preferiti, segnalibri o hashtag seguiti; • creare post e risposte formattati, con allegati (e testo alternativo), spoiler e titolo; • schedulare post (e cambiare la data di schedulazione) o salvarlo nelle bozze; • segnalare post e utenti agli amministratori per la moderazione dei contenuti; • silenziare/bloccare utenti e gestire la lista dei propri utenti silenziati o bloccati; • gestire le proprie cerchie (liste personalizzate); • visualizzare i sondaggi (sola lettura); • supporto multi-account con possibilità di cambiare account (e, in modalità anonima, di cambiare istanza); • inviare messaggi diretti ad altri utenti e visualizzare le conversazioni; • gestire la galleria foto; • visualizzare il calendario eventi (sola lettura).
W la Friendica (che dio la benedèndica): la guida al Facebook del Fediverso
La guida di Informapirata a Friendica, dedicata a tutti coloro che dal Fediverso vogliono ottenere tutto il possibile.
Un Mastodon con gli steroidi e attualmente l’unica alternativa a Facebook di tutto il Fediverso. Con mille pregi e, soprattutto, mille difetti. E mai nessuno che ci spieghi come utilizzarlo.
Que massa, @Thiago Skárnio ! Eu nem acesso muito o Fediverso do celular, mas atualmente estou usando o Fedilab. Funciona bem, mas é genérico. Vou dar uma conferida nesse aí. Valeu!
@Aracnus @Thiago Skárnio Fedilab solo utiliza las API de Mastodon, por lo que se pierde la mayoría de las funciones de Friendica. Racoon, por otro lado, utiliza tanto la API de Mastodon (y de hecho funciona bien con Mastodon) como la API de Friendica. Y de hecho puedes gestionar casi todas las funciones web excepto las configuraciones estrictas y la creación de eventos. ¡Pruébalo y cuéntamelo! 😉
@aracnus @oigreslima Um dos motivos da nossa instância atual ser com Mastodon é a falta de um bom app mobile. Também uso o Fedilab mas ele não dá conta de tudo. Pelo visto não tenho mais desculpas para não retornar ao projeto inocial. Helele.
@Thiago Skárnio Estoy de acuerdo. También sé que el desarrollador @𝔻𝕚𝕖𝕘𝕠 🦝🧑🏻💻🍕 está trabajando en agregar notificaciones y traducciones, pero obviamente es una tarea compleja y la aplicación solo tiene unos meses, por lo que imagino que comenzará a trabajar en ello seriamente solo si su aplicación tiene una buena respuesta en términos de usuarios activos.
@Aracnus Me gustaría agregar que una de las características innovadoras de esta aplicación es la posibilidad de explorar los mensajes en tu cronología de derecha a izquierda y viceversa. Esta es una característica que ni siquiera las aplicaciones multimillonarias de Facebook, Instagram y X, tienen.
This week, Elliot Williams and Tom Nardi start off the episode by announcing Arduino co-founder David Cuartielles will be taking the stage as the keynote speaker at Hackaday Europe. In his talk, we’ll hear about a vision of the future where consumer electronics can be tossed in the garden and turned into compost instead of sitting in a landfill for the next 1,000 years or so.
You’ll also hear about a particularly clever manipulation of Apple’s AirTag infrastructure, how a classic kid’s toy was turned into a unique display with the help of computer vision, and the workarounds required to keep older Global Positioning System (GPS) hardware up and running. They’ll also cover DIY toasters, extracting your data from a smart ring before the manufacturer can sell it, a LEGO interferometer, and a new feature added to the Bus Pirate 5’s already impressive list of capabilities.
Capping off the episode there’s a discussion about the surprising (or depending on how you think about it, unsurprising) amount of hardware that was on display at FOSDEM this year, and the history of one of man’s most infernal creations, the shopping cart wheel lock.
Check out the links below if you want to follow along, and as always, tell us what you think about this episode in the comments!
A company addresses gender inequality with an official engagement in having the average of women salaries equal to the average of men salaries by end of 2027? -> that's a good way of celebrating International Women's Day.
A company addresses gender inequality through stickers, motivational intranet articles and funny Teams backgrounds? -> that's pinkwashing.
Il Consiglio europeo straordinario si è riunito in un momento critico per il futuro della sicurezza europea e della guerra in Ucraina. Mentre oltreoceano l’amministrazione Usa di Donald Trump minaccia di revocare il suo
Negli equilibri geopolitici attuali, l’Europa si trova schiacciata tra due forze: da un lato la crescente assertività militare della Russia, dall’altro le insicurezze nel dibattito europeo sul rapporto transatlantico. Andrea Manciulli, direttore delle Relazioni istituzionali della fondazione MedOr,
As part of the payloads on the Firefly Blue Ghost Mission 1 (BGM1) that recently touched down on the Moon, the Lunar GNNS Receiver Experiment (LuGRE) has become the first practical demonstration of acquiring and tracking Earth orbital GNSS satellites. LuGRE consists of a weak-signal GNSS receiver, a high-gain L-band patch antenna the requisite amplification and filter circuits, designed to track a number of GPS and Galileo signals.
Designed by NASA and the Italian Space Agency (ISA), the LuGRE payload’s goal was to demonstrate GNSS-based positioning, navigation and timing at the Moon. This successful demonstration makes it plausible that future lunar missions, whether in orbit or on the surface, could use Earth’s GNSS satellites to navigate and position themselves with. On the way to the lunar surface, LuGRE confirmed being able track GNSS at various distances from the Earth.
Both LuGRE and BGM1 are part of NASA’s Commercial Lunar Payload Services (CLPS) program, with BGM1 delivering a total of ten payloads to the Moon, each designed to study a different aspect of the lunar environment, as well as hardware and technologies relevant to future missions.
Dal marzo 2023, un sospetto gruppo APT (Advanced Persistent Threat) di origine cinese ha iniziato a prendere di mira vari settori critici a livello globale, con particolare attenzione a governi, difesa, telecomunicazioni, aviazione ed educazione nel Sud-Est asiatico e in Sud America. Questo attore malevolo ha dimostrato capacità avanzate di attacco grazie all’impiego di Squidoor, una backdoor sofisticata e modulare progettata per operare in modo furtivo su sistemi Windows e Linux.
L’attacco, come evidenziato dalla mappatura delle connessioni di Threat Intelligence (vedi immagine allegata), mostra un’infrastruttura articolata, con l’uso di molteplici tecniche di persistenza e di esfiltrazione dei dati. Un’analisi dettagliata su questa minaccia è disponibile nel report pubblicato da Palo Alto Networks Unit 42, consultabile al seguente link: Unit 42 – Advanced Backdoor Squidoor. In questo articolo analizzeremo in dettaglio il funzionamento di Squidoor, le sue tecniche di evasione, i vettori di infezione e le contromisure necessarie per difendersi da questa minaccia.
Le caratteristiche tecniche di Squidoor
Squidoor non è una semplice backdoor, ma un sistema modulare avanzato che sfrutta diversi protocolli di comunicazione per mantenere l’accesso ai sistemi compromessi senza destare sospetti. Tra questi protocolli troviamo:
Outlook API: Il malware utilizza l’API di Outlook per trasmettere comandi e dati al server di comando e controllo (C2). Questo approccio rende difficile il rilevamento, poiché il traffico appare come normale comunicazione email.
Tunneling DNS: Squidoor può sfruttare richieste DNS per inviare dati ai server C2, eludendo firewall e sistemi di monitoraggio del traffico.
Tunneling ICMP: L’uso di pacchetti ICMP (tipicamente impiegati per il ping) consente al malware di stabilire canali di comunicazione nascosti, complicando ulteriormente il rilevamento.
Oltre a queste capacità, Squidoor implementa sofisticate tecniche di offuscamento del codice (MITRE ATT&CK T1027), rendendo difficile la sua analisi e individuazione da parte dei sistemi di difesa tradizionali.
Le tecniche di infezione e persistenza
L’attacco inizia con la compromissione di server Microsoft Internet Information Services (IIS). Gli aggressori sfruttano vulnerabilità note per ottenere accesso iniziale e poi installano web shell offuscate, che garantiscono un accesso persistente ai sistemi infetti.
Queste web shell si caratterizzano per l’uso di chiavi di decrittazione simili e una struttura del codice che suggerisce una matrice comune. L’obiettivo è mantenere il controllo della macchina infetta, consentendo l’esecuzione di comandi remoti e l’esfiltrazione di dati sensibili.
Dalla mappatura delle connessioni di Threat Intelligence (vedi immagine), emergono diversi indirizzi IP e domini malevoli associati alla campagna, tra cui:
104.244.72.123
update.hciiter.com
support.vmphere.com
microsoft-beta.com
zimbra-beta.info
Questi domini vengono utilizzati per le comunicazioni C2, permettendo agli attori della minaccia di eseguire operazioni di controllo e gestione dei dispositivi compromessi.
Le implicazioni per la sicurezza e le contromisure
L’uso di Squidoor rappresenta una minaccia significativa per le organizzazioni colpite, sia per la sua capacità di operare sotto traccia sia per la varietà di vettori di attacco impiegati. La capacità del malware di sfruttare protocolli legittimi come l’Outlook API e il DNS tunneling rende difficile il rilevamento mediante strumenti di sicurezza tradizionali.
Per proteggersi da questa minaccia, le organizzazioni devono adottare un approccio proattivo che includa:
Aggiornamento e patching: Garantire che i sistemi, in particolare i server IIS, siano sempre aggiornati con le ultime patch di sicurezza per ridurre le superfici di attacco disponibili.
Monitoraggio del traffico: Implementare soluzioni avanzate di monitoraggio in grado di individuare anomalie nel traffico di rete, soprattutto per quanto riguarda l’uso non convenzionale di DNS e ICMP.
Analisi delle email: Monitorare le API di Outlook per identificare possibili abusi da parte di malware.
Threat Intelligence e Response: Integrare strumenti di Threat Intelligence per individuare in anticipo gli indicatori di compromissione (IoC) associati a Squidoor e attivare contromisure adeguate.
L’attacco Squidoor dimostra l’evoluzione delle minacce APT e la necessità di difese avanzate per contrastarle. L’adozione di protocolli legittimi per scopi malevoli, unita alla capacità di operare su sistemi multipiattaforma, evidenzia l’importanza di strategie di sicurezza multilivello.
Le aziende e gli enti governativi devono essere consapevoli dei rischi e implementare misure di sicurezza avanzate per prevenire, rilevare e mitigare attacchi come questo. Solo attraverso un approccio basato su intelligence, monitoraggio continuo e aggiornamenti costanti è possibile contrastare minacce sofisticate come Squidoor e proteggere dati e infrastrutture critiche.
Resta aggiornato sulle ultime minacce di cybersecurity seguendo Red Hot Cyber.
@Informatica (Italy e non Italy 😁) Il panorama normativo digitale europeo si evolve con AI Act, GDPR e altre regolamentazioni, impattando significativamente il settore assicurativo. L'IA offre opportunità ma presenta rischi di discriminazione. Il Garante Privacy
Akira rappresenta una delle più recenti minacce ransomware in grado di aggirare i tradizionali strumenti di difesa delle organizzazioni. Un recente caso analizzato dal team di S-RM ha evidenziato come questo gruppo abbia utilizzato una webcam non protetta per distribuire il proprio payload, eludendo le difese di un sistema EDR (Endpoint Detection and Response). Catena di attacco
Il modus operandi iniziale
L’attacco ha avuto inizio con la compromissione della rete della vittima attraverso una soluzione di accesso remoto esposta a internet. Dopo l’accesso, Akira ha implementato AnyDesk.exe, uno strumento di gestione remota, per mantenere il controllo dell’ambiente e procedere con l’esfiltrazione dei dati.
Durante la fase avanzata dell’attacco, gli aggressori hanno utilizzato il protocollo RDP (Remote Desktop Protocol) per spostarsi lateralmente all’interno della rete. Hanno poi tentato di distribuire il ransomware su un server Windows inviando un file ZIP protetto da password contenente l’eseguibile dannoso. Tuttavia, l’EDR implementato dall’organizzazione ha rilevato e bloccato la minaccia prima che potesse essere eseguita.
Il pivot sulla webcam
Dopo aver realizzato che l’EDR ostacolava la diffusione del ransomware, gli attaccanti hanno modificato la loro strategia. Un’analisi della rete interna ha rivelato la presenza di dispositivi IoT vulnerabili, tra cui webcam e scanner biometrici. In particolare, una webcam risultava esposta con le seguenti criticità:
Presenza di vulnerabilità critiche che consentivano l’accesso remoto e l’esecuzione di comandi.
Sistema operativo basato su Linux, compatibile con la variante ransomware per Linux di Akira.
Assenza di protezione da parte dell’EDR o di altri strumenti di sicurezza.
Gli attaccanti hanno quindi utilizzato la webcam compromessa come punto di ingresso per distribuire il ransomware sulla rete della vittima. Il traffico SMB (Server Message Block) generato dal dispositivo per trasmettere il payload è passato inosservato, permettendo ad Akira di cifrare con successo i file sui sistemi aziendali.
Priorità nelle patch: Le strategie di gestione delle patch spesso si concentrano sui sistemi critici per il business, tralasciando dispositivi IoT che possono diventare punti di ingresso per gli attaccanti.
Evoluzione degli attaccanti: Akira ha dimostrato una notevole capacità di adattamento, passando da implementazioni in Rust a versioni in C++ e supportando sia ambienti Windows che Linux.
Limitazioni dell’EDR: L’EDR è uno strumento essenziale, ma la sua efficacia dipende dalla copertura, dalla configurazione e dal monitoraggio continuo. Dispositivi IoT spesso non sono compatibili con EDR, rendendoli vulnerabili agli attacchi.
Contromisure di sicurezza
Per mitigare minacce simili, le organizzazioni dovrebbero adottare le seguenti misure:
Segmentazione della rete: Gli IoT dovrebbero essere isolati dai server e dai sistemi critici, limitando la loro connettività a porte e indirizzi IP specifici.
Audit della rete interna: Controlli regolari sui dispositivi connessi possono identificare vulnerabilità e dispositivi non autorizzati.
Gestione delle patch e delle credenziali: Aggiornare regolarmente il firmware dei dispositivi e sostituire le password di default con credenziali robuste.
Spegnere i dispositivi non in uso: Se un dispositivo IoT non è necessario, dovrebbe essere disattivato per ridurre la superficie d’attacco.
Conclusioni
Il caso Akira evidenzia come gli attori delle minacce siano in grado di aggirare le misure di sicurezza tradizionali sfruttando punti deboli spesso trascurati, come i dispositivi IoT. Un’adeguata strategia di sicurezza che includa segmentazione di rete, monitoraggio continuo e aggiornamenti costanti è essenziale per ridurre il rischio di attacchi di questo tipo.
Via libera al risarcimento per un gruppo di migranti a cui, dal 16 al 25 agosto del 2018, fu impedito di sbarcare al porto di Catania dalla nave Diciotti della guardia costiera che li aveva soccorsi in mare al largo di Lampedusa. È stato deciso dalle sezioni unite della Cassazione che, condannando il governo, ha rinviato il procedimento a un giudice per stabilire la quantificazione del danno.
Dice Meloni, "Così non si avvicinano i cittadini alle Istituzioni".
Questo varrà forse per i suoi elettori, a me sentenze del genere mi avvicinano eccome, mi ricordano che la legge è uguale per tutti e che neanche un Ministro dell'Interno infoiato contro i migranti può fare quello che gli pare.
@Politica interna, europea e internazionale Non si placano le polemiche dopo l’approvazione alla Camera del Ddl Spazio, la prima norma mai discussa dal Parlamento italiano per regolare le attività economiche al di fuori del nostro Pianeta, diventata un caso
La dimensione sottomarina è oggi interessata da rapidi sviluppi che non solo sollevano complesse questioni di carattere scientifico e tecnologico, ma richiedono anche un confronto sul piano giuridico. Un primo bilancio a caldo del convegno tenutosi all’Università Milano-Bicocca, con interventi del
L’annuale Zhuhai Airshow, che prende il nome dalla città della Cina meridionale in cui si svolge, è un’occasione unica per capire a che livello si sia spinta l’innovazione tecnologica della Repubblica Popolare Cinese. Questo è particolarmente vero per quel che riguarda i sistemi unmanned, relativi al dominio aereo ma
@Politica interna, europea e internazionale Vivere con sconcerto, esitazione, confusione e incredulità è diventata ormai pratica quotidiana nei momenti in cui la gente si ritrova attorno alle tavole familiari per ascoltare le notizie dei telegiornali della sera. Ogni giorno sempre
@Informatica (Italy e non Italy 😁) Il caso della sanzione contro lo Studio Riabilitazione Creditizia s.r.l.s., per una serie di violazioni, si focalizza anche sulla designazione irregolare del Responsabile della protezione dei dati (DPO). Ecco il
@Informatica (Italy e non Italy 😁) L'attacco spinge l'utente ad accedere al noto password manager 1Password attraverso un modulo di phishing che invia le credenziali inserite agli aggressori. Ecco come mitigare il rischio L'articolo Estensioni di
The fine researchers at Google have released the juicy details on EntrySign, the AMD Zen microcode issue we first covered about a month ago. And to give away the punchline: cryptography is hard. It’s hard in lots of ways, but the AMD problem here is all about keeping track of the guarantees provided by cryptographic primitives.
The vulnerability is in the verification of microcode updates for AMD’s Zen processor family. To understand microcode, you have to understand that X86-64 processors are actually built out of proprietary Reduced Instruction Set Computer (RISC) cores, that then emulate the more complex X86-64 complex instruction set computer (CISC) cores. Microcode is the firmware that controls that emulation step. For the security guarantees of modern computing, it’s rather important that CPUs only run signed microcode from the CPUs vendor. AMD has a pretty straightforward system to sign and then verify microcode patches. Each patch includes a 2048-bit RSA public key and signature, verifying that the microcode was actually signed by the holder of the corresponding private key. The CPU hashes that public key, and compares it to a 128-bit value that was burned into the CPU at manufacture time. The intent is that if the hash matches, the public key must be the same. The problem was the hashing algorithm used for this step.
For this scheme to work, it would need a collision resistant cryptographic hashing function. The security of the scheme relies on the idea that it’s effectively impossible to find another public key that results in the same hash output. Finding a collision on that output value completely breaks the scheme.
AMD chose the AES Cipher Message Authentication Code (AES-CMAC) hash algorithm. AES-CMAC takes a message and key, and generates a Message Authentication Code (MAC). That MAC can then be used to verify that the message has not been tampered with. It can be thought of as a keyed hash with conditional collision resistance. But most importantly, if the secret key is known, none of those guarantees are valid. If the key is known, AES-CMAC fails to provide effective collision resistance in its output. And of course, the specific AES-CMAC key used in AMD Zen processors could be extracted, and turned out to be a NIST example key. To be clear, there is nothing wrong with AES-CMAC itself, it’s just the wrong algorithm for this use.
There’s one more clever trick that was needed to pull this together. The AES-CMAC collision only generates a public RSA key. How would an attacker take this arbitrary public key and produce the private key needed to sign these microcode updates? Isn’t one of the primary guarantees of RSA itself, that the private key can’t be derived from the public key? Only if the keypair is actually based on large prime numbers. After generating a few of these candidate public keys, one was discovered that was relatively easy to factor, as it was the product of more than just two primes. AMD’s fix replaces this hashing function with an appropriate cryptographic hash, preventing any microcode tampering.
Telegram and EvilLoader
The Telegram app has a weird problem deciding what to do with a .htm file sent as a video using the telegram API. Telegram tries to treat it as a video, and offers to open an external program to play the video. Because it’s actually HTML content, the “video” is opened in the browser, potentially running malicious JavaScript in that context.
This can be further used to trick an unsuspecting user into downloading a fake video player APK, to try to play this video, potentially leading to device compromise. This vulnerability is still unpatched as of time of writing, but has been widely known in the expected places. It may not be a 0-click RCE, but this one still has the potential for misuse.
More Info on The Heist
Last week we told you about the biggest heist in history, with Bybit getting hacked for cryptocurrency worth $1.5 billion. We know a bit more now, as the Bybit CEO has published the preliminary security report. The short story is that the North Korean Lazarus Group compromised a Safe{Wallet} developer workstation and gained access to an AWS or CloudFront API key. This was used to serve malicious JavaScript to Bybit, and that JavaScript disguised a malicious transaction, leading to the loss.
In retrospect there’s a glaring security problem with the Safe{Wallet} system that Bybit used: The reliance on JavaScript served from an outside server. It should take more than simple access to an AWS account to pull off a $1.5 billion heist.
Hyperjack
What happens when a process in a Virtual Machine (VM) can escape the virtual environment and take over the hypervisor? Nothing good. It’s known as hyperjacking, and VMware has a trio of vulnerabilities that makes it possible, across every version of ESXi, Workstation, Fusion, and Telco platforms — everything containing the ESX hypervisor.
And VMware says the vulnerabilities are being used in-the-wild. Patches are available, and this seems like a definite hair on fire scenario for anyone that may have untrusted tenants on VMware powered VMs.
Bits and Bytes
Have you ever wondered if a Stingray was operating in your area? That’s the cell tower simulator used to capture and analyze cell traffic, potentially breaking cell phone call encryption. EFF has released Rayhunter, and open source tool that captures cellular traffic and tries to detect Stingray-style traffic manipulation. The best part is that it runs on the Orbic RC400L mobile hotspot, a $20 piece of hardware.
How long does it take for your infrastructure to be probed after accidentally posting an AWS key online? As little as 10 hours, according to tests done by Clutch Security. Some forums are a bit friendlier, with Reddit users pointing out the leaked key and the post eventually getting deleted for the same reason.
And finally we have the four horsemen of WordPress Backdoors. About a thousand WordPress sites were infected with a JavaScript file, and this campaign spared no expense with adding backdoors to the sites. The infection added a malicious plugin, code into wp-config.php, new SSH keys, and what looks like a reverse shell. Somebody really wants to maintain access to those WordPress sites.
Ascoltare "ballo ballo" della Carrà in cuffia in ufficio, restando completamente immobile, senza neanche un colpettino di spalla, e continuando a fissare il foglio Excel.
Ieri sera lui mi dice: "Non capisco perché devo avere queste raccolte organizzate in automatico e non posso banalmente avere una cartella con le foto e una con i video."
E io: "Vedi, per quanto, dopo 20 anni, il tuo utilizzo del computer continui ad essere basico, la logica ti dice che dovresti avere delle cartelle organizzate come vuoi tu. Ma Mr. Google, per farti sentire servito e riverito, decide di pulirti il sedere ogni volta che ne hai bisogno... Solo che non te lo pulisce come vuoi tu, e inoltre, racconta a tutti quante volte vai al cesso!"
Max su Poliverso 🇪🇺🇮🇹
in reply to simona • •Credo che in Israele siano saltati tutti i freni inibitori ormai.
Mi domando anche come gestiranno questa generazione di ventenni trasformati in assassini e criminali di guerra quando ritorneranno a casa. Non penso proprio che deporranno le armi e torneranno le persone che erano prima.
simona likes this.
simona
in reply to simona • •simona
in reply to simona • — (Livorno) •