Ah, the CAN bus. It’s become a communication standard in the automotive world, found in a huge swathe of cars built from the mid-1990s onwards. You’ll also find it in aircraft, ships, and the vast majority of modern tractors and associated farm machines, too.

As far as [Randy Glenn] is concerned, though, the CAN bus doesn’t have to be limited to these contexts. It can be useful far beyond its traditional applications with just about any hardware platform you care to use! He came down to tell us all about it at the 2024 Hackaday Supercon.

youtube.com/embed/Uci5aiDWjFI?…

[Randy]’s talk was titled “Yes, You CAN: Use The Controller Area Network Outside Of Cars.” We have to assume the pun was intended. In any case, the CAN bus came to us from Bosch, which began developing the standard in 1983. The company officially released it at the Society of Automotive Engineers conference in 1986, with compatible chips first hitting the market a year later. It took a little while longer for the standard to find traction, with Mercedes-Benz being the first to implement it in a production vehicle in 1991. It soon caught on with the wider industry as a robust and reliable way to let a vehicle’s various control units communicate with all the important sensors that were proliferating on modern automobiles. CAN got its big break when it was mandated as part of the OBD-II standard in North America, which defacto put it into virtually every car sold in that market from 1996 onwards.

Since then, CAN has proliferated well beyond the automotive space, into marine and aerospace contexts as well. As [Randy] explains, beyond transportation, you’ll also find it in everything from robots to pinball machines and even elevators. Basically, wherever it’s important to have robust local communication between distributed embedded systems, CAN is a great candidate for the job.

Since it’s so widespread, it’s easy to find hardware and software that’s CAN-ready out of the box. The vast majority of microcontroller manufacturers include some sort of CAN compatibility; for example, Espressif’s ESP32 has the “Two Wire Automotive Interface” which is built for this purpose. Linux is more than happy to talk CAN, too, and most programming languages have some sort of library available, too. Whether you’re working with Arduino, MicroPython, or CircuitPython, you can certainly find what you need. Even if you have a device without CAN built in—like a Raspberry Pi—SPI-ready CAN controllers can be had for cheap from vendors like Microchip.
Depending on your hardware, you might have to add a CAN controller or transceiver to get it talking on the CAN bus. However, this is usually trivial.
There are specific reasons why you might consider CAN for your embedded communication needs. It uses a differential bus, which gives it an inherent ability to resist disruption from electrical noise. Addressing, error-checking, and retransmission functionality are also baked in to CAN controllers, so you don’t have to handle it yourself. You can also find tons of CAN compatible hardware on the market to do whatever you’re trying to do, and a lot of it is pretty cheap because manufacturers are churning it out by the millions.

Of course, there are some limits. Traditionally, you’re stuck with only 32 devices on a bus, though there are some ways to work around it at lower data rates. Peak data rate is 1 megabit per second on a traditional CAN bus operating at the high data rate; this limits you to a total bus length of 25 meters. You can up this to 250 meters if you drop to 250 kbit/s instead. Packets are also limited to 8 bytes in size.

Beyond the basic performance specs, [Randy] also explains how you might go about typical implementations with different hardware. For example, if you’ve got a microcontroller with no CAN capability baked in, you might hook it up with a CAN controller and transceiver over SPI. Alternatively, you might choose to work with a more advanced microcontroller that has all the CAN communication hardware built into the chip, simplifying your build. For parts like the ESP32 and some STM32s, you might find you’ve got a CAN controller on board, but you’re lacking the hardware to do the fancy differential signalling—in that case, you just need to hook up a CAN transceiver to get your hardware on the bus. [Randy] also highlights the usual conventions, such as terminology and wire colors, while explaining that these aren’t always rigidly adhered to in the field.
Talking CAN on Linux is as easy as plugging in a cheap USB dongle.
On the communication level, the CAN bus standard mandates that nodes transmit frames, with each each frame containing up to 8 bytes of data. [Randy] explains how messages are formatted and addressed to ensure the right nodes get the right data they’re looking for. There are standard message frames, as well as Remote Transmission Request (RTR) frames—where one node requests data from another. A typical example is a controller asking a sensor to report a value. There are also special Error and Control Frames, which [Randy] notes are complicated and beyond the scope of his Supercon talk. However, he recommends resources that exist to explain them in great detail.
Data of a complete CAN frame laid over the traces of the bus itself. Credit: Ken Tindell, Canis Automotive Labs Ltd. via CC BY-SA 4.0
Much of [Randy’s] talk explains how CAN works. But, as promised, he also takes the time to explain possible non-automotive applications for this technology. He steps through an amusing Halloween build, where a CAN bus is used to trigger scary lightning and sound effects when people press a doorbell.

If you’ve ever wanted a good CAN primer, [Randy]’s talk is just what you need. As far as robust embedded communication standards go, it’s one of the most popular and long-lived out there. It might just pay dividends to put the CAN bus in your own toolbox for future use!

hackaday.com/2025/03/27/superc…

Una telefonata da un numero italiano. Una voce registrata che informa circa la ricezione del curriculm vitae e invita a salvare il numero e scrivere su WhatsApp per parlare di un’offerta di lavoro. Si tratta di una truffa che ha un duplice obiettivo: acquisire fraudolentemente i dati personali della vittima, convinta di partecipare ad un processo di selezione, e farla investire successivamente all’interno di una piattaforma di exchange. In alcune varianti di questa truffa, c’è l’invito riguarda l’acquisto di corsi o certificazioni “abilitanti” per il lavoro che si andrà a svolgere o per avere un vantaggio nella selezione.

In ogni caso, è evidente che il bottino dei cybercriminali consista in dati personali e pagamenti, mentre la leva impiegata è quella del desiderio, la cui efficacia aumenta in modo significativo nelle ipotesi in cui il destinatario sta cercando attivamente lavoro ed è poco consapevole di questi schemi di truffa.

L’attacco: un invito “irresistibile”

L’esca è proprio quell’invito “irresistibile” che non viene presentato con l’enfasi di una vittoria insperata o la promozione di un’occasione irripetibile. Veste invece la maschera dell’ordinarietà, contando sul fatto che l’inconsapevole vittima abbia “fatto girare” il proprio CV e si attenda (prima o poi) un qualche tipo di riscontro a riguardo. Insomma: nulla che faccia pensare di essere i vincitori del Golden Ticket di Willy Wonka, altrimenti la reazione sarebbe la diffidenza. Meglio l’ordinarietà. Un messaggio preregistrato, semplice, essenziale.

Che però solletica il desiderio di contattare il numero, alimentato ancor più dalla speranza di poter finalmente trovare un lavoro. Questo ultimo elemento deve far riflettere sulla scelta vettore impiegato, ovverosia la telefonata. Comporta una diminuzione della soglia di attenzione, dà un senso di attendibilità.

Abbiamo ricevuto il tuo curriculum. Salva questo contatto e scrivimi su WhatsApp per maggiori informazioni

Tutti ingredienti attentamente dosati per il buon esito della truffa.

Attenzione, però: per quanto le chiamate di questo tipo siano state diffusamente segnalate negli ultimi tempi, ciò non toglie che vengano impiegati anche SMS o messaggi tramite social network. Soprattutto all’interno dei social i messaggi vengono diretti nei confronti dei membri di gruppi o follower di pagine in cui vengono pubblicate offerte di lavoro.

Il perché è semplice: sono cluster ancor più specifici di potenziali vittime, dal momento che hanno in comune una ricerca attiva di lavoro e dunque la leva del desiderio può rivelarsi una scommessa ancor più efficace.

L’invito è attentamente ingegnerizzato per essere, di fatto, quanto più “irresistibile” possibile.

La difesa: consapevolezza e buone pratiche di cyber hygiene

Come è possibile difendersi? Riconoscere questi schemi di truffa è particolarmente importante, dal momento che dai tempi della nota truffa del principe nigeriano i comuni denominatori sono e rimangono inevitabilmente sempre gli stessi. Tutti elementi che possono far scattare cautele ulteriori, come vere e proprie red flag.

Ancor meglio, però, è che alcune cautele quali buone pratiche di cyber hygiene siano adottate a prescindere da un’allerta, come ricordato dalla Polizia Postale e delle comunicazioni. La consapevolezza che i propri dati personali hanno un valore e dunque sono appetibili per i cybercriminali è già un motivo sufficiente per adottare comportamenti sicuri, proteggendo i propri dispositivi, avendo cura di non aprire link o allegati non verificati, né tantomeno comunicare alcune informazione con troppa leggerezza.

Insomma: si deve sempre pensare al peggiore impiego che qualcuno possa fare delle proprie informazioni.

Perché, siatene certi, nessun cybercriminale avrà remore a tale riguardo.

L'articolo “Abbiamo ricevuto il tuo CV. Scrivimi su WhatsApp”: Il nuovo ed irresistibile Job Offer Scam proviene da il blog della sicurezza informatica.

In the era of digital streaming, the market is full of wireless speakers that will play content from your smartphone or pull it down from the Internet directly over WiFi. But if you’re feeling a bit nostalgic and want to throw on one of your old CDs, well, you might have a problem. That’s the situation [Chad Boughton] recently found himself in, so he decided to build a compact CD player that could discreetly connect up to his fancy Klipsch speaker.

The optical drive itself was the easy part, as [Chad] already had a laptop-style drive in an external enclosure that he could liberate. But of course, the speaker wouldn’t know what to do with an external disc drive, so there needed to be an intermediary. Enter the Raspberry Pi.

It might not look like it at first glance, but that’s a Pi 3 tucked into the back of the 3D printed frame. It would have been too tall in its original configuration, so [Chad] removed the USB and Ethernet ports; a modification we’ve covered in the past. Of course, he still needed to use the USB ports, so he ended up soldering the two cables — one to the CD drive and the other to the back of the speaker — directly to the Pi.

When plugged into the Raspberry Pi, the Klipsch speaker shows up as a USB audio device, so the software side of things was relatively simple. [Chad] installed VLC to handle CD playback, but he still needed a way to control everything. To that end, a IR receiver hooked up to the Pi’s GPIO pins means the Pi can detect the signals coming from the speaker’s original remote and pass the appropriate command on to VLC. The whole thing is very well integrated, and you could be forgiven for thinking it might be some kind of stock upgrade module at first glance.

Despite recently celebrating its 40th birthday, the CD is unlikely to completely disappear from our lives anytime soon. Manufacturers can turn their back on the standard if they want, but so long as folks still want to play them, they’ll keep coming up with inventive ways to make it happen.

youtube.com/embed/X92FkGoavSA?…

hackaday.com/2025/03/27/custom…

In relazione al caso Paragon, il governo italiano dopo aver respinto le accuse, ha modificato la sua versione dei fatti di fronte alla crescente pressione dei partiti di opposizione e degli attivisti.

Ora, un punto di svolta: il sottosegretario Alfredo Mantovano avrebbe ammesso che i servizi segreti italiani hanno autorizzato la sorveglianza tramite spyware sui membri della ONG Mediterranea Saving Humans. Tuttavia, rimane un mistero cruciale: chi c’era dietro la sorveglianza del direttore di Fanpage.it Francesco Cancellato?

La Commissione parlamentare di controllo dell’intelligence (Copasir) sta indagando per verificare se l’ uso dello spyware israeliano sia conforme alla legge italiana e se i servizi segreti abbiano agito nel rispetto del loro mandato autorizzando le intercettazioni preventive.

Mentre le udienze restano classificate, le fughe di notizie della seduta di martedì pubblicate da La Repubblica suggeriscono che Mantovano, che supervisiona le agenzie di intelligence, abbia riconosciuto che il governo aveva approvato la sorveglianza di alcuni attivisti. Tuttavia, ha sostenuto che Cancellato non è mai stato tra gli obiettivi.

Mantovano ha affermato che tutte le operazioni sono state condotte nel rispetto delle leggi che regolano le attività di intelligence, con l’approvazione sia del Governo che della Procura generale della Corte d’appello di Roma.

Ha giustificato la sorveglianza affermando che Mediterranea Saving Humans, che opera nel Mediterraneo per salvare i migranti, era stata classificata come un problema di sicurezza nazionale. Secondo il suo racconto, le agenzie di intelligence stavano conducendo un’“indagine preventiva sull’immigrazione illegale”.

L’uso di Graphite, uno spyware di livello militare altamente invasivo sviluppato dalla Paragon Solutions di Israele, sarebbe stato imposto dal fatto che all’epoca era l’unico strumento a disposizione dei servizi segreti. La questione di chi sorvegliasse Cancellato resta irrisolta. Il governo continua a negare il coinvolgimento dell’intelligence, mentre le indagini di cinque procure italiane – Napoli, Roma, Venezia, Bologna e Palermo – non hanno finora prodotto risposte definitive.

Per ora, il governo ha sospeso i contratti con Paragon finché il Copasir non avrà completato le sue indagini. Si prevede che Copasir concluda presto la sua inchiesta, dopodiché presenterà i suoi risultati al Parlamento. Nel frattempo, un’altra indagine chiave è in corso presso Citizen Lab, un gruppo di ricerca sulla sicurezza informatica presso l’Università di Toronto, che sta analizzando i dispositivi delle persone prese di mira per determinare come Graphite si sia infiltrata nei loro telefoni.

L'articolo Spyware di Stato: Il Governo Italiano Ammette la Sorveglianza attraverso lo spyware Graphite proviene da il blog della sicurezza informatica.

It’s rarely appreciated just how much more complicated nuclear fusion is than nuclear fission. Whereas the latter involves a process that happens all around us without any human involvement, and where the main challenge is to keep the nuclear chain reaction within safe bounds, nuclear fusion means making atoms do something that goes against their very nature, outside of a star’s interior.

Fusing helium isotopes can be done on Earth fairly readily these days, but doing it in a way that’s repeatable — bombs don’t count — and in a way that makes economical sense is trickier. As covered previously, plasma stability is a problem with the popular approach of tokamak-based magnetic confinement fusion (MCF). Although this core problem has now been largely addressed, and stellarators are mostly unbothered by this particular problem, a Canadian start-up figures that they can do even better, in the form of a nuclear fusion reactors based around the principle of magnetized target fusion (MTF).

Although General Fusion’s piston-based fusion reactor has people mostly very confused, MTF is based on real physics and with GF’s current LM26 prototype having recently achieved first plasma, this seems like an excellent time to ask the question of what MTF is, and whether it can truly compete billion-dollar tokamak-based projects.

Squishing Plasma Toroids

Lawson criterion of important magnetic confinement fusion experiments (Credit: Horvath, A., 2016)
In general, to achieve nuclear fusion, the target atoms have to be pushed past the Coulomb barrier, which is an electrostatic interaction that normally prevents atoms from approaching each other and even spontaneously fusing. In stars, the process of nucleosynthesis is enabled by the intense pressures due to the star’s mass, which overcomes this electrostatic force.

Replicating the nuclear fusion process requires a similar way to overcome the Coulomb barrier, but in lieu of even a small-sized star like our Sun, we need alternate means such as much higher temperatures, alternative ways to provide pressure and longer confinement times. The efficiency of each approach was originally captured in the Lawson criterion, which was developed by John D. Lawson in a (then classified) 1955 paper (PDF on Archive.org).

In order to achieve a self-sustaining fusion reaction, the energy losses should be less than the energy produced by the reaction. The break-even point here is expressed as having a Q (energy gain factor) of 1, where the added energy and losses within the fusion process are in balance. For sustained fusion with excess energy generation, the Q value should be higher than 1, typically around 5 for contemporary fuels and fusion technology.

In the slow march towards ignition, we have seen many reports in the popular media that turn out to be rather meaningless, such as the horrendous inefficiency demonstrated by the laser-based inertial confinement fusion (ICF) at the National Ignition Facility (NIF). This makes it rather fascinating that what General Fusion is attempting is closer to ICF, just without the lasers and artisan Hohlraum-based fuel pellets.

Instead they use a plasma injector, a type of plasma railgun called a Marshall gun, that produces hydrogen isotope plasma, which is subsequently contained in a magnetic field as a self-stable compact toroid. This toroid is then squished by a mechanical system in a matter of milliseconds, with the resulting compression induces fusion. Creating this toroid is the feat that was recently demonstrated in the current Lawson Machine 26 (LM26) prototype reactor with its first plasma in the target chamber.

Magneto-Inertial Fusion

Whereas magnetic confinement fusion does effectively what it says on the tin, magnetic target fusion is pretty much a hybrid of magnetic confinement fusion and the laser-based intertial confinement fusion. Because the magnetic containment is only there to essentially keep the plasma in a nice stable toroid, it doesn’t have nearly the same requirements as in a tokamak or stellarator. Yet rather than using complex and power-hungry lasers, MCF applies mechanical energy using an impulse driver — the liner — that rapidly compresses the low-density plasma toroid.
Schematic of the Lawson Machine 26 MTF reactor. (Credit: General Fusion)
The juiciest parts of General Fusion’s experimental setup can be found in the Research Library on the GF website. The above graphic was copied from the LM26 poster (PDF), which provides a lot of in-depth information on the components of the device and its operation, as well as the experiments that informed its construction.

The next step will be to test the ring compressor that is designed to collapse the lithium liner around the plasma toroid, compressing it and achieving fusion.

Long Road Ahead

Interpretation of General Fusion’s commercial MTF reactor design. (Credit: Evan Mason)
As promising this may sound, there is still a lot of work to do before MTF can be considered a viable option for commercial fusion. As summarized on the Wikipedia entry for General Fusion, the goal is to have a liquid liner rather than the solid lithium liner of LM26. This liquid lithium liner will both breed new tritium fuel from neutron exposure, as well as provide the liner that compresses the deuterium-tritium fuel.

This liquid liner would also provide cooling, linked with a heat exchanger or steam generator to generate electricity. Because the liquid liner would be infinitely renewable, it should allow for about 1 cycle per second. To keep the liquid liner in place on the inside of the sphere, it would need to be constantly spun, further complicating the design.

Although getting plasma in the reaction chamber where it can be squished by the ring compressor’s lithium liner is a major step, the real challenge will be in moving from a one-cycle-a-day MTF prototype to something that can integrate not only the aforementioned features, but also run one cycle per second, while being more economical to run than tokamaks, stellarators, or even regular nuclear fission plants, especially Gen IV fast neutron reactors.

That said, there is a strong argument to be made that MTF is significantly more practical for commercial power generation than ICF. And regardless, it is just really cool science and engineering.

Top image: General Fusion’s Lawson Machine 26. (Credit: General Fusion)

hackaday.com/2025/03/27/genera…

La rapida crescita della popolarità di DeepSeek, in mezzo alle controversie sulla privacy, ha attirato l’attenzione non solo degli utenti, ma anche dei criminali informatici. Sono comparsi online falsi annunci pubblicitari camuffati da risultati di ricerca ufficiali di Google nel tentativo di diffondere malware. Gli aggressori prendevano di mira coloro che digitavano query in un motore di ricerca e cliccavano distrattamente sui primi link.

Secondo la ricerca degli specialisti di Malwarebytes, Google Ads ospita attivamente annunci falsi che si spacciano per DeepSeek. A prima vista, le differenze rispetto al risultato reale sono difficili da rilevare, soprattutto per un utente inesperto. Basta cliccare su un link del genere per arrivare a un sito falso, creato con particolare attenzione all’autenticità visiva.

Uno di questi siti copia completamente l’aspetto del DeepSeek ufficiale, ma in realtà porta al download di un Trojan scritto in MSIL (Microsoft Intermediate Language). Il codice dannoso viene attivato quando si tenta di scaricare il “motore di ricerca” e viene avviato sul sistema della vittima.

Sito web falso DeepSeek (Malwarebytes)

I criminali contano sulla credibilità dei risultati sponsorizzati su Google. Il sistema consente a tali annunci di occupare le prime posizioni, superando persino i siti web ufficiali dei marchi. Ciò rende la pubblicità falsa particolarmente pericolosa. I truffatori pagano somme considerevoli per il piazzamento, il che dimostra l’elevata efficacia dell’inganno.

Uno dei siti falsi è stato creato a nome di un inserzionista il cui nome è scritto in ebraico: תמיר כץ. Questo è un altro campanello d’allarme: tali dettagli sono difficili da notare in fretta, soprattutto se l’utente non sa come dovrebbe apparire un vero annuncio DeepSeek.

Informazioni sull’inserzionista di malware (Malwarebytes)

Per prevenire il contagio, gli esperti consigliano di evitare completamente di cliccare sui link sponsorizzati. Inoltre, si consiglia di cliccare sui tre puntini accanto all’URL nei risultati di ricerca: in questo modo è possibile scoprire chi è il proprietario dell’annuncio. Se hai dubbi sul nome dell’inserzionista, è meglio tornare ai risultati di ricerca normali.

Annunci falsi (in alto) e veri DeepSeek (in basso) (Malwarebytes)

Per bloccare completamente i link sponsorizzati, puoi installare un adblocker. In questo modo si eliminerà il rischio di visitare accidentalmente un sito dannoso. In una situazione in cui Google non può garantire la sicurezza degli annunci pubblicitari, tali misure diventano particolarmente rilevanti.

L'articolo DeepSeek o DeepScam? Quando Google ti fa scaricare un virus con un click! proviene da il blog della sicurezza informatica.

Gli aggressori hanno introdotto una nuova tattica negli attacchi all’ecosistema npm: due pacchetti dannosi modificano segretamente librerie legittime già installate sul sistema per incorporare una reverse shell e fornire un accesso persistente al sistema della vittima. Anche dopo la rimozione dei pacchetti dannosi, la backdoor continua a funzionare perché è nascosta in una versione modificata di un pacchetto attendibile.

I ricercatori di Reversing Labs hanno studiato le catene di fornitura del software. Sebbene le librerie dannose non siano ancora diffuse, i ricercatori mettono in guardia dal pericolo che rappresentano. Secondo loro, di tanto in tanto su npm compaiono dei malware loader, anche se gli infostealer sono più comuni. In questo caso, però, è stata utilizzata una strategia particolarmente sofisticata per nascondere il payload dannoso, che merita un’attenzione particolare.

I pacchetti scoperti si chiamano “ethers-provider2” e “ethers-providerz”. Il primo di questi, che era ancora disponibile su npm al momento della pubblicazione, si basa sulla popolare libreria “ssh2“. Ma a differenza dell’originale, ha uno script di installazione modificato “install.js”. Una volta caricato, lo script scarica la seconda fase del codice dannoso da una fonte esterna, la esegue e poi la elimina, cercando di non lasciare tracce.

La seconda fase del malware controlla se il famoso pacchetto “ethers” è installato sul sistema. In caso affermativo, sostituisce il file provider-jsonrpc.js con una versione modificata che contiene malware. Questo codice, a sua volta, si connette all’host remoto, da dove viene caricata la terza fase: una reverse shell completamente funzionale. La sua implementazione si basa su un client SSH modificato che si maschera da comportamento legittimo della libreria ssh2.

La che la rimozione di “ethers-provider2” non rimuove la backdoor: il file infetto nella libreria ethers rimane attivo. Ciò significa che il sistema dell’utente rimane compromesso anche se il modulo dannoso non è più installato.

Il secondo malware, “ethers-providerz”, funziona in modo simile, ma prende di mira un altro modulo popolare: @ethersproject/providers. Inietta inoltre un payload dannoso nella libreria legittima e installa una reverse shell che punta allo stesso indirizzo IP dell’attaccante: 5[.]199[.]166[.]1:31337.

Secondo Reversing Labs, le prime versioni di “ethers-providerz” contenevano errori nei percorsi dei file, che impedivano il funzionamento dell’attacco. Tuttavia, l’autore ha già rimosso il pacchetto da npm, il che potrebbe indicare l’intenzione di migliorarlo e ripubblicarlo. Durante l’indagine, gli esperti hanno anche identificato due pacchetti aggiuntivi, “reproduction-hardhat” e “@theoretical123/providers”, che potrebbero essere correlati alla stessa campagna dannosa.

Per rilevare le minacce, Reversing Labs ha pubblicato regola YARA, progettate per identificare i componenti malware noti. Si consiglia agli sviluppatori di controllare i propri ambienti e di assicurarsi che non vi siano segni di compromissione.

Gli analisti sottolineano l’importanza di controllare il codice sorgente e l’affidabilità degli sviluppatori quando si installano pacchetti da repository pubblici come npm o PyPI. Prestare particolare attenzione al codice offuscato, alle connessioni esterne e alle azioni sospette negli script di installazione.

L'articolo Nuovo Attacco Alla Supply Chain! Un Malware Invisibile Infetta Le Librerie Attendibili di NPM proviene da il blog della sicurezza informatica.

Alla fine non è stato troppo difficile salutare #Firefox dopo 22 anni di utilizzo.

Le nuove politiche che ha adottato @Mozilla non riesco proprio a digerirle; non amo il fatto che una fondazione (o chiunque altro) possa dirmi come devo usare il mio browser, e che in qualunque momento possa cambiare decisione senza nemmeno farmelo sapere. A questo punto, tanto vale usare un browser proprietario. Quale sarebbe il vantaggio di continuare ad usare Firefox?

Odio il fatto che i dati immessi nel browser non siano più miei. E tutto questo, badate bene, per un software #opensource !

Valutando tutte le complesse variabili della mia presenza on line e della geografia, ho scelto Vivaldi che ha importato tutte le password e la cronologia in un attimo, senza battere ciglio. Le impostazioni fondamentali ci sono tutte; mi mancano alcune funzioni peculiari di firefox, come la modalità lettura scura, ma sopravvivrò; non sono cose che non ci si dorme la notte.

Unica scocciatura, siccome avevo usato la funzione firefox relay, che trovavo comodissima, la Mozilla foundation stava nel mezzo tra la mia casella e molti servizi a cui mi ero iscritto, che così non conoscevano il mio indirizzo reale. Bella pensata, mi mancherà. Pazienza. Ho dovuto cambiare un po' di email, ma ne è valsa la pena.

Ci rivedremo, spero, quando vorrete di nuovo aderire alla filosofia OpenSource.

E poi ci sono i fork, io continuo a sperare in qualche fork del browser più bello ed equo che ci sia mai stato.

Fino ad ora.

#browser #opensource #vivaldi #brave #chromium #mozilla #firefox #softwarelibero #fsf

Around these parts, projects needlessly using a microcontroller where a simpler design would do are often derided with the catch-all “Should have used a 555,” even if the venerable timer chip wouldn’t have been the ideal solution. But the sentiment stands that a solution more complicated than it needs to be is probably one that needs rethinking, as this completely mechanical chaser light badge Simple Add-On (SAO) aptly demonstrates.

Rather than choosing any number of circuits to turn a strip of discrete lights on and off, [Johannes] took inspiration for his chaser lights from factory automation mechanisms that move parts between levels on steps that move out of phase with each other, similar to the marble-raising mechanism used in [Wintergatan]’s Marble Machine X.

Two thin plates with notches around the edge are sandwiched together inside the 3D printed case of the SAO, between the face and the light source. A small motor and a series of gears rotate the two masks 180° out of phase with each other, which creates the illusion that the light is moving.

It’s pretty convincing; when we first saw the video below, we were sure it was a row of tiny LEDs around the edge of the badge.

Hats off to [Johannes] for coming up with such a clever mechanism and getting it working just in time for Hackaday Europe. If you need to catch up on the talks, we’ve got a playlist ready for you.

youtube.com/embed/bpqRJ9gQvO8?…

hackaday.com/2025/03/27/chase-…

Recentemente Splunk ha reso pubblica una vulnerabilità critica identificata come SVD-2025-0301, con il CVE ID CVE-2025-20229. Questa falla di sicurezza, presente nelle versioni di Splunk Enterprise precedent, e in alcune versioni della Splunk Cloud Platform, permette a utenti con privilegi limitati, privi dei ruoli “admin” o “power”, di eseguire codice remoto caricando file nella directory $SPLUNK_HOME/var/run/splunk/apptemp.

a vulnerabilità deriva dalla mancanza di controlli di autorizzazione adeguati durante il processo di caricamento dei file, consentendo potenzialmente a malintenzionati di compromettere l’integrità e la sicurezza dei sistemi affetti. Splunk ha assegnato a questa vulnerabilità un punteggio di 8.0 su 10 nella scala CVSSv3.1, classificandola come elevata

Di seguito la matrice delle versioni affette dal bug di sicurezza.

Per mitigare il rischio associato a questa falla, Splunk raccomanda agli utenti di aggiornare immediatamente Splunk Enterprise alle versioni 9.4.0, 9.3.3, 9.2.5 o 9.1.8, a seconda della release attualmente in uso. Per gli utenti della Splunk Cloud Platform, l’azienda sta monitorando attivamente e applicando le patch necessarie per proteggere gli ambienti cloud.

È fondamentale che le organizzazioni che utilizzano Splunk valutino l’impatto di questa vulnerabilità sui loro sistemi e procedano con l’aggiornamento alle versioni corrette senza indugi. L’implementazione tempestiva delle patch è essenziale per prevenire possibili exploit che potrebbero compromettere dati sensibili e la continuità operativa.​

Per ulteriori dettagli e per accedere alle istruzioni complete sull’aggiornamento, si consiglia di consultare l’advisory ufficiale pubblicato da Splunk al seguente link.

L'articolo Splunk a Rischio: Scoperta Vulnerabilità RCE Critica in Splunk Enterprise e Cloud proviene da il blog della sicurezza informatica.