Post scriptum. Secondo il "Corriere Fiorentino" Cinzia Dal Pino aveva passato la serata in un posto dove cuociono pesci e li vendono a prezzi molto alti.
Siccome pioveva, le avevano prestato un ombrello.
Dopo aver recuperato la pochette, Cinzia è tornata a restituirlo.
Un senso della cortesia e delle priorità che rivela un mondo intero.

Al concorso Pwn2Own Automotive 2024 , che si è svolto nel gennaio di quest’anno a Tokyo, un team di ricercatori ha dimostrato le vulnerabilità in tre diversi caricabatterie per veicoli elettrici: Autel MaxiCharger, ChargePoint Home Flex e JuiceBox 40. Uno dei risultati più interessanti è stata l’esecuzione riuscita del codice sul caricabatterie Autel MaxiCharger (modello MAXI US AC W12-L-4G) tramite Bluetooth senza ulteriori condizioni se non quella di trovarsi all’interno della sua area di copertura.

Autel MaxiCharger ha molte funzionalità hardware come Wi-Fi, Ethernet, Bluetooth, 4G LTE, lettore RFID e touch screen. Durante la ricerca, il team ha scoperto diverse vulnerabilità gravi, tra cui la capacità di bypassare l’autenticazione Bluetooth ( CVE-2024-23958 ) e due vulnerabilità di buffer overflow ( CVE-2024-23959 e CVE-2024-23967 ). Questi bug hanno consentito agli aggressori di ottenere il pieno controllo del dispositivo.

La difficoltà principale per i ricercatori è stata estrarre il firmware del dispositivo. Il team ha effettuato diversi tentativi per comprendere come funzionano gli aggiornamenti software tramite l’app mobile e il Bluetooth. Dopo aver scoperto che i collegamenti per il download degli aggiornamenti erano offuscati, gli hacker sono riusciti a decrittografarli utilizzando la sostituzione dei caratteri, consentendo loro di scaricare il firmware e iniziare l’analisi.

Durante l’analisi, i ricercatori hanno identificato un bug nel processo di autenticazione Bluetooth che consentiva l’utilizzo di codice precostruito nel firmware per aggirare l’autenticazione. Ciò significava che qualsiasi dispositivo nel raggio d’azione del Bluetooth poteva connettersi al caricabatterie senza inserire un codice di autenticazione.

Inoltre è stata scoperta una vulnerabilità nell’elaborazione dei dati tramite Bluetooth, che potrebbe causare un buffer overflow ed eseguire codice arbitrario sull’apparecchio. Un utente malintenzionato potrebbe, ad esempio, riprogrammare il dispositivo affinché funzioni al di fuori delle sue impostazioni di sicurezza standard, causando potenzialmente danni al veicolo o al caricabatterie.

È interessante notare che Autel MaxiCharger ha una funzionalità che consente al proprietario di offrire il proprio caricabatterie per uso pubblico, con la possibilità di ricevere un rimborso per l’energia consumata. I ricercatori hanno notato che l’hacking di un dispositivo del genere potrebbe consentire agli aggressori di manipolare i rapporti sui consumi energetici, aprendo opportunità di frode.

Il team ha concluso la ricerca rilevando che molti caricabatterie per veicoli elettrici hanno molteplici funzionalità di plug-in, che li rendono vulnerabili a vari tipi di attacchi. Sebbene Autel abbia rilasciato rapidamente le patch, i ricercatori hanno sottolineato l’importanza di aggiornare regolarmente il firmware e di controllare attentamente le vulnerabilità dei dispositivi.

In futuro, ricerche come questa contribuiranno a rafforzare la sicurezza delle infrastrutture di ricarica dei veicoli elettrici e a prevenire possibili attacchi che potrebbero colpire sia i proprietari di veicoli elettrici che interi sistemi elettrici cittadini.

L'articolo Vuoi fare il rifornimento Gratis della tua Auto Elettrica? Al Pwn2Own sembra che ci siano riusciti proviene da il blog della sicurezza informatica.

Your shiny new personal electronic device is likely to be designed solely as an app platform to run the products of faceless corporations, so the story goes, and therefore has an ever smaller hacking potential. Perhaps that view is needlessly pessimistic, because here’s [JP3141] with an example that goes against the grain. It’s an Apple Watch, being used as an ammeter. How it does that comes as the result of a delicious piece of lateral thinking.

Like many mobile devices, the device comes with a magnetometer. This serves as an electronic compass, but it’s also as its name might suggest, an instrument for sensing magnetic fields in three axes. With a 3D printed bobbin that slides over the watch, and a few turns of wire, it can sense the magnetic field created by the current, and a measurement can be derived from it. The software on the watch is only a simple proof of concept as yet, but it applies some fairly understandable high-school physics to provide a useful if unexpected measure of current.

We’re surprised to see just how many times the Apple Watch has appeared on these pages, but scanning past projects it was a cosmetic one which caught our eye. Who wouldn’t want a tiny Mac Classic!

hackaday.com/2024/09/10/the-ap…

Il gruppo di hacker noto come RansomHub ha pubblicato recentemente all’interno del proprio data Leak Site (DLS) la rivendicazione di un nuovo attacco informatico ad una PA italiana: l’Università di Genova.

Secondo quanto descritto nella sezione ‘Chi siamo’ del loro sito, RansomHub è formato da cybercriminali operanti in diverse parti del mondo, accomunati dall’intento di ottenere profitti economici attraverso le loro azioni illecite.

L’attacco è stato annunciato da RansomHub il 9 Settembre 2024, dove hanno pubblicato alcuni dettagli relativi alla violazione. La violazione riguarda circa 18 GB di dati e, se non verrà pagato il riscatto, i dati presumibilmente esfiltrati verranno pubblicati tra 13 giorni.

RansomHub ha fornito delle immagini di esempio di dati esfiltrati. Le immagini sembrano raffigurare estratti di verbale, attestati di presenza, etc. suggerendo una vasta gamma di dati potenzialmente compromessi.

Al momento, non possiamo confermare la veridicità della notizia, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo deve essere considerato come ‘fonte di intelligence’.

Chi è RansomHub?

RansomHub, una nuova piattaforma di ransomware-as-a-service (RaaS), è emersa nel febbraio 2024, prendendo di mira i sistemi operativi Windows, Linux ed ESXi attraverso malware sviluppato in Go e C++. Il modello di affiliazione, con un’alta percentuale di guadagno del 90%, ha attirato numerosi affiliati esperti, contribuendo a un significativo aumento delle infezioni globali. Le vittime, sparse in diciotto paesi, provengono principalmente dal settore IT. Il ransomware sfrutta vulnerabilità nei backup di cloud storage e configurazioni errate delle istanze Amazon S3 per aumentare l’estorsione. Secondo il gruppo di ricerca Insikt, sono state riscontrate similitudini nel codice con ALPHV e Knight Ransomware, suggerendo possibili connessioni tra queste entità.

Sul sito web di RansomHub, il gruppo dichiara di non attaccare obiettivi nei paesi della Comunità degli Stati Indipendenti (CIS), né in Cuba, Corea del Nord e Cina. Sebbene la composizione sembri di natura internazionale, il modus operandi del gruppo ricorda da vicino le tradizionali strutture di ransomware russe. È significativo notare anche il loro atteggiamento verso le nazioni legate alla Russia, così come la sovrapposizione di obiettivi comuni con altri gruppi ransomware russi.

Il gruppo recluta i propri affiliati principalmente attraverso il forum RAMP (Russian Anonymous Market Place), una piattaforma frequentata prevalentemente da utenti russi. Gli affiliati ricevono il 90% dei guadagni derivanti dalle attività illecite, mentre il restante 10% viene trattenuto dal gruppo principale. Contrariamente alle pratiche usuali, i fondi vengono inviati prima all’affiliato, un aspetto particolarmente apprezzato all’interno della comunità ransomware. Questo metodo è stato introdotto per mitigare la sfiducia generata da una frode di 22 milioni di dollari associata a ALPHV, in cui diversi affiliati non erano stati pagati, contribuendo a un clima di insicurezza nel contesto del Ransomware-as-a-Service (RaaS)

La Situazione Attuale

Ad oggi, l’Università di Genova non ha rilasciato dichiarazioni ufficiali riguardo all’attacco. Questa assenza di risposta lascia molte questioni in sospeso riguardo alla portata della violazione e alle misure adottate per mitigare i danni. Senza un comunicato stampa o una conferma ufficiale, le informazioni disponibili devono essere considerate come “fonti di intelligence” piuttosto che come conferme definitive della fuga di dati.

È probabile che l’Università rilasci ulteriori comunicazioni in futuro per chiarire la situazione. La trasparenza e la chiarezza nella gestione della crisi saranno fondamentali per comprendere appieno le implicazioni dell’attacco e le strategie di risposta adottate.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo RansomHub rivendica un attacco informatico all’università di Genova. Allarme per la Sicurezza dei Dati proviene da il blog della sicurezza informatica.

Bentornati alla nostra serie di articoli dedicati alla cybersecurity per le Piccole e Medie Imprese (PMI)! In un mondo sempre più digitale, la sicurezza informatica è diventata una priorità fondamentale per le aziende di tutte le dimensioni. Tuttavia, le PMI spesso non dispongono delle risorse o delle competenze necessarie per affrontare adeguatamente le minacce informatiche.

Quando si tratta di proteggere la tua azienda dalle minacce informatiche, avere una strategia ben definita è fondamentale. Il NIST Cybersecurity Framework è uno strumento potente, progettato per aiutare le aziende di tutte le dimensioni a gestire e ridurre i rischi di cybersecurity.

Sebbene sia stato creato principalmente per le organizzazioni negli Stati Uniti, il suo approccio è riconosciuto a livello internazionale e può essere applicato ovunque. Ma cos’è esattamente questo framework e come può essere utile alla tua PMI? Scopriamolo insieme.

Cos’è il NIST Cybersecurity Framework?

Immagina di avere un super manuale della sicurezza, scritto da un gruppo di geniacci del National Institute of Standards and Technology (NIST) negli Stati Uniti. Questo “manualone”, noto come NIST Cybersecurity Framework, non è un obbligo, ma è un po’ come quelle raccomandazioni della nonna: “Fidati, se lo segui ti risparmi un sacco di grane”.

E indovina? È progettato per aiutare le aziende di tutte le taglie, anche quelle piccole come un chiosco di limonate, a proteggere i propri dati come se fossero il tesoro nazionale.

Perché il NIST Cybersecurity Framework è Importante per le PMI?

Ora, potresti pensare: “Ma dai, questo è roba per le multinazionali con budget che noi comuni mortali possiamo solo sognare!”. E invece no! Il NIST Cybersecurity Framework è fatto apposta per essere flessibile e adattabile, un po’ come quei jeans che stanno bene a tutti (o quasi). Quindi sì, anche la tua piccola azienda può usarlo per tenere al sicuro dati, clienti e un bel po’ di notti di sonno.

Le Cinque Funzioni Principali del NIST Framework

1. Identificare (Identify)

• Qui si tratta di fare un po’ di sano inventario, tipo contare tutte le matite che hai nel cassetto, ma molto più serio. Devi capire esattamente cosa hai e cosa potrebbe finire nel mirino dei cattivi. Fai un inventario delle risorse, dai server ai computer del tuo ufficio, e cerca di prevedere dove potresti essere vulnerabile.
• Effettua una scansione della vulnerabilità utilizzando software aggiornati ed affidabili oppure ingaggia un esperto di cybersecurity per effettuare un vulnerability assestment per produrre un report dettagliato sulle vulnerabilità presenti e le contromisure da prendere per correre ai ripari

Immagine tratta da brightsec.com

2. Proteggere (Protect)

• Questo è il momento di armarsi fino ai denti… di firewall, software di sicurezza e criptografia! Blocca gli accessi non autorizzati come se fosse l’ultimo tavolo libero in un ristorante stellato. E non dimenticare di fare backup regolari, perché il giorno in cui non lo farai sarà esattamente il giorno in cui succederà il peggio. Ah, e una nota: insegna al tuo team che “password123” non è una password sicura!
• Installa dispositivi di sicurezza come firewall all’avanguardia che ti proteggano con regole fatte su misura per la tua azienda.

Crediti Fortinet

3. Rilevare (Detect)

• Qui entra in gioco la tua versione personale di Sherlock Holmes. Devi tenere d’occhio la tua rete come se stessi aspettando il postino con una lettera importante. Hai bisogno di strumenti che ti avvisino se qualcuno sta cercando di fare il furbo. Qualcosa di strano? Nessun problema, indaga subito ogni anomalia come se fosse un caso da risolvere, perché potrebbe essere la punta di un iceberg.
• Utilizza dispositivi e software per la rilevazione di intrusioni e software dannosi in tempo reale come gli EDR o meglio ancora XDR

Crediti Sophos

4. Rispondere (Respond)

• Questo è il tuo piano B (e anche C, D, e così via). Se un incidente si verifica – e prima o poi succederà, perché la legge di Murphy è sempre in agguato – devi essere pronto a rispondere come un pompiere. Informa tutti, mantieni la calma e assicurati che l’azienda non si fermi. E quando tutto è finito, fai un bel debriefing: “Cosa abbiamo imparato da questo casino?”

5. Ripristinare (Recover)

• Infine, arriva il momento di rimettere insieme i pezzi. Dopo un attacco, devi essere in grado di ripristinare tutto rapidamente. Comunica con i tuoi clienti e dipendenti per tenerli aggiornati e assicurati che la tua infrastruttura sia di nuovo in piedi prima che qualcuno possa dire “downtime”. E magari cogli l’occasione per potenziare le tue difese, perché non si sa mai.
• Implementa politiche di ripristino rapido per garantire che il tuo sito produttivo o i tuoi servizi tornino operativi in tempi ragionevoli. Se il ripristino del backup richiede giorni, stai di fatto accettando un’interruzione della produzione proporzionale a questo tempo. Questo potrebbe non essere compatibile con le esigenze della tua attività.

Crediti Veeam

Per riassumere il framework NIST per la cybersecurity aiuterà la tua azienda a:

• Migliorare la gestione del rischio.
• Avere una visione chiara di dove allocare risorse per la cybersecurity.
• Migliorare la resilienza contro gli attacchi informatici.
• Proteggere i dati sensibili di clienti e dipendenti.

Nel prossimo articolo esploreremo come rilevare e rispondere agli incidenti di sicurezza in modo efficace, utilizzando il NIST Framework come guida. Non perdere l’occasione di rafforzare la sicurezza della tua PMI!

L'articolo Fondamenti di Cybersecurity per le PMI: il NIST Cybersecurity Framework (2/12) proviene da il blog della sicurezza informatica.

Sliding in an extra slice of cruise ship to lengthen it. (Credit: Silversea cruises)
The number of people going on cruises keeps rising year over year, with the number passengers carried increasing from just over 3.7 million in 1990 to well over 28 million in 2023. This has meant an increasing demand for more and also much larger cruise ships, which has led to an interesting phenomenon where it has become more economical to chop up an existing cruise ship and put in an extra slice to add many meters to each deck. This makes intuitively sense, as the segment added is fairly ‘dumb’, with no engine room, control systems, but mostly more rooms and cabins.

The current top-of-the-line cruise ship experience is exemplified by the Icon class that’s being constructed for the Royal Caribbean Group. The first in this line is the Icon of the Seas, which is the largest cruise ship in the world with a length of 364.75 meters and a gross tonnage of 248,663. All of this cost €1.86 billion and over two years of construction time, compared to around $80 million and a few months in the drydock. When combined with a scheduled maintenance period in the drydock, this ‘Jumboization’ process can be considered to be a great deal that gives existing cruise ships a new lease on life.

Extending a ship in this manner is fairly routine as well, with many ships beyond cruise ships seeing the torch before being split. A newly built segment is then slid in place, the metal segments are welded together, wires, tubing and more are spliced together, before the in and outside are ready for a new coat of paint that makes it seem like nothing ever happened to the ship.

youtube.com/embed/bhZHhDrVQ2Q?…

hackaday.com/2024/09/10/cruise…

The oft-quoted saying “all models are wrong, but some are useful” is a tounge-in-cheek way of saying that at some level, tools we use to predict how the world behaves will differ from reality in some measurable way. This goes well beyond the statistics classroom it is most often quoted in, too, and is especially apparent to anyone who has used a GPS mapping device of any sort. While we might think that our technological age can save us from the approximations of maps and models, there are a number of limitations with this technology that appear in sometimes surprising ways. [Kyle] has an interesting writeup about how maps can be wrong yet still be incredibly useful especially in the modern GPS-enabled world.

[Kyle] is coming to us with a background in outdoor travel, involving all kinds of activities like hiking and backcountry skiing. When dealing with GPS tracking under these conditions, often the user’s actual position will deviate from their recorded position by a significant margin. Obvious causes like a loss of GPS signal are one thing, but there are some other reasons for this behavior. GPS can be off by tens of meters, so the question then becomes whether or not mapping software should record these errors or attempt to guess where it thinks the most likely location is, based on available data like barometric pressure, existing trails, elevation profiles, and other data. Especially in areas where the elevation changes rapidly, these errors can compound quickly and provide some truly mystifying data. Where mapping software draws these distinctions is a matter of active debate in these communities, with some taking more approximate routes that make more sense while sacrificing the raw data, and others letting the GPS pins fall where they may.

For anyone who’s been confused by Strava or Garmin data at the end of a run, hike, or bike ride, this is a fairly informative explanation of why the GPS data might differ from the actual distance of any of these activities. [Kyle] also notes that unless you’re out with a measuring wheel (and perhaps even then) any method to determine a true distance like this will have some amount of approximation or error. The closest technological solution to a problem like this we’ve seen is this GPS receiver which claims centimeter-level precision using some unique tricks.

hackaday.com/2024/09/10/mislea…

IO user [monte] was pointed towards an 1898 display patent issued to a [George Mason] and liked the look of the ‘creepy’ font it defined. The layout used no less than 21 discrete segments to display the complete roman alphabet and numerals, which is definitely not possible with the mere seven segments we are all familiar with. [monte] then did the decent thing and created a demonstration digit using modern parts.

For the implementation, [monte] created a simple PCB by hand (with an obvious mistake) and 3D-printed an enclosure and diffuser to match. After a little debugging, a better PCB was ordered from one of the usual overseas factories. There isn’t a schematic yet, but they mention using a CH32V003 Risc-V micro, which can be seen sitting on the rear of the PCB.

Maximum flexibility is ensured by storing every glyph as a 32-bit integer, with each LED corresponding to a single bit. It’s interesting to note the display incorporates serifs, which are definitely optional, although you could display sans-serif style glyphs if you wanted to. There is now a bit of a job to work out how to map character codes to glyph codes, but you can have a go at that yourself here. It’s still early doors on this project, but it has some real potential for a unique-looking display.

We love displays—every kind. Here’s a layout reminiscent of a VFD digit but done purely mechanically. And if you must limit yourself to seven digits, what about this unique thing?

youtube.com/embed/V7O3_IHwjD0?…

hackaday.com/2024/09/10/why-ha…

slowforward.net/2024/09/10/esi…

slowforward

2024-09-10 09:31:33

alcune cose di cui si è parlato a ELR 4
(o nelle quali sono coinvolti i partecipanti all’incontro di napoli)

motto distribution
mottodistribution.com/site/

printed matter
printedmatter.org/

luciano neri, upday
scalpendi.eu/catalogo/assembla…
un estratto: leparoleelecose.it/?p=46938

loose writing
puntocritico2.wordpress.com/20…

letteratura elettronica italia (a cura di roberta iadevaia)
discord.com/channels/885867681…
facebook.com/LEIcollettivo/

poème de terre (a cura di fabrizio pelli)
poemedeterre.wordpress.com/

il faldone di vincenzo ostuni
faldone.it/

gammm (a cura di giovenale, guatteri, raos, zaffarano)
gammm.org

niederngasse (a cura di paola silvia dolci)
niederngasse.it/

multiperso (a cura di carlo sperduti)
multiperso.wordpress.com/

blunder (a cura di daniele bellomi)
blunder.online/

la morte per acqua (di antonio francesco perozzi)
lamorteperacqua.wordpress.com/

stellare nero, di alessandra greco
benwayseries.wordpress.com/202…

carta da viaggio / alight, di pietro d’agostino
benwayseries.wordpress.com/201…

il volo degli uccelli, di giulio marzaioli
benwayseries.wordpress.com/201…

olocausto, di charles reznikoff
benwayseries.wordpress.com/201…

waste compost radio (a cura di daniela allocca e alan alpenfelt)
daniela-allocca.com/projects-r…
luganolac.ch/it/lac/programma/…

il sito di daniela allocca
daniela-allocca.com/

riot studio
facebook.com/riotstudio
riotstudio.it/

§

editori e collane presenti a napoli o comunque coinvolti

benway series (tielleci)
benwayseries.wordpress.com

syn _ scritture di ricerca (ikonalíber)
ikona.net/category/edizioni-ik…

tic edizioni
ticedizioni.com/

manufatti poetici (zacinto)
​https://www.facebook.com/profile.php?id=61564576784267 + ​instagram.com/manufatti_poetic…
(​zacintoedizioni.com/ / ibs.it/libri/collane/manufatti…)

[dia•foria (dreambook)
diaforia.org/diaforiablog/pubb…

pièdimosca edizioni
piedimoscaedizioni.com/

déclic
declicedizioni.it/

la camera verde
lacameraverde.org/

fondazione atonal
facebook.com/FondazioneAtonal/

edizioni centroscritture
centroscritture.it/catalogo-ed…

edizioni prufrock spa
edizioniprufrockspa.com/

argo
argonline.it/catalogo-argolibr…

§

il blog di elr è
mtmteatro.it/progetti/esiste-l…

il gruppo fb di elr è
facebook.com/groups/esistelari…

slowforward.net/2024/09/10/esi…

#000000 #67Settembre #999999 #ELR4 #EsisteLaRicerca #Napoli #scrittureComplesse #scrittureDiRicerca #scrittureSperimentali

BLUNDER - parole in transito.

Spazio web che si occupa di poesia italiana e inglese, traduzioni, scritture complesse, visual poetry, immaginari. A cura di Daniele Bellomi.

^{blunderadmin (BLUNDER.online)}

slowforward.net/2024/09/10/abs…

slowforward

2024-09-10 01:11:57

youtu.be/qRibj5S-F6A?si=l-E5yX…

slowforward.net/2024/09/10/abs…

#cinema #DavidLynch #shortFilm #shortMovie

absurd encounter with fear / david lynch. 1967

Visita l'articolo per saperne di più.

^slowforward

Due vulnerabilità ad alta gravità, CVE-2024-7889 e CVE-2024-7890, sono state scoperte nel Citrix Workspace app per Windows. Queste vulnerabilità interessano le versioni precedenti alla 2405 per la release corrente e le versioni precedenti alla 2402 CU1 per la LTSR.

Citrix raccomanda ai clienti di aggiornare immediatamente le loro installazioni per mitigare i rischi di sicurezza.ia significativa per gli utenti e le organizzazioni che utilizzano l’ambiente Citrix Workspace.

Versioni Interessate

Le vulnerabilità interessano le seguenti versioni supportate dell’app Citrix Workspace per Windows.

• Current Release (CR): Citrix Workspace app for Windows versions BEFORE 2405
• Long Term Service Release (LTSR): Citrix Workspace app for Windows versions BEFORE 2402 LTSR CU1

CVE-2024-7889: Descrive una vulnerabilità di escalation di privilegi locali che permette a un utente con pochi privilegi di ottenere diritti di SYSTEM. È necessaria l’accesso locale al sistema target. Questa vulnerabilità è categorizzata come CWE-664 (Gestione impropria delle risorse). Il punteggio CVSS v4.0 è 7.0, suggerendo una gravità elevata.

CVE-2024-7890: Un’altra vulnerabilità di escalation di privilegi locali, che però richiede condizioni più complesse. Classificata come CWE-269 (Gestione impropria dei privilegi). Il CVSS v4.0 è 5.4, indicando un rischio moderato rispetto a CVE-2024-7889.

Cosa occorre fare

Citrix consiglia vivamente ai clienti di aggiornare la propria app Citrix Workspace per Windows il prima possibile a versioni che contengano le correzioni. Le versioni dell’app Citrix Workspace per Windows che contengono le correzioni sono:

• Current Release (CR): Citrix Workspace app for Windows 2405 and later versions
• Long Term Service Release (LTSR): Citrix Workspace app for Windows 2402 CU1 LTSR and later versions

Citrix sta notificando i propri clienti e partner di canale riguardo questa vulnerabilità attraverso la pubblicazione di questo bollettino di sicurezza nel Citrix Knowledge Center al seguente link: support.citrix.com/securitybul…

L'articolo Scoperte Due Privilege Escalation in Citrix Workspace per Windows: Aggiorna Subito! proviene da il blog della sicurezza informatica.

For getting around on most surfaces, it’s hard to beat the utility of the wheel. Versatile, inexpensive, and able to be made from a wide array of materials has led to this being a cornerstone technology for the past ten thousand years or so. But with that much history it can seem a little bit played out. To change up the locomotion game, you might want to consider using robotic legs instead. That’s what [Giliam] designed into this mobile coffee table which uses custom linkages to move its legs and get itself from place to place around the living room.

The process to build this mobile coffee table started years ago, when [Giliam] was designing walking mechanisms in software. A genetic algorithm was used to develop improved versions of various mechanisms, with the best ones going on to develop successive generations of the designs. Originally this just started out as a software project, but [Giliam] also developed some woodworking skills in the meantime which led to the actual construction of this coffee table.

From there the design was moved to Fusion 360, where it could then be sent to a CNC machine to create all of the parts for the 12-legged table. An Arduino Nano controls the leg movements, with power to the legs’ crankshafts provided by 24 V brushless motors. Finally, a Bluetooth module is included to allow the table to receive commands from a modified Nintendo Wii “Nunchuk” — itself an impressive project that we covered back in 2020.

This project took an incredible amount of work not just to design the leg mechanisms but CNC machine them out of bamboo, glue everything together, and finish it into what would be an excellent example of woodworking even without the capability of moving the table from the wall to the middle of the room and back as needed. We can’t really say we’ve seen a mobile coffee table before either, wheeled or otherwise, but if you need the tabletop instead to rotate and position itself at arbitrary angles we have seen one which was designed to be used for metalworking.

youtube.com/embed/xKDY4yWxfJM?…

hackaday.com/2024/09/10/mobile…

Programming languages are generally defined as a more human-friendly way to program computers than using raw machine code. Within the realm of these languages there is a wide range of how close the programmer is allowed to get to the bare metal, which ultimately can affect the performance and efficiency of the application. One metric that has become more important over the years is that of energy efficiency, as datacenters keep growing along with their power demand. If picking one programming language over another saves even 1% of a datacenter’s electricity consumption, this could prove to be highly beneficial, assuming it weighs up against all other factors one would consider.

There have been some attempts over the years to put a number on the energy efficiency of specific programming languages, with a paper by Rui Pereira et al. from 2021 (preprint PDF) as published in Science of Computer Programming covering the running a couple of small benchmarks, measuring system power consumption and drawing conclusions based on this. When Hackaday covered the 2017 paper at the time, it was with the expected claim that C is the most efficient programming language, while of course scripting languages like JavaScript, Python and Lua trailed far behind.

With C being effectively high-level assembly code this is probably no surprise, but languages such as C++ and Ada should see no severe performance penalty over C due to their design, which is the part where this particular study begins to fall apart. So what is the truth and can we even capture ‘efficiency’ in a simple ranking?

Defining Energy Efficiency

At its core, ‘energy efficiency’ is pretty simple to define: it’s the total amount of energy required to accomplish a specific task. In the case of a software application, this means the whole-system power usage, including memory, disk and processor(s). Measuring the whole-system power usage is also highly relevant, as not every programming and scripting language taxes these subsystems in the same way. In the case of Java, for example, its CPU usage isn’t that dissimilar from the same code written in C, but it will use significantly more memory in the process of doing so.

Two major confounding factors when it comes to individual languages are:

• Idiomatic styles versus a focus on raw efficiency.
• Native language features versus standard library features.

The idiomatic style factor is effectively some kind of agreed-upon language usage, which potentially eschews more efficient ways of accomplishing the exact same thing. Consider here for example C++, and the use of smart pointers versus raw pointers, with the former being part of the Standard Template Library (STL) instead of a native language feature. Some would argue that using an STL ‘smart pointer’ like a unique_ptr or auto_ptr is the idiomatic way to use C++, rather than the native language support for raw pointers, despite the overhead that these add.

A similar example is also due to C++ being literally just an extension to C, namely that of printf() and similar functions found in the <cstdio> standard library header. The idiomatic way to use C++ is to use the stream-based functions found in the <iostream> header, so that instead of employing low-level functions like putc() and straightforward formatted output functions like printf() to write this:
printf("Printing %d numbers and this string: %s.\n", number, string);
The idiomatic stream equivalent is:
std::cout << "Printing " << number << " numbers and this string: " << string << "." << std::endl;
Not only is the idiomatic version longer, harder to read, more convoluted and easier to get formatting wrong with, it is internally also significantly more complicated than a simple parse-and-replace and thus causes more overhead. This is why C++20 decided to double-down on stream formatting and fudging in printf-like support with std::format and other functions in the new <format> header. Because things can always get worse.

Know What You’re Measuring

At this point we have defined what energy efficiency with programming languages is, and touched upon a few confounding factors. All of this leads to the golden rule in science: know what you’re measuring. Or in less fanciful phrasing: ‘garbage in, garbage out’, as conclusions drawn from data using flawed assumptions truly are a complete waste of anyone’s time. Whether it was deliberate, due to wishful thinking or a flawed experimental setup, the end result is the same: a meticulously crafted document that can go straight into the shredder.

In this particular comparative analysis, the pertinent question is whether the used code is truly equivalent, as looking across the papers by Rui et al. (2017, 2021), Gordillo et al. (2024) or even a 2000 paper by Lutz Prechelt all reveal stark differences between the results, with seemingly the only constant being that ‘C is pretty good’, while a language such as C++ ends up being either very close to C (Gordillo et al., Prechelt) or wildly varying in tests (Rui et al.), all pointing towards an issue with the code being used, as power usage measurement and time measurement is significantly more straightforward to verify.

In the case of the 2021 paper by Rui et al., the code examples used come from Rosetta Code, with the code-as-used also provided on GitHub. Taking as example the Hailstone Sequence, we can see a number of fascinating differences between the C, C++ and Ada versions, particularly as it pertains to the use of console output and standard library versus native language features.

The C version of the Hailstone Sequence has two printf() statements, while the C++ version has no fewer than five instances of std::cout. The Ada version comes in at two put(), two new_line (which should be merged with put_line) and one put_line. This difference in console output is already a red flag, even considering that when benchmarking you should never have console output enabled as this draws in significant parts of the operating system, with resulting high levels of variability due to task scheduling, etc.

The next red flag is that while the Ada and C versions uses the native array type, the C++ version uses std::vector, which is absolutely not equivalent to an array and should not be used if efficiency is at all a concern due to the internal copying and house-keeping performed by the std::vector data structure.

If we consider that Rosetta Code is a communal wiki that does not guarantee that the code snippets provided are ‘absolutely equivalent’, that means that the resulting paper by Rui et al. is barely worth the trip to the shredder and consequently a total waste of a tree.

Not All Bad

None of this should come as a surprise, of course, as it is well-known (or should be) that C++ produces the exact same code as C unless you use specific constructs like RTTI or the horror show that is C++ exceptions. Similarly, Ada code with similar semantics as C code should not show significant performance differences. The problem with many of the ‘programming language efficiency’ studies is simply that they take a purported authoritative source of code without being fluent in the chosen languages, run them in a controlled environment and then draw conclusions based on the mangled garbage that comes out at the end.

That said, there are some conclusions that can be drawn from the fancy-but-horrifically-flawed tables, such as how comically inefficient scripting languages like Python are. This was also the take-away by Bryan Lunduke in a recent video when he noted that Python is 71 times slower and uses 75 times more energy based on the Rui et al. paper. Even if it’s not exactly 71 times slower, Python is without question a total snail even among scripting languages, where it trades blows with Perl, PHP and Ruby at the bottom of every ranking.

The take-away here is thus perhaps that rather than believing anything you see on the internet (or read in scientific papers), it pays to keep an open mind and run your own benchmarks. As eating your own dogfood is crucial in engineering, I can point to my own remote-procedure call (NymphRPC) library in C++ on which I performed a range of optimizations to reduce overhead. This mostly involved getting rid of std::string and moving to a zero-copy system involving C-isms like memcpy and every bit of raw pointer arithmetic and bit-wise operators goodness that is available.

The result for NymphRPC was a four-fold increase in performance, which is probably a good indication of how much performance you can gain if you stick close to C-style semantics. It also makes it obvious how limited these small code snippets are, as with a real application you also deal with cache access, memory alignment and cache eviction issues, all of which can turn a seemingly efficient approach into a sluggish affair.

hackaday.com/2024/09/10/assess…

A new compromise text sent by the Hungarian Presidency of the EU Council to delegations about the draft law to detect child sexual abuse material (CSAM), focuses on known material, possibly lessening concerns around the regulations' privacy implications.

euractiv.com/section/law-enfor…

Siamo di fronte ad un nuovo e sofisticato side channel attack. L’attacco RAMBO (Radiation of Air-gapped Memory Bus for Offense), presentato da ricercatori israeliani, sfrutta l’emissione elettromagnetica prodotta dalla memoria RAM per rubare dati da computer isolati fisicamente (air-gapped).

Attraverso un malware, i ricercatori hanno manipolano l’accesso alla memoria per generare segnali elettromagnetici rilevabili con dispositivi di ricezione SDR (Software Defined Radio). Anche se la velocità di trasmissione è relativamente bassa (fino a 1000 bit al secondo), è sufficiente per sottrarre informazioni sensibili come password o chiavi crittografiche. Questo attacco rappresenta una minaccia crescente soprattutto per sistemi ad alta sicurezza.

La RAM è stata a lungo considerata una parte non attaccabile direttamente nei sistemi informatici, ma la scoperta del team israeliano dimostra che la memoria volatile può essere utilizzata come vettore di attacco attraverso radiazioni elettromagnetiche. La particolarità di RAMBO è che riesce a superare le misure di sicurezza di isolamento fisico, sfruttando una vulnerabilità fisica nei sistemi di memoria che in precedenza non era stata considerata.

L’attacco non necessita di connessione diretta al computer preso di mira, ma solo della presenza di un ricevitore nelle vicinanze. Questi segnali elettromagnetici possono essere generati appositamente con modelli di accesso alla memoria RAM ben studiati, manipolati dal malware installato sul computer vittima.

La trasmissione dei dati è unidirezionale, quindi i criminali riescono a leggere i dati sensibili senza inviare alcun segnale che potrebbe compromettere il loro attacco.

Una delle sfide principali per i difensori di sistemi sensibili come quelli militari o finanziari è che i tradizionali metodi di sicurezza come firewall e software anti-malware non sono efficaci contro attacchi basati su radiazioni elettromagnetiche, in quanto non c’è interazione diretta con la rete o i sistemi di protezione. Anche se la velocità di trasmissione dei dati di RAMBO è bassa, questo attacco può essere eseguito nel tempo, permettendo ai criminali di raccogliere informazioni critiche.

Per prevenire attacchi come RAMBO, gli esperti di sicurezza consigliano l’adozione di misure fisiche come schermature elettromagnetiche, in particolare per le macchine ad alta criticità. L’implementazione di gabbie di Faraday intorno ai dispositivi potrebbe essere una soluzione efficace, poiché queste barriere bloccano i segnali elettromagnetici in uscita, impedendo la trasmissione non autorizzata dei dati.

RAMBO si inserisce in una crescente serie di attacchi volti a compromettere la sicurezza di sistemi air-gap, tradizionalmente considerati tra i più sicuri. A differenza di altri attacchi, RAMBO non richiede la compromissione di connessioni cablate o wireless convenzionali, rendendolo un vettore d’attacco estremamente subdolo e potenzialmente devastante per ambienti altamente protetti.

In sintesi, l’attacco RAMBO rappresenta una nuova e insidiosa minaccia che sfrutta le radiazioni elettromagnetiche della RAM per estrarre dati critici da sistemi isolati. La difesa contro tali attacchi richiede l’adozione di misure innovative e fisiche, oltre alla consueta protezione software, per garantire la sicurezza dei dati in ambienti sensibili.

Per maggiori dettagli sull’attacco RAMBO, puoi consultare l’articolo completo qui.

L'articolo Arriva RAMBO! l’emissione Elettromagnetica della RAM consente di Rubare i Dati dai computer isolati proviene da il blog della sicurezza informatica.

When Apple started rolling out its Retina displays, it multiplied the amount of pixels compared to their standard, non-Retina displays by four. This increased pixel density while keeping the standard screen size — idea for those needing a lot of detail for their work. But, as is common with Apple, using these displays outside of the Apple ecosystem can be quite a challenge. Retina displays have been around for about a decade now, though, with some third-party hardware able to break them free of their cage. This post details how [Kevin] liberated the 5K display from a 2017 iMac for more general use with support for USB-C.

The first step was to find a used iMac for the right price, and then sell off most of its parts to recoup most of the initial cost. That brought the cost of the panel itself to about $250. The key to getting the display working without all of the Apple hardware is the R1811 driver board, which can be had for around $300. A new 156 watt power supply was added to the mix, and [Kevin] also put in a few extras like a USB cable extension and a latching push-button which kills the display’s power. Additionally, he attempted to get the original iMac speakers working with this setup too, but none of his attempts resulted in anything close to quality sound so he’s mostly abandoned that extra feature for now.

With that all buttoned up, he has a 27″ 5K display with USB-C input for around $650 which is quite a deal. The MacRumors thread that [Kevin] added his project to currently has around 1,700 posts about similar builds too, so it can be a wealth of information for all kinds of models. As Apple drops support for their older machines, these displays will become more and more common and projects like these can keep a lot of e-waste out of the landfill while also providing decent hardware at a bargain price. Don’t just look for iMacs and MacBooks though; there’s a similar process to use various iPad displays for other things as well.

hackaday.com/2024/09/10/rescui…

Secondo i servizi occidentali, c'è un aumento dell'attività militare russa intorno ai cavi sottomarini delle comunicazioni.

The post Se la Russia ci taglia Internet… la guerra ibrida intorno ai cavi sottomarini appeared first on InsideOver.

In the early 1990s I was privileged enough to be immersed in the world of technology during the exciting period that gave birth to the World Wide Web, and I can honestly say I managed to completely miss those first stirrings of the information revolution in favour of CD-ROMs, a piece of technology which definitely didn’t have a future. I’ve written in the past about that experience and what it taught me about confusing the medium with the message, but today I’m returning to that period in search of something else. How can we regain some of the things that made that early Web good?

We All Know What’s Wrong With The Web…

It’s likely most Hackaday readers could recite a list of problems with the web as it exists here in 2024. Cory Doctrow coined a word for it, enshitification, referring to the shift of web users from being the consumers of online services to the product of those services, squeezed by a few Internet monopolies. A few massive corporations control so much of our online experience from the server to the browser, to the extent that for so many people there is very little the touch outside those confines.
The first ever web page is maintained as a historical exhibit by CERN.
Contrasting the enshitified web of 2024 with the early web, it’s not difficult to see how some of the promise was lost. Perhaps not the web of Tim Berners-Lee and his NeXT cube, but the one of a few years later, when Netscape was the new kid on the block to pair with your Trumpet Winsock. CD-ROMs were about to crash and burn, and I was learning how to create simple HTML pages.

The promise then was of a decentralised information network in which we would all have our own websites, or homepages as the language of the time put it, on our own servers. Microsoft even gave their users the tools to do this with Windows, in that the least technical of users could put a Frontpage Express web site on their Personal Web Server instance. This promise seems fanciful to modern ears, as fanciful perhaps as keeping the overall size of each individual page under 50k, but at the time it seemed possible.

With such promise then, just how did we end up here? I’m sure many of you will chip in in the comments with your own takes, but of course, setting up and maintaining a web server is either hard, or costly. Anyone foolish enough to point their Windows Personal Web Server directly at the Internet would find their machine compromised by script kiddies, and having your own “proper” hosting took money and expertise. Free stuff always wins online, so in those early days it was the likes of Geocities or Angelfire which drew the non-technical crowds. It’s hardly surprising that this trend continued into the early days of social media, starting the inevitable slide into today’s scene described above.

…So Here’s How To Fix It

If there’s a ray of hope in this wilderness then, it comes in the shape of the Small Web. This is a movement in reaction to a Facebook or Google internet, an attempt to return to that mid-1990s dream of a web of lightweight self-hosted sites. It’s a term which encompases both lightweight use of traditional web tehnologies and some new ones designed more specifically to deliver lightweight services, and it’s fair to say that while it’s not going to displace those corporations any time soon it does hold the interesting prospect of providing an alternative. From a Hackaday perspective we see Small Web technologies as ideal for serving and consuming through microcontroller-based devices, for instance, such as event badges. Why shouldn’t a hacker camp badge have a Gemini client which picks up the camp schedule, for example? Because the Small Web is something of a broad term, this is the first part of a short series providing an introduction to the topic. We’ve set out here what it is and where it comes from, so it’s now time to take a look at some of those 1990s beginnings in the form of Gopher, before looking at what some might call its spiritual successors today.
An ancient Firefox version shows us a Gopher site. Ph0t0phobic, MPL 1.1.
It’s odd to return to Gopher after three decades, as it’s one of those protocols which was for most of us immediately lost as the Web gained traction. Particulrly as at the time I associated Gopher with CLI base clients and the Web with the then-new NCSA Mosaic, I’d retained that view somehow. It’s interesting then to come back and look at how the first generation of web browsers rendered Gopher sites, and see that they did a reasonable job of making them look a lot like the more texty web sites of the day. In another universe perhaps Gopher would have evolved further to something more like the web, but instead it remains an ossifed glimpse of 1992 even if there are still a surprising number of active Gopher servers still to be found. There’s a re-imagined version of the Veronica search engine, and some fun can be had browsing this backwater.

With the benefit of a few decades of the Web it’s immediately clear that while Gopher is very fast indeed in the days of 64-bit desktops and gigabit fibre, the limitations of what it can do are rather obvious. We’re used to consuming information as pages instead of as files, and it just doesn’t meet those expectations. Happily though Gopher never made those modifications, there’s something like what it might have become in Gemini. This is a lightweight protocol like Gopher, but with a page format that allows hyperlinking. Intentionally it’s not simply trying to re-implement the web and HTML, instead it’s trying to preserve the simplicity while giving users the hyperlinking that makes the web so useful.
It feels a lot like the early 1990s Web, doesn’t it.
The great thing about Gemini is that it’s easy to try. The Gemini protocol website has a list of known clients, but if even that’s too much, find a Gemini to HTTP proxy (I’m not linking to one, to avoid swamping someone’s low traffic web server). I was soon up and running, and exploring the world of Gemini sites. Hackaday don’t have a presence there… yet.

We’ve become so used to web pages taking a visible time to load, that the lightning-fast response of Gemini is a bit of a shock at first. It’s normal for a web page to contain many megabytes of images, Javascript, CSS, and other resources, so what is in effect the Web stripped down to only the information is unexpected. The pages are only a few K in size and load in effect, instantaneously. This may not be how the Web should be, but it’s certainly how fast and efficient hypertext information should be.

This has been part 1 of a series on the Small Web, in looking at the history and the Gemini protocol from a user perspective we know we’ve only scratched the surface of the topic. Next time we’ll be looking at how to create a Gemini site of your own, through learning it ourselves.

hackaday.com/2024/09/10/a-look…

Microsoft ha annunciato un importante cambiamento nel funzionamento delle app di Office a partire da ottobre 2024. Nella nuova versione di Office 2024, i controlli ActiveX saranno disabilitati per impostazione predefinita in Word, Excel, PowerPoint e Visio. La decisione riguarderà innanzitutto le applicazioni desktop Office Win32 e, da aprile 2025, gli utenti di Microsoft 365.

ActiveX è una tecnologia legacy introdotta per la prima volta nel 1996. Ha consentito agli sviluppatori di incorporare oggetti interattivi nei documenti di Office. Tuttavia, a partire dalla nuova versione di Office, le impostazioni di sicurezza cambieranno e i controlli ActiveX saranno disabilitati per impostazione predefinita.

Gli utenti non saranno più in grado di creare o interagire con oggetti ActiveX nei documenti. Invece, questi elementi appariranno come immagini statiche, il che potrebbe causare inconvenienti a coloro il cui lavoro in precedenza dipendeva da questi oggetti.

La tecnologia ActiveX è da tempo fonte di preoccupazione a causa delle vulnerabilità della sicurezza. Gli hacker hanno utilizzato ripetutamente ActiveX per distribuire malware, inclusi i famosi attacchi TrickBot e Cobalt Strike. Gli attacchi hanno consentito agli aggressori di penetrare nelle reti aziendali installando malware tramite documenti Word con controlli ActiveX incorporati.

Dopo l’implementazione delle modifiche, gli utenti che necessitano di abilitare i controlli ActiveX nei documenti di Office possono ripristinare le impostazioni predefinite precedenti utilizzando uno dei metodi seguenti:

• Nella finestra di dialogo Impostazioni Centro protezione, sotto Opzioni ActiveX, seleziona l’opzione “Richiedi conferma prima di abilitare tutti i controlli meno restrittivi”;
• Nel Registro di sistema impostare il valore HKEY_CURRENT_USER\Software\Microsoft\Office\Common\Security\DisableAllActiveX su 0 (REG_DWORD);
• Imposta quindi DisableAllActiveX su 0.

La disabilitazione di ActiveX fa parte degli sforzi più ampi di Microsoft per migliorare la sicurezza dei suoi prodotti. Negli ultimi anni l’azienda ha costantemente implementato misure volte a bloccare funzioni potenzialmente pericolose in Office e Windows. Le misure includono il blocco delle macro VBA e XLM, l’introduzione della sicurezza per XLM e il blocco dei componenti aggiuntivi XLL non attendibili.

Inoltre, nel 2024, Microsoft prevede di abbandonare definitivamente VBScript, un’altra tecnologia associata a vulnerabilità. Si prevede che VBScript diventi un’opzione on-demand e quindi venga completamente rimosso dai prodotti dell’azienda.

Le aziende che utilizzano ActiveX per automatizzare i processi devono essere preparate a possibili ritardi e maggiori costi per il supporto tecnico e la configurazione. Gli amministratori IT si troveranno ad affrontare la necessità di formare i dipendenti e fornire risorse aggiuntive per ripristinare la funzionalità ActiveX o trovare soluzioni alternative.

Le modifiche a Office potrebbero causare insoddisfazione tra gli utenti abituati alle vecchie funzionalità. Un improvviso arresto di strumenti familiari può avere un impatto negativo sulla produttività e sulla soddisfazione dei dipendenti. Inoltre, i documenti creati utilizzando ActiveX potrebbero diventare inutilizzabili o richiedere modifiche significative.

L'articolo Microsoft manda in discarica gli ActiveX in Office 2024 per impostazione predefinita proviene da il blog della sicurezza informatica.