Until the release of Windows 11, the upgrade proposition for Windows operating systems was rather straightforward: you considered whether the current version of Windows on your system still fulfilled your needs and if the answer was ‘no’, you’d buy an upgrade disc. Although system requirements slowly crept up over time, it was likely that your PC could still run the newest-and-greatest Windows version. Even Windows 7 had a graphical fallback mode, just in case your PC’s video card was a potato incapable of handling the GPU-accelerated Aero Glass UI.

This makes a lot of sense, as the most demanding software on a PC are the applications, not the OS. Yet with Windows 11 a new ‘hard’ requirement was added that would flip this on its head: the Trusted Platform Module (TPM) is a security feature that has been around for many years, but never saw much use outside of certain business and government applications. In addition to this, Windows 11 only officially supports a limited number of CPUs, which risks turning many still very capable PCs into expensive paperweights.

Although the TPM and CPU requirements can be circumvented with some effort, this is not supported by Microsoft and raises the specter of a wave of capable PCs being trashed when Windows 10 reaches EOL starting this year.

Not That Kind Of Trusted

Although ‘Trusted Platform’ and ‘security’ may sound like a positive thing for users, the opposite is really the case. The idea behind Trusted Computing (TC) is about consistent, verified behavior enforced by the hardware (and software). This means a computer system that’s not unlike a modern gaming console with a locked-down bootloader, with the TPM providing a unique key and secure means to validate that the hardware and software in the entire boot chain is the same as it was the last time. Effectively it’s an anti-tamper system in this use case that will just as happily lock out an intruder as the purported owner.
XKCD’s take on encrypting drives.
In the case of Windows 11, the TPM is used for this boot validation (Secure Boot), as well as storing the (highly controversial) Windows Hello’s biometric data and Bitlocker whole-disk encryption keys. Important to note here is that a TPM is not an essential feature for this kind of functionality, but rather a potentially more secure way to prevent tampering, while also making data recovery more complicated for the owner. This makes Trusted Computing effectively more a kind of Paranoid Computing, where the assumption is made that beyond the TPM you cannot trust anything about the hardware or software on the system until verified, with the user not being a part of the validation chain.

Theoretically, validating the boot process can help detect boot viruses, but this comes with a range of complications, not the least of which is that this would at most allow you to boot into Windows safe mode, if at all. You’d still need a virus scanner to detect and remove the infection, so using TPM-enforced Secure Boot does not help you here and can even complicate troubleshooting.

Outside of a corporate or government environment where highly sensitive data is handled, the benefits of a TPM are questionable, and there have been cases of Windows users who got locked out of their own data by Bitlocker failing to decrypt the drive, for whatever reason. Expect support calls from family members on Windows 11 to become trickier as a result, also because firmware TPM (fTPM) bugs can cause big system issues like persistent stuttering.

Breaking The Rules

As much as Microsoft keeps trying to ram^Wgently convince us consumers to follow its ‘hard’ requirements, there are always ways to get around these. After all, software is just software, and thus Windows 11 can be installed on unsupported CPUs without a TPM or even an ‘unsupported’ version 1.2 TPM. Similarly, the ‘online Microsoft account’ requirement can be dodged with a few skillful tweaks and commands. The real question here is whether it makes sense to jump through these hoops to install Windows 11 on that first generation AMD Ryzen or Intel Core 2 Duo system from a support perspective.

Fortunately, one does not have to worry about losing access to Microsoft customer support here, because we all know that us computer peasants do not get that included with our Windows Home or Pro license. The worry is more about Windows Updates, especially security updates and updates that may break the OS installation by using CPU instructions unsupported by the local hardware.

Although Microsoft published a list of Windows 11 CPU requirements, it’s not immediately obvious what they are based on. Clearly it’s not about actual missing CPU instructions, or you wouldn’t even be able to install and run the OS. The only true hard limit in Windows 11 (for now) appears to be the UEFI BIOS requirement, but dodging the TPM 2.0 & CPU requirements is as easy as a quick dive into the Windows Registry by adding the AllowUpgradesWithUnsupportedTPMOrCPU key to HKEY_LOCAL_MACHINE\SYSTEM\Setup\MoSetup. You still need a TPM 1.2 module in this case.

When you use a tool like Rufus to write the Windows 11 installer to a USB stick you can even toggle a few boxes to automatically have all of this done for you. This even includes the option to completely disable TPM as well as the Secure Boot and 8 GB of RAM requirements. Congratulations, your 4 GB RAM, TPM-less Core 2 Duo system now runs Windows 11.

Risk Management

It remains to be seen whether Microsoft will truly enforce the TPM and CPU requirements in the future, that is requiring Secure Boot with Bitlocker. Over on the Apple side of the fence, the hardware has been performing system drive encryption along with other ‘security’ features since the appearance of the Apple T2 chip. It might be that Microsoft envisions a similar future for PCs, one in which even something as sacrilegious as dual-booting another OS becomes impossible.

Naturally, this raises the spectre of increasing hostility between users and their computer systems. Can you truly trust that Bitlocker won’t suddenly decide that it doesn’t want to unlock the boot drive any more? What if an fTPM issue bricks the system, or that a sneaky Windows 11 update a few months or years from now prevents a 10th generation Intel CPU from running the OS without crashing due to missing instructions? Do you really trust Microsoft that far?

It does seem like there are only bad options if you want to stay in the Windows ecosystem.

Strategizing

Clearly, there are no good responses to what Microsoft is attempting here with its absolutely user-hostile actions that try to push a closed, ‘AI’-infused ecosystem on its victi^Wusers. As someone who uses Windows 10 on a daily basis, this came only after running Windows 7 for as long as application support remained in place, which was years after Windows 7 support officially ended.

Perhaps for Windows users, sticking to Windows 10 is the best strategy here, while pushing software and hardware developers to keep supporting it (and maybe Windows 7 again too…). Windows 11 came preinstalled on the system that I write this on, but I erased it with a Windows 10 installation and reused the same, BIOS embedded, license key. I also disabled fTPM in the BIOS to prevent ‘accidental upgrades’, as Microsoft was so fond of doing back with Windows 7 when everyone absolutely had to use Windows 10.

I can hear the ‘just use Linux/BSD/etc.’ crowd already clamoring in the comments, and will preface this by saying that although I use Linux and BSD on a nearly basis, I would not want to use it as my primary desktop system for too many reasons to go into here. I’m still holding out some hope for ReactOS hitting its stride Any Day Now, but it’s tough to see a path forward beyond running Windows 10 into the ground, while holding only faint hope for Windows 12 becoming Microsoft’s gigantic Mea Culpa.

After having used PCs and Windows since the Windows 3.x days, I can say that the situation for personal computers today is unprecedented, not unlike that for the World Wide Web. It seems increasingly less like customer demand is appealed to by companies, and more an inverse where customers have become merely consumers: receptacles for the AI and marketing-induced slop of the day, whose purchases serve to make stock investors happy because Line Goes Up^©.

hackaday.com/2025/05/29/forced…

C''è un modo di raccontare questa storia secondo il quale una intelligenza digitale diventa capace di ribellarsi ai suoi creatori e arriva a ricattarli pur di non essere sostituita.
C'è un altro modo, secondo il quale un generatore di storie produce esattamente le storie che gli vengono richieste, e tutto il bru bru mediatico è dovuto a dei poveracci che fanno delle proprie psicosi il proprio modello di business.

spreaker.com/episode/dk-9x31-c…

At the dawn of the PC, IBM provided the Basic Input Output System (BIOS). It took care of bringing the machine up, and exposed a series of software hooks for the hardware. Over the years the BIOS and its updated descendants served us well, but as we entered a 64-bit world its limitations began to show.

The replacement was the Unified Extensible Firmware Interface or UEFI, and the chances are you’re viewing this on a machine which uses it in some capacity. But what if you only have UEFI and need BIOS to run a piece of older software? Never fear, because here’s CSMWrap, which brings it back, just for you.

Under the hood it’s a wrapper for the SeaBIOS compatibility support module, doing the work of setting up the memory mapping such that it will load, and ensuring that other services such as the VGA BIOS are loaded. As it stands it can boot FreeDOS and some older Windows versions under UEFI in QEMU, and it’s claimed also run on real hardware. We don’t often need to run DOS on our 2025 machine, but it’s neat to know we can.

Meanwhile if the BIOS interests you, know that there’s also an open source BIOS for the earliest of PCs.

BIOS header image: Thomas Schanz, CC BY-SA 4.0.

hackaday.com/2025/05/29/bring-…

Microsoft vuole rivoluzionare il modo in cui vengono gestiti gli aggiornamenti su Windows. L’azienda ha annunciato una nuova piattaforma di orchestrazione degli aggiornamenti che punta a trasformare completamente il processo. La piattaforma permette di centralizzare l’aggiornamento di qualsiasi applicazione, driver o componente software direttamente tramite Windows Update. L’obiettivo è ambizioso: dire addio agli aggiornamenti separati gestiti da ogni singola app e portare tutto sotto il controllo centralizzato del sistema operativo.

Attualmente, su Windows, ogni software ha il suo sistema di aggiornamento: alcuni notificano automaticamente, altri richiedono il controllo manuale, altri ancora vengono completamente ignorati. Questo crea frammentazione e potenziali falle di sicurezza. La nuova piattaforma di Microsoft consente agli sviluppatori di integrare i propri aggiornamenti in Windows Update. Inoltre potranno eliminare la necessità di implementare meccanismi separati di controllo, pianificazione o registrazione. Gli utenti, invece, potranno godere di notifiche più coerenti e di uno storico aggiornamenti unificato.

Secondo quanto dichiarato, la piattaforma supporterà una vasta gamma di formati di applicazioni, comprese quelle confezionate come MSIX, APPX e persino alcune Win32 personalizzate. Gli sviluppatori potranno gestire gli aggiornamenti usando API WinRT o script PowerShell, ma dovranno prima registrarsi all’anteprima privata per accedere alle funzionalità.

La mossa rappresenta un importante passo in avanti verso una gestione intelligente e centralizzata del software. Se adottata saràin grado di migliorare non solo la sicurezza ma anche l’esperienza d’uso su Windows. Tuttavia, resta da capire se le aziende terze decideranno di adottare questo nuovo approccio. Oppure se continueranno a preferire le loro soluzioni proprietarie per il controllo degli aggiornamenti.

Con questa iniziativa, Microsoft dimostra di voler affrontare una delle criticità più diffuse nei sistemi Windows: la dispersione degli aggiornamenti

Unificando tutto sotto un unico sistema, l’azienda punta a offrire maggiore coerenza, sicurezza e controllo. Se l’iniziativa dovesse essere adottata su larga scala, potremmo dire definitivamente addio agli aggiornamenti dimenticati e ai software obsoleti.

L'articolo Windows Update sarà per tutti? Persino il Blocco Note ha paura! proviene da il blog della sicurezza informatica.

I ricercatori di Socket hanno scoperto una campagna attiva che utilizza decine di pacchetti npm dannosi in grado di raccogliere e rubare informazioni dai sistemi delle vittime.

Secondo gli esperti, nelle ultime due settimane, aggressori hanno pubblicato 60 pacchetti in npm contenenti un piccolo script che viene attivato durante l’installazione. Lo script è responsabile della raccolta di nomi host, indirizzi IP, elenchi di server DNS e percorsi di directory e della successiva trasmissione di queste informazioni agli aggressori tramite un webhook Discord.

Lo script è rivolto agli utenti Windows, Linux e macOS, utilizza controlli di base per bypassare la sandbox ed è progettato specificamente per rilevare l’impronta digitale di qualsiasi sistema che interagisca con uno dei pacchetti dannosi.

I ricercatori hanno identificato tre account npm, ciascuno dei quali ha pubblicato 20 pacchetti dannosi: bbbb335656, cdsfdfafd1232436437 e sdsds656565. Tutti i pacchetti contenevano lo stesso codice per raccogliere i dati e li passavano allo stesso webhook Discord.

“Il numero totale di download di pacchetti supera attualmente i 3.000, consentendo agli aggressori di creare una mappa delle reti di sviluppatori e aziende che potrebbe diventare una vera e propria roadmap per gli attacchi futuri. Al momento in cui scriviamo, tutti i pacchetti sono ancora disponibili su npm. Abbiamo presentato una richiesta per rimuoverli”, affermano gli esperti nel loro rapporto.

Secondo Socket, poiché lo script dannoso raccoglie identificatori di rete sia interni che esterni, consente agli aggressori di collegare ambienti di sviluppo privati ​​a infrastrutture pubbliche.

L'articolo Allarme NPM: scoperti 60 pacchetti che rubano i tuoi dati con un semplice install proviene da il blog della sicurezza informatica.

Internet sta diventando giorno dopo giorno una vasta rete di sorveglianza. Di particolare preoccupazione è il fatto che le nuove tecnologie abbinate all’intelligenza artificiale possono facilmente raccogliere dati e creare profili attendibili delle persone e quindi complicare ulteriormente la privacy degli utenti.

I commenti abituali su YouTube non sono più solo dichiarazioni innocenti, ma possono diventare la base per creare quasi un dossier su una persona. Un nuovo servizio online chiamato YouTube-Tools sostiene di essere in grado di trovare quasi tutti i commenti che un utente ha mai lasciato sulla piattaforma e poi di usare l’intelligenza artificiale per crearne un profilo, includendo anche la possibile posizione geografica, la lingua madre, gli interessi e persino le opinioni politiche.

Lo strumento è nato come parte di una serie crescente di servizi online nati con un sito per l’analisi dei nickname di League of Legends. Ora utilizza un modello linguistico modificato di Mistral per generare brevi report analitici sugli utenti di YouTube in base ai commenti. Il creatore sostiene di aver realizzato il progetto per le esigenze della polizia e degli investigatori privati, ma chiunque può accedere al sito: tutto ciò di cui hai bisogno è una carta di credito e un indirizzo email; l’abbonamento costa circa 20 dollari al mese.

Lo strumento rappresenta una seria minaccia alla privacy. I report vengono generati in pochi secondi e contengono dati sufficienti affinché l’intelligenza artificiale evidenzi dettagli potenzialmente identificativi. Tali tecnologie potrebbero rivelarsi una vera manna per combattere il bullismo online: si sono già verificati casi in cui altri strumenti per sviluppatori sono stati utilizzati da comunità impegnate in attività di stalking e raccolta di prove incriminanti.

Il servizio sembra violare l’informativa sulla privacy di YouTube, che afferma chiaramente che la raccolta automatizzata di informazioni è consentita solo in conformità con il file robots.txt o con l’autorizzazione scritta di YouTube. Tuttavia, YouTube Tools sembra ignorare queste restrizioni e continua a raccogliere dati.

Un test funzionale ha dimostrato che il servizio funziona davvero. Quando veniva inserito il nome di un commentatore casuale, il sistema generava decine di commenti da video diversi e compilava automaticamente un paragrafo analitico. Ad esempio, ha sottolineato un possibile collegamento con l’Italia citando riferimenti alla cucina e ai programmi televisivi italiani, e ha interpretato le sue opinioni culturali sulla base di diverse frasi sulla mascolinità e sulla società.

Secondo il sito, il database comprende 1,4 miliardi di utenti e 20 miliardi di commenti, anche se YouTube stesso ha più di 2,5 miliardi di utenti, il che significa che non è completamente coperto.

YouTube-Tools è stato lanciato appena una settimana fa ed è un fork di LoL-Archiver. Lo sviluppatore possiede anche altri servizi simili: nHentai-Archiver analizza i commenti degli utenti su una popolare piattaforma per l’hosting di manga per adulti, Kick-Tools mostra la cronologia delle chat e dei ban degli utenti sul servizio di streaming video Kick e Twitch-Tools mostra la cronologia dei messaggi di un utente specifico su Twitch nei canali monitorati. Al momento della pubblicazione, i canali Twitch seguiti sono oltre 39.000.

Lo sviluppatore ha ammesso esplicitamente che l’obiettivo finale è tracciare l’attività dei singoli utenti. Sostiene che il sito è rivolto ai professionisti: detective, giornalisti e addetti alla sicurezza. Allo stesso tempo, la politica del servizio stabilisce che l’accesso è consentito solo con una licenza, ma in realtà chiunque può iscriversi in pochi minuti senza fornire alcun documento a supporto.

Come misura di “verifica”, lo sviluppatore cita l’accettazione dei termini di utilizzo e la verifica casuale (KYC) di coloro che sollevano sospetti. Ha fatto l’esempio della rimozione di un utente per aver utilizzato un indirizzo e-mail temporaneo, ma ha sottolineato che prima viene concesso l’accesso e solo in seguito avviene la verifica.

L’analisi comportamentale dell’intelligenza artificiale è disponibile solo nella sezione YouTube e, secondo lo sviluppatore, ha lo scopo di velocizzare il lavoro degli investigatori. Tuttavia, questo approccio consente di farsi un’idea molto rapidamente dell’utente, anche se questi non rivela direttamente dati personali.

Lo sviluppatore ha riconosciuto che i rischi per la privacy sono reali, ma insiste sul fatto che cerca di ridurli al minimo tramite filtraggio interno. Ha aggiunto che era pronto a cancellare le informazioni archiviate su richiesta ufficiale. Non viene però specificato come l’utente possa scoprire che i suoi dati sono già stati analizzati.

Il problema della raccolta automatica dei dati pubblici sta diventando sempre più acuto. In precedenza, i ricercatori brasiliani avevano pubblicato una cache di due miliardi di messaggi provenienti da server Discord aperti. In precedenza, sulla stessa piattaforma era stato chiuso il progetto Spy Pet, che utilizzava un metodo simile. Ora YouTube si trova ad affrontare una nuova ondata di interrogativi sulle misure adottate per proteggere i propri utenti da analisi indesiderate delle loro attività pubbliche.

L'articolo Commenti su YouTube? L’IA trasforma i tuoi commenti in un dossier personale proviene da il blog della sicurezza informatica.

Recently [Florin] was in the market for a basic uninterruptible power supply (UPS) to provide some peace of mind for the smart home equipment he had stashed around. Unfortunately, the cheap Serioux LD600LI unit he picked up left a bit to be desired, and required a bit of retrofitting.

To be fair, the issues that [Florin] ended up dealing with were less about the UPS’ capability to deal with these power issues, and more with the USB interface on the UPS. Initially the UPS seemed to communicate happily with HomeAssistant (HA) via Network UPS Tools over a generic USB protocol, after figuring out what device profile matched this re-branded generic UPS. That’s when HA began to constantly lose the connection with the UPS, risking its integration in the smart home setup.
The old and new USB-serial boards side by side. (Credit: VoltLog, YouTube)
After tearing down the UPS to see what was going on, [Florin] found that it used a fairly generic USB-serial adapter featuring the common Cypress CY7C63310 family of low-speed USB controller. Apparently the firmware on this controller was simply not up to the task or poorly implemented, so a replacement was needed.

The process and implementation is covered in detail in the video. It’s quite straightforward, taking the 9600 baud serial link from the UPS’ main board and using a Silabs CP2102N USB-to-UART controller to create a virtual serial port on the USB side. These conversion boards have to be fully isolated, of course, which is where the HopeRF CMT8120 dual-channel digital isolator comes into play.

After assembly it almost fully worked, except that a Sonoff Zigbee controller in the smart home setup used the same Silabs controller, with thus the same USB PID/VID combo. Fortunately in Silabs AN721 it’s described how you can use an alternate PID (0xEA63) which fixed this issue until the next device with a CP2102N is installed

As it turns out, the cost of a $40 UPS is actually 10 hours of work and $61 in parts, although one cannot put a value on all the lessons learned here.

youtube.com/embed/ZeoCBQmW2Rw?…

hackaday.com/2025/05/29/the-co…

Nelle ultime settimane, Fortinet con il supporto di Red Hot Cyber, hanno dato vita a un progetto entusiasmante che ci è sempre stato a cuore: portare la cultura della cybersecurity nelle scuole primarie.

Abbiamo parlato di sicurezza informatica con i bambini delle classi quarte e quinte dell’Istituto Comprensivo di Piazza Sauli, nei plessi Battisti e Alonzi di Roma, con l’obiettivo di renderli più consapevoli e preparati nel loro primo approccio al mondo digitale.

Siamo convinti che la cybersecurity awareness debba iniziare fin dalla scuola primaria. È proprio in quell’età, in cui i bambini cominciano a usare smartphone, tablet e videogiochi, che dobbiamo spiegare come funziona la rete e quali rischi si celano dietro un semplice click.

Un ringraziamento speciale va a Fortinet per averci proposto questa bellissima avventura e a tutte le formidabili persone che hanno reso possibile questo progetto: Aldo Di Mattia, Massimiliano Brolli, Giuseppe Di Pasquale, Daniele Maria Mammano, Elenia Cianfarani e Silvia D’Ambrosio. Il loro contributo, la loro passione e la loro dedizione hanno permesso di costruire un’esperienza educativa vera, coinvolgente e utile per tutti, soprattutto per i più grandi.

Perché come diciamo da sempre, iniziative come questa regalano molto di più ai grandi di quanto si dia ai più piccoli. Il confronto diretto con le nuove generazioni ci arricchisce dentro, ci costringe a semplificare senza banalizzare, e a vedere la sicurezza digitale con i loro occhi, con altre angolazioni, con occhi nuovi!
Giuseppe Di Pasquale, Aldo Di Mattia ed Elenia Cianfarani spiegano ai bambini la differenza tra bullismo e cyber bullismo

Dai videogiochi alla rete globale

Siamo partiti da una slide semplice ma efficace: un telefonino con l’app di Brawl Stars, un gioco che tutti in quella fascia d’età conoscono. Una volta creata l’attenzione, il viaggio è iniziato e abbiamo parlato di:

• Come funziona YouTube?
• Cos’è una rete?
• Cosa sono i cavi sottomarini che collegano i continenti?
• Chi sono gli hacker e cosa vuol dire davvero hacking?

Abbiamo spiegato che l’hacking è una capacità neutra, che può essere usata per il bene o per il male. Un concetto che, spiegato con parole semplici, ha affascinato e stimolato la loro curiosità.
Una slide che introduce “che cos’è la rete?”

Protezione e consapevolezza

A quel punto, abbiamo spiegato che internet è un luogo meraviglioso, ma anche pieno di pericoli, se non si usano gli strumenti giusti.
Abbiamo parlato di:

• Password e perché devono essere complesse.
• Antivirus e strumenti di difesa.
• Phishing, con esempi di email sospette da riconoscere.
• Parental control, per navigare in sicurezza.
• E infine, un tema che ci sta profondamente a cuore: il cyberbullismo.

Massimiliano Brolli spiega il mondo degli hacker (buoni) ai bambini

I bambini capiscono. Basta saper parlare la loro lingua.

Quello che ci ha colpito di più è stata la capacità incredibile dei bambini di comprendere concetti complessi, quando spiegati con semplicità e senza filtri. Le loro domande, osservazioni e sorrisi ci hanno insegnato forse più di quanto siamo riusciti a insegnare noi.

Ringraziamo a tutto l’istituto e al suo personale, alle maestre, alle coordinatrici e soprattutto ai bambini, per l’entusiasmo e la partecipazione.

L’importanza di parlare di cybersecurity nelle scuole primarie

In un’epoca in cui bambini e bambine hanno accesso quotidiano a smartphone, tablet, videogiochi online e piattaforme digitali, è fondamentale che la loro educazione includa anche la consapevolezza informatica. La cybersecurity non è più un argomento da adulti, riservato agli esperti o agli addetti ai lavori: oggi, anche i più piccoli navigano in un mondo interconnesso, spesso senza le competenze necessarie per riconoscerne i pericoli.

Portare la sicurezza informatica nelle scuole primarie significa piantare un seme di responsabilità digitale, in un momento della crescita in cui la curiosità è altissima e la mente è aperta all’apprendimento. Parlare di password sicure, phishing, antivirus, identità digitale e cyberbullismo in modo semplice e accessibile permette ai bambini di acquisire strumenti concreti per proteggersi e navigare online con maggiore consapevolezza.

Insegnare ai più piccoli cos’è una rete, come funziona Internet, e perché è importante non fidarsi di ogni contenuto o messaggio ricevuto è un passo decisivo per costruire una società digitale più sicura. Ma non solo: significa anche trasmettere valori, come il rispetto online, la tutela della privacy e il coraggio di segnalare comportamenti scorretti o pericolosi.
Daniele Maria Mammano, Aldo Di Mattia e Massimiliano Brolli: Lo sapete che il 95% delle comunicazioni internet passa dai cavi sottomarini?
Iniziative come quella realizzata da Red Hot Cyber insieme a Fortinet dimostrano che si può parlare di cybersecurity con i bambini, partendo da esempi del loro mondo – come un videogioco o un video su YouTube – e arrivando a temi anche complessi, come l’hacking e le sue implicazioni etiche. Il risultato? Bambini attenti, partecipi, e capaci di fare domande intelligenti.

Educare oggi significa proteggere domani. E partire dalla scuola primaria è la chiave per formare una nuova generazione di cittadini digitali, competenti, responsabili e – perché no – forse anche futuri esperti in sicurezza informatica.

L'articolo Fortinet e Red Hot Cyber a Scuola! Come spiegare ai Bambini la Cybersecurity: Missione compiuta proviene da il blog della sicurezza informatica.

Want to turn a scaled vector graphic into a multicolor 3D print, like a sign? You’ll want to check out [erkannt]’s svg2solid, a web-based tool that reads an SVG and breaks the shapes up by color into individual STL files. Drag those into your slicer (treating them as a single object with multiple parts) and you’re off to the races.
This sign was printed face-down on a textured build plate. The colors only need to be a few layers deep.
This is especially handy for making 3D printed versions of things like signs, and shown here is an example of exactly that.

It’s true that most 3D printer software supports the .svg format natively nowadays, but that doesn’t mean a tool like this is obsolete. SVG is a 2D format with no depth information, so upon import the slicer assigns a arbitrary height to all imported elements and the user must make any desired adjustments manually. For example, a handy tip for making signs is to make the “background” as thick as desired but limit colored elements to just a few layers deep. Doing so minimizes filament switching while having no impact on final visual appearance.

Being able to drag SVGs directly into the slicer is very handy, but working with 3D models has a certain “what you see is what you get” element to it that can make experimentation or alternate applications a little easier. Since svg2solid turns an SVG into discrete 3D models (separated by color) and each with user-defined heights, if you find yourself needing that then this straightforward tool is worth having in your bookmarks. Or just go straight to the GitHub repository and grab your own copy.

On the other hand, if you prefer your 3D-printed signs to be lit up in a faux-neon style then here’s how to do that in no time at all. Maybe there’s a way to mix the two approaches? If you do, be sure to use our tips line to let us know!

hackaday.com/2025/05/28/tool-t…

Delle vulnerabilità critiche all’interno di XenServer VM Tools per Windows permettono ai malintenzionati di eseguire codice arbitrario e di aumentare i privilegi nei sistemi operativi guest. Le vulnerabilità sono state divulgate pubblicamente nell’ambito dell’Xen Security Advisory, sollecitando l’immediata azione degli amministratori delle piattaforme di virtualizzazione in tutto il mondo.

Tali bug derivano da autorizzazioni eccessive sui dispositivi esposti dall’utente all’interno dei driver PV di Windows, e colpiscono in particolare tre componenti principali: XenCons, XenIface e XenBus. I difetti, sono identificati con gli identificativi CVE-2025-27462, CVE-2025-27463 e CVE-2025-27464, ed interessano tutte le versioni di XenServer VM Tools per Windows precedenti alla 9.4.1.

Queste falle di sicurezza rappresentano un rischio significativo per gli ambienti aziendali che eseguono macchine virtuali Windows su piattaforme XenServer e Citrix Hypervisor. La vulnerabilità del driver XenCons (CVE-2025-27462) è stata introdotta per la prima volta nella versione 9.0.0 ed è rimasta vulnerabile sin dal suo rilascio iniziale. Invece i driver XenIface (CVE-2025-27463) e XenBus (CVE-2025-27464) sono vulnerabili in tutte le versioni, il che rende questo un problema diffuso che interessa numerose distribuzioni aziendali.

Nello specifico, sono vulnerabili le versioni di XCP-ng PV Bus, XCP-ng Interface e XCP-ng PV Console precedenti alla 9.0.9065, mentre sono a rischio anche le versioni di XenServer/Citrix PV Bus precedenti alla 9.1.11.115 e le versioni di PV Interface precedenti alla 9.1.12.94.

Le vulnerabilità consentono agli utenti senza privilegi all’interno dei sistemi operativi guest Windows di elevare i privilegi a quelli del kernel guest. Ciò rappresenta una violazione critica della sicurezza, poiché gli aggressori con accesso limitato possono ottenere il controllo completo sulla macchina virtuale interessata.

Citrix e XenServer hanno rilasciato XenServer VM Tools per Windows versione 9.4.1 per risolvere queste vulnerabilità. Gli strumenti aggiornati contengono versioni specifiche dei componenti, tra cui xenbus 9.1.11.115, xeniface 9.1.12.94 e altri driver con patch.

Anche lo CSIRT dell’Agenzia per la Cybersicurezza nazionale ha emesso un avviso specifico su queste vulnerabilità.

L'articolo I bug su XenServer VM Tools permettono di eseguire codice arbitrario proviene da il blog della sicurezza informatica.

Gli sviluppatori di Tor hanno annunciato un nuovo strumento da riga di comando, Oniux, progettato per instradare in modo sicuro qualsiasi applicazione Linux attraverso la rete Tor per rendere anonime le connessioni di rete. A differenza dei metodi classici, Oniux utilizza gli spazi dei nomi Linux per creare un ambiente di rete completamente isolato per ogni applicazione, impedendo la fuga di dati anche se l’applicazione è dannosa o non configurata correttamente.

Gli spazi dei nomi di Linux sono una funzionalità del kernel che consente l’esecuzione dei processi in ambienti isolati, ognuno con la propria visualizzazione di risorse di sistema specifiche, come reti e processi. Oniux utilizza gli spazi dei nomi per isolare le applicazioni a livello del kernel, forzando tutto il loro traffico attraverso Tor.

“Siamo lieti di presentare Oniux: una piccola utility da riga di comando che fornisce isolamento di rete tramite Tor per applicazioni di terze parti che utilizzano namespace Linux”, hanno affermato gli sviluppatori in una nota. Oniux colloca qualsiasi programma Linux nel proprio namespace di rete per instradarlo tramite Tor ed eliminare la possibilità di perdite di dati.

Questo effetto si ottiene posizionando ogni applicazione nel proprio namespace di rete, senza accesso alle interfacce host, ma utilizzando invece un’interfaccia virtuale (onion0) che esegue il routing attraverso Tor utilizzando onionmasq. Inoltre, lo strumento utilizza namespace di montaggio per iniettare il proprio /etc/resolv.conf per un utilizzo sicuro del DNS Tor, nonché namespace utente/PID per impostare in modo sicuro un ambiente con privilegi minimi. Ciò consente a Tor di essere protetto da perdite e di essere isolato nel kernel per qualsiasi applicazione Linux.

Gli sviluppatori spiegano che, a differenza di Oniux, Torsocks funziona utilizzando LD_PRELOAD e intercettando le chiamate alle funzioni di rete nelle applicazioni Linux collegate dinamicamente e reindirizzandole tramite un proxy Tor SOCKS. Il problema con questo approccio è che le chiamate di sistema non elaborate non vengono intercettate da Torsocks e il malware potrebbe non utilizzare le funzioni libc, il che può causare perdite.

Nonostante gli evidenti vantaggi di Oniux, va sottolineato che si tratta di un progetto sperimentale che non è ancora stato sottoposto a test approfonditi in condizioni e scenari diversi. Per questo motivo, lo strumento potrebbe non funzionare correttamente e non è consigliato per l’uso in operazioni mission-critical.

Il progetto Tor ha già pubblicato il codice sorgente di Oniux e consiglia a chiunque voglia provarlo di assicurarsi prima che Rust sia installato nella propria distribuzione.

L'articolo Oniux: Il Nuovo Strumento Tor che Isola le App Linux e Blocca la Fuga di Dati proviene da il blog della sicurezza informatica.

Today we’re going to make a little digression from things that we do to look at perhaps why we do the things that we do. This one is philosophical folks, so strap yourselves in. We’ve had an interesting item arrive on the tips line from [Bunchabits] who wanted to let us know about a video, Love Letter to Embedded Systems, from [V. Hunter Adams].

[V. Hunter Adams] is Lecturer of Electrical Engineering at Cornell University and is on the web over here: vanhunteradams.com

In this forty three minute video [Hunter] makes an attempt to explain why he loves engineering, generally, and why he loves embedded systems engineering, specifically. He tries to answer why you should love engineering projects, what makes such projects special, and how you can get started on projects of your own. He discusses his particular interest in other unrelated subjects such as birds and birdsong, and talks a little about the genius of polymath Leonardo da Vinci.

He goes on to explain that engineering can be the vehicle to learn about other fields of endeavor, that the constraints in embedded systems are like the constraints of poetry, that embedded systems are the right level of complexity where you can still hold the details of a complete system in your head, and that embedded systems let you integrate with the physical world through sensors and actuators leading to a greater appreciation of physics and nature.

In his submission to the tips line [Bunchabits] said that [Hunter] was a communicator in the league of Carl Sagan and that he could do for embedded systems what Sagan did for physics and astronomy. Having watched this presentation we are inclined to agree. He is a thoughtful person and a cogent communicator.

If today’s philosophical digression has left you feeling… philosophical, then you might enjoy a little nostalgia, too. Here’s some old philosophical material that we covered here on Hackaday back in 2013 which held some interest: Hacking And Philosophy: An Introduction; The Mentor’s Manifesto; Hacker Crackdown: Part 1, Part II, Part III, Part IV; Future Tech And Upgrading Your Brain; and Surveillance State. All still as relevant today as it was over a decade ago.

Thanks to [Bunchabits] for sending this one in.

youtube.com/embed/-TFsfcIx04Q?…

hackaday.com/2025/05/28/a-love…

Some people really want a minimalist setup for their computing. In spite of his potentially worrisome housing situation, this was a priority for the man behind [Basically Homeless]: clean lines on the desk. Where does the PC go? You could get an all-in-one, sure, but those use laptop hardware and he wanted the good stuff. So he decided to hide the PC in the one place no one would ever think to look: inside his chair. (Youtube video, embedded below.)

This chair has very respectable specs: a Ryzen 7 9800XD, 64GB of ram and a RTX 4060 GPU, but you’d never know it. The secret is using 50 mm aluminum standoffs between the wooden base of the seat and the chair hardware to create room for low-profile everything. (The GPU is obviously lying sideways and connected with a PCIe riser cable, but even still, it needed a low-profile GPU.) This assemblage is further hidden 3D printed case that makes the fancy chair donated from [Basically Homeless]’s sponsor look basically stock, except for the cables coming out of it. It’s a very niche project, but if you happen to have the right chair, he does provide STLs on the free tier of his Patreon.

This is the first time we’ve seen a chair PC, but desk PCs are something we’ve covered more than once, so there’s obviously a demand to hide the electronics. It remains to be seen if hiding a PC in a chair will catch on, but if nothing else [Basically Homeless] will have a nice heated seat for winter. To bring this project to the next level of minimalism, we might suggest chording keyboards in the armrests, and perhaps a VR headset instead of a monitor.

youtube.com/embed/Acivh3w3QA8?…

hackaday.com/2025/05/28/invisi…

A letter by Sen. Ron Wyden about surveillance of senators’ phone lines has an important lesson for journalists, too: Be careful in selecting your phone carrier.

On May 21, Wyden wrote his Senate colleagues revealing which wireless carriers inform customers about government surveillance requests (Cape, Google Fi, and US Mobile), and which don’t (AT&T, Boost Mobile, Charter/Spectrum, Comcast/Xfinity Mobile, T-Mobile, and Verizon).

A handy chart at the bottom of the senator’s press release provides a quick summary.

Wyden’s letter was inspired in part by a Department of Justice inspector general report that revealed that the DOJ had collected phone records of Senate staff as part of leak investigations under the first Trump administration.

But that report wasn’t just about surveillance of the Senate. It also discussed how the DOJ surveilled journalists at The New York Times, The Washington Post, and CNN in 2020-21 as part of leak investigations related to news reporting about the Trump campaign’s connections with Russia and Russia’s interference in the 2016 election.

Investigators demanded telephone records from phone companies for the work and personal phones of journalists at all three outlets. In all three cases, the telephone companies turned over the records, which would have shown the numbers dialed, the date and time of calls, and their duration — information that could reveal the identities of confidential sources.

The telephone companies apparently didn’t notify the Times, Post, or CNN that their records had been sought, even though they legally could have done so. The DOJ also didn’t give the news outlets notice, taking advantage of internal guidelines that allowed them to delay notice to news media companies about legal demands for communications records from third parties in certain circumstances. (The rules for delayed notice from the DOJ remain in effect in the recently revised DOJ news media guidelines.)

According to the inspector general report, DOJ cover letters to the telephone companies asked them not to disclose the demands because the DOJ claimed it might impede the investigation. But the DOJ never sought a court order prohibiting disclosure. One prosecutor told the IG that nondisclosure orders weren’t obtained for the telephone companies “because the providers typically do not notify subscribers when their records are sought.”

That’s a problem, and it’s exactly what Wyden called out in his recent letter. Journalists can’t oppose surveillance that they don’t know about. Notification is what enables journalists (or any other customer) to fight back against overbroad, unwarranted, or illegal demands for their data. That’s exactly what the Times did when Google notified the newspaper of demands for its journalists’ email records in connection with the same leak investigation in which investigators sought phone records from Times journalists.

The Times’ contract with Google required the company to notify the news outlet of government demands. But even contractual agreements might not be enough to compel phone companies to inform their customers when they’re being spied on. Wyden’s letter reveals that “three major phone carriers — AT&T, Verizon, and T-Mobile — failed to establish systems to notify (Senate) offices about surveillance requests, as required by their Senate contracts.”

In addition, even if large news outlets could negotiate contracts with their phone carriers that require notification of surveillance requests when legally allowed, that wouldn’t help their journalists who speak to sources using personal phones that aren’t covered by their employers’ contracts. Freelance journalists are also unlikely to have the power to negotiate notification into their phone contracts.

Rather than one-off contractual agreements then, it would be better for all phone companies to follow the lead of tech companies, like Google, that have a blanket policy of notifying customers of government demands for their data, assuming they’re not gagged. These policies are now widespread in the tech world, thanks to activism by groups like the Electronic Frontier Foundation, which has long monitored tech companies’ notification policies and encouraged them to do better.

Phone companies must do better, too. It’s a shame that some of the largest wireless carriers can’t be bothered to tell their customers when they’re being surveilled. Journalists — and all of us — who care about privacy have a choice to make when selecting their wireless provider: Do they want to know when they’re being spied on, or are they OK with being left in the dark?

freedom.press/issues/phone-com…