Le principali agenzie statunitensi per la sicurezza informatica, CISA e NSA, hanno pubblicato un documento congiunto che raccomanda agli sviluppatori di software di optare per linguaggi di programmazione considerati “sicuri per la memoria”. Questi linguaggi sono progettati per fornire una protezione contro i crash critici causati da errori nella gestione della memoria, che rappresentano una delle tipologie di vulnerabilità più pericolose e frequenti.

Il documento sottolinea che gli errori di accesso non autorizzato alla memoria continuano a rappresentare una delle principali minacce sia per gli utenti standard che per i sistemi informativi critici. Tuttavia, linguaggi come Rust, Go, C#, Java, Swift, Python e JavaScript mitigano questo rischio grazie a controlli statici sull’allocazione della memoria già durante la fase di compilazione, riducendo in modo significativo la probabilità di vulnerabilità.

I sistemi più comunemente utilizzati, come C e C++, non includono di default funzionalità di protezione di questo tipo. In teoria, gli sviluppatori possono minimizzare i rischi utilizzando l’analisi statica del codice e seguendo rigorosamente gli standard di programmazione sicura. Tuttavia, nella pratica quotidiana, non tutti gli sviluppatori prestano sufficiente attenzione a questo aspetto.

Sebbene il programma principale possa essere conforme agli standard odierni, l’integrazione di librerie C o C++ tramite l’Foreign Function Interface (FFI) può rappresentare un rischio per la sicurezza. Questo tipo di vulnerabilità è particolarmente allarmante in quanto potrebbe interessare progetti che inizialmente appaiono del tutto sicuri.

L’entità del problema è confermata dalle più grandi aziende IT. Secondo Google, nel 2018 il 90% di tutte le falle di sicurezza critiche in Android era correlato a un utilizzo non corretto della memoria. Nel browser Chromium, secondo i dati del 2021, è stato registrato oltre il 70% di tali vulnerabilità. È stata questa categoria a includere il famigerato errore Heartbleed nella libreria crittografica OpenSSL, che ha consentito agli aggressori di accedere ai dati al di fuori dell’area assegnata.

Anche la relativamente recente interruzione di Google Cloud, verificatasi a giugno di quest’anno, si è rivelata correlata a un problema classico: la mancanza di controllo dei puntatori nulli. Questa falla, nella pratica, causa crash o crea punti di ingresso per attacchi in sistemi in cui i controlli di storage non sono sufficientemente rigorosi.

Quindi ora i giganti stanno giustamente supportando sempre di più l’implementazione di linguaggi sicuri. Già nel 2022, Microsoft ha raccomandato ufficialmente lo sviluppo di nuove applicazioni su Rust o tecnologie simili . Nel 2023, anche le agenzie governative hanno aderito a queste iniziative. La direttrice del CISA, Jen Easterly, ha pubblicamente dichiarato la necessità che il settore passi a soluzioni più sicure.

Il processo di adattamento, tuttavia, non è facile. Nell’ultimo anno, la comunità del kernel Linux è stata in fermento per i dibattiti sull’integrazione dei driver Rust. I sostenitori di C e C++ hanno anche proposto alternative: sono emersi TrapC, FilC, Mini-C e Safe C, tutti volti a migliorare la sicurezza del codice senza abbandonare le tecnologie familiari. Allo stesso tempo, Google sta migliorando la protezione della memoria in C senza sacrificare le prestazioni.

Un recente rapporto pubblicato congiuntamente da CISA e NSA sottolinea che l’adozione completa di linguaggi di programmazione sicuri è un processo che richiede considerevoli investimenti, risorse umane e tempo. Le organizzazioni che hanno un’ampia base di codice legacy o che operano all’interno di infrastrutture critiche possono trovare questa transizione particolarmente impegnativa. Nonostante le difficoltà, i benefici associati all’adozione di tali linguaggi, tra cui la riduzione delle vulnerabilità potenziali e il miglioramento dell’affidabilità complessiva del software, rendono questo cambiamento non solo auspicabile, ma anche inevitabile.

Anche il governo statunitense sta promuovendo iniziative proprie per accelerare il processo. Il programma DARPA TRACTOR (Translating All C to Rust) è progettato per creare strumenti automatizzati per convertire progetti C esistenti in Rust, riducendo al minimo il lavoro manuale. I ricercatori di Princeton, UC Berkeley e UC San Diego stanno sviluppando il progetto Omniglot, che garantirà l’interazione sicura del codice Rust con librerie di terze parti tramite FFI.

Il governo, come sottolineato da CISA e NSA, non si affida esclusivamente ai propri programmi, ma anche alla collaborazione con aziende private. Una delle strategie previste include incentivare la creazione di posizioni lavorative che richiedano competenze nell’utilizzo di linguaggi di programmazione sicuri, con l’obiettivo di incrementare il numero di specialisti altamente qualificati e velocizzare l’adozione di nuovi standard.

L'articolo Sicurezza Informatica: CISA e NSA Raccomandano Linguaggi di Programmazione Sicuri proviene da il blog della sicurezza informatica.

If you’re unfamiliar with Beyblades, they’re a simple toy. They consist of spinning tops, which are designed to “fight” in arenas by knocking each other around. While the off-the-shelf models are deemed safe enough for children to play with, [Jon Bringus] decided to take the danger level up a few notches with some custom launchers of his own design.

[Jon]’s project started with some of the early metal Beyblades, which are traditionally launched with a small geared ripcord device. He soon realized he could up the action by doing one simple thing—spinning the tops far faster than the manufacturer ever intended. More rotational speed equals more kinetic energy equals more legal liability fun, or so the equation goes.

The design for [Jon’s] “WMD Launcher” is straightforward enough—he combined a lawnmower pull starter with a 12:1 geartrain to turn the Beyblades at truly ludicrous speeds. It’s basic engineering — a couple of 3D-printed gears do the job — but the results are hilarious. The tops begin to emit loud noises as they turn in combat, and some move so fast and erratically that they won’t even stay inside the arena. Protective eyewear is virtually mandatory. Files are on Printables for those eager to build one at home.

Yes, ruining a game of Beyblades is as simple as building an irresponsibly fast launcher. You needn’t even use some fancy brushless motor to hurt yourself — just a little gearing is enough to cause havoc. We’ve featured similar work on this topic before, too. Video after the break.

youtube.com/embed/j2onc721XBs?…

hackaday.com/2025/06/28/beybla…

Un titolo che mi ha toccato nel profondo.
I personaggi sono ben costruiti, mai banali, e la storia scorre con naturalezza.
Mostra che, anche tra le difficoltà, è possibile raggiungere ciò che si desidera.

🌔 Da leggere almeno una volta nella vita.

This week, we announced the winners for the previous Pet Hacks contest and rang in our new contest: The One Hertz Challenge. So that’s got me in a contesty mood, and I thought I’d share a little bit of soap-box philosophizing and inside baseball all at once.

The trick to creating a good contest theme, at least for the creative Hackaday crowd, is putting on the right limitation. Maybe you have to fit the circuit within a square-inch, power it only with a coin cell, or use the antiquated and nearly useless 555 timer IC. (Yes, that was a joke!)

There are two basic reactions when you try to constrain a hacker. Some instantly try to break out of the constraint, and their minds starts to fly in all of the directions that lead out of the box, and oftentimes, something cool comes out of it. The other type accepts the constraint and dives in deep to work within it, meditating deeply on all the possibilities that lie within the 555.

Of course, we try to accommodate both modes, and the jury is still out as to which ends up better in the end. For the Coin Cell challenge, for instance, we had a coin-cell-powered spot welder and car jumpstarter, but we also had some cool circuits that would run nearly forever on a single battery; working against and with the constraints.

Which type of hacker are you? (And while we’re still in the mood, what contest themes would you like to see for 2026?)

This article is part of the Hackaday.com newsletter, delivered every seven days for each of the last 200+ weeks. It also includes our favorite articles from the last seven days that you can see on the web version of the newsletter. Want this type of article to hit your inbox every Friday morning? You should sign up!

hackaday.com/2025/06/28/limita…

La Corte Suprema degli Stati Uniti ha confermato una legge del Texas che impone agli utenti di verificare la propria età prima di visualizzare materiale sessualmente esplicito. Chiunque desideri accedere a tali contenuti dovrà ora presentare un passaporto digitale, un documento d’identità rilasciato dal governo o fornire i dati delle transazioni che possano essere utilizzati per determinare la propria età.

L’iniziativa risale al 2023, quando i legislatori del Texas approvarono il cosiddetto disegno di legge 1181. La sua essenza è semplice: tutti i siti in cui almeno un terzo dei contenuti rientra nella definizione di materiale sessuale dannoso per i minori sono tenuti a verificare l’età dei visitatori provenienti dal Texas. Inoltre, la verifica non dovrebbe essere simbolica: solo un documento ufficiale o dati su transazioni finanziarie potranno consentire l’accesso a tali pagine.

Le prime battaglie legali contro la legge iniziarono subito dopo la sua approvazione. Un’associazione di aziende del settore per adulti, nota come Free Speech Coalition, intentò una causa, sostenendo che tali verifiche dell’età violassero i diritti degli adulti che desiderano accedere liberamente a tali contenuti. Inizialmente, il tribunale distrettuale si schierò con i querelanti e bloccò temporaneamente la legge. Tuttavia, la Corte d’Appello del Quinto Circuito annullò successivamente tale decisione, aprendo la strada a un caso presso la Corte Suprema.

La sentenza definitiva della Corte Suprema è stata chiara. Secondo il giudice Clarence Thomas, autore dell’opinione a maggioranza di 6 a 3, gli Stati hanno il diritto legale di limitare l’accesso dei minori a tale materiale. Thomas ha osservato che il Primo Emendamento non impedisce agli Stati di adottare meccanismi che potrebbero essere considerati dannosi per loro. In base a tale logica, il requisito di verifica dell’età è stato considerato ragionevole e legale.

Tuttavia, gli oppositori della legge ritengono che tali misure colpiscano direttamente non solo gli adolescenti, ma anche gli utenti adulti, limitandone la libertà su Internet e creando un effetto di pressione. Allison Boden, direttrice esecutiva della Free Speech Coalition, ha ricordato che la storia della limitazione dell’accesso alla pornografia è sempre stata un indicatore di quanto lo Stato sia pronto a interferire nelle questioni relative alla libertà di parola. A suo avviso, l’obbligo di fornire documenti o dati sulle transazioni per accedere ai siti non solo mina la privacy degli utenti, ma non ha praticamente alcun effetto sulla tutela dei minori. Allo stesso tempo, gli adulti incontrano reali ostacoli nel ricevere liberamente contenuti protetti dal Primo Emendamento.

La posizione della Free Speech Coalition è sostenuta anche dall’American Civil Liberties Union (ACLU). Secondo Cecilia Wang, direttrice legale dell’ACLU, la decisione della Corte Suprema cancella di fatto decenni di giurisprudenza che hanno garantito che anche le leggi più radicali, apparentemente volte a proteggere i minori, non dovessero violare i diritti dei cittadini adulti. Wang è certa che una legge come la legge 1181 del Texas protegga apparentemente i minori, ma in realtà faccia ben poco per impedire loro di accedere a materiali proibiti, mentre impone gravi restrizioni agli adulti, compresi coloro che desiderano semplicemente visualizzare contenuti perfettamente legali.

La situazione è ancora più allarmante perché non si limita al Texas. Alla fine di maggio, leggi simili erano già state emanate in altri 23 stati americani. Ciò significa la modalità che per accedere a determinati siti web sta iniziando a diffondersi in tutto il paese.

L'articolo La Corte Suprema degli Stati Uniti conferma la legge del Texas sulla verifica dell’età per i contenuti espliciti proviene da il blog della sicurezza informatica.

Although we might all fundamentally recognize that gaming consoles are just specialized computers, we generally treat them, culturally and physically, differently than we do desktops or laptops. But there was a time in the not-too-distant past where the line between home computer and video game console was a lot more blurred than it is today. Even before Microsoft entered the scene, companies like Atari and Commodore were building both types of computer, often with overlapping hardware and capabilities. But they weren’t the only games in town. This video takes a look at the Bally Home Computer System, which was a predecessor of many of the more recognized computers and gaming systems of the 80s.

At the time, Bally as a company was much more widely known in the pinball industry, but they seemed to have a bit of foresight that the computers used in arcades would eventually transition to the home in some way. The premise of this console was to essentially start out as a video game system that could expand into a much more full-featured computer with add-ons. In addition to game cartridges it came with a BASIC interpreter cartridge which could be used for programming. It was also based on the Z80 microprocessor which was used in other popular PCs of the time, so in theory it could have been a commercial success but it was never able to find itself at the top of the PC pack.

Although it maintains a bit of a cult following, it’s a limited system even by the standards of the day, as the video’s creator [Vintage Geek] demonstrates. The controllers are fairly cumbersome, and programming in BASIC is extremely tedious without a full keyboard available. But it did make clever use of the technology at the time even if it was never a commercial success. Its graphics capabilities were ahead of other competing systems and would inspire subsequent designs in later systems. It’s also not the last time that a video game system that was a commercial failure would develop a following lasting far longer than anyone would have predicted.

youtube.com/embed/Lb5NmIy1W_w?…

hackaday.com/2025/06/28/behind…

Il malfunzionamento di CrowdStrike, che ha causato problemi a ospedali, banche e aerei, ha lasciato molti amministratori di sistema con i nervi tesi. Questo evento, secondo gli esperti, era del tutto evitabile e ha portato a miliardi di perdite in tutto il mondo.

Microsoft ha organizzato una tavola rotonda sulla sicurezza con la partecipazione di CrowdStrike e altri attori del mercato dei software di sicurezza. Il risultato è una nuova iniziativa per distribuire in modo sicuro aggiornamenti e importanti modifiche architetturali a Windows.

La novità principale è l’implementazione delle funzionalità della cosiddetta Windows Resiliency Initiative. I test a porte chiuse della nuova piattaforma di sicurezza per Windows inizieranno a luglio e includeranno i partecipanti al programma Microsoft Virus Initiative 3.0.

La modifica più importante è che i driver di sicurezza di terze parti, come gli antivirus, non verranno più eseguiti nel kernel di sistema, ma verranno spostati nello spazio utente, dove vengono eseguite le applicazioni normali. Ciò ridurrà notevolmente il rischio di crash di sistema.

Tra i partner che hanno supportato le innovazioni figurano Bitdefender, ESET, SentinelOne, Trellix, Trend Micro, WithSecure e CrowdStrike. Tuttavia, non tutti sono pronti a saltare sul nuovo treno, come ad esempio ESET, che si è espresso con cautela.

Microsoft ha anche annunciato una serie di funzionalità che saranno presenti in Windows 11 24H2, comeQuick Machine Recovery (QMR), un sistema di ripristino automatico che impedisce al dispositivo di entrare in un loop infinito di riavvii.

La ‘schermata blu della morte’ (BSOD) aggiornata ora è semplicemente una ‘schermata di riavvio imprevista’, con testo bianco su sfondo nero. Inoltre, i dispositivi Windows 11 Enterprise potranno installare le patch senza riavviarsi più spesso di una volta ogni tre mesi.

L'articolo Microsoft e CrowdStrike insieme per migliorare la sicurezza di Windows proviene da il blog della sicurezza informatica.

I ricercatori di sicurezza informatica hanno scoperto una sofisticata campagna malware che sfrutta la popolarità degli strumenti di intelligenza artificiale per prendere di mira gli utenti di lingua cinese.

Questa campagna rappresenta un’evoluzione preoccupante nelle tattiche di ingegneria sociale, in cui gli autori delle minacce sfruttano le tendenze tecnologiche emergenti per aumentare i tassi di successo dei loro attacchi.

Le vittime vengono indotte a scaricare programmi di installazione apparentemente legittimi per le applicazioni cinesi più diffuse, come WPS Office, Sogou e DeepSeek.

L’attacco sfrutta falsi programmi di installazione mascherati da download di software legittimi, tra cui il famoso chatbot con intelligenza artificiale DeepSeek, per distribuire minacce persistenti avanzate sui sistemi delle vittime.

Questi programmi di installazione contraffatti, distribuiti principalmente come file MSI, contengono payload sofisticati progettati per compromettere il sistema a lungo termine, mantenendo la massima discrezione attraverso tecniche di elusione avanzate.

Gli analisti di Netskope hanno identificato questa campagna durante le normali attività di ricerca delle minacce, scoprendo che i falsi programmi di installazione forniscono due componenti dannosi principali: Sainbox RAT, una variante della famigerata famiglia Gh0stRAT, e una versione modificata del rootkit open source Hidden.

La catena di infezione si avvia quando il programma di installazione MSI dannoso esegue una doppia operazione ingannevole: installa contemporaneamente il software legittimo per evitare sospetti nell’utente e distribuisce il suo payload dannoso tramite una complessa tecnica di caricamento laterale delle DLL.

L’utilizzo di varianti di RAT commerciali, come Gh0stRAT, e di rootkit del kernel open source, come Hidden, offre agli aggressori controllo e furtività senza richiedere un notevole sviluppo personalizzato. Netskope Threat Labs continuerà a monitorare l’evoluzione del RAT Sainbox e delle TTP del gruppo Silver Fox.

L'articolo Allarme malware: campagna di phishing con intelligenza artificiale prende di mira gli utenti cinesi proviene da il blog della sicurezza informatica.

Beste allemaal, Ik ben Kirsten Zimmerman, sinds 2022 met veel plezier stadsdeelcommissielid in Amsterdam-Noord voor De Groenen Basis Piraten. Mijn speerpunten zijn behoud van het groen, directe democratie, (online) privacy en sociale verbinding. Ik help de Noorderlingen graag en probeer bewoners in hun kracht te zetten om zelf met oplossingen voor maatschappelijke problemen aan de […]

Het bericht Kirsten stelt zich voor verscheen eerst op Piratenpartij.

For whatever reason, certain pieces of technology can have a difficult time interacting with the physical world. Anyone who has ever used a printer or copier can attest to this, as can anyone whose robot vacuum failed to detect certain types of non-vacuumable waste in their path, making a simple problem much worse. Farm equipment often falls into this category as well, where often complex machinery needs an inordinate amount of maintenance and repair just to operate normally. Wood chippers specifically seem to always get jammed or not work at all, so [Homemade Inventions] took a shot at building one on their own.

To build this screw-based wood chipper, the first thing to fabricate is the screw mechanism itself. A number of circles of thick steel were cut out and then shaped into pieces resembling large lock washers. These were then installed on a shaft and welded end-to-end, creating the helical screw mechanism. With the “threads” of the screw sharpened it is placed into a cylinder with a port cut out to feed the wood into. Powering the screw is a 3 kW electric motor paired with a custom 7:1 gearbox, spinning the screw at around 200 rpm. With that, [Homemade Inventions] has been able to easily chip branches up to 5 centimeters thick, and theorizes that it could chip branches even thicker than that.

Of course, wood chippers are among the more dangerous tools that are easily available to anyone with enough money to buy one or enough skill to build one, along with chainsaws, angle grinders, and table saws, so make sure to take appropriate safety precautions when using or building any of these things. Of course, knowing the dangers of these tools have led to people attempting to make safer versions like this self-propelled chainsaw mill or the semi-controversial table saw safety standard.

Thanks to [Keith] for the tip!

youtube.com/embed/8TzriE8APjs?…

hackaday.com/2025/06/28/a-wood…

Dopo il Garante italiano, ora il garante tedesco per la protezione dei dati ha chiesto ad Apple e a Google, sussidiaria di Alphabet, di rimuovere l’app DeepSeek della startup cinese di intelligenza artificiale (IA) dai loro negozi online a causa di preoccupazioni relative ai dati personali. In una dichiarazione rilasciata venerdì, Meike Kamp ha affermato di aver fatto questa richiesta perché, a suo dire, DeepSeek stava trasferendo illegalmente dati personali di utenti tedeschi in Cina.

Ora i due colossi tecnologici statunitensi dovranno valutare rapidamente questa richiesta prima di decidere se bloccare o meno l’app in Germania, ha aggiunto. DeepSeek non ha risposto alla richiesta di commento, mentre Apple e Google non erano immediatamente disponibili per un commento. Nelle sue condizioni d’uso, DeepSeek dichiara di archiviare molti dati personali, come le richieste inviate al suo programma di intelligenza artificiale o i file scaricati, su computer situati in Cina.

“DeepSeek non è stata in grado di fornire alla mia agenzia prove convincenti del fatto che i dati degli utenti tedeschi siano protetti in Cina a un livello equivalente a quello dell’Unione Europea”, sostiene Meike Kamp. “Le autorità cinesi hanno ampi diritti di accesso ai dati personali nell’ambito della sfera di influenza delle aziende cinesi”, continua.

Meike Kamp ha dichiarato di aver preso la decisione dopo aver chiesto a DeepSeek a maggio di conformarsi alle norme sui trasferimenti di dati al di fuori dell’Unione Europea (UE) o di rimuovere la sua app dagli store di Apple e Google. Ha affermato che DeepSeek non ha mai risposto alla sua richiesta. La startup cinese ha scosso il mondo della tecnologia a gennaio affermando di aver sviluppato un modello di intelligenza artificiale in grado di rivaleggiare con quelli di aziende americane come OpenAI, creatrice di ChatGPT, a un costo molto più basso.

L’Italia ha bandito DeepSeek dagli app store all’inizio di quest’anno, adducendo come motivazione la mancanza di informazioni circa l’utilizzo dei dati personali, mentre i Paesi Bassi hanno vietato l’app sui dispositivi governativi. Negli Stati Uniti è in preparazione un disegno di legge che impedirebbe alle agenzie americane di utilizzare modelli di intelligenza artificiale sviluppati in Cina.

Reuters, citando un alto funzionario statunitense, ha riferito questa settimana che DeepSeek ha assistito Pechino in operazioni militari e di intelligence.

L'articolo Apple e Google sotto pressione: garante tedesco vuole rimuovere DeepSeek proviene da il blog della sicurezza informatica.