Electromagnetic Field manage to get live music at a hacker camp right, by turning it into the most cyberpunk future possible.
A couple of decades ago now, several things happened which gave life to our world and made it what it has become. Hackerspaces proliferated, giving what was previously dispersed a physical focus. Alongside that a range of hardware gave new expression to our projects; among them the Arduino, affordable 3D printing, and mail-order printed circuit boards.

The result was a flowering of creativity and of a community we’d never had before.Visiting another city could come with a while spent in their hackerspace, and from that new-found community blossomed a fresh wave of events. The older hacker camps expanded and morphed in character to become more exciting showcases for our expression, and new events sprang up alongside them. The 2010s provided me and my friends with some of the most formative experiences of our lives, and we’re guessing that among those of you reading this piece will be plenty who also found their people.

And then came COVID. Something that sticks in my mind when thinking about the COVID pandemic is a British news pundit from March 2020 saying that nothing would be quite the same as before once the pandemic was over. In our community this came home to me after 2022, when the first large European hacker camps made a return. They were awesome in their own way, but somehow sterile, it was as though something was missing. Since then we’ve had a few more summers spent trailing across the continent to hang out and drink Club-Mate in the sun, and while we commend the respective orgas for creating some great experiences, finding that spark can still be elusive. Hanging out with some of my friends round a European hackerspace barbecue before we headed home recently, we tried to put our finger on exactly where the problem lay.

Just what has gone wrong with hacker camps?

Perhaps the most stinging criticism we arrived at was that our larger events seem inexorably to be morphing into festivals. It’s partly found on the field itself and we find events hosting music stages, but also in the attendees. Where a decade or more ago people were coming with their cool hacks to be the event, now an increasing number of people are coming as spectators just to see the event. This no doubt reflects changing fashions in a world where festival attendance is no longer solely for a hard core of music fans, but its effect has been to slowly turn fields of vibrant villages where the real fun happened, into fields of tents with a few bright spots among them, and the attendees gravitating toward a central core where increasingly, the spectacle is put on for them.
I caught quite a lot of grief from a performative activist for taking this intentionally unfocused picture at a hacker camp in 2022. Canon EOS M100 on a tripod pointing upwards at hanging lights in a darkened field. WTF.
The other chief gripe was around the eternal tussle in our community between technology and activism. Hackers have always been activists, if you doubt that take a read of Hackaday’s coverage of privacy issues, but the fact remains that we are accidental activists; activism is not the reason we do what we do. The feeling was that some events in our community have become far more about performative imposition of a particular interpretation of our culture or conforming to political expectations than they have about the hacks, and that the fun has been sucked out of them as a result.

People who know me outside my work for Hackaday will tell you that I have a significant career as an activist in a particular field, but when I’m at a hacker camp I am not there to be lectured at length about her ideology by an earnest young activist with blue hair and a lot of body piercings. I am especially not there to be policed as some kind of enemy simply because I indicate that I’m bored with what she has to say; I know from my own activism that going on about it too much is not going to make you any friends.

It’s evident that one of the problems with the larger hacker camps is not only that they have simply become too big, but that there are also some cultural traps which events can too readily fall into. Our conversation turned to those events we think get it right, and how we would approach an event of our own. One of my favourite events is a smaller one with under 500 attendees, whose organisers have a good handle on what makes a good event because they’re in large part making the event they want to be at. Thus it has a strong village culture, a lack of any of the trappings of a festival, and significant discouragement when it comes to people attending simply to be political activists.

That’s what I want to see more of, but even there is danger. I want it to remain awesome but not become a victim of its own success as so many events do. If it grows too much it will become a sterile clique of the same people grabbing all the tickets every time it’s held, and everyone else missing out. Thus there’s one final piece of the puzzle in ensuring that any hacker event doesn’t become a closed shop, that our camps should split and replicate rather than simply becoming ever larger.

The four-rule model

Condensing the above, my friends and I came up with a four-rule model for the hacker camps we want.

Limited numbers, self replicating, village led, bring a hack.

Let’s look at those in more detail.

Limited numbers

There’s something special about a camp where you can get to know everyone on the field at some level, and it’s visibly lost as an event gets larger. We had differing views about the ideal size of a small camp with some people suggesting up to 500 people, but I have good reasons for putting forward a hundred people as an ideal, with a hard limit at 150. The smaller a camp is the less work there is for its orga, and by my observation, putting on a camp for 500 people is still quite a lot of effort. 150 people may sound small, but small camps work. There’s also the advantage that staying small ducks under some red tape requirements.

Self replicating

As an event becomes more popular and fills up, that clique effect becomes a problem. So these events should be self replicating. When that attendee limit is reached, it’s time to repeat the formula and set up another event somewhere else. Far enough away to not be in direct competition, but near enough to be accessible. The figure we picked out of the air for Europe was 200 km, or around 120 miles, because a couple of hours drive is not insurmountable but hardly on your doorstep. This would eventually create a diverse archipelago of small related events, with some attendees going to more than one. Success should be measured in how many child events are spawned, not in how many people attend.

Village-led

The strength of a hacker camp lies in its villages, yet larger camps increasingly provide all the fun centrally and starve the villages. The formula for a small camp should have the orga providing the field, hygiene facilities, power, internet, and nothing else, with the villages making the camp. Need a talk track? Organise one in your village. Want a bar to hang out and drink Club-Mate at? Be the bar village. It’s your camp, make it.

Bring a hack

Sadly Wasteleand is for now beyond me. Toglenn, CC BY-SA 4.0.
An event I wish I was in a position to attend is the Wasteland weekend, a post-apocalyptic festival in the Californian desert. Famously you will be denied entry to Wasteland if you aren’t post-apocalyptic enough, or if you deem post-apocalyptic to be merely cosplaying a character from a film franchise. The organisers restrict entry to the people who match their vision of the event, so of course all would-be attendees make an effort to follow their rules.

It’s an idea that works here: if you want to be part of a hacker camp, bring a hack. A project, something you make or do; anything (and I mean anything) that will enhance the event and make it awesome. What that is is up to you, but bringing it ensures you are not merely a spectator.

See You On A Field Not Too Far Away

With those four ingredients, my friends and I think being part of the hacker and maker community can become fun again. Get all your friends and their friends, hire a complete camping site for a weekend outside school holidays, turn up, and enjoy yourselves. A bunch of Europeans are going to make good on this and give it a try, before releasing a detailed version of the formula for others to try too.

Maybe we’ll see you next summer.

hackaday.com/2025/08/22/findin…

In this episode of the Hackaday Podcast, editors Elliot Williams and Tom Nardi start out with a warning about potentially radioactive shrimp entering the American food supply via Walmart, and things only get weirder from there. The extra spicy shrimp discussion makes a perfect segue into an overview of a pair of atomic One Hertz Challenge entries, after which they’ll go over the latest generation of 3D printer filament, using an old Android smartphone as a low-power Linux server, some tips for creating better schematics, and Lorde’s specification-bending transparent CD. Finally, you’ll hear about how the nature of digital ownership influences the hardware we use, and on the other side of the coin, how open source firmware like QMK lets you build input devices on your terms.

Check out the links below if you want to follow along, and as always, tell us what you think about this episode in the comments!

html5-player.libsyn.com/embed/…

Or download in DRM-free MP3 to enjoy with your shrimp.

Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:

• iTunes
• Spotify
• Stitcher
• RSS
• YouTube
• Check out our Libsyn landing page

Episode 334 Show Notes:

News:

• Food Irradiation Is Not As Bad As It Sounds
• Walmart shrimp may have been exposed to radioactive material, FDA says

What’s that Sound?

• Congratulations to [Gesundheit] for getting guessing this week’s sound.

Interesting Hacks of the Week:

• 2025 One Hertz Challenge: Atomic Decay Clock Is Accurate But Not Precise
  
  • 2025 One Hertz Challenge: Timekeeping At One Becquerel
  • Decaying clocks – Antiquarian Horological Society
  • Gammaclock
  • Time Capsule Expo ’70
  • Deriving 1 Hz from Candle Flame Oscillations

  
  

• Suggested Schematic Standards

• Should You Try Printing With Polypropylene?
  
  • MorPhlex: The TPU Filament That Goes Soft After You Print It

  
  

• From Smartphone To A Home Server
• A Solderless, Soluble Circuit Board
  
  • Hackaday Europe 2025: David Cuartielles – What if the Future (Of Electronics) Was Compostable?

  
  

• Why Lorde’s Clear CD Has So Many Playback Issues

Quick Hacks:

• Elliot’s Picks:
  
  • Adjustable Allen Key After All These Years
  • The PC In Your Pico
  • The VLF Transformation

  
  

• Tom’s Picks:
  
  • I, 3D Printer
  • Reviving A Piece Of Yesterday’s Tomorrow
  • Silent Speak And Spell Gets Its Voice Back

  
  

Can’t-Miss Articles:

• The Terminal Demise Of Consumer Electronics Through Subscription Services
• Instant Macropad: Just Add QMK

hackaday.com/2025/08/22/hackad…

Famously, Nikola Tesla won the War of the Currents in the early days of electrification because his AC system could use transformers to minimize losses for long distance circuits. That was well before the invention of the transistor, though, and there are a lot of systems that still use AC now as a result of electricity’s history that we might otherwise want to run on DC in our modern world. Sprinkler systems are one of these things, commonly using a 24V AC system, but [Vinthewrench] has done some work to convert over to a more flexible 24 VDC system instead.

The main components of these systems that are set up for AC are solenoids which activate various sets of sprinklers. But these solenoids can take DC and still work, so no major hardware changes are needed. It’s not quite as simple as changing power supplies, though. The solenoids will overheat if they’re fully powered on a DC circuit, so [Vinthewrench] did a significant amount of testing to figure out exactly how much power they need to stay engaged. Once the math was done, he uses a DRV103 to send PWM signals to the solenoids, which is set up to allow more current to pull in the solenoids and then a lower holding current once they are activated.

With a DC power supply like this, it makes it much easier to have his sprinkler system run on a solar powered system as well as use a battery backup without needing something like an inverter. And thanks to the DRV103 the conversion is not physically difficult; ensuring that the solenoids don’t overheat is the major concern here. Another great reason to convert to a DIY sprinkler controller is removing your lawn care routine from an unnecessary cloud-based service.

hackaday.com/2025/08/22/conver…

You may have noticed the Anime Catgirls when trying to get to the Linux Kernel’s mailing list, or one of any number of other sites associated with Open Source projects. [Tavis Ormandy] had this question, too, and even wrote about it. So, what’s the deal with the catgirls?

The project is Anubis, a “Web AI Firewall Utility”. The intent is to block AI scrapers, as Anubis “weighs the soul” of incoming connections, and blocks the bots you don’t want. Anubis uses the user agent string and other indicators to determine what an incoming connection is. But the most obvious check is the in-browser hashing. Anubis puts a challenge string in the HTTP response header, and JavaScript running in the browser calculates a second string to append this challenge. The goal is to set the first few bytes of the SHA-256 hash of this combined string to 0.

[Tavis] makes a compelling case that this hashing is security theatre — It makes things appear more secure, but doesn’t actually improve the situation. It’s only fair to point out that his observation comes from annoyance, as his preferred method of accessing the Linux kernel git repository and mailing list are now blocked by Anubis. But the economics of compute costs clearly demonstrate that this SHA-256 hashing approach will only be effective so long as AI companies don’t add the 25 lines of C it took him to calculate the challenge. The Anubis hashing challenge is literally security by obscurity.

Something Security AI is Good At

We’ve recently covered an AI competition, where AI toolchains were used to find and patch vulnerabilities. This took a massive effort to get good results. This week we have work on a similar but constrained task that AI is much better at. Instead of finding a new CVE, simply ask the AI to generate an exploit for CVEs that have been published.

The key here seems to be the constrained task that gives the AI a narrow goal, and a clever approach to quickly test the results. The task is to find an exploit using the patch code, and the test is that the exploit shouldn’t work on the patched version of the program. This approach cuts way down on false positives. This is definitely an approach to keep an eye on.

We’re Hunting CodeRabbits

Reviewing Pull Requests (PRs) is one of the other AI use cases that has seen significant deployment. CodeRabbit provides one of those tools which summarizes the PR, looks for possible bugs, and runs multiple linter and analysis tools. That last one is extremely important here, as not every tool is bulletproof. Researchers at Kudelski Security discovered that the Rubocop tool was accessible to incoming PRs with ruby files.

Rubocop has a nifty feature, that allows extensions to be loaded dynamically during a run. These are specified in a .rubocop.yml file, that CodeRabbit was helpfully passing through to the Rubocop run. The key here is that the extension to be loaded can also be included in a PR, and Rubocop extensions can execute arbitrary code. How bad could it be, to run code on the CodeRabbit backend servers?

The test payload in this case was simply to capture the system’s environment variables, which turned out to be a smorgasbord of secrets and API keys. The hilarious part of this research is that the CodeRabbit AI absolutely flagged the PR as malicious, but couldn’t stop the attack in motion. CodeRabbit very quickly mitigated the issue, and rolled out a fix less than a week later.

Illegal Adblock

There’s a concerning court case making its way through the German courts, that threatens to make adblocking illegal on copyright grounds. This case is between Axel Springer, a media company that makes money from showing advertisements, and Eyeo, the company behind Adblock Plus. The legal theory claimed by Axel Springer is that a website’s HTML and CSS together forms a computer program, that is protected by copyright. Blocking advertisements on that website would then be a copyright violation, by this theory.

This theory is novel, and every lower court has rejected it. What’s new this month is that the German Supreme Court threw the case back to a lower court, instructing that court to revisit the question. The idea of copyright violation simply by changing a website has caught the attention of Mozilla, and their Product Counsel, [Daniel Nazer], has thoughts.

The first is that a legal precedent forcing a browser to perfectly honor the code served by a remote web host would be horribly dangerous. I suspect it would also be in contention with other European privacy and security laws. As court battles usually go, this one is moving in slow motion, and the next ruling may be years away. But it would be particularly troubling if Germany joined China as the only two nations to ban ad blockers.

Copilot, Don’t Tell Anyone

Microsoft’s Office365 has an audit log, that tracks which users access given files. Running Copilot in that environment dutifully logs those file accesses, but only if Copilot actually returns a link to the document. So similar to other techniques where an AI can be convinced to do something unintended, a user can ask Copilot to return the contents of a file but not to link to it. Copilot will do as instructed, and the file isn’t listed in the audit log as accessed.

Where this gets more interesting is how the report and fix was handled. Microsoft didn’t issue a CVE, fixed the issue, but opted not to issue a statement. [Zack Korman], the researcher that reported the issue, disagrees quite vigorously with Microsoft’s decision here. This is an interesting example of the tension that can result from disagreements between researcher and the organization responsible for the product in question.

Disputed Research

This brings us to another example of disputed research, the “0-day” in Elastic Endpoint Detection and Response (EDR). Elastic disputes the claim, pointing out that they could not replicate code execution, and the researcher didn’t provide an entire proof of concept. This sort of situation is tricky. Who is right? The company that understands the internals of the program, or the researcher that undoubtedly did discover something, but maybe doesn’t fully understand what was found?

There are two elements that stand out in the vulnerability write-up. The first is that the overview of the attack chain lists a Remote Code Execution (RCE) as part of the chain, but it seems that nothing about this research is actually an RCE. The premise is that code running on the local machine can crash the Elastic kernel driver. The second notable feature of this post is that the proof-of-concept code uses a custom kernel driver to demonstrate the vulnerability. What’s missing is the statement that code execution was actually observed without this custom kernel driver.

Bits and Bytes

One of the very useful features of Microsoft’s VSCode is the Remote-SSH extension, which allows running the VSCode front-end on a local machine, and connecting to another server for remote work. The problem is that connecting to a remote server can install extensions on the local machine. VSCode extensions can be malicious, and connecting to a malicious host can run code on that host.

Apple has patched a buffer overflow in image handling, that is being used in an “extremely sophisticated” malware attacks against specific targets. This sort of language tends to indicate the vulnerability was found in an Advanced Persistent Threat (APT) campaign by either a government actor, or a professional actor like NSO Group or similar.

And finally, if zines are your thing, Phrak issue 0x48 (72) is out! This one is full of stories of narrowly avoiding arrest while doing smart card research, analysis of a North Korean data dump, and a treatise on CPU backdoors. Exciting stuff, Enjoy!

hackaday.com/2025/08/22/this-w…

Advanced Security Solutions, con sede negli Emirati Arabi Uniti, è nata questo mese ed offre fino a 20 milioni di dollari per vulnerabilità zero-day ed exploit che consentirebbero a chiunque di hackerare uno smartphone tramite SMS. Si tratta di una delle cifre più alte per qualsiasi broker 0day, almeno tra quelli che lo divulgano pubblicamente.

Advanced Security Solutions. Un nuovo attore nella scena dei broker 0day

Oltre a 20 milioni di dollari per gli exploit di qualsiasi sistema operativo mobile, l’azienda offre anche grandi ricompense per le vulnerabilità zero-day in altri software:

• fino a 15 milioni di dollari per ogni 0-day, con conseguente compromissione completa di Android e iPhone;
• fino a 10 milioni di dollari per exploit simili per Windows e Linux;
• fino a 5 milioni di dollari per exploit simili per il browser Chrome;
• fino a 1 milione di dollari per exploit simili per Safari e Microsoft Edge.

Non è chiaro chi ci sia dietro l’azienda e chi sono i suoi clienti.

“Aiutiamo agenzie governative, agenzie di intelligence e forze dell’ordine a condurre operazioni di precisione sul campo di battaglia digitale”, afferma il sito web di Advanced Security Solutions. “Collaboriamo attivamente con oltre 25 governi e agenzie di intelligence in tutto il mondo. I nostri clienti tornano costantemente per nuovi servizi, a dimostrazione della fiducia e del valore strategico che forniamo in contesti operativi critici, tra cui l’antiterrorismo e la lotta al narcotraffico”.

Il sito web afferma inoltre che, nonostante l’azienda sia nuova, impiega “solo professionisti con oltre 20 anni di esperienza in unità di intelligence d’élite e appaltatori militari privati”.

Uno dei primi attori in questo campo è stato Zerodium, apparso nel 2015. All’epoca, l’azienda, creata dal co-fondatore di Vupen Chaouki Bekrar, offriva fino a 1 milione di dollari per strumenti di hacking per iPhone.

Tre anni dopo, nel 2018, Crowdfense ha lanciato la propria piattaforma per l’acquisto di vulnerabilità ed exploit, offrendo fino a 3 milioni di dollari per zero-day simili.

Negli ultimi anni i prezzi degli 0-day sono aumentati, in parte a causa dell’aumento della domanda e in parte perché i dispositivi e i software moderni stanno diventando sempre più difficili da hackerare grazie al miglioramento della sicurezza.

Così, l’anno scorso Crowdfense ha pubblicato un nuovo listino prezzi , offrendo fino a 7 milioni di dollari per vulnerabilità zero-day su iPhone e fino a 5 milioni di dollari per exploit simili su Android. Anche le vulnerabilità zero-day in applicazioni specifiche hanno iniziato a costare molto di più. Ad esempio, fino a 8 milioni di dollari per exploit su WhatsApp e iMessage e fino a 4 milioni di dollari su Telegram.

Per fare un paragone, Advanced Security Solutions offre fino a 2 milioni di dollari per exploit per Telegram, Signal e WhatsApp.

Vale anche la pena notare che all’inizio di quest’anno, il broker di vulnerabilità russo Operation Zero è diventato un’eccezione sul mercato, offriva fino a 20 milioni di dollari per gli stessi tipi di exploit che Advanced Security Solutions sta ora cercando.

Chi sono i broker 0day

I broker 0day sono intermediari specializzati nella compravendita di vulnerabilità informatiche sconosciute al pubblico e ai produttori di software, chiamate appunto zero-day. Queste falle di sicurezza, non ancora documentate né patchate, rappresentano un valore enorme nel mercato cyber, poiché consentono di sviluppare exploit capaci di aggirare le difese dei sistemi più diffusi. I broker operano come veri e propri mercanti: acquistano vulnerabilità da ricercatori indipendenti, hacker o gruppi criminali, per poi rivenderle a soggetti interessati, che possono spaziare da governi e agenzie di intelligence fino ad aziende di sicurezza o, in casi meno leciti, a cyber criminali.

Il mercato dei broker 0day si muove in una zona grigia, dove la linea tra lecito e illecito è spesso molto sottile. Alcuni broker operano in contesti legali, collaborando con stati o imprese che usano queste informazioni per sviluppare difese e rafforzare la sicurezza. Altri invece alimentano il cybercrime, rivendendo exploit a gruppi ransomware, mercati clandestini o attori statali che li utilizzano per operazioni di spionaggio o cyber warfare. Proprio per l’alto impatto che hanno sulla sicurezza globale, i broker 0day sono tra gli attori più discussi e controversi nell’ecosistema delle minacce informatiche.

L'articolo 20 milioni di dollari per exploit zero-day dal broker Advanced Security Solutions proviene da il blog della sicurezza informatica.

Tratto (e leggermente rielaborato) da "Il risveglio delle scienze religiose" di Imam Al Ghazali. ❤

Primo dovere dello studente
Il primo dovere dello studente è prioritizzare la purificazione della sua anima dalle caratteristiche più riprovevoli
Ibn Mas'ud رضي الله عنه ci ricorda:

Conoscenza non è essere al corrente di tante informazioni. Conoscenza è una luce che viene gettata nel cuore.

Secondo dovere dello studente
Il secondo dovere dello studente è che limiti i suoi attaccamenti e che viaggi lontano dalla sua casa, cosicché nel suo cuore si liberi spazio per la conoscenza.
Si dice che la conoscenza non ti darà un decimo di sé stessa se tu non le darai tutto te stesso.

Terzo dovere dello studente
Il terzo dovere dello studente consiste nel non atteggiarsi con arroganza, nel non mostrarsi altezzoso prima di acquisire la conoscenza e nel non impartire ordini al proprio insegnante. Al contrario, dovrebbe consegnare sé stesso al completo controllo del maestro, proprio come un uomo malato si affida totalmente al dottore. La persona malata non pretende di dare consigli al proprio dottore né

di guidarlo su quale medicina utilizzare.

Quarto dovere dello studente
Il quarto dovere dello studente è evitare di prestare attenzione alle divergenze tra le persone di conoscenza, poiché ciò genera confusione e smarrimento. Infatti, nelle fasi iniziali, il cuore dello studente tende a inclinarsi verso qualunque cosa gli venga presentata, soprattutto se essa conduce all’inattività, in accordo con la sua pigrizia e inattitudine.

Quinto dovere dello studente
Il quinto dovere dello studente è quello di non trascurare nessuna disciplina tra le scienze lodevoli, ma di esaminarla fino a raggiungerne l’obiettivo.
Se ne ha la capacità, dovrebbe padroneggiarla completamente; se non può, allora dovrebbe almeno acquisirne la parte più importante. E ciò è possibile soltanto dopo averla dapprima considerata nella sua interezza.

Sesto dovere dello studente
Il sesto dovere dello studente è che egli dedichi grande attenzione alla più importante delle scienze: la conoscenza dell’Aldilà. Con ciò si intende quella categoria di scienze che riguarda il perfezionamento del carattere e lo svelamento. Il perfezionamento del carattere conduce allo svelamento, e lo svelamento è la conoscenza diretta di Allah سبحانه وتعالىٰ, una luce che Allah سبحانه وتعالىٰ infonde in un cuore purificato attraverso l’adorazione e lo sforzo

Settimo dovere dello studente
Il settimo dovere dello studente è che il suo obiettivo presente sia quello di riempire il proprio intimo con le caratteristiche che lo condurranno al cospetto di Allah سبحانه وتعالىٰ e presso la dimora delle alte schiere (al-malāʾ al-aʿlā), tra coloro che sono stati avvicinati. Egli non deve mai cercare, attraverso la conoscenza, né il comando, né la ricchezza, né lo status.

Un nuovo allarme sulla sicurezza informatica arriva da un enorme dataset contenente informazioni personali di utenti italiani di Facebook.

Secondo quanto riportato, un threat actor conosciuto con l’alias Chucky_BF su un noto forum underground avrebbe messo in vendita un archivio da 35 milioni di record, con dati sensibili quali nomi completi e numeri di telefono.

L’annuncio, comparso su un forum del dark web, indica che le informazioni sono disponibili in formato CSV e riguardano esclusivamente profili italiani, riconoscibili anche dal prefisso telefonico +39.

Non è chiaro se questi dati siano già stati divulgati in precedenza o facenti già parte della famosa raccolta di dati Fuck Faceboock in circolazione da diversi anni a anche con specifici motoria di ricerca gratuiti disponibili nel dark web.

Siamo andati a verificare il post, ma tale post era stato eliminato oppure l’utente bannato dalla piattaforma su ito dopo la pubblicazione. Di seguito quanto riporta DarkWeb Informer con le evidenze del post pubblicato

Il dataset infatti sembra provenire da una raccolta precedente di informazioni trafugate e successivamente riorganizzate per il mercato illecito. Ovviamente la disponibilità di numeri di telefono associati a nominativi reali apre scenari rischiosi in termini di phishing, smishing e frodi online.

Il threat actor avrebbe pubblicato alcuni screenshot di anteprima per dimostrare l’autenticità del materiale in vendita, corredando il post con riferimenti a canali di contatto su Telegram. Questi elementi, seppur tipici nelle dinamiche del cybercrime, non consentono di verificare con certezza la reale provenienza e l’affidabilità del dataset, che potrebbe anche essere una truffa all’interno dello stesso ecosistema criminale.

La vicenda riaccende il dibattito sull’efficacia delle misure di sicurezza adottate dalle grandi piattaforme social e sulla tutela dei dati personali. In Italia, un database di queste dimensioni rappresenterebbe un rischio non solo per i singoli utenti, ma anche per le aziende e le istituzioni che potrebbero diventare bersaglio di campagne mirate di social engineering. Autorità e specialisti di cybersecurity raccomandano agli utenti di prestare particolare attenzione a messaggi sospetti e di rafforzare le misure di protezione dei propri account.

In attesa di conferme ufficiali e di eventuali comunicazioni da parte di Meta, il caso mette nuovamente in evidenza la vulnerabilità del patrimonio informativo digitale.

La vendita di dati personali, anche se non sempre confermata nei dettagli, continua a rappresentare uno dei mercati più fiorenti del dark web, a dimostrazione di quanto le informazioni private siano oggi una merce preziosa e costantemente esposta a rischi.

L'articolo 35 milioni di utenti Facebook italiani in vendita nel dark web proviene da il blog della sicurezza informatica.

3D printing has transformed how hobbyists fabricate things, but what additional doors would open if we could go even smaller? The µRepRap (RepRapMicron) project aims to bring fabrication at the micron and sub-micron scale to hobbyists the same way RepRap strove to make 3D printing accessible. New developments by [Vik Olliver] show a promising way forward, and also highlight the many challenges of going so small.
New Maus prototype is modular, setting the stage for repeatable and reliable 3D printing at the micro scale.
How exactly would a 3D printer do micro-fabrication? Not by squirting plastic from a nozzle, but by using a vanishingly tiny needle-like effector (which can be made at any workbench via electrochemical erosion) to pick up a miniscule amount of resin one dab a time, curing it with UV after depositing it like a brush deposits a dot of ink.

By doing so repeatedly and in a structured way, one can 3D print at a micro scale one “pixel” (or voxel, more accurately) at a time. You can see how small they’re talking in the image in the header above. It shows a RepRapMicron tip (left) next to a 24 gauge hypodermic needle (right) which is just over half a millimeter in diameter.

Moving precisely and accurately at such a small scale also requires something new, and that is where flexures come in. Where other 3D printers use stepper motors and rails and belts, RepRapMicron leverages work done by the OpenFlexure project to achieve high-precision mechanical positioning without the need for fancy materials or mechanisms. We’ve actually seen this part in action, when [Vik Olliver] amazed us by scribing a 2D micron-scale Jolly Wrencher 1.5 mm x 1.5 mm in size, also visible in the header image above.

Using a tiny needle to deposit dabs of UV resin provides the platform with a way to 3D print, but there are still plenty of unique problems to be solved. How does one observe such a small process, or the finished print? How does one handle such a tiny object, or free it from the build platform without damaging it? The RepRapMicron project has solutions lined up for each of these and more, so there’s a lot of discovery waiting to be done. Got ideas of your own? The project welcomes collaboration. If you’d like to watch the latest developments as they happen, keep an eye on the Github repository and the blog.

hackaday.com/2025/08/22/reprap…

Gli esperti di sicurezza parlano sempre più spesso di “Q-Day”, il momento in cui i computer quantistici saranno in grado di gestire i moderni algoritmi di crittografia. Le previsioni dei principali attori, da IBM e Google agli analisti di Gartner, si riducono a una data allarmante: il traguardo potrebbe arrivare già nel 2029. Il paradosso è che non ci saranno segnali d’allarme clamorosi. I server continueranno a rispondere alle richieste, i browser apriranno pagine familiari, i sistemi aziendali rimarranno operativi. Cambierà solo la parte invisibile del quadro: gli aggressori che da anni “raccolgono” dati crittografati aspetteranno il momento in cui potranno essere letti.

All’inizio di quest’estate, Keyfactor ha riunito gli scienziati attorno a un tavolo per discutere il confine tra consapevolezza e reale preparazione. L’incontro ha fatto eco a un sentimento che i dirigenti della sicurezza ripetono da tempo in privato: nessuno conosce la data esatta, quindi ha senso comportarsi come se la corsa fosse già iniziata. L’azienda ha pubblicato delle raccomandazioni per la compilazione di un inventario crittografico, che di solito è il punto di partenza per qualsiasi transizione importante. Senza una conoscenza approfondita dei protocolli, delle chiavi, delle librerie e dei dispositivi coinvolti nei processi aziendali, è impossibile pianificare la sostituzione.

Il giorno dei quanti, qualunque esso sia, sarà avvertito dalle chiavi pubbliche come RSA-2048 che è stato il cavallo di battaglia delle firme digitali, dello scambio di chiavi, del TLS nei browser web, della crittografia delle e-mail e di una serie di script incorporati per decenni.

Il National Institute of Standards and Technology ha già approvato una serie di algoritmi post-quantistici e la strada è formalmente tracciata. Il problema è la scalabilità. Il co-fondatore di Keyfactor, Ted Shorter, stima che persino l’aggiornamento molto più soft da SHA-1 a SHA-2/256, iniziato intorno al 2007, abbia richiesto al settore circa 12 anni per essere completato. Le organizzazioni hanno dovuto affrontare incompatibilità, il rischio di compromettere le integrazioni legacy e una carenza di personale, e quindi la migrazione si è protratta a lungo. Quasi due decenni dopo, ci sono ancora clienti che hanno SHA-1 in agguato negli angoli della loro infrastruttura.

Il lato commerciale del problema aggiunge inerzia. I team tecnici giocano a whack-a-mole da anni con un flusso costante di incidenti, e la ristrutturazione strategica delle criptovalute è stata relegata in fondo alla lista delle priorità.

Quando la sicurezza spiega i rischi, alcuni manager li vedono come “un altro Y2K”, che presumibilmente può essere rinviato se la minaccia non si manifesta entro un paio d’anni. L’errore di percezione colpisce i dati con un lungo ciclo di vita. I registri finanziari sono spesso tenuti a essere conservati per almeno sette anni, gli identificativi dei conti bancari sono validi per decenni, i satelliti rimangono in orbita ben oltre il completo deprezzamento delle apparecchiature di terra. Tom Patterson di Accenture ricorda il progetto del primo satellite quantistico: la crittografia non è la prima cosa a cui si pensa, ma è impossibile “riposizionare” il dispositivo nello spazio: la protezione deve essere installata prima del lancio.

La storia del Y2K rende davvero difficile valutare con lucidità i rischi attuali. Alla fine degli anni ’90, il mondo si stava preparando a un problema tecnico dovuto al formato dell’anno a due cifre. Governi, banche, infrastrutture: l’intero ecosistema ha speso centinaia di miliardi di dollari per aggiornare e riscrivere il codice. Alla vigilia di Capodanno, nulla è crollato e gli sforzi di un esercito di ingegneri si sono rivelati pressoché invisibili. Anni dopo, sono emersi gli effetti collaterali della “finestra” (windowing): alcuni parchimetri e sistemi di pagamento sono saltati nel 2020. Veterani di quegli eventi come Peter Zatko (Mudge), ora CIO della DARPA, ricordano di essere stati in servizio in contatto con la Casa Bianca e sottolineano: “non si è verificato alcun disastro” proprio perché le persone hanno lavorato. Altri ricordano: i paesi con una preparazione minima hanno superato la pietra miliare quasi senza dolore, il che significa che c’era più panico che fatti. Entrambe le versioni sono comode a posteriori, ma entrambe si riducono a un punto: un problema su larga scala può essere prevenuto solo in anticipo.

In questo senso, la transizione post-quantistica è più complessa del Y2K. La data non è ancora stata fissata; nessuno pubblicherà un comunicato stampa per annunciare che la chiave ha finalmente ceduto.

Gli aggressori raccoglieranno silenziosamente il set di dati e l’energia necessaria, proprio come i crittoanalisti un tempo si occuparono di Enigma, e lavoreranno su quegli array che saranno preziosi negli anni a venire. Il ricercatore Marin Ivezic di Applied Quantum richiama l’attenzione sul bilancio energetico: decifrare una singola chiave RSA-2048 può richiedere giorni e megawatt, quindi non è prevista una “demolizione” di massa della crittografia in un colpo solo.

Il settore, tuttavia, sta iniziando a muoversi. Il rapporto “Digital Trust Digest: Quantum Readiness Edition” di Keyfactor del 30 luglio ha rilevato che metà dei 450 dirigenti della sicurezza IT intervistati ha ammesso di non essere preparata, ma l’argomento è già entrato nelle agende di consigli di amministrazione, assicuratori e autorità di regolamentazione. I requisiti di conformità spingeranno le grandi istituzioni finanziarie, banche, società di telecomunicazioni ed enti governativi più velocemente di altri. Le aziende più piccole potrebbero seguire una traiettoria diversa: alcune aspetteranno che hardware e software cambino e “passeranno” direttamente alla nuova crittografia; per coloro che vivono interamente nel cloud, gli hyperscaler si occuperanno di parte del lavoro.

L’agenda pratica per i prossimi anni sembra concreta. Abbiamo bisogno di un registro completo degli ambienti crittografici: protocolli, librerie, centri di certificazione, formati di chiavi e loro durata. Poi, implementazioni pilota di algoritmi NIST dove i rischi sono più elevati e un piano di compatibilità per non “abbandonare” integrazioni obsolete. Sarà necessaria l’automazione, perché una migrazione manuale di questo tipo è insostenibile. E dovremo rivedere costantemente le policy crittografiche , tenendo conto proprio di questa incertezza temporale.

Il mondo digitale ha un calendario difficile: da qualche parte nel futuro si profila l'”Epocalisse” del 2038, un altro bug nel sistema di riferimento universale UNIX. Ma questo è un problema per il prossimo futuro. La protezione post-quantistica richiede impegno ora, mentre le minacce rimangono teoriche e invisibili. Se tutto verrà fatto in tempo, “non succederà nulla” – e questo sarà il principale indicatore di successo.

L'articolo Il 2029 sarà l’anno del Q-Day? Ma se la sostituzione di SHA1 ha impiegato 12 anni? proviene da il blog della sicurezza informatica.

In seguito a diverse segnalazioni, tra cui la nostra come Associazione Luca Coscioni, si è avviata una collaborazione tra Inter, Milan, il Comune di Milano e diverse realtà tra cui la consigliera regionale della Lombardia Lisa Noja e il Comitato per gli eventi dal vivo accessibili “Live for All”, e finalmente il sistema di accesso allo stadio di San Siro è cambiato.

Un cambiamento che va al cuore della passione sportiva, rendendo più semplice per i tifosi con disabilità seguire la propria squadra del cuore.

Come da noi denunciato a suo tempo, il vecchio sistema era basato su un sorteggio che spesso lasciava fuori molti tifosi con disabilità per via di criteri poco inclusivi, ma ora è stato finalmente superato.

Da questa stagione sarà possibile acquistare un abbonamento o un biglietto a prezzo agevolato, una soluzione che permetterà continuità alla partecipazione sportiva di ognuno.

Questo è il risultato di un lavoro di squadra, un esempio di come unendo le forze si possano abbattere le barriere. Non è solo una questione di biglietti, ma un passo avanti nel riconoscere il diritto di vivere una passione, quella per il calcio, a tutte le persone nello stesso modo.

E l’ulteriore buona notizia è che questo nuovo modo di vivere lo stadio non solo faciliterà di fatto l’accesso, ma contribuirà anche a sostenere progetti di inclusione sportiva.

Un vero e proprio cambio di rotta, che fa di San Siro uno stadio più aperto, un luogo dove la passione per lo sport unisce, senza lasciare indietro nessuna persona.

Pamela De Rosa e Cristiana Zerosi
Cellula Coscioni Milano

L'articolo Accessibilità eventi sportivi: San Siro apre le porte a tutti i tifosi proviene da Associazione Luca Coscioni.