Nell’ambito del progetto di integrazione dell’Unione Europea “Facility supporting Serbia in Achieving the Objectives of Chapter 24: justice, freedom and security”, recentemente una delegazione di funzionari della Polizia della Repubblica di Serbia ha fatto visita al Comando Unità Forestali, Ambientali e Agroalimentari Carabinieri (#CUFAA).
Il gruppo ha preso parte alla presentazione dei settori di competenza del CUFAA, approfondendo così la specialità dell’Arma sul fronte della tutela ambientale, di salvaguardia del patrimonio della biodiversità e della sicurezza alimentare.

La visita ha riguardato anche le specifiche attività: del Nucleo Informativo Antincendio Boschivo (#NIAB), fiore all’occhiello del Comando in materia di prevenzione e repressione dei reati, e quelle del Raggruppamento #CITES in materia di tutela delle specie animali e vegetali minacciate di estinzione, oltre a quelle di sicurezza ambientale ed energetica.

La delegazione ha mostrato interesse per le informazioni raccolte durante l’incontro, avendo la polizia Serba da poco tempo attivato, nell'ambito della Polizia Criminale del Ministero dell’Interno, una specifica Unità per la repressione dei crimini ambientali e la protezione dell’ambiente. La visita, infatti, è parte di una trasferta nel nostro Paese con obiettivo di studio specifico sul contrasto ai crimini ambientali.

#criminiambientali #poliziaserba #Armadeicarabinieri

I ricercatori hanno lanciato l’allarme: il servizio cloud OneDrive potrebbe consentire ad applicazioni web di terze parti di accedere a tutti i file di un utente. Secondo Oasis Security, la vulnerabilità è legata al funzionamento di OneDrive File Picker e consente ai siti di accedere all’intero spazio di archiviazione dell’utente e non solo ai file selezionati per il download tramite questo strumento.

“Ciò è dovuto agli ambiti eccessivamente ampi di OAuth e alle finestre di dialogo fuorvianti che non forniscono all’utente un’idea chiara dell’ambito di accesso concesso. La vulnerabilità potrebbe avere gravi conseguenze, tra cui la fuga di dati dei clienti e la violazione dei requisiti normativi”, spiegano i ricercatori.

L’azienda stima che il problema riguardi diverse app, tra cui ChatGPT, Slack, Trello, Zoom e ClickUp, data la loro integrazione con il servizio cloud di Microsoft. La radice del problema risiede nelle autorizzazioni eccessive richieste da OneDrive File Picker, che richiede l’accesso in lettura all’intero archivio, anche quando viene caricato un solo file. Ciò è dovuto alla mancanza di impostazioni OAuth dettagliate per OneDrive.

“In poche parole, qualsiasi app web che utilizzi OneDrive File Picker ha accesso non solo al file selezionato per il caricamento/scaricamento, ma all’intero OneDrive. Quel che è peggio, questo accesso può persistere anche dopo il completamento del download del file”, spiegano i ricercatori.

La situazione è aggravata dal fatto che la richiesta di consenso che gli utenti ricevono prima di scaricare un file è formulata in modo molto vago e la persona potrebbe non comprendere appieno quali diritti sta concedendo.

“La mancanza di impostazioni di autorizzazione dettagliate impedisce agli utenti di distinguere tra app dannose che prendono di mira tutti i file e quelle legittime che richiedono autorizzazioni eccessive semplicemente perché non ci sono altre opzioni sicure”, scrive Oasis.

Allo stesso tempo, gli esperti aggiungono che i token OAuth vengono spesso archiviati in modo non sicuro e salvati nelle sessioni del browser in formato testo normale.

Un altro potenziale problema è che il processo di autorizzazione potrebbe anche emettere un token di aggiornamento, che consente all’applicazione di continuare ad accedere ai dati dell’utente. Ciò consente a un’applicazione di ottenere nuovi token di accesso senza richiedere all’utente di effettuare nuovamente l’accesso dopo la scadenza del token corrente.

Dopo la pubblicazione del rapporto Oasis Security, i rappresentanti di Microsoft hanno riconosciuto l’esistenza del problema, ma non è stata ancora trovata alcuna soluzione. Gli sviluppatori Microsoft hanno fatto notare che questo problema non è immediatamente risolvibile, poiché l’utente deve comunque fornire il proprio consenso prima che venga consentito l’accesso.

Si consiglia agli utenti di valutare la disattivazione temporanea della funzionalità di caricamento file tramite OneDrive e OAuth finché non verrà trovata un’alternativa sicura. I ricercatori consigliano inoltre di evitare l’uso di token di aggiornamento e di conservare i token di accesso in un luogo sicuro, per poi eliminarli quando non sono più necessari.

L'articolo OneDrive a Rischio! Qualsiasi App Web Potrebbe Accedere a tutti i tuoi file proviene da il blog della sicurezza informatica.

Nel settore della sicurezza informatica, ogni azienda usa nomi propri per identificare i Threat Actors. Questo ha sempre creato problemi: gli analisti parlavano dello stesso nemico, ma lo chiamavano con nomi completamente diversi.

In questo contesto, Microsoft e CrowdStrike hanno annunciato il lancio di un’iniziativa congiunta: hanno unito i loro sistemi di denominazione dei gruppi e pubblicato un manuale di riferimento aggiornato, in cui ogni attore della minaccia viene confrontato con diverse tassonomie contemporaneamente.

Questo approccio non trasforma il mercato in una palude di informazioni, ma consente agli specialisti di trovare rapidamente un terreno comune e parlare la stessa lingua, anche quando si tratta di nomi diversi per lo stesso gruppo di criminali informatici.

Secondo il responsabile della sicurezza di Microsoft, il nuovo database è diventato un punto di partenza per identificare rapidamente gli aggressori e aumentare l’efficacia delle indagini. Ora, in una situazione in cui un’organizzazione riceve segnalazioni da diversi fornitori contemporaneamente, non è più necessario perdere tempo a selezionare manualmente le corrispondenze: tutto è riunito in un unico e chiaro database di riferimento.

Tra i futuri partecipanti al progetto figurano Google/Mandiant e Unit 42 di Palo Alto Networks, che forniranno i propri dati per accelerare l’identificazione. Microsoft prevede che altri importanti attori si uniranno a questa iniziativa, che aumenterà significativamente la trasparenza del mercato della cyber intelligence e accelererà la risposta agli attacchi.

L’azienda ha sottolineato che l’obiettivo principale non è stabilire uno standard rigido, ma fornire agli specialisti uno strumento per una rapida sincronizzazione reciproca. È già stato possibile eliminare la confusione nei nomi di oltre 80 gruppi attivi: stiamo parlando dei team più pericolosi e tecnicamente attrezzati che operano in tutto il mondo.

In futuro, l’alleanza promette di svilupparsi ulteriormente: i database saranno aggiornati regolarmente con nuovi nomi e, in futuro, è previsto lo scambio automatico di dati telemetrici tra i partecipanti. Ciò semplificherà notevolmente il lavoro e renderà i report delle aziende più compatibili.

Microsoft e CrowdStrike ritengono che ciò di cui il settore ha bisogno sia la collaborazione e la sincronizzazione volontaria, non i tentativi di imporre tutto in un unico schema. L’iniziativa è aperta a nuovi partecipanti ed è progettata per eliminare il caos dei nomi e risparmiare ai difensori il grattacapo di capire chi c’è realmente dietro un attacco.

L'articolo Come si chiama il Threat Actors? Microsoft e CrowdStrike ora li chiamano con un unico nome proviene da il blog della sicurezza informatica.

Here is a hacker showing off their engineering chops. This video shows successive design iterations for a LEGO vehicle which can cross increasingly large gaps.

At the time of writing this video from [Brick Experiment Channel] has been seen more than 110,000,000 times, which is… rather a lot. We guess with a view count like that there is a fairly good chance that many of our readers have already seen this video, but this is the sort of video one could happily watch twice.

This video sports a bunch of engineering tricks and approaches. We particularly enjoy watching the clever use of center of gravity. They hack gravity to make some of their larger designs work.

It is a little surprising that we haven’t already covered this video over here on Hackaday as it has been on YouTube for over three years now. But we have heard from [Brick Experiment Channel] before with videos such as Testing Various Properties Of LEGO-Compatible Axles and LEGO Guitar Is Really An Ultrasonically-Controlled Synth.

And of course we’ve covered heaps of LEGO stuff in the past too, such as Building An Interferometer With LEGO and Stepping On LEGO For Science.

youtube.com/embed/pwglOlD7e0M?…

Thanks to [Keith Olson] for writing in to remind us about the [Brick Experiment Channel].

hackaday.com/2025/06/03/making…

Stripping and cutting wires can be a tedious and repetitive part of your project. To save time in this regard, [Red] built an automatic stripper and cutter to do the tiring work for him.

An ESP32 runs the show in this build. Via a set of A4988 stepper motor drivers, it controls two NEMA 17 stepper motors which control the motion of the cutting and stripping blades via threaded rods. A third stepper controls a 3D printer extruder to move wires through the device. There’s a rotary encoder with a button for controlling the device, with cutting and stripping settings shown on a small OLED display. It graphically represents the wire for stripping, so you can select the length of the wire and how much insulation you want stripped off each end. You merely need select the measurements on the display, press a button, and the machine strips and cuts the wire for you. The wires end up in a tidy little 3D-printed bin for collection.

The build should be a big time saver for [Red], who will no longer have to manually cut and strip wires for future builds. We’ve featured some other neat wire stripper builds before, too. Video after the break.

youtube.com/embed/pbuzLy1ktKM?…

hackaday.com/2025/06/03/buildi…

There are plenty of audio mixers on the market, and the vast majority all look the same. If you wanted something different, or just a nice learning experience, you could craft your own instead. That’s precisely what [Something Physical] did.

The build was inspired by an earlier 3-channel mixer designed by [Moritz Klein]. This project stretches to eight channels, which is nice, because somehow it feels right that a mixer’s total channels always land on a multiple of four. As you might expect, the internals are fairly straightforward—it’s just about lacing together all the separate op-amp gain stages, pots, and jacks, as well as a power LED so you can tell when it’s switched on. It’s all wrapped up in a slant-faced wooden box with an aluminum face plate and Dymo labels. Old-school, functional, and fit for purpose.

It’s a simple build, but a satisfying one; there’s something beautiful about recording on audio gear you’ve hewn yourself. Once you’ve built your mixer, you might like to experiment in the weird world of no-input mixing. Video after the break.

youtube.com/embed/SHH72r4SKWQ?…

youtube.com/embed/SHH72r4SKWQ?…

hackaday.com/2025/06/03/buildi…

Non ho quasi mai alcuna reazione ai miei post, né commenti, né like, né condivisioni. Su Facebook avevo 100-150 amici e ogni post aveva qualche like, qualche commento, qualche condivisione. Mi sembra di non esistere.

Qualche giorno fa ho messo un post di test chiedendo a chi lo leggeva se era visibile e ho avuto una sola reazione (tra l'altro, di una persona iscritta a questa stessa istanza).

A me sono venute in mente due possibili spiegazioni, ma magari ce ne sono anche altre, non so.

1. La mia uscita da Facebook ha coinciso con un calo verticale della mia capacità di scrivere o condividere cose che interessino qualcun altro oltre a me;

2. Non ho capito bene come funziona il Fediverso e per qualche motivo i miei post invece di arrivare alle migliaia di persone che lo affollano (come mi aspetterei) non arrivano a nessun'altra istanza (o arrivano in un numero insignificante di istanze), benché io usi sempre la permission "public".

Ci sono altre spiegazioni che mi sfuggono?