Dopo circa sedici anni di Ubuntu come sistema operativo sul mio PC personale, ho finalmente fatto distro hopping verso #debian (Debian 13 Trixie).

L'ho presa molto comoda, ma finalmente un passo in avanti verso una distro più "comunitaria" e politiche di scelta programmi meno invadenti e vincolanti per l'utente.

We aren’t sure if [Looking Glass Universe] didn’t trust the accepted number for Planck’s constant, or just wanted the experience of measuring it herself. Either way, she took some LEDs and worked out the correct figure. Apparently, it hasn’t changed since we first measured it in 1916. But it’s always good to check.

The constant, if you need a refresher, helps explain things like why the color of light changes how the photoelectric effect manifests, and is at the root of quantum physics. LEDs are perfect for this experiment because, of course, they come in different colors. You essentially use a pot to tune down the LED until it just reaches the point where it is dark. Presuming you know the wavelength of the LED, you can estimate Planck’s constant from that and the voltage across the virtually ready-to-light LED. We might have used the potentiometer in a voltage divider configuration, but it should work either way.

The experiment showed that even a disconnected LED emits a few stray photons. But it was still possible to interpret the results. The constant is very tiny, so you’ll want your scientific calculator get do the math or, as she used, Wolfram Alpha.

The first result was off by the alarming amount of 1 x 10^-40. No, that’s not alarming at all. That number is amazingly small.

This is a fairly common home physics experiment. You can do it quick, like [Looking Glass] did, or you can build something elaborate.

youtube.com/embed/Tf6MppviQpQ?…

hackaday.com/2025/10/20/dont-b…

Un’identificazione di vulnerabilità di alta gravità è stata attribuita al framework PAM (Pluggable Authentication Modules) con l’identificatore CVE-2025-8941. Questa vulnerabilità ha origine nel cuore dei sistemi operativi Linux e consente agli aggressori con accesso locale di sfruttare attacchi symlink e condizioni di gara per ottenere l’escalation completa dei privilegi di root.

Gli esperti di sicurezza avvertono che questo problema richiede un’attenzione immediata, soprattutto per i server e i desktop che si affidano a Linux-PAM per l’autenticazione degli utenti .

Gli strumenti open source più fidati non sono immuni dai rischi, poiché l’accesso come amministratore (root), che rappresenta il livello massimo di controllo in sistemi simili a Unix, può comportare violazioni dei dati e compromissioni su vasta scala del sistema, sottolineando le minacce insite anche nei più attendibili tra essi.

Emerge che gli utenti con bassi privilegi potrebbero diventare root, generando timori sia per le reti delle aziende che per i dispositivi individuali. Il CVE-2025-8941 ha ottenuto uno score di 7,8 sulla scala CVSS v3.1, a dimostrazione che, anche se si tratta di una privilege escalation, il suo potenziale è devastante.

I sistemi interessati includono tutte le versioni di Linux-PAM precedenti alle patch più recenti, comprese distribuzioni come Ubuntu, Fedora e Red Hat Enterprise Linux. Non è possibile lo sfruttamento remoto, ma il percorso locale amplifica i pericoli nelle configurazioni multiutente.

La vulnerabilità risiede nel modulo pam_namespace, che gestisce gli spazi dei nomi per le sessioni utente. Una gestione errata dei percorsi controllati dall’utente consente ad aggressori astuti di inserire link simbolici che dirottano i processi di creazione delle directory.

Sfruttando una condizione di competizione, l’aggressore inganna il sistema inducendolo a creare strutture sensibili sul file system root. Per comprendere il meccanismo, diamo un’occhiata a un esempio semplificato in pseudocodice:

La migliore difesa è l’applicazione rapida delle patch da parte dei fornitori di distribuzione, prevista a breve per la maggior parte delle varianti Linux. Fino ad allora, gli amministratori dovrebbero verificare i privilegi degli utenti locali, disabilitare le funzionalità pam_namespace non necessarie e monitorare eventuali attività sospette nei link simbolici utilizzando strumenti come auditd.

Sebbene i firewall per applicazioni web (WAF) o i sistemi di rilevamento delle intrusioni (IDS) offrano una protezione parziale contro le minacce correlate, non sono in grado di neutralizzare gli exploit locali che bypassano i livelli di rete. Gli esperti esortano le organizzazioni a dare priorità a questo aspetto nei loro cicli di gestione delle patch per evitare potenziali situazioni caotiche.

L'articolo Vulnerabilità critica in Linux-PAM: Una nuova Privilege Escalation proviene da Red Hot Cyber.

Nel gennaio 2025, il data breach di Gravy Analytics ha squarciato il velo su un ecosistema di sorveglianza commerciale che molti preferivano ignorare: milioni di coordinate GPS, estratte da app popolari come Candy Crush, Tinder e MyFitnessPal, sono finite online rivelando percorsi verso ospedali, basi militari, luoghi di culto e abitazioni private.

Ma il vero scandalo non è stato il leak: è che quei dati venivano già venduti legalmente a enti governativi statunitensi che li usavano per sorveglianza senza controllo giudiziario.

Il panopticon digitale: come funziona la catena di tracciamento

Ogni volta che apriamo un’app apparentemente innocua, si attiva una catena invisibile ma precisa. Le SDK pubblicitarie integrate dagli sviluppatori richiedono permessi di geolocalizzazione, ovviamente sia su iOS che Android. Questi permessi non servono solo a mostrare annunci geolocalizzati: alimentano un’intera industria costruita sulla raccolta, aggregazione e rivendita della posizione.

Il meccanismo più pervasivo è il Real-Time Bidding (RTB), lo standard che governa le aste pubblicitarie in tempo reale. Quando un’app carica uno spazio pubblicitario, viene generata una bid request secondo lo standard OpenRTB. Questa richiesta contiene latitudine e longitudine precise, l’Advertising ID del dispositivo (GAID/IDFA), la precisione GPS, timestamp, IP e tipo di connessione. Questa bid request viene trasmessa in pochi millisecondi a decine di intermediari che possono archiviare, arricchire e rivendere quei dati.

Il risultato è un grafo di mobilità quasi univoco per ogni individuo.Un paper del MIT ha dimostrato che bastano quattro punti spazio-temporali per identificare univocamente il 95% delle persone. Non serve nemmeno il nome: le coordinate notturne rivelano dove abitiamo, quelle diurne dove lavoriamo, e l’incrocio con registri pubblici o LinkedIn completa il puzzle.

L’illusione dell’anonimizzazione

L’industria risponde con una parola magica: anonimizzazione. Ma la storia è piena di fallimenti. Nel 2006, Netflix ha pubblicato un dataset “anonimo” di rating: sono bastate poche recensioni su IMDb per re-identificare utenti reali. Nel 2013, Latanya Sweeney ha invece identificato il governatore del Massachusetts in un database medico usando solo CAP, data di nascita e genere.

Nel mondo del geospaziale, l’anonimizzazione è ancora più fragile. Arrotondare coordinate, aggiungere jitter casuale o pseudonimizzare l’ID sono difese cosmetiche che si sbriciolano davanti a dataset grandi e incroci con altre fonti. Per una vera anonimizzazione servirebbero aggregazione spaziale tramite H3/S2, temporal bucketing, Differential Privacy con epsilon documentato e k-anonimity con soppressione degli outlier. Ma queste tecniche riducono il valore commerciale dei dati, ed è per questo che l’industria preferisce l’illusione alla sostanza.

Il caso Gravy Analytics: Surveillance-as-a-Service

L’azienda Gravy Analytics raccoglieva coordinate GPS attraverso il bidstream pubblicitario da centinaia di app, utilizzando Google AdSense come vettore e spesso estraendo i dati all’insaputa degli stessi sviluppatori. Ma attraverso la controllata Venntel riforniva anche agenzie governative come (l’ormai famigerata) ICE e CBP. Qui emerge il cortocircuito normativo: la Costituzione americana tutela dalla sorveglianza senza mandato, ma non vieta al governo di acquistare da terze parti informazioni che non potrebbe ottenere direttamente.

La Federal Trade Commission aveva già sanzionato Gravy a dicembre 2024 – non per la raccolta, ma per la vendita senza consenso da parte degli utenti. Distinzione sottile che lasciava intatto il problema di fondo: la legalità formale non coincide con la legittimità sostanziale. Quando a gennaio 2025 oltre 30 milioni di coordinate sono finite online, la realtà è esplosa: traiettorie verso cliniche, moschee, basi militari, abitazioni di figure pubbliche. Tutto tracciabile, tutto identificabile.

Tobias Judin della Norwegian Data Protection Authority ha sintetizzato: “Può essere usato per influenzare, manipolare, ricattare.” Non è paranoia: è threat modeling applicato a dati personali per definizione e sensibili per inferenza.

I Big GeoData: un’infrastruttura invisibile

I dati spaziali non sono più mappe statiche. Sono un flusso continuo di intelligence: satelliti, droni, 5G, IoT e smartphone generano miliardi di coordinate al secondo. Sopra questo layer operano algoritmi AI che applicano clustering, map-matching e ranking dei POI per dedurre dove viviamo, chi frequentiamo, quali percorsi scegliamo. La stessa tecnologia che ottimizza il traffico può prevedere dove saremo tra un’ora.

In Italia, la Direttiva INSPIRE e il RNDT hanno creato un’infrastruttura nazionale di dati territoriali. Obiettivo nobile, ma senza governance forte (DPIA, minimizzazione, audit) la trasparenza rischia di diventare sorveglianza.

Italia: enforcement e rischi concreti

E quindi anche in Italia i casi si moltiplicano.

Un dipendente di Coop Alleanza 3.0 fu licenziato perché, secondo i dati del GPS sull’auto aziendale, non avrebbe utilizzato il permesso previsto dalla legge 104 per assistere la madre.

L’Agenzia Regionale per lo Sviluppo dell’Agricoltura Calabrese è stata multata (50.000 €) dal Garante Privacy per aver richiesto ai dipendenti in modalità agile di timbrare via app con geolocalizzazione e dichiarare la propria posizione via email, senza idonea trasparenza né base legittima.

Il Garante ha anche sanzionato un’azienda che usava sistemi GPS sui veicoli aziendali per controllare circa 50 dipendenti, ritenuto un controllo a distanza illecito.

Il pattern è chiaro, in quanto anche tecniche legittime e ben accettate possono diventare illecite a seconda dell’uso. Il GDPR richiede base giuridica valida, minimizzazione dei dati e DPIA obbligatoria per trattamenti su larga scala. Ma manca ancora cultura di privacyby design: e allora vediamo proliferare geolocalizzazione attiva per default, log mai cancellati, scopi che si allargano silenziosamente, controlli di accesso insufficienti.

Threat model e difese

La catena dei dati ha numerosi punti di rottura: SDK con permessi “Always”, bidstream multi-tenant, bucket cloud mal configurati, export “temporanei” che diventano permanenti, dashboard con drill-down troppo fine. Le difese dovrebbero essere architetturali, come ad esempio aggregazione in celle H3/S2, Differential Privacy on-by-default, governance SDK rigida, cifratura at-rest, tokenizzazione, IAM per privilegio minimo, geo opt-in only nel bidstream, DPIA sistematiche, retention corta e automatizzata.

Alcuni consigli per noi utenti:

• posizione solo “Durante l’uso”
• disattivare geotag foto
• reset periodico del Mobile Advertising ID
• bloccare tracker (uBlock Origin/Brave)
• usare DNS cifrati e VPN affidabili

Ed esercitare i diritti GDPR tramite accesso, opposizione, cancellazione, e segnalazioni al Garante.

Conslusione: Difendere la libertà di muoversi

I Big Data territoriali sono il gemello digitale del mondo fisico. La lezione del caso Gravy non è “più disclaimer”, ma richiede di riprogettare pipeline, permessi e business model: meno bidstream aperto, più edge e aggregazione; meno “precise by default”, più accountability verificabile.

Ogni coordinata è un dato personale, spesso sensibile per inferenza. È una questione di libertà: visitare un luogo senza essere osservati, muoverci senza essere profilati, sapere chi ci traccia e perché. E dire no, con effetti tecnici reali.

L'articolo L’assedio ai dati spaziali: quando i Big Geodata diventano superficie d’attacco proviene da Red Hot Cyber.