---

Su Android 16 esiste una falla che permette a qualsiasi applicazione, anche senza permessi particolari, di inviare traffico al di fuori del tunnel VPN ed esporre l’indirizzo IP reale del dispositivo. Il problema interessa tutte le app VPN e funziona anche con le opzioni più restrittive attivate, “VPN sempre attiva” e “Blocca connessioni senza VPN”.

La segnalazione arriva dal ricercatore di sicurezza noto come “lowlevel/Yusuf”, che ha pubblicato l’analisi tecnica con il nome The Tiny UDP Cannon. A rilanciare il caso con un proprio post è stata Mullvad, che ha contattato il ricercatore originale e segnalato nuovamente la falla a Google.

Dove nasce il problema

Il bug riguarda un meccanismo introdotto in Android 16 per chiudere in modo ordinato le connessioni QUIC, il protocollo di trasporto basato su UDP usato da HTTP/3 e da un numero crescente di applicazioni. Tramite il metodo registerQuicConnectionClosePayload esposto dal ConnectivityManager, un’applicazione può registrare un payload finale che il sistema invierà al server quando il socket verrà chiuso.

Il problema, come spiega CyberInsider, è che la trasmissione del payload viene gestita dal processo system_server, che opera con privilegi di rete elevati ed è esente dalle restrizioni di instradamento della VPN. Android non verifica né il contenuto del payload né se l’app sia vincolata al tunnel: il pacchetto esce direttamente sull’interfaccia fisica. La dimostrazione è stata fatta su un Pixel 8 con Android 16 e Proton VPN, con entrambe le opzioni di blocco attive.

Per sfruttare la falla serve comunque che sia installata un’app malevola sul dispositivo. Non occorrono permessi sospetti, basta il normale accesso a internet, presente praticamente in ogni applicazione.

La risposta di Google e quella di GrapheneOS

L’Android Security Team ha chiuso la segnalazione come Won’t Fix (Infeasible), decidendo di non includerla nel bollettino di sicurezza. La nuova segnalazione aperta da Mullvad sull’issue tracker pubblico risulta al momento inaccessibile per ragioni che Google non ha spiegato.

In direzione opposta è andato GrapheneOS, che nel modulo Connectivity del proprio codice ha disattivato l’ottimizzazione registerQuicConnectionClosePayload, neutralizzando il vettore di attacco sui dispositivi Pixel supportati. La correzione è arrivata nel giro di pochi giorni dalla divulgazione.

Mitigazione su Android stock

Chi resta su Android così com’è può tamponare manualmente, ma serve abilitare il debug USB e usare adb:

adb shell device_config put tethering close_quic_connection -1
adb reboot

I comandi disattivano la chiusura “gentile” delle connessioni QUIC e chiudono la falla. L’impostazione sopravvive ai riavvii ma può essere annullata dagli aggiornamenti di sistema, nel qual caso va ripetuta. L’effetto collaterale è che i socket QUIC sul server resteranno semiaperti finché non andranno in timeout, senza conseguenze pratiche per il dispositivo.

SOURCE:// mullvad.net
SOURCE:// cyberinsider.com
SOURCE:// techradar.com

---

Un concerto di musiche coeve alla vita Beatrice I d’Este (1192 – 1226), un lavoro di ricerca e proposta inedita per celebrare l’ottocentenario della morte della Beata – a cura di SolEnsemble, gruppo canoro femminile specializzato in musiche e canti antichi.

Matteo Zenatti canterà una canso trobadorica che ricorda l’altezza e la bellezza di Beatrice ad opera di Aimeric de Peguilhan, e accompagnerà l’ensemble negli altri brani con l’arpa salterio.

A Palazzo Grimani, a Venezia!

---

Il concerto è a prenotazione obbligatoria, si accede pagando il biglietto del museo.

Intero euro 12, gratuito 18-25 anni UE euro 2, gratuità di legge
per informazioni, tel: 041.2411507
mail: info.museogrimani@cultura.gov.it

---

Joplin 3.6 è disponibile, e il cambiamento più visibile riguarda l’editor: la formattazione Markdown viene ora visualizzata mentre si scrive, senza dover passare all’anteprima separata.

Addio al testo grezzo nell’editor

Fino alla versione precedente, l’editor mostrava la sintassi Markdown così com’era: asterischi, cancelletti e parentesi quadre in bella vista. Con la 3.6, titoli, grassetto, corsivo, link e immagini appaiono già stilizzati durante la scrittura. Vengono gestiti anche l’HTML inline, i blocchi YAML in apertura alle note e l’evidenziazione del codice, resa più coerente con quella del visualizzatore.

I comandi di formattazione si comportano meglio anche su selezioni che si estendono su più righe: applicare grassetto o corsivo ora formatta ogni riga separatamente, invece di avvolgere l’intero blocco.

Importazione da OneNote: ora funziona davvero

Il modulo di importazione da OneNote ha ricevuto un aggiornamento sostanziale. I file .onepkg possono ora essere importati anche su Linux e macOS, non solo su Windows. I file .one di grandi dimensioni con molti allegati vengono gestiti correttamente, e l’importazione di contenuti scritti a mano o con penna digitale è stata migliorata nel posizionamento e nella scala.

Grassetto e corsivo ora si convertono correttamente in Markdown, i caratteri non ASCII nei titoli dei taccuini non causano più errori, i link tra pagine vengono preservati e le stampe PDF vengono importate senza problemi. In sintesi, passare da OneNote a Joplin dovrebbe ora essere un’operazione notevolmente meno frustrante.

Sincronizzazione e desktop

Nella barra laterale compare un’icona di stato per la sincronizzazione, con un pannello riducibile che mostra l’attività in corso senza dover aprire il registro degli eventi. Sono stati risolti anche diversi scenari che generavano conflitti inattesi durante o dopo una sincronizzazione completa.

Tra le altre novità desktop: scorciatoie per la modalità a schermo intero e per mostrare o nascondere l’applicazione a livello globale, copia e selezione del testo nel visualizzatore e in modalità di sola lettura, e visualizzazione della percentuale di completamento per le liste con caselle di spunta. I PDF esportati includono ora informazioni di accessibilità, e il riconoscimento ottico dei caratteri aggiunge supporto per cinese e norvegese.

Mobile

Su dispositivi mobili è ora possibile impostare un ordinamento separato per ogni taccuino, funzione già disponibile da tempo sul desktop. È stata aggiunta una schermata dedicata alla gestione degli allegati, accessibile da Configurazione → Strumenti → Allegati note. La barra degli strumenti dell’editor può essere riordinata, e l’app ricorda se una nota era aperta in visualizzazione o in modifica.

SOURCE:// joplinapp.org

---

---

Fin dalla notizia di quanto avvenuto alle barche della Global Sumud Flotilla è stato chiaro che si trattava di un atto di pirateria israeliano contro la solidarietà internazionale per questo insieme ad altre associazioni ci siamo impegnati a richiedere con forza atti concreti contro l’ennesima gravissima violazione del diritto internazionale perpetrata dal governo di Israele.

Vi proponiamo un’intervista con Angela Marsano dei Municipi Sociali di Bologna che ci racconta concretamente cos’è successo nella notte tra il 29 e 30 aprile 2026 nelle acque territoriali greche, per cui europee.

Angela ha partecipato alla Global Sumud Flotilla a bordo della Bella Blue una delle due imbarcazioni dei Municipi sociali di Bologna, Centri sociali del nord-est, Gaza Freestyle e Spazi Sociali Astra e Brancaleone di Roma.
L’intervista con Angela, che ringraziamo, ci fa vivere momento dopo momento lo svolgersi di questo atto di arroganza extraterritoriale compiuto dal governo israeliano nei confronti di persone che fino a quel momento non avevano compiuto nessun ipotetico reato visto che semplicemente navigavano in acque territoriali europee verso Creta.
Ascoltare il racconto di Angela ci conferma che l’impegno di tutti noi contro quanto sta facendo il governo di Israele, spalleggiato da chi lo sostiene a livello internazionale sia qualcosa che ci riguarda direttamente.

Intervista a Angela Marsano

• UNA BRUTTA SORPRESA

Vi aspettavate l’intervento di Israele dove è avvenuto?
I momenti di training che abbiamo fatto in Sicilia, sia a terra che online, hanno fatto parte di un lungo periodo di preparazione per renderci quanto più sicuri possibili relativamente alla missione che stavamo intraprendendo, per prepararci alle violenze che abbiamo visto in azione oltre che nei 75 anni d’occupazione della Palestina sui corpi dei palestinesi anche contro le precedenti flottiglie. Da questo punto di vista la flottiglia ha dimostrato di essere in grado di creare un modello per garantire la sicurezza e la preparazione delle persone che partecipano a missioni di questo tipo. La preparazione ha riguardato come affrontare le modalità che avrebbe potuto avere l’intercettazione delle nostre imbarcazioni all’interno delle strategie israeliane di violenza psicologica e fisica.

Da dove siete partiti e dove stavate navigando?
Siamo partiti il 26 aprile 2026 da Augusta in Sicilia. La missione era stata modulata per tappe, viaggiando per la maggior parte del tempo in acque territoriali per evitare che ci potessero essere sconvolgimenti, che comunque sono avvenuti. Questo per poterci permettere di fare assemblee e valutare il risk assessment strada facendo. Una prima tappa sarebbe stata la Grecia e la seconda tappa in valutazione era la Turchia. A differenza delle precedenti missioni in cui si era deciso di andare verso Gaza dritto per dritto, la Flotilla, anche per via della guerra che si sta consumando in quella porzione di Mediterraneo, aveva considerato la possibilità di fare una valutazione per così dire miglio per miglio.

Stavate veleggiando verso la Grecia, avevate la formazione su cosa fare se venivate intercettati, però eravate convinti che questo non sarebbe successo nel primo pezzo di rotta?
Eravamo certi che l’eventuale intercettazione non sarebbe stata nel primo tratto perché ci sembrava assurdo che la Marina israeliana, meglio definirla Forza d’occupazione israeliana, non si sarebbe potuta spingere al di là delle sue acque territoriali, dove c’è il blocco navale che hanno imposto alle acque della Palestina.

• L’ARREMBAGGIO

Veniamo alla notte tra il 29 e il 30 aprile 2026 cosa è successo?
Nelle notti precedenti avevamo visto dei droni che ci sorvolavano. Forse un po’ inconsciamente avevamo pensato che potessero essere di Frontex, gli stessi che sostanzialmente battono il Mediterraneo per cercare le imbarcazioni in difficoltà dei migranti, visto che stavamo facendo una delle rotte migratorie più comuni delle nostre geografie.
All’improvviso è arrivato il primo Mayday. Poi hanno gemmato le radio, interrotto tutte le comunicazioni via radio. Non ci sono state comunicazioni chiare su di chi fossero le imbarcazioni che ci stavano affiancando o che ci stavano abbordando. Chi pensava fosse la Guardia costiera greca che ci avrebbe intimato l’alt perché era troppo pericoloso andare avanti o che avrebbe fatto dei controlli visto che si sapeva che la Flotilla non era benvenuta in acque territoriali greche. Chi pensava fossero imbarcazioni Frontex, chi addirittura gli Americani. Ma mai ci saremmo aspettati che Israele avesse pensato e deciso di far muovere una sua nave militare in acque internazionali a poche miglia dalla Grecia, il tutto completamente indisturbato.

Notte fonda, droni sulla testa, comunicazioni bloccate: una situazione a dir poco inquietante. A questo punto punto chi vi ha abbordato e sequestrato?
Erano delle motovedette ma non riuscivamo a vedere tutto. Alla nostra barca si è avvicinata una motovedetta. Sono saliti a bordo ed hanno iniziato a gridare ordini confusi tipo “mani in alto”, “giù le mani”. Chi diceva “testa alta”, chi diceva“testa bassa”.

In quel momento avete capito che erano militari israeliani?
C’eravamo preparati alle fasi di abbordaggio e abbiamo capito anche dall’atteggiamento super violento, super aggressivo, super intimidatorio che non era possibile fossero della Guardia costiera greca. Al di là della lingua inglese con cui ci urlavano contro, tra loro parlavano in israeliano. La radice linguistica era evidente. Non era una lingua europea.

Cosa è successo?
La nostra barca è stata affiancata da due motovedette. A bordo sono saliti in 5-6, tra cui una donna e un cane. Noi a bordo della Bella Blue eravamo in 6. “Chi è il capitano?”. “Chi è l’equipaggio?”. Hanno iniziato a fare domande specifiche per individuare le responsabilità dell’imbarcazione.
Come d’accordo noi rispondiamo che c’è uno solo di noi che avrebbe interagito con loro e che dice loro: “Non c’è capitano né equipaggio. Io sono la persona delegata a parlare con voi. Ho i passaporti”.
La prima domanda che fanno è: “dov’è Starlink?”. Anche se avevano già sabotato le comunicazioni volevano prendere le apparecchiature.
Alcuni di loro sono scesi nelle cabine mentre altri ci hanno perquisito. Ci hanno fatto spogliare, tolto gli indumenti che avevamo per coprirci, perquisito il corpo e poi ci hanno messi a prua della barca, schiena verso di loro. Messi in quella posizione era impossibile vedere quello che ci succedeva dietro le spalle. L’unica cosa che vedevamo era l’enorme nave carcere dove stavamo andando. Si vedevano motovedette veloci che sfrecciavano da una parte all’altra, abbordando le altre imbarcazioni. Quello che sapevi era che stavi andando verso quella gigantesca nave carcere e non sapevi quale sarebbe stato il tuo destino.
Uno di loro ci ha chiesto di preparare due borsoni con dentro le cose per due mesi.

Due mesi, hanno detto così per terrorizzarvi?
Hanno detto proprio così. Hanno scelto due persone, tra cui io per fare questi borsoni. Sono scesa sottocoperta a preparare le borse. Ho potuto vedere che era tutto devastato: avevano rotto i pacchi umanitari, quelli di farina, latte in polvere e pasta, i nostri zaini. C’era una confusione totale. Tutto a soqquadro. Abbiamo fatto i borsoni. Siamo risaliti e glieli abbiamo consegnati. Poi siamo stati trasbordati su una di queste motovedette veloci e trasferiti alla nave carcere.

Quando è durato il tutto dall’arrembaggio a quando vi hanno trasferiti sulla nave carcere?
Un’oretta circa. Avevamo la percezione che quello che stava succedendo intorno a noi fosse esattamente quello che stava succedendo agli altri. In seguito abbiamo scoperto che erano state abbordate solo una ventina di imbarcazioni. Non ce l’hanno fatta a prenderci tutti.

• A BORDO DELLA NAVE CARCERE

A questo punto vi ritrovate dentro la nave carcere e dove venite portati?
Siamo stati trasbordati sulla nave carcere, grande, gigantesca. Non che siamo riusciti a vedere molto perchè ci hanno tenuto per la maggior parte del tempo in posizioni di stress: ginocchia a terra, testa a terra e mani o dietro la schiena o sulla testa. Non abbiamo avuto, per così dire, la possibilità di avere un campo visivo ampio.

C’era un grande stanzone dove vi hanno portato?
Dopo i debriefing che abbiamo avuto ci siamo fatti l’idea che questa nave carcere fosse fatta ad hoc per questo tipo di operazione. Non era una struttura fissa, era una struttura mobile, fatta con container.
Appena saliti hanno iniziato a dire “take it off” riferendosi alla kefiah che io come altri avevamo al collo.
Testa a terra, in ginocchio, mani dietro la schiena o sulla testa, siamo stati in attesa in una sorta di corridoio prima di essere perquisiti di nuovo. Camminavamo o meglio gattonavamo dentro questo corridoio che fiancheggiava uno dei grandi container dentro al
quale poi saremmo finiti.

Vi eravate già resi conto che oltre a voi c’erano altri della Flotilla?
Sì. Sentivamo le persone precedentemente abbordate e rapite sbattere sui muri dei container, urlando. Altri come noi erano in attesa di essere perquisiti.
A spanne, in quel momento quando sono stata trasferita io, saremmo stati una ventina di persone ad aspettare di essere nuovamente perquisiti.

Immaginiamo la scena. Gattonate a lato di questi container e sentite che c’è qualcuno già dentro. A questo punto vi bloccano per una nuova perquisizione?
Sì. Mani sulla transenna, nuova perquisizione. L’eliminazione di ogni oggetto che riguardasse la tua propria personalità. Mi hanno tolto bracciali e collana. Per togliermi la collana mi hanno puntato un coltello alla gola per tre volte fino a quando non gli ho detto che c’era un gancio per cui potevo togliermela da sola senza rischiare il morto. Nonostante mi abbia guardato molto male, la donna militare mi ha fatto togliere la collana da sola e poi dopo avermi perquisita mi ha chiesto se dovesse preoccuparsi di qualcosa che io avevo addosso. Ovviamente la risposta è stata negativa. Mi sono state tolte tutte le cose che erano nelle tasche, nel giubbotto.
Io sono stata una di quelle persone “fortunate” alle quali hanno lasciato quanto meno il pile ma mi hanno tolto anche la giacca. Tante persone sono rimaste senza scarpe e in magliettina a manica corta per tutto il tempo della detenzione.

Dopo l’ennesima perquisizione cosa ti è successo?
Dopo la perquisizione ci hanno rimessi in stress position fino ad arrivare ad un banchetto dove sono stati requisiti i passaporti. C’erano tante donne militari, molto giovani.
Ad un certo punto mi hanno abbassato la testa, fatto girare e quando mi hanno alzato la testa mi hanno chiesto di mettere le mani sul muro. Sul muro c’era la bandiera di Israele.
Da lì mi hanno ordinato di aprire e entrare nella porta del container che stavamo fiancheggiando. All’inizio ho avuto paura che la nave fosse adibita per mettere ognuno di noi in isolamento. Per fortuna, come tutti gli altri, ho scoperto con sollievo che aperta la porta del contanier c’era uno spazio all’aria aperta che sarebbe poi stato l’area comune di tutte e tutti noi, dove c’erano già i compagni e le compagne che erano state precedentemente rapite.
Ho aperto la porta e all’improvviso c’era una grande luce bianca da stadio.
Il tipo di luce bianca accecante che hanno descritto Thiago e Saif quando hanno raccontato della privazione del sonno, delle violenze psicologiche messe in atto nelle stanze dei detenuti e delle detenute nel carcere in cui sono stati richiusi nei giorni seguenti.
Passata la porte sulla nave c’era Thiago che attendeva e accoglieva chiunque di noi entrasse nello spazio insieme a tutti gli altri compagni e compagne che erano state precedentemente perquisite.

E’ la notte tra il 29 e il 30 aprile, siete tutti insieme nella nave carcere, ma nessuno vi comunica dove andrete, cosa succederà. Pensavate in quel momento che vi avrebbero portato in Israele?
C’è stata sicuramente un po’ di crisi e panico generale. Nessuno di noi si aspettava che Israele si potesse spingere fino al largo della Grecia. Ognuno di noi a suo modo stava pensando che comunque fosse saltato qualche equilibrio internazionale. Al di fuori da
quella nave per noi il mondo era inaccessibile. Non sapevamo bene quale fine potessimo fare. Stiamo andando in Israele: questa era la cosa che chiaramente ognuno di noi pensava. Questi sono venuti a pescarci qua, sicuramente non ci portano a Cipro o in Grecia e nè tantomeno in Italia. Ci porteranno sicuramente in carcere in Israele.

Qual’è stato l’ultimo gruppo che è stato fatto salire sulla nave carcere?
L’ultima nave che è stata abbordata è stata quella di Tony la Piccirella. Era già l’alba.

• PRIGIONIERI IN MEZZO AL MARE

Dopo l’alba, come vi accorgete che la nave carcere inizia a muoversi?
All’alba ci rendiamo conto che la nave comincia a muoversi. Va detto che essendo una nave grande non ti rendi conto del movimento a differenza di quello che avevamo vissuto gli ultimi quattro giorni a bordo delle nostre piccole imbarcazioni in cui appena facevi una mossa si sentiva il movimento dell’intera barca.
Su questa grande nave non avevamo una grandissima percezione del movimento, però guardavamo il cielo per cercare di capire se le nuvole si stessero spostando per il vento o se fosse la nave a spostarsi e in più ci stendevamo sotto i container dove c’era una piccola fessura per cercare di capire se riuscivamo a vedere il mare muoversi. Durante la mattina quando abbiamo visto il sole, abbiamo capito che stavamo andando verso sud est. Cipro o/e poi Israele? Nessuno ci diceva niente.

Vi hanno dato qualcosa da bere e da mangiare?
Poca acqua per tutte le quasi 200 persone che eravamo e due panini marci.

Quanto siete stati sulla nave carcere?
Più di 30 ore, 34-36.

Cosa è successo nelle lunghe ore a bordo?
La prima cosa che hanno fatto è stato prendersi Tony La Piccirella e Saif. Dopodiché si sono presi un altro compagno che stava urlando contro il comando che dall’alto ci guardava.
Eravamo perennemente osservati. Ci controllavano dall’alto dove c’era il gabbiotto che circondava tutta la zona detentiva. Ci tenevano a farci sapere che erano lì anche se tu non potevi vedere. Picchiettavano sul container, ci sbattevano sopra, tiravano dei colpi molto forti per tutte le ore del giorno e della notte. A volte entravano con un fare estremamente violento e arrogante, da israeliani, da Forze d’occupazione. Ci chiedevano di contarci. Alcune volte ci mettevano in fila indiana. Cinque file indiane. Ogni persona che contavano poi la mettevano dentro il container. Ad un certo punto ci siamo trovati in 185 persone, quanti eravamo, in un container molto piccolo, stretto e buio. C’era solo una porta e inevitabilmente abbiamo provato un senso di soffocamento. Un’altra volta ci hanno chiesto di metterci agli angoli dello spazio comune, in gruppi da cinque, da dieci.
Thiago era diventata la persona di contatto. Parlavano solo ed esclusivamente con lui, lo chiamavano, lo portavano dentro al container, ci parlavano e Thiago ci comunicava quello che gli dicevano. Quando noi insieme a Thiago abbiamo detto loro che volevamo sapere che fine avevano fatto Saif e Tony La piccirella, gli hanno risposto che erano stati isolati perchè sapevano che avevano delle allergie alimentari molti forti. Tanto per far capire che tipo di informazioni distorte ci davano.
Comunque Thiago la mattina del nostro “rilascio” è stata la prima persona che si sono portati via.
Durante le ore a bordo non ci siamo persi d’animo. Abbiamo fatto anche assemblea per capire cosa fare e cosa ci stava succedendo, come relazionarci alla dimensione di violenza che stavamo vivendo. Pensavamo che stavamo andando verso Israele visto che così avevano detto a Thiago. Abbiamo iniziato a cantare, a battere sul container, a battere le mani, a fare cori. Chiedevamo le terapie delle persone rapite, insieme asd acqua e ad assorbenti, così come anche che i compagni messi in isolamento tornassero con noi. Di fronte alle forme di azione ovviamente pacifiche e non violente che facevamo, loro hanno cominciato ad agitarsi. Hanno cominciato a sparare, a battere pure loro, ad entrare, ad urlare, a darci ordini, a metterci in stress position e tutta un’altra serie di cose.

• SBARCO … DOVE?

E’ di nuovo l’alba. E’ il 1 maggio 2026, cosa succede?
Cominciano a battere forte sui tre container dell’area, a sparare sui container per svegliarci. In una situazione del genere qualsiasi rumore ti fa sobbalzare, per cui iniziamo ad agitarci perchè capiamo che sta per succedere qualcosa. Iniziamo a battere le mani, a fare cori.
Il primo che viene portato via è Thiago. Viene eliminata la persona di contatto tra noi e loro.
Alcune persone che fanno resistenza ovviamente non violenta sono brutalmente picchiate. Erano i primi vicino alla porta da cui loro entravano. Altri vengono portati via. Altri vengono stesi per terra, faccia a terra. E’ un momento di grande confusione e tensione. Non si capisce cosa sta avvenendo. Iniziano a dirci che stavamo per essere trasferiti in un’altra imbarcazione e dovevamo metterci in fila per essere contati. Iniziamo ad essere sempre più preoccupati. Dove ci state portando? Dove sono i nostri compagni? Anche loro verranno trasferiti insieme a noi?
Vediamo che alcuni sono malmenati. Ad alcune persone hanno sparato addosso con proiettili di gomma.
Aumenta il livello di violenza e in noi aumenta l’incapacità di pensare ad altro oltre il fatto che ci stavano trasferendo in una nave più veloce per andare in Israele.
Continuano a darci false informazioni. Sono nel penultimo gruppo che viene portato via. Ci hanno anche detto che se uno non voleva essere trasportato doveva sapere che rimanendo sulla nave carcere sarebbe andato in Israele. Poi ci dicono che saremmo stati trasferiti in un foreign country. Solo che per noi anche Israele è un foreign country…..

In tutta questa confusione, vieni spostata? Cosa capisci?
Dopo essere stata sempre a testa bassa e in ginocchio, capisco che qualcosa è cambiato quando il militare che mi ha accompagnata fino alla porta della nave carcere mi ha permesso di alzare la testa, lì ho visto che c’erano i miei compagni e le mie compagne su una motovedetta. Ero stordita. Non capivo. Ho guardato il militare che avevo davanti e non era armato, non era a volto coperto. Non riuscivo a capire chi fosse. Mi sono alzata. Ho guardato la bandiera sulla motovedetta su cui ero salita ed era la bandiera della Grecia. Era diverso anche l’atteggiamento dei militari che erano sulla nave su cui stavamo salendo. Era la guardia costiera greca, la loro marina militare.Erano le 7 del mattino circa del 1 maggio 2026.

Così termina il racconto di Angela.
Una domanda ci viene da fare a tutti i giuristi e non solo: quanti reati sono stati compiuti nei confronti di persone che non stavano compiendo alcun reato?

---

I messaggi RCS scambiati tra iPhone e Android viaggiano ora cifrati end-to-end di default, anche se per il momento in versione beta. Apple ha rilasciato iOS 26.5 lunedì 11 maggio, e l’aggiornamento abilita questa protezione su entrambi i dispositivi, a patto che chi è dall’altra parte usi una versione recente di Google Messages.

Cosa è RCS, in due righe

RCS sta per Rich Communication Services ed è il sistema pensato dagli operatori telefonici per rimpiazzare gli SMS. Permette di scambiare foto e video in buona qualità, vedere quando l’altra persona sta scrivendo, ricevere conferme di lettura. Le funzioni a cui ci hanno abituato applicazioni come WhatsApp o Telegram, in pratica, ma integrate dentro l’app messaggi del telefono. Apple lo ha adottato solo con iOS 18, nel 2024, dopo anni di pressioni e cause antitrust.

Cosa cambia con questo aggiornamento

Prima di iOS 26.5, un messaggio scambiato tra un iPhone e un Android via RCS era protetto solo tratto per tratto, con la cifratura tipica delle connessioni internet, ma il contenuto risultava in chiaro sui server intermedi. Adesso il testo viene cifrato sul dispositivo di chi scrive e decifrato solo su quello di chi riceve. Nessuno in mezzo, né l’operatore né la piattaforma, può leggere il contenuto. In cima alla chat compare un piccolo lucchetto, lo stesso simbolo che da anni si vede nelle conversazioni iMessage.

La tecnologia alla base è Messaging Layer Security, uno standard aperto sviluppato da un consorzio internazionale di ricercatori e ingegneri e adottato ufficialmente dall’associazione di categoria dell’industria delle telecomunicazioni, la GSMA, nella versione 3.0 del profilo universale RCS di marzo 2025. È la prima volta che un sistema di messaggistica ad adozione di massa adotta una cifratura end-to-end interoperabile tra piattaforme diverse, almeno sulla carta.

I limiti pratici per chi tiene davvero alla privacy

La parola “interoperabile” merita una precisazione. Lo standard è aperto, ma le uniche due implementazioni esistenti sono dentro Apple Messaggi e Google Messages. Nessun client di terze parti, nessuna alternativa libera. Su Android la cifratura passa per Jibe, l’infrastruttura di Google che gestisce il routing dei messaggi RCS, quindi serve obbligatoriamente Google Messages e di conseguenza la presenza dei servizi Google sul telefono.

Per chi ha un dispositivo degooglizzato la situazione si complica. Sui sistemi senza servizi Google (come /e/OS in configurazione restrittiva o LineageOS senza GApps) RCS proprio non si attiva. Su GrapheneOS, dove i servizi Google possono girare in modalità isolata, RCS funziona ma il traffico passa comunque dai server di Google, con i compromessi che ne derivano.

Per ora la funzione è in beta ed è disponibile solo su alcuni operatori, una lista che Apple aggiorna su una pagina di supporto dedicata. Per chi vuole comunicazioni davvero private il consiglio resta quello di sempre, anche se ripeterlo è ormai stancante: Signal funziona ovunque, non dipende dall’operatore né da un’app di sistema, e non richiede aggiornamenti specifici a iOS o Android.

SOURCE:// apple.com
SOURCE:// blog.google
SOURCE:// thehackernews.com

---

Per circa 24 ore tra il 6 e il 7 maggio, due dei link di download presenti sul sito ufficiale di JDownloader puntavano in realtà a file malevoli ospitati altrove. La conferma è arrivata dagli stessi sviluppatori in una pagina dedicata all’incidente, pubblicata dopo aver messo offline il sito per circa due giorni di analisi e ripristino.

Il problema riguardava soltanto due opzioni di scaricamento: l'”Alternative Installer” per Windows e l’installer in formato shell per Linux. Tutti gli altri canali di distribuzione sono rimasti puliti, inclusi i pacchetti per macOS, winget, Flatpak, Snap, le immagini Docker dai registry ufficiali e il file JAR principale.

Cosa è successo esattamente

Gli attaccanti non sono entrati nei server di JDownloader e non hanno modificato i pacchetti originali. Hanno sfruttato una vulnerabilità nel sistema di gestione dei contenuti (CMS) del sito per cambiare la destinazione di due link di download, facendoli puntare a file malevoli ospitati su server di terze parti. Per chi cliccava, il sito ufficiale consegnava un eseguibile diverso da quello atteso, con firma digitale assente o riconducibile a editori sconosciuti invece di AppWork GmbH, il publisher legittimo di JDownloader.

Secondo la cronologia pubblicata dagli sviluppatori, i primi test degli attaccanti risalgono alla tarda serata del 5 maggio. La modifica dei link è arrivata poco dopo la mezzanotte del 6 maggio. La segnalazione è partita da un utente Reddit nel pomeriggio del 7 maggio, e il sito è stato spento poche decine di minuti dopo, alle 17:24 UTC. Il ritorno online è avvenuto nella notte tra l’8 e il 9 maggio, dopo aver corretto i link e rafforzato la configurazione.

Un dettaglio importante: gli aggiornamenti scaricati dall’interno di JDownloader non sono mai stati a rischio. Il programma verifica crittograficamente ogni aggiornamento prima di installarlo, in modo indipendente dai link pubblicati sul sito, ed è proprio questa verifica a impedire la sostituzione silenziosa dei file.

Cosa fare se si è scaricato in quei giorni

Chi ha installato JDownloader dai due link incriminati tra il 6 e il 7 maggio rientra nella fascia a rischio. Gli sviluppatori suggeriscono di verificare la firma digitale del file: tasto destro, Proprietà, scheda “Firme digitali”. Se non compare AppWork GmbH, il file non è autentico. Sulla stessa pagina ufficiale dell’incidente sono pubblicati anche gli hash SHA256 e le dimensioni esatte degli installer malevoli identificati, da confrontare con la propria copia.

Per chi ha effettivamente eseguito l’installer, la raccomandazione è netta: reinstallazione pulita del sistema operativo. Una scansione antivirus può aiutare, ma secondo gli sviluppatori non basta a garantire la rimozione di tutti i meccanismi di persistenza che il malware può avere installato. Nel frattempo conviene cambiare le password degli account importanti da un altro dispositivo, in caso le credenziali salvate sul computer compromesso siano state esfiltrate.

---

---

Huawei ha da qualche giorno presentato la WATCH FIT 5 Series. Si tratta di eleganti dispositivi indossabili che uniscono funzionalità avanzate per la salute e il fitness a un design alla moda.

Dyson Supersonic Travel: phon compatto per viaggi
Dyson presenta Supersonic Travel, il nuovo asciugacapelli compatto pensato per chi viaggia. Più leggero e con voltaggio automatico, offre prestazioni elevate e styling preciso ovunque nel mondo
TechpertuttiGuglielmo Sbano

Colori vibranti e un ampio display

HUAWEI WATCH FIT 5 è disponibile in cinque varianti colore: grigio-verde, viola, verde, bianco e nero, mentre la versione FIT 5 Pro si mette in mostra nelle varianti arancione, bianco e nero. Quest'ultima versione vanta un innovativo design "oil-filling" che mantiene i colori vividi; l'edizione Pro bianca si spinge anche oltre perchè ottenuta utilizzato un trattamento superficiale chiamato Micro-Arc Oxid (MAO) per la scocca dello smartwatch.
Huawei Watch Fit 5 Pro in versione Orange
Si tratta di una tecnologia evoluta dell’anodizzazione che crea uno strato ceramico sopra l’alluminio, migliorando la durezza della superficie, la resistenza all’usura e la protezione contro i graffi. Il WATCH FIT 5 presenta un display da 1,82 pollici, mentre WATCH FIT 5 Pro vanta un display in vetro zaffiro 2.5D da 1,92 pollici, caratterizzato da cornici nere ultrasottili da 1,8 mm. Con una luminosità di picco di 3.000 nit (dati HUAWEI), il display della versione Pro garantisce una chiarezza cristallina anche alla luce diretta del sole, reso ancora più fluido da frequenze di aggiornamento adattive da 1 Hz a 60 Hz.
Huawei Watch Fit 5 in versione Purple

Il divertimento incontra la professionalità

La WATCH FIT 5 Series introduce la modalità Mini-Workout, un modo innovativo per mantenersi attivi, ideale soprattutto per chi ha poco tempo a disposizione. Non sono necessari attrezzi o spazi dedicati: grazie a un simpatico compagno, un panda interattivo sul quadrante, è possibile eseguire rapidamente sessioni di esercizio, dalla durata di 30 secondi a diversi minuti. Per gli appassionati di outdoor, lo smartwatch rileva automaticamente l'attività ciclistica aiutando gli utenti a comprendere meglio le proprie prestazioni. La versione Pro si spinge oltre, offrendo un supporto approfondito per le attività outdoor professionali. I golfisti, invece, possono accedere a mappe vettoriali di oltre 17.000 campi globali, con la visuale del green che ruota automaticamente per allinearsi al loro campo visivo, consentendo una precisa analisi dello swing.
I nuovi smartwatch Huawei dedicano particolare attenzione alla salute cardiovascolare e femminile

Monitoraggio del benessere

Con i nuovi smartwatch HUAWEI trasforma il monitoraggio della salute da passivo a proattivo, dedicando particolare attenzione alla salute cardiovascolare e femminile. L'edizione Pro è dotata di funzionalità avanzate come l'analisi dell'aritmia basata sulle onde di polso (fibrillazione atriale), un'app ECG e il rilevamento della rigidità arteriosa. Inoltre, è presente un valido supporto alla gestione della salute femminile attraverso un sensore di temperatura che traccia le tendenze della temperatura del polso. Questo consente di monitorare il ciclo mestruale e il giorno dell'ovulazione, aiutando così le donne a comprendere meglio il proprio corpo.

I pagamenti contactless

I pagamenti digitali e contactless sono ormai diventati parte integrante della quotidianità per i possessori di smartwatch. L'introduzione di Curve Pay sui dispositivi HUAWEI WATCH rende i pagamenti in movimento e senza smartphone ancora più accessibili, e rappresenta un elemento centrale dell'impegno di Huawei nel portare la tecnologia indossabile sempre più vicina all'utente.

GPS tracker per cani e gatti: guida completa alla scelta e all’uso
Una guida completa ai GPS tracker per cani e gatti: cosa sono, come funzionano, quali tipologie esistono e quali caratteristiche valutare per scegliere il dispositivo più adatto e usarlo al meglio
TechpertuttiGuglielmo Sbano

Batteria ad alto silicio

WATCH FIT 5 Series è dotata di una batteria ad alto contenuto di silicio. Secondo i dati dell'azienda, la batteria garantisce fino a 10 giorni di autonomia con uso leggero e 7 giorni con uso regolare. Una singola ricarica copre un'intera settimana di spostamenti quotidiani o viaggi brevi, eliminando la preoccupazione di ricariche frequenti.

Prezzi e disponibilità

La WATCH FIT 5 Series offre piena compatibilità con i principali dispositivi Android e iOS ed è disponibile a partire da 199,00 euro.

---

Finalmente qualcuno ha risolto la dipendenza da smartphone. La soluzione? Comprare una barretta di cioccolato.

KitKat Panama, insieme all’agenzia creativa Ogilvy Colombia, ha presentato “Break Mode”: una confezione sovradimensionata che, una volta infilato dentro lo smartphone e chiusa correttamente, blocca completamente il segnale. Chiamate, connessione dati (4G e 5G), Bluetooth, GPS: tutto sparisce. Il telefono diventa un mattone rosso con il logo di Nestlé stampato sopra.

La tecnologia c’è davvero

La cosa curiosa è che non si tratta di una trovata puramente grafica. Dentro alla confezione ci sono strati di rame, poliestere e rivestimento in polipropilene che formano una vera gabbia di Faraday, cioè un involucro conduttivo che isola il contenuto dai campi elettromagnetici. La stessa tecnologia che si usa nei laboratori medici, nei data center e, evidentemente, negli snack al cioccolato.

Ogilvy dice di averla testata seriamente, con misurazioni dell’attenuazione del segnale radio e dell’isolamento elettromagnetico. Efficacia dichiarata: 100%. La confezione dura circa un anno prima di dover essere smaltita, e i materiali si possono separare per il riciclo.

Tutto vero, tutto verificabile. Il che rende la cosa ancora più strana.

Hai presente “Have a Break”?

La campagna si aggancia allo slogan storico del brand: “Have a Break, Have a KitKat”. L’idea è che nel 2026 dire semplicemente “fai una pausa” non basta più, perché la pausa vera, quella senza notifiche, richiede un intervento fisico sul dispositivo.

La risposta di Nestlé al problema dell’iperconnessione quindi è: compra la nostra cioccolata, metti il telefono nella confezione vuota, disconnettiti. Come racconta Fast Company, il direttore creativo di Ogilvy Andina Gastón Potasz ha spiegato che il progetto nasce dal riconoscere “un’opportunità dentro la carta stessa del KitKat”. Opportunità pubblicitaria, si intende, ma tecnicamente riuscita.

La confezione è stata presentata a una fiera tecnologica, un concerto e un campus universitario in Panama. E, per ora, non è in vendita.

Funziona, ma

Va detto che la confezione non ha serratura. Il telefono si può tirare fuori in qualsiasi momento. Come ha osservato Sporked con la giusta dose di cinismo, non è molto diverso dal metterlo in tasca o in borsa. Il meccanismo che impedisce davvero di guardare lo schermo ogni trenta secondi non è incluso nella confezione, e probabilmente non esiste in nessun packaging.

SOURCE:// fastcompany.com
SOURCE:// lbbonline.com
SOURCE:// ninja.it

---

Con la versione 11.1.0, PeaZip corregge due vulnerabilità segnalate dal ricercatore Harshit Gupta: una riguarda la possibilità di aggirare i controlli sul percorso di estrazione nel formato .pea, l’altra la sanitizzazione degli input nelle funzioni che richiamano PowerShell su Windows. Entrambe le correzioni sono presenti in questo aggiornamento, rilasciato l’11 maggio 2026.

I backend di compressione vengono aggiornati e PeaZip arriva a supportare 242 formati di archivio distinti.

Il menu di estrazione cambia faccia

Il cambiamento più visibile riguarda il menu contestuale del gestore file. La voce “Estrai in…” viene ridisegnata per rispecchiare il selettore di percorso già presente nelle schermate di archiviazione ed estrazione. Fanno la loro comparsa due nuove voci rapide, “Ultimo percorso usato” e “Percorso dell’elemento selezionato”, mentre i segnalibri vengono spostati in un sottomenu dedicato e le destinazioni di filesystem più comuni vengono raggruppate in un ulteriore sottomenu.

Tra le correzioni minori, viene sistemato il comportamento durante la navigazione degli archivi quando è impostato un alias per 7z, e viene corretto un problema che impediva la rimozione visiva del commento dall’archivio nella barra di stato. Le voci del menu contestuale di Windows per la creazione diretta degli archivi ora enumerano il contenuto delle cartelle in modo coerente con le altre funzioni.

Note sul codice

I sorgenti vengono ora compilati con Lazarus 4.2, mantenendo la compatibilità con le versioni 3.x e 2.x. Viene inoltre aggiunta una finestra informativa che avvisa l’utente quando l’ottimizzazione del browser è impostata su “rapida” o “senza pre-analisi”, condizione in cui alcuni problemi negli archivi potrebbero passare inosservati.

Per chi usa il formato .pea, l’aggiornamento è raccomandato. Per tutti gli altri, una release solida e priva di grandi stravolgimenti.

SOURCE:// peazip.github.io
SOURCE:// github.com

---

👍 Se il video ti è piaciuto lascia un bel mi piace!
➕ Iscriviti per seguirmi e ricevere notizie sugli ultimi video!
Grazie mille! 😄
✅ Unisciti al canale telegram, in cui si potranno trovare foto e piccoli extra che non sono sul canale youtube! ➡️ treni.creeperiano99.it/u/teleg…
—————————————————————————-
👥 Il gruppo telegram discussione del canale telegram con possibilità di parlare di ferrovia in generale, nel rispetto degli altri utenti
✅ treni.creeperiano99.it/u/grupp…
—————————————————————————-
✅ Facebook ➡️ treni.creeperiano99.it/u/faceb…
✅ Twitter ➡️ treni.creeperiano99.it/u/twitt…
✅ Sito Web ➡️ treni.creeperiano99.it
✅ Odysee ➡️ treni.creeperiano99.it/u/odyse…
—————————————————————————-
👥 Canale telegram con le notizie della mobilità ferroviaria Toscana in tempo reale
✅ treni.creeperiano99.it/u/treni…
—————————————————————————-
👥 Gruppi telegram dedicati alle stazioni con anche le notizie della mobilità ferroviaria Toscana
✅ Castagneto Carducci-Donoratico Stazione FS: treni.creeperiano99.it/u/casta…
✅ Cecina Stazione FS: treni.creeperiano99.it/u/cecin…
✅ Empoli Stazione FS: treni.creeperiano99.it/u/empol…
✅ Campiglia Marittima Stazione FS: treni.creeperiano99.it/u/campi…
✅ Livorno Centrale Stazione FS: treni.creeperiano99.it/u/livor…
✅ Firenze Santa Maria Novella Stazione FS: treni.creeperiano99.it/u/firen…
💰🎁 Donazioni
Se vuoi supportarmi, potrai farlo tramite il seguente link. Grazie! ❤️
● treni.creeperiano99.it/u/donaz…
—————————————————————————-
#ETR104 #livorno #pop
#trains #treni #treno #ferrovia #ferrovie #italy #italia #railway #railways

treni.creeperiano99.it/2026/05…

---

---

MOVA ha annunciato la disponibilità di P70 Pro Ultra, il nuovo robot di ultima generazione della serie P. Progettato per portare tecnologie avanzate in una fascia di prezzo più accessibile, questo modello offre una combinazione ben bilanciata di prestazioni potenti, funzionamento a bassa manutenzione e navigazione intelligente. Con una potenza di aspirazione fino a 30.000 Pa, un doppio panno rotante ad alta velocità e alta pressione, e un sistema di autopulizia con acqua calda a 100°C, P70 Pro Ultra permette di rimuovere efficacemente polvere, detriti e macchie ostinate, garantendo risultati costanti sia nelle pulizie quotidiane che in quelle più impegnative. Il prezzo è di 699 euro.

GPS tracker per cani e gatti: guida completa alla scelta e all’uso
Una guida completa ai GPS tracker per cani e gatti: cosa sono, come funzionano, quali tipologie esistono e quali caratteristiche valutare per scegliere il dispositivo più adatto e usarlo al meglio
TechpertuttiGuglielmo Sbano

Aspirazione potente e pulizia più profonda

Rispetto al suo predecessore, P70 Pro Ultra vanta notevoli miglioramenti in termini di prestazioni di pulizia, efficienza di manutenzione e adattabilità ai tappeti. Dotato di una potenza di aspirazione fino a 30.000 Pa, questo robot promette di affrontare sia la polvere di tutti i giorni sia i compiti più complessi, come residui di cibo in cucina, peli di animali domestici e sporco incastrato nelle fessure del pavimento. Grazie al suo funzionamento silenzioso, aggiunge MOVA, il robot è particolarmente indicato per abitazioni di grandi dimensioni e sessioni di pulizia prolungate.
Il modello integra una rotazione ad alta velocità di 260 giri/min e una potente pressione verso il basso di 12 N
Anziché limitarsi a una pulizia superficiale, il sistema è concepito per sciogliere e rimuovere lo sporco ostinato con maggiore efficacia, risultando particolarmente utile contro macchie incrostate, residui appiccicosi e lo sporco tipico di cucina, sala da pranzo e ingresso.
La stazione base all-in-one del P70 Pro Ultra

Funzionamento e manutenzione semplici

Il sistema JetSpray Dryboard dotato di 20 ugelli distribuisce in modo uniforme l’acqua per una maggiore efficienza di lavaggio, e un filtro centrale aiuta a separare lo sporco per ridurre al minimo gli aloni. La stazione base all-in-one automatizza le principali attività di manutenzione, tra cui il riempimento del detergente, lo svuotamento della polvere, il lavaggio del mocio e la ricarica. In particolare, la funzione di lavaggio del mocio con acqua calda a 100°C riduce residui e odori dopo ogni ciclo di pulizia per garantire un’igiene costante; mentre l’asciugatura automatica del mocio completa la manutenzione in circa un’ora, rimuovendo fino al 99,99%* dello sporco per risultati impeccabili.
Combinando aspirazione e lavaggio in un unico sistema, P70 Pro Ultra offre una soluzione di pulizia completa ed efficiente

Riconoscimento ostacoli basato su IA

P70 Pro Ultra integra una navigazione LDS e un riconoscimento degli ostacoli basato su IA per adattarsi meglio ai reali ambienti domestici. Inoltre, utilizzando un sistema a luce strutturata 3D monoculare e una visione RGB, è in grado di identificare ed evitare oltre 280 tipi di oggetti comuni, tra cui cavi, piccoli accessori e mobili. Ciò consente una navigazione più fluida e affidabile anche in planimetrie complesse, riducendo le interruzioni e il rischio di incagliarsi.

Alexa+ in Italia: novità e come funziona l’AI Amazon
Alexa+ è finalmente disponibile in Italia: la nuova assistente Amazon basata su intelligenza artificiale generativa promette risposte più naturali, maggiore personalizzazione e un controllo ancora più evoluto della smart home. Ecco cosa cambia davvero
TechpertuttiGuglielmo Sbano

Disponibilità

P70 Pro Ultra è disponibile al prezzo di 699 euro ed è venduto sul sito ufficiale MOVA e su Amazon.

---

La settimana scorsa è stata una cavalcata: la diretta per la Stanza della musica a Roma (si può riascoltare qui), un concerto con Dramsam a Pordenone, uno con SolEnsemble sui Colli Euganei, e un’apparizione come attore al Duomo di Brescia con LaRossignol. Non posso lamentarmi per la varietà del mio lavoro.

Ma si torni a cose più quiete: per gli ultimi due incontri di Fortuitus si cambia giorno, il martedì!

Questa sera penultimo incontro – insegnerò gli ultimi brani nuovi, poi quando ci rivedremo per l’ultima volta faremo un grande riassunto, magari anche una classifica, e ci saluteremo con queste nuove vecchie musiche riscoperte, pronte in tasca per essere cantate 🙂

Per tornare alle origini, un altro brano dove arriva una pastorella, in questo caso danzante e festosa (spesso le pastorelle danzano e fanno festa) – e poi la storia di Franceschina.

Come sempre, aperto a tutti, anche per chi mai prima ha pensato di cantare in coro, si lavora a orecchio, senza musica (anche se un po’ spiego), anche se è la prima volta.

---

Recenti scavi archeologici condotti nel Suffolk, in Inghilterra, hanno riportato alla luce un sofisticato complesso industriale romano dedicato alla produzione di malto e birra. Il sito rivela una tecnologia avanzata per l’epoca, caratterizzata da un ingegnoso essiccatore per cereali che permetteva un controllo minuzioso di calore e umidità. Accanto alle strutture alimentari sono stati ritrovati forni per la ceramica e aree per la lavorazione dei metalli, delineando una filiera produttiva autosufficiente e altamente organizzata. La bevanda ottenuta si differenziava profondamente da quella moderna per la sua consistenza densa e l’assenza di luppolo, sostituito da erbe e miele. Questa scoperta offre una prospettiva inedita sull’economia locale delle province settentrionali dell’Impero, dove la birra rappresentava un elemento essenziale della dieta e della socialità quotidiana. L’indagine evidenzia come gli antichi romani avessero trasformato l’agricoltura in una vera e propria attività industriale strategica.

ref: stilearte.it/birra-romana-prod…

Salt-N-Pepa
26x22 Archeologia della Birra: L'Antico Laboratorio Romano nel Suffolk

00:00/23:57

Apple Podcasts RSS YouTube

RSS Feed

Share

Link

Embed

Scarica file | Ascolta in una nuova finestra | Durata: 23:57 | Registrato il 12 Maggio 2026

Abbonati: Apple Podcasts | RSS | YouTube

---

Negli ultimi giorni diversi utenti di GrapheneOS e di altri Android privi dei servizi Google stanno segnalando lo stesso problema: alcuni siti protetti da un reCAPTCHA che non si riesce a superare. Al posto del consueto esercizio con semafori e strisce pedonali compare una nuova schermata, chiamata reCAPTCHA Mobile Verification, che impone di completare il test usando uno smartphone “compatibile”.

Compatibile, nel lessico di Google, significa una cosa precisa. La pagina di supporto ufficiale elenca i requisiti: su Android serve Google Play Services in versione 25.41.30 o successiva; su iOS la 16.4 o successiva (al di sotto della 16.4 occorre installare un’apposita app dall’App Store). Chi naviga da computer, Windows o Linux che sia, vedrà un QR code da scansionare con un telefono che rispetti quelle condizioni. Altrimenti non si passa.

Come funziona davvero

Il meccanismo fa parte della suite Cloud Fraud Defense, e secondo Cybersecurity News è stato presentato il 22 aprile al Google Cloud Next 2026. Non compare a tutti: scatta quando reCAPTCHA classifica il traffico come sospetto. Per la maggior parte degli utenti il flusso resta invariato, ma chi finisce nel sottoinsieme “da verificare con il telefono” si trova davanti a due sole opzioni: Play Services oppure un iPhone aggiornato. L’unica via di fuga al momento, segnalata dagli stessi utenti, è cliccare sulla sfida audio quando disponibile.

Il punto critico è che la verifica non avviene risolvendo un puzzle ma chiedendo al telefono di attestare sé stesso. Su Android tutto passa per Play Services, su iOS per un’App Clip di Google che viene scaricata automaticamente sul dispositivo. In entrambi i casi è un componente proprietario di Google o Apple a decidere se chi sta davanti allo schermo merita di accedere al sito.

La lettura di GrapheneOS

Il progetto GrapheneOS ha pubblicato una lunga analisi sul proprio forum sostenendo che la copertura mediatica ha sottovalutato la portata della scelta. Secondo gli sviluppatori, il vero significato di reCAPTCHA Mobile Verification è l’estensione dell’attestazione hardware al web desktop: lo stesso meccanismo che Play Integrity API e App Attest impongono ai dispositivi mobili, ora applicato anche a chi naviga da PC, semplicemente passando per il telefono. Una direzione molto vicina a quella della famigerata Web Environment Integrity, la proposta che Google fu costretta a ritirare nel 2023 dopo le proteste.

Sempre secondo GrapheneOS, la giustificazione di sicurezza non regge: Play Integrity certifica come integri anche dispositivi Android privi di patch da dieci anni, mentre vieta il superamento del controllo a sistemi operativi più sicuri come GrapheneOS stesso. La motivazione vera, sostengono, è la licenza Google Mobile Services, che vincola contrattualmente i produttori a installare un pacchetto di app Google e a comportarsi secondo regole già giudicate anticoncorrenziali in Corea del Sud e altrove.

Va precisato che, allo stato attuale, GrapheneOS con i Play Services sandboxed installati sembra superare comunque il test, come riconosciuto dal progetto stesso. Il problema non è oggi quel sistema specifico ma la direzione complessiva, e nel frattempo chi usa Linux su mobile, telefoni con ROM senza microG come /e/OS in configurazione minimale, o naviga da un computer senza uno smartphone certificato a portata, si trova davanti a un muro.

Cosa c’è di reale e cosa no

Proviamo anche a separare i fatti dalle paure. È reale che il sistema escluda gli Android privi di Play Services e i computer non affiancati da un telefono “approvato”. È reale che venga mostrato solo a una parte del traffico, quella classificata come sospetta. È documentato che l’App Clip iOS condivida con Apple alcune statistiche di utilizzo, e che resti installato fino a trenta giorni di non utilizzo.

Non è invece (ancora?) dimostrato che il sistema venga usato per profilazione massiva oltre alle finalità antifrode dichiarate. Il problema vero non è nemmeno reCAPTCHA in sé: alternative open source esistono e i gestori di siti possono adottarle, hCaptcha (a cui Cloudflare passò anni fa), Anubis e Cap sono fra le più diffuse. Il problema è cosa succede quando a richiedere l’attestazione hardware sono banche, app governative, sistemi di identità digitale, pagamenti, verifica dell’età. Lì non si può “scegliere un altro fornitore”: o si ha un dispositivo certificato da Google o Apple o si resta fuori dal servizio. E questo, come ricorda lo stesso progetto GrapheneOS, sta già accadendo in diversi paesi europei.

SOURCE:// discuss.privacyguides.net
SOURCE:// discuss.grapheneos.org
SOURCE:// support.google.com
SOURCE:// androidauthority.com
SOURCE:// cybersecuritynews.com

---

Buona parte dei motori di ricerca che si presentano come alternative a Google ottengono comunque i risultati da Microsoft Bing, dipendendo in ultima istanza da un’infrastruttura americana. xPrivo, piccolo progetto europeo lanciato a fine 2025, ha scelto fin dall’inizio una strada diversa: appoggiarsi all’European Search Perspective (EUSP), un indice di ricerca indipendente creato da Ecosia e Qwant. Con la versione 4.0, pubblicata il 6 maggio, arriva anche un indice proprietario sviluppato direttamente dal team, che si affianca all’EUSP per ampliare la copertura dei risultati.

L’indice su cui si basa tutto

L’European Search Perspective nasce nel 2024 come joint venture tra Ecosia (Germania) e Qwant (Francia), due realtà che fino a quel momento dipendevano entrambe da Bing. Quando Microsoft ha alzato i costi di accesso al proprio indice nel 2023, i due motori hanno avviato la costruzione di un’alternativa autonoma. Il risultato, noto anche con il nome Staan, è operativo dall’agosto 2025, con una copertura iniziale focalizzata su contenuti in francese e tedesco, ed è disponibile ad altri fornitori che vogliano usarlo come base per i propri risultati. xPrivo è uno di questi.

Con la 4.0, xPrivo aggiunge un indice di piccole dimensioni ma di sua proprietà, con l’obiettivo dichiarato di migliorare la freschezza dei risultati e la copertura su argomenti rilevanti per il pubblico europeo.

Cosa c’è di nuovo nella versione 4.0

La novità più visibile è l’introduzione di una serie di moduli che arricchiscono la pagina dei risultati: schede informative per persone, luoghi e concetti, risultati di notizie e sport aggiornati, immagini integrate e una funzione di ricerca locale con mappa e orari. Quest’ultima è ancora in fase iniziale con copertura geografica limitata. Tutti i moduli possono essere attivati o disattivati singolarmente dalle impostazioni.

Arrivano anche le scorciatoie da barra di ricerca: /m apre un widget meteo, /c un calcolatore, /ai genera un riepilogo tramite intelligenza artificiale. Una seconda funzione, QuickSearch, permette di usare comandi con ! per aprire direttamente un sito con la ricerca già impostata, in modo analogo ai “bang” di DuckDuckGo, ma gestiti interamente nell’infrastruttura di xPrivo. L’elenco dei comandi supportati è consultabile direttamente dalla barra di ricerca.

Completano l’aggiornamento il supporto ai risultati in lingua tedesca, un’app iOS aggiornata e la possibilità per le attività commerciali europee di registrare la propria sede nell’indice locale. Il codice è pubblicato su GitHub; un’app Android con distribuzione prevista anche su F-Droid è in sviluppo.

SOURCE:// xprivo.com

---

---

MyHeritage ha annunciato il lancio di Scribe AI, una nuova soluzione basata sull’intelligenza artificiale progettata per trascrivere, interpretare e generare analisi avanzate a partire da documenti storici e fotografie d’epoca. Scribe AI rappresenta un significativo passo avanti nell’applicazione dell’AI al patrimonio storico e genealogico: la tecnologia combina infatti diversi modelli di intelligenza artificiale per analizzare contemporaneamente testi e immagini, aggiungendo un ulteriore livello di approfondimento storico.

SumUp Fedeltà in Italia: il loyalty program per commercianti
SumUp porta in Italia Fedeltà, il nuovo programma loyalty pensato per piccoli commercianti e attività locali. Una soluzione semplice per fidelizzare i clienti e migliorare la gestione delle relazioni, con strumenti digitali simili a quelli delle grandi catene
TechpertuttiGuglielmo Sbano

A differenza dei tradizionali strumenti di riconoscimento del testo, Scribe AI non si limita a trascrivere documenti, ma li interpreta in profondità.

Ad esempio:

• In un certificato di naturalizzazione del 1913, il sistema non solo estrae i dati principali, ma individua anche elementi contestuali, come la separazione dell’individuo dalla famiglia al momento della cittadinanza, riconducendola a fenomeni storici più ampi come la chain migration.

• In una lettera manoscritta del 1946, Scribe AI identifica mittente, data e contesto, rilevando persino annotazioni marginali in francese che indicano l’inoltro verso un cimitero, ricostruendo così il percorso del documento e la storia ad esso collegata.

• In un ritratto familiare di fine Ottocento (circa 1897), analizza dettagli visivi come abbigliamento, acconciature e stile fotografico per stimare periodo e luogo dello scatto.

Un potenziale rilevante per l’Italia

In un Paese come l’Italia, caratterizzato da un patrimonio archivistico vastissimo e spesso frammentato – tra archivi comunali, parrocchiali e collezioni private – Scribe AI può rappresentare uno strumento innovativo per la valorizzazione della memoria storica. Le applicazioni di questa tecnologia risultano particolarmente significative nella digitalizzazione e interpretazione dei documenti storici locali, nella ricostruzione di storie familiari legate ai grandi flussi migratori italiani tra XIX e XX secolo e nell’analisi di epistolari e testimonianze storiche, come le lettere dei prigionieri italiani durante la Seconda Guerra Mondiale. Un caso emblematico è quello di Daniele Israel, arrestato a Trieste nel 1943 e detenuto in una prigione sotto controllo nazista, che durante la prigionia riuscì a inviare oltre 250 lettere alla moglie e ai figli nascondendole nelle cuciture dei vestiti destinati alla lavanderia, mantenendo così un contatto clandestino con la famiglia.

Come funziona

Scribe AI di MyHeritage si basa su modelli di intelligenza artificiale specializzati capaci di riconoscere testo, pattern visivi e segnali storici, permettendo di analizzare documenti e immagini tipici della ricerca genealogica, dalle lettere alle fotografie, fino a lapidi e stemmi araldici. Il sistema trascrive testi manoscritti e stampati ed estrae automaticamente i principali dati genealogici, mentre per le immagini è in grado di stimare periodo e localizzazione a partire da indizi visivi, trascrivere iscrizioni su lapidi e interpretarne i simboli, oltre a spiegare gli elementi araldici e il loro significato storico.

Alexa+ in Italia: novità e come funziona l’AI Amazon
Alexa+ è finalmente disponibile in Italia: la nuova assistente Amazon basata su intelligenza artificiale generativa promette risposte più naturali, maggiore personalizzazione e un controllo ancora più evoluto della smart home. Ecco cosa cambia davvero
TechpertuttiGuglielmo Sbano

La piattaforma integra anche la traduzione automatica dei testi nella lingua dell’utente, riducendo le barriere linguistiche, e può essere applicata sia a nuovi contenuti caricati sia a quelli già presenti nel vasto archivio digitale di MyHeritage, che conta quasi 39 miliardi di documenti. Scribe AI è accessibile tramite una pagina dedicata sul sito ufficiale, con supporto ai formati JPEG, PNG e PDF, e sarà integrato in futuro nell’app mobile: il servizio è gratuito per un numero limitato di analisi, mentre per un utilizzo più esteso è richiesto un abbonamento.

Il futuro della memoria storica passa dall’intelligenza artificiale

In un contesto in cui la valorizzazione del patrimonio storico passa sempre più dalla digitalizzazione, soluzioni come Scribe AI di MyHeritage rappresentano un’evoluzione concreta nel modo in cui accediamo e interpretiamo il passato. L’integrazione tra intelligenza artificiale e ricerca genealogica non solo semplifica l’analisi di documenti complessi, ma apre nuove prospettive per studiosi, archivisti e appassionati, rendendo più accessibili storie che altrimenti resterebbero frammentate o difficili da ricostruire. Un approccio che, se applicato su larga scala, potrebbe avere un impatto significativo anche nella tutela e nella diffusione della memoria storica, soprattutto in un Paese come l’Italia ricco di archivi ancora in gran parte inesplorati.

---

---

Viaggiare va ben oltre la scoperta di nuovi luoghi: significa incontrare persone, scoprire nuovi sapori e immergersi in diverse culture. Ma cosa succede quando una barriera linguistica mina la propria sicurezza? Vasco presenta Vasco Translator M4: un traduttore elettronico portatile che rende il mondo accessibile a tutti, indipendentemente dalle competenze linguistiche. Facilità d’uso, interfaccia semplice e grazie all’intelligenza artificiale più avanzata, questo modello consente la traduzione istantanea di voce, testo e immagini.

Crypto nella vita quotidiana: come cambiano le abitudini digitali
Le criptovalute stanno entrando sempre più nella vita quotidiana, cambiando pagamenti digitali, acquisti online e abitudini tecnologiche
TechpertuttiGuglielmo Sbano

Curiosità senza confini

La vera avventura inizia dove finiscono i percorsi più battuti. Vasco Translator M4 è stato progettato per chi apprezza l’indipendenza e desidera sentirsi sicuro ovunque. Non è l’ennesimo gadget complicato: è un dispositivo progettato per aiutare a comprendere davvero le persone, non solo a trasmettere informazioni.
Con un peso di soli 106 grammi, questo traduttore è un compagno indispensabile da portare comodamente in tasca

Internet a vita senza abbonamenti e senza costi extra

Ciò che distingue Vasco Translator M4 dalle comuni app è la totale assenza di costi aggiuntivi. Il dispositivo è dotato di connessione Internet integrata per le traduzioni, valida in maniera illimitata per sempre in quasi ogni parte del mondo. Gli utenti possono dimenticare la ricerca di Wi-Fi, l’acquisto di SIM locali o le preoccupazioni legate al roaming. Basta accenderlo e iniziare a parlare. Il traduttore è pronto all’uso appena estratto dalla confezione, senza bisogno di configurazioni complesse né installazioni di ulteriori app.
Le funzioni di traduzione di foto e testo permettono di comprendere menù internazionali, orari dei trasporti o pannelli informativi con un solo clic
Design e qualità sono tra i maggiori punti di forza di questo traduttore. Gli altoparlanti sono abbastanza potenti da garantire traduzioni chiare anche nel bel mezzo di un mercato rumoroso o su una strada affollata. Un indicatore LED luminoso segnala esattamente quando il dispositivo è in ascolto. Inoltre, la personalizzazione dello schermo, inclusa la modalità a schermo intero e l’inversione dei colori, assicura una visibilità perfetta indipendentemente dalle condizioni di luce o meteo.
Un grande vantaggio è il pulsante fisico: chi non ama i touchscreen apprezzerà sicuramente questa soluzione touch

Velocità, comodità e conversazioni naturali

Grazie alla modalità automatica intelligente, le conversazioni con gli abitanti di Tokyo o Bangkok diventano completamente naturali. Una volta selezionata la combinazione di lingue, il traduttore riconosce automaticamente quale lingua viene parlata, permettendo uno scambio continuo di parole e idee. Gli utenti possono regolare la velocità di riproduzione, attivare un filtro per il linguaggio inappropriato e consultare la cronologia delle traduzioni.

Dyson Supersonic Travel: phon compatto per viaggi
Dyson presenta Supersonic Travel, il nuovo asciugacapelli compatto pensato per chi viaggia. Più leggero e con voltaggio automatico, offre prestazioni elevate e styling preciso ovunque nel mondo
TechpertuttiGuglielmo Sbano

L’utilizzo di oltre 10 motori di traduzione garantisce la massima precisione (fino al 99% di accuratezza), aiutando a evitare fraintendimenti, situazioni d’imbarazzo e a creare legami autentici. Con il supporto di 86 lingue per la traduzione vocale, Vasco M4 consente di comunicare con oltre il 90% della popolazione mondiale.

Vasco Translator M4 è disponibile nello store ufficiale online: vasco-electronics.it/traduttor…

---

---

TRASPARENZA: Yubico mi ha inviato una YubiKey 5 NFC e una YubiKey 5C NFC per poterle provare. Nessuno di loro ha letto o approvato questo articolo prima della pubblicazione e, come sempre, le opinioni restano le mie.

Qualche tempo fa avevo raccontato la mia esperienza con la Nitrokey 3A Mini e in molti mi avete chiesto un confronto con la concorrenza più nota. Detto fatto: nelle ultime settimane ho usato due chiavette di Yubico, la YubiKey 5 NFC con connettore USB-A e la YubiKey 5C NFC con connettore USB-C.

Sono tra i modelli più diffusi della famiglia YubiKey 5 e, a livello pratico, fanno le stesse cose: cambia soprattutto il connettore. La 5 NFC è più comoda se usate ancora porte USB-A, desktop, dock o portatili un po’ più vecchi; la 5C NFC è quella che oggi sceglierei più facilmente, perché USB-C è ormai ovunque tra portatili recenti, smartphone Android, tablet e hub vari.

Entrambe supportano anche l’NFC, che sulla carta dovrebbe renderle comodissime con lo smartphone. Nella pratica, almeno su Android, la storia è un po’ meno entusiasmante. Ci arriviamo.

Cosa c’è nella scatola

Pochissimo, anche qui. La confezione è minimale: trovate la chiavetta e poco altro. Per la documentazione si passa dal sito di Yubico, che è effettivamente molto curato e molto più completo di quello che ci si potrebbe aspettare per un oggetto così piccolo.

Le due chiavette hanno il classico design Yubico: corpo nero, foro per il portachiavi, scritta centrale e contatto dorato che funge da pulsante capacitivo. La 5 NFC ha il connettore USB-A, la 5C NFC ha il connettore USB-C. Per il resto l’esperienza d’uso è praticamente identica.

Sono leggere, sottili e non hanno batterie o parti mobili. Non c’è nulla da ricaricare, non c’è un’app sempre connessa a internet, non c’è Bluetooth. Si inseriscono nella porta USB o si avvicinano via NFC, si tocca il sensore quando richiesto e basta.

Yubico dichiara per questi modelli una costruzione resistente, con plastica rinforzata con fibra di vetro, resistenza ad acqua e polvere IP68, resistenza allo schiacciamento, nessuna batteria e nessuna parte mobile. Insomma, sono pensate per stare davvero nel portachiavi e non solo per essere fotografate sulla scrivania.

Cos’è una chiavetta di sicurezza

Prima di tutto: cos’è una chiavetta di sicurezza?

È un piccolo dispositivo fisico, simile a una penna USB molto schiacciata, che serve a dimostrare che siete davvero voi a tentare l’accesso a un account. Funziona come secondo fattore di autenticazione: dopo aver inserito la password, il sito vi chiede di collegare la chiavetta e toccarla per confermare.

Il vantaggio rispetto ai classici codici via SMS o alle app di autenticazione è che non c’è nulla da copiare, nulla da ricevere via messaggio e nessun codice da digitare in una pagina di phishing. Con FIDO2/WebAuthn la verifica è legata al dominio del sito: se finite su una pagina finta che imita quella vera, la chiavetta non firma una richiesta valida per il sito sbagliato.

È ad oggi uno dei metodi più solidi per proteggere i propri account, soprattutto quelli importanti: email principale, password manager, account sviluppatore, cloud, social, pannelli di hosting e servizi dove perdere l’accesso sarebbe un problema serio.

Quante cose può fare una YubiKey

Le YubiKey 5 non sono semplicemente “chiavette per il 2FA”. Dentro ci sono diverse applicazioni separate, ognuna pensata per uno scenario diverso.

Supportano FIDO2/WebAuthn, cioè lo standard moderno usato per chiavi di sicurezza e passkey; FIDO U2F, la versione precedente ancora usata per compatibilità; Yubico OTP; OATH-TOTP e OATH-HOTP, cioè i classici codici a sei cifre tipo Google Authenticator; PIV/smart card per certificati; OpenPGP per GnuPG, firma e cifratura; più funzioni come password statica, challenge-response e YubiHSM Auth.

Detta così sembra una lista pensata per far felici gli amministratori di sistema, ma il senso pratico è semplice: una sola chiavetta può coprire tantissimi casi d’uso diversi. Potete usarla per accedere a un account Google, proteggere Proton Mail, entrare nel vostro password manager, generare codici TOTP, firmare commit Git, gestire certificati PIV o usarla in scenari aziendali più avanzati.

Non userete per forza tutto. Anzi, probabilmente la maggior parte delle persone userà solo FIDO2 e magari i codici TOTP. Però è bello sapere che non state comprando un oggetto limitato a una sola funzione.

La prova sul campo

La configurazione iniziale è stata piuttosto rapida. Ho registrato le chiavette come secondo fattore su vari servizi nel giro di pochi minuti. Il meccanismo è sempre quello: vai nelle impostazioni di sicurezza, scegli “chiave di sicurezza”, inserisci la YubiKey, tocchi il sensore e dai un nome riconoscibile alla chiave.

Le ho provate con account email, servizi sviluppatore, repository Git, password manager e qualche servizio secondario. In generale, dove viene supportato FIDO2/WebAuthn, l’esperienza è davvero banale. Inserisci, tocchi, fatto.

Il vero punto forte di Yubico è proprio questo: la compatibilità. Non è l’unica azienda a produrre chiavette FIDO2, ma è quella che trovate più spesso nominata nelle guide ufficiali dei servizi. Questo non significa che sia automaticamente “la migliore” in ogni senso, ma riduce molto il numero di sorprese.

Con la Nitrokey avevo apprezzato tantissimo il lato open source e il fatto che fosse prodotta in Germania. Con Yubico si percepisce invece un approccio più industriale: meno fascino da progetto aperto, ma tantissima compatibilità e documentazione.

Yubico Authenticator e l’addio alla vecchia GUI di YubiKey Manager

La vecchia interfaccia grafica di YubiKey Manager è stata dismessa. Yubico ha annunciato l’End of Life della GUI il 19 febbraio 2025 e il supporto è terminato il 19 febbraio 2026.

Attenzione però: non significa che “YubiKey Manager” sia morto in generale. La parte da riga di comando, cioè ykman, resta supportata. A sparire è la vecchia applicazione grafica. Per chi vuole gestire la chiavetta senza terminale, l’alternativa consigliata da Yubico è Yubico Authenticator.

E anche Yubico Authenticator è piuttosto intuitiva.

Graficamente è molto più carina e moderna di quanto mi aspettassi. È ordinata, riconosce subito la chiavetta collegata e separa abbastanza bene le varie funzioni: account OATH, passkey/FIDO2, certificati PIV, slot OTP e impostazioni.

È utile anche perché ti fa capire che la YubiKey non è “una cosa sola”, ma un insieme di funzioni diverse. C’è la parte FIDO2, c’è la parte PIV, c’è la parte OTP, c’è la parte OATH. Ognuna ha le sue impostazioni, i suoi PIN, i suoi eventuali reset. Questa separazione è potente, ma può confondere se ci si avvicina per la prima volta.

La cosa che ho apprezzato di più è che l’applicazione ti porta abbastanza naturalmente verso alcune configurazioni importanti, in particolare nella parte PIV: PIN, PUK e Management Key.

Cambiate PIN, PUK e Management Key

Questa parte è importante, quindi meglio dirla chiaramente.

Per l’applicazione PIV, la YubiKey parte con valori predefiniti noti: PIN 123456, PUK 12345678 e una Management Key standard documentata. È normale che un dispositivo nuovo abbia valori di fabbrica, ma non è normale lasciarli così se decidete di usare davvero quella funzione.

Yubico stessa raccomanda di cambiare PIN, PUK e Management Key prima dell’uso. Yubico Authenticator permette di farlo con pochi clic e, secondo me, è una delle prime cose da fare quando si mette mano alla parte PIV.

Qui bisogna solo fare attenzione a non confondere i PIN. Il PIN PIV non è il PIN FIDO2. Il PIN FIDO2 riguarda passkey e credenziali FIDO2 residenti; il PIN PIV riguarda certificati e smart card. Stesso oggetto fisico, funzioni diverse.

È una di quelle cose che ti ricordano che la YubiKey può essere semplicissima o molto tecnica a seconda di cosa le chiedi. Se la usi solo per fare 2FA sui siti, è quasi banale. Se inizi a usare PIV, OpenPGP, slot OTP, Management Key e passkey residenti, diventa un piccolo coltellino svizzero crittografico.

Utile, ma da maneggiare con attenzione.

Tocco breve e tocco prolungato

Una funzione molto comoda delle YubiKey è la possibilità di distinguere tra tocco breve e tocco prolungato.

Qui però va fatta una precisazione: questa cosa riguarda i due slot dell’applicazione OTP. La YubiKey ha due slot configurabili: una attivata dal tocco breve e una dal tocco lungo. Dentro queste slot si possono mettere funzioni come Yubico OTP, password statica, challenge-response o OATH-HOTP.

Di fabbrica, sulle YubiKey standard, la prima slot è preconfigurata con Yubico OTP. La seconda resta disponibile per altri usi.

Sembra una cosa minore, ma nella pratica è utile. Se lasciate la YubiKey inserita e toccate per sbaglio il contatto dorato, può capitare che vi scriva una lunga stringa OTP dove si trova il cursore. Magari in una chat. Magari in un documento. Magari in un terminale.

Non succede nulla di drammatico, ma la prima volta vi chiedete perché siano comparsi caratteri casuali in mezzo a quello che stavate scrivendo.

Spostare alcune funzioni sul tocco prolungato riduce questo rischio.

La YubiKey per i codici TOTP

Una cosa che ho testato con piacere è la gestione dei codici TOTP tramite Yubico Authenticator.

Parliamo dei classici codici a sei cifre che cambiano ogni 30 secondi, quelli che normalmente teniamo in applicazioni come Aegis, 2FAS, Google Authenticator, Ente Auth e simili. Con la YubiKey potete salvare quei segreti direttamente sulla chiavetta e usare Yubico Authenticator solo come interfaccia per leggerli.

Questo significa che il segreto TOTP non vive sul telefono o sul computer, ma sulla YubiKey. Il telefono o il PC diventano solo uno schermo per visualizzare il codice.

È più sicuro? In molti casi sì. È più comodo? Non sempre.

Per vedere un codice dovete avere la YubiKey con voi, collegarla o leggerla via NFC, aprire l’app e generare il codice. Per gli account importanti ha senso. Per qualsiasi login secondario, probabilmente no. Io lo vedo bene per email principale, password manager, account sviluppatore e servizi davvero critici. Per il resto, forse è eccessivo.

Yubico dichiara per i modelli attuali della serie 5 fino a 64 credenziali OATH e fino a 100 passkey FIDO2 sui firmware più recenti. Sono numeri più che sufficienti per un uso personale, ma non sono infiniti. Anche qui, meglio non infilare dentro qualsiasi cosa solo perché si può.

La prova su Linux: zero problemi

Su Ubuntu l’esperienza è stata sostanzialmente trasparente.

Per l’uso FIDO2/WebAuthn con browser moderni non ho dovuto fare praticamente nulla. Inserisco la chiavetta, il sito la rileva, tocco il sensore, accesso confermato. Fine.

Yubico Authenticator ha riconosciuto le chiavette senza drammi e anche la gestione dei codici TOTP è stata semplice. Per le funzioni più avanzate, come OpenPGP e smart card, serve avere il sistema configurato correttamente, ma niente di particolarmente assurdo se avete già un minimo di familiarità con Linux e GnuPG.

La cosa bella è che quando qualcosa non funziona, di solito capisci dove guardare: servizio smart card, GnuPG agent, permessi, configurazione Git. Non ho avuto la sensazione di combattere contro il sistema operativo.

Non voglio farla sembrare una magia: alcune funzioni restano tecniche. Però, rispetto a quello che mi aspettavo, su Linux è andata molto liscia.

Su Windows serve qualche pazienza in più

Su Windows 10 la situazione è stata un po’ diversa.

Per il solo utilizzo FIDO2, cioè login ai siti, passkey e secondo fattore via browser, non ho avuto grossi problemi. Inserisci la chiavetta, tocchi il sensore e funziona.

Le cose diventano più macchinose quando si entra nella parte più avanzata: PIV, smart card, certificati, OpenPGP, firma dei commit, gestione delle chiavi. In questi casi Windows tende a metterci del suo: driver, finestre, agent, strumenti diversi che devono parlarsi tra loro, documentazione da seguire con più attenzione.

Yubico mette a disposizione strumenti e driver per Windows, inclusi quelli per la parte smart card/PIV, ma l’esperienza non è lineare come su Linux. Non direi che sia colpa di Yubico: è più il solito effetto Windows quando si esce dal flusso semplice “browser + login web” e si entra in un uso più tecnico delle chiavi crittografiche.

Morale: per il 2FA quotidiano Windows va benissimo. Per PIV, certificati e OpenPGP serve più pazienza.

Firmare i commit Git con OpenPGP

La YubiKey 5 supporta l’applicazione OpenPGP Smart Card e può essere usata con GnuPG. Una volta configurata correttamente, il flusso è molto bello: faccio il commit, GnuPG chiede la firma, la chiavetta lampeggia, tocco il sensore e il commit viene firmato.

L’ho usata anche per firmare commit su Codeberg, ad esempio su Le Alternative: codeberg.org/lealternative/pag…

È una di quelle cose che, se non sviluppate o non firmate commit, probabilmente vi lascia indifferenti. Ma se usate Git tutti i giorni, è molto comoda. La chiave privata non sta semplicemente lì come file sul disco del computer, pronta a essere copiata in caso di compromissione del sistema.

Qui però va fatta una precisazione importante. Se generate le chiavi OpenPGP direttamente sulla YubiKey, la parte privata non lascia mai il dispositivo. Se invece importate sulla YubiKey una chiave già esistente, quella chiave privata è esistita fuori dal dispositivo almeno in fase di generazione o trasferimento.

Non è un dettaglio da poco. La prima soluzione è più pulita dal punto di vista della sicurezza; la seconda può essere più comoda se avete già una chiave storica che volete continuare a usare.

Nel mio caso, una volta sistemata la configurazione, l’uso quotidiano è stato semplice: git commit, tocco della chiavetta, commit firmato. Se la YubiKey non è collegata, la firma non parte.

Il problema NFC, almeno per me

Veniamo al punto dolente. La connettività NFC, sulla carta, è la grande comodità delle YubiKey 5 NFC: avvicini la chiavetta al telefono, ti autentichi e via, senza cavi e senza adattatori. Nella pratica, sul mio telefono Android, non sono proprio riuscito a farla funzionare.

Ho provato e riprovato in posizioni diverse, con app diverse, con tempi di lettura diversi. Risultato: errore. A volte la chiavetta non veniva proprio rilevata, altre volte la lettura si interrompeva a metà restituendo un errore dell’applicazione. Mai un’autenticazione andata a buon fine via NFC.

Onestamente non so dirvi a chi va imputata la colpa. Sul mio mio telefono gira GrapheneOS e non escludo che il sistema possa gestire NFC in modo più restrittivo rispetto allo Android stock, ma è un’ipotesi e non ho voglia di passare per esperto di qualcosa che non sono. Potrebbe anche essere una questione di driver, di servizi Google mancanti per certe app di autenticazione, di versione dello standard NFC supportata, oppure semplicemente di sfortuna del singolo dispositivo.

Vi dico solo che a me, con la mia configurazione, l’NFC su Android non è stato di alcuna utilità. Se invece avete un Android stock e un telefono “normale”, magari per voi l’esperienza sarà diversa: i racconti online sono molto altalenanti e ognuno riferisce qualcosa di un po’ diverso, segno che la variabilità c’è ed è reale.

Passkey e accesso senza password

Un’altra parte interessante è quella delle passkey.

Le YubiKey 5 possono salvare credenziali FIDO2 residenti, cioè credenziali che permettono, sui servizi compatibili, di usare la chiavetta in scenari passwordless o quasi passwordless. In pratica non serve più solo come secondo fattore dopo la password, ma può diventare direttamente uno dei metodi principali di accesso.

È probabilmente la direzione in cui si sta muovendo l’autenticazione nei prossimi anni: meno password da ricordare, meno codici da copiare, più chiavi crittografiche legate ai dispositivi.

Qui però bisogna essere ordinati. Se iniziate a usare passkey hardware, registrate una seconda chiave di backup. Sempre. Non è paranoia, è buon senso.

Una YubiKey sola vi protegge meglio di nulla. Due YubiKey vi proteggono anche da voi stessi quando perdete la prima.

Il firmware non si aggiorna

Un aspetto che va detto chiaramente è che il firmware delle YubiKey non è aggiornabile dall’utente.

Yubico lo presenta come una scelta di sicurezza: dopo la produzione non è possibile modificare il firmware della chiave. Questo riduce certi rischi, ma significa anche che se domani esce una nuova funzione o una nuova versione firmware, non potete semplicemente aggiornare la vostra YubiKey. Dovete comprare un modello nuovo.

È una filosofia diversa rispetto a prodotti come Nitrokey, che puntano molto di più su firmware aperto e aggiornabilità. Non è automaticamente meglio o peggio: è un compromesso.

Yubico punta su stabilità, compatibilità, produzione controllata e ampissimo supporto da parte dei servizi. Nitrokey punta di più su trasparenza, apertura e controllo da parte dell’utente. Dipende molto da cosa cercate.

Personalmente trovo Yubico più comoda e universalmente compatibile. Trovo Nitrokey più interessante dal punto di vista della filosofia open source. Sono due approcci diversi allo stesso problema.

Attenzione: compratene due

Lo avevo già scritto parlando della Nitrokey e lo ripeto qui: se decidete di usare una chiavetta di sicurezza, compratene due.

Una la usate tutti i giorni. L’altra la tenete in un posto sicuro. Poi registrate entrambe sugli account importanti: email principale, password manager, account sviluppatore, servizi cloud, pannelli di hosting, social, banca se supportata, tutto quello che non volete perdere.

Perdere una chiavetta non è una possibilità remota. Può finire in lavatrice, in un cassetto sbagliato, in una borsa dimenticata, in un trasloco, in quel buco nero domestico dove spariscono anche adattatori USB-C, penne e forbicine.

Le chiavi di sicurezza sono fantastiche, ma non devono diventare un singolo punto di fallimento. Usatele bene: chiave principale, chiave di backup, codici di recupero salvati offline.

Cosa mi è piaciuto

Mi è piaciuta la compatibilità. È probabilmente il motivo principale per scegliere Yubico: funziona quasi ovunque, è riconosciuta da tantissimi servizi e raramente bisogna inventarsi soluzioni strane.

Mi è piaciuta Yubico Authenticator. È bella graficamente, ordinata e abbastanza chiara anche per chi non vive nel terminale. La vecchia GUI di YubiKey Manager era ormai da pensionare, e questa applicazione è decisamente più adatta al presente.

Mi è piaciuta la possibilità di usare la chiavetta sia per cose semplici, come il 2FA sui siti, sia per cose più tecniche, come firma OpenPGP dei commit, PIV e slot OTP.

Mi è piaciuta molto la 5C NFC. Nel 2026, se dovessi comprarne una sola, probabilmente sceglierei quella: USB-C è semplicemente più comoda sulla maggior parte dei dispositivi recenti.

Cosa mi è piaciuto meno

L’NFC su Android come è possibile immaginare.

Mi è piaciuta meno anche la complessità nascosta. La YubiKey è banalissima se la usate solo come secondo fattore. Diventa molto più tecnica se iniziate a usare PIV, OpenPGP, passkey residenti, PIN diversi, PUK, Management Key e slot OTP. Non è un difetto, ma va saputo.

Infine, il firmware non aggiornabile è una scelta che capisco, ma che personalmente continuo a vedere come un limite rispetto ad alternative più aperte. Non mi impedirebbe di usarla, ma è un elemento da considerare.

Prezzo e verdetto

Le YubiKey 5 NFC e 5C NFC non sono economiche, soprattutto se ne comprate due come sarebbe giusto fare. Il prezzo varia in base allo store, al paese e alle promozioni, ma siamo comunque nella fascia delle chiavette di sicurezza premium.

Nel complesso, però, fanno molto bene quello che devono fare. La compatibilità è eccellente, la documentazione è ampia, Yubico Authenticator è finalmente piacevole da usare e l’esperienza su Linux è stata praticamente senza intoppi. Su Windows funziona bene per l’uso base, mentre diventa più macchinosa per PIV, OpenPGP e scenari avanzati. Su Android l’NFC resta comodo sulla carta, meno nella vita reale.

Il confronto con Nitrokey resta interessante. Se per voi firmware aperto, aggiornabilità e filosofia open source sono la priorità assoluta, Nitrokey continua ad avere argomenti molto forti. Se invece volete la chiavetta più compatibile, più documentata e più supportata dai servizi mainstream, Yubico resta un riferimento difficilissimo da ignorare.

Verdetto onesto: se non avete ancora una chiavetta di sicurezza, dovreste prenderne una. Se potete, prendetene due. E se volete qualcosa che funzioni praticamente ovunque senza farvi perdere troppo tempo, le YubiKey 5 NFC e 5C NFC sono una scelta molto solida.

SOURCE:// yubico.com
SOURCE:// yubico.com
SOURCE:// docs.yubico.com
SOURCE:// docs.yubico.com
SOURCE:// docs.yubico.com
SOURCE:// docs.yubico.com
SOURCE:// docs.yubico.com
SOURCE:// support.yubico.com