Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

non sottovalutate questo fatto che ricostruisce #SabrinaProvenzani su #IlFattoQuotidiano sulla messa al bando degli #antifascisti: NON è solo una faccenda di #Meta e #USA, l'amministrazione #Trump sta lavorando per cancellare movimenti progressisti in EU

ilfattoquotidiano.it/in-edicol…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

siamo nell'era del disvelamento non solo negli USA con #Trump, ma anche in #Italia con #Meloni: un #genocidio si svolge da 3 anni sotto i nostri occhi, il nostro governo c'è dentro, non ha mai fermato forniture/accordi con #Israele

ilfattoquotidiano.it/in-edicol…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

che cosa deve fare un cittadino che NON crede nella violenza, quando il suo governo è così criminale da essere complice di un #genocidio?
L'#Italia di #Meloni lo è e ignora qualsiasi volontà democratica di milioni di cittadini sul #genocidio di #Israele

ilfattoquotidiano.it/in-edicol…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Windows Defender Triple Zero-Day: BlueHammer, RedSun, and UnDefend Actively Exploited in the Wild
#CyberSecurity
securebulletin.com/windows-def…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Critical Fortinet FortiClient EMS Zero-Day CVE-2026-35616 Exploited Before Official Patch Was Released
#CyberSecurity
securebulletin.com/critical-fo…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Creare addon nativi per Node.js con .NET Native AOT: addio a Python e node-gyp
#tech
spcnet.it/creare-addon-nativi-…
@informatica


Creare addon nativi per Node.js con .NET Native AOT: addio a Python e node-gyp


Da sempre, creare addon nativi per Node.js significava entrare nel mondo di C++ e node-gyp, con la necessità di installare Python, Visual Studio Build Tools e una serie di dipendenze che trasformavano il setup dell’ambiente in un’impresa. Il team di C# Dev Kit di Microsoft ha trovato una soluzione elegante: usare .NET Native AOT per produrre librerie condivise compatibili con l’interfaccia N-API di Node.js, scritte interamente in C#.

In questo articolo vediamo come funziona questa tecnica, analizzando la struttura del progetto, il meccanismo di interop e i punti critici da tenere d’occhio in produzione.

Perché Node.js supporta addon scritti in qualsiasi linguaggio


Un addon nativo per Node.js è semplicemente una libreria condivisa (.dll su Windows, .so su Linux, .dylib su macOS) che esporta un punto di ingresso preciso: la funzione napi_register_module_v1. Node.js carica la libreria, chiama questa funzione e da quel momento il modulo è disponibile per JavaScript.

L’interfaccia che rende tutto questo possibile è N-API (Node-API), una API C stabile e ABI-compatibile tra le versioni di Node.js. Questo significa che qualsiasi linguaggio in grado di produrre una shared library ed esportare una funzione C può diventare un addon Node.js — incluso C# compilato con Native AOT.

Configurazione del progetto .NET


Il file di progetto è sorprendentemente minimale:

<Project Sdk="Microsoft.NET.Sdk">
  <PropertyGroup>
    <TargetFramework>net10.0</TargetFramework>
    <PublishAot>true</PublishAot>
    <AllowUnsafeBlocks>true</AllowUnsafeBlocks>
  </PropertyGroup>
</Project>

Due impostazioni chiave:
  • PublishAot: abilita la compilazione Ahead-of-Time, producendo una shared library nativa invece di un assembly IL.
  • AllowUnsafeBlocks: necessario per l’interop con N-API tramite function pointer e tipi non gestiti.


Il punto di ingresso del modulo


L’entry point usa l’attributo [UnmanagedCallersOnly], che istruisce il compilatore a generare una funzione C-callable con la firma esatta attesa da Node.js:

[UnmanagedCallersOnly(
    EntryPoint = "napi_register_module_v1",
    CallConvs = [typeof(CallConvCdecl)])]
public static nint Init(nint env, nint exports)
{
    // Registrazione delle funzioni esposte
    return exports;
}

Il tipo nint (native-sized integer) rappresenta gli handle opachi che N-API usa per riferirsi agli oggetti JavaScript. Non si tratta di puntatori diretti a memoria, ma di token gestiti dall’engine V8 tramite N-API.

Risoluzione delle funzioni N-API a runtime


Le funzioni N-API (come napi_create_string_utf8 o napi_get_cb_info) sono esportate direttamente da node.exe, non da una DLL separata. Per fare in modo che P/Invoke le risolva correttamente, si registra un custom resolver:

private static void Initialize()
{
    NativeLibrary.SetDllImportResolver(
        System.Reflection.Assembly.GetExecutingAssembly(),
        ResolveDllImport);
}

private static nint ResolveDllImport(string libraryName, Assembly assembly, DllImportSearchPath? searchPath)
{
    if (libraryName == "node")
        return NativeLibrary.GetMainProgramHandle();
    return IntPtr.Zero;
}

Questo permette di dichiarare le importazioni P/Invoke con [LibraryImport("node")] e averle risolte contro il processo host a runtime.

Marshalling delle stringhe UTF-8


Uno dei punti più delicati è la conversione tra stringhe JavaScript (UTF-16 internamente in V8, UTF-8 via N-API) e stringhe .NET. La strategia ottimale prevede:

  • Uso dello stack per stringhe piccole (≤512 byte) tramite stackalloc
  • Uso di ArrayPool<byte> per stringhe più grandi, evitando allocazioni sull’heap


private static string GetStringArg(nint env, nint info, int argIndex)
{
    // Recupera l'handle dell'argomento
    nint value = GetArgument(env, info, argIndex);
    
    // Prima chiamata: ottieni la dimensione necessaria
    nuint byteCount;
    napi_get_value_string_utf8(env, value, null, 0, out byteCount);
    
    // Allocazione efficiente in base alla dimensione
    if (byteCount <= 512)
    {
        Span<byte> buffer = stackalloc byte[(int)byteCount + 1];
        napi_get_value_string_utf8(env, value, buffer, (nuint)buffer.Length, out _);
        return Encoding.UTF8.GetString(buffer[..^1]);
    }
    else
    {
        byte[] buffer = ArrayPool<byte>.Shared.Rent((int)byteCount + 1);
        try
        {
            napi_get_value_string_utf8(env, value, buffer, (nuint)buffer.Length, out _);
            return Encoding.UTF8.GetString(buffer, 0, (int)byteCount);
        }
        finally
        {
            ArrayPool<byte>.Shared.Return(buffer);
        }
    }
}

Implementazione di una funzione reale: lettura dal Registry


L’esempio concreto mostrato dal team di Microsoft è un lettore del Windows Registry, che sostituisce il precedente addon C++:

private static nint ReadStringValue(nint env, nint info)
{
    try
    {
        var keyPath = GetStringArg(env, info, 0);
        var valueName = GetStringArg(env, info, 1);
        
        using var key = Registry.CurrentUser.OpenSubKey(keyPath, writable: false);
        
        return key?.GetValue(valueName) is string value
            ? CreateString(env, value)
            : GetUndefined(env);
    }
    catch (Exception ex)
    {
        // CRITICO: le eccezioni non gestite in [UnmanagedCallersOnly] crashano il processo
        ThrowError(env, $"Registry read failed: {ex.Message}");
        return 0;
    }
}

Attenzione: in un metodo [UnmanagedCallersOnly], le eccezioni non gestite provocano il crash dell’intero processo Node.js. Il pattern try/catch con ThrowError trasforma l’eccezione .NET in un errore JavaScript, mantenendo stabile il runtime.

Integrazione con TypeScript


Dopo dotnet publish, il file prodotto viene rinominato con estensione .node (convenzione Node.js) e caricato normalmente da TypeScript:

interface RegistryAddon {
    readStringValue(keyPath: string, valueName: string): string | undefined;
}

const registry = require('./native/win32-x64/RegistryAddon.node') as RegistryAddon;

const sdkPath = registry.readStringValue(
    'SOFTWARE\\dotnet\\Setup\\InstalledVersions\\x64\\sdk',
    'InstallLocation'
);
console.log(`SDK installato in: ${sdkPath}`);

Limiti e considerazioni


Questa tecnica ha un limite importante: Native AOT non supporta la cross-compilazione. Per ogni piattaforma target (Windows x64, Linux x64, macOS ARM64…) è necessario un ambiente di build separato. In pratica, questo si risolve con pipeline CI che eseguono la build su runner del sistema operativo corrispondente.

Esiste anche un’alternativa di più alto livello, node-api-dotnet, che astrae molti dei dettagli mostrati qui e supporta scenari più complessi come l’esposizione di interi namespace .NET a JavaScript. L’approccio “thin wrapper” descritto in questo articolo è preferibile quando si vuole controllo totale e dipendenze minime.

Conclusioni


L’integrazione tra .NET Native AOT e N-API apre uno scenario interessante per i team che già lavorano con C# e devono interfacciarsi con l’ecosistema Node.js. Eliminare Python e node-gyp dal setup semplifica notevolmente l’ambiente di sviluppo e unifica le competenze necessarie intorno a un unico SDK.

Il risultato è codice nativo con prestazioni paragonabili al C++, scritto con la produttività e la type safety di C# moderno, deployabile su Windows, Linux e macOS.


Fonte: Writing Node.js addons with .NET Native AOT — Microsoft .NET Blog, Drew Noakes


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Violazione ANTS: un banale difetto IDOR espone 19 milioni di identità francesi in vendita sul dark web
#CyberSecurity
insicurezzadigitale.com/violaz…


Violazione ANTS: un banale difetto IDOR espone 19 milioni di identità francesi in vendita sul dark web


Si parla di:
Toggle

Una vulnerabilità elementare di tipo IDOR (Insecure Direct Object Reference) sull’API del portale governativo francese ANTS ha consentito a un attore di minaccia di estrarre fino a 19 milioni di record contenenti dati anagrafici e di identità dei cittadini francesi. La vicenda, emersa pubblicamente il 21 aprile 2026, solleva interrogativi profondi sulla sicurezza delle infrastrutture digitali dello Stato francese e sulla protezione dei dati biometrici e documentali alla base del sistema di identità nazionale.

Cos’è ANTS e perché la violazione è così grave


L’Agence Nationale des Titres Sécurisés (ANTS), operativa sotto il Ministero dell’Interno francese, gestisce le domande e il ciclo di vita dei documenti d’identità ufficiali dei cittadini: carte d’identità nazionale, passaporti, patenti di guida e permessi di soggiorno. Il portale ants.gouv.fr costituisce il punto di accesso centralizzato attraverso cui milioni di francesi richiedono, rinnovano o tracciano i propri documenti d’identità. Una violazione di questa piattaforma non riguarda quindi dati di servizio generici: tocca direttamente le informazioni anagrafiche certificate dallo Stato, quelle stesse che alimentano i sistemi di identità digitale e i processi di verifica dell’identità.

La timeline: dall’intrusione alla divulgazione


La ricostruzione cronologica dell’incidente è la seguente:

  • 15 aprile 2026: ANTS rileva internamente un incidente di sicurezza sul portale istituzionale e avvia le procedure di risposta agli incidenti.
  • 16 aprile 2026: Un attore di minaccia che opera sotto lo pseudonimo breach3d pubblica su forum underground di hacking la rivendicazione dell’attacco, affermando di essere in possesso di un dataset di 18-19 milioni di record esfiltrati dalla piattaforma ANTS.
  • 19-20 aprile 2026: Il dato viene segnalato da ricercatori di sicurezza e giornalisti specializzati che accedono ai forum underground e verificano i campioni forniti dall’attore.
  • 21 aprile 2026: Il Ministero dell’Interno francese e ANTS confermano ufficialmente l’incidente, notificano il CNIL (Commission Nationale de l’Informatique et des Libertés), la Procura di Parigi e l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information).


Il vettore d’attacco: IDOR, una vulnerabilità imbarazzante


Secondo quanto riferito da fonti vicine all’indagine e dalle dichiarazioni dello stesso attaccante, il vettore di compromissione è stato un difetto di tipo IDOR (Insecure Direct Object Reference) sull’API del portale ANTS. Lo stesso breach3d ha descritto la vulnerabilità come “really stupid” — stupida nella sua semplicità — rivelando che era sufficiente modificare un identificatore numerico nelle richieste HTTP all’API per accedere ai record di qualsiasi altro utente registrato sulla piattaforma.

L’IDOR è una vulnerabilità classificata nel OWASP Top 10 da oltre vent’anni (A01:2021 – Broken Access Control). Si verifica quando un’applicazione espone riferimenti diretti a oggetti interni — come ID di database, file o record — senza verificare che l’utente richiedente abbia effettivamente l’autorizzazione ad accedere a quell’oggetto. In questo caso, l’API governativa francese non implementava controlli di autorizzazione adeguati: un utente autenticato poteva iterare sugli ID numerici degli account per raccogliere massivamente i dati di tutti gli utenti registrati. Il processo di esfiltrazione risulta quindi altamente automatizzabile con script elementari.

I dati esposti e le implicazioni per i cittadini


Il Ministero dell’Interno francese ha confermato che i dati potenzialmente esposti includono: nome e cognome, indirizzo email, data di nascita, identificativi di account univoci e credenziali di accesso (login ID). Per un sottoinsieme di utenti, potrebbero essere stati esposti anche l’indirizzo postale, il luogo di nascita e il numero di telefono. ANTS ha precisato che i documenti caricati sul portale (immagini di passaporti o patenti, ad esempio) non risultano compromessi e che i dati esfiltrati non consentono l’accesso diretto agli account.

Tuttavia, la combinazione di dati anagrafici certificati dallo Stato con informazioni di contatto apre scenari di abuso estremamente preoccupanti per i difensori:

  • Phishing e spear-phishing di alta precisione: con nome completo, email, data di nascita e luogo di nascita, gli attaccanti possono costruire comunicazioni altamente credibili che si spacciano per corrispondenza ufficiale del governo francese o di istituti finanziari.
  • Furto di identità e creazione di identità sintetiche: la combinazione di dati anagrafici verificati dallo Stato costituisce una base ideale per aprire conti bancari fraudolenti, richiedere prestiti o commettere frodi fiscali.
  • Sextortion e social engineering: messaggi personalizzati che dimostrano conoscenza di dati specifici (luogo di nascita, data esatta) aumentano drasticamente la credibilità degli schemi di estorsione.
  • Credential stuffing: gli indirizzi email associati agli account ANTS vengono tipicamente testati su altri servizi, sfruttando il riutilizzo delle password.


Il profilo dell’attore: breach3d


L’attore breach3d non è nuovo alla scena underground. Prima di questa rivendicazione aveva già pubblicato dataset di altre organizzazioni su forum frequentati da broker di dati e operatori criminali. Non ci sono elementi pubblici che permettano di attribuire l’attività a un gruppo state-sponsored o a una gang ransomware strutturata: il profilo appare più coerente con quello di un opportunista focalizzato sulla monetizzazione dei dati piuttosto che su obiettivi di intelligence. Il dataset sarebbe stato messo in vendita a un prezzo non divulgato pubblicamente.

La risposta istituzionale e le notifiche


ANTS ha comunicato che non è richiesta alcuna azione immediata da parte degli utenti, invitandoli tuttavia a mantenere alta la vigilanza nei confronti di messaggi sospetti. L’agenzia ha notificato l’incidente alla CNIL, alla Procura di Parigi e all’ANSSI, che coordineranno le indagini e valuteranno la conformità al GDPR (Regolamento Generale sulla Protezione dei Dati). La violazione, se confermata nelle proporzioni dichiarate da breach3d, configurerebbe uno degli incidenti più gravi mai registrati nell’ambito dei sistemi di identità statale europei.

Pavel Durov, fondatore di Telegram, ha pubblicamente commentato l’incidente sottolineando i rischi sistemici legati alla centralizzazione dei dati d’identità governativi su piattaforme web esposte a Internet, alimentando il dibattito sulla progettazione sicura dei portali di e-government.

Cosa possono fare i difensori


Per le organizzazioni che gestiscono portali ad alta sensibilità e per i team di sicurezza che devono valutare il rischio residuo per i propri utenti alla luce di questo dataset circolante, si raccomanda di:

  • Implementare sistematicamente controlli di autorizzazione lato server su ogni endpoint API che restituisce dati associati a un identificatore: verificare sempre che l’utente autenticato sia il proprietario del record richiesto.
  • Adottare test di sicurezza specifici per IDOR e Broken Access Control nei cicli di sviluppo (SAST, DAST, penetration testing con focus su API).
  • Per le organizzazioni che gestiscono dipendenti o clienti francesi: alzare il livello di allerta anti-phishing e considerare campagne di sensibilizzazione mirate sull’utilizzo di questo tipo di dataset per attacchi personalizzati.
  • Monitorare i propri indirizzi email aziendali su servizi di threat intelligence e breach monitoring per rilevare tempestivamente la comparsa del dataset in nuovi marketplace underground.
  • Valutare l’abilitazione di autenticazione multi-fattore su tutti i servizi esposti che accettano email come username, poiché la disponibilità degli indirizzi email alimenta attacchi di account takeover.

La violazione ANTS è l’ennesima dimostrazione che le vulnerabilità più banali — note, documentate e prevenibili — continuano ad affliggere sistemi governativi critici. Una API senza controlli di accesso adeguati, su un portale che gestisce l’identità di decine di milioni di cittadini, rappresenta un rischio sistemico di proporzioni difficilmente accettabili in un’era in cui il furto d’identità digitale alimenta ecosistemi criminali globali.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

tra gli infiniti elementi a prova del genocidio in atto


la fotografia credo sia recente, o relativamente recente. mentre il video si riferisce a un momento non troppo lontano dall’inizio del genocidio: donna e bambino sventolano degli stracci bianchi in segno di pace, e un cecchino israeliano uccide la donna. il bambino fugge via.

Questa voce è stata modificata (3 settimane fa)
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

𝗜𝗹 𝟮𝟮 𝗮𝗽𝗿𝗶𝗹𝗲 𝗶𝗹 𝗺𝗼𝗻𝗱𝗼 𝗰𝗲𝗹𝗲𝗯𝗿𝗮 𝗹𝗮 𝗧𝗲𝗿𝗿𝗮
Non solo la sua bellezza, ma anche la responsabilità che abbiamo nel proteggerla.

La Giornata Mondiale della Terra, nata negli Stati Uniti nel 1970, è oggi una delle più importanti ricorrenze ambientali a livello globale.
Celebrare la Terra è il primo passo per prendersene cura.
buff.ly/r9WBt3x

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Memoria e talento: la Sapienza premia l’eccellenza in nome di Francesco Valdiserri

@scuola

corriereuniv.it/memoria-e-tale…

Il ricordo di Francesco Valdiserri, studente del primo anno della Sapienza scomparso nel 2022, continua a vivere attraverso il talento e la passione dei suoi coetanei.

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

#22aprile

🌍 In occasione della #GiornataMondialedellaTerra, riflettiamo sul legame con il pianeta tramite Primo Levi.

Come analizzato da Emiliano Guaraldo su Enthymema, i racconti di "Vizio di forma" anticipano le tensioni odierne. Levi descriveva la Terra come una tecnosfera: un organismo dove biologia e tecnologia si intrecciano, ma dove le ferite dell’industria creano disparità profonde.

Leggi l'articolo completo: riviste.unimi.it/index.php/ent…

#Enthymema #PrimoLevi

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

oggi, 22 aprile, a pavia, al collegio cairoli: un recital per francesca woodman


A Pavia, mercoledì 22 aprile, h. 18, Collegio Cairoli

FRANCESCA il volto dell’Angelo


locandina del recital dedicato a Francesca Woodman
cliccare per ingrandire

Una giovane ricercatrice conserva nel cuore il ricordo di un fugace incontro giovanile con alcune fotografie di Francesca Woodman. Quando, anni dopo, decide di dedicarle una monografia, l’affascinante enigma di quelle foto, unito al suicidio dell’artista, si rivela un ostacolo difficile da aggirare. L’unico modo per riuscirci è una precipitosa discesa nel buco nero in cui confluiscono arte e vita. Un’ossessione capace non solo di mettere in crisi l’identità della protagonista, ma soprattutto di restituirci una Francesca inedita, un angelo più che mai necessario per il nostro tempo.

Collegio Cairoli
Piazza Cairoli 1 – Pavia
#art #arte #BertrandSchefer #ChiaraScordamaglia #CollegioCairoli #EDiSUPavia #ElisabettaMisasi #FrancescaWoodman #JennyBurnazzi #JohanLevi #MassimoCanepa #recital #teatro

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Studente transgender ‘umiliato a scuola da una prof’

@scuola

corriereuniv.it/studente-trans…

Sarebbe stato ripetutamente umiliato da una docente che da mesi si rifiuta di riconoscerne l’identità di genere, continuando a chiamarlo con un nome e pronomi non corrispondenti alla sua richiesta. Vittima è uno studente transgender del liceo Aristofane,

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

30 aprile, roma: conferenza stampa di presentazione della iv edizione di “unarchive found footage fest” (aamod)

AAMOD


UNARCHIVE FOUND FOOTAGE FEST
ARCHIVIO BENE COMUNE
IV edizione, 26 – 31 maggio 2026, Roma

Conferenza stampa di presentazione
giovedì 30 aprile 2026 ore 15.00

welcome coffee

Real Academia de España en Roma – Sala Conferenze
Piazza San Pietro in Montorio, 3 Roma
R.S.V.P. eventi@aamod.it

Torna, dal 26 al 31 maggio 2026, UnArchive Found Footage Fest, per una quarta edizione densa di immagini, riflessioni e nuove prospettive, tutta in varie location di Trastevere, nel cuore di Roma. Tutte le informazioni qui: aamod.it/unarchive-found-foota…
#AAMOD #archivioDelMovimentoOperaioEDemocratico #conferenzaStampa #doc #documentari #documentazione #film #PiazzaSanPietroInMontorio #RealAcademiaDeEspañaEnRoma #UnArchiveFoundFootageFest #video

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

hi peeps ❤ Running a small fundraiser to keep altbot and fuzzies.wtf alive and healthy!

my server storage hit 100% full and took down basically everything. i got it fixed, but it's clear i need more drives before it happens again.

altbot is free, open source, and runs 24/7 generating alt text for anyone on the fediverse who needs it. it's real accessibility infrastructure and i want to keep free.

goal is $500 for a set of used (and tested for good health) enterprise drives off ebay. every little bit helps get there!

78% of the way there!! We are getting close to the goal!!

ko-fi.com/micr0byte/goal?g=78

#Fediverse #Accessibility #OpenSource #AltText

Questa voce è stata modificata (3 settimane fa)
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

L'italiano rischia di diventare un "dialetto"? La Crusca lancia l'allarme
L'Accademia della Crusca ha rotto un lungo silenzio. Con un intervento pubblicato sul sito ufficiale dell'istituzione come "Tema del mese", il presidente Paolo D'Achille ha sollevato una questione che linguisti e appassionati della lingua dibattono da anni, ma che raramente trova spazio nel...
italofonia.info/litaliano-risc…
#Accademia della Crusca #itanglese
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Anglificazione dell’università e politica linguistica: intervista a Michele Gazzola
Intervista di Antonio Zoppetti

Michele Gazzola, professore associato di amministrazione e politiche pubbliche all’Università dell'Ulster, si occupa di politica linguistica e degli aspetti economici e sociali del plurilinguismo, temi su cui vanta numerose pubblicazioni (è in uscita il suo...
italofonia.info/anglificazione…
#Università

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Durante la guerra, tutte le apparecchiature di comunicazione iraniane di fabbricazione statunitense hanno smesso di funzionare. E i media cinesi gongolano...

@Informatica (Italy e non Italy)

Tutti i dispositivi difettosi erano di marchi americani come Cisco, Fortinet e Juniper comprati durante la tregua di Obama, per apparecchiature nazionali di telecomunicazione, difesa, governo, infrastrutture di base e industriali, corrispondenti direttamente alle comunicazioni militari, ai centri di comando per le emergenze e agli hub di comunicazione regionali.
A seguito di un'ispezione, è emerso che tutti questi problemi agli hub di comunicazione erano causati da guasti hardware di base, e non da vulnerabilità software di livello superiore o attacchi virus. Il problema derivava da un meccanismo di attivazione di basso livello integrato nei dispositivi hardware. Quando questo meccanismo veniva attivato da remoto, bloccava immediatamente l'hardware sottostante, paralizzando di fatto l'intero dispositivo.
Stranamente, quando si è verificato il malfunzionamento, l'Iran aveva già preventivamente interrotto la sua connessione internet internazionale, rendendo irraggiungibile il gateway globale. Ciò suggerisce che questi strumenti e apparecchiature non avessero affatto bisogno di essere connessi a internet e che gli Stati Uniti avessero i mezzi per manipolarli.

163.com/dy/article/KR0E9NT5055…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

I pesanti insulti di un conduttore televisivo russo contro Giorgia Meloni, in italiano

Poco prima delle 20 il presidente della Repubblica Sergio Mattarella ha espresso solidarietà a Meloni per l’attacco verbale di Solovyev. Anche molti politici, tra cui i leader dell’opposizione Elly Schlein, del PD, e Giuseppe Conte, del Movimento 5 Stelle, hanno condannato l’accaduto.

E Salvini invece che dice?

ilpost.it/flashes/vladimir-sol…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Sign it, sign it, sign it!

petition.qomon.org/0b54a0b8-de…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Far-right activists harass viewers of joint Israeli-Palestinian Memorial Day ceremony


È in inglese ed è lungo ma fa vedere che schifo di società abbia messo in piedi Netanyahu e, più in generale, che schifo di società ci si può aspettare dando il potere all'estrema destra.

Da Haaretz.

At a ceremony in Jerusalem marking Israel's Memorial Day for fallen soldiers and victims of terror attacks, PM Netanyahu said that "Iran's ayatollah regime planned another Holocaust" and that had Israel not acted "against this existential threat… the names of sites like Natanz, Fordow and Isfahan might have joined those of the Nazi death camps – Auschwitz, Majdanek and Treblinka."

At a military cemetery in Tel Aviv, two protesters held up signs reading "government of death" during a speech by Minister Ofir Sofer and clashed with other attendees who tried to snatch them. At a ceremony in southern Israel, members of the crowd heckled National Security Minister Itamar Ben Gvir, saying, "you are dividing us."

On Monday night, about a thousand Israelis and Palestinians gathered to mourn the lives lost on both sides of the conflict in a joint ceremony held simultaneously in Israel and the West Bank. As a result of far-right activists attacking attendees in recent years, the Israeli section took place in an undisclosed location in Tel Aviv. The locations of screenings weren't made public for the same reason.

However, dozens of agitators, one associated with police minister Ben-Gvir, arrived at one in southern Tel Aviv and disrupted it by playing loud music and shouting "death to leftists" and "your mother is a whore." Some harassed attendees and followed them after they left the screening. Earlier this week, Communications Minister Shlomo Karhi demanded that Israel's public broadcaster not play a radio ad about the ceremony, calling it a "provocation in the guise of reconciliation."

Ayala Metzger, whose 80-year-old father-in-law Yoram was kidnapped on October 7, 2023 and killed in Hamas captivity, said at the ceremony that she decided to "fight to create a reality here that allows safe lives for everyone," so that "his life would not be in vain." Muhammad Da'das, whose 15-year-old nephew was shot and killed by Israeli soldiers in 2021, said in a video address: "Enough pain … enough loss … We are here because, despite our wounds, we have chosen to raise our voices, and to believe that this reality is not an eternal fate."

On Tuesday, Haaretz learned that the Israel Police closed the case against right-wing activists who assaulted people in a screening of last year's ceremony in central Israel. Police questioned five suspects, mostly minors who allegedly attacked police officers, but did not interrogate those suspected of assaulting spectators. Police said they couldn't identify the suspects, despite considerable video documentation of the incident from various angles, including live broadcasts posted by some of those who participated in the attack.

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CyberAv3ngers e l’IRGC all’assalto delle infrastrutture critiche USA: sei agenzie federali confermano gli attacchi ai PLC Rockwell Automation
#CyberSecurity
insicurezzadigitale.com/cybera…


CyberAv3ngers e l’IRGC all’assalto delle infrastrutture critiche USA: sei agenzie federali confermano gli attacchi ai PLC Rockwell Automation


Il 7 aprile 2026, sei agenzie federali statunitensi — tra cui CISA, FBI e NSA — hanno pubblicato l’advisory congiunto AA26-097A, confermando che CyberAv3ngers, gruppo di cyberoffensiva direttamente controllato dall’IRGC-CEC (Islamic Revolutionary Guard Corps Cyber-Electronic Command) iraniano, ha condotto attacchi contro infrastrutture critiche americane sfruttando una vulnerabilità critica nei Programmable Logic Controller di Rockwell Automation. L’aspetto più preoccupante: per questa vulnerabilità non esiste alcuna patch del vendor.

Il gruppo: CyberAv3ngers e la struttura del comando IRGC


CyberAv3ngers è un threat group state-directed attivo almeno dal 2020, tracciato dalla comunità di threat intelligence con molteplici denominazioni: Storm-0784 (Microsoft), Bauxite (Dragos), Hydro Kitten, UNC5691 (Mandiant) e classificato da MITRE ATT&CK come G1027. Il gruppo opera come persona ufficiale dell’IRGC-CEC, distinguendosi per la focalizzazione sulle Operational Technology (OT) e i sistemi di controllo industriale (ICS), un dominio in cui pochi gruppi APT hanno sviluppato capacità analoghe.

La traiettoria evolutiva del gruppo è significativa: da attacchi opportunistici con credenziali di default su PLC Unitronics di fabbricazione israeliana nel 2023, alla distribuzione della piattaforma malware ICS custom IOCONTROL nel 2024, fino alla campagna 2026 contro i controller Rockwell Automation, che rappresenta un salto qualitativo nell’ambito delle capacità offensive ICS.

Il contesto geopolitico: rappresaglia cyber dopo gli attacchi del febbraio 2026


La campagna si inserisce in un contesto geopolitico estremamente teso. Il 28 febbraio 2026, USA e Israele hanno condotto un’operazione militare congiunta contro obiettivi iraniani, innescando una campagna di rappresaglia cyber multi-vettore che Unit 42 di Palo Alto Networks ha tracciato come cluster CL-STA-1128. In questo contesto, CyberAv3ngers ha intensificato le operazioni contro infrastrutture critiche americane, spostando il focus dai precedenti target israeliani verso obiettivi statunitensi.

CVE-2021-22681: la vulnerabilità senza patch al centro degli attacchi


Il vettore tecnico primario della campagna è CVE-2021-22681, una vulnerabilità di authentication bypass con CVSS score 9.8 che affligge i controller Logix di Rockwell Automation. La vulnerabilità permette a un attaccante di bypassare l’autenticazione e ottenere accesso ai PLC senza credenziali valide. Il problema strutturale: Rockwell Automation non ha rilasciato una patch, indicando invece misure di difesa in profondità come unica mitigazione disponibile.

I prodotti vulnerabili includono un ampio portfolio:

  • RSLogix 5000 (versioni 16-20)
  • Studio 5000 Logix Designer (versione 21 e successive)
  • Famiglie di controller: CompactLogix, ControlLogix, GuardLogix, DriveLogix, SoftLogix

Secondo la scansione Cortex Xpanse di Palo Alto, risultano esposti su internet globalmente 5.600 indirizzi IP con servizi Rockwell Automation o Allen-Bradley SCADA, inclusi FactoryTalk e vari PLC — una superficie di attacco di proporzioni allarmanti.

Le TTPs operative: preparazione con FactoryTalk su VPS


L’analisi di Unit 42 rivela che gli attaccanti hanno adottato un approccio metodico nella preparazione. Con moderata confidenza, i ricercatori ritengono che CL-STA-1128 abbia installato il software FactoryTalk di Rockwell Automation su infrastruttura VPS per abilitare le proprie attività di exploitation, sviluppando internamente la capacità di interagire con il protocollo CIP (Common Industrial Protocol) prima di colpire i target reali. La mappatura delle porte utilizzate dai dispositivi esposti ha permesso al gruppo di identificare i target mediante pattern statici caratteristici dei prodotti Rockwell.

I settori colpiti confermati dall’advisory federale comprendono Water and Wastewater Systems (WWS), Energy e Government Services and Facilities. L’advisory CISA AA26-097A, primo caso in cui sei agenzie federali attribuiscono congiuntamente un’operazione all’IRGC, conferma interruzioni operative e perdite economiche in organizzazioni multiple.

Escalation della minaccia: dall’hacktivism all’OT warfare


La progressione di CyberAv3ngers illustra una tendenza preoccupante nel panorama delle minacce state-sponsored: la convergenza tra capacità IT e OT in un unico gruppo APT. Nelle prime operazioni del 2023, il gruppo si limitò a modificare i display HMI dei Unitronics PLC presso impianti idrici israeliani e americani, un’azione prevalentemente dimostrativa. Con IOCONTROL nel 2024, il gruppo ha sviluppato malware custom per dispositivi IoT e OT. La campagna del 2026, che sfrutta una vulnerabilità critica senza patch in uno dei vendor di automazione industriale più diffusi al mondo, rappresenta una capacità offensiva significativamente più matura.

Mitigazioni: nessuna patch disponibile, solo difesa in profondità


In assenza di una patch per CVE-2021-22681, le organizzazioni che utilizzano controller Rockwell Automation devono implementare le seguenti misure di difesa in profondità raccomandate dall’advisory federale:

  • Segmentazione di rete: isolare i PLC e i sistemi OT in zone di rete separate, con firewall tra IT e OT, eliminando qualsiasi esposizione diretta a internet
  • Isolamento delle engineering workstation: le workstation che comunicano con i PLC devono essere dedicate e segregate dalla rete corporate generale
  • Abilitazione di CIP Security: configurare il protocollo CIP Security per autenticazione e cifratura delle comunicazioni tra EWS e PLC dove supportato
  • Physical mode switch: impostare i PLC in modalità fisica protetta dove applicabile, impedendo modifiche al firmware via software
  • Monitoraggio anomalie CIP-IP: deployare soluzioni di monitoraggio OT (es. Dragos, Claroty, Nozomi) in grado di rilevare download anomali e cambi di modalità sui PLC tramite protocollo CIP
  • Rimozione dell’esposizione internet: verificare con Shodan o Censys la presenza di dispositivi Rockwell/Allen-Bradley esposti e rimuoverli immediatamente


Implicazioni strategiche


La campagna di CyberAv3ngers evidenzia la crescente militarizzazione del cyberspazio nelle operazioni di rappresaglia tra stati. La scelta di colpire infrastrutture idriche, energetiche e governative — settori con potenziale impatto diretto sulla popolazione civile — segnala una volontà di massimizzare l’effetto psicologico e operativo degli attacchi. Il fatto che Rockwell Automation non abbia rilasciato una patch per CVE-2021-22681 pone interrogativi seri sul modello di sicurezza dei vendor OT: in un settore dove i device lifecycle si misurano in decenni, l’assenza di aggiornamenti di sicurezza per vulnerabilità critiche è un rischio sistemico che va affrontato con urgenza a livello regolatorio.

Con 5.600 dispositivi Rockwell Automation esposti su internet a livello globale e nessuna patch in vista, la superficie di attacco rimane aperta. Le organizzazioni che operano infrastrutture critiche devono trattare l’advisory AA26-097A come una priorità assoluta e avviare immediatamente una revisione dell’esposizione OT.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Diamo il benvenuto alle ultime newsletter e blog federati basati su Ghost, seguiti e rilanciati dal nostro account

Questo post viene ripubblicato sulla comunità @Che succede nel Fediverso? che puoi seguire per avere tutti i recenti aggiornamenti sul Fediverso

Diamo il benvenuto nel Fediverso a:

@RAEE - Storie Digitali
@L'Analista
@Alessio Pomaro
@Zuppa di Particelle
@Giuseppe Castagna
@Cambia le tue Abitudini
@Spherenode
@L'Unica
@Ricardo Antonio Piana
@Stranger Than Cinema
@La Terna Sinistrorsa
@Ivan Agliardi | PRO
@SmartPulse.it
@Agensocial
@SpazioLIFE
@VistaGare
@Luca Schenato

Questo account è gestito dagli amministratori di poliverso.org.

Se vuoi dare un contributo ai nostri servizi, puoi farlo con una donazione.

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Conoscete altri partiti che stanno spostando i loro sistemi verso l'open source e i provider europei?

Volt lo fa.

Casomai voleste fargli avere il vostro 2 per mille il codice è Y59.


US law lets American authorities access data stored anywhere by US companies, even outside the US. That's not acceptable for a values-driven organisation.

So we're acting on it. Our community platform, member management, authentication, and event tools are already moving to European and open-source alternatives. More to follow.

Want to help? Join our Tech team, or just switch one tool in your own life. 💜

volteuropa.org/news/volts-path…

#Volt #Sovereignty #Tech #CloudAct


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Cisco Patches Four Critical Flaws in Identity Services Engine and Webex: Unauthenticated RCE and Full User Impersonation at Risk
#CyberSecurity
securebulletin.com/cisco-patch…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Inditex (Zara) Confirms Third-Party Data Breach: Transaction Records Exposed via Analytics Platform with April 21 Leak Deadline
#CyberSecurity
securebulletin.com/inditex-zar…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Primary Constructor e Dependency Injection in C# 12: vantaggi, insidie e quando usarli
#tech
spcnet.it/primary-constructor-…
@informatica


Primary Constructor e Dependency Injection in C# 12: vantaggi, insidie e quando usarli


Con C# 12, Microsoft ha introdotto i primary constructors per tutte le classi e le struct — non solo per i record come in precedenza. Per chi lavora quotidianamente con ASP.NET Core e il pattern di dependency injection, questa feature merita attenzione: riduce il boilerplate in modo significativo, ma nasconde un'insidia che è bene conoscere prima di adottarla sistematicamente.

Il problema: il boilerplate del costruttore classico


Chi ha scritto servizi ASP.NET Core sa bene come appare il costruttore tradizionale con dependency injection:

public class OrderService
{
    private readonly IOrderRepository _orderRepository;
    private readonly ILogger<OrderService> _logger;
    private readonly IEventBus _eventBus;
    private readonly IValidator<Order> _validator;

    public OrderService(
        IOrderRepository orderRepository,
        ILogger<OrderService> logger,
        IEventBus eventBus,
        IValidator<Order> validator)
    {
        _orderRepository = orderRepository;
        _logger = logger;
        _eventBus = eventBus;
        _validator = validator;
    }
}

Per ogni dipendenza: una dichiarazione di campo, un parametro nel costruttore, un'assegnazione nel corpo. Con quattro dipendenze, sono già dodici righe di puro scaffolding. In un servizio con sei o sette dipendenze, il costruttore diventa il blocco di codice più lungo della classe — senza contenere logica.

La soluzione con primary constructors


Con i primary constructors di C# 12, lo stesso servizio si scrive così:

public class OrderService(
    IOrderRepository orderRepository,
    ILogger<OrderService> logger,
    IEventBus eventBus,
    IValidator<Order> validator)
{
    public async Task<Order?> GetOrderAsync(Guid id)
    {
        logger.LogInformation("Fetching order {OrderId}", id);
        return await orderRepository.GetByIdAsync(id);
    }

    public async Task PlaceOrderAsync(Order order)
    {
        await validator.ValidateAndThrowAsync(order);
        await orderRepository.SaveAsync(order);
        await eventBus.PublishAsync(new OrderPlacedEvent(order.Id));
    }
}

I parametri del primary constructor diventano direttamente disponibili in tutta la classe senza dichiarazioni esplicite di campo. Il risultato è codice più snello, con meno rumore visivo e il focus immediato sulla logica di business.

L'insidia della mutabilità: perché Milan Jovanović era inizialmente scettico


Il motivo di resistenza di molti sviluppatori esperti è legittimo: i parametri del primary constructor non sono campi readonly. Il compilatore non impedisce la riassegnazione accidentale:

public class OrderService(IOrderRepository orderRepository)
{
    public void SomeMethod()
    {
        orderRepository = null!;  // Compila senza warning
    }
}

Con i campi privati readonly tradizionali, questo codice causa un errore di compilazione. Con i primary constructors, il compilatore lo accetta silenziosamente. In un servizio DI dove le dipendenze non dovrebbero mai essere rimpiazzate a runtime, questo è un rischio concreto in team di grandi dimensioni.

Mitigazione: assegnazione esplicita a readonly field


Quando la garanzia di immutabilità è critica, si può assegnare esplicitamente il parametro a un campo readonly:

public class CriticalService(IRepository repository)
{
    private readonly IRepository _repository = repository;

    // Da qui in poi si usa _repository, mai repository direttamente
}

Questo reintroduce parte del boilerplate, ma mantiene la sintassi più compatta per la firma del costruttore e garantisce l'immutabilità a livello compilatore.

Quando usare i primary constructors


La valutazione pragmatica è che i primary constructors offrono il massimo vantaggio nelle classi di servizio DI tipiche di ASP.NET Core, dove i parametri vengono usati ma raramente riassegnati. In questi scenari, il rischio di mutabilità accidentale è basso e i benefici di leggibilità sono immediati.

Vale la pena usarli anche per entity e value object dove i parametri di costruzione diventano proprietà read-only:

public class Order(Guid customerId, Money total)
{
    public Guid Id { get; } = Guid.NewGuid();
    public Guid CustomerId { get; } = customerId;
    public Money Total { get; } = total;
    public DateTime CreatedAt { get; } = DateTime.UtcNow;
}

Quando evitarli


Tre scenari in cui i primary constructors non sono la scelta giusta:

  • Logica di validazione nel costruttore: se il costruttore deve eseguire guard clause o validazioni prima dell'assegnazione, il corpo esplicito del costruttore tradizionale è necessario.
  • Multiple signature di costruttore: i primary constructors supportano una sola firma. Con overload multipli (es. per serializzazione), la sintassi tradizionale è l'unica opzione.
  • Cinque o più dipendenze: se una classe richiede molte dipendenze, il problema non è la sintassi del costruttore ma il design della classe. Il segnale che suggerisce un refactoring verso interfacce più coese o il pattern Facade.


Conclusione: adottarli con consapevolezza


I primary constructors di C# 12 non sono una rivoluzione, ma un'evoluzione pragmatica del linguaggio. Per la maggior parte delle classi di servizio in ASP.NET Core, il tradeoff è favorevole: meno boilerplate, codice più leggibile, rischio di mutabilità basso nel contesto DI. L'importante è conoscere il comportamento del compilatore e scegliere consapevolmente quando la garanzia di readonly è effettivamente necessaria.

Come sempre con le feature di C#, il consiglio è adottarle dove migliorano la leggibilità del codice reale, non per seguire una moda sintattica.

Fonte originale: Why I Switched to Primary Constructors for DI in C# di Milan Jovanović.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

la monocottura / alberto d’amico. 2026


Esecuzione dell’ensemble vocale boharIA

(C) 2026 Alberto D’Amico
#AlbertoDAmico #boharIA #ensebleBoharIA #monocottura #musicA

Questa voce è stata modificata (3 settimane fa)
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

This is #CourageFoundatuon, a foundation which has done crucial work to help high profile #whistleblowers, like #Snowden.

Now #CourageFoundation wants to help another great #truthteller persecuted for her courage: #FrancescaAlbanese

SIGN this #CourageFoundation's appeal:

petition.qomon.org/0b54a0b8-de…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Questa è la #CourageFoundation, la Fondazione che ha aiutato #whistleblower di altissimo profilo come #EdwardSnowden. Ora vuole aiutare @FranceskAlbs, punita con #SanzioniUsa per il suo coraggio nel rivelare la verità sul #genocidio di #Israele.

Firmate!

petition.qomon.org/0b54a0b8-de…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Dopo 3 anni di #genocidio,oltre 70 MILA esseri umani #palestinesi sterminati da #Israele di cui 20MILA bambini, è chiaro che #UE NON sospendera' accordi con #Israele.
NON mi parlate più di *valori dell'Occidente*,NON voglio più sentire queste parole associate a *Occidente*
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Ormai avete capito tattica del governo #Meloni, vero?
Annuncia stop esportazioni #armi al #genocida #Israele. Ma è FALSO.
Annuncia stop cooperazione con #genocida #Israele. Ma è FALSO.
Annuncia che non aiuta criminale guerra all'#Iran. Ma è FALSO

ilfattoquotidiano.it/in-edicol…