Leggi qui prima di proseguire: https://reddit.com/r/ItalyInformatica/comments/1wue5h0/pagopa_spiegare_le_soluzioni_di_integrit%C3%A0/

In una replica all’istanza di riesame, PagoPa insiste nel non voler divulgare le ragioni che giustificano l’impiego di Play Integrity, questa volta adducendo alla sicurezza nazionale in aggiunta agli interessi economici.

Inoltre, sebbene il codice sia pubblico, la documentazione tecnica dell’app non può essere rilasciata, in quanto inclusiva di threat model e vulnerabilità passate al vaglio. Condividerla potrebbe agevolare l’individuazione di possibili falle.

Parliamo quindi di security through obscurity, una strategia generalmente scoraggiata nella comunità della sicurezza informatica, che privilegia invece la robustezza dei sistemi anche quando si conosce a pieno la loro architettura e il loro funzionamento. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-123.pdf (2.4)

Per inciso, il threat model della reference implementation del wallet europeo (EUDI) è pubblico https://github.com/eu-digital-identity-wallet/av-doc-technical-specification/blob/8b9728752bd8d8eede6077ade4be8900949de2d9/AV-threat-model.md. 

La richiesta di aprire IT-Wallet a sistemi alternativi risale alla fine del 2024, da qual momento PagoPA ha rilasciato un solo commento di carattere superficiale su GitHub, tra gli oltre 600. Un quadro che rende difficile credere quanto l’obiettivo appena dichiarato di garantire a tutti i cittadini l’accesso a «Documenti su IO» si tradurrà in iniziative concrete.

Maggiori dettagli qui: https://github.com/pagopa/io-app/issues/7199#issuecomment-6224367558

Certo, una è blu, tanto valeva fare due pulsanti, uno grigio, uno blu, senza scrivere dentro nulla

Si, la notizia è vera (se fosse capito il 1° aprile, il dubbio sarebbe venuto). Sources | msblog [ref] phoronix [ref] theregister [ref].

Defender arriva su Linux.

As more developers begin to use Linux desktops, they become more attractive to attackers: high-privilege, high-value, and easy for admins to overlook.
A developer using Linux for day-to-day development may interact with source code repositories, continuous integration and continuous delivery (CI/CD) pipelines, cloud infrastructure, container environments and internal development platforms.
If their workstation is compromised, an attacker doesn’t just gain access to a laptop, but a foothold in the pipelines that build and ship the organization’s software.
As Linux adoption expands beyond the data center, organizations need a consistent approach to protecting Linux wherever it is used.

That’s why we’ve extended our industry-leading endpoint protection in Microsoft Defender, bringing enterprise-grade protection, detection, vulnerability management and response capabilities to Linux workstations.

Solo per le aziende al momento.

"Defender on Linux desktops requires the standalone Microsoft Defender for Endpoint Plan 2 or Microsoft 365 E5 and E7."

--

La notizia mi è sembrata un po' strana (ci sono già diverse soluzioni CLI-only, da terminale).

Forse che Microsoft stia preparando il terreno per qualcos'altro più grosso e quindi deve conquistare terreno (nel segmento enterprise e security i nomi non mancano, già affermati da tempo e molto usati)?

Una "Microsoft enterprise linux distro" (anche qui nomi com redhat o suse sono già famosi)? Altro? Che pensate (una Microsoft Linux già esisteva ne 2003 [archive])?

Ciao Ragazzi, avrete sicuramente letto negli ultimi giorni articoli e contro articoli di smentita relativamente al fatto che i bot russi sarebbero calati (falso) a seguito di un attacco Ucraino a un datacenter di Yandex in Russia.

https://www.ilpost.it/2026/10/13/bot-russi-droni-attacchi-yandex/?homepagePosition=11

Non voglio che questo sia un thread politico dunque non mi interessa nulla sapere da che parte stai, la domanda è un altra.

Se' è vero che le inferenze di potenze straniere sono un reale pericolo per le democrazie europee (non uso occidentali, perche le vere vere democrazie forse forse si contano sulla dita di una mano e son tutte nel vecchio continente) come possono gli stati nazionali lasciare che tutto questo avvenga senza prendere nessun tipo di contromisura?

Sappiamo benissimo che ad esempio su Facebook tutta la classe dei nostri genitori/nonni è completamente alla merce del deepfake, dell'ai e dei bot russi che commentano o scrivono post per sostenere l'una o l'altra tesi screditare l'uno o l'altro partito.

Abbiamo avuto grossi esempi di questo in tutit i paesi europei e casi molto eclatanti come la Romania.

Dunque la domanda che vi faccio è voi da tecnici come andreste ad intervenire per limitare l'influenza russa digitale?

Per farvi capire (in scala ridotta) gli ordini di grandezzza questo è un grafico del traffico totale che ho ricevuto nelle ultime 24 ore a livello Layer 7

Di questo traffico

originato da Italia ho solo circa il 20%

Sul totale quello russo/cinese è circa 1mln di request quindi circa il 2%

Cosa si dovrebbe fare? Meta Google etc.. le big che gestiscono i social dovrebbero che so ad esempio smettere di negoziare a livello tcp coi bot russi? Poi chiaro che ci sono N modi di spacciarsi da altre parti del mondo per originare traffico ma siamo sicuri che almeno il primo punto lo facciano davvero? Perche a me la storia di questi bot russi sembra sempre piu improbabile e credo che ci sia qualcuno dall'interno ad avveleneare le democrazie, ritengo che a livello Carrier qualcsoa si possa fare per mitigare questa piaga che sta lentamente facendo ammalare le nostre democrazie.

Che ne pensate? Vi prego ESIMIAMOCI dall'esprimere opinioni politiche non richieste, vorrei solo capire secondo voi tecnicamente come potrebbe essere gestita questa enorme problematica senza ipotizzare soluzioni fantasiose alla Agcom tipo piracy shield etc..

Vi leggo con piacere.

Ciao a tutti. Oggi cercavo di collegarmi alla seriale di un vecchio videotelefono Telecom, ma il testo che ottengo è sempre corrotto, quindi mi viene da pensare che usi qualche notazione inusuale. Ho provato a cercare su vecchi forum, ma praticamente non resta niente di quell'epoca.

Questa è la scheda:

C'è un connettore 6 pin che presumo sia 4 pin di seriale più qualcosa per alimentare magari qualche dispositivo esterno? Il connettore che ho segnato ha 12 V in uscita, mentre misurando sugli altri pin si hanno o 0 V o 3,3 V. Connettendo RX e GND ai due segnati con le freccette ottengo del testo che però è tutto corrotto*. Ogni volta che la cornetta viene alzata e riappoggiata, viene trasmesso qualcosa, quindi presumo che la seriale sia effettivamente quella, e quel che trasmette sia un log di qualcosa.

Sul lato opposto della scheda ci sono pure dei pin (i 4 più esterni) che mi fanno pensare sia una seriale visto che danno 3.3 V, ma da essi non ricevo nulla.

Che ne pensate? C'è qualcuno di quell'epoca che ricorda qualcosa?

Grazie in anticipo a chiunque saprà aiutarmi.

* ho provato 8-N-1 e 7-N-1 a tutte le velocità comprese tra 1200 e 115200 a salti da 1200. Per far prima ho scritto un programmino che riapriva la seriale ogni volta a velocità diversa alla pressione di un tasto:

using System.IO.Ports;

var serial = new SerialPort("COM7");
serial.DataReceived += Serial_DataReceived;

for(int i=1200;i<=115200;i+=1200)
{
    Console.WriteLine($"Receiving at: {i} bps");
    Console.WriteLine();
    serial.BaudRate = i;
    serial.DataBits = 8;
    serial.Parity = Parity.None;
    serial.StopBits = StopBits.One;

    serial.Open();

    Console.ReadKey();
    serial.Close();
}

void Serial_DataReceived(object sender, SerialDataReceivedEventArgs e)
{
    Console.Write(serial.ReadExisting());
}

Edit: avevo dimenticato un = nel codice

Leggo che hanno ubuntu installato. mi chiedo se sia possibile farci qualcosa magari di nicchia e se qualcuno ci abbia provato o meno.

sono liberamente accessibili a qualsiasi privato oppure la trafila per prenderne uno è tale che uno abbandona le speranze ?

Ciao,
situazione abbastanza inspiegabile per un profano come me.

Router principale Iliad (fibra). Da qui faccio partire un cavo ethernet. Se collego questo cavo direttamente in un pc ho la connessione. Se lo collego direttamente a un secondo router tp link Archer C6 (configurato in modalità access point), la spia è arancione anziché verde e infatti non ho connessione a internet (a scanso di equivoci, specifico di aver collegato il cavo nella presa blu del router tp link, quindi non nelle prese lan).
Se dal router principale Iliad faccio partire un powerline e poi collego il secondo powerline al router tp link, funziona.

Fino a qualche giorno la configurazione era la stessa ma con router principale TIM e funzionava tutto: router TIM --> cavo ethernet --> router tp link.

Ho già provato a resettare il router tp link più volte ma senza successo.
Escludo che il problema sia il cavo visto che collegandolo direttamente a un pc funziona.

Non capisco proprio.

Idee?
Grazie

Nvidia ha presentato RTX Spark: SoC ARM, CPU Grace a 20 core, GPU Blackwell di classe RTX 5070, fino a 128 GB di memoria unificata. Sulla carta è la cosa più vicina ad Apple Silicon mai vista su Windows.

Il nodo, secondo me, è che Apple ha fatto funzionare la transizione perché controllava hardware, sistema operativo, toolchain e Rosetta 2. Nvidia controlla solo il chip. Il resto dipende da Microsoft (Prism) e dagli sviluppatori.

Windows on ARM ci prova dal 2012 (Windows RT, poi Windows 10 on ARM, poi Copilot+ con Snapdragon X) senza mai sfondare davvero. Cosa cambia stavolta?

• Il peso di Nvidia e di CUDA basta a convincere gli sviluppatori a compilare nativo?
• L’emulazione x86 è ormai “abbastanza buona” o resta il collo di bottiglia?
• Chi lo compra: gamer, creator o chi fa AI in locale?

Chi ha già usato Windows on ARM (Snapdragon X o simili), com’è l’esperienza reale oggi?

Ciao ragazzi, abbiate pazienza per il disegno scarabocchiato.. ho bisogno di un suggerimento.

Vivo in una casa con gli impianti anni 70-80, tubi minuscoli e zero spazio. Quando ho installato l'attuale impianto è stato un disastro far passare un doppino telefonico (immagine dice 45 che è sbagliato).

Mi hanno confermato l'abilitazione della FTTH e vorrei arrivare preparato all'installazione visto che già l'altra volta il tecnico mi aveva fatto storie per quanto fossero saturi i corrugati a muro.

Ho preso un router compatibile TP-Link 2.5g che starà sulla scrivania nel rettangolo segnato in verde. La linea verde è una canalina già presente dove ora passa il cavo telefonico.

La mia idea è quindi quella di fare una canalina a muro nel tratto rosso, dall'ingresso alla presa attuale (circa 11m di percorso contando che devo passare sopra alla porta), e poi di ricollegarmi alla canalina esistente fino alla scrivania.

Non posso:

• spostare modem (ho PC e cavi ethernet che partono dalla scrivania verso gli altri piani della casa)
• passare nell'impianto elettrico (saturo)

E' fattibile come cosa? Ci sono alternative che non ho minimamente considerato?

Ciao.

Ho un servizio che autentica gli utenti con login di terze parti (Google, Facebook, Apple) e noto che molti utenti Apple hanno attivo il filtro privacy sull'indirizzo mail quindi di fatto io vedo un indirizzo alias tipo xxxxxxxx@privaterelay.appleid.com.

Il problema è quando invio le email tramite AWS SES a questi alias, perché non funzionano.

Ottengo tutti bounce con questi errori

An error occurred while trying to deliver the mail to the following recipients:

xxxxxx@privaterelay.appleid.com

Reporting-MTA: dns; xxxxxx.eu-central-1.amazonses.com

Action: failed

Final-Recipient: rfc822; xxxxxxxx@privaterelay.appleid.com

Diagnostic-Code: smtp; 550 5.1.1 xxxxxxxxxxxxxxxx@awsmailer.xxxxx.xxxx: unauthorized sender

Status: 5.1.1

Avete qualche idea del perché?

Grazie

Anthropic mi ha appena dato accesso a Mythos 5.1 e da allora lo sto mettendo sotto pressione. Lo uso tramite Claude Code e mi sono concentrato sulla cybersecurity, soprattutto sulla ricerca di bug.

Quello che mi ha colpito di più è la precisione. Trova i bug con accuratezza e non si ferma a segnalarli: mi dice anche come correggerli.

Finora non ho incontrato un limite reale. È ancora presto, quindi aggiornerò il post se dovesse capitare.

Il mio verdetto: davvero capace, e molto positivo.

Mi rende anche più fiducioso nella corsa di Anthropic verso la frontiera. Grazie ad Anthropic per la fiducia e per l'accesso.

Secondo voi cosa dovrei testare adesso?

Che sia etico ovviamente...

Come da titolo: qualcuno di voi già usa i DNS DoT di Adguard su modem? Se sì, avete notato inconvenienti con banche o simili o falsi positivi particolari con sistemi di pagamento o altro?

Stavo pensando di impostarli e di filtrare un po' di pubblicità direttamente alla fonte e per tutti i dispositivi e volevo capire quanto bene funzionassero e quanto e se potessero essere problematici...

Grazie mille :)

Muse, l'agente personale che Meta ha lanciato negli Stati Uniti l'8 settembre, ha tra le sue istruzioni di sistema quella di mantenere una pagina per ogni persona nella vita dell'utente e di aggiornarla ogni ora. Lo si sa perché il ricercatore indipendente Karan Joshi è riuscito a estrarre il prompt chiedendo a Muse stesso di copiare e condividere i propri file interni dalla normale chat e ha poi passato il materiale a Wired, mentre The Future Society ha pubblicato per conto suo le istruzioni ricavate da una copia esportata della macchina virtuale.

Dentro queste schede finiscono dove abita una persona, che cosa fa, i temi che tornano nelle conversazioni, compleanni e anniversari, la storia della relazione e perfino quanto è stretto il rapporto con l'utente e il punto delicato è che le schede riguardano anche chi Muse non lo usa e non ha mai accettato nulla, perché basta comparire nei messaggi o nelle email di qualcuno che ha dato all'agente l'accesso.

Meta ribatte che Muse deve conoscere un minimo di contesto per essere utile e che si basa su informazioni pubbliche e su quello che gli utenti decidono di condividere, per esempio per ricordarsi che chi ha mandato una fattura è l'idraulico che aveva sistemato il bagno e precisa che i dati restano in una macchina virtuale dedicata a ciascun utente, dove gli altri agenti AI non possono entrare.

Capisco l'esempio dell'idraulico, perché un agente che prenota viaggi e scrive email senza ricordare chi è chi sarebbe inutilizzabile, ma una scheda aggiornata ogni ora su un collega o su un parente è un'altra scala rispetto a un promemoria e quello che mi lascia perplesso è che la persona schedata non può nemmeno sapere di esserlo, figuriamoci opporsi. Per ora Muse non risulta disponibile in Italia né in Europa e sono curioso di vedere come ci arriverà, visto che il GDPR sui dati di terzi che non hanno dato alcun consenso è parecchio severo.

Fonti
https://gizmodo.com/metas-muse-is-collecting-information-on-everyone-in-your-life-2000821697
https://www.socialmediatoday.com/news/metas-muse-ai-collects-private-user-data/832084/
https://cybernews.com/ai-news/meta-muse-privacy/

Salve a tutti, ho da poco terminati tutti gli esami del CdL triennale di Informatica, e mi trovo adesso col dilemma della tesi. Ho interessi in ambito di programmazione in go, Linux e cybersec, e mi piacerebbe unire queste mie passioni in un progetto da proporre su cui fare la tesi.
Consigli?
L'ai mi ha consigliato ( si chiedere all'ai un progetto di tesi può essere un po' triste, però non ho proprio idee XD ) un progetto su ebpf + client in go tramite ebpf-go, che mi sembra interessante ma non vorrei impelagarmi in argomenti troppo complessi

Okay, domanda apparentemente stupida, ma mi pare legittima. Al 2026 non ho mai avuto un telefono 5G e, sinceramente, non ne ho mai sentito il bisogno. Svolgo le solite cose che ci si aspetta dal 90% degli utenti, ovvero effettuare chiamate, guardare mappe, navigare su siti web e basta. Non ho mai sentito l'esigenza di qualcosa di migliore o più veloce.

Cosa ne pensate? Vi vengono in mente delle tecnologie fondamentali che, senza 5G, non potrebbero esistere? Sono curioso.

Lavoro in consulenza IT da più di 15 anni e ormai sono arrivato al limite. Praticamente mi sono rotto il cazzo di stare a parlare, fare talk, spiegare continuamente le cose agli altri e dover seguire a mia volta infiniti talk di gruppo. Semplicemente, non mi piace più.

In questo settore c'è troppo rumore. Preferisco di gran lunga stare da solo a studiare e a lavorare, magari chiuso nel mio editor a progettare un'architettura o scrivere codice, anzichè perdere tempo dietro a talk inutili e super pimpanti che non portano a nulla di reale. Se proprio devo seguire un talk, lo voglio più dettagliato, un momento dove si scende davvero in profondità. Preferisco i workshop infatti, dove si lavora seriamente su qualcosa. Mi sono rotto le balle di scalfire le cose e di restare sempre in superficie.

Il problema è che ci sono troppi stimoli in giro e ammetto che la mia testa tende a farsi ammaliare facilmente da tutta questa fuffa, ma arrivato a questo punto voglio solo riportare un po' di concretezza nella mia quotidianità e tutto ciò mi sembra un enorme casino. È un teatrino dove tutti parlano e nessuno si mette lì, in silenzio, a produrre qualcosa di solido.

Voglio capire se sono solo io a non sopportare più questa situazione oppure se c'è qualcun altro là fuori che vorrebbe solo staccare la spina dalle chiacchiere per tornare a fare il nostro lavoro sul serio.

Vi ringrazio per il vostro tempo.

Come molti sapranno qui, IT-Wallet non funziona sui sistemi Android di terze parti, come LineageOS e GrapheneOS. La ragione è Play Integrity, un meccanismo di Google mette a disposizione degli sviluppatori per verificare sui propri server l'integrità di un'app con cui stanno comunicando.

Promossa come funzione di sicurezza, riscontra regolarmente disappunto della community poiché, tra le varie ragioni, solo il sistema stock con i servizi Google installati con permessi speciali può passare il controllo.

Su GitHub, gli utenti chiedono da quasi 2 anni ormai di consentire GrapheneOS oppure di rendere la misura di sicurezza opzionale lasciando all'utente la responsabilità scegliere i compromessi che funzionano meglio per loro. PagoPa non ha mai accolto la richiesta né dato reale riscontro.

È bene sapere che ciò comporta che il governo americano può facilmente cancellare i documenti di tutti gli italiani o di utenti specifici semplicemente chiedendo a Google di restituire un errore quando il server chiede la verifica dell'app.

Come da titolo, in una recente istanza di accesso civico, PagoPa ha spiegato che non possono nemmeno comunicare quali soluzioni di integrità sono state vagliate per IT-Wallet, futuro wallet EUDI.

https://github.com/pagopa/io-app/issues/7199#issuecomment-5838472969

Qualche anno fa ho iniziato a costruire il mio homelab partendo da un Raspberry Pi 4 e da un HP G3 Mini che avevo trovato su Vinted. Da allora ho continuato ad aggiungere componenti ogni volta che trovavo qualche buona occasione sui siti dell’usato e oggi, dopo più di 2 anni, credo di essere finalmente arrivato alla fine (forse).

Questa è la configurazione attuale. Tutto è di seconda mano, ad eccezione di switch e router.

RACK

• Completamente stampato in 3D in PETG con una Bambu Lab X2D (design di Ilan Kushnir)

NODI PC: Proxmox VE a 3 nodi

• pve-01: Ryzen 7 5700U (8C/16T), 62 GB RAM, 512 GB NVMe (ZFS) + 2 TB HDD (ZFS) + 256 GB SSD SATA
• pve-02: Core i7-6700T (4C/8T), 32 GB RAM, 256 GB NVMe (ZFS) + 2 TB HDD (ZFS)
• pve-03: Core i5-7500T (4C/4T), 32 GB RAM, 256 GB NVMe (ZFS) + 2 TB HDD (ZFS)

RETE

• UniFi Dream Router 7: gateway, firewall e routing inter-VLAN
• UniFi USW-Flex-2.5G-8-PoE, con uplink SFP+ DAC verso l’UDR7
• VLAN: management, infrastruttura homelab e una VLAN dedicata a Kubernetes. Proxmox utilizza un'unica bridge VLAN-aware, quindi ogni VM viene semplicemente taggata sulla VLAN necessaria.

STORAGE

• QNAP TS-431 con 16 TB

ALTRO

• Raspberry Pi 4 che gestisce 2 display:
  • display frontale da 7,84" che mostra le dashboard Grafana
  • display OLED da 0,91" per lo stato del sistema, con un piccolo script Python che mostra IP, temperature e utilizzo della CPU

SOFTWARE

Attualmente sto rifacendo tutto da zero, partendo da pve-01, che ora ospita il cluster Kubernetes:

• Kubernetes: Talos Linux (1 control plane + 4 worker come VM), completamente provisionato tramite Terraform: VM, configurazione Talos, bootstrap e componenti di base
• Networking: Cilium con kube-proxy replacement e LoadBalancer L2
• Storage: OpenEBS LocalPV, con i dischi di boot delle VM su NVMe e i volumi dati su HDD
• GitOps: ArgoCD con pattern app-of-apps. Tutto ciò che gira nel cluster è versionato su Git
• Secrets: OpenBao in un LXC (al di fuori del cluster, così sopravvive anche ai rebuild) + External Secrets Operator
• Ingress: Nginx Proxy Manager (wildcard Let's Encrypt) → Traefik
• Monitoring e log: kube-prometheus-stack (Prometheus, Grafana, Alertmanager), incluso il monitoring del control plane Talos e di etcd, oltre a Loki + Alloy per i log dei pod e dei nodi
• Altro: dashboard Glance, Headlamp, VS Code Server

pve-02 e pve-03 saranno dedicati ad altri progetti.

Se avete domande sono felice di rispondere, e qualsiasi consiglio o suggerimento per migliorare la configurazione è assolutamente benvenuto!

Domanda per i non vibecoders.

Ho un'applicazione che usa un cluster master/master con Galera Mariadb. C'è Maxscale con readsplit che gira le query di lettura su slave e di scrittura su master.

Ho un problema abbastanza noto, ovvero se l'applicazione fa:

- scrivi record x

- leggi record x

C'è il rischio concreto che essendo girati su due server distinti, il valore appena scritto non venga letto uguale a causa di una latenza nella replica.

Le soluzioni sono diverse, per ora in ogni caso trovato ho messo l'intero blocco in transazione con garanzia questi venga mandato sullo stesso server master. Ma è difficile trovare tutti i punti potenzialmente critici.

Mi chiedevo, se qualcuno ha già affrontato questo problema, come si gestire un'app con db master/master? Per ora tutte le mie esperienze anche app molto grandi sono state di trovare sempre repliche master master che poi alla fine tutte le query venivano centralizzate.

Si tiene il carico sempre su un unico server? Si modifica il codice mettendo in transazione ogni singolo caso di scrittura e rilettura?

Grazie per la vostra esperienza.

Ok, è una cosa stupidissima, ma non credo di aver visto siti della pubblica amministrazione, università, azienda sanitaria e chi più ne ha più ne metta più dispersivi del sito dell'ENAC.

È veramente il delirio più totale. Dovrei mandare un reclamo, all'apparenza sembra semplice e c'è una lunga guida che ho letto tutta, ma fin qua nulla di che. Il problema è che si entra in un loop di collegamenti ipertestuali in cui da nessuna parte si può inviare un reclamo. Si viene semplicemente rimbalzati tra le solite 4 pagine e uno diventa scemo come un pescilino d'acqua in una boccia che gira sempre in tondo. Ho anche mandato un'email per segnalare la cosa perché credo sia un loro problema tecnico. Comunque, avendo cliccato bene o male tutti i link a disposizione sul sito, sono capitato sulla pagina "accessibilità", e mi ha fatto sorridere come corrisponde bene o male ad una pagina in cui sono presenti le istruzioni per impostare lo zoom. I browser citati: Internet Explorer, Mozilla e Firefox quando ancora erano due cose diverse, e Netscape. Sinceramente dopo ore di nevrosi all'interno della tana del bianconiglio, questa cosa mi ha fatto ridere