https://saverioriotto.itFeed RSS — saverioriotto.itit-ITCopyright 2026 saverioriotto.itSun, 26 Jul 2026 20:24:05 +0000Lo dico senza girarci intorno: la maggior parte delle startup che conosco non aveva bisogno di Kubernetes il giorno in cui l'hanno adottato. L'hanno fatto perché "è lo standard", perché in un talk lo usavano tutti, perché su LinkedIn sembra che chi non ha un cluster sia rimasto indietro. E ci hanno messo mesi a scoprire che avevano comprato un problema molto più grande di quello che stavano risolvendo. Non è una provocazione da titolo acchiappa-click. È quello che vedo, progetto dopo progetto, quando entro in un cliente per "un problema veloce" e mi ritrovo tre giorni dentro YAML, RBAC e networking overlay per un'applicazione che gira comodamente su una singola VM da 8GB. Il conto che nessuno fa prima Quando adotti Kubernetes non stai solo scegliendo un orchestratore. Ti stai iscrivendo a un intero corso di specializzazione che non finisce mai: networking a livello di cluster, DNS interno, service mesh (o la sua assenza, che è un problema altrettanto grande), RBAC, gestione dei secret, autoscaling che va tarato e non semplicemente attivato, e un sistema di IAM che deve federarsi con tutto il resto. Ho passato ore — letteralmente ore — a diagnosticare un timeout TCP pod-to-pod che in un ambiente non containerizzato non sarebbe mai esistito. Il problema non era nell'applicazione, non era nel database, non era nel codice che avevamo scritto: era nel modo in cui due pod nello stesso namespace si parlavano attraverso il CNI. Un cliente con tre sviluppatori e un prodotto in fase di validazione non ha il tempo, e spesso nemmeno le competenze interne, per gestire questa classe di problemi mentre dovrebbe concentrarsi su una cosa sola: capire se il prodotto ha un mercato. Keycloak come promemoria Prendi un caso che ho vissuto più volte: Keycloak come identity provider centralizzato, con federazione LDAP/Active Directory, dietro un API Gateway come Kong per la validazione JWT. Architetturalmente è pulito, è quello che consiglierei a un'azienda strutturata con più servizi e team diversi che devono condividere un sistema di autenticazione. Ma quando qualcosa si rompe — un pool di connessioni HikariCP mal dimensionato su Postgres, un VIP con un idle timeout troppo aggressivo che droppa le connessioni di Keycloak al database, un header X-Forwarded-Proto che Kong non passa correttamente e manda in loop l'admin console tra HTTP e HTTPS — il debug richiede di conoscere contemporaneamente Kubernetes, Keycloak, Kong, il comportamento di un load balancer e le specifiche RFC dei protocolli coinvolti. Per una startup con un prodotto, non un dipartimento infrastrutturale, questo è un costo nascosto enorme: ogni ora spesa lì è un'ora non spesa a parlare con i clienti. Quando invece ha senso (e non è mai "perché lo fanno tutti") Non sto dicendo che Kubernetes sia sbagliato in assoluto — sarebbe un'affermazione tanto pigra quanto quella che critico. Ha senso quando: Hai davvero più servizi che devono scalare in modo indipendente, con carichi che variano abbastanza da giustificare l'autoscaling automatico, non solo "in teoria potrebbero". Hai un team (o l'accesso a competenze) dedicato al platform engineering, anche part-time, che possa possedere quella complessità invece di subirla a ogni incidente. La resilienza multi-nodo è un requisito di business reale, non un "meglio essere sicuri" — un e-commerce con SLA contrattuali è diverso da un MVP in validazione. Stai già pagando quella complessità in un altro modo (deploy manuali che falliscono, ambienti che divergono, downtime non pianificati) e Kubernetes la sposta in un posto più gestibile, non la crea dal nulla. Se ti riconosci in questi punti, è uno strumento eccellente — ci lavoro ogni giorno e non lo sto sconsigliando in generale. Il punto è un altro: la domanda giusta non è "Kubernetes o non Kubernetes", è "questo problema esiste già, o lo sto importando in anticipo perché ho paura di non sembrare abbastanza serio?" L'alternativa che nessuno propone perché non fa curriculum Un monolite Spring Boot ben strutturato, containerizzato con Docker Compose, dietro un reverse proxy con TLS, su una singola VM (o due, per l'alta disponibilità minima) regge tranquillamente il traffico della stragrande maggioranza delle startup nei primi 1-2 anni di vita. Quando l'app inizierà davvero a scalare oltre quello che una VM ben dimensionata regge, saprai esattamente dove tagliare i confini dei servizi — perché li avrai visti emergere dall'uso reale, non disegnati a tavolino prima di avere un solo utente pagante. Lo dico da chi passa gran parte delle sue giornate dentro cluster GKE a risolvere esattamente i problemi che ho descritto sopra: la competenza per gestire Kubernetes bene è preziosa, ma va spesa quando il problema che risolve è già arrivato — non come rito di passaggio per sentirsi un'azienda "vera". E voi? Avete adottato Kubernetes dal giorno zero o ci siete arrivati quando il dolore di non averlo era diventato più grande del dolore di impararlo? Sono curioso di leggere le vostre esperienze, soprattutto quelle in cui la scelta si è rivelata sbagliata in entrambe le direzioni.https://saverioriotto.it/blog/392/devops/kubernetes-e-overkill-per-il-90-delle-startup-che-lo-usanohttps://saverioriotto.it/blog/392/devops/kubernetes-e-overkill-per-il-90-delle-startup-che-lo-usanoMon, 13 Jul 2026 00:00:00 +0200Kubernetes è overkill per il 90% delle startup che lo usanoSaverio Riottono-reply@saverioriotto.itDevOpsC'è un momento specifico in ogni progetto in cui si decide — spesso senza rendersene conto — quanto sarà sicura quell'applicazione. Non è quando si configura il firewall. Non è quando si fa il penetration test prima del go-live. È molto prima: quando si disegna il sistema su una lavagna e si decide come le parti si connettono tra loro. Quel momento è l'unico in cui il costo di correggere un problema di sicurezza è quasi zero. Dopo, cresce esponenzialmente. Il Threat Modeling è la pratica che mi permette di sfruttare quel momento. In questo articolo spiego come la applico concretamente — non la versione da manuale, ma quella che uso davvero. Cos'è il Threat Modeling — senza definizioni da Wikipedia Il Threat Modeling è un processo strutturato per rispondere a quattro domande prima che il sistema esista: Su cosa stiamo lavorando? — capire il sistema nei suoi confini reali Cosa può andare storto? — identificare le minacce plausibili Cosa facciamo al riguardo? — decidere come mitigare Abbiamo fatto un buon lavoro? — verificare che le contromisure reggano Sembra semplice. Non lo è, perché richiede di pensare come un attaccante mentre stai ancora costruendo. È una modalità mentale che si allena nel tempo. Il framework che uso: STRIDE Esistono diversi framework per il Threat Modeling. Io uso STRIDE, sviluppato da Microsoft, perché è pratico e si adatta bene ai progetti applicativi su cui lavoro. Ogni lettera rappresenta una categoria di minaccia: Lettera Minaccia Domanda che mi pongo S Spoofing Qualcuno può fingere di essere qualcun altro? T Tampering Qualcuno può modificare dati o componenti? R Repudiation Un utente può negare di aver fatto qualcosa? I Information Disclosure Dati sensibili possono essere esposti? D Denial of Service Il sistema può essere reso non disponibile? E Elevation of Privilege Qualcuno può ottenere permessi che non ha? Non applico STRIDE come una checklist meccanica. Lo uso come lente: prendo ogni componente del sistema e chiedo — per ognuna delle sei categorie — se c'è una minaccia plausibile. Come lo applico in pratica: un esempio reale Immagina un sistema di gestione documentale con tre attori: utente finale, API backend, storage cloud. È un sistema comune, e nasconde più superfici di attacco di quanto sembri. Step 1 — Disegno il Data Flow Diagram (DFD) Prima di ragionare sulle minacce, mappo il sistema. Non serve uno strumento sofisticato — uso spesso carta e penna o Excalidraw. L'importante è identificare: Entità esterne (utenti, sistemi terzi) Processi (il backend, i worker, i job schedulati) Data store (database, file system, cache) Flussi di dati (le frecce tra i componenti) Trust boundary (i confini tra zone con livelli di fiducia diversi) Le trust boundary sono cruciali. Ogni volta che un dato attraversa un confine — dall'esterno verso il backend, dal backend verso il database — lì si nasconde una minaccia potenziale. Step 2 — Applico STRIDE su ogni componente Prendo ogni flusso di dati e processo, e ragiono sistematicamente. Esempio — flusso "Utente → API": Spoofing: l'utente è autenticato? Il token può essere rubato o falsificato? Tampering: il payload della richiesta può essere manipolato? Ho validazione server-side? Repudiation: loggo le azioni degli utenti in modo immutabile? Information Disclosure: gli errori restituiscono stack trace o dettagli interni? Denial of Service: ho rate limiting? Un utente può mandare in timeout il sistema? Elevation of Privilege: un utente normale può accedere a endpoint riservati agli admin? Esempio — flusso "API → Storage cloud": Spoofing: l'API si autentica allo storage con credenziali hardcoded o con un sistema sicuro? Tampering: i file caricati vengono validati prima dello storage? Un attaccante può caricare un file eseguibile? Information Disclosure: i bucket sono pubblici per errore? I file hanno URL predicibili? Questo processo mi porta a scoprire minacce che normalmente emergerebbero solo durante un pentest — o peggio, in produzione. Step 3 — Prioritizzo con una matrice Rischio / Impatto Non tutte le minacce meritano lo stesso sforzo. Per ogni minaccia identificata valuto due dimensioni: Probabilità: quanto è plausibile che venga sfruttata? Impatto: cosa succederebbe se venisse sfruttata? Le minacce ad alta probabilità e alto impatto vengono mitigate subito, in fase di design. Quelle a bassa probabilità e basso impatto vengono documentate e monitorate. Le altre stanno nel mezzo — le gestisco con controlli compensativi. Step 4 — Definisco le contromisure e le collego ai requisiti Ogni minaccia identificata diventa un requisito di sicurezza esplicito. Non una nota a margine — un task nel backlog, con la stessa priorità di una feature. Questo è il passaggio che fa più differenza nella pratica. Se la contromisura non diventa un task tracciato, sparisce nella frenesia dello sviluppo. Gli errori che vedo fare più spesso Fare Threat Modeling solo alla fine. Se lo fai quando il sistema è già costruito, stai facendo una security review, non Threat Modeling. Il valore è nell'anticipazione, non nella diagnosi. Coinvolgere solo i security specialist. Il Threat Modeling funziona meglio quando ci sono anche i developer e i designer di sistema. Chi conosce il codice sa dove sono le scorciatoie, i casi limite, le integrazioni problematiche. Quella conoscenza è oro. Cercare minacce esotiche ignorando quelle banali. Il 90% delle vulnerabilità reali viene da cose semplici: input non validato, credenziali hardcoded, endpoint non autenticati lasciati per test. STRIDE aiuta a non dimenticarle. Non aggiornarlo. Il sistema cambia, le minacce cambiano. Un Threat Model fatto una volta e dimenticato è quasi inutile. Lo tratto come un documento vivo — lo rivedo ad ogni cambio architetturale significativo. Perché vale il tempo che richiede Un Threat Modeling fatto bene richiede qualche ora. Un incidente di sicurezza in produzione — con remediation, comunicazione agli utenti, possibili implicazioni legali — richiede settimane e lascia cicatrici durature sulla reputazione del prodotto. Non è una questione di paranoia. È ingegneria del rischio applicata al software. Ho iniziato a fare Threat Modeling sistematicamente qualche anno fa, dopo aver trovato in fase di review una vulnerabilità di Elevation of Privilege che sarebbe passata inosservata fino al primo pentest. Da quel momento è diventata una parte fissa del mio processo di design — non opzionale, non "se c'è tempo". Conclusione Il Threat Modeling non richiede strumenti costosi né certificazioni specifiche. Richiede disciplina, un framework semplice come STRIDE, e la volontà di pensare come un attaccante prima che lo faccia qualcun altro. Se non l'hai mai applicato su un tuo progetto, inizia dal prossimo. Prendi il diagramma architetturale, traccia le trust boundary, e chiediti: cosa può andare storto qui? Sarai sorpreso da quello che trovi.https://saverioriotto.it/blog/390/sicurezza-informatica/threat-modeling-come-ragiono-sui-rischi-prima-di-scrivere-una-riga-di-codicehttps://saverioriotto.it/blog/390/sicurezza-informatica/threat-modeling-come-ragiono-sui-rischi-prima-di-scrivere-una-riga-di-codiceThu, 02 Jul 2026 00:00:00 +0200Threat Modeling: come ragiono sui rischi prima di scrivere una riga di codiceSaverio Riottono-reply@saverioriotto.itSicurezza Informatica"Chiedersi se un computer possa pensare non è più interessante del chiedersi se un sottomarino possa nuotare." — Edsger W. DijkstraEdsger Dijkstra era un uomo di precisione. Uno dei padri dell'informatica moderna, premio Turing nel 1972, passò la sua carriera a insegnare una cosa sola: le parole che usiamo per descrivere i sistemi computazionali non sono dettagli — sono la sostanza stessa del ragionamento. E questa frase, apparentemente ironica, nasconde un argomento filosfico di rara lucidità. Un sottomarino si muove nell'acqua. Lo fa in modo efficace, spesso meglio di qualsiasi essere vivente. Ma "nuotare" implica una coordinazione organica, un'intenzione motoria, un corpo che si adatta al mezzo. Il sottomarino non nuota: si propelle. La domanda se nuoti è mal posta, non perché la risposta sia no, ma perché applica una categoria sbagliata a un oggetto sbagliato. Oggi, nell'era dei grandi modelli linguistici, ci ritroviamo a fare esattamente lo stesso errore — ma le conseguenze sono molto più gravi. Cosa succede davvero dentro un modello linguistico Quando un sistema come GPT-4, Claude, o Gemini produce una risposta articolata, risolve un problema di matematica o sembra ragionare per analogia, cosa accade tecnicamente? Un modello linguistico di grandi dimensioni è, nella sua essenza, una macchina statistica. È stato addestrato su miliardi di testi per apprendere quali sequenze di parole tendono a seguire altre sequenze di parole, in quali contesti, con quale probabilità. Non c'è una rappresentazione interna del mondo. Non c'è un modello mentale che si aggiorna. Non c'è memoria episodica — ogni conversazione ricomincia da zero. Quello che chiamiamo "risposta intelligente" è, con grande precisione tecnica, la previsione della token più probabile dato il contesto fornito. Da tenere a mente: La potenza di calcolo è misurabile: parametri, FLOP, latenza. Il ragionamento è qualcosa di diverso: richiede comprensione, intenzione, riferimento al mondo reale. I modelli attuali eccellono nella prima categoria. La seconda resta, ad oggi, un terreno aperto.   Questo non è un giudizio di valore: è una descrizione meccanica. E la distinzione è cruciale. Dire che un modello "ragiona" significa attribuirgli un processo che non ha — proprio come dire che un sottomarino "nuota" confonde il risultato (spostarsi sott'acqua) con il processo (la locomozione organica).   Il test di Turing non era ciò che crediamo Alan Turing, nel 1950, propose il suo celebre test non come definizione di intelligenza, ma come modo per aggirare il problema. "Può una macchina pensare?" era, per lui, una domanda troppo mal definita per essere affrontata direttamente. Meglio chiedere: può una macchina comportarsi in modo indistinguibile da un essere umano in una conversazione? Quello che Turing non aveva previsto è che saremmo stati capaci di costruire sistemi che superano quel test comportamentale senza avvicinarsi di un millimetro alla comprensione. I modelli attuali producono linguaggio fluente, coerente, spesso brillante — e tuttavia non "sanno" nulla nel senso in cui lo sa un bambino di cinque anni che riconosce il gatto nel cortile. Il filosofo John Searle lo aveva anticipato nel 1980 con il suo esperimento mentale della "Stanza Cinese": un operatore che non conosce il cinese, seguendo regole formali, può rispondere correttamente a domande in cinese senza capire una sola parola. Il sistema produce output corretti. Non comprende nulla. La simulazione della competenza non è la competenza. Il problema delle decisioni affidabili Fin qui, potremmo liquidare il tutto come un dibattito filosofico. Ma l'equivoco ha conseguenze pratiche molto concrete, e sempre più urgenti. Nel 2025 e 2026, l'adozione di sistemi di IA in contesti critici — diagnosi mediche, selezione del personale, decisioni giuridiche, guida autonoma — è accelerata in modo esponenziale. E con essa è cresciuta una fiducia spesso ingiustificata nella "capacità di ragionamento" di questi sistemi. Un modello linguistico, per quanto sofisticato, alucina. Produce informazioni false con la stessa fluenza con cui produce quelle vere. Non distingue tra ciò che sa e ciò che inventa: semplicemente produce la sequenza più probabile. In un contesto a basso rischio — scrivere un'email, generare un riassunto — questo è un inconveniente gestibile. In un contesto dove le decisioni riguardano persone reali, diventa un problema strutturale. Affidarsi a un modello linguistico per una "decisione affidabile" è come chiedere a un sismografo di prevedere un terremoto: lo strumento misura qualcosa di reale, ma non nel modo in cui pensiamo. La questione non è se l'IA sia utile — lo è, straordinariamente. La questione è se gli stiamo assegnando il tipo di fiducia giusto, basata su una comprensione corretta di cosa fa realmente. E la risposta, troppo spesso, è no. Perché l'equivoco persiste e perché è pericoloso L'equivoco persiste per ragioni comprensibili. I modelli moderni producono output che, superficialmente, assomigliano al ragionamento umano. Usano connettivi logici. Costruiscono argomentazioni. Citano premesse e traggono conclusioni. Il formato mima la struttura del pensiero razionale. Ma mimarne la struttura non significa replicarne il processo. Un attore che recita Amleto non sta davvero considerando il suicidio. Un navigatore GPS non "conosce" la strada — segue un grafo di nodi e archi. E un modello linguistico che produce una spiegazione medica coerente non sta "ragionando sulla salute del paziente" — sta generando la sequenza testuale più plausibile dato il prompt. Il pericolo è duplice. Da un lato, rischiamo di delegare a questi sistemi responsabilità che richiedono comprensione genuina — e di fidarci dei risultati senza verificarli. Dall'altro, investiamo enormi aspettative e risorse in una direzione che potrebbe non portare dove pensiamo: costruire sistemi sempre più grandi e potenti nella speranza che la comprensione emerga spontaneamente dalla scala. La domanda giusta da porsi Dijkstra non stava dicendo che i computer siano inutili, né che la domanda sull'intelligenza artificiale sia priva di senso. Stava dicendo che la domanda mal posta è peggio dell'assenza di domanda, perché orienta la ricerca nella direzione sbagliata. La domanda utile non è "l'IA può pensare?" ma "in quali compiti questi sistemi producono output affidabili, e in quali no? Dove la loro struttura statistica è uno strumento potente, e dove diventa pericolosamente inadeguata?" Rispondere a questa domanda richiede che smettiamo di proiettare sul calcolo le categorie del pensiero — e che iniziamo a valutare l'IA per quello che è: uno strumento di straordinaria utilità in molti domini, e di straordinario rischio quando si pretende che faccia ciò per cui non è stato progettato. Il sottomarino è una macchina meravigliosa. Non nuota. E va benissimo così — a patto di sapere cosa stiamo mettendo in acqua.https://saverioriotto.it/blog/391/intelligenza-artificiale/il-sottomarino-non-nuota-e-lia-non-pensahttps://saverioriotto.it/blog/391/intelligenza-artificiale/il-sottomarino-non-nuota-e-lia-non-pensaWed, 03 Jun 2026 00:00:00 +0200Il sottomarino non nuota. E l'IA non pensa.Saverio Riottono-reply@saverioriotto.itIntelligenza ArtificialeOgni volta che inizia un nuovo progetto, c'è un momento preciso in cui qualcuno in riunione dice: "Allora, come lo costruiamo?". È una domanda che sembra semplice. Non lo è. Nel corso degli anni ho imparato che la scelta dell'architettura non è un problema tecnico — è un problema di contesto. Ho visto progetti partire con architetture sovradimensionate che hanno rallentato il team per mesi. E ho visto l'opposto: sistemi nati "semplici" che dopo un anno erano diventati un groviglio impossibile da scalare. Questo articolo non è una guida su cosa siano i microservizi o il monolite. È il racconto di come ragiono io quando mi trovo davanti a quel foglio bianco. La prima domanda che faccio non è tecnica Prima ancora di aprire un editor o disegnare un diagramma, faccio sempre una domanda al team (o a me stesso, se lavoro da solo):"Tra 6 mesi, cosa deve essere vero di questo sistema?" Sembra banale. Ma la risposta cambia tutto. Se mi dicono "deve essere live e funzionante", ragiono in un modo. Se mi dicono "deve gestire 10x il traffico attuale", ragiono in un altro. Se mi dicono "non lo sappiamo ancora", quella è già un'informazione preziosissima. L'architettura deve servire gli obiettivi del progetto, non soddisfare la mia curiosità tecnologica. Ho fatto questo errore una volta — ho proposto un'architettura a microservizi per un progetto interno che aveva un team di due persone. Tre mesi dopo, stavo ancora configurando l'orchestrazione dei container mentre il prodotto non era ancora live. Lezione imparata. Le quattro domande che guidano la mia scelta Dopo anni di progetti, ho distillato il mio processo in quattro domande. Le faccio sempre in questo ordine. 1. Quanto è definito il dominio? Se il dominio applicativo è chiaro, stabile e ben compreso — un gestionale, un'area riservata, un sistema di prenotazioni — posso permettermi di pensare a una struttura più articolata fin dall'inizio. Se invece siamo in una fase esplorativa, dove i requisiti cambiano ogni settimana e il business sta ancora capendo cosa vuole, parto sempre da qualcosa di semplice e modulare. In questi casi, l'architettura giusta è quella che puoi cambiare. Un buon monolite ben strutturato, con confini logici chiari tra i moduli, batte qualsiasi sistema distribuito in termini di velocità di iterazione. 2. Quanto è grande il team e com'è organizzato? Questa è forse la variabile più sottovalutata. L'architettura non è solo codice — è anche struttura organizzativa. Un team di due-tre persone che lavora in modo sincrono non ha bisogno di microservizi. Ha bisogno di muoversi veloce, fare deploy frequenti e non perdere tempo in overhead di comunicazione tra servizi. Un team di dieci persone diviso in sotto-team che lavorano su domini diversi, invece, potrebbe beneficiare di confini netti tra i componenti — proprio per evitare che si pestino i piedi a vicenda. Ho sempre in mente la Legge di Conway: i sistemi che costruiamo tendono a rispecchiare la struttura di comunicazione del team che li costruisce. Meglio usarla a proprio vantaggio che combatterla. 3. Quali sono i requisiti non funzionali reali — non quelli immaginati? Qui il dialogo con il cliente o il product owner diventa fondamentale. Spesso sento dire: "deve scalare", "deve essere velocissimo", "deve essere sempre disponibile". Queste sono aspirazioni, non requisiti. Quando approfondisco, scopro che: "scalare" significa gestire un picco stagionale di 2x il traffico normale "velocissimo" significa sotto i 300ms per le chiamate principali "sempre disponibile" significa 99.5% uptime, non five-nines Conoscere i numeri reali mi permette di non over-engineering. Non ho bisogno di Kafka se devo gestire 50 eventi al minuto. Non ho bisogno di un sistema di caching distribuito se il database risponde in 20ms e le query sono già ottimizzate. 4. Qual è il piano per i primi sei mesi dopo il lancio? Il lancio non è la fine — è l'inizio. Mi chiedo sempre: chi farà manutenzione? Il team attuale, un altro team, il cliente stesso? Quante modifiche sono previste dopo il go-live? Se so che dopo il lancio il progetto entrerà in una fase di manutenzione con poca evoluzione, posso accettare qualche compromesso strutturale. Se invece è un prodotto vivo che crescerà, investo di più nella qualità architetturale fin dall'inizio — anche se costa tempo adesso. Il mio punto di partenza predefinito Dopo aver risposto a queste quattro domande, ho un punto di partenza quasi sempre uguale: un'architettura modulare a livelli, deployata come singola unità. In pratica: backend con separazione netta tra layer (presentazione, business logic, accesso ai dati), frontend disaccoppiato che comunica via API, database relazionale come prima scelta salvo ragioni concrete per andare altrove. È l'architettura meno glamour del mondo. Non fa colpo nelle presentazioni. Ma funziona, è comprensibile da chiunque entri nel team, ed è modificabile. Da lì in poi, evolvo solo quando ho un problema reale da risolvere — non un problema ipotetico. Se una parte del sistema diventa un collo di bottiglia, la isolo. Se un dominio cresce fino a richiedere un team dedicato, lo estraggo. Ma non prima. Una cosa che ho smesso di fare Ho smesso di disegnare l'architettura finale prima di scrivere una riga di codice. Adesso dedico le prime settimane a costruire un vertical slice — una fetta verticale del sistema che attraversa tutti i layer, dalla UI al database, su un caso d'uso reale. Questo mi dice più cose sull'architettura giusta di qualsiasi sessione di design teorica. I problemi veri emergono quando il codice incontra la realtà: la struttura dei dati che non torna, l'integrazione con un'API esterna che si comporta diversamente dalla documentazione, il requisito che sembrava semplice e invece nasconde complessità. Meglio scoprirlo presto, con poco codice scritto, che tardi. Conclusione Non esiste l'architettura giusta in assoluto. Esiste l'architettura giusta per quel progetto, in quel momento, con quel team. Il mio processo si riduce a questo: capire il contesto prima di aprire qualsiasi strumento, partire semplice, evolvere quando necessario. Ogni volta che ho deviato da questo principio per seguire una tecnologia interessante o un pattern di moda, me ne sono pentito.https://saverioriotto.it/blog/389/programmazione/come-ragiono-quando-devo-scegliere-larchitettura-di-un-nuovo-progettohttps://saverioriotto.it/blog/389/programmazione/come-ragiono-quando-devo-scegliere-larchitettura-di-un-nuovo-progettoWed, 27 May 2026 00:00:00 +0200Come ragiono quando devo scegliere l'architettura di un nuovo progettoSaverio Riottono-reply@saverioriotto.itProgrammazioneNegli ultimi mesi, nel mondo dello sviluppo software si parla sempre più spesso di vibe coding. Se non ne hai ancora sentito parlare, lasciami spiegare di cosa si tratta — e soprattutto, lasciami dirti perché, da sviluppatore con anni di esperienza sul campo, questa tendenza mi preoccupa. Non perché sia inutile o sbagliata in assoluto, ma perché rischia di fare danni seri a chi sta ancora imparando il mestiere. Cos'è il vibe coding? Il termine è stato coniato nel febbraio 2025 da Andrej Karpathy, ex responsabile AI di Tesla e co-fondatore di OpenAI. Lo ha descritto così: programmare dandosi completamente alle "vibes", abbracciando le esponenziali, e dimenticandosi che il codice esiste. In pratica: descrivi in linguaggio naturale quello che vuoi costruire, l'AI genera il codice, tu lo accetti (o quasi) e vai avanti. Nessuna preoccupazione per la sintassi, per i pattern architetturali, per la gestione degli errori. Solo un prompt e un "sembra funzionare, via". Collins Dictionary l'ha nominata Word of the Year 2025. Già a fine anno scorso, il 41% di tutto il codice scritto globalmente era generato da AI. Il fenomeno è reale, è massiccio, ed è qui per restare. La mia esperienza diretta Lavoro come sviluppatore full-stack da anni, e uso strumenti AI nel mio workflow quotidiano. Gemini, GitHub Copilot, Claude, Cursor, ChatGPT — li ho provati tutti. E devo dire che, su certi compiti, sono genuinamente utili: snippet ripetitivi, boilerplate, documentazione, test unitari su funzioni semplici. Ma c'è una differenza enorme tra usare l'AI come assistente e affidarsi all'AI come sostituto del pensiero. La prima cosa che mi ha colpito, quando ho iniziato a usarli seriamente, è che la qualità dell'output dipende quasi interamente dalla qualità di chi fa le domande. Se non sai già cosa stai cercando, se non riesci a leggere criticamente il codice che ti viene restituito, se non conosci i pattern di sicurezza di base — il codice generato ti sembrerà perfetto. E spesso non lo è. I numeri che nessuno vuole sentire Parliamoci chiaro, perché ci sono dati che fanno riflettere. Uno studio METR del 2025 ha tracciato il lavoro di 16 sviluppatori esperti che usavano strumenti AI. Il risultato? Erano il 19% più lenti sui task complessi, pur percependo soggettivamente di essere più produttivi. Il 63% degli sviluppatori ha dichiarato di passare più tempo a fare debug del codice AI che a scriverlo manualmente. Sul fronte della sicurezza, le cose vanno anche peggio. Un'analisi di 470 pull request su GitHub ha rilevato che il codice generato da AI è 1,7 volte più soggetto a errori logici e 2,74 volte più vulnerabile rispetto al codice scritto da umani. Problemi frequenti: API key hardcodate nel codice, password in chiaro, utilizzo di API che non esistono più (fabbricate dall'AI in base a dati di training obsoleti). Il report Veracode 2025 ha trovato vulnerabilità nel 45% del codice generato da AI. E i junior? Uno studio ha rilevato che i senior developer con 3+ anni di esperienza riportano un aumento di produttività tra il 40 e il 50% usando strumenti AI. I junior invece vedono miglioramenti tra il 15 e il 25% — e spesso non sono in grado di valutare correttamente i rischi di ciò che stanno integrando nel loro codice. Il vero problema: la "competence trap" Ecco dove sta il nodo centrale della questione, quella che molti esperti chiamano "competence trap". Immagina un developer junior che inizia oggi. Il mercato è brutale — le offerte di lavoro per sviluppatori entry-level si sono ridotte drasticamente negli ultimi anni. La pressione per "fare" è enorme. E allora arriva il vibe coding: descrivi cosa vuoi, l'AI lo costruisce, sembra funzionare, lo mandi in produzione. Ma cosa succede quando qualcosa va storto? Quando quel codice che sembrava funzionare comincia a comportarsi in modo strano sotto carico? Quando il cliente segnala un bug che non riesci neanche a riprodurre perché non capisci come il codice è strutturato? Questo è il ciclo che mi spaventa: Problema → Prompt all'AI → Soluzione → Problema diverso → Altro prompt → Altra soluzione Non si impara niente. Non si costruisce un modello mentale del sistema. Non si sviluppa il fiuto per i problemi — quella capacità, che si costruisce solo con l'esperienza, di sentire che qualcosa "non torna" prima ancora di vedere il bug. È quello che alcuni chiamano il "nuovo tutorial hell": prima ti bloccavi guardando tutorial senza mettere le mani in pasta, ora metti le mani in pasta senza capire cosa stai facendo. Il risultato è lo stesso: non cresci. Un caso concreto Qualche mese fa stavo facendo una code review su del codice scritto da un collega junior che aveva usato un assistente AI per costruire un'API REST. Il codice funzionava. I test passavano. Ma c'erano tre problemi seri: Nessuna validazione degli input — l'AI aveva scritto un controller che accettava qualsiasi dato senza sanitizzarlo. Gestione degli errori superficiale — ogni eccezione veniva swallowed con un try/catch generico che restituiva sempre 500. Un endpoint che ritornava dati sensibili dell'utente senza verificare che il chiamante fosse autorizzato a vederli. Quando gliene ho parlato, il collega era onestamente sorpreso. Non aveva visto nessuno di questi problemi perché non aveva ragionato sul codice — lo aveva ricevuto, aveva verificato che "girasse", e aveva pensato di aver finito. Questo non è un attacco a lui — è un problema sistemico di come stiamo usando questi strumenti. Non è tutto da buttare — ma va usato con la testa Intendiamoci: non sono contro l'AI nello sviluppo. La uso ogni giorno. Ma c'è un modo giusto e uno sbagliato di integrarla nel proprio workflow, soprattutto se sei agli inizi. L'AI è utile per: Generare boilerplate e strutture ripetitive che già conosci Esplorare API o librerie nuove (verificando sempre la documentazione ufficiale) Scrivere test quando hai già scritto il codice Avere un secondo "occhio" su logiche complesse L'AI non può sostituire: La comprensione dei fondamentali (strutture dati, algoritmi, protocolli di rete) Il ragionamento sulla sicurezza La capacità di fare debugging in profondità L'architettura di sistema e le scelte di design   Cosa consiglio ai developer junior Se stai iniziando ora, ecco la mia posizione netta: usa l'AI, ma non prima di capire cosa sta generando. Concretamente: Quando l'AI ti genera del codice, leggilo riga per riga prima di integrarlo. Se non capisci qualcosa, non andare avanti finché non hai capito. Scrivi almeno un progetto da zero, senza AI. Un'API REST, un CRUD, un piccolo servizio. Fallo soffrire. Quel dolore è formazione. Studia la sicurezza di base: OWASP Top 10, autenticazione, autorizzazione. L'AI non penserà per te in questo campo. Non fidarti mai del "sembra funzionare". Funzionare e funzionare correttamente in tutti i casi sono due cose diverse.   Conclusione Il vibe coding non è il futuro della programmazione — è un modo veloce per costruire cose che sembrano funzionare. Per i senior, è uno strumento potente nelle mani giuste. Per i junior, rischia di diventare una scorciatoia che porta dritti a un vicolo cieco professionale. Il valore di uno sviluppatore non è nella sua capacità di digitare codice velocemente. È nella sua capacità di ragionare sui sistemi, individuare i problemi, progettare soluzioni solide e mantenere nel tempo ciò che ha costruito. Nessun tool AI, per quanto avanzato, può costruire quella competenza al posto tuo. La gavetta esiste per un motivo. E saltarla non ti fa arrivare prima — ti fa arrivare senza sapere dove sei.https://saverioriotto.it/blog/388/programmazione/vibe-coding-perche-mi-preoccupa-per-i-developer-juniorhttps://saverioriotto.it/blog/388/programmazione/vibe-coding-perche-mi-preoccupa-per-i-developer-juniorMon, 18 May 2026 12:55:21 +0200Vibe Coding: perché mi preoccupa per i developer juniorSaverio Riottono-reply@saverioriotto.itProgrammazioneAll'inizio della mia carriera pensavo che "iniziare a scrivere codice" fosse il modo migliore per dimostrare valore al cliente. Mi sbagliavo. Oggi, dopo aver visto decine di progetti naufragare per motivi che nulla avevano a che fare con la sintassi del codice, ho cambiato radicalmente il mio metodo di lavoro. L'errore che mi è costato un mese di lavoro Due anni fa ho accettato un lavoro per una piattaforma di e-commerce. Il cliente aveva fretta, io volevo compiacerlo e abbiamo saltato la fase di prototipazione. Il risultato? A metà sviluppo, il cliente si è reso conto che il flusso di checkout che avevamo immaginato non funzionava per i suoi utenti. Il costo: Ho dovuto buttare via 4 settimane di lavoro e riscrivere tutto. Da quel giorno, la pianificazione non è più un "optional" nei miei preventivi, ma il cuore del progetto. Cosa cerco io in un progetto oggi Quando valuto se collaborare con qualcuno, non guardo solo il budget. Cerco di capire se c'è una visione. Ecco come affronto la fase di avvio: Scomposizione "Atomica": Divido il progetto in task così piccoli che è impossibile sbagliarne la stima. Se un task richiede più di 4 ore, significa che non l'ho capito bene. L'uso etico dell'IA: Uso gli strumenti di IA per velocizzare il boilerplate, ma spendo il tempo risparmiato per testare manualmente ogni funzione critica. La mia faccia ce la metto io, non un algoritmo. Comunicazione asincrona: Ho imparato che una dashboard condivisa (come un semplice Trello o un documento Notion) salva più progetti di mille riunioni su Zoom. Conclusione: La mia filosofia professionale Essere un professionista nel 2026 significa dire di no a chi vuole "tutto e subito". Preferisco essere quello che consegna un software solido con tre giorni di ritardo piuttosto che quello che consegna un colabrodo puntuale. Se stai cercando uno sviluppatore che scriva solo codice, ci sono mille opzioni là fuori. Se cerchi qualcuno che aiuti a navigare la complessità del tuo business, allora parliamone.https://saverioriotto.it/blog/387/programmazione/perche-ho-smesso-di-accettare-progetti-senza-un-piano-le-mie-lezioni-del-2026https://saverioriotto.it/blog/387/programmazione/perche-ho-smesso-di-accettare-progetti-senza-un-piano-le-mie-lezioni-del-2026Mon, 27 Apr 2026 00:00:00 +0200Perché ho smesso di accettare progetti ''senza un piano'' (Le mie lezioni del 2026)Saverio Riottono-reply@saverioriotto.itProgrammazioneL'intelligenza artificiale è diventata il "copilota" preferito di ogni sviluppatore. Chiedi a Gemini o ChatGPT di scriverti un controller per Spring Boot 3 e in tre secondi hai il codice pronto. Funziona? Spesso sì. È sicuro? Quasi mai. Negli ultimi mesi, analizzando il codice generato dalle IA per progetti Java enterprise, ho notato un pattern preoccupante: l'IA tende a suggerire configurazioni obsolete, ignora i nuovi standard di Java 21 e, cosa più grave, introduce falle di sicurezza che un occhio inesperto potrebbe non notare. In questo articolo vedremo perché il "Copia e Incolla" dall'IA può distruggere la sicurezza della tua applicazione e come blindare il tuo backend Spring Boot. 1. La trappola del codice "Legacy" in un mondo Spring Boot 3 L'IA è addestrata su miliardi di righe di codice, la maggior parte delle quali appartiene all'era di Spring Boot 2.x. Il rischio: Chiedi una configurazione di sicurezza e l'IA ti propone di estendere WebSecurityConfigurerAdapter. La realtà: In Spring Boot 3, quella classe non esiste più. Se forzi il codice o cerchi di adattarlo usando vecchie librerie, stai esponendo il tuo sistema a vulnerabilità note. Nel 2026, la sicurezza si basa su un approccio a componenti (Bean) e sul nuovo namespace Jakarta EE. L'IA spesso "allucina" mescolando javax.* e jakarta.*, creando un Frankenstein di dipendenze che compromette la stabilità del sistema. 2. Caso Studio: La vulnerabilità nel login generato dall'IA Immaginiamo di chiedere all'IA un semplice servizio di autenticazione JWT. Ecco cosa accade spesso: Hardcoded Secrets: L'IA inserisce la chiave di firma del token direttamente nel codice o suggerisce di metterla nel file application.properties. Mancanza di Password Encoding: Molti snippet generati dimenticano di configurare un BCryptPasswordEncoder robusto, usando metodi di hashing deboli o superati. CSRF Disabilitato: Per far funzionare subito l'esempio, l'IA suggerisce spesso http.csrf().disable(). In produzione, senza le dovute contromisure (come i cookie SameSite o token specifici), questo è un invito a nozze per gli attaccanti. La soluzione "Human-Checked": Non limitarti al codice generato. Assicurati che il tuo SecurityFilterChain sia configurato così: @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .csrf(csrf -> csrf.disable()) // Solo se usi JWT stateless! .authorizeHttpRequests(auth -> auth .requestMatchers("/api/v1/auth/**").permitAll() .anyRequest().authenticated() ) .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)); return http.build(); } Nota: Nota come la sintassi Lambda sia l'unico standard accettato in Spring Boot 3.x. 3. Performance e Java 21: Quello che l'IA non ti dice Se usi Spring Boot 3 nel 2026, DEVI usare i Virtual Threads (Project Loom). L'IA raramente te lo suggerisce perché il suo "pensiero" è tarato sul vecchio modello "un thread per richiesta". Senza questa riga nel tuo application.properties, la tua applicazione sprecherà risorse preziose: spring.threads.virtual.enabled=true Perché è importante per la sicurezza? Un'app che gestisce meglio le risorse è più resiliente agli attacchi di tipo DoS (Denial of Service). L'IA si concentra sulla funzione, tu devi concentrarti sulla resilienza. 4. Checklist per uno sviluppo "AI-Assisted" ma sicuro Se decidi di usare l'IA per scrivere codice Spring, segui queste regole d'oro: Valida sempre gli Input: L'IA spesso dimentica @Valid o @NotNull. Non fidarti mai dei dati che arrivano dal client. Usa i Record di Java 21: Invece delle classi classiche con Getter/Setter (spesso suggerite dall'IA), usa i record per i tuoi DTO. Sono immutabili e quindi intrinsecamente più sicuri. Aggiorna le dipendenze: Controlla sempre che le versioni nel pom.xml siano le ultime stabili, non quelle suggerite dall'IA che potrebbero avere vulnerabilità critiche (CVE).   Conclusione L'intelligenza artificiale è un acceleratore, non un sostituto del cervello. Nel 2026, la differenza tra un "coder" e un vero "Software Engineer" sta nella capacità di analizzare criticamente l'output di una macchina. Il tuo blog e i tuoi progetti devono riflettere questa consapevolezza: usiamo l'IA per scrivere velocemente, ma usiamo la nostra esperienza per scrivere in sicurezza.https://saverioriotto.it/blog/386/programmazione/perche-non-dovresti-copiare-il-codice-di-spring-boot-3-generato-dalliahttps://saverioriotto.it/blog/386/programmazione/perche-non-dovresti-copiare-il-codice-di-spring-boot-3-generato-dalliaFri, 27 Mar 2026 12:28:20 +0100Perché non dovresti copiare il codice di Spring Boot 3 generato dall'IASaverio Riottono-reply@saverioriotto.itProgrammazioneIl panorama dello storage Cloud-Native è appena stato scosso da un terremoto: MinIO, il punto di riferimento per l'object storage compatibile con S3, ha completato la sua transizione verso un modello puramente commerciale. Se gestisci infrastrutture basate su Docker, Kubernetes o sistemi di backup on-premise, questa notizia non è solo un "cambio di licenza", ma un segnale d'allarme per la tua strategia di security e manutenibilità. L'evoluzione (o involuzione?) di MinIO: Dal 2021 a oggi Per anni abbiamo usato MinIO come il "coltellino svizzero" dello storage. Tuttavia, la strategia dell'azienda è cambiata radicalmente in tre fasi cruciali: Il cambio di licenza (AGPLv3): Nel 2021, il passaggio dalla licenza Apache 2.0 alla AGPLv3 ha iniziato a mettere in difficoltà le aziende che integravano MinIO in prodotti chiusi. Il "Paywall" delle funzionalità (2025): La rimozione della Console di amministrazione dalla versione Community ha reso la gestione quotidiana un incubo per chi non sottoscriveva l'abbonamento Enterprise (dal costo proibitivo per le PMI). L'archiviazione del repository (Febbraio 2026): Con la chiusura del supporto ufficiale alla versione Community, MinIO Inc. ha spostato tutto il focus su AIStor, lasciando il vecchio codice in uno stato di "morte clinica". Perché è un problema di Sicurezza Informatica? Come esperti di sicurezza, sappiamo che software non mantenuto = software vulnerabile. Zero-Day e Patch: Con il repository ufficiale archiviato, chi correggerà le nuove vulnerabilità scoperte nel core di MinIO? Senza un team di sicurezza dedicato, i server esposti diventano bersagli facili. Supply Chain Attack: La necessità di affidarsi a fork non ufficiali o binari compilati da terze parti (come quelli della community Pigsty) introduce un rischio nella catena di approvvigionamento del software. È fondamentale verificare l'integrità di questi nuovi sorgenti. Compliance: Per molte aziende, utilizzare software "deprecated" o senza supporto ufficiale è una violazione delle policy interne o di certificazioni come la ISO 27001. La nascita dei Fork: Quale scegliere? La comunità non è rimasta a guardare. Proprio in queste settimane, sono emersi fork che tentano di mantenere vivo lo spirito originale di MinIO: Pigsty MinIO: Attualmente il fork più attivo, che ha ripristinato la console web e continua a fornire immagini Docker aggiornate. Terrace: Un progetto che punta a mantenere la compatibilità S3 senza i vincoli commerciali stringenti. Tabella: MinIO vs Alternative Open Source 2026 Soluzione Licenza Stato Ideale per MinIO Enterprise Commerciale Attivo Grandi aziende / AI workloads Pigsty (Fork) AGPLv3 Comunitario Chi non vuole migrare subito SeaweedFS Apache 2.0 Molto Attivo Performance e semplicità Ceph (RGW) LGPL Standard Infrastrutture massive e complesse Conclusioni: Cosa fare ora? Se hai istanze MinIO in produzione, non farti prendere dal panico, ma inizia a pianificare. Audit immediato: Verifica quali versioni stai utilizzando e se sono vulnerabili. Valuta il passaggio ai Fork: Se la tua infrastruttura dipende strettamente dalle API di MinIO, i fork comunitari sono la tua ancora di salvezza temporanea. Considera il Refactoring: Per i nuovi progetti, alternative come SeaweedFS o Garage offrono licenze più amichevoli e uno sviluppo guidato dalla community. L'era del MinIO "gratis per tutti" è finita. È tempo di decidere se pagare il prezzo del software commerciale o investire tempo nella migrazione verso ecosistemi davvero aperti.https://saverioriotto.it/blog/385/devops/minio-dice-addio-allopen-source-puro-cosa-sta-succedendo-e-quali-sono-i-rischihttps://saverioriotto.it/blog/385/devops/minio-dice-addio-allopen-source-puro-cosa-sta-succedendo-e-quali-sono-i-rischiThu, 26 Feb 2026 00:00:00 +0100MinIO dice addio all'Open Source ''puro'': Cosa sta succedendo e quali sono i rischi?Saverio Riottono-reply@saverioriotto.itDevOpsDimenticate le email scritte in un italiano stentato o i loghi sgranati delle banche. Nel 2026, l'ingegneria sociale ha fatto il salto di qualità definitivo. Grazie all’integrazione massiva dell'Intelligenza Artificiale Generativa, siamo entrati nell'era del Phishing Sintetico: un attacco dove non è più solo il testo a ingannare, ma la voce, il volto e persino il comportamento delle persone di cui ci fidiamo. In questo articolo esploreremo come i deepfake stiano ridefinendo il concetto di fiducia digitale e quali contromisure tecniche e comportamentali sono necessarie per proteggere le infrastrutture aziendali. L'evoluzione della minaccia: dal Phishing al Vishing AI-powered Il phishing tradizionale era un gioco di grandi numeri (spray-and-pray). Oggi, gli attaccanti utilizzano LLM (Large Language Models) per analizzare i profili LinkedIn, i report aziendali e i post sui social media, creando campagne di Hyper-Personalized Spear Phishing su scala industriale. 1. Deepfake Audio (Vishing 2.0) La clonazione vocale è diventata una commodity. Con soli 30 secondi di audio campionato da un video su YouTube o un webinar, i cybercriminali possono generare una voce sintetica identica a quella di un CEO o di un responsabile finanziario. Il dato: Nel 2026, gli attacchi di vishing sono aumentati del 442%, con perdite globali che superano i 40 miliardi di dollari. 2. Deepfake Video in tempo reale La vera frontiera del 2026 sono le videochiamate interattive. Esistono già casi documentati di dipendenti che hanno autorizzato bonifici milionari dopo aver partecipato a una call su Zoom con quello che sembrava essere il board aziendale al completo, tutto generato in tempo reale da modelli di IA. Perché le difese tradizionali stanno fallendo? Le vecchie regole ("controlla il mittente", "guarda se ci sono errori grammaticali") sono obsolete per due motivi principali: Assenza di Pattern Malevoli: Un'email generata da AI non contiene link sospetti o allegati infetti nella prima fase. L'obiettivo è costruire un "Persona Appiccicosa" (Sticky Persona) che stabilisce un rapporto di fiducia prima di sferrare l'attacco. Superamento della MFA (Multi-Factor Authentication): Attraverso il social engineering potenziato dall'AI, gli attaccanti riescono a convincere gli utenti a condividere codici OTP o ad approvare notifiche push, sfruttando la pressione psicologica creata da una voce familiare. Strategie di Difesa: Come proteggersi nel 2026 Per contrastare una minaccia che agisce a livello umano, la risposta deve essere un mix di tecnologia zero-trust e cultura della verifica. Contromisure Tecniche Phishing-Resistant MFA: Abbandonare gli SMS e le app di autenticazione classiche in favore di Security Keys (FIDO2/WebAuthn) o Passkeys, che sono immuni al furto di credenziali tramite proxy. AI-Native Detection: Implementare sistemi di analisi comportamentale che monitorano anomalie nel tono, nei metadati e nei flussi comunicativi (es. un dirigente che chiede un'operazione insolita fuori orario). Liveness Detection: Nei processi di onboarding o autorizzazione critica, utilizzare strumenti di verifica biometrica che richiedano prove di "presenza reale" non replicabili dai deepfake attuali. Protocolli Comportamentali La Regola del "Canale Out-of-Band": Se ricevi una richiesta urgente (voce o video) che coinvolge dati sensibili o transazioni, conferma sempre tramite un secondo canale pre-concordato (es. una chiamata su una linea diversa o un messaggio su una piattaforma cifrata specifica). Parole d'ordine aziendali: Alcune organizzazioni stanno adottando "Challenge-Response" analogici (parole chiave segrete) per verificare l'identità in situazioni di emergenza. Conclusione Il confine tra reale e sintetico si è assottigliato fino a sparire. Nel 2026, la sicurezza informatica non è più solo una questione di firewall e patch, ma di gestione dell'identità e della fiducia. La domanda non è più "se" verrai bersagliato da un deepfake, ma "quando" accadrà e se i tuoi protocolli di verifica saranno all'altezza.https://saverioriotto.it/blog/384/sicurezza-informatica/deepfake-e-social-engineering-perche-nel-2026-il-phishing-e-diventato-indistinguibile-dalla-realtahttps://saverioriotto.it/blog/384/sicurezza-informatica/deepfake-e-social-engineering-perche-nel-2026-il-phishing-e-diventato-indistinguibile-dalla-realtaMon, 16 Feb 2026 00:00:00 +0100Deepfake e Social Engineering: Perché nel 2026 il Phishing è diventato indistinguibile dalla realtàSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaNel panorama dello sviluppo Java Enterprise, la scelta del framework è fondamentale. Sebbene molti usino i termini in modo intercambiabile, Spring e Spring Boot non sono la stessa cosa. Con l'avvento di Spring Boot 3, le differenze sono diventate ancora più marcate, introducendo standard moderni che ogni sviluppatore deve conoscere. Cos'è Spring Framework? Spring è un framework open source leggero nato per semplificare lo sviluppo J2EE (ora Jakarta EE). Il suo cuore pulsante è la Dependency Injection (DI) e l'Inversion of Control (IoC), che permettono di creare applicazioni modulari e testabili. Spring offre moduli pronti all'uso come: Spring MVC: Per le applicazioni web. Spring Security: Per la protezione dei dati e degli accessi. Spring Data JDBC/JPA: Per semplificare l'interazione con i database. Spring AOP: Per la programmazione orientata agli aspetti. Nota Tecnica: Nonostante la sua potenza, Spring "puro" richiede una configurazione manuale verbosa (file XML o classi di configurazione complesse) che può rallentare l'avvio di un progetto. Cos'è Spring Boot 3? Spring Boot è un'estensione di Spring progettata per rendere le applicazioni "ready to run". Con la versione 3.x, Spring Boot ha abbracciato il futuro richiedendo come requisito minimo Java 17 e passando alle API di Jakarta EE 10. I tre pilastri di Spring Boot sono: Auto-configurazione: Configura automaticamente i bean in base alle dipendenze trovate nel classpath. Starter Dependencies: Aggrega le librerie comuni in un'unica dipendenza (es. spring-boot-starter-web). Server Incorporato: Include Tomcat, Jetty o Undertow direttamente nel file JAR, eliminando la necessità di installare server esterni. Le Differenze Chiave nel 2026 1. Gestione delle Dipendenze (Maven) In Spring tradizionale, dovevi dichiarare ogni singola libreria e gestirne le versioni compatibili. Esempio Spring (Legacy): <dependency> <groupId>org.springframework</groupId> <artifactId>spring-webmvc</artifactId> <version>6.1.x</version> </dependency> Esempio Spring Boot 3: Basta un solo "starter" che gestisce internamente la compatibilità di tutte le librerie. <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> 2. Addio a javax., Benvenuto jakarta. Uno dei cambiamenti più grandi di Spring Boot 3 è il passaggio al namespace Jakarta EE. Se prima usavi javax.servlet, ora dovrai aggiornare il codice a jakarta.servlet. Questo è fondamentale per la sicurezza e le performance moderne. 3. Configurazione Web: Da JSP a Thymeleaf Mentre Spring MVC usava spesso i file JSP (tecnologia ormai datata e limitata), Spring Boot consiglia motori di template moderni come Thymeleaf. Configurazione moderna in Spring Boot: Non serve più definire un ViewResolver complesso come in passato. Spring Boot riconosce automaticamente la cartella src/main/resources/templates. @Controller public class SampleController { @GetMapping("/sample") public String showForm(Model model) { model.addAttribute("messaggio", "Benvenuti in Spring Boot 3!"); return "sample"; // Cerca sample.html in /templates } } Entry Point e Distribuzione Spring (Approccio Classico) Richiede un file web.xml o un inizializzatore della Servlet. L'applicazione deve essere impacchettata come file .WAR e copiata manualmente dentro un server come Apache Tomcat. Spring Boot (Approccio Moderno) L'applicazione parte da un semplice metodo main. Il server è dentro l'applicazione stessa. @SpringBootApplication public class Application { public static void main(String[] args) { SpringApplication.run(Application.class, args); } } Vantaggio/Performance: Spring Boot 3 supporta nativamente GraalVM, permettendo di trasformare l'app in un binario nativo che si avvia in pochi millisecondi e consuma pochissima RAM. Tabella Comparativa Rapida Caratteristica Spring Framework Spring Boot 3 Java Version Supporta versioni vecchie Minimo Java 17 Namespace javax.* jakarta.* Configurazione Manuale (XML o Java Config) Automatica (Opinionated) Server Esterno (Tomcat, Wildfly) Incorporato (Fat JAR) Deployment Più complesso (WAR) Semplice (JAR o Native Image) Conclusione: Quale Scegliere? Non c'è competizione: Spring Boot 3 è lo standard attuale. Mentre Spring offre la flessibilità di base, Spring Boot elimina il "boilerplate code" e permette di concentrarsi solo sulla logica di business. Se stai iniziando un nuovo progetto o vuoi recuperare traffico sul tuo blog tecnico, puntare sulle architetture moderne basate su Java 17+ e Spring Boot 3 è l'unica strada percorribile. https://saverioriotto.it/blog/250/programmazione/spring-vs-spring-boot-conosciamo-le-differenzehttps://saverioriotto.it/blog/250/programmazione/spring-vs-spring-boot-conosciamo-le-differenzeTue, 11 Nov 2025 19:10:42 +0100Spring vs Spring Boot: conosciamo le differenzeSaverio Riottono-reply@saverioriotto.itProgrammazioneL’intelligenza artificiale per la generazione di video ha raggiunto un livello di perfezione sbalorditivo. L’annuncio di Sora 2 da parte di OpenAI non è solo un avanzamento tecnologico; è un vero e proprio spartiacque culturale ed etico. Con funzionalità come “Cameo” – che permette di inserire il proprio volto (o quello di altri) in qualsiasi filmato generato dall’IA – e il lancio di un social network dedicato ai contenuti artificiali, stiamo entrando in una nuova era in cui la manipolazione del reale diventa accessibile a chiunque. Ma cosa significa davvero questo per la nostra società e per la percezione della verità? 1. La Normalizzazione del Falso: Il Deepfake Come Funzione Sociale Fino a ieri, il termine deepfake evocava scenari negativi: frodi, disinformazione politica e, purtroppo, abusi digitali. Era un fenomeno di nicchia, confinato a chi possedeva competenze specifiche. Oggi, Sora 2 lo rende un feature di massa, un giocattolo creativo. È qui che risiede il vero punto di non ritorno. Quando uno strumento così potente e potenzialmente distruttivo per la fiducia sociale si trasforma in un elemento di intrattenimento popolare, la nostra soglia di allarme si abbassa drasticamente. Rischio culturale: Rendere la generazione di falsi iper-realistici un’attività comune, promossa come "auto-espressione", normalizza l'inganno visivo. Crisi della Verificabilità: In un ambiente saturo di video perfetti generati dall’AI, la distinzione tra autentico e manipolato si dissolve. Non si tratta più di "se" un contenuto è falso, ma di "quando" la sua proliferazione minerà la nostra capacità collettiva di fidarci dei contenuti visivi. Il paradosso è chiaro: se tutti i contenuti possono essere generati o manipolati, l’autorità intrinseca dell’immagine come “prova” svanisce, alimentando un pericoloso relativismo visivo.   2. L’Ecosistema Artificiale: Il Nuovo Social Network di Sora A rendere ancora più complessa la situazione è il lancio di una piattaforma social integrata. Immaginate un luogo digitale interamente popolato da video generati dall’AI. Questa mossa introduce un elemento di simulazione totale nella nostra vita online, proprio mentre stiamo faticando a gestire gli impatti sulla salute mentale dei social network tradizionali, legati pur sempre (almeno in teoria) a esperienze umane reali. Ancoraggio alla Realtà Perduto: L'esperienza utente su questo nuovo social è disconnessa da qualsiasi legame con il mondo fisico, creando un ambiente puramente simulato che rischia di esacerbare problemi come la solitudine e la distorsione della percezione di sé. Marketing Etico Contro Natura: Le dichiarazioni di OpenAI che parlano di "sicurezza" e "protezione" appaiono in stridente contrasto con il potenziale disorientante del prodotto stesso. Si avverte la sensazione che le Big Tech stiano testando continuamente i limiti della tolleranza sociale, spostando l'asticella dell’accettabile.   3. Dal Controllo alla Saturazione: L'Esercizio del Potere Questa ondata di contenuti artificiali si inserisce in un contesto più ampio di società iperstimolata. Il controllo sociale, oggi, non si esercita più attraverso la censura (il divieto di vedere), ma attraverso l’eccesso (l'impossibilità di discernere). La confusione deliberata tra vero e falso, la moltiplicazione infinita di video di altissima qualità, crea un “rumore di fondo” costante. Non si vieta l'informazione, la si annega nel caos. Questa è una forma di controllo sottile, che disorienta l’utente e svuota di significato qualsiasi dibattito basato sulla verifica dei fatti. Una Chiamata alla Consapevolezza La tecnologia, e in particolare l’IA, non è intrinsecamente "buona" o "cattiva". È uno strumento potentissimo. Tuttavia, ogni passo avanti nel progresso tecnologico deve essere accompagnato da un passo avanti nella nostra consapevolezza etica e culturale. Sora 2 è una straordinaria risorsa creativa, ma solo se utilizzata all’interno di un perimetro di responsabilità e trasparenza. Il rischio è quello di una cultura visiva e di un’informazione permanentemente inquinate, dove la realtà oggettiva è diventata, per scelta e non per difetto, non verificabile. Dobbiamo esigere chiarezza sull'origine dei contenuti e sviluppare urgentemente strumenti di detection e, soprattutto, una nuova educazione mediatica che prepari il pubblico a navigare in un mondo dove l’immagine non è più garanzia di verità.https://saverioriotto.it/blog/383/intelligenza-artificiale/deepfake-di-massa-e-crisi-della-realta-sora-2-e-il-punto-di-non-ritornohttps://saverioriotto.it/blog/383/intelligenza-artificiale/deepfake-di-massa-e-crisi-della-realta-sora-2-e-il-punto-di-non-ritornoFri, 24 Oct 2025 17:13:09 +0200Deepfake di Massa e Crisi della Realtà: Sora 2 e il Punto di Non RitornoSaverio Riottono-reply@saverioriotto.itIntelligenza ArtificialeOttobre è il mese della consapevolezza sulla sicurezza informatica (European Cybersecurity Month - ECSM), ma le tradizionali raccomandazioni sulle password non bastano più. L'Intelligenza Artificiale (AI) non è solo un alleato per lo sviluppatore; è anche il motore che sta trasformando il phishing da attacco grossolano a minaccia invisibile. Se sei uno sviluppatore, un professionista DevOps o un analista SOC, devi comprendere questa evoluzione per difenderti efficacemente. L'Evoluzione Silenziosa del Phishing: Dal Principe Nigeriano ai Deepfake Per anni, il phishing è stato riconoscibile: email scritte male, loghi sgranati e richieste generiche. Oggi, i cybercriminali sfruttano i Large Language Models (LLM) e le capacità dell'AI generativa per superare queste barriere. La Perfezione del Testo e l'Iper-Personalizzazione I moderni LLM (come varianti non etiche di GPT o modelli open-source) consentono ai criminali di: Eliminare gli Errori Grammaticali: Il testo è impeccabile e credibile. Generare Tono e Stile Immersivi: Un LLM può imitare perfettamente lo stile di comunicazione formale di un dirigente aziendale o l'urgenza di un reparto IT. Sfruttare l'OSINT per l'Iper-Personalizzazione (Spear Phishing): Combinando i dati raccolti da sorgenti aperte (OSINT) con l'AI, i criminali creano email che contengono dettagli ultra-specifici sul tuo ruolo, sui tuoi progetti recenti o sui colleghi. Questo attacco mirato, detto Spear Phishing, abbatte drasticamente il tasso di diffidenza. Deepfake e Vishing: Quando la Voce Diventa un'Arma La minaccia più avanzata è l'uso dell'AI per la sintesi vocale (Voice Cloning). Il Vishing (Voice Phishing) e i Deepfake Vocali permettono ai criminali di chiamare le vittime simulando perfettamente la voce di un CEO, un familiare o un responsabile IT, fornendo una conferma vocale al messaggio di testo fraudolento. Il Punto Cieco: Perché i Controlli Tradizionali Falliscono I vecchi sistemi di sicurezza si basavano sul rilevamento di pattern noti o di "parole chiave" sospette. Contro il phishing potenziato dall'AI, questo approccio è destinato a fallire: Evitare i Filtri Spam: Il testo generato dall'AI è unico per ogni attacco, rendendo inefficace il rilevamento basato sulla ripetizione. Abuso di Protocolli Legittimi: Gli attaccanti si muovono all'interno di piattaforme collaborative (Slack, Teams, GitHub) dove i controlli sono meno rigidi, abusando delle funzioni di messaggistica interna e di notifica. Payload Polimorfi: L'AI può generare file e URL malevoli che cambiano forma (polimorfismo) per eludere la scansione da parte degli antivirus e dei sandbox tradizionali. Le Nuove Linee di Difesa per Sviluppatori e Aziende La risposta a questa minaccia evoluta non è solo la formazione, ma un cambiamento strategico nei sistemi di sicurezza e nelle pratiche di sviluppo. A. Potenziamento con la Security AI (AI-Powered EDR/XDR) La stessa intelligenza che alimenta l'attacco deve alimentare la difesa. EDR e XDR basati su AI: Le piattaforme di Extended Detection and Response (XDR) e Endpoint Detection and Response (EDR) di nuova generazione utilizzano il Machine Learning per monitorare il comportamento dell'utente e della rete (UEBA - User and Entity Behavior Analytics). Invece di cercare un malware noto, cercano anomalie nel comportamento, come un account che improvvisamente accede a file non correlati dopo aver cliccato su un link. Analisi Linguistica Avanzata: Nuovi strumenti integrati nei client di posta sfruttano l'AI per analizzare non solo il contenuto del testo, ma anche il contesto emotivo e la coerenza logica della richiesta, segnalando discrepanze anche in testi grammaticalmente perfetti. B. Oltre la Password: Autenticazione Forte e Senza Segreti L'attacco di phishing punta a rubare le credenziali. Eliminare il fattore "password" è la contromisura definitiva. Soluzione di Autenticazione Vantaggio contro il Phishing Passkeys Sostituiscono le password e sono legate al dispositivo. Non possono essere rubate con il phishing, poiché la chiave privata non esce mai dal dispositivo. MFA basato su FIDO2/Hardware Richiede un token fisico o biometrico (come YubiKey o Windows Hello). Il semplice codice TOTP inviato via SMS è vulnerabile al MFA-Bypass Phishing. Single Sign-On (SSO) Centralizza l'autenticazione, riducendo le superfici di attacco e semplificando la gestione delle policy. C. DevSecOps: Blindare il Codice e le Dipendenze Per la community di sviluppatori e DevOps: Scan delle Secret: Integrare in ogni pipeline CI/CD strumenti di secret scanning per prevenire la fuga accidentale di API key o credenziali nel codice. Un semplice API Key Leak può essere il punto di ingresso per un attacco avanzato di Spear Phishing. Software Composition Analysis (SCA): Verificare la sicurezza di tutte le librerie open-source utilizzate (le dipendenze), per mitigare i rischi di attacchi alla Supply Chain come l'incidente XZ Utils. Conclusioni: L'Igiene Digitale non è un Destino, è una Scelta L'AI ha alzato l'asticella del cybercrime. Non possiamo più affidarci solo alla "consapevolezza" dell'utente finale. Dobbiamo implementare difese tecnologiche proattive che utilizzino l'Intelligenza Artificiale per contrastare la sua gemella malvagia. La tua azienda sarà al sicuro solo quando implementerà l'autenticazione passwordless e adotterà una strategia di sicurezza basata sul comportamento, non sul riconoscimento di pattern noti.https://saverioriotto.it/blog/382/sicurezza-informatica/oltre-la-password-come-lai-sta-rendendo-il-phishing-invisibile-e-le-nuove-difesehttps://saverioriotto.it/blog/382/sicurezza-informatica/oltre-la-password-come-lai-sta-rendendo-il-phishing-invisibile-e-le-nuove-difeseMon, 13 Oct 2025 10:32:37 +0200Oltre la Password: Come l'AI sta Rendendo il Phishing Invisibile e le Nuove DifeseSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaNegli ultimi mesi ho sperimentato molto con Ollama e vari modelli LLM (Large Language Models) per capire come sfruttarli al meglio nelle mie applicazioni. In questo articolo voglio raccontarti in modo semplice e diretto qual è la differenza tra Ollama e i modelli, e quali sono i metodi ottimali per integrarli nei progetti reali. Che cos’è Ollama Ollama è un runtime locale che permette di eseguire facilmente modelli linguistici di grandi dimensioni (LLM) sul proprio computer.In pratica, è una piattaforma che: scarica e gestisce i modelli in automatico, fornisce un’interfaccia a riga di comando e un’API HTTP locale, semplifica l’uso di modelli open-source come Llama 3, Mistral, Gemma, Phi-3 e molti altri. Per me Ollama è stato un vero game changer: non devo più configurare ambienti complessi con PyTorch o CUDA. Mi basta un comando, e ho un modello pronto da interrogare. Inoltre, gira offline, garantendo privacy e controllo totale sui dati. Che cos’è un modello LLM I modelli non sono altro che le reti neurali addestrate: il cervello dell’applicazione.Ogni modello ha delle caratteristiche specifiche: Dimensione dei parametri (7B, 13B, 70B) → più grande è, più “intelligente” ma anche più pesante. Formato di inferenza (FP16, int8, int4 quantizzato) → incide su velocità e consumo di RAM/VRAM. Specializzazione → alcuni sono generalisti (conversazione), altri ottimizzati per coding, embedding, traduzione o RAG (Retrieval Augmented Generation). Senza Ollama, usare questi modelli può essere complicato. Senza modelli, Ollama non serve a nulla.La differenza è chiara: Ollama è il motore, i modelli sono il cervello.Vedi anche LLM e Intelligenza Artificiale: guida semplice per tutti Quando usare Ollama e quali modelli scegliere Ecco cosa ho imparato testando diverse configurazioni: Sperimentazione rapida Se voglio provare idee o fare prototipi, uso Ollama + un modello leggero (tipo Mistral 7B o Llama 3 8B in versione quantizzata). Funziona anche su un laptop senza GPU dedicata.  Applicazioni locali e offline Quando mi serve privacy, Ollama è perfetto: posso creare un’app che interroga documenti sensibili senza inviare nulla in cloud. Per chat generica → Llama 3 8B/13B. Per programmazione → DeepSeek-Coder o CodeLlama. Per analisi testuale o embedding → modelli specifici come all-MiniLM.  Produzione e scalabilità Per ambienti più grandi, consiglio di valutare alternative più performanti come vLLM o Text Generation Inference (TGI). Ollama resta ottimo in fase di sviluppo, ma per carichi pesanti meglio soluzioni ottimizzate per server multi-GPU.  Integrazione in pipeline AI Ollama espone una semplice API HTTP, quindi posso integrarlo con framework come LangChain, LlamaIndex o Haystack e costruire sistemi di RAG o agenti intelligenti in locale.   Conclusione Per me la chiave è questa: Ollama è lo strumento che semplifica, i modelli sono il cuore del sistema.Scegliere il modello giusto dipende dall’uso: conversazione, coding, ricerca documentale, o prototipazione. Personalmente, uso Ollama come punto di partenza per test e applicazioni locali, e poi, quando serve scalabilità, passo a runtime più performanti o a soluzioni cloud. Se stai pensando di sviluppare applicazioni AI, ti consiglio di iniziare con Ollama: semplice, veloce, e con il vantaggio enorme di lavorare anche offline.https://saverioriotto.it/blog/381/intelligenza-artificiale/ollama-e-modelli-llm-differenze-usi-e-metodi-ottimali-per-le-applicazionihttps://saverioriotto.it/blog/381/intelligenza-artificiale/ollama-e-modelli-llm-differenze-usi-e-metodi-ottimali-per-le-applicazioniThu, 25 Sep 2025 11:59:51 +0200Ollama e modelli LLM: differenze, usi e metodi ottimali per le applicazioniSaverio Riottono-reply@saverioriotto.itIntelligenza ArtificialeUn attacco informatico su larga scala ha messo a nudo la fragilità della nostra sicurezza digitale. Un sito web ha messo in vendita l'accesso a migliaia di telecamere private hackerate in tutta Europa, trasmettendo in streaming la vita quotidiana da abitazioni, negozi, uffici e persino spogliatoi. Questo scandalo, che coinvolge anche l'Italia con centinaia di dispositivi violati, non è frutto di un'operazione high-tech in stile cinematografico, ma dello sfruttamento di debolezze basilari. Capire come avviene e come difendersi è fondamentale per proteggere la nostra privacy. Lo Scandalo delle Telecamere Spia: Cosa è Successo in Italia e in Europa La notizia è allarmante: un portale online, promosso tramite canali Telegram, ha offerto a chiunque la possibilità di acquistare accessi a oltre 2.000 telecamere di sorveglianza in Europa. L'indagine è partita da un centro di sicurezza informatica di Treviso, che ha individuato almeno 150 dispositivi compromessi sul territorio italiano, presentando immediatamente una denuncia alla Polizia Postale. L'incidente mette in luce una verità scomoda: i dispositivi nati per proteggerci possono facilmente trasformarsi nel nostro peggior incubo se non vengono gestiti correttamente. La violazione della privacy non riguarda solo dati astratti, ma immagini intime della nostra vita quotidiana, ora potenzialmente nelle mani di malintenzionati. Come gli Hacker Violano le Telecamere IP: Le Falle di Sicurezza Più Comuni Contrariamente a quanto si possa pensare, gli hacker non hanno avuto bisogno di forzare complesse difese informatiche. Hanno semplicemente bussato alla porta principale, trovandola aperta. I criminali informatici utilizzano bot automatici che scandagliano Internet alla ricerca di dispositivi vulnerabili, sfruttando principalmente tre punti deboli. Credenziali di Default: La Porta d'Accesso Principale La falla di sicurezza più diffusa e banale è il mancato cambio delle credenziali di accesso preimpostate dal produttore. Moltissimi utenti installano la loro telecamera IP e lasciano la combinazione standard, come admin/admin o admin/password. Queste password sono note e rappresentano il primo tentativo di ogni software di hacking. Firmware non Aggiornato e Vulnerabilità Note Il software che fa funzionare la tua telecamera (il firmware) può contenere dei bug. I produttori seri rilasciano periodicamente aggiornamenti per correggere queste vulnerabilità. Ignorare questi update significa lasciare il dispositivo esposto a falle di sicurezza conosciute e facilmente sfruttabili da remoto. Reti Wi-Fi Insicure e Servizi Esposti La sicurezza della telecamera è legata a doppio filo a quella della rete a cui è connessa. Una rete Wi-Fi con una password debole o con protocolli di sicurezza obsoleti (come WEP o WPA) può essere facilmente violata, dando all'hacker l'accesso a tutti i dispositivi collegati, incluse le telecamere. Funzionalità come l'UPnP (Universal Plug and Play), sebbene comode, possono inoltre aprire porte di comunicazione verso l'esterno senza un controllo diretto, creando ulteriori varchi. Guida Pratica: 7 Passi per Proteggere le Tue Telecamere e la Tua Privacy La buona notizia è che mettere in sicurezza i propri dispositivi è più semplice di quanto si pensi. Segui questi passaggi fondamentali per blindare le tue telecamere. 1. Modifica Subito Username e Password Predefiniti È la regola numero uno. Appena accendi la telecamera per la prima volta, accedi al pannello di configurazione e cambia sia il nome utente che la password. Scegli una password complessa di almeno 12-16 caratteri, che includa lettere maiuscole, minuscole, numeri e simboli. 2. Abilita l'Autenticazione a Due Fattori (2FA) Se il tuo dispositivo lo supporta, attiva la 2FA senza esitazioni. Questo sistema di sicurezza richiede, oltre alla password, un secondo codice di verifica (solitamente generato da un'app sul tuo smartphone) per poter accedere. Rende quasi impossibile un accesso non autorizzato anche se la tua password venisse rubata. 3. Mantieni il Firmware Sempre Aggiornato Verifica periodicamente sul sito del produttore la presenza di nuovi aggiornamenti per il tuo modello di telecamera e installali. Se disponibile, attiva la funzione di aggiornamento automatico per non doverti più preoccupare. 4. Metti in Sicurezza la Tua Rete Wi-Fi (WPA3) Assicurati che la tua rete domestica utilizzi il protocollo di crittografia più recente e sicuro, preferibilmente WPA3 (o almeno WPA2-AES). Imposta anche per il Wi-Fi una password robusta e univoca. 5. Isola le Telecamere su una Rete Separata (VLAN) Per gli utenti più esperti, la segmentazione della rete è una strategia eccellente. Creando una rete Wi-Fi dedicata esclusivamente ai dispositivi IoT (come telecamere, smart speaker, ecc.), si limita il potenziale danno: anche se una telecamera venisse violata, l'hacker non potrebbe accedere ai tuoi computer o smartphone connessi alla rete principale. 6. Disabilita Funzionalità non Necessarie come l'UPnP Accedi alle impostazioni del tuo router e della tua telecamera e disabilita tutte le funzionalità che non utilizzi, in particolare l'UPnP e l'accesso remoto se non ti è strettamente necessario. Minore è la "superficie d'attacco", più sicuro sarà il tuo dispositivo. 7. Scegli Produttori Affidabili e Attenti alla Sicurezza Quando acquisti un dispositivo connesso, informati sulla reputazione del produttore in ambito sicurezza. Le aziende più note e affidabili tendono a offrire un supporto software più duraturo e a essere più trasparenti riguardo alle vulnerabilità e agli aggiornamenti. La Sicurezza dei Dispositivi IoT è una Responsabilità Condivisa Questo scandalo serve da campanello d'allarme. La sicurezza delle telecamere IP e, più in generale, di tutti i dispositivi dell'Internet of Things, non è un aspetto da trascurare. Se da un lato i produttori hanno la responsabilità di progettare prodotti sicuri, dall'altro lato spetta a noi utenti adottare quelle buone pratiche di igiene digitale che rappresentano la nostra prima e più importante linea di difesa. La protezione della nostra privacy inizia da una password sicura.https://saverioriotto.it/blog/380/sicurezza-informatica/telecamere-hackerate-come-proteggere-la-tua-privacy-onlinehttps://saverioriotto.it/blog/380/sicurezza-informatica/telecamere-hackerate-come-proteggere-la-tua-privacy-onlineTue, 09 Sep 2025 12:11:44 +0200Telecamere Hackerate: Come Proteggere la Tua Privacy OnlineSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaImmagina questa scena: sei in un bar sulla spiaggia, cocktail in mano, tramonto perfetto. La prima cosa che fai è tirare fuori lo smartphone, scattare una foto e caricarla come Storia su Instagram con la scritta "Finalmente relax!". Un gesto innocuo, che fanno milioni di persone ogni giorno. E se ti dicessi che in quel preciso istante potresti aver appena consegnato le chiavi di casa tua a un ladro o fornito a un hacker l'informazione che gli mancava per violare il tuo account? Benvenuto nel lato oscuro della condivisione istantanea. In questo articolo, analizzeremo dal punto di vista della cybersecurity perché la natura effimera delle Storie crea un falso senso di sicurezza e come i malintenzionati sfruttano queste informazioni contro di te. L'Illusione dell'Impermanenza: Un Falso Senso di Sicurezza Il motivo principale per cui ci sentiamo a nostro agio nel condividere momenti fugaci è la loro presunta scomparsa dopo 24 ore. Ma nel mondo digitale, "temporaneo" è un concetto molto relativo. Nel campo della sicurezza informatica, diamo per scontato che una volta che un dato è online, è online per sempre. Archiviazione e Screenshot: Le piattaforme archiviano le tue Storie, e chiunque può catturare uno screenshot in una frazione di secondo. Tool di Terze Parti: Esistono decine di tool, spesso semplici script Python, che permettono di scaricare in modo anonimo e massivo le Storie di profili pubblici. Un attaccante può creare un archivio completo della tua vita digitale senza che tu te ne accorga. Quella che consideri un'innocua condivisione momentanea diventa un dato persistente nel database di qualcun altro. Mappa del Tesoro per un Attaccante: Rischi Concreti della Condivisione Online Ogni Storia è un pezzo di un puzzle che, una volta completato, rivela un'immagine dettagliata della tua vita. Vediamo quali sono i rischi concreti, suddividendoli per categoria. Minacce alla Sicurezza Fisica: Furti e Stalking Pianificati sui Social Questo è il rischio più intuitivo, ma spesso sottovalutato. Furti in Appartamento: Condividere la foto del gate di partenza in aeroporto o una serie di Storie da una località di villeggiatura è l'equivalente digitale di appendere un cartello "CASA VUOTA, PREGO SERVIRSI" sulla porta. I gruppi criminali moderni monitorano attivamente i social media per pianificare i colpi con il minimo rischio. Stalking: Postare in tempo reale dalla tua palestra, dal tuo ufficio o dal bar dove fai colazione permette a uno stalker di mappare le tue abitudini con precisione militare. Questa tecnica, nota come pattern-of-life analysis, ti rende un bersaglio prevedibile e vulnerabile. OSINT e Social Engineering: Le Tue Storie come Arma Contro di Te Qui entriamo nel cuore della cybersecurity. L'OSINT (Open Source Intelligence) è la disciplina che si occupa di raccogliere e analizzare informazioni da fonti pubblicamente accessibili. Le tue Storie sono una miniera d'oro. Dettagli apparentemente insignificanti possono essere usati per attacchi di social engineering: Lo sfondo delle tue foto: Un badge aziendale appeso, il nome della rete Wi-Fi visibile sullo schermo di un PC, una bolletta sulla scrivania. Informazioni personali: Il nome del tuo cane (risposta comune per le domande di sicurezza), il modello della tua prima auto, il volto dei tuoi colleghi. Geolocalizzazione inversa: Anche senza un tag di posizione, la vista da una finestra o l'insegna di un negozio possono essere usate con Google Maps per individuare esattamente dove vivi o lavori. Queste informazioni vengono poi usate per creare attacchi di phishing mirato (spear phishing) incredibilmente credibili. Una mail che recita "Ciao, ho visto dalla tua Storia che sei al Web Summit. Clicca qui per scaricare le slide..." ha una probabilità di successo enormemente più alta di una generica. Doxing e Violazione della Privacy: Non Solo la Tua Il doxing è la pratica di cercare e diffondere online informazioni private su un individuo con intento malevolo. Aggregando i dati dalle tue Storie, un attaccante può ricostruire la tua identità completa. Ma il rischio non è solo tuo: taggando amici e familiari, esponi anche loro, spesso senza il loro consenso, trasformandoli in potenziali punti di leva per un attacco contro di te. Dietro le Quinte dell'Attacco: Le Tecniche Usate nella Cybersecurity Un professionista della sicurezza non si limita a "guardare le foto". Usa strumenti e tecniche specifiche. Analisi dei Dati EXIF: Molti non sanno che ogni foto scattata con uno smartphone contiene metadati nascosti (EXIF), che possono includere le coordinate GPS esatte, il modello del dispositivo e la data. Anche se i social media spesso li rimuovono, non è sempre così. È buona norma disattivare il tagging GPS dalla propria app fotocamera. Scraping Automatizzato: Come accennato, esistono script che permettono di scaricare tutte le Storie di un utente non appena vengono pubblicate. Questo permette a un attaccante di analizzare i contenuti con calma, anche dopo le 24 ore, alla ricerca di vulnerabilità. Guida Pratica alla Difesa: Come Proteggere la Tua Privacy Online L'obiettivo non è smettere di usare i social, ma farlo con una mentalità orientata alla sicurezza. Ecco una checklist pratica per iniziare subito a proteggere la tua privacy online: La Regola d'Oro: Condividi in Differita. Il consiglio più importante. Posta le foto della tua giornata al mare la sera, quando sei già a casa. Pubblica le foto della vacanza quando sei tornato. Questo semplice ritardo temporale annulla la maggior parte dei rischi fisici. Revisiona il Tuo Pubblico: Usa le liste "Amici più Stretti" per i contenuti più sensibili. Valuta se rendere il tuo profilo privato. Non accettare richieste da sconosciuti. Controlla lo Sfondo: Prima di premere "Pubblica", dai un'occhiata critica a cosa c'è dietro di te. Ci sono documenti, indirizzi, dettagli riconoscibili? Disabilita la Geolocalizzazione: Rimuovi i permessi di accesso alla posizione per le app social e per la fotocamera. Evita di usare sticker con la posizione esatta. Adotta il "Principio del Minimo Privilegio": Questo è un concetto fondamentale della cybersecurity. Applicalo alla tua vita social: condividi solo le informazioni strettamente necessarie, con il pubblico minimo indispensabile. Conclusione: Condividere con Consapevolezza è la Migliore Difesa La tua vita online e quella offline non sono due mondi separati. Sono due facce della stessa medaglia, e le vulnerabilità di una si riflettono inevitabilmente sull'altra. Trattare le tue Storie e i tuoi post con la stessa cautela con cui tratteresti i tuoi dati bancari non è paranoia, ma una sana e necessaria abitudine di igiene digitale. La prossima volta che stai per condividere quel momento perfetto in tempo reale, fermati un secondo e chiediti: "Quali informazioni sto davvero comunicando?". La tua sicurezza, fisica e digitale, potrebbe dipendere da quella piccola pausa di riflessione.https://saverioriotto.it/blog/379/sicurezza-informatica/il-dettaglio-nelle-tue-storie-che-regali-agli-hacker-senza-saperlohttps://saverioriotto.it/blog/379/sicurezza-informatica/il-dettaglio-nelle-tue-storie-che-regali-agli-hacker-senza-saperloWed, 30 Jul 2025 00:00:00 +0200Il Dettaglio nelle Tue Storie che Regali agli Hacker (Senza Saperlo)Saverio Riottono-reply@saverioriotto.itSicurezza InformaticaCos’è un LLM e perché se ne parla ovunque LLM sta per Large Language Model, ovvero “modello linguistico di grandi dimensioni”.È un tipo di intelligenza artificiale capace di leggere, scrivere, rispondere e persino tenere una conversazione con un essere umano. Hai mai usato ChatGPT, chiesto qualcosa a Siri o ricevuto una risposta automatica in una chat sul sito di una banca? Probabilmente hai già parlato con un LLM. Ma come funziona davvero? Come pensa un’intelligenza artificiale (spoiler: non pensa affatto) Un LLM non ragiona come una persona. Non ha coscienza, non capisce davvero cosa dice.Il suo “trucco” è questo: predice la parola successiva in base a quello che ha letto in passato. Esempio:Scrivi “Il sole splende nel…” e lui può suggerire “cielo”.Perché? Perché ha visto milioni di frasi simili durante l’addestramento. È come un completatore automatico avanzato, solo molto più intelligente. Come viene creato un LLM Gli LLM si costruiscono in due fasi: 1. Addestramento (pre-training)Il modello legge enormi quantità di testo: libri, articoli, siti web, forum, manuali. Da qui impara come funziona il linguaggio umano. 2. Ottimizzazione (fine-tuning)Viene poi “educato” a rispondere in modo utile, rispettoso e coerente. Questa fase include controlli umani, test e aggiustamenti. È davvero intelligente? La risposta è no Per quanto sembri “umano”, un LLM non capisce davvero cosa dice.Non ha emozioni, esperienze, né una volontà. Sa solo che, in certe situazioni, certe parole sono più probabili di altre. Imita il linguaggio umano, ma non lo vive. È una simulazione statistica, non un pensiero. Dove lo usi ogni giorno (forse senza accorgertene) L’intelligenza artificiale e i LLM sono già ovunque. Alcuni esempi: Chatbot nei siti web Assistenti vocali (Alexa, Siri, Google Assistant) Correttori automatici nei telefoni Traduttori online (come Google Translate) Suggerimenti di ricerca su Google Netflix e Spotify (raccomandazioni basate su AI) Non serve essere esperti per usarli. Ma capire cosa fanno davvero ti aiuta a non farti ingannare. Perché dovresti capire come funziona Capire le basi dell’AI serve a: Usarla in modo consapevole Capire i suoi limiti e i suoi rischi Non attribuirle più intelligenza di quella che ha Saper distinguere tra una risposta automatica e una informazione affidabile ... la vera intelligenza sei tu Gli LLM sono strumenti potenti, ma non sono persone. Non provano empatia, non conoscono la verità, e non sanno cosa è giusto o sbagliato. Sono solo modelli statistici che imitano il linguaggio umano. Sta a noi – con il nostro senso critico e la nostra intelligenza – decidere come usarli. Ti è servita questa guida? Condividila o lascia un commento per approfondire!https://saverioriotto.it/blog/378/intelligenza-artificiale/llm-e-intelligenza-artificiale-guida-semplice-per-tuttihttps://saverioriotto.it/blog/378/intelligenza-artificiale/llm-e-intelligenza-artificiale-guida-semplice-per-tuttiThu, 10 Jul 2025 00:00:00 +0200LLM e Intelligenza Artificiale: guida semplice per tuttiSaverio Riottono-reply@saverioriotto.itIntelligenza ArtificialeNel mondo dello sviluppo software, spesso ci troviamo di fronte a funzionalità "trasversali" – quelle che influenzano molte parti del nostro codice ma non appartengono logicamente a una singola classe o modulo. Pensate al logging, alla sicurezza, al caching, o alla gestione delle transazioni. Gestirle con l'approccio tradizionale può portare a codice duplicato, difficile da mantenere e propenso a errori. Qui entrano in gioco due tecniche potenti e complementari: la Programmazione Orientata agli Aspetti (AOP) e la Bytecode Manipulation. Questo articolo esplorerà come queste metodologie permettano di estendere il comportamento del codice senza dover modificare direttamente il codice sorgente, offrendo soluzioni eleganti per problemi di architettura complessi e migliorando significativamente la manutenibilità e la modularità delle applicazioni moderne. Bytecode Manipulation e AOP: Estendere il Comportamento del Codice Senza Modificarlo Nel mondo dello sviluppo software, spesso ci troviamo di fronte a funzionalità "trasversali" – quelle che influenzano molte parti del nostro codice ma non appartengono logicamente a una singola classe o modulo. Pensate al logging, alla sicurezza, al caching, o alla gestione delle transazioni. Gestirle con l'approccio tradizionale può portare a codice duplicato, difficile da mantenere e propenso a errori. Qui entrano in gioco due tecniche potenti e complementari: la Programmazione Orientata agli Aspetti (AOP) e la Bytecode Manipulation. Questo articolo esplorerà come queste metodologie permettano di estendere il comportamento del codice senza dover modificare direttamente il codice sorgente, offrendo soluzioni eleganti per problemi di architettura complessi e migliorando significativamente la manutenibilità e la modularità delle applicazioni moderne. I Limiti dell'Orientamento agli Oggetti per le Funzionalità Trasversali La Programmazione Orientata agli Oggetti (OOP) eccelle nell'organizzare la logica di business in classi e oggetti coesi. Tuttavia, quando si tratta di funzionalità che devono "attraversare" molti oggetti – i cosiddetti cross-cutting concerns – l'OOP può mostrare i suoi limiti. Immaginate di voler aggiungere un log di ogni ingresso e uscita di un metodo cruciale, o un controllo di sicurezza prima di eseguire una certa operazione. Con l'OOP tradizionale, dovreste inserire il codice di logging/sicurezza manualmente in ogni metodo coinvolto. Questo porta a: Duplicazione di codice: Il boilerplate si moltiplica, rendendo il codebase più grande e meno leggibile. Accoppiamento (Coupling): La logica di business si lega a dettagli infrastrutturali (come il logger), riducendo la sua flessibilità. Difficoltà di Manutenzione: Una modifica alla logica di logging richiederebbe l'aggiornamento in decine o centinaia di punti. È qui che AOP e la manipolazione del bytecode offrono una via d'uscita. Cos'è la Programmazione Orientata agli Aspetti (AOP)? La Programmazione Orientata agli Aspetti (AOP) è un paradigma di programmazione che mira a modularizzare le funzionalità trasversali. Invece di distribuire la logica di un "aspetto" (come il logging) su diverse classi, AOP permette di definirlo in un unico modulo separato, chiamato appunto aspetto. I concetti chiave di AOP includono: Aspetti (Aspects): Sono i moduli che incapsulano le funzionalità trasversali (es. un aspetto per il logging, uno per la sicurezza). Join Points: Sono i punti di esecuzione ben definiti nel flusso di un programma, dove la logica di un aspetto può essere inserita. Esempi comuni includono l'esecuzione di un metodo, l'accesso a un campo, o la gestione di un'eccezione. Pointcuts: Sono espressioni che definiscono un insieme di Join Points specifici dove un aspetto dovrebbe essere applicato. Permettono di "selezionare" esattamente dove iniettare la logica. Advices: È il codice effettivo che viene eseguito in un Join Point specifico. Esistono diversi tipi di advice: @Before: Esegue il codice prima del Join Point. @After: Esegue il codice dopo il Join Point (indipendentemente dall'esito). @AfterReturning: Esegue il codice dopo che il Join Point è tornato con successo. @AfterThrowing: Esegue il codice se il Join Point ha lanciato un'eccezione. @Around: "Avvolge" il Join Point, permettendo di eseguire codice sia prima che dopo, e di controllare completamente l'esecuzione del Join Point stesso (es. impedendone l'esecuzione o modificandone il risultato). AOP permette di mantenere il codice di business pulito e concentrato sulla sua logica principale, delegando la gestione delle funzionalità trasversali agli aspetti. Bytecode Manipulation: Il Motore Sottostante dell'AOP e Oltre Mentre AOP definisce il cosa e il dove dell'estensione del codice, la Bytecode Manipulation si occupa del come. Il bytecode è la forma intermedia del codice che viene prodotta dai compilatori (es. JVM bytecode per Java, CIL per .NET) prima di essere eseguita dalla macchina virtuale. Manipolare il bytecode significa modificare, ispezionare o generare dinamicamente classi e metodi a questo livello basso, senza agire direttamente sul codice sorgente. Questo processo può avvenire in diverse fasi: Compile-time Weaving: La manipolazione avviene durante la compilazione del codice sorgente. Il compilatore AOP (es. AspectJ) genera nuove classi o modifica quelle esistenti per includere la logica degli aspetti. Load-time Weaving (LTW): La manipolazione avviene quando le classi vengono caricate nella Java Virtual Machine (JVM) o nel Common Language Runtime (CLR). Un "agente" (es. Java Agent) intercetta il caricamento delle classi e le modifica al volo prima che vengano instanziate. Runtime Manipulation: La manipolazione avviene mentre l'applicazione è già in esecuzione, tipicamente attraverso un framework che genera proxy di classi o intercetta chiamate a metodi specifici. Librerie e Strumenti Comuni: Java: ASM: Una libreria di basso livello per generare e trasformare il bytecode Java. È estremamente potente ma complessa da usare direttamente. ByteBuddy: Costruita su ASM, offre un'API più intuitiva per creare o modificare classi Java durante il runtime. AspectJ: Il framework AOP più completo e potente per Java, supporta compile-time, post-compile e load-time weaving. Spring AOP: Meno potente di AspectJ, ma integrato in Spring Framework, utilizza proxy dinamici per implementare AOP al runtime. .NET: Mono.Cecil: Una libreria per leggere e scrivere assembly .NET, utile per l'analisi e la modifica del CIL (Common Intermediate Language). PostSharp: Un framework AOP commerciale per .NET che permette l'iniezione di aspetti tramite post-compilazione. Casi d'Uso Avanzati e Benefici Le applicazioni di AOP e della manipolazione del bytecode sono vaste e potenti: Monitoraggio e Performance Profiling: Strumenti come New Relic, Dynatrace o gli agenti di APM (Application Performance Monitoring) iniettano codice nel bytecode delle applicazioni Java/.NET per raccogliere metriche di performance (tempi di esecuzione dei metodi, chiamate di rete, ecc.) senza che lo sviluppatore debba scrivere una riga di codice di monitoraggio. Sicurezza: Controlli di Autorizzazione: Si possono iniettare logicamente controlli di sicurezza (es. @Secure annotation) che verificano i permessi dell'utente prima di permettere l'esecuzione di un metodo. Sanificazione Input/Output: Strumentare metodi per garantire che i dati in ingresso siano puliti e quelli in uscita siano sicuri. Rilevamento di Anomalie: Strumentare il codice per rilevare comportamenti anomali che potrebbero indicare un attacco. Caching: Implementare un layer di caching trasparente. Un metodo annotato con @Cacheable potrebbe far sì che la sua invocazione venga intercettata, il risultato cercato in cache e, se presente, restituito senza eseguire il metodo reale. Gestione delle Transazioni: Framework ORM (Object-Relational Mapping) come Hibernate o i sistemi di Enterprise Java Beans (EJB) usano AOP per gestire automaticamente l'inizio, il commit o il rollback delle transazioni basandosi su annotazioni o configurazioni. Mocking Frameworks (per i Test): Librerie come Mockito o PowerMock usano la manipolazione del bytecode per creare oggetti "mockati" che possono simulare il comportamento di dipendenze complesse durante i test unitari e di integrazione. Serializzazione/Deserializzazione: Ottimizzare o personalizzare i processi di conversione degli oggetti in flussi di byte e viceversa. I principali benefici includono: Separazione delle Responsabilità (SoC): Il codice di business rimane pulito e separato dalla logica trasversale. Riusabilità: Gli aspetti possono essere riutilizzati in diverse parti dell'applicazione o anche in progetti diversi. Manutenibilità: Le modifiche a una funzionalità trasversale sono concentrate in un unico punto. Sviluppo Rapido: Gli sviluppatori possono concentrarsi sulla logica di business, sapendo che gli aspetti gestiranno le funzionalità di contorno. Sfide e Considerazioni Nonostante i loro vantaggi, AOP e la manipolazione del bytecode presentano delle sfide: Complessità: Comprendere e debuggare il codice che viene alterato dinamicamente può essere complesso. Il flusso di esecuzione non è più direttamente leggibile dal codice sorgente. Overhead di Performance: La manipolazione runtime può introdurre un leggero overhead, sebbene spesso trascurabile per la maggior parte delle applicazioni. Strumenti e Dipendenze: L'adozione di framework AOP o librerie di bytecode manipulation può aggiungere nuove dipendenze e una curva di apprendimento. Diagnostica: I messaggi di errore o gli stack trace possono a volte essere meno chiari a causa della logica iniettata. Conclusione La Bytecode Manipulation e la Programmazione Orientata agli Aspetti (AOP) rappresentano strumenti estremamente potenti nell'arsenale di un ingegnere software. Permettono di costruire sistemi più modulari, manutenibili e scalabili, risolvendo elegantemente il problema delle funzionalità trasversali che affliggono le architetture software complesse. Che si tratti di implementare controlli di sicurezza avanzati, migliorare l'osservabilità per il DevOps o ottimizzare le performance con il caching, comprendere e saper applicare queste tecniche può fare la differenza nella qualità e nell'efficienza del software che sviluppate. Nonostante la loro complessità, i benefici a lungo termine in termini di architettura e manutenzione li rendono un investimento prezioso per qualsiasi team di sviluppo serio.https://saverioriotto.it/blog/377/programmazione/bytecode-manipulation-e-aop-estendere-il-comportamento-del-codice-senza-modificarlohttps://saverioriotto.it/blog/377/programmazione/bytecode-manipulation-e-aop-estendere-il-comportamento-del-codice-senza-modificarloMon, 07 Jul 2025 00:00:00 +0200Bytecode Manipulation e AOP: Estendere il Comportamento del Codice Senza ModificarloSaverio Riottono-reply@saverioriotto.itProgrammazioneNel contesto moderno dello sviluppo software, l’automazione tramite pipeline CI/CD è diventata uno standard. Ma con l’aumento della velocità arriva anche un aumento del rischio, specialmente per quanto riguarda la sicurezza delle API key e di altri secret sensibili. In questo articolo vedremo come si verificano i leak di credenziali nelle pipeline DevOps e le best practice per proteggersi, con esempi reali e consigli pratici. Cos’è un API Key Leak in CI/CD? Un API key leak si verifica quando una credenziale sensibile viene esposta accidentalmente in un contesto non sicuro: log, file di configurazione, commit, o artefatti di build. Nel contesto di CI/CD (Continuous Integration / Continuous Deployment), questi leak sono spesso il risultato di pipeline mal configurate, in cui variabili d’ambiente o file contenenti secret non sono gestiti correttamente. Cause Comuni di API Key Leak 1. Variabili d’Ambiente Stampate nei Log Un errore comune è stampare direttamente le variabili nei log della pipeline: - name: Stampare variabile (NON SICURO) run: echo "API_KEY=${{ secrets.API_KEY }}" Questi log possono essere accessibili pubblicamente o conservati troppo a lungo, diventando un rischio. 2. Commit Accidentali di File Sensibili Molti leak avvengono per colpa di commit contenenti: .env config.js secrets.yaml Anche con .gitignore, errori umani o git add -f possono forzare l’aggiunta di file pericolosi. 3. Artifact e Build Contaminati File generati (es. .zip, .tar.gz, container Docker) possono contenere: Token embedded Configurazioni errate Log con secret esposti Un attacker che scarica questi file può facilmente estrarre le chiavi. 4. Token di Accesso con Permessi Eccessivi È frequente generare token con permessi amministrativi usati nelle pipeline per comodità. Ma se quel token viene compromesso, un attacker può: Modificare il codice Accedere a sistemi cloud Creare ulteriori backdoor   Come Proteggere i Secret in CI/CD 1. Mascherare le Variabili nei Log Sistemi come GitHub Actions o GitLab CI permettono di marcare i secret come "masked" per evitare che vengano stampati nei log. 2. Usare Secret Manager Esterni Esempi: GitHub Actions Secrets AWS Secrets Manager Doppler Azure Key Vault HashiCorp Vault Evita di salvare i secret direttamente nel repository o in chiaro nei file .yaml. 3. Scansione Automatica dei Secret nel Codice Strumenti consigliati: GitLeaks TruffleHog GitGuardian Integra questi tool direttamente nel flusso CI per scansionare ogni push. 4. Rotazione Regolare dei Secret Stabilisci policy per ruotare le chiavi periodicamente, come parte del ciclo di sicurezza. 5. Regola i Permessi Applica il principio del minimo privilegio: Un secret per ogni scopo Scope limitati Nessun permesso superfluo Caso Reale: Mining Criptovalute su Cloud AWS Nel 2024, una chiave AWS venne esposta nel log di una GitHub Actions. In meno di 12 ore, un bot automatico ha usato la chiave per lanciare istanze EC2 e minare criptovalute, generando oltre 300€ di spese cloud. Questi attacchi sono spesso automatizzati: i bot monitorano in tempo reale le piattaforme pubbliche come GitHub per cercare secret esposti.   Checklist Finale: Sicurezza CI/CD Mai stampare secret nei log Usa strumenti di secret management Scansiona ogni commit per secret esposti Limita i permessi dei token Ruota i secret periodicamente Pulisci gli artifact e le build pubbliche   Conclusione I secret leak tramite CI/CD sono tra le vulnerabilità più subdole perché non dipendono da un bug nel codice, ma da cattive pratiche operative. Investire nella sicurezza delle pipeline è fondamentale per proteggere le applicazioni moderne.https://saverioriotto.it/blog/376/devops/api-key-leak-nelle-pipeline-cicd-come-proteggere-i-tuoi-secrethttps://saverioriotto.it/blog/376/devops/api-key-leak-nelle-pipeline-cicd-come-proteggere-i-tuoi-secretTue, 24 Jun 2025 12:08:05 +0200API Key Leak nelle Pipeline CI/CD: Come Proteggere i Tuoi SecretSaverio Riottono-reply@saverioriotto.itDevOpsNel panorama sempre più complesso della cybersecurity, comprendere il comportamento degli attaccanti è essenziale. Uno degli strumenti più efficaci per questo scopo è il MITRE ATT&CK Framework. In questo articolo esploreremo cos'è MITRE ATT&CK, come funziona e perché ogni sviluppatore e professionista della sicurezza informatica dovrebbe conoscerlo. Cos'è il MITRE ATT&CK? MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) è un framework open-source sviluppato da MITRE Corporation. Raccoglie e classifica le tattiche e le tecniche usate da cybercriminali durante gli attacchi informatici reali, offrendo una base concreta per la difesa proattiva e l’analisi forense. È strutturato come una matrice che mappa le fasi di un attacco (tattiche) con i metodi specifici utilizzati (tecniche). È ampiamente utilizzato in ambito red team, blue team, threat intelligence e sviluppo di soluzioni SIEM/SOAR. Perché è Importante per la Sicurezza Informatica? 1. Conoscenza degli attacchi reali ATT&CK si basa su dati empirici provenienti da incidenti reali. Non si tratta di simulazioni teoriche, ma di tattiche realmente utilizzate da gruppi APT (Advanced Persistent Threats). 2. Migliora la detection Integrando ATT&CK con strumenti di monitoraggio come SIEM, è possibile migliorare notevolmente la capacità di rilevare comportamenti sospetti attraverso log, eventi e pattern di attacco. 3. Standardizzazione delle analisi Offre un linguaggio comune per descrivere gli attacchi, utile nella condivisione di intelligence tra team, aziende o comunità di ricerca. 4. Supporto alla programmazione sicura I programmatori possono utilizzare il framework per identificare le superfici d'attacco più esposte e implementare contromisure mirate in fase di sviluppo. Struttura della Matrice ATT&CK La matrice è divisa in: Tattiche: Gli obiettivi strategici dell’attaccante (es. Initial Access, Execution, Persistence, etc.). Tecniche: I metodi specifici utilizzati (es. Spear Phishing, PowerShell Execution, DLL Injection). Sotto-tecniche: Varianti più dettagliate delle tecniche. Esistono diverse versioni del framework per ambienti specifici: Enterprise ATT&CK (Windows, Linux, macOS, Cloud) Mobile ATT&CK ICS ATT&CK (Industrial Control Systems) Come Utilizzare ATT&CK nel Tuo Lavoro  Blue Team Mappa le tecniche rilevabili con i tuoi strumenti attuali. Identifica i gap nella copertura difensiva. Costruisci use case per SIEM e playbook per SOAR.  Red Team Simula attacchi realistici seguendo tecniche ATT&CK. Pianifica esercitazioni di tipo MITRE ATT&CK-based adversary emulation.   Sviluppatori e DevSecOps Identifica le tecniche rilevanti per le tue applicazioni. Automatizza test di sicurezza basati su tattiche comuni. Costruisci strumenti di logging e auditing più intelligenti. Strumenti Utili basati su ATT&CK MITRE ATT&CK Navigator: Visualizza e personalizza la matrice. Caldera: Simulazione automatizzata di attacchi ATT&CK. Atomic Red Team: Collezione di test di sicurezza mappati su ATT&CK. Conclusione Il MITRE ATT&CK Framework è diventato uno standard de facto nella sicurezza informatica moderna. Che tu sia un analista SOC, uno sviluppatore, o parte di un red team, conoscere e integrare ATT&CK nel tuo lavoro quotidiano è un investimento in resilienza e consapevolezza.https://saverioriotto.it/blog/375/sicurezza-informatica/mitre-attck-cose-e-perche-e-fondamentale-per-la-sicurezza-informaticahttps://saverioriotto.it/blog/375/sicurezza-informatica/mitre-attck-cose-e-perche-e-fondamentale-per-la-sicurezza-informaticaMon, 19 May 2025 00:00:00 +0200MITRE ATT&CK: Cos'è e Perché è Fondamentale per la Sicurezza InformaticaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaCos’è la Cyber Kill Chain? La Cyber Kill Chain è un modello sviluppato da Lockheed Martin per descrivere le fasi principali di un attacco informatico. Questo framework è ampiamente utilizzato nell’ambito della cybersecurity per analizzare, rilevare e interrompere le intrusioni in ciascuna delle sue fasi. Perché è importante conoscerla? Comprendere la Cyber Kill Chain permette a professionisti della sicurezza informatica di adottare contromisure mirate, identificando punti deboli nella difesa e bloccando l’attacco prima che raggiunga gli obiettivi critici. Le 7 Fasi della Cyber Kill Chain 1. Ricognizione (Reconnaissance) Obiettivo: Raccolta di informazioni sulla vittima.Gli attaccanti raccolgono dati pubblici come indirizzi email, nomi dei dipendenti, configurazioni di rete e dettagli tecnici. Tecniche comuni: OSINT, social engineering, scanning delle porte. Contromisure: Minimizzare le informazioni esposte pubblicamente, usare honeypot e sistemi di rilevamento comportamentale. 2. Armamento (Weaponization) Obiettivo: Creazione del payload.L’attaccante prepara malware, exploit o documenti malevoli da inviare alla vittima, spesso combinando exploit + backdoor. Contromisure: Utilizzare sandbox, analisi comportamentale e threat intelligence per identificare nuove armi. 3. Distribuzione (Delivery) Obiettivo: Trasmissione del malware al target.Mezzi comuni: phishing email, drive-by download, attacchi watering hole o dispositivi USB compromessi. Contromisure: Formazione del personale, filtri anti-phishing, sicurezza della posta elettronica. 4. Sfruttamento (Exploitation) Obiettivo: Attivazione del payload.Il codice malevolo sfrutta una vulnerabilità per eseguire codice sulla macchina della vittima. Contromisure: Aggiornamenti regolari, gestione delle patch, mitigazioni come ASLR e DEP. 5. Installazione (Installation) Obiettivo: Stabilire una presenza persistente.Viene installato un malware o una backdoor che consente il controllo continuo del sistema. Contromisure: Monitoraggio dei file di sistema, EDR (Endpoint Detection and Response), whitelisting applicazioni. 6. Comando e Controllo (Command and Control - C2) Obiettivo: Comunicazione con l’infrastruttura dell’attaccante.Il malware contatta un server remoto per ricevere comandi. Contromisure: Analisi del traffico di rete, blocco IP/domains noti, DNS sinkhole. 7. Azioni sull’Obiettivo (Actions on Objectives) Obiettivo: Raggiungere lo scopo finale (furto dati, sabotaggio, spionaggio).In questa fase l'attaccante agisce secondo i suoi intenti, come esfiltrare dati o cifrare file (ransomware). Contromisure: Data Loss Prevention (DLP), segmentazione di rete, monitoraggio continuo. Cyber Kill Chain e Mitre ATT&CK: Complementarietà Mentre la Cyber Kill Chain fornisce una visione lineare dell'attacco, il framework MITRE ATT&CK lo arricchisce descrivendo in dettaglio le tecniche utilizzate in ogni fase. Usare entrambi consente una difesa più completa e approfondita. Conclusione Adottare la Cyber Kill Chain nella tua strategia di cybersecurity è fondamentale per anticipare e interrompere gli attacchi informatici. Comprendere le fasi di un’intrusione ti permette di reagire proattivamente, proteggendo sistemi e dati.https://saverioriotto.it/blog/374/sicurezza-informatica/la-cyber-kill-chain-le-fasi-di-unintrusione-ciberneticahttps://saverioriotto.it/blog/374/sicurezza-informatica/la-cyber-kill-chain-le-fasi-di-unintrusione-ciberneticaWed, 14 May 2025 13:10:45 +0200La Cyber Kill Chain: Le Fasi di un’Intrusione CiberneticaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaIl Data Carving, conosciuto anche come file carving, è una tecnica avanzata di recupero dati utilizzata principalmente in ambito forense digitale. A differenza dei metodi tradizionali, il data carving permette di estrarre informazioni da supporti danneggiati, formattati o parzialmente sovrascritti anche quando il file system è assente o compromesso. In questo articolo esploreremo in dettaglio cos'è il data carving, come funziona, le sue applicazioni principali e gli strumenti più utilizzati nel campo della sicurezza informatica e dell'analisi forense. Come Funziona il Data Carving? Il processo di data carving avviene generalmente in tre fasi: 1. Scansione del Disco Il software analizza byte per byte il contenuto binario alla ricerca di firme note (magic numbers) che identificano l'inizio e la fine di un file. Ad esempio: JPEG: FFD8 all'inizio, FFD9 alla fine PDF: %PDF e %%EOF ZIP: 504B0304 2. Estrazione del File Una volta trovate le firme, il sistema estrae la sequenza di byte compresa tra header e footer, copiandola in un nuovo file. 3. Validazione e Ricostruzione Alcuni strumenti avanzati tentano di ricostruire i file corrotti o parziali, effettuando una verifica sulla consistenza del contenuto (checksum, struttura interna, ecc.). Applicazioni del Data Carving nella Sicurezza Informatica 1. Analisi Forense Nel contesto delle indagini digitali, il data carving è essenziale per recuperare prove anche da dispositivi danneggiati, formattati o volutamente manomessi. 2. Recupero Dati Molti software di recupero dati per utenti comuni impiegano tecniche di file carving per ripristinare documenti, foto e archivi cancellati. 3. Incident Response Durante la risposta a un incidente, il data carving può aiutare a recuperare file esfiltrati, modificati o nascosti da malware. Limiti e Sfide del Data Carving Assenza di Metadati: I file recuperati spesso non includono nomi originali, timestamp o directory. Frammentazione: Se i blocchi di un file sono sparsi non contigui, il carving potrebbe fallire. Falsi Positivi: La presenza di pattern casuali può generare file corrotti o falsi. Strumenti Utilizzati per il Data Carving Ecco alcuni tra gli strumenti open source più noti e affidabili: Scalpel – Leggero, rapido e configurabile. PhotoRec – Estremamente potente e compatibile con diversi formati. Foremost – Sviluppato dalla US Air Force, ideale per contesti forensi. bulk_extractor – Per analisi avanzate su grandi volumi di dati. Best Practice e Consigli per Chi Lavora nel Settore Se sei un professionista della sicurezza informatica o uno sviluppatore interessato a creare strumenti di data carving, ecco alcune raccomandazioni: Automatizza la scansione delle firme in ambienti Linux con script in Python. Combina il carving con hash analysis per verificare l’integrità dei file. Sperimenta con file system virtuali (es. EWF, AFF) per test su immagini forensi. Tieni aggiornati i database di firme, specie se sviluppi software di carving personalizzati. Conclusione Il Data Carving rappresenta uno degli strumenti più potenti nel toolkit della digital forensics. Nonostante le sue limitazioni, resta fondamentale quando l'accesso ai metadati è impossibile. Che tu sia un analista forense, un esperto in cyber security o un programmatore curioso, comprendere il funzionamento di queste tecniche può fare la differenza tra un’analisi incompleta e una scoperta decisiva.https://saverioriotto.it/blog/372/sicurezza-informatica/data-carving-cose-e-come-funzionahttps://saverioriotto.it/blog/372/sicurezza-informatica/data-carving-cose-e-come-funzionaMon, 05 May 2025 13:23:17 +0200Data Carving: cos’è e come funzionaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaNel mondo della cybersecurity moderna, l'analisi di memorie di massa rappresenta una competenza cruciale. Dischi rigidi, SSD, USB e dispositivi mobili possono contenere prove vitali durante un'indagine informatica. Attraverso tecniche di digital forensics, gli specialisti riescono a recuperare dati cancellati, identificare malware nascosti e ricostruire le attività di attaccanti. In questo articolo esploreremo le tecniche più utilizzate, gli strumenti principali e le buone pratiche da seguire per un'analisi efficace. Cos'è una memoria di massa? Le memorie di massa sono dispositivi progettati per conservare dati digitali a lungo termine. Tra i più comuni troviamo gli hard disk tradizionali (HDD), i solid state drive (SSD), le chiavette USB, le schede di memoria e anche dispositivi mobili come smartphone e tablet. Durante un'indagine forense, è fondamentale distinguere tra analisi live e analisi dead. Nel primo caso si opera su un sistema ancora acceso per catturare dati volatili, come quelli presenti nella RAM; nel secondo, si lavora su una copia esatta del dispositivo spento, evitando qualsiasi alterazione dei dati originali. Perché è importante l'analisi delle memorie di massa nella cybersecurity? Quando un incidente informatico si verifica, il contenuto delle memorie di massa può raccontare una storia dettagliata: dove l'attaccante è entrato, cosa ha fatto, quali dati ha toccato o cifrato. L'analisi consente quindi di individuare malware nascosti, recuperare dati cancellati, ricostruire attività sospette attraverso log e timestamp, e infine raccogliere prove utilizzabili anche in sede legale. In un'epoca in cui il ransomware e il furto di dati sono all'ordine del giorno, la capacità di estrarre queste informazioni può fare la differenza tra un'azienda che si riprende rapidamente e una che subisce danni irreparabili. Metodologie di analisi delle memorie di massa L'analisi forense di una memoria di massa segue una sequenza metodica ben precisa.Si inizia con la creazione di un'immagine forense del dispositivo, una copia bit-per-bit che garantisce l'integrità dei dati tramite algoritmi di hashing come MD5 o SHA-256. Questa copia viene poi verificata per assicurarsi che rispecchi esattamente l'originale. L'analisi prosegue studiando la struttura del file system, in particolare elementi come la Master File Table (MFT) nei sistemi NTFS, il registro di Windows o i log degli eventi. Non meno importante è l'attività di data carving, che consente di recuperare frammenti di file cancellati senza fare affidamento sulla struttura del file system. Infine, si analizzano i cosiddetti artefatti forensi: file temporanei, collegamenti rapidi (.lnk), cronologie di navigazione, file di paging e quant'altro possa offrire indizi sulle attività svolte sul dispositivo. Gli strumenti principali per l'analisi Numerosi strumenti supportano l'analista forense nel suo lavoro. Autopsy, ad esempio, è una piattaforma open source molto diffusa per l'analisi di dischi e file system. FTK Imager è un'applicazione specializzata nella creazione di immagini forensi, mentre EnCase Forensic si rivela fondamentale nelle indagini più complesse grazie alla sua ampia gamma di funzionalità. Per l'analisi di dispositivi mobili e cloud, Magnet AXIOM rappresenta una scelta eccellente. Inoltre, non è raro che i professionisti più esperti sviluppino script personalizzati in Python o Bash per automatizzare operazioni ripetitive o analisi su grandi volumi di dati. Casi pratici di analisi forense L'applicazione concreta di queste tecniche può variare enormemente.In un attacco ransomware, ad esempio, l'analisi della memoria di massa permette di identificare il punto di ingresso iniziale del malware, capire come si è propagato, individuare i file cifrati e raccogliere prove delle attività svolte dall'attaccante. In scenari di insider threat, invece, l'analisi può portare al recupero di file copiati su dispositivi USB, alla ricostruzione di cronologie di sistema manipolate o alla scoperta di attività sospette precedentemente nascoste. Best practice per una corretta analisi Per garantire la validità legale e tecnica delle prove raccolte, è fondamentale rispettare alcune best practice.Tra queste, preservare la catena di custodia registrando ogni fase dell'analisi, lavorare esclusivamente su copie forensi del dispositivo originale, documentare minuziosamente tutte le operazioni svolte e adottare standard internazionali riconosciuti, come quelli definiti dalla norma ISO/IEC 27037. Conclusioni L'analisi di memorie di massa è una disciplina complessa che richiede rigore, competenza tecnica e attenzione ai dettagli. Ma è anche una delle armi più potenti a disposizione di chi si occupa di cybersecurity, per rispondere efficacemente a incidenti, prevenire future minacce e ottenere giustizia in ambito legale. Investire in competenze forensi e nei giusti strumenti non è più una scelta facoltativa: è una necessità strategica per ogni organizzazione che voglia difendersi nel mondo digitale di oggi.https://saverioriotto.it/blog/371/sicurezza-informatica/analisi-di-memorie-di-massa-il-ruolo-chiave-nella-cybersecurity-modernahttps://saverioriotto.it/blog/371/sicurezza-informatica/analisi-di-memorie-di-massa-il-ruolo-chiave-nella-cybersecurity-modernaMon, 28 Apr 2025 12:01:26 +0200Analisi di Memorie di Massa: il Ruolo Chiave nella Cybersecurity ModernaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaIl Nuovo Paradigma del Coding Nel 2025, l’intelligenza artificiale sta diventando una risorsa sempre più imprescindibile per i programmatori. Non si tratta più solo di una tecnologia futuristica, ma di uno strumento concreto che rivoluziona il processo di scrittura del codice. Strumenti come GitHub Copilot, Tabnine e Amazon CodeWhisperer non sono semplici assistenti, ma veri e propri partner nella scrittura del codice, in grado di suggerire, ottimizzare e anche generare porzioni di codice in tempo reale. Ma non è tutto oro quello che luccica. L’adozione di questi strumenti solleva anche domande critiche: quanto ci stiamo realmente evolvendo come sviluppatori? E quanto rischiamo di perdere il nostro pensiero critico e le nostre competenze? I Migliori Strumenti di Coding Assistito da AI GitHub Copilot è probabilmente il nome più noto in questo campo. Creato da GitHub e OpenAI, è capace di suggerire intere funzioni e blocchi di codice partendo da semplici commenti o indicazioni. La sua potenza risiede nel fatto che impara dai miliardi di righe di codice open-source pubblicate su GitHub, adattandosi continuamente alle necessità del programmatore. L'unica limitazione potrebbe essere legata al fatto che, se non monitorato, può generare codice che non segue sempre le migliori pratiche o che potrebbe contenere errori non immediatamente visibili. Tabnine, d'altra parte, si distingue per la sua capacità di lavorare con più linguaggi e per il suo impegno nell'offrire una soluzione privacy-friendly, una caratteristica che lo rende ideale per team aziendali o progetti con codici sensibili. A differenza di Copilot, che dipende dalla comunità open-source, Tabnine può essere personalizzato per i bisogni specifici di un team, permettendo di adattare l’assistenza al flusso di lavoro quotidiano. Infine, Amazon CodeWhisperer è uno strumento che si integra perfettamente con l'ecosistema AWS, offrendo suggerimenti specifici per lo sviluppo di applicazioni cloud. Il suo focus è sullo sviluppo di codice per infrastrutture moderne e microservizi, ed è in grado di riconoscere il contesto del cloud computing per proporre soluzioni ottimizzate. Opportunità: Perché l’AI è un Vantaggio per gli Sviluppatori Gli strumenti di coding assistito da AI offrono numerosi vantaggi, soprattutto in termini di velocità e produttività. La capacità di generare codice ripetitivo e boilerplate in pochi secondi riduce il tempo necessario per scrivere funzioni di base, permettendo agli sviluppatori di concentrarsi sugli aspetti più complessi del progetto. Inoltre, gli assistenti AI possono fungere da tutor digitali, offrendo suggerimenti e soluzioni che spesso non vengono in mente nemmeno ai programmatori esperti. L'AI, infatti, è in grado di proporre tecniche e soluzioni che rispondono alle migliori pratiche del settore, aiutando a scrivere codice più pulito e performante. Un altro beneficio cruciale riguarda la formazione continua. Imparare nuove tecnologie o linguaggi diventa molto più facile grazie alla capacità dell'AI di suggerire alternative e mostrarti come risolvere problemi in modo diverso. Se hai un dubbio su come implementare una particolare funzione, un assistente AI ti fornirà soluzioni pratiche ed esempi. Rischi e Limiti: Lato Oscuro dell’Automazione Tuttavia, l’uso dell’intelligenza artificiale solleva anche alcune preoccupazioni. Uno dei principali rischi è la dipendenza cognitiva. Affidarsi troppo a questi strumenti può portare a una riduzione della capacità di problem-solving autonomo. In altre parole, se ci abituiamo troppo a ricevere suggerimenti pronti all'uso, rischiamo di perdere la nostra capacità di affrontare le sfide in modo indipendente. Inoltre, la qualità del codice generato dall'AI non è sempre garantita. Sebbene gli assistenti AI siano ottimi per generare codice boilerplate, potrebbero non essere in grado di affrontare scenari complessi o di ottimizzare soluzioni per casi particolari. Per esempio, l'AI potrebbe non comprendere il contesto di una decisione architetturale e generare codice che funziona, ma non è scalabile o manutenibile nel lungo periodo. Un altro problema riguarda i diritti di proprietà intellettuale. Alcuni snippet di codice generati dall'AI potrebbero essere tratti da repository o progetti che non sono completamente open-source, portando a problemi di licenze o di plagio, se non adeguatamente monitorati. Best Practice per uno Sviluppo AI-Assistito Sano Per evitare che gli strumenti di AI diventino una "banda elastica" che ti limita invece di potenziarti, è importante seguire alcune buone pratiche. In primo luogo, non bisogna mai fidarsi ciecamente di ciò che l'AI propone. Ogni suggerimento deve essere valutato attentamente, testato e ottimizzato, in particolare per quanto riguarda la sicurezza e le performance. Inoltre, gli sviluppatori dovrebbero utilizzare l'AI come uno strumento di apprendimento e non come un sostituto per la propria creatività e risoluzione dei problemi. Ogni volta che l'AI suggerisce una soluzione, chiediti se davvero è la miglior opzione per il tuo progetto, e cerca di imparare da quella soluzione. Infine, integrare strumenti di static analysis e linters rimane fondamentale. Questi strumenti, che analizzano il codice senza eseguirlo, possono fungere da "secondo parere" e aiutarti a rilevare errori o problematiche che l'AI potrebbe non cogliere. Conclusione: Il Futuro è Ibrido, Non Sostitutivo L’intelligenza artificiale nel coding rappresenta una straordinaria opportunità, ma deve essere utilizzata con consapevolezza. Gli sviluppatori che sapranno sfruttare i punti di forza degli strumenti AI senza perderne il controllo, combinando l'efficienza dell'automazione con la creatività e il pensiero critico umano, saranno sicuramente i protagonisti della programmazione nei prossimi anni. In fondo, l’AI non è una minaccia alla professione, ma un potenziamento delle capacità umane.https://saverioriotto.it/blog/370/programmazione/coding-assistito-da-ai-nel-2025-sfide-opportunita-e-best-practicehttps://saverioriotto.it/blog/370/programmazione/coding-assistito-da-ai-nel-2025-sfide-opportunita-e-best-practiceWed, 23 Apr 2025 00:00:00 +0200Coding Assistito da AI nel 2025: Sfide, Opportunità e Best PracticeSaverio Riottono-reply@saverioriotto.itProgrammazioneIl panorama delle minacce online è in continua evoluzione e, con la rapidità con cui la tecnologia avanza, emergono costantemente nuove truffe online capaci di ingannare anche gli utenti più esperti. Sebbene alcune tecniche di phishing e frode online rimangano tristemente efficaci, i cybercriminali affinano le loro strategie, sfruttando l'attualità, le vulnerabilità emotive e le nuove piattaforme per colpire un numero sempre maggiore di vittime. Negli ultimi mesi, sta circolando una nuova truffa online che, per la sua sofisticatezza e capacità di mimetizzarsi, ha già tratto in inganno migliaia di persone in tutto il mondo. La sua "novità" risiede spesso nell'utilizzo di un mix di tecniche consolidate con elementi inediti, rendendo più difficile il riconoscimento immediato. Come Funziona Questa "Nuova" Truffa Online Sebbene le specifiche possano variare, questa nuova truffa online si basa spesso su alcuni elementi chiave: L'esca "agganciante": I truffatori utilizzano spesso comunicazioni che sembrano provenire da fonti affidabili (istituti bancari, aziende di spedizioni, enti governativi, social media) o che fanno leva su emozioni forti come la paura (multe inattese, problemi con account importanti) o la speranza (vincite di concorsi, offerte imperdibili). L'urgenza: Il messaggio è spesso caratterizzato da un senso di urgenza ("scade oggi!", "azione immediata richiesta!") per spingere la vittima a non riflettere e ad agire d'impulso. Il "pretesto" credibile: La storia raccontata nel messaggio è studiata per sembrare verosimile e per giustificare la richiesta di informazioni personali, credenziali di accesso o denaro. L'utilizzo di nuove piattaforme o tecniche: Questa nuova truffa online può sfruttare vulnerabilità di nuove app, social network emergenti o utilizzare codici QR malevoli, messaggi vocali sintetizzati in modo convincente o deepfake per rendere l'inganno più efficace. Perché è Fondamentale Riconoscerla Subito Cadere vittima di questa o di qualsiasi altra truffa online può avere conseguenze devastanti: Perdita di denaro: I truffatori mirano spesso a sottrarre denaro direttamente o a ottenere informazioni finanziarie per futuri prelievi fraudolenti. Furto di identità: Le informazioni personali rubate possono essere utilizzate per commettere altri crimini, come l'apertura di conti bancari o la richiesta di prestiti a tuo nome. Compromissione dei tuoi account: Le credenziali di accesso ottenute possono dare ai criminali il controllo dei tuoi account online, inclusi email, social media e servizi bancari. Danni alla reputazione: Se i tuoi account vengono compromessi, potrebbero essere utilizzati per diffondere ulteriori truffe o contenuti dannosi a tuo nome. Come Riconoscere Questa (e Altre) Nuove Truffe Online: La Guida Pratica: La buona notizia è che, prestando attenzione ad alcuni segnali d'allarme, è possibile smascherare questa nuova truffa online e proteggere te stesso e i tuoi dati. Ecco alcuni elementi chiave da tenere a mente: Diffida da comunicazioni inaspettate: Se ricevi email, SMS, messaggi sui social media o telefonate inattese da aziende o enti che non hai contattato, o che ti chiedono informazioni personali o denaro in modo insolito, sii estremamente cauto. Verifica sempre la fonte (con i tuoi canali): Non cliccare su link o fornire informazioni direttamente dai messaggi sospetti. Contatta l'azienda o l'ente presunto mittente tramite i canali ufficiali (sito web, numero di telefono verificato) per accertarti della veridicità della comunicazione. Presta attenzione agli errori grammaticali e di ortografia: Molte truffe online sono caratterizzate da errori grossolani nel testo, un segnale di scarsa professionalità e potenziale falsità. Controlla attentamente i link: Prima di cliccare su un link, passa il mouse sopra (senza cliccare) per visualizzare l'indirizzo web. Verifica che corrisponda al sito ufficiale dell'azienda e non contenga errori o domini sospetti. Non condividere mai informazioni sensibili tramite email o messaggi: Banche e altre istituzioni serie non ti chiederanno mai le tue credenziali di accesso, numeri di carta di credito o codici di sicurezza via email o messaggio. Sii scettico riguardo a offerte troppo allettanti: Vincite inaspettate, sconti incredibili o opportunità di guadagno facile dovrebbero sempre destare sospetti. Mantieni aggiornati i tuoi software di sicurezza: Installa un buon antivirus e un firewall e mantienili sempre aggiornati per proteggerti da malware e altre minacce. Attiva l'autenticazione a due fattori (2FA) sui tuoi account importanti: Questo aggiunge un ulteriore livello di sicurezza, rendendo più difficile l'accesso ai tuoi account anche in caso di furto della password. Informati e condividi informazioni: Segui blog e siti web dedicati alla sicurezza informatica per rimanere aggiornato sulle ultime minacce e condividi queste informazioni con i tuoi amici e familiari per aiutarli a proteggersi. Conclusione La nuova truffa online è solo l'ultima evoluzione di un fenomeno in continua crescita. La consapevolezza, la prudenza e l'adozione di buone pratiche di sicurezza online sono le armi più efficaci per difendersi dal cybercrimine e proteggere i nostri dati e il nostro denaro. Ricorda sempre: nel dubbio, è meglio diffidare e verificare. La tua sicurezza informatica è una priorità.https://saverioriotto.it/blog/373/sicurezza-informatica/la-nuova-truffa-online-che-sta-ingannando-migliaia-di-persone-ecco-come-riconoscerlahttps://saverioriotto.it/blog/373/sicurezza-informatica/la-nuova-truffa-online-che-sta-ingannando-migliaia-di-persone-ecco-come-riconoscerlaSun, 06 Apr 2025 00:00:00 +0200La Nuova Truffa Online che Sta Ingannando Migliaia di Persone: ecco come riconoscerlaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaLa programmazione reattiva è un pilastro fondamentale per sviluppare applicazioni moderne, specialmente sistemi scalabili e resilienti. Tra gli strumenti più potenti in questo campo c’è Akka Streams, una libreria basata sul modello ad attori di Akka, progettata per gestire flussi di dati asincroni in modo efficiente. In questa guida completa esploreremo cos’è Akka Streams, come funziona e come utilizzarlo per costruire applicazioni robuste e performanti.   Introduzione alla Programmazione Reattiva La programmazione reattiva si basa su quattro principi fondamentali: Responsive: sistemi che rispondono rapidamente agli input. Resilient: capacità di gestire guasti e errori in maniera autonoma. Elastic: adattabilità del sistema in base al carico. Message Driven: comunicazione asincrona tramite messaggi. Questi principi permettono di sviluppare applicazioni capaci di gestire elevati volumi di dati e richieste in ambienti distribuiti. Cos’è Akka Streams e Perché Usarlo? Akka Streams è una libreria open-source integrata nel framework Akka, utilizzabile sia in Java che in Scala. Si basa sui principi del Reactive Streams Manifesto, promuovendo sistemi asincroni, non bloccanti e con gestione della backpressure. Questo la rende perfetta per applicazioni che elaborano grandi quantità di dati in tempo reale, come microservizi, sistemi di streaming o applicazioni distribuite. Akka Streams, parte integrante del toolkit Akka, consente di realizzare flussi di dati gestiti in maniera reattiva grazie a: Back-pressure: un meccanismo che permette di controllare il flusso dei dati e prevenire il sovraccarico dei sistemi. Gestione degli errori: integrazione nativa con il modello Actor di Akka per garantire robustezza e continuità del servizio. Scalabilità: perfetta integrazione con architetture microservizi, ideale per applicazioni cloud e distribuite. Architettura e Design Patterns per Sistemi Reattivi Per sfruttare al massimo le potenzialità di Akka Streams, è fondamentale comprendere alcuni design patterns e architetture: Circuit Breaker: protegge il sistema da errori a catena isolando i componenti malfunzionanti. Bulkhead Pattern: separa i flussi di lavoro per evitare che un guasto in un componente comprometta l’intero sistema. Distribuzione del carico: tecniche per bilanciare le richieste e garantire alta disponibilità e resilienza. Questi pattern non solo migliorano l’affidabilità del sistema, ma facilitano anche la manutenzione e l’evoluzione dell’architettura software. I Concetti Chiave di Akka Streams Per padroneggiare Akka Streams, devi conoscere i suoi componenti principali:    1. Source La Source è l’origine dei dati, come un elenco, un database o un flusso di eventi. Esempio: Source source = Source.range(1, 10); Qui creiamo una Source che emette numeri da 1 a 10.   2. Flow Il Flow definisce le trasformazioni sui dati. È il cuore della pipeline. Esempio: Flow flow = Flow.of(Integer.class).map(x -> x * 2); Questo Flow moltiplica ogni elemento per 2.   3. Sink Il Sink è la destinazione dei dati elaborati, come una console o un database. Esempio: Sink> sink = Sink.foreach(System.out::println); 4. Graph Per flussi complessi, si usa un Graph, che combina più Source, Flow e Sink in pipeline avanzate.   Backpressure: Il Segreto della Stabilità Akka Streams gestisce la backpressure in modo nativo: se un consumatore è lento, il produttore rallenta automaticamente, evitando sovraccarichi. Questo lo rende ideale per sistemi mission-critical.   Come Iniziare con Akka Streams: Un Esempio Pratico Ecco un esempio base per costruire un flusso in Java con Akka Streams. Leggiamo una lista di numeri, li trasformiamo e li stampiamo. import akka.actor.ActorSystem; import akka.stream.ActorMaterializer; import akka.stream.javadsl.Source; import akka.stream.javadsl.Flow; import akka.stream.javadsl.Sink; import akka.NotUsed; public class AkkaStreamsExample { public static void main(String[] args) { ActorSystem system = ActorSystem.create("AkkaStreamsExample"); ActorMaterializer materializer = ActorMaterializer.create(system); Source source = Source.range(1, 10); Flow flow = Flow.of(Integer.class).map(x -> x * 2); Sink> sink = Sink.foreach(System.out::println); source.via(flow).to(sink).run(materializer); } } Spiegazione del Codice ActorSystem e Materializer: Necessari per eseguire il flusso. Source: Genera numeri da 1 a 10. Flow: Moltiplica ogni numero per 2. Sink: Stampa i risultati. run(): Avvia il flusso. Il risultato sarà: 2, 4, 6, ..., 20. Strategie di Testing e Monitoraggio Implementare test efficaci è essenziale per garantire la stabilità del sistema: Unit Testing: verifica isolata dei componenti utilizzando framework come ScalaTest. Integration Testing: simulazioni di flussi reali per testare l’interazione tra i vari componenti. Monitoraggio: utilizzo di strumenti come Prometheus e Grafana per il tracciamento delle performance e il debugging in tempo reale. Quando Usare Akka Streams? Perfetto per: Elaborazione dati in tempo reale (es. log analysis). Applicazioni distribuite ad alta concorrenza. Microservizi scalabili e resilienti. Meno adatto a flussi di dati semplici e statici. Conclusione La programmazione reattiva e l’uso di Akka Streams rappresentano una soluzione all’avanguardia per sviluppare applicazioni che richiedono alta scalabilità e resilienza. Adottare questi strumenti significa poter gestire flussi di dati complessi e garantire una risposta rapida e affidabile agli utenti. Con un’API potente e la gestione della backpressure, è uno strumento indispensabile per progetti complessi. Parti da un esempio base, esplora i Graph e scopri come rivoluzionare il tuo sviluppo software. https://saverioriotto.it/blog/369/programmazione/programmazione-reattiva-avanzata-con-akka-streams-guida-completahttps://saverioriotto.it/blog/369/programmazione/programmazione-reattiva-avanzata-con-akka-streams-guida-completaMon, 24 Mar 2025 00:00:00 +0100Programmazione Reattiva Avanzata con Akka Streams: Guida CompletaSaverio Riottono-reply@saverioriotto.itProgrammazioneIl reverse engineering di malware è una competenza fondamentale per gli analisti di sicurezza che vogliono comprendere e contrastare le minacce informatiche moderne. Con l’aumento di tecniche di obfuscation e anti-evasione, disassemblare e analizzare un malware richiede strumenti potenti e strategie sofisticate. In questo articolo esploreremo un caso pratico di analisi di un malware ipotetico usando tool come IDA Pro, Ghidra e Radare2, svelando come i moderni autori di malware nascondono il loro codice. Inoltre, ti forniremo una guida per configurare un ambiente sandbox sicuro per l’analisi dinamica.   Se sei un analista di sicurezza o uno sviluppatore esperto, preparati a immergerti nelle tecniche avanzate di reverse engineering.   Perché il Reverse Engineering è Essenziale Oggi? I malware moderni non sono più semplici script: sono progettati per sfuggire al rilevamento e resistere all’analisi. Tecniche come code obfuscation, anti-debugging e polimorfismo rendono l’analisi statica e dinamica una sfida. Il reverse engineering permette di: Identificare il comportamento reale del malware (es. esfiltrazione dati, ransomware). Scoprire vulnerabilità sfruttate o C2 (Command and Control). Sviluppare firme o contromisure efficaci. Strumenti open-source come Ghidra e Radare2, insieme a soluzioni commerciali come IDA Pro, sono il cuore di questo processo. Vediamo come applicarli in un caso reale.   Caso Pratico: Analisi di un Malware Ipotetico Immaginiamo un malware recente, "ShadowCrypt", un trojan bancario che utilizza obfuscation e anti-evasione per rubare credenziali. Ecco come affrontarlo passo passo. Passo 1: Analisi Statica con IDA Pro Caricamento del Binario: Apri il file eseguibile in IDA Pro. Se è un PE (Windows), IDA identificherà automaticamente sezioni come .text (codice) e .data. Ricerca di Stringhe: Usa la vista "Strings" per cercare indizi (es. URL di C2 o messaggi). Spesso sono offuscati, ma qui troviamo una stringa criptata: XjK9pM2. Disassemblaggio: Naviga nella funzione main. Notiamo un loop che richiama VirtualProtect per rendere eseguibile una regione di memoria: un segnale di code injection. Deobfuscation: Il malware usa XOR con una chiave statica per nascondere le stringhe. Scriviamo uno script IDA in Python per decodificarle: key = 0x5A addr = 0x00401000 # Indirizzo dati offuscati for i in range(20): byte = get_byte(addr + i) print(chr(byte ^ key), end="") Output: http://malicious.c2. Abbiamo trovato il server C2! Passo 2: Esplorazione con Ghidra Ghidra è gratuito e eccellente per il decompiling. Importiamo lo stesso binario: Il decompilatore rivela una funzione che cifra i dati con AES prima dell’esfiltrazione. Notiamo controlli anti-VM (CPUID per rilevare hypervisor). Questo è un classico trucco anti-evasione. Passo 3: Debugging con Radare2 Radare2 è leggero e scriptabile. Apriamolo con: r2 -d shadowcrypt.exe Imposta un breakpoint su VirtualProtect (db 0x00401500) e avvia (dc). Osserva i registri (dr): il malware verifica se un debugger è presente controllando IsDebuggerPresent. Bypassa con dps 0x00401500 nop per neutralizzare il check. Tecniche Anti-Evasione Scoperte Anti-Debugging: Chiamate a IsDebuggerPresent e timing checks. Obfuscation: XOR su stringhe e packing del codice (es. UPX modificato). Anti-VM: Controlli su registri specifici per rilevare ambienti virtualizzati. Strumenti a Confronto: IDA Pro, Ghidra e Radare2 IDA Pro: Ideale per analisi dettagliata e script complessi, ma costoso. Perfetto per professionisti. Ghidra: Gratuito, con decompilazione potente. Ottimo per chi inizia o lavora su budget limitati. Radare2: Leggero e open-source, eccellente per debugging rapido e automazione. Per "ShadowCrypt", IDA Pro ha brillato nell’identificare l’injection, mentre Ghidra ha semplificato la comprensione dell’AES. Configurare un Ambiente Sandbox Sicuro per l’Analisi Dinamica L’analisi statica non basta: per vedere "ShadowCrypt" in azione, serve una sandbox. Ecco come configurarne una: Requisiti Virtual Machine (es. VirtualBox o VMware). Sistema operativo guest (es. Windows 10 isolato). Strumenti: Process Monitor, Wireshark, Regshot. Passaggi Isolamento: Crea una VM senza connessione Internet iniziale. Usa una rete "host-only". Snapshot: Fai un’immagine di base per ripristinare lo stato pulito. Strumenti di Monitoraggio: Avvia Process Monitor per tracciare chiamate di sistema e Wireshark per catturare il traffico (attiva la rete solo dopo). Esecuzione Controllata: Lancia il malware e osserva. "ShadowCrypt" tenta di contattare il C2 e modifica chiavi di registro (es. HKCU\Software). Pulizia: Ripristina lo snapshot dopo l’analisi. Tip: Usa Flare VM o REMnux per una sandbox preconfigurata con tool di analisi.   Conclusione Il reverse engineering di malware moderni come "ShadowCrypt" richiede competenze avanzate e strumenti come IDA Pro, Ghidra e Radare2. Svelare tecniche di obfuscation e anti-evasione è una sfida, ma fondamentale per proteggere sistemi e reti. Con un ambiente sandbox ben configurato, puoi completare l’analisi dinamica e ottenere una visione completa del comportamento del malware. Pronto a mettere in pratica queste tecniche? Prova a disassemblare un sample reale e condividi i tuoi risultati. https://saverioriotto.it/blog/368/sicurezza-informatica/reverse-engineering-di-malware-moderni-tecniche-avanzatehttps://saverioriotto.it/blog/368/sicurezza-informatica/reverse-engineering-di-malware-moderni-tecniche-avanzateMon, 10 Mar 2025 00:00:00 +0100Reverse Engineering di Malware Moderni: Tecniche AvanzateSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaRust sta rapidamente diventando un linguaggio di riferimento per gli sviluppatori di strumenti di sicurezza informatica, dai port scanner agli exploit tool. Grazie alla sua combinazione di memory safety, prestazioni elevate e controllo di basso livello, Rust offre un’alternativa potente a linguaggi tradizionali come C e Python nel campo del pentesting. In questo articolo esploreremo perché Rust è ideale per la cybersecurity, ti guideremo passo passo nella creazione di un semplice port scanner in Rust e confronteremo le sue prestazioni con un equivalente in Python.   Se sei un programmatore esperto interessato a strumenti di sicurezza moderni, questo tutorial è per te. Preparati a scoprire come Rust può trasformare il tuo approccio al pentesting.   Perché Rust per la Sicurezza Informatica? Rust, sviluppato da Mozilla e ora sostenuto da una vasta community, è progettato per garantire sicurezza della memoria senza sacrificare le prestazioni. Questo lo rende perfetto per scrivere strumenti di pentesting affidabili. Ecco i principali motivi per cui sta guadagnando terreno: Memory Safety senza Garbage Collector: A differenza di Python, Rust evita vulnerabilità come buffer overflow o use-after-free, comuni in C, grazie al suo sistema di ownership. Questo è cruciale per strumenti di sicurezza che devono essere robusti contro input malevoli. Performance di Livello C: Rust offre velocità paragonabili a C/C++, rendendolo ideale per task intensivi come scansioni di rete o analisi di pacchetti. Ecosistema Moderno: Crates (librerie) come tokio per l’I/O asincrono o pnet per il networking semplificano lo sviluppo di tool complessi. Controllo Granulare: Perfetto per exploit o tool di basso livello che richiedono manipolazione diretta di socket o protocolli. Per chi lavora nel pentesting, Rust significa meno bug critici e maggiore affidabilità, due elementi fondamentali quando si sviluppano strumenti che devono operare in ambienti ostili. Rust vs C e Python: Un Confronto C: Offre controllo totale ma è incline a errori di memoria. Scrivere un port scanner in C richiede attenzione maniacale ai dettagli. Python: Facile da usare e ottimo per prototipi, ma le sue prestazioni soffrono in task intensivi e manca di controlli strict sulla memoria. Rust: Combina la velocità di C con la semplicità (relativa) di Python, eliminando intere classi di vulnerabilità. Costruire un Port Scanner in Rust: Tutorial Pratico Creiamo un semplice port scanner TCP in Rust che verifica quali porte sono aperte su un host. Useremo funzionalità asincrone per migliorare l’efficienza.   Prerequisiti Rust installato (usa rustup per ottenere l’ultima versione). Conoscenza base di Rust (ownership, match, async/await). Passo 1: Configurazione del Progetto Inizia creando un nuovo progetto Rust: cargo new port_scanner cd port_scanner Aggiungi queste dipendenze al file Cargo.toml per gestire l’I/O asincrono e gli errori: [dependencies] tokio = { version = "1.0", features = ["full"] } anyhow = "1.0" Passo 2: Scrivere il Codice Ecco il codice completo per un port scanner che scansiona un intervallo di porte su un IP specificato: use tokio::net::TcpStream; use anyhow::Result; use std::time::Duration; #[tokio::main] async fn main() -> Result<()> { let target_ip = "127.0.0.1"; // IP da scansionare let start_port = 1; let end_port = 100; // Scansiona porte 1-100 println!("Scansione di {} dalle porte {} a {}...", target_ip, start_port, end_port); let mut tasks = Vec::new(); // Crea un task asincrono per ogni porta for port in start_port..=end_port { let ip = target_ip.to_string(); tasks.push(tokio::spawn(async move { if scan_port(&ip, port).await { println!("Porta {} aperta!", port); } })); } // Attende il completamento di tutti i task for task in tasks { task.await?; } Ok(()) } async fn scan_port(ip: &str, port: u16) -> bool { let timeout = Duration::from_secs(2); let addr = format!("{}:{}", ip, port); match tokio::time::timeout(timeout, TcpStream::connect(&addr)).await { Ok(Ok(_)) => true, // Connessione riuscita, porta aperta _ => false, // Timeout o errore, porta chiusa } } Passo 3: Esecuzione Compila ed esegui il programma: cargo run Questo port scanner tenta di connettersi a ciascuna porta nell’intervallo specificato (1-100 su 127.0.0.1) e stampa solo le porte aperte. Grazie a tokio, le connessioni sono gestite in modo asincrono, migliorando le prestazioni rispetto a un approccio sequenziale. Come Funziona Async/Await: tokio permette di lanciare task concorrenti per ogni porta, riducendo il tempo di scansione. Memory Safety: Il compilatore Rust garantisce che non ci siano accessi non sicuri alla memoria, anche con molte connessioni simultanee. Gestione Errori: anyhow semplifica il handling delle eccezioni. Puoi espandere questo esempio aggiungendo multi-threading con tokio::spawn per scansionare più IP o integrando parsing di input da CLI. Benchmark: Rust vs Python Per valutare le prestazioni, ho confrontato il nostro port scanner Rust con un equivalente in Python (usando socket e asyncio). Ecco i risultati su un intervallo di 1000 porte su localhost: Rust: 1.8 secondi (con tokio e connessioni asincrone). Python: 4.2 secondi (con asyncio). Rust è circa 2,3 volte più veloce, grazie alla sua gestione nativa dei thread e all’assenza di un interprete. Inoltre, il binario Rust compilato è standalone, mentre Python richiede un ambiente runtime. Per task più complessi (es. scansioni su reti reali), il divario cresce ulteriormente. Perché Scegliere Rust per il Pentesting? Sviluppare strumenti di sicurezza in Rust non è solo una questione di performance. È una scelta strategica: Affidabilità: Zero crash imprevisti dovuti a errori di memoria. Scalabilità: Perfetto per tool che devono gestire migliaia di connessioni o pacchetti. Community: Crates come nmap-parser o dns-parser stanno emergendo per supportare il pentesting. Se vuoi passare al livello successivo, prova a scrivere un tuo tool in Rust. Un port scanner è solo l’inizio: pensa a sniffer di rete, fuzzer o exploit framework. Conclusione Rust sta rivoluzionando il modo in cui scriviamo strumenti di pentesting, combinando sicurezza, velocità e flessibilità. Con il tutorial di oggi hai costruito un port scanner in Rust che dimostra il potenziale del linguaggio. Rispetto a C e Python, Rust offre un equilibrio unico per i professionisti della sicurezza informatica. https://saverioriotto.it/blog/367/programmazione/rust-per-la-sicurezza-costruire-strumenti-di-pentesting-affidabilihttps://saverioriotto.it/blog/367/programmazione/rust-per-la-sicurezza-costruire-strumenti-di-pentesting-affidabiliThu, 27 Feb 2025 00:00:00 +0100Rust per la Sicurezza: Costruire Strumenti di Pentesting AffidabiliSaverio Riottono-reply@saverioriotto.itProgrammazionePerché WebAssembly è il futuro dello sviluppo web? Nel 2025, le aspettative per le applicazioni web sono più alte che mai: velocità, interattività e capacità di gestire compiti complessi direttamente nel browser. Ecco dove entra in gioco WebAssembly (o Wasm), una tecnologia che permette di eseguire codice ad alte prestazioni in modo sicuro e portatile. A differenza di JavaScript, che è interpretato, WebAssembly esegue codice compilato da linguaggi come C, C++ o Rust, portando le prestazioni web a un livello vicino a quello delle applicazioni native.   Se sei uno sviluppatore che vuole distinguersi, imparare WebAssembly oggi è un investimento per il futuro. In questo articolo ti spiegherò cos’è, come funziona e ti guiderò passo passo in un esempio pratico per integrarlo in un progetto web. Pronto a rendere le tue applicazioni ultraveloci? Iniziamo!   Cos’è WebAssembly e come funziona? WebAssembly è un formato binario che funge da "macchina virtuale" per il web. Consente di compilare codice scritto in linguaggi ad alte prestazioni (Rust, C++, Go, ecc.) in un formato eseguibile dai principali browser moderni come Chrome, Firefox e Safari.  I vantaggi principali di WebAssembly Velocità: Grazie alla compilazione preventiva, Wasm è molto più veloce di JavaScript per calcoli intensivi. Portabilità: Funziona su qualsiasi piattaforma che supporti un browser moderno. Sicurezza: Esegue codice in un ambiente sandbox, garantendo protezione contro exploit. Ma come si integra con il web? Semplice: WebAssembly lavora fianco a fianco con JavaScript, permettendoti di usare Wasm per le parti critiche delle prestazioni e JS per la logica generale. Tutorial pratico: Creare una funzione con WebAssembly e Rust Per capire davvero WebAssembly, mettiamoci al lavoro con un esempio concreto. Creeremo una semplice funzione in Rust che somma due numeri, la compileremo in WebAssembly e la integreremo in una pagina HTML. Prerequisiti Installa Rust: visita questa la guida al link e segui le istruzioni. Installa wasm-pack: esegui cargo install wasm-pack nel terminale. Un editor di codice (es. VS Code) e Node.js per il server locale. Passo 1 – Configura il progetto Crea una nuova directory: mkdir wasm-demo && cd wasm-demo . Inizializza un progetto Rust: cargo new --lib wasm-lib && cd wasm-lib . Aggiorna il file Cargo.toml per aggiungere il supporto a WebAssembly: [package] name = "wasm-lib" version = "0.1.0" edition = "2021" [lib] crate-type = ["cdylib"] [dependencies] wasm-bindgen = "0.2" Passo 2 – Scrivi il codice Rust Modifica src/lib.rs con questa funzione: use wasm_bindgen::prelude::*; #[wasm_bindgen] pub fn add(a: i32, b: i32) -> i32 { a + b } Questo codice definisce una funzione add che somma due numeri interi e la rende accessibile a JavaScript tramite wasm_bindgen. Passo 3 – Compila in WebAssembly Esegui nel terminale: wasm-pack build --target web Questo genera i file WebAssembly nella directory pkg. Passo 4 – Integra nel HTML Crea un file index.html nella root del progetto: <!DOCTYPE html> <html lang="it"> <head> <meta charset="UTF-8"> <meta name="viewport" content="width=device-width, initial-scale=1.0"> <title>WebAssembly Demo 2025</title> </head> <body> <h1>Calcolatrice WebAssembly</h1> <p>Risultato: <span id="result"></span></p> <script type="module"> import init, { add } from './wasm-lib/pkg/wasm_lib.js'; async function run() { await init(); const result = add(5, 3); document.getElementById('result').innerText = result; } run(); </script> </body> </html> Risultato:  Passo 5 – Testa il risultato Avvia un server locale (es. con npx serve) e apri il browser. Vedrai "Risultato: 8". Hai appena usato WebAssembly per eseguire un calcolo!   Applicazioni reali di WebAssembly nel 2025 WebAssembly non è solo un esercizio teorico. Ecco alcuni casi d’uso reali: Giochi nel browser: Piattaforme come Unity stanno usando Wasm per portare giochi 3D complessi sul web. Editing multimediale: Adobe ha integrato WebAssembly in strumenti come Photoshop per il web. Machine Learning: Framework come TensorFlow.js sfruttano Wasm per accelerare i calcoli ML nel browser. Nel 2025, con browser sempre più potenti, expect Wasm diventerà uno standard per applicazioni web di nuova generazione.   Vantaggi e limiti di WebAssembly Pro Prestazioni quasi native per calcoli intensivi. Compatibilità con linguaggi diversi da JavaScript. Facilità di integrazione con il codice esistente. Contro Curva di apprendimento per chi non conosce linguaggi compilati. Dimensioni dei file Wasm più grandi rispetto a JS per piccoli script. Debugging ancora meno intuitivo rispetto a JavaScript. Perché imparare WebAssembly oggi? WebAssembly è una tecnologia che sta plasmando il futuro del web, e nel 2025 sarà un’abilità preziosa per gli sviluppatori. Con questo tutorial hai visto quanto sia semplice iniziare, ma le possibilità sono infinite: dai giochi agli strumenti di analisi dati, Wasm apre nuove porte.   Risorse utili : Corso di Programmazione in Rust: Guida Completa per Principianti.   https://saverioriotto.it/blog/366/programmazione/webassembly-la-chiave-per-applicazioni-web-ultraveloci-nel-2025-guida-pratica-per-sviluppatorihttps://saverioriotto.it/blog/366/programmazione/webassembly-la-chiave-per-applicazioni-web-ultraveloci-nel-2025-guida-pratica-per-sviluppatoriFri, 21 Feb 2025 00:00:00 +0100WebAssembly: La chiave per applicazioni web ultraveloci nel 2025 - Guida pratica per sviluppatoriSaverio Riottono-reply@saverioriotto.itProgrammazioneIntroduzione Il backtracking è una tecnica di programmazione utilizzata in problemi di ricerca combinatoria e intelligenza artificiale. Gli algoritmi di backtracking permettono di esplorare soluzioni possibili in maniera efficiente, tornando indietro quando una scelta non porta a una soluzione valida. Questo approccio è ideale per problemi che coinvolgono combinazioni e permutazioni, come il Sudoku, il problema delle N regine e il cavallo degli scacchi. In questa guida completa, vedremo come funziona il backtracking, esempi pratici e strategie per ottimizzare le prestazioni. Se sei uno sviluppatore alla ricerca di tecniche avanzate, continua a leggere per scoprire tutto ciò che c'è da sapere sugli algoritmi di backtracking!  Come Funziona il Backtracking Il backtracking segue una logica ricorsiva. Funziona costruendo progressivamente una soluzione e, se a un certo punto ci si accorge che la soluzione non è valida, si torna indietro per esplorare altre alternative. Passaggi Chiave: Se la soluzione corrente soddisfa il problema, la restituisce. Altrimenti, esplora tutte le scelte possibili a partire dalla situazione attuale. Se una scelta è valida, la applica e procede ricorsivamente. Se nessuna scelta porta a una soluzione, torna indietro e prova un'altra alternativa. L'algoritmo può essere rappresentato in pseudocodice così: function backtrack(soluzione_parziale): if soluzione_parziale è completa: return soluzione_parziale for ogni scelta valida: applica la scelta risultato = backtrack(soluzione_parziale aggiornata) se risultato è valido: return risultato annulla la scelta return fallimento Esempio Pratico: Problema delle N Regine Un classico esempio di backtracking è il problema delle N regine, dove bisogna posizionare N regine su una scacchiera NxN in modo che nessuna di esse si attacchi a vicenda. Implementazione in Python def is_safe(board, row, col, N): for i in range(row): if board[i] == col or \ board[i] - i == col - row or \ board[i] + i == col + row: return False return True def solve_n_queens(board, row, N): if row == N: print(board) # Soluzione trovata return for col in range(N): if is_safe(board, row, col, N): board[row] = col solve_n_queens(board, row + 1, N) board[row] = -1 # Backtrack def n_queens(N): board = [-1] * N solve_n_queens(board, 0, N) n_queens(4) # Esegue l'algoritmo per N=4 Spiegazione: La funzione is_safe controlla se la regina può essere posizionata in una determinata colonna senza conflitti. solve_n_queens prova a posizionare le regine riga per riga. Se tutte le regine sono posizionate, viene stampata una soluzione. Se una scelta non porta a una soluzione, si torna indietro e si prova un'altra posizione. Strategie di Ottimizzazione del Backtracking Sebbene il backtracking sia un metodo potente, può diventare inefficiente per problemi di grandi dimensioni. Alcune tecniche di ottimizzazione includono: Heuristiche per ordinare le scelte: Provare prima le scelte più promettenti per ridurre il numero di chiamate ricorsive. Pruning: Eliminare alcune scelte non promettenti in anticipo per risparmiare tempo computazionale. Memorizzazione delle soluzioni parziali: Usare tecniche come la memoization per evitare di ripetere calcoli inutili. Conclusione Gli algoritmi di backtracking sono una soluzione elegante per molti problemi di ricerca e ottimizzazione. Sebbene possano essere lenti in alcuni casi, con le giuste ottimizzazioni possono risolvere problemi complessi in modo efficiente.https://saverioriotto.it/blog/365/programmazione/come-funzionano-gli-algoritmi-di-backtracking-guida-completa-per-principianti-ed-espertihttps://saverioriotto.it/blog/365/programmazione/come-funzionano-gli-algoritmi-di-backtracking-guida-completa-per-principianti-ed-espertiFri, 14 Feb 2025 12:32:23 +0100Come Funzionano gli Algoritmi di Backtracking: Guida Completa per Principianti ed EspertiSaverio Riottono-reply@saverioriotto.itProgrammazioneNel mondo sempre più connesso di oggi, il fenomeno dello sharenting è diventato una pratica diffusa tra i genitori. Questo termine si riferisce alla tendenza di pubblicare foto, video e informazioni personali dei propri figli sui social media. Sebbene condividere momenti speciali della crescita dei propri figli possa sembrare innocuo, questa abitudine può comportare gravi rischi per la sicurezza e la privacy dei bambini.  Questo articolo, pensato per genitori, educatori e chiunque sia interessato a proteggere i minori online, ti fornirà tutte le informazioni necessarie su cosa sia lo sharenting, perché è rischioso e come evitare di essere coinvolti in potenziali situazioni pericolose. Scopri anche cosa fare se sei vittima di questo fenomeno. Cos'è lo Sharenting? Il termine sharenting deriva dalla fusione delle parole "share" (condividere) e "parenting" (genitorialità) e si riferisce alla pratica dei genitori che condividono online foto, video e informazioni personali dei propri figli. Sebbene la condivisione possa essere fatta con buone intenzioni, come celebrare momenti speciali o condividere successi, questa abitudine può avere conseguenze indesiderate. Rischi e Implicazioni del Sharenting Violazione della Privacy dei Bambini: Quando genitori condividono informazioni personali e immagini dei loro figli, espongono i minori a rischi di identità digitale e sorveglianza non autorizzata. Furto d'Identità e Cyberbullismo: Le informazioni pubblicate possono essere raccolte e utilizzate da malintenzionati per creare profili falsi o per compiere attacchi mirati, come il cyberbullismo. Futuro Digitale Compromesso: Le informazioni condivise in tenera età possono avere ripercussioni a lungo termine, influenzando la reputazione online dei bambini man mano che crescono. Perché lo Sharenting è Rischioso Quando si pubblicano foto o dettagli personali dei propri figli, si rischia di compromettere la loro privacy in modi spesso sottovalutati. Molte immagini possono essere utilizzate da sconosciuti per scopi dannosi, inclusi il furto di identità o la creazione di falsi profili sui social media. Inoltre, le informazioni condivise oggi possono avere un impatto sul futuro digitale dei bambini, influenzandone la reputazione man mano che crescono. Un altro rischio importante riguarda il cyberbullismo. I dati o le immagini pubblicate dai genitori possono essere presi di mira da bulli digitali o utilizzati per manipolazioni, mettendo i minori in situazioni potenzialmente dannose. Vedi: Cyberbullismo: Come Difendersi e Combatterlo Come Evitare i Pericoli dello Sharenting Affrontare il problema richiede un approccio consapevole e responsabile. Prima di condividere qualsiasi contenuto online, è importante riflettere attentamente. Chiedersi, ad esempio, se un'immagine potrebbe risultare imbarazzante per il bambino in futuro, è un primo passo per limitare i rischi. Anche le impostazioni di privacy dei social media giocano un ruolo cruciale. Configurare i propri profili in modo da rendere visibili i contenuti solo a un ristretto gruppo di persone fidate è una buona pratica. Tuttavia, questo non elimina completamente i rischi, poiché anche le persone che si considerano affidabili potrebbero involontariamente diffondere le informazioni condivise. Educare i bambini sin dalla giovane età sulla sicurezza digitale è fondamentale. Coinvolgerli nel processo decisionale su cosa condividere, una volta raggiunta un'età adeguata, li aiuta a sviluppare una consapevolezza digitale che sarà utile per tutta la vita. Cosa Fare se Sei Vittima di Sharenting Se scopri che le informazioni o le immagini dei tuoi figli sono state condivise senza il tuo consenso o in modo dannoso, agire rapidamente è essenziale. In primo luogo, contatta le piattaforme su cui è stato pubblicato il contenuto e richiedi la rimozione immediata. La maggior parte dei social media offre strumenti per segnalare violazioni della privacy. Nel caso in cui il contenuto sia stato diffuso da persone conosciute, affronta la situazione in modo diretto, spiegando i rischi e chiedendo la rimozione del materiale. Se il problema persiste o è grave, è consigliabile consultare un esperto di sicurezza informatica o un avvocato specializzato in diritto digitale. Infine, considera l'idea di sensibilizzare altre persone sul tema. Condividere la tua esperienza può aiutare altri genitori a evitare gli stessi errori e contribuire a creare una comunità più attenta alla sicurezza online. Conclusioni Lo sharenting può sembrare una pratica innocua, ma i rischi associati sono reali e spesso sottovalutati. Proteggere la privacy e la sicurezza dei bambini online è una responsabilità che tutti i genitori dovrebbero prendere seriamente. Riflettere prima di condividere, impostare adeguatamente la privacy dei social media ed educare i propri figli alla consapevolezza digitale sono i primi passi per navigare nel mondo online in modo più sicuro. Ricorda: la sicurezza online non è solo una questione di tecnologia, ma anche di scelte consapevoli. Condividere meno oggi significa proteggere di più il futuro dei tuoi figli.https://saverioriotto.it/blog/364/sicurezza-informatica/sharenting-proteggi-i-tuoi-bambini-e-la-tua-famiglia-dal-pericolo-onlinehttps://saverioriotto.it/blog/364/sicurezza-informatica/sharenting-proteggi-i-tuoi-bambini-e-la-tua-famiglia-dal-pericolo-onlineTue, 04 Feb 2025 00:00:00 +0100Sharenting: Proteggi i Tuoi Bambini e la Tua Famiglia dal Pericolo OnlineSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaIl cyberbullismo è una delle piaghe più diffuse dell'era digitale. Con l'espansione dei social media, delle app di messaggistica e delle piattaforme online, sempre più persone si trovano a fronteggiare attacchi personali che possono avere gravi conseguenze emotive e psicologiche. Tuttavia, esistono strumenti, strategie e risorse che possono aiutare a combatterlo e a prevenirne gli effetti devastanti. Che cos'è il Cyberbullismo? Il cyberbullismo consiste in comportamenti intimidatori, offensivi o molesti che avvengono attraverso mezzi digitali. Può includere insulti o minacce inviati tramite social media come Facebook, Instagram e TikTok, la diffusione di informazioni private o imbarazzanti, la creazione di profili falsi per danneggiare la reputazione di una persona, o l'esclusione intenzionale da gruppi online. Gli attacchi possono essere visibili pubblicamente o privati, rendendo difficile per le vittime sfuggire a questa pressione costante. Le conseguenze del cyberbullismo possono essere gravissime, con impatti sulla salute mentale, come ansia, depressione o isolamento sociale, e in casi estremi portare persino a tragedie personali. Come Proteggersi Online Per difendersi dal cyberbullismo, è fondamentale adottare misure concrete che rafforzino la propria sicurezza digitale e personale. Un primo passo è quello di utilizzare password complesse per i propri account, composte da combinazioni di lettere, numeri e simboli. Strumenti come i gestori di password possono aiutare a mantenere queste credenziali sicure. Un altro elemento cruciale è l'attivazione dell'autenticazione a due fattori (2FA), che aggiunge un livello di protezione supplementare agli account sui social media e alle piattaforme digitali. Le impostazioni di privacy sui social media, come la possibilità di rendere privato il proprio profilo su Instagram o di limitare chi può inviarti messaggi diretti su Facebook, sono strumenti fondamentali per ridurre l'esposizione a comportamenti molesti. In caso di cyberbullismo, è essenziale sfruttare le funzionalità offerte dalle piattaforme per bloccare gli utenti che adottano comportamenti molesti e segnalare contenuti inappropriati. Ad esempio, TikTok permette di segnalare video e commenti, mentre X consente di bloccare utenti e limitare risposte indesiderate ai propri post. Questa è una linea d'azione indispensabile per interrompere immediatamente il contatto con il molestatore. Oltre a proteggere la propria presenza online, è utile monitorarla attivamente. Fare una ricerca periodica del proprio nome su motori di ricerca come Google permette di individuare eventuali informazioni personali pubblicate senza consenso. Nel caso si trovi qualcosa di dannoso, è possibile richiederne la rimozione ai gestori del sito. Come Affrontare il Cyberbullismo Affrontare il cyberbullismo richiede coraggio e determinazione. Conservare prove come screenshot, email o messaggi di chat è fondamentale per costruire una documentazione solida che possa essere utile in sede legale o per segnalazioni alle autorità competenti. Non bisogna mai sottovalutare l'importanza di denunciare questi comportamenti: in Italia, ad esempio, è possibile rivolgersi alla Polizia Postale per presentare una denuncia formale. È altrettanto importante non affrontare il problema da soli. Parlare con amici fidati, familiari o, se sei un minore, con insegnanti o figure di riferimento è un passo cruciale per ricevere supporto emotivo e pratico. Diverse organizzazioni, come Telefono Azzurro, offrono un aiuto concreto attraverso linee telefoniche e risorse dedicate. Una delle strategie più efficaci per contrastare il cyberbullismo è promuovere una cultura digitale positiva. Educare le persone, in particolare i giovani, sull'uso responsabile della tecnologia può fare una grande differenza. Ad esempio, diffondere consapevolezza sull'importanza di commenti rispettosi e sull'empatia online è un modo per prevenire il verificarsi di episodi di cyberbullismo. Ruolo delle Piattaforme Social Le piattaforme social giocano un ruolo fondamentale nel combattere il cyberbullismo. Negli ultimi anni, molte di esse hanno introdotto strumenti avanzati per contrastarlo. Ad esempio: Instagram consente di filtrare automaticamente commenti offensivi grazie all'uso di parole chiave personalizzate. TikTok ha implementato strumenti per controllare chi può commentare i tuoi video e chi può inviarti messaggi. Facebook offre la possibilità di segnalare contenuti che violano le sue norme e mette a disposizione guide per le vittime di bullismo. X ha introdotto la funzione di "modalità sicura" che limita automaticamente interazioni con account potenzialmente abusivi. Nonostante questi strumenti, le piattaforme devono fare di più per proteggere gli utenti e garantire che i cyberbulli siano adeguatamente sanzionati. Strategie Pratiche per Affrontare il Cyberbullismo 1. Conserva le prove Anche se è difficile, è importante conservare screenshot, messaggi o email che documentano il cyberbullismo. Queste prove possono essere utili in caso di denunce alle autorità o segnalazioni alle piattaforme. 2. Valuta azioni legali In Italia, il cyberbullismo è riconosciuto come un reato. Puoi sporgere denuncia alla Polizia Postale o alle autorità competenti se ritieni che il comportamento subito superi il limite legale. 3. Promuovi una cultura digitale positiva Una delle armi più potenti contro il cyberbullismo è la prevenzione. Educare le persone, soprattutto i giovani, sull'uso responsabile e rispettoso della tecnologia può fare la differenza. Riferimenti Normativi La  Legge 29 maggio 2017 nr. 71 – “Disposizioni a tutela dei minori per la prevenzione ed il contrasto al fenomeno del cyberbullismo”, - (http://www.gazzettaufficiale.it/eli/id/2017/06/03/17G00085/sg) -  entrata in vigore il 18 giugno 2017, ha introdotto nuove forme di tutela degli adolescenti colpiti da tale fenomeno. In particolare la Legge prevede, tra le maggiori novità: Informativa alle Famiglie: salvo che il fatto costituisca reato, il dirigente scolastico che venga a conoscenza di atti di cyberbullismo ne informa tempestivamente i soggetti esercenti la responsabilità  genitoriale ovvero i tutori dei minori coinvolti e attiva adeguate azioni di carattere educativo. Ammonimento: fino a quando non è presentata querela per taluno dei reati cui agli artt. 594 (Ingiuria), 595 (Diffamazione) e 612 (Minaccia) del Codice Penale e all’art. 167 del Codice per la protezione dei dati personali, di cui al Decreto Legislativo 30 giugno 2003, n. 196, commessi, mediante la rete internet, da minorenni di eta' superiore agli anni quattordici nei confronti di altro minorenne, e' applicabile la procedura di ammonimento di cui all'articolo 8, commi 1 e 2, del decreto-legge 23 febbraio 2009, n. 11, convertito, con modificazioni, dalla legge 23 aprile 2009, n. 38. A tal fine il questore convoca il minore, insieme ad almeno un genitore o ad altra persona esercente la responsabilità genitoriale; gli effetti dell'ammonimento cessano al compimento della maggiore età. Oscuramento:  il minore che abbia compiuto almeno 14 anni e i genitori o esercenti la responsabilità sul minore, possono inoltrare al titolare del trattamento o al gestore del sito internet o del social media un’istanza per l’oscuramento,  la rimozione o il blocco di qualsiasi altro dato personale del minore, diffuso nella rete internet. Se non si provvede entro 48 ore, l'interessato può rivolgersi al Garante della Privacy che interviene direttamente entro le successive 48 ore. Risorse Utili Se tu o qualcuno che conosci sta affrontando il cyberbullismo, ecco alcune risorse utili: Telefono Azzurro: supporto per giovani e famiglie (https://www.azzurro.it/). Polizia Postale: per denunciare casi di cyberbullismo (https://www.commissariatodips.it/). Conclusione Il cyberbullismo rappresenta una sfida complessa ma non insormontabile. Con una combinazione di strumenti tecnologici, strategie di sicurezza digitale e supporto umano, è possibile affrontarlo e prevenirne gli effetti. È essenziale non restare in silenzio, ma agire: segnalare, proteggersi e contribuire alla costruzione di un ambiente digitale più sicuro e rispettoso per tutti. La tecnologia è uno strumento potente, e utilizzarla in modo consapevole e responsabile è la chiave per contrastare il cyberbullismo in ogni sua forma.https://saverioriotto.it/blog/363/sicurezza-informatica/cyberbullismo-come-difendersi-e-combatterlohttps://saverioriotto.it/blog/363/sicurezza-informatica/cyberbullismo-come-difendersi-e-combatterloFri, 31 Jan 2025 00:00:00 +0100Cyberbullismo: Come Difendersi e CombatterloSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaNel mondo della tecnologia e dell'intelligenza artificiale, una delle innovazioni più affascinanti e promettenti è rappresentata dai Turing Bots. Questi avanzati bot intelligenti, ispirati alla macchina di Turing di Alan Turing, non solo stanno trasformando il nostro modo di interagire con la tecnologia, ma stanno anche cambiando il mondo dello sviluppo software. I Turing Bots stanno automatizzando e accelerando la generazione di codice, semplificando il processo di sviluppo e portando a un futuro in cui l'automazione gioca un ruolo centrale nella creazione di software. Tuttavia, nonostante i numerosi vantaggi, l'uso dei Turing Bots presenta anche rischi e sfide, in particolare in termini di affidabilità e sicurezza. Scopriamo come funzionano i Turing Bots, come stanno rivoluzionando lo sviluppo del software e quali sono i potenziali rischi associati. Cosa Sono i Turing Bots? I Turing Bots sono sistemi avanzati di intelligenza artificiale che simulano l'intelligenza umana, con la capacità di apprendere e risolvere problemi complessi in modo autonomo. I loro algoritmi si basano su tecniche di apprendimento automatico (machine learning) e processamento del linguaggio naturale (NLP), consentendo loro di comprendere ed eseguire attività complesse in modo sempre più preciso e naturale. I Turing Bots non solo possono svolgere compiti tradizionali come la gestione delle risorse o l’assistenza clienti, ma sono anche in grado di partecipare attivamente alla creazione di codice software. Questo è il motivo per cui i Turing Bots sono sempre più utilizzati nel campo dello sviluppo software, dove la generazione automatica di codice sta diventando una delle applicazioni più promettenti. Come Funzionano i Turing Bots nella Generazione di Codice? Nel contesto dello sviluppo software, i Turing Bots utilizzano diverse tecniche avanzate per generare codice automaticamente e migliorare il processo di sviluppo. Ecco come funzionano: Generazione Automatica del Codice: Grazie a modelli di machine learning come i Transformer (utilizzati in sistemi come GPT), i Turing Bots sono in grado di comprendere il contesto di una richiesta e generare frammenti di codice che soddisfano specifiche esigenze. Ad esempio, un Turing Bot può prendere una descrizione di un requisito e tradurla in codice funzionante in linguaggi di programmazione come Python, Java o JavaScript. Refactoring del Codice: I Turing Bots possono anche migliorare il codice esistente, identificando inefficienze o errori e proponendo modifiche per ottimizzare le performance o la leggibilità del codice. Questa capacità di "refactoring" aiuta a mantenere il codice pulito e facilmente manutenibile, riducendo il rischio di bug o regressioni. Debugging Intelligente: Quando il codice non funziona correttamente, i Turing Bots possono analizzare il problema, identificare il bug e suggerire soluzioni. L'intelligenza artificiale applicata al debugging non solo migliora la velocità con cui si risolvono i problemi, ma riduce anche la possibilità di errori umani. Adattamento alle Best Practices: I Turing Bots sono in grado di imparare dalle best practices di sviluppo software e di applicarle automaticamente nei progetti. Questo significa che, anche se non si ha una conoscenza profonda di tutte le tecniche più avanzate, i bot possono aiutare a scrivere codice secondo standard di alta qualità, riducendo il rischio di errori comuni. Assistenza nell’Integrazione di Librerie e Framework: I Turing Bots possono assistere nella selezione e nell'integrazione di librerie e framework nel codice. Quando uno sviluppatore ha bisogno di una funzionalità specifica (come l'implementazione di un algoritmo di machine learning o l'autenticazione utente), il bot può suggerire o addirittura generare il codice necessario per integrarlo in modo fluido. Vantaggi dei Turing Bots nello Sviluppo Software L’utilizzo dei Turing Bots nel processo di sviluppo software offre numerosi vantaggi, rendendo il processo di scrittura, test e manutenzione del codice più veloce ed efficiente. Ecco alcuni dei principali benefici: 1. Velocizzazione dello Sviluppo La generazione automatica del codice da parte dei Turing Bots riduce il tempo necessario per scrivere linee di codice, consentendo agli sviluppatori di concentrarsi su aspetti più creativi e complessi del progetto. I Turing Bots possono generare automaticamente blocchi di codice ripetitivi o banali, accelerando notevolmente lo sviluppo complessivo. 2. Miglioramento della Qualità del Codice I Turing Bots, grazie alla loro capacità di apprendere dalle migliori pratiche, possono produrre codice di alta qualità. Poiché i bot sono in grado di seguire rigorosi standard di codifica, riducono il rischio di errori comuni, vulnerabilità di sicurezza e altre problematiche che possono sorgere quando gli sviluppatori scrivono codice rapidamente. 3. Maggiore Accessibilità per i Non Esperti I Turing Bots possono abbattere le barriere per coloro che non sono esperti di programmazione, consentendo loro di generare codice in base a descrizioni in linguaggio naturale. Questo potrebbe aprire il campo della programmazione a persone senza competenze tecniche, democratizzando l'accesso alla creazione di software e applicazioni. 4. Automazione del Debugging e del Refactoring Con la capacità di rilevare automaticamente errori nel codice e di ottimizzarlo senza l'intervento umano, i Turing Bots riducono drasticamente il tempo impiegato per il debugging e il refactoring. Questo porta a un software più stabile e con meno bug, oltre a ridurre il rischio di regressioni nelle versioni successive. 5. Personalizzazione e Adattamento al Progetto I Turing Bots possono adattarsi alle specifiche esigenze di un progetto, generando codice che si integra perfettamente con l'architettura esistente. Possono anche lavorare in team con gli sviluppatori, migliorando progressivamente il codice man mano che il progetto cresce, con un apprendimento continuo basato sulle modifiche e sugli aggiornamenti apportati. Rischi nell'Uso dei Turing Bots: Affidabilità e Sicurezza Nonostante i numerosi vantaggi, l'uso dei Turing Bots nel sviluppo software non è privo di rischi. È fondamentale considerare alcune sfide e preoccupazioni legate alla loro affidabilità e sicurezza. 1. Affidabilità del Codice Generato I Turing Bots possono generare codice automaticamente, ma la qualità e l'affidabilità del codice dipendono fortemente dai dati con cui sono stati addestrati. Se il bot non è addestrato correttamente o ha accesso a dati errati, il codice generato potrebbe non funzionare come previsto o addirittura contenere vulnerabilità di sicurezza. Inoltre, poiché i Turing Bots operano in modo autonomo, potrebbe essere difficile per uno sviluppatore umano rilevare eventuali errori nascosti o problemi complessi nel codice generato. 2. Mancanza di Controllo sul Codice Un altro rischio è la mancanza di controllo sul codice generato dai Turing Bots. Sebbene i bot possano migliorare l’efficienza e ridurre gli errori, uno sviluppatore potrebbe non avere piena comprensione delle scelte fatte dal bot durante la generazione del codice. Questo potrebbe risultare problematico quando si tratta di mantenere la consistenza e la manutenibilità del codice nel lungo periodo. 3. Sicurezza e Vulnerabilità I Turing Bots potrebbero anche introdurre vulnerabilità di sicurezza se non adeguatamente controllati. Poiché i bot apprendono dai dati disponibili, è possibile che incorporino vulnerabilità note nel codice generato, senza che l'automazione possa sempre identificarle. Un codice vulnerabile potrebbe essere sfruttato da attaccanti, mettendo a rischio l'intero sistema. 4. Dipendenza dalla Tecnologia L'automazione del codice e l'affidamento a Turing Bots per la generazione automatica potrebbero portare a una dipendenza eccessiva dalla tecnologia. Gli sviluppatori potrebbero non acquisire le competenze necessarie per scrivere codice da zero o per risolvere problemi complessi manualmente, riducendo la loro capacità di intervenire quando il bot non riesce a gestire una situazione particolare. Conclusione: Turing Bots e il Futuro della Programmazione I Turing Bots rappresentano una vera e propria rivoluzione nello sviluppo software e nella generazione di codice. Con il loro potenziale di automazione, apprendimento continuo e adattabilità, questi bot intelligenti stanno cambiando radicalmente il modo in cui creiamo, testiamo e ottimizziamo il codice. Tuttavia, non bisogna trascurare i rischi legati alla loro affidabilità e sicurezza. Gli sviluppatori dovranno essere cauti nell'adottare completamente l'automazione, mantenendo sempre un controllo umano critico e implementando misure di sicurezza per evitare vulnerabilità. In un futuro sempre più automatizzato, i Turing Bots diventeranno strumenti essenziali per migliorare la qualità, l'efficienza e la velocità dello sviluppo software, ma è fondamentale bilanciare i vantaggi con i potenziali rischi. Se utilizzati correttamente, i Turing Bots potrebbero segnare l'inizio di una nuova era nella programmazione, dove l'intelligenza artificiale e l'ingegno umano lavorano insieme per costruire il futuro digitale.https://saverioriotto.it/blog/362/intelligenza-artificiale/turing-bots-rivoluzione-nello-sviluppo-del-software-e-nella-generazione-di-codicehttps://saverioriotto.it/blog/362/intelligenza-artificiale/turing-bots-rivoluzione-nello-sviluppo-del-software-e-nella-generazione-di-codiceMon, 20 Jan 2025 12:15:53 +0100Turing Bots: Rivoluzione nello Sviluppo del Software e nella Generazione di CodiceSaverio Riottono-reply@saverioriotto.itIntelligenza ArtificialeHai completato un percorso importante nell'apprendimento di Rust! Ora è il momento di esplorare nuove opportunità per consolidare e ampliare le tue conoscenze. In questo articolo, esamineremo: Le librerie più utili in Rust per progetti pratici. Come iniziare a contribuire alla community open-source di Rust. Risorse consigliate per approfondire. Librerie Popolari in Rust Rust ha una vasta gamma di librerie che semplificano lo sviluppo di applicazioni robuste e performanti. Ecco alcune delle più popolari: 1. Serde: Serializzazione e Deserializzazione Serde è una libreria essenziale per lavorare con formati come JSON, TOML, e YAML. È estremamente efficiente e ampiamente utilizzata in progetti reali. Esempio: Serializzare un Oggetto in JSON use serde::{Serialize, Deserialize}; use serde_json; #[derive(Serialize, Deserialize)] struct Utente { nome: String, eta: u8, } fn main() { let utente = Utente { nome: String::from("Alice"), eta: 30, }; // Serializza in JSON let json = serde_json::to_string(&utente).unwrap(); println!("JSON: {}", json); // Deserializza da JSON let deserialized: Utente = serde_json::from_str(&json).unwrap(); println!("Utente: {}, età: {}", deserialized.nome, deserialized.eta); } 2. Tokio: Programmazione Asincrona Tokio è il framework di riferimento per la programmazione asincrona in Rust. È ideale per costruire server web, applicazioni di rete e sistemi altamente concorrenti. Esempio: Server HTTP Semplice use tokio::net::TcpListener; use tokio::io::{AsyncReadExt, AsyncWriteExt}; #[tokio::main] async fn main() -> tokio::io::Result<()> { let listener = TcpListener::bind("127.0.0.1:8080").await?; println!("Server in ascolto su 127.0.0.1:8080"); loop { let (mut socket, _) = listener.accept().await?; tokio::spawn(async move { let mut buffer = [0; 1024]; let _ = socket.read(&mut buffer).await; socket.write_all(b"HTTP/1.1 200 OK\r\n\r\nHello, World!").await.unwrap(); }); } } 3. Diesel: ORM per il Database Diesel è un potente ORM (Object-Relational Mapping) per Rust che semplifica l'interazione con i database. Esempio: Interazione con SQLite use diesel::prelude::*; #[derive(Queryable)] struct Utente { id: i32, nome: String, eta: i32, } fn ottieni_utenti(conn: &SqliteConnection) -> QueryResult> { use schema::utenti::dsl::*; utenti.load::(conn) } Contribuire alla Community Rust Rust è noto per la sua community accogliente e collaborativa. Partecipare a progetti open-source è un ottimo modo per crescere come sviluppatore. Passaggi per Iniziare Scegli un Progetto Open-SourceCerca progetti interessanti su crates.io o GitHub. Molti repository Rust hanno etichette come good first issue per aiutare i nuovi arrivati. Leggi la DocumentazioneFamiliarizza con le regole del progetto e le convenzioni di codifica. Contribuisci con Piccole ModificheInizia con correzioni di bug o miglioramenti della documentazione. Esempi di Progetti Open-Source Rustlings: Un set di esercizi per imparare Rust. ripgrep: Un tool per la ricerca di testo rapido. Hyper: Un client/server HTTP di alto livello. Risorse Utili Rust offre molte risorse per continuare a imparare e migliorare. Ecco le principali: Libri Consigliati The Rust Programming Language: Il libro ufficiale di Rust, disponibile gratuitamente online. Rust by Example: Una raccolta di esempi pratici. Programming Rust: Un libro avanzato per sviluppatori esperti. Forum e Community Users Forum: Per discutere di Rust con altri sviluppatori. Reddit: Il subreddit di Rust è attivo e utile. Discord di Rust: Chat live con la community. Corsi e Tutorial Rustlings: Una serie di esercizi pratici per imparare Rust. Exercism: Piattaforma con esercizi di Rust e mentori disponibili. Prossimi Passi Sperimenta Progetti PersonaliMetti alla prova ciò che hai imparato creando applicazioni personali. Esempi: Un'app CLI per la gestione di task. Un server web semplice. Approfondisci Argomenti AvanzatiStudia argomenti come unsafe Rust, macro avanzate, e programmazione embedded. Partecipa a Conferenze RustEventi come RustConf e meet-up locali sono ottime opportunità per connettersi con altri sviluppatori. Conclusione Il viaggio con Rust non finisce qui: è solo l’inizio! Con le librerie giuste, un forte supporto della community e risorse eccellenti, sei pronto a esplorare le potenzialità di questo linguaggio straordinario. Continua a imparare, costruire e condividere le tue conoscenze!https://saverioriotto.it/blog/361/programmazione/continuare-con-rust-librerie-utili-e-progetti-open-sourcehttps://saverioriotto.it/blog/361/programmazione/continuare-con-rust-librerie-utili-e-progetti-open-sourceThu, 16 Jan 2025 00:00:00 +0100Continuare con Rust: Librerie Utili e Progetti Open-SourceSaverio Riottono-reply@saverioriotto.itProgrammazioneDopo aver esplorato i concetti fondamentali di Rust, è il momento di metterli in pratica! In questo articolo, costruiremo un generatore di password sicure. Utilizzeremo Cargo per gestire il progetto, la libreria rand per generare password casuali e lavoreremo con i file per salvare e recuperare le password. Configurazione del Progetto Creare il Progetto con Cargo Cargo è lo strumento di build e gestione delle dipendenze di Rust. Per iniziare, crea un nuovo progetto: cargo new password_generator cd password_generator All'interno della directory del progetto, troverai due file principali: src/main.rs per il codice e Cargo.toml per le dipendenze. Aggiungere la Libreria rand Modifica il file Cargo.toml per includere la libreria rand: [dependencies] rand = "0.8" Quindi, esegui: cargo build Generare Password Casuali Per generare password sicure, utilizzeremo i caratteri alfanumerici e simboli speciali. Esempio di Generazione Ecco un esempio di codice per generare una password casuale: use rand::{distributions::Uniform, Rng}; fn genera_password(lunghezza: usize) -> String { let chars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!\"#$%&'()*+,-./:;<=>?@[\\]^_`{|}~"; rand::thread_rng() .sample_iter(&Uniform::new_inclusive(0, chars.len() - 1)) .take(lunghezza) .map(|i| chars.chars().nth(i).unwrap()) .collect() } fn main() { let password = genera_password(12); println!("Password generata: {}", password); } Spiegazione: rand::thread_rng(): Crea un generatore di numeri casuali basato sul thread corrente. Uniform: per scegliere casualmente un indice tra quelli presenti nei caratteri disponibili (chars), ho usato una distribuzione uniforme. .take(lunghezza): Limita il numero di caratteri. .collect(): Converte i caratteri in una stringa. Salvare e Leggere Password Salvare Password in un File Per salvare una password, puoi usare il modulo std::fs. use std::fs::{self, OpenOptions}; use std::io::{self, Write}; fn salva_password(file: &str, password: &str) -> std::io::Result<()> { let mut file = OpenOptions::new() .create(true) // Se il file non esiste, lo crea .append(true) // Aggiunge i dati al file esistente .open(file)?; writeln!(file, "{}", password) } fn main() { let password = genera_password(12); let file = "passwords.txt"; if let Err(e) = salva_password(file, &password) { eprintln!("Errore nel salvataggio: {}", e); } else { println!("Password salvata in {}", file); } } Leggere Password da un File Per recuperare una password salvata: fn leggi_password(file: &str) -> std::io::Result { fs::read_to_string(file) } fn main() { let file = "passwords.txt"; match leggi_password(file) { Ok(contenuto) => println!("Password salvate:\n{}", contenuto), Err(e) => eprintln!("Errore nella lettura: {}", e), } } Progetto Completo Combiniamo tutto in un progetto completo con un'interfaccia utente semplice basata su CLI. Codice Completo use rand::{distributions::Uniform, Rng}; use std::fs::{self, OpenOptions}; use std::io::{self, Write}; fn genera_password(lunghezza: usize) -> String { let chars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!\"#$%&'()*+,-./:;<=>?@[\\]^_`{|}~"; rand::thread_rng() .sample_iter(&Uniform::new_inclusive(0, chars.len() - 1)) .take(lunghezza) .map(|i| chars.chars().nth(i).unwrap()) .collect() } fn salva_password(file: &str, password: &str) -> std::io::Result<()> { let mut file = OpenOptions::new() .create(true) // Se il file non esiste, lo crea .append(true) // Aggiunge i dati al file esistente .open(file)?; writeln!(file, "{}", password) } fn leggi_password(file: &str) -> std::io::Result { fs::read_to_string(file) } fn main() { let file = "passwords.txt"; loop { println!("Generatore di Password Sicure"); println!("1. Genera una nuova password"); println!("2. Leggi password salvate"); println!("3. Esci"); println!("Scegli un'opzione:"); let mut scelta = String::new(); io::stdin().read_line(&mut scelta).unwrap(); match scelta.trim() { "1" => { println!("Inserisci la lunghezza della password:"); let mut lunghezza = String::new(); io::stdin().read_line(&mut lunghezza).unwrap(); if let Ok(lunghezza) = lunghezza.trim().parse::() { let password = genera_password(lunghezza); println!("Password generata: {}", password); if let Err(e) = salva_password(file, &password) { eprintln!("Errore nel salvataggio: {}", e); } else { println!("Password salvata in {}", file); } } else { println!("Lunghezza non valida."); } } "2" => match leggi_password(file) { Ok(contenuto) => println!("Password salvate:\n{}", contenuto), Err(e) => eprintln!("Errore nella lettura: {}", e), }, "3" => break, _ => println!("Opzione non valida."), } } } Il progetto completo lo trovi su Github Esercizi Pratici Aggiungi una Funzione di CrittografiaModifica il programma per criptare le password salvate usando la libreria aes. Genera Password Basate su RegolePermetti all'utente di scegliere tra password alfanumeriche e password con simboli speciali. Aggiungi un'Interfaccia GraficaUsa la libreria egui per trasformare il generatore in un'applicazione desktop. Conclusione Questo progetto pratico mostra come utilizzare Rust per creare applicazioni sicure e funzionali. Hai imparato a gestire un progetto con Cargo, utilizzare librerie esterne e lavorare con i file. Prova a estendere il generatore con nuove funzionalità per mettere alla prova le tue abilità!https://saverioriotto.it/blog/359/programmazione/progetto-pratico-in-rust-generatore-di-password-sicurehttps://saverioriotto.it/blog/359/programmazione/progetto-pratico-in-rust-generatore-di-password-sicureWed, 15 Jan 2025 00:00:00 +0100Progetto Pratico in Rust: Generatore di Password SicureSaverio Riottono-reply@saverioriotto.itProgrammazioneLa gestione degli errori è fondamentale per scrivere codice robusto e resiliente. Rust adotta un approccio unico alla gestione degli errori, bilanciando la sicurezza con la semplicità. In questo articolo, esploreremo: Come evitare i panic! e gestire errori critici. L'uso di Option e Result per gestire errori comuni. Come creare errori personalizzati per adattarli alle esigenze della tua applicazione.   Error Handling in Rust: Panics, Option e Result Meta Description: Scopri come gestire gli errori in Rust! Impara a utilizzare panic!, Option e Result in modo sicuro e crea errori personalizzati per un codice robusto e affidabile. La gestione degli errori è fondamentale per scrivere codice robusto e resiliente. Rust adotta un approccio unico alla gestione degli errori, bilanciando la sicurezza con la semplicità. In questo articolo, esploreremo: Come evitare i panic! e gestire errori critici. L'uso di Option e Result per gestire errori comuni. Come creare errori personalizzati per adattarli alle esigenze della tua applicazione. Evitare i panic! e Gestire Errori Critici Il macro panic! viene usato quando il programma incontra un errore irrimediabile e deve terminare immediatamente. Tuttavia, i panic sono da usare con parsimonia, preferendo meccanismi più sicuri per gestire gli errori. Esempio di panic! fn main() { let numeri = vec![1, 2, 3]; println!("{}", numeri[10]); // Questo causa un panic! } Quando possibile, utilizza metodi sicuri come get per prevenire panic: fn main() { let numeri = vec![1, 2, 3]; match numeri.get(10) { Some(valore) => println!("{}", valore), None => println!("Indice fuori dai limiti!"), } } Gestione degli Errori con Option e Result Rust introduce i tipi Option e Result per rappresentare rispettivamente valori opzionali e operazioni che possono fallire. Option: Valori Opzionali Il tipo Option rappresenta la presenza o l'assenza di un valore. fn trova_elemento(vettore: Vec, indice: usize) -> Option { vettore.get(indice).copied() } fn main() { let numeri = vec![1, 2, 3]; match trova_elemento(numeri, 2) { Some(valore) => println!("Valore trovato: {}", valore), None => println!("Nessun valore trovato."), } } Result: Successo o Errore Il tipo Result è usato per rappresentare operazioni che possono avere successo (Ok) o fallire (Err). fn dividi(a: i32, b: i32) -> Result { if b == 0 { Err(String::from("Errore: Divisione per zero")) } else { Ok(a / b) } } fn main() { match dividi(10, 2) { Ok(risultato) => println!("Risultato: {}", risultato), Err(errore) => println!("{}", errore), } } Concatenare Operazioni con ? L'operatore ? consente di propagare errori in modo conciso. fn leggi_file(file: &str) -> Result { std::fs::read_to_string(file) } fn main() -> Result<(), std::io::Error> { let contenuto = leggi_file("testo.txt")?; println!("{}", contenuto); Ok(()) } Creare Errori Personalizzati Rust consente di definire errori personalizzati per rappresentare situazioni specifiche della tua applicazione. Definire un Enum per gli Errori Puoi creare un enum per rappresentare diversi tipi di errori. use std::fmt; #[derive(Debug)] enum MioErrore { DivisionePerZero, FileNonTrovato, } impl fmt::Display for MioErrore { fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result { match self { MioErrore::DivisionePerZero => write!(f, "Errore: Divisione per zero"), MioErrore::FileNonTrovato => write!(f, "Errore: File non trovato"), } } } fn dividi(a: i32, b: i32) -> Result { if b == 0 { Err(MioErrore::DivisionePerZero) } else { Ok(a / b) } } fn main() { match dividi(10, 0) { Ok(risultato) => println!("Risultato: {}", risultato), Err(errore) => println!("{}", errore), } } Esercizi Pratici Implementa una Funzione Sicura di Accesso a un VettoreScrivi una funzione che restituisce un valore opzionale usando Option. Soluzione: fn accesso_sicuro(vettore: Vec, indice: usize) -> Option { vettore.get(indice).copied() } Valida un Input Utente con ResultImplementa una funzione che accetta una stringa e restituisce un numero intero o un errore. Soluzione: fn valida_input(input: &str) -> Result { input.parse::().map_err(|_| String::from("Input non valido")) } Creazione di un Sistema di Errori PersonalizzatoCrea un enum per gestire errori di rete come timeout e connessione fallita. Soluzione: #[derive(Debug)] enum ErroreRete { Timeout, ConnessioneFallita, } Conclusione Rust fornisce strumenti potenti per la gestione degli errori, rendendo il codice più sicuro e prevedibile. Con Option e Result, puoi evitare condizioni di errore critiche, mentre gli errori personalizzati ti consentono di gestire scenari specifici con eleganza. Mettiti alla prova con gli esercizi proposti per padroneggiare queste tecniche e scrivere codice robusto in Rust!  https://saverioriotto.it/blog/358/programmazione/error-handling-in-rust-panics-option-e-resulthttps://saverioriotto.it/blog/358/programmazione/error-handling-in-rust-panics-option-e-resultMon, 13 Jan 2025 00:00:00 +0100Error Handling in Rust: Panics, Option e ResultSaverio Riottono-reply@saverioriotto.itProgrammazioneNegli ultimi anni, l’interesse verso le VPN (“Virtual Private Network”) è cresciuto notevolmente, sia tra gli utenti privati che tra le aziende. Ma cosa sono esattamente le VPN e come possono contribuire a proteggere i nostri dati personali? In questo articolo esploreremo i concetti base, i benefici e gli eventuali limiti delle VPN. Cos'è una VPN Una VPN è una tecnologia che consente di creare una connessione sicura tra il dispositivo dell’utente e un server remoto. Questo tunnel virtuale crittografa i dati in transito, impedendo a terze parti di intercettarli. In pratica, una VPN ti permette di: Nascondere il tuo indirizzo IP, mascherando la tua posizione reale. Proteggere la trasmissione dei dati da eventuali intercettazioni. Accedere a contenuti online con restrizioni geografiche. Perché Usare una VPN L'utilizzo di una VPN è fondamentale in molte situazioni per garantire la sicurezza e la privacy online. Ecco alcuni dei principali scenari in cui le VPN risultano particolarmente utili: Navigazione su Reti Pubbliche: Le reti Wi-Fi pubbliche, come quelle di bar, aeroporti e hotel, sono notoriamente vulnerabili agli attacchi informatici. Una VPN protegge i tuoi dati da eventuali malintenzionati. Protezione dei Dati Sensibili: Chiunque maneggi dati personali o informazioni finanziarie dovrebbe considerare una VPN per evitare che questi vengano intercettati da hacker. Evitare la Sorveglianza: In un’era di crescente sorveglianza digitale, l’uso di una VPN può aiutarti a mantenere la tua privacy. Accesso ai Contenuti Bloccati: Grazie alla possibilità di simulare una posizione geografica diversa, una VPN ti consente di accedere a contenuti disponibili solo in determinate aree del mondo. Pro delle VPN L'adozione di una VPN offre numerosi vantaggi: Sicurezza Migliorata: I dati crittografati sono molto più difficili da intercettare. Privacy Online: La tua attività online rimane anonima, proteggendo la tua identità. Accesso Globale: Possibilità di aggirare censure o blocchi geografici. Protezione Multi-Dispositivo: Molti provider di VPN offrono supporto per PC, smartphone e tablet. Contro delle VPN Nonostante i numerosi vantaggi, è importante considerare anche i possibili svantaggi: Riduzione della Velocità: La crittografia dei dati e il routing tramite server remoti possono rallentare la connessione. Costo: I servizi VPN affidabili non sono gratuiti e i piani possono variare in base alle funzionalità offerte. Fiducia nel Provider: Usando una VPN, stai affidando i tuoi dati al provider. È cruciale scegliere un servizio con una politica chiara sulla privacy. Compatibilità con i Servizi Online: Alcune piattaforme, come Netflix o Amazon Prime, potrebbero bloccare l'accesso tramite VPN. Rischi di VPN Vulnerabili: Una VPN con vulnerabilità o una configurazione inadeguata può esporre i tuoi dati a gravi rischi, come: Intercettazione dei Dati: Se la crittografia non è adeguata, un hacker potrebbe intercettare le informazioni trasmesse. Accesso Non Autorizzato: Un server VPN non sicuro può essere compromesso, consentendo a malintenzionati di accedere ai dati degli utenti. Falsi Provider: Alcuni servizi VPN poco affidabili potrebbero vendere i tuoi dati a terze parti. Come Scegliere una VPN Per scegliere la VPN più adatta alle tue esigenze, considera i seguenti fattori: Politica sulla Privacy: Assicurati che il provider non conservi log della tua attività. Velocità dei Server: Utile per chi utilizza streaming o giochi online. Numero di Server e Località: Più opzioni geografiche garantiscono maggiore flessibilità. Compatibilità: Verifica che il servizio supporti tutti i dispositivi che usi. Assistenza Clienti: Un buon supporto può fare la differenza in caso di problemi. Conclusioni Le VPN rappresentano uno strumento potente per migliorare la sicurezza e la privacy online. Tuttavia, è essenziale utilizzarle consapevolmente, scegliendo servizi affidabili e comprendendone i limiti. Con l'aumento delle minacce informatiche e della censura digitale, una VPN può essere una valida alleata per proteggere i tuoi dati e la tua libertà in rete.https://saverioriotto.it/blog/360/sicurezza-informatica/vpn-cose-come-funziona-e-perche-usarla-per-la-sicurezza-dei-datihttps://saverioriotto.it/blog/360/sicurezza-informatica/vpn-cose-come-funziona-e-perche-usarla-per-la-sicurezza-dei-datiMon, 13 Jan 2025 00:00:00 +0100VPN: Cos'è, Come Funziona e Perché Usarla per la Sicurezza dei DatiSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaRust offre potenti strumenti per la programmazione concorrente e asincrona. Con un focus sulla sicurezza e sull'assenza di condizioni di gara (race conditions), Rust garantisce un controllo rigoroso sul modo in cui i thread condividono e accedono ai dati. In questo articolo, scoprirai come: Creare e gestire thread. Comunicare tra thread in modo sicuro utilizzando i canali. Introdurre la programmazione asincrona con async/await. Creare e Gestire Thread Rust supporta la creazione di thread con la libreria standard attraverso il modulo std::thread. Ogni thread è una linea di esecuzione separata che può eseguire codice in parallelo. Creazione di un Thread Ecco un esempio base per creare un thread: use std::thread; fn main() { let handle = thread::spawn(|| { for i in 1..5 { println!("Esecuzione del thread: {}", i); } }); for i in 1..5 { println!("Esecuzione del thread principale: {}", i); } handle.join().unwrap(); // Attende che il thread termini } Il metodo thread::spawn avvia un nuovo thread, mentre handle.join() garantisce che il thread principale aspetti il completamento del thread figlio. Passare Dati ai Thread Puoi passare dati ai thread utilizzando move closure, che trasferisce la proprietà dei dati al thread: fn main() { let valori = vec![1, 2, 3]; let handle = thread::spawn(move || { println!("Valori trasferiti: {:?}", valori); }); handle.join().unwrap(); } Il modificatore move è necessario per trasferire la proprietà della variabile valori al thread. Comunicazione Sicura con i Canali Rust offre i canali attraverso il modulo std::sync::mpsc (multiple producer, single consumer) per la comunicazione tra thread. I canali garantiscono una trasmissione sicura dei dati. Esempio Base di Canali use std::sync::mpsc; use std::thread; fn main() { let (tx, rx) = mpsc::channel(); thread::spawn(move || { let messaggio = String::from("Ciao dal thread!"); tx.send(messaggio).unwrap(); }); let ricevuto = rx.recv().unwrap(); println!("Messaggio ricevuto: {}", ricevuto); } tx: trasmettitore. rx: ricevitore. send invia dati al canale, e recv li riceve. Molteplici Produttori Puoi clonare il trasmettitore per consentire a più thread di inviare dati: use std::sync::mpsc; use std::thread; fn main() { let (tx, rx) = mpsc::channel(); let tx_clone = tx.clone(); thread::spawn(move || { tx.send("Messaggio dal primo thread").unwrap(); }); thread::spawn(move || { tx_clone.send("Messaggio dal secondo thread").unwrap(); }); for messaggio in rx { println!("Ricevuto: {}", messaggio); } } Introduzione ad Async/Await Rust supporta la programmazione asincrona attraverso il modello async/await, che consente di scrivere codice non bloccante in modo semplice ed espressivo. Questa funzionalità è abilitata dal modulo async-std o tokio. Scrivere una Funzione Asincrona Una funzione dichiarata con async restituisce un future, che rappresenta un valore calcolato in futuro. async fn saluto() { println!("Ciao, mondo asincrono!"); } Eseguire Funzioni Asincrone Per eseguire funzioni asincrone, utilizzi un runtime come tokio. #[tokio::main] async fn main() { saluto().await; } Esempio di Download Asincrono Con reqwest, puoi eseguire operazioni di rete asincrone: use reqwest; #[tokio::main] async fn main() { let url = "https://jsonplaceholder.typicode.com/posts/1"; let risposta = reqwest::get(url).await.unwrap(); let contenuto = risposta.text().await.unwrap(); println!("Risposta: {}", contenuto); } Esercizi Pratici Thread e SommaScrivi un programma che utilizzi più thread per calcolare la somma di una serie di numeri. Soluzione: use std::thread; fn main() { let numeri = vec![1, 2, 3, 4, 5]; let handle = thread::spawn(move || { numeri.iter().sum::() }); let somma = handle.join().unwrap(); println!("Somma: {}", somma); } Canali e FiltroImplementa un programma in cui un thread invia numeri e un altro li filtra, inviando solo i pari. Soluzione: use std::sync::mpsc; use std::thread; fn main() { let (tx, rx) = mpsc::channel(); thread::spawn(move || { for i in 1..10 { tx.send(i).unwrap(); } }); for valore in rx { if valore % 2 == 0 { println!("Pari: {}", valore); } } } Download Multiplo AsincronoUtilizza async/await per scaricare più URL contemporaneamente. Soluzione: use reqwest; #[tokio::main] async fn main() { let urls = vec![ "https://jsonplaceholder.typicode.com/posts/1", "https://jsonplaceholder.typicode.com/posts/2", ]; let futures = urls.iter().map(|&url| reqwest::get(url)); let risposte = futures::future::join_all(futures).await; for risposta in risposte { println!("Risposta: {}", risposta.unwrap().text().await.unwrap()); } } Conclusione La concurrency in Rust è sicura e potente grazie al controllo rigoroso sulla memoria e al supporto nativo per i thread e la programmazione asincrona. Nel prossimo articolo esploreremo la gestione degli arrori con funzioni come Panics, Option e Result. Prova gli esercizi proposti per approfondire i concetti e padroneggiare gli strumenti che Rust offre per la programmazione concorrente!https://saverioriotto.it/blog/357/programmazione/concurrency-in-rust-thread-canali-e-programmazione-asincronahttps://saverioriotto.it/blog/357/programmazione/concurrency-in-rust-thread-canali-e-programmazione-asincronaFri, 10 Jan 2025 00:00:00 +0100Concurrency in Rust: Thread, Canali e Programmazione AsincronaSaverio Riottono-reply@saverioriotto.itProgrammazioneRust è noto per il suo approccio alla programmazione sicura e ad alte prestazioni, ma supporta anche molti principi della programmazione funzionale. Le closure consentono di creare funzioni anonime flessibili, mentre metodi come map, filter e fold permettono di trasformare dati in modo dichiarativo. Questo articolo esplora come utilizzare queste funzionalità in Rust per scrivere codice conciso ed espressivo. Closure: Definizione e Usi Le closure sono funzioni anonime che possono catturare variabili dall'ambiente circostante. In Rust, sono definite con il simbolo | e possono essere assegnate a variabili, passate come argomenti o utilizzate inline. Esempio Base di Closure fn main() { let quadrato = |x: i32| x * x; println!("Il quadrato di 4 è {}", quadrato(4)); } Qui, quadrato è una closure che accetta un numero intero e restituisce il suo quadrato. Closure con Cattura dell’Ambiente Le closure possono catturare variabili dal loro contesto. fn main() { let moltiplicatore = 2; let moltiplica = |x: i32| x * moltiplicatore; println!("2 x 5 = {}", moltiplica(5)); } In questo esempio, la closure moltiplica cattura il valore di moltiplicatore dall'ambiente. Tipizzazione Inferenziale Rust può dedurre i tipi delle closure, ma puoi anche specificarli manualmente. let add = |x: i32, y: i32| -> i32 { x + y }; Funzioni di Ordine Superiore Le funzioni di ordine superiore sono funzioni che accettano altre funzioni come argomenti o restituiscono funzioni. Rust supporta questo paradigma in modo naturale. Esempio: Passare una Closure a una Funzione fn applica_funzione(f: F, x: i32) -> i32 where F: Fn(i32) -> i32, { f(x) } fn main() { let quadrato = |x: i32| x * x; println!("Risultato: {}", applica_funzione(quadrato, 3)); } La funzione applica_funzione accetta una closure f e un numero x, applicando la closure al numero. Trasformare Dati con map, filter e fold Rust fornisce metodi funzionali per iterare e trasformare collezioni in modo dichiarativo. map: Trasformare Elementi Il metodo map applica una funzione a ogni elemento di una collezione, restituendo una nuova collezione con i risultati. fn main() { let numeri = vec![1, 2, 3, 4, 5]; let doppi = numeri.iter().map(|x| x * 2).collect::>(); println!("Numeri doppi: {:?}", doppi); } filter: Filtrare Elementi filter seleziona solo gli elementi che soddisfano una determinata condizione. fn main() { let numeri = vec![1, 2, 3, 4, 5]; let pari = numeri.iter().filter(|&&x| x % 2 == 0).collect::>(); println!("Numeri pari: {:?}", pari); } fold: Ridurre una Collezione fold riduce una collezione a un unico valore, combinando gli elementi secondo una funzione. fn main() { let numeri = vec![1, 2, 3, 4, 5]; let somma = numeri.iter().fold(0, |acc, x| acc + x); println!("Somma: {}", somma); } Esercizi Pratici Moltiplicare Valori di un VettoreScrivi una funzione che accetta un vettore di numeri e restituisce un nuovo vettore con i valori moltiplicati per 3 utilizzando map. Soluzione: fn moltiplica(vettore: Vec) -> Vec { vettore.into_iter().map(|x| x * 3).collect() } fn main() { let numeri = vec![1, 2, 3]; println!("{:?}", moltiplica(numeri)); } Filtrare Numeri NegativiScrivi una funzione che rimuove i numeri negativi da un vettore utilizzando filter. Soluzione: fn filtra_positivi(vettore: Vec) -> Vec { vettore.into_iter().filter(|&x| x >= 0).collect() } fn main() { let numeri = vec![-1, 0, 1, 2, -3]; println!("{:?}", filtra_positivi(numeri)); } Prodotto di Tutti i NumeriUtilizza fold per calcolare il prodotto di tutti i numeri in un vettore. Soluzione: fn prodotto(vettore: Vec) -> i32 { vettore.into_iter().fold(1, |acc, x| acc * x) } fn main() { let numeri = vec![1, 2, 3, 4]; println!("Prodotto: {}", prodotto(numeri)); } Conclusione Rust combina sicurezza e performance con caratteristiche della programmazione funzionale, permettendo di scrivere codice conciso e leggibile. Le closure, le funzioni di ordine superiore e metodi funzionali come map, filter e fold ti offrono strumenti potenti per manipolare i dati. Nel prossimo articolo vedremo le Concurrency in Rust, quindi come creare e gestire thread, comunicare in sicurezza con i canali e utilizzare async/await per la programmazione asincrona.https://saverioriotto.it/blog/355/programmazione/rust-e-programmazione-funzionale-closure-map-e-filterhttps://saverioriotto.it/blog/355/programmazione/rust-e-programmazione-funzionale-closure-map-e-filterWed, 08 Jan 2025 15:19:24 +0100Rust e Programmazione Funzionale: Closure, Map e FilterSaverio Riottono-reply@saverioriotto.itProgrammazioneNel 2025, l'intelligenza artificiale (IA) sta trasformando profondamente il panorama della sicurezza informatica. Da un lato, offre strumenti potenti per prevenire e mitigare gli attacchi; dall'altro, introduce nuove vulnerabilità che i cybercriminali sono pronti a sfruttare. Questo articolo esplora come l'IA stia cambiando il mondo della cybersecurity, analizzando le opportunità e i rischi che porta con sé. Opportunità: Come l'IA sta migliorando la cybersecurity L'intelligenza artificiale rappresenta una risorsa cruciale per le aziende che vogliono proteggere i propri sistemi da minacce sempre più complesse. Uno degli utilizzi principali dell’IA è il rilevamento avanzato delle minacce. Grazie al machine learning, l’IA è in grado di analizzare enormi quantità di dati in tempo reale, individuando comportamenti anomali che potrebbero indicare un attacco in corso. Per esempio, strumenti come Darktrace monitorano continuamente i sistemi aziendali per rilevare intrusioni che sfuggono ai metodi tradizionali. Un altro beneficio significativo è l’automazione delle risposte agli incidenti. Quando viene rilevata una minaccia, l'IA può intervenire immediatamente per limitare i danni, bloccando l’attacco senza necessità di intervento umano. Questo approccio non solo riduce i tempi di reazione, ma consente anche alle aziende di risparmiare risorse preziose. L’IA è utile anche nell’analisi predittiva. Studiando pattern di attacchi passati, i sistemi basati sull’IA possono anticipare potenziali minacce future, consentendo alle organizzazioni di rafforzare le proprie difese in modo proattivo. Rischi: Come l’IA può essere sfruttata dai cybercriminali Se da un lato l’intelligenza artificiale rappresenta una difesa, dall’altro è diventata anche un’arma potente nelle mani dei cybercriminali. Uno degli esempi più inquietanti è il phishing avanzato. Grazie a modelli di intelligenza artificiale come ChatGPT, i malintenzionati possono generare email estremamente realistiche e personalizzate, aumentando le probabilità che le vittime cadano nel tranello. Un’altra minaccia crescente è rappresentata dai deepfake, video o audio falsificati con l’IA, difficili da distinguere dagli originali. Questi strumenti possono essere utilizzati per ingannare individui o aziende, con conseguenze devastanti. Infine, i malware stanno diventando sempre più intelligenti. Utilizzando l’IA, i cybercriminali possono creare virus che si adattano dinamicamente alle difese del sistema attaccato, rendendo le tradizionali misure di sicurezza obsolete. Come bilanciare opportunità e rischi Per sfruttare al meglio le opportunità offerte dall’IA e limitare i rischi, è essenziale che le aziende adottino un approccio proattivo. La formazione continua dei dipendenti è fondamentale per aiutarli a riconoscere minacce sofisticate come phishing e deepfake. Inoltre, è importante scegliere soluzioni di sicurezza basate su IA che siano trasparenti ed etiche, evitando modelli che possano introdurre bias o compromettere la privacy. Una collaborazione internazionale è necessaria per sviluppare regolamentazioni e standard condivisi, garantendo che l’IA venga utilizzata in modo responsabile. Conclusione L’intelligenza artificiale è una lama a doppio taglio per la cybersecurity. Da un lato, offre strumenti rivoluzionari per proteggere i dati e i sistemi; dall’altro, introduce minacce che richiedono un approccio di sicurezza sempre più avanzato. Per aziende e individui, abbracciare l’IA con consapevolezza è la chiave per affrontare le sfide del futuro digitale.https://saverioriotto.it/blog/356/sicurezza-informatica/lintelligenza-artificiale-nella-cybersecurity-opportunita-e-rischi-del-2025https://saverioriotto.it/blog/356/sicurezza-informatica/lintelligenza-artificiale-nella-cybersecurity-opportunita-e-rischi-del-2025Wed, 08 Jan 2025 00:00:00 +0100L'Intelligenza Artificiale nella Cybersecurity: Opportunità e Rischi del 2025Saverio Riottono-reply@saverioriotto.itSicurezza InformaticaRust offre un insieme ricco e versatile di collezioni per gestire e manipolare dati in modo sicuro ed efficiente. In questa lezione, esploreremo le collezioni più comuni, come array, slice, vettori, HashMap e BTreeMap. Inoltre, imparerai a lavorare con gli iteratori e metodi funzionali per elaborare dati in modo dichiarativo. Array, Slice e Vettori (Vec) Array Un array in Rust è una collezione di elementi con dimensione fissa. Ogni elemento deve avere lo stesso tipo. fn main() { let numeri = [1, 2, 3, 4, 5]; // Array di 5 elementi println!("Primo elemento: {}", numeri[0]); println!("Lunghezza: {}", numeri.len()); } Gli array sono ideali per dati con dimensioni conosciute a tempo di compilazione. Slice Una slice è una vista su una porzione di un array o un vettore. Ti consente di lavorare su una parte dei dati senza copiarli. fn main() { let numeri = [1, 2, 3, 4, 5]; let slice = &numeri[1..4]; // Slice degli elementi da indice 1 a 3 println!("{:?}", slice); } Vettori (Vec) I vettori sono una collezione dinamica che può crescere o ridursi a runtime. Sono molto comuni in Rust. fn main() { let mut numeri = vec![1, 2, 3]; numeri.push(4); // Aggiungi un elemento println!("{:?}", numeri); numeri.pop(); // Rimuovi l'ultimo elemento println!("{:?}", numeri); } I vettori offrono metodi utili come push, pop, e len per manipolare i dati. HashMap e BTreeMap HashMap Un HashMap è una collezione chiave-valore non ordinata. È utile per cercare dati in modo rapido. use std::collections::HashMap; fn main() { let mut studenti = HashMap::new(); studenti.insert("Alice", 85); studenti.insert("Bob", 92); if let Some(&punteggio) = studenti.get("Alice") { println!("Punteggio di Alice: {}", punteggio); } for (nome, punteggio) in &studenti { println!("{}: {}", nome, punteggio); } } BTreeMap Un BTreeMap è simile a HashMap, ma mantiene le chiavi ordinate. use std::collections::BTreeMap; fn main() { let mut numeri = BTreeMap::new(); numeri.insert(3, "Tre"); numeri.insert(1, "Uno"); numeri.insert(2, "Due"); for (chiave, valore) in &numeri { println!("{}: {}", chiave, valore); } } Iteratori e Metodi Funzionali Gli iteratori permettono di scorrere e trasformare i dati in modo dichiarativo. Puoi creare un iteratore da collezioni come vettori, array o slice. Iterazione con for fn main() { let numeri = vec![1, 2, 3, 4, 5]; for n in &numeri { println!("{}", n); } } Metodi Funzionali: map e filter map: Trasforma ogni elemento. filter: Seleziona elementi che soddisfano una condizione. fn main() { let numeri = vec![1, 2, 3, 4, 5]; // Moltiplica ogni elemento per 2 let doppi = numeri.iter().map(|x| x * 2).collect::>(); println!("{:?}", doppi); // Filtra numeri pari let pari = numeri.iter().filter(|&&x| x % 2 == 0).collect::>(); println!("{:?}", pari); } Esercizi Pratici Elaborare Dati da un ArrayScrivi una funzione che accetta un array di numeri interi e restituisce un vettore con i numeri moltiplicati per 3. Soluzione: fn moltiplica(array: &[i32]) -> Vec { array.iter().map(|x| x * 3).collect() } fn main() { let numeri = [1, 2, 3, 4, 5]; let risultato = moltiplica(&numeri); println!("{:?}", risultato); } Trovare Valori DuplicatiScrivi una funzione che trova e restituisce i numeri duplicati in un vettore. Soluzione: use std::collections::HashSet; fn trova_duplicati(vettore: &[i32]) -> Vec { let mut visti = HashSet::new(); let mut duplicati = Vec::new(); for &numero in vettore { if !visti.insert(numero) { duplicati.push(numero); } } duplicati } fn main() { let numeri = vec![1, 2, 3, 4, 1, 2, 5]; let duplicati = trova_duplicati(&numeri); println!("Duplicati: {:?}", duplicati); } Conclusione Le collezioni e gli iteratori in Rust ti forniscono strumenti potenti per gestire e manipolare dati in modo flessibile ed efficiente. Comprendere il funzionamento di array, slice, vettori, HashMap, BTreeMap ti permetterà di scrivere codice più chiaro e conciso. Nel prossimo articolo esploreremo metodi funzionali come Closure, Map e Filter. Prova gli esercizi proposti per consolidare i concetti e padroneggiare l'uso di collezioni e iteratori in Rust! https://saverioriotto.it/blog/354/programmazione/lavorare-con-collezioni-in-rust-vettori-array-e-iteratorihttps://saverioriotto.it/blog/354/programmazione/lavorare-con-collezioni-in-rust-vettori-array-e-iteratoriMon, 23 Dec 2024 00:00:00 +0100Lavorare con Collezioni in Rust: Vettori, Array e IteratoriSaverio Riottono-reply@saverioriotto.itProgrammazioneRust offre tipi avanzati che permettono di modellare dati complessi in modo elegante e sicuro. Le struct sono perfette per raggruppare dati correlati, mentre gli enum consentono di rappresentare varianti e stati. Con pattern matching, Rust fornisce un potente strumento per gestire questi tipi in modo chiaro ed espressivo. Infine, tipi speciali come Option e Result aiutano a gestire casi di valore mancante ed errori in modo sicuro. In questa lezione, esploreremo questi concetti con esempi pratici. Strutture (Struct) e Utilizzo Le struct permettono di raggruppare più valori sotto un unico tipo. Ci sono tre tipi principali di struct in Rust: Struct Classica Struct a Tuple Struct Unitaria Esempio: Struct Classica Una struct classica ha campi nominati: struct Persona { nome: String, eta: u32, } fn main() { let persona = Persona { nome: String::from("Alice"), eta: 30, }; println!("Nome: {}, Età: {}", persona.nome, persona.eta); } Esempio: Struct a Tuple Le struct a tuple non hanno nomi di campo, ma utilizzano posizioni: struct Punto(i32, i32); fn main() { let p = Punto(10, 20); println!("Punto: ({}, {})", p.0, p.1); } Struct Unitaria Le struct unitarie non hanno campi. Vengono spesso utilizzate per implementare trait. struct Unitaria; fn main() { let _u = Unitaria; } Enum per Rappresentare Stati e Varianti Gli enum in Rust sono ideali per rappresentare un insieme di varianti. Ogni variante può contenere dati aggiuntivi. Esempio: Enum di Base enum Stagione { Primavera, Estate, Autunno, Inverno, } fn main() { let stagione_corrente = Stagione::Estate; match stagione_corrente { Stagione::Primavera => println!("È primavera!"), Stagione::Estate => println!("È estate!"), Stagione::Autunno => println!("È autunno!"), Stagione::Inverno => println!("È inverno!"), } } Enum con Dati Aggiuntivi Ogni variante può contenere dati: enum Messaggio { Testo(String), Coordinata { x: i32, y: i32 }, Numero(i32), } fn main() { let messaggio = Messaggio::Coordinata { x: 10, y: 20 }; match messaggio { Messaggio::Testo(testo) => println!("Messaggio: {}", testo), Messaggio::Coordinata { x, y } => println!("Coordinate: ({}, {})", x, y), Messaggio::Numero(num) => println!("Numero: {}", num), } } Pattern Matching con match Il pattern matching in Rust consente di verificare e destrutturare valori complessi in modo conciso e leggibile. Esempio: Pattern Matching con Enum enum Stato { Online, Offline, InRiparazione, } fn stato_dispositivo(stato: Stato) { match stato { Stato::Online => println!("Il dispositivo è online."), Stato::Offline => println!("Il dispositivo è offline."), Stato::InRiparazione => println!("Il dispositivo è in riparazione."), } } fn main() { let stato = Stato::Online; stato_dispositivo(stato); } Uso di _ per Gestire Casi Non Specificati fn valuta(numero: i32) { match numero { 1 => println!("Uno"), 2 => println!("Due"), _ => println!("Altro numero"), } } fn main() { valuta(5); } Uso di Option e Result Rust non utilizza null, ma fornisce i tipi Option e Result per rappresentare casi di valore mancante ed errori. Option per Valori Mancanti Il tipo Option può essere Some(T) per un valore presente o None per un valore mancante. fn trova_valore(numero: i32) -> Option { if numero > 0 { Some(numero * 2) } else { None } } fn main() { match trova_valore(5) { Some(valore) => println!("Valore trovato: {}", valore), None => println!("Nessun valore trovato."), } } Result per Gestire Errori Result è utilizzato per operazioni che possono fallire. Può essere Ok(T) per un risultato valido o Err(E) per un errore. fn dividi(a: i32, b: i32) -> Result { if b == 0 { Err(String::from("Errore: divisione per zero")) } else { Ok(a / b) } } fn main() { match dividi(10, 0) { Ok(risultato) => println!("Risultato: {}", risultato), Err(errore) => println!("{}", errore), } } Esercizi Pratici Esercizio 1: Crea una struct Rettangolo con campi altezza e larghezza, e implementa una funzione per calcolare l’area. Esercizio 2: Definisci un enum Operazione con varianti per addizione, sottrazione e moltiplicazione, e utilizza match per eseguire l'operazione corrispondente. Esercizio 3: Usa Option per scrivere una funzione che restituisce il quadrato di un numero positivo o None se il numero è negativo. Esercizio 4: Scrivi una funzione che utilizza Result per leggere un file e gestire possibili errori. Conclusione Le struct e gli enum in Rust ti permettono di modellare i dati in modo preciso ed espressivo, mentre pattern matching e tipi come Option e Result garantiscono un controllo efficace sui flussi di dati e sugli errori. Questi strumenti, insieme, ti aiuteranno a scrivere codice robusto, sicuro e facilmente manutenibile. Nel prossimo articolo esploreremo argomenti come Vettori, Array e Iteratori. Continua a esercitarti con gli esempi forniti e padroneggia questi concetti avanzati di Rust!https://saverioriotto.it/blog/353/programmazione/tipi-avanzati-in-rust-strutture-enum-e-pattern-matchinghttps://saverioriotto.it/blog/353/programmazione/tipi-avanzati-in-rust-strutture-enum-e-pattern-matchingFri, 20 Dec 2024 00:00:00 +0100Tipi Avanzati in Rust: Strutture, Enum e Pattern MatchingSaverio Riottono-reply@saverioriotto.itProgrammazioneRust è famoso per il suo sistema di gestione della memoria basato su concetti come ownership, borrowing e lifetimes, che consentono di scrivere codice sicuro senza garbage collector. Questi concetti possono sembrare complessi all’inizio, ma sono essenziali per capire come Rust previene errori comuni come use-after-free o data races nei programmi concorrenti. In questa lezione, esploreremo come funzionano ownership, borrowing e lifetimes, con esempi pratici per consolidare la comprensione. Ownership: Il Cuore di Rust In Rust, ogni valore ha un proprietario (owner), e ci sono regole precise che determinano come avviene il trasferimento di ownership: Ogni valore ha un solo proprietario alla volta. Quando il proprietario esce dallo scope, il valore viene automaticamente liberato. Esempio: Ownership di Base fn main() { let s1 = String::from("Ciao"); let s2 = s1; // Ownership trasferita a s2 // println!("{}", s1); // Errore: s1 non è più valido println!("{}", s2); } In questo caso, quando assegniamo s1 a s2, l’ownership di s1 viene trasferita a s2. Pertanto, s1 non è più valido. Movimento dei Dati Il movimento dell’ownership evita duplicati non sicuri di dati. Tuttavia, se vuoi duplicare un valore, puoi usare il metodo clone: fn main() { let s1 = String::from("Ciao"); let s2 = s1.clone(); // Clonazione esplicita println!("{}", s1); // Ora s1 è ancora valido println!("{}", s2); } Borrowing: Prendere in Prestito senza Perdere l'Ownership Per evitare di trasferire l’ownership, Rust permette di prendere in prestito un valore, sia in modo immutabile che mutabile. Borrowing Immutabile Un riferimento immutabile (&T) consente di leggere i dati senza modificarli. fn stampa(s: &String) { println!("{}", s); } fn main() { let s1 = String::from("Ciao"); stampa(&s1); // Prende in prestito s1 println!("{}", s1); // s1 è ancora valido } Puoi avere più riferimenti immutabili contemporaneamente: fn main() { let s = String::from("Ciao"); let r1 = &s; let r2 = &s; println!("{} e {}", r1, r2); } Borrowing Mutabile Un riferimento mutabile (&mut T) permette di modificare i dati, ma ci sono restrizioni: Può esistere un solo riferimento mutabile alla volta. Non puoi avere contemporaneamente riferimenti immutabili e mutabili allo stesso valore. fn aggiungi(s: &mut String) { s.push_str(", mondo!"); } fn main() { let mut s1 = String::from("Ciao"); aggiungi(&mut s1); // Prende in prestito in modo mutabile println!("{}", s1); } Lifetimes: Durata dei Riferimenti I lifetimes sono un meccanismo che assicura che i riferimenti siano sempre validi. Rust utilizza le lifetimes per evitare errori di memoria come i riferimenti pendenti (dangling references). Esempio di Riferimento Non Valido fn crea_stringa() -> &String { let s = String::from("Ciao"); &s // Errore: s esce dallo scope } In questo esempio, la stringa s viene creata all’interno della funzione e viene liberata appena la funzione termina, lasciando un riferimento non valido. Annotazioni di Lifetime Puoi utilizzare annotazioni di lifetime per specificare quanto a lungo un riferimento è valido. Un esempio comune è con i parametri di una funzione: fn maggiore<'a>(x: &'a str, y: &'a str) -> &'a str { if x.len() > y.len() { x } else { y } } fn main() { let str1 = String::from("Ciao"); let str2 = String::from("Rust"); let risultato = maggiore(&str1, &str2); println!("La stringa più lunga è: {}", risultato); } Qui, l’annotazione 'a indica che il riferimento restituito ha la stessa durata dei parametri. Esercizi Pratici Esercizio 1: Scrivi una funzione che accetta un riferimento immutabile a un vettore di numeri interi e restituisce il valore massimo. Esercizio 2: Implementa una funzione che modifica una stringa passata tramite un riferimento mutabile. Esercizio 3: Usa i lifetimes per confrontare due stringhe e restituire quella con il numero maggiore di caratteri. Esercizio 4: Prova a creare un riferimento non valido e osserva come il compilatore di Rust previene l’errore. Conclusione I concetti di ownership, borrowing e lifetimes sono il fondamento della gestione sicura della memoria in Rust. Anche se inizialmente possono sembrare complessi, padroneggiarli ti aiuterà a scrivere codice robusto e privo di errori legati alla memoria. Nel prossimo articolo esporeremo concetti come Strutture, Enum e Pattern Matching. Continua a esercitarti con gli esempi forniti e vedrai che questi concetti diventeranno naturali nel tuo sviluppo con Rust!https://saverioriotto.it/blog/352/programmazione/ownership-borrowing-e-lifetimes-come-rust-gestisce-la-memoriahttps://saverioriotto.it/blog/352/programmazione/ownership-borrowing-e-lifetimes-come-rust-gestisce-la-memoriaWed, 18 Dec 2024 00:00:00 +0100Ownership, Borrowing e Lifetimes: Come Rust Gestisce la MemoriaSaverio Riottono-reply@saverioriotto.itProgrammazioneLe funzioni sono una parte essenziale di qualsiasi linguaggio di programmazione, e Rust non fa eccezione. Permettono di suddividere il codice in unità logiche, migliorandone la leggibilità e la riusabilità. Inoltre, Rust offre strumenti avanzati come i moduli per organizzare grandi progetti e una gestione chiara dello scope per controllare la visibilità delle variabili e delle funzioni. In questo articolo, esploreremo come definire e usare funzioni, gestire parametri e valori di ritorno, comprendere lo scope e strutturare il codice con i moduli. Definizione e Uso delle Funzioni In Rust, le funzioni si definiscono usando la parola chiave fn, seguita dal nome della funzione, una lista di parametri opzionali racchiusi tra parentesi tonde, e un corpo racchiuso tra parentesi graffe. Esempio: Funzione Base fn saluta() { println!("Ciao, benvenuto in Rust!"); } fn main() { saluta(); // Chiamata della funzione } In questo esempio, abbiamo definito una funzione semplice chiamata saluta e l’abbiamo richiamata all’interno della funzione principale main. Parametri e Valori di Ritorno Parametri Le funzioni possono accettare parametri per rendere il loro comportamento più flessibile. Ogni parametro deve essere accompagnato dal tipo. fn saluta_persona(nome: &str) { println!("Ciao, {}!", nome); } fn main() { saluta_persona("Alice"); } Valori di Ritorno Le funzioni possono restituire valori utilizzando il tipo di ritorno, specificato dopo una freccia ->. fn somma(a: i32, b: i32) -> i32 { a + b // L'ultima espressione è il valore restituito } fn main() { let risultato = somma(4, 6); println!("La somma è: {}", risultato); } Se non ci sono valori da restituire, il tipo di ritorno è () (unit), che può essere omesso. Esempio Completo Ecco una funzione con parametri e un valore di ritorno, utilizzata per calcolare l’area di un rettangolo: fn calcola_area(lunghezza: f32, larghezza: f32) -> f32 { lunghezza * larghezza } fn main() { let area = calcola_area(5.0, 3.0); println!("L'area del rettangolo è: {}", area); } Scope in Rust In Rust, lo scope (ambito) di una variabile o funzione definisce dove può essere usata nel codice. Comprendere come funziona lo scope è essenziale per scrivere codice sicuro e ben organizzato. Scope delle Variabili Le variabili in Rust sono visibili solo all’interno del blocco in cui vengono dichiarate. Ad esempio: fn main() { let x = 10; { let y = 5; // y è visibile solo all'interno di questo blocco println!("x: {}, y: {}", x, y); } // println!("y: {}", y); // Errore: y non è visibile qui } Quando una variabile esce dallo scope, la sua memoria viene liberata automaticamente grazie al sistema di ownership di Rust. Scope e Funzioni Le funzioni possono accedere solo alle variabili che vengono passate come argomenti o dichiarate all’interno dello scope della funzione stessa. fn stampa_valore(valore: i32) { println!("Il valore è: {}", valore); } fn main() { let numero = 42; stampa_valore(numero); } Creare Moduli per Organizzare il Codice Man mano che il tuo progetto cresce, avrai bisogno di organizzare il codice. I moduli in Rust ti aiutano a strutturare le tue funzioni e altre definizioni in unità logiche. Definizione di un Modulo Un modulo è una raccolta di funzioni e altri oggetti correlati. mod calcoli { pub fn somma(a: i32, b: i32) -> i32 { a + b } } fn main() { let risultato = calcoli::somma(10, 20); println!("La somma è: {}", risultato); } La parola chiave pub rende la funzione accessibile dall’esterno del modulo. Le funzioni senza pub sono private al modulo. Moduli in File Separati Per progetti più grandi, puoi separare i moduli in file diversi: File main.rs: mod calcoli; fn main() { let risultato = calcoli::somma(10, 5); println!("Risultato: {}", risultato); } File calcoli.rs: pub fn somma(a: i32, b: i32) -> i32 { a + b } Esercizi Pratici Esercizio 1: Crea una funzione chiamata moltiplica che accetta due numeri e restituisce il prodotto. Esercizio 2: Organizza due funzioni (somma, sottrai) in un modulo chiamato operazioni. Esercizio 3: Scrivi un programma che utilizza una funzione in un modulo separato per calcolare l’area di un cerchio. Esercizio 4: Prova a creare una variabile all’interno di un blocco e vedere come cambia la visibilità usando lo scope. Conclusione Le funzioni e i moduli in Rust sono strumenti potenti per creare codice leggibile, riutilizzabile e ben strutturato. Apprendere i concetti di scope e modularità ti permette di scrivere programmi ben organizzati e facilmente scalabili. Nella prossima lezione, esploreremo concetti  come Ownership, Borrowing e Lifetimes, che aggiungono ancora più flessibilità al tuo codice.https://saverioriotto.it/blog/351/programmazione/funzioni-in-rust-scrivi-codice-ordinato-e-riutilizzabilehttps://saverioriotto.it/blog/351/programmazione/funzioni-in-rust-scrivi-codice-ordinato-e-riutilizzabileMon, 16 Dec 2024 00:00:00 +0100Funzioni in Rust: Scrivi Codice Ordinato e RiutilizzabileSaverio Riottono-reply@saverioriotto.itProgrammazioneDopo aver esplorato variabili, tipi di dati e operazioni di base, è arrivato il momento di gestire il flusso del programma in Rust. I costrutti come condizioni e cicli ti permettono di creare logica più complessa, mentre il potente match consente di implementare pattern matching in modo elegante. Vediamo insieme come utilizzarli! Condizioni in Rust: if, else if, else Le condizioni in Rust sono molto simili a quelle di altri linguaggi, ma con alcune caratteristiche uniche. La sintassi è semplice e diretta: Esempio: Uso Base di if fn main() { let numero = 10; if numero > 5 { println!("Il numero è maggiore di 5!"); } else { println!("Il numero è minore o uguale a 5."); } } Esempio: Catene di Condizioni con else if fn main() { let numero = 7; if numero % 2 == 0 { println!("Il numero è pari."); } else if numero % 3 == 0 { println!("Il numero è divisibile per 3."); } else { println!("Il numero non è divisibile né per 2 né per 3."); } } Rust e l’Espressività delle Condizioni In Rust, puoi usare if anche come espressione per assegnare valori: fn main() { let condizione = true; let numero = if condizione { 42 } else { 0 }; println!("Il numero è: {}", numero); } Cicli in Rust: for, while, loop Rust offre tre tipi principali di cicli per soddisfare ogni esigenza: for, while e loop. Ciclo for Il ciclo for è il più comune e iterativo. Funziona perfettamente con intervalli (ranges). fn main() { for i in 1..5 { println!("Valore di i: {}", i); } } L'intervallo 1..5 genera i numeri da 1 a 4, escludendo il 5. Per includere il limite superiore, usa 1..=5. Ciclo while Il ciclo while continua finché la condizione è vera. fn main() { let mut numero = 0; while numero < 5 { println!("Numero: {}", numero); numero += 1; } } Ciclo loop Il ciclo loop è infinito per definizione e deve essere interrotto manualmente con la parola chiave break. fn main() { let mut contatore = 0; loop { println!("Contatore: {}", contatore); contatore += 1; if contatore == 5 { break; } } } Uso Avanzato di match per Pattern Matching Rust offre un costrutto potente chiamato match per effettuare controlli più complessi basati su pattern. Esempio: Uso Base di match fn main() { let numero = 3; match numero { 1 => println!("Uno"), 2 => println!("Due"), 3 => println!("Tre"), _ => println!("Altro numero"), } } Il carattere _ è un wildcard che cattura tutti i casi non specificati. Esempio: match con Ranges Puoi usare intervalli per gestire casi specifici: fn main() { let voto = 85; match voto { 90..=100 => println!("Eccellente"), 75..=89 => println!("Buono"), 60..=74 => println!("Sufficiente"), _ => println!("Insufficiente"), } } Esempio: match con Enums match è particolarmente utile con gli enums: enum Colore { Rosso, Verde, Blu, } fn main() { let colore = Colore::Verde; match colore { Colore::Rosso => println!("Il colore è Rosso"), Colore::Verde => println!("Il colore è Verde"), Colore::Blu => println!("Il colore è Blu"), } } Esercizi Pratici Esercizio 1: Scrivi un programma che verifica se un numero è positivo, negativo o zero usando if-else. Esercizio 2: Usa un ciclo for per calcolare la somma dei numeri da 1 a 10. Esercizio 3: Crea un programma che usa match per tradurre numeri (da 1 a 5) in parole (es. 1 → Uno). Conclusione Le strutture di controllo sono essenziali per ogni linguaggio di programmazione, e Rust le rende potenti e sicure. La combinazione di condizioni, cicli e pattern matching con match ti consente di costruire logica complessa in modo semplice e leggibile. Preparati per la prossima lezione, dove approfondiremo funzioni, scope e modularità per creare programmi ancora più organizzati e scalabili. https://saverioriotto.it/blog/350/programmazione/condizioni-e-cicli-in-rust-controlla-il-flusso-del-tuo-programmahttps://saverioriotto.it/blog/350/programmazione/condizioni-e-cicli-in-rust-controlla-il-flusso-del-tuo-programmaFri, 13 Dec 2024 00:00:00 +0100Condizioni e Cicli in Rust: Controlla il Flusso del Tuo ProgrammaSaverio Riottono-reply@saverioriotto.itProgrammazioneBenvenuto alla seconda lezione del corso su Rust! Dopo aver configurato l’ambiente e scritto il tuo primo programma, è il momento di approfondire alcuni dei concetti fondamentali: variabili, costanti e tipi di dati primitivi. Questi sono i mattoni su cui costruirai tutto il tuo codice Rust. Pronti? Iniziamo!  Variabili e Costanti in Rust In Rust, le variabili vengono dichiarate con la parola chiave let. Per impostazione predefinita, le variabili in Rust sono immutabili. Questo significa che non possono essere modificate dopo la loro inizializzazione, a meno che non utilizzi la parola chiave mut. Esempio: Variabili Immutabili fn main() { let nome = "Saverio"; // Variabile immutabile println!("Il nome è: {}", nome); // nome = "Mario"; // Questo genera un errore! } Esempio: Variabili Mutabili Se vuoi che una variabile sia modificabile, usa mut: fn main() { let mut contatore = 0; // Variabile mutabile println!("Contatore iniziale: {}", contatore); contatore += 1; println!("Contatore aggiornato: {}", contatore); } Costanti Le costanti in Rust vengono dichiarate con la parola chiave const. A differenza delle variabili, le costanti: Devono avere un tipo esplicito. Sono sempre immutabili. Devono essere definite con valori conosciuti a tempo di compilazione. Esempio: Costanti const PI: f64 = 3.141592653589793; fn main() { println!("Il valore di PI è: {}", PI); } Tipi Primitivi in Rust Rust offre diversi tipi primitivi che possono essere suddivisi in queste categorie: Numeri interi (i8, i16, i32, i64, i128, u8, u16, u32, u64, u128). Numeri a virgola mobile (f32, f64). Booleani (bool). Stringhe (String, &str). Esempi di Tipi Primitivi fn main() { let numero_intero: i32 = 42; let numero_virgola: f64 = 3.14; let valore_logico: bool = true; let saluto: &str = "Ciao, Rust!"; println!("Intero: {}", numero_intero); println!("Float: {}", numero_virgola); println!("Booleano: {}", valore_logico); println!("Stringa: {}", saluto); } Operazioni di Base Rust supporta tutte le operazioni matematiche di base: somma (+), sottrazione (-), moltiplicazione (*), divisione (/), modulo (%). Esempio: Operazioni Matematiche fn main() { let x = 10; let y = 3; println!("Somma: {}", x + y); println!("Sottrazione: {}", x - y); println!("Moltiplicazione: {}", x * y); println!("Divisione: {}", x / y); println!("Modulo: {}", x % y); } Conversioni tra Tipi Rust richiede conversioni esplicite tra tipi, usando metodi come .parse() o .to_string(). Esempio: Da Stringa a Numero fn main() { let numero: i32 = "42".parse().unwrap(); println!("Numero convertito: {}", numero); } Esempio: Da Numero a Stringa fn main() { let numero = 42; let stringa = numero.to_string(); println!("Stringa convertita: {}", stringa); } Esercizi Pratici Esercizio 1: Crea una variabile mutabile che rappresenta il punteggio di un giocatore e aggiorna il valore man mano che il giocatore guadagna punti. Esercizio 2: Dichiara una costante per il valore di gravità (9.81) e stampala sullo schermo. Esercizio 3: Converti una stringa di input in un numero e calcola il doppio di quel valore. Conclusione In questa lezione, hai imparato i concetti fondamentali di variabili, costanti e tipi primitivi in Rust. Questi concetti ti aiuteranno a creare programmi sempre più complessi. Nella prossima lezione, esploreremo come usare le strutture di controllo come if, else, e match per gestire il flusso del tuo programma.https://saverioriotto.it/blog/349/programmazione/rust-per-principianti-tipi-di-dati-variabili-e-mutabilitahttps://saverioriotto.it/blog/349/programmazione/rust-per-principianti-tipi-di-dati-variabili-e-mutabilitaTue, 10 Dec 2024 16:50:16 +0100Rust per Principianti: Tipi di Dati, Variabili e MutabilitàSaverio Riottono-reply@saverioriotto.itProgrammazioneRust è uno dei linguaggi di programmazione più popolari e in crescita, famoso per la sua combinazione unica di prestazioni, sicurezza della memoria e semplicità. Se sei un principiante nel mondo della programmazione o un programmatore esperto curioso di esplorare Rust, sei nel posto giusto. In questa lezione introduttiva, scoprirai cos'è Rust, perché è così apprezzato, e come configurare il tuo ambiente per iniziare a programmare. Cos'è Rust e Perché Impararlo? Rust è un linguaggio di programmazione open-source sviluppato da Mozilla, progettato per creare software sicuro e ad alte prestazioni. Ecco alcune caratteristiche chiave di Rust che lo rendono unico: Sicurezza della Memoria: Grazie al sistema di ownership e al compilatore, Rust previene errori comuni come i puntatori nulli e le condizioni di gara. Prestazioni: Rust offre prestazioni simili a C/C++ senza sacrificare la sicurezza. Community in Crescita: La community Rust è nota per essere accogliente e supportiva, con documentazione eccellente. Versatilità: Rust viene utilizzato in una vasta gamma di applicazioni, tra cui: Sviluppo di sistemi operativi. Applicazioni web. Programmazione embedded. WebAssembly per app nel browser. Rust è il linguaggio perfetto per chi desidera scrivere codice affidabile e scalabile. Installazione di Rust Prima di poter iniziare a programmare, devi configurare l'ambiente di sviluppo. Segui questi semplici passaggi per installare Rust: Passaggio 1: Installare Rust con Rustup Rust utilizza Rustup, un gestore di strumenti, per semplificare l'installazione e l'aggiornamento. Per installarlo: Apri il terminale o il prompt dei comandi. Esegui questo comando: curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh Segui le istruzioni sullo schermo. Nota per utenti Windows: Puoi scaricare l'installer direttamente da rustup.rs. Passaggio 2: Verificare l'Installazione Dopo aver installato Rust, verifica che tutto sia configurato correttamente: rustc --version Dovresti vedere qualcosa come: rustc 1.xx.x (yyyy-mm-dd). Passaggio 3: Configurare l'Ambiente di Sviluppo Editor di Testo Consigliato: Scarica Visual Studio Code (VSCode) e installa l'estensione ufficiale Rust Analyzer per un supporto avanzato. Altri Editor Supportati: IntelliJ IDEA, Neovim, Sublime Text. Struttura di Base di un Progetto Rust Rust utilizza uno strumento chiamato Cargo per gestire i progetti. Cargo ti consente di creare, compilare e gestire le dipendenze dei tuoi programmi in modo semplice. Creare un Nuovo Progetto Esegui il comando seguente per creare un nuovo progetto Rust: cargo new primo-progetto Questo comando creerà una directory con questa struttura: primo-progetto ├── Cargo.toml └── src └── main.rs Naviga nella directory appena creata: cd primo-progetto Compila ed esegui il programma predefinito: cargo run Vedrai il messaggio Hello, world! stampato nel terminale. Cosa Aspettarsi nelle Prossime Lezioni In questa prima lezione, hai configurato l'ambiente di sviluppo e hai eseguito il tuo primo programma in Rust. Nella prossima lezione, esploreremo i concetti fondamentali come variabili, mutabilità e tipi di dati. Questi sono i mattoni su cui costruirai tutte le tue applicazioni Rust. Esercizi Pratici Metti subito in pratica ciò che hai imparato! Prova questi semplici esercizi: Modifica il messaggio di Hello, World! in qualcosa di personale, ad esempio:Ciao, sto imparando Rust! Crea un nuovo progetto chiamato saluto e personalizza il messaggio di benvenuto. Verifica che Rust Analyzer funzioni correttamente nel tuo editor di testo. Conclusione Sei ufficialmente pronto per iniziare il tuo viaggio nella programmazione con Rust! Assicurati di salvare i progressi e sperimentare con il codice. Se hai domande o dubbi, lascia un commento qui sotto: sarò felice di aiutarti.  Non dimenticare di iscriverti alla newsletter per ricevere aggiornamenti e non perdere la prossima lezione: Rust per Principianti: Tipi di Dati, Variabili e Mutabilità.https://saverioriotto.it/blog/348/programmazione/corso-di-programmazione-in-rust-guida-completa-per-principiantihttps://saverioriotto.it/blog/348/programmazione/corso-di-programmazione-in-rust-guida-completa-per-principiantiFri, 06 Dec 2024 11:18:57 +0100Corso di Programmazione in Rust: Guida Completa per PrincipiantiSaverio Riottono-reply@saverioriotto.itProgrammazioneLa sicurezza informatica tradizionale, basata su perimetri statici e confini ben definiti, si è dimostrata sempre meno efficace nell'affrontare le minacce moderne. La Zero Trust Architecture (ZTA) si propone come un approccio rivoluzionario che elimina l’assunto di fiducia implicita all’interno di una rete. In questo articolo, esploreremo come implementare modelli Zero Trust in infrastrutture complesse, analizzando casi d'uso aziendali e le sfide che emergono durante l'integrazione con sistemi legacy e ambienti multi-cloud. Cos’è la Zero Trust Architecture? La Zero Trust Architecture si basa su un principio cardine: "non fidarti mai, verifica sempre". Questo paradigma implica che ogni accesso, indipendentemente dall'origine, debba essere continuamente verificato e autenticato. Le sue caratteristiche fondamentali includono: Controlli di accesso granulari basati su identità e contesto. Microsegmentazione delle risorse per limitare i movimenti laterali degli attaccanti. Monitoraggio continuo delle attività con analisi comportamentale avanzata. Implementare la Zero Trust in Infrastrutture Complesse L’implementazione di una Zero Trust Architecture in infrastrutture complesse richiede una pianificazione dettagliata e un approccio iterativo. Di seguito, presentiamo i passi principali: 1. Mappatura delle risorse critiche Identificare e classificare i dati, le applicazioni e le infrastrutture più sensibili è essenziale per stabilire le priorità. Questo processo consente di applicare i controlli Zero Trust alle risorse più critiche prima di estenderli ad altri elementi. 2. Adozione di un modello basato sull'identità La Zero Trust si fonda sull'identità degli utenti e dei dispositivi: Implementare una Identity and Access Management (IAM) avanzata, integrando sistemi come OAuth, SAML o OpenID Connect. Utilizzare tecniche di autenticazione multi-fattore (MFA) e biometria per rafforzare la sicurezza. 3. Microsegmentazione della rete La suddivisione della rete in segmenti più piccoli isola le risorse critiche, limitando i movimenti laterali degli attaccanti: Utilizzare tecnologie come VLAN, SDN (Software-Defined Networking) o agenti software per la segmentazione dinamica. Configurare politiche di accesso specifiche per ogni segmento utilizzando soluzioni come Cisco ACI o VMware NSX. 4. Monitoraggio e risposta avanzata L'implementazione di una piattaforma SIEM (Security Information and Event Management) o SOAR (Security Orchestration, Automation, and Response) consente di: Correlare i dati degli eventi per rilevare attività sospette. Automatizzare le risposte a potenziali violazioni con playbook predefiniti. 5. Automazione e policy dinamiche Adottare strumenti per la gestione automatica delle policy basate su criteri adattivi, come il comportamento dell’utente o il rischio calcolato in tempo reale. Soluzioni come Palo Alto Prisma Access o Microsoft Azure AD Conditional Access possono essere particolarmente utili. Integrazione con Sistemi Legacy Molte organizzazioni affrontano la sfida di integrare la Zero Trust con sistemi legacy che non supportano nativamente protocolli moderni o API sicure. Le strategie includono: Gateway intermedi: Implementare gateway API o proxy per mediare le richieste tra i sistemi legacy e l'infrastruttura Zero Trust. Wrappatura della sicurezza: Utilizzare strumenti come jump box o session brokers per applicare controlli di accesso avanzati. Migrazione graduale: Pianificare la sostituzione progressiva dei sistemi legacy, mantenendo la compatibilità con le policy Zero Trust. Sfide negli Ambienti Multi-Cloud Con la crescente adozione del cloud, le organizzazioni spesso si trovano a gestire infrastrutture distribuite su più provider (ad esempio AWS, Azure, e Google Cloud). Questo scenario comporta sfide specifiche: 1. Gestione unificata delle identità Gli ambienti multi-cloud richiedono una federazione tra diversi sistemi IAM per garantire una gestione centralizzata delle identità. Soluzioni come Okta Identity Cloud o Azure AD possono fornire integrazioni robuste. 2. Coerenza nelle politiche di sicurezza Ogni provider cloud ha strumenti e configurazioni proprie. Per ottenere coerenza: Utilizzare piattaforme di gestione multi-cloud come HashiCorp Terraform o Red Hat Ansible. Centralizzare la definizione delle policy utilizzando un motore di policy universale, come Open Policy Agent (OPA). 3. Visibilità e controllo centralizzati La mancanza di visibilità tra i cloud può compromettere la sicurezza. Per ovviare a questo problema: Integrare i log dei provider cloud in un unico SIEM. Implementare soluzioni di Cloud Security Posture Management (CSPM) come Palo Alto Prisma Cloud o Check Point CloudGuard. Casi d'Uso Aziendali 1. Settore Finanziario Le banche possono utilizzare la Zero Trust per proteggere i dati sensibili dei clienti attraverso microsegmentazione e autenticazione basata su contesto. Ad esempio, bloccare accessi a database critici da dispositivi non aziendali. 2. Sanità In ambienti sanitari, la Zero Trust aiuta a proteggere cartelle cliniche elettroniche (EMR), garantendo l’accesso solo al personale autorizzato e monitorando le attività per rilevare anomalie. 3. Manifatturiero Le aziende manifatturiere possono applicare la Zero Trust per isolare sistemi OT (Operational Technology) dalla rete IT, proteggendo impianti produttivi da attacchi mirati come quelli ransomware. Conclusioni La Zero Trust Architecture rappresenta una risposta efficace alle minacce avanzate in ambienti IT moderni, ma la sua implementazione in infrastrutture complesse richiede una pianificazione meticolosa, un'adozione graduale e strumenti adeguati. Affrontare le sfide dell’integrazione con sistemi legacy e ambienti multi-cloud è essenziale per il successo di questa trasformazione. L’adozione della Zero Trust non è solo una scelta tecnologica, ma una necessità strategica per proteggere le organizzazioni in un panorama di minacce in continua evoluzione.https://saverioriotto.it/blog/346/sicurezza-informatica/zero-trust-architecture-implementazioni-avanzate-e-sfide-per-infrastrutture-complessehttps://saverioriotto.it/blog/346/sicurezza-informatica/zero-trust-architecture-implementazioni-avanzate-e-sfide-per-infrastrutture-complesseThu, 28 Nov 2024 11:59:00 +0100Zero Trust Architecture: Implementazioni Avanzate e Sfide per Infrastrutture ComplesseSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaLa trasformazione digitale è ormai una priorità per molte aziende, ma affrontare la migrazione e l’ottimizzazione di applicazioni legacy per il cloud rimane una sfida. Le applicazioni monolitiche, spesso sviluppate decenni fa, richiedono tecniche avanzate di modernizzazione per essere portate su architetture cloud-native. In questa guida vedremo le migliori strategie per migrare applicazioni legacy al cloud, concentrandoci su re-factoring, containerizzazione, ottimizzazione delle performance e gestione dei dati legacy. Perché Migrarle al Cloud? Le applicazioni legacy, nate per girare su server fisici on-premise, sono spesso poco flessibili e costose da gestire. La migrazione al cloud permette alle aziende di scalare facilmente, ridurre i costi infrastrutturali e migliorare la disponibilità dei servizi. Tuttavia, trasferire un’applicazione monolitica nel cloud richiede interventi mirati per garantire che possa sfruttare i vantaggi di un’infrastruttura moderna e scalabile. Tecniche di Re-Factoring e Containerizzazione delle Applicazioni Legacy La prima fase della migrazione consiste nell’analizzare l’architettura dell’applicazione per valutare il livello di re-factoring necessario. Alcune applicazioni potrebbero richiedere una completa riscrittura, mentre altre possono essere adeguate con interventi meno invasivi. 1. Approccio al Re-Factoring Il re-factoring è un processo di revisione del codice per renderlo più modulare e scalabile. Per migrare un’applicazione monolitica, spesso si suddivide in microservizi, ognuno con una responsabilità specifica. Questo permette di ottimizzare le risorse e di scalare solo i componenti necessari.  - Separazione delle responsabilità: Identifica le parti dell’applicazione che possono essere isolate come microservizi. - API e interfacce standard: Integra API per migliorare la comunicazione tra i vari servizi. - Riduzione delle dipendenze: Elimina o riduci le dipendenze interne, facilitando la portabilità e la scalabilità dell’applicazione. 2. Containerizzazione Una volta re-fattorizzata l’applicazione, la containerizzazione è il passo successivo per migrare nel cloud. Con i container, è possibile creare ambienti leggeri e isolati che contengono solo le parti necessarie dell’applicazione.  - Docker e Kubernetes: Docker permette di creare container indipendenti, mentre Kubernetes gestisce l’orchestrazione dei container, assicurando scalabilità e alta disponibilità. - Pipeline CI/CD: Integrare Docker nella pipeline di CI/CD permette rilasci più rapidi e aggiornamenti continui. - Sicurezza e monitoraggio dei container: Assicurati che i container siano sicuri e monitorati costantemente per evitare vulnerabilità. Ottimizzazione delle Prestazioni in Ambienti Containerizzati e Serverless Una volta containerizzata, l’applicazione può beneficiare di tecnologie avanzate per ottimizzare le prestazioni. Oltre ai container, i modelli serverless possono essere utili per migliorare l'efficienza in alcune parti dell'applicazione. 1. Ottimizzazione delle Risorse  - Scalabilità automatica: Kubernetes può scalare i container in base alla domanda, utilizzando solo le risorse necessarie. - Gestione delle risorse dinamiche: Configura i container per assegnare risorse come CPU e RAM in modo efficiente, migliorando le prestazioni e riducendo i costi. 2. Serverless per Funzionalità Specifiche  - AWS Lambda, Azure Functions, Google Cloud Functions: Utilizzare funzioni serverless per le operazioni che non richiedono un’infrastruttura sempre attiva. - Riduzione della latenza: I servizi serverless scalano automaticamente, riducendo i tempi di risposta durante i picchi di utilizzo e abbassando i costi quando l’uso è ridotto. 3. Monitoraggio e Logging Avanzato Strumenti come Prometheus e Grafana permettono di monitorare l’intero ambiente containerizzato. Ottimizzare il logging e l’osservabilità aiuta a identificare e risolvere rapidamente eventuali colli di bottiglia. Gestione dei Dati Legacy e Migrazioni Graduali per la Continuità Operativa La gestione dei dati legacy è uno dei passaggi più critici della migrazione al cloud, poiché spesso implica la trasformazione dei dati per ambienti distribuiti. 1. Trasformazione dei Dati Legacy  - Database moderni e scalabili: Valuta la possibilità di migrare da database on-premise a soluzioni cloud come AWS RDS, Google Cloud SQL o database NoSQL (MongoDB, DynamoDB) per una maggiore flessibilità e scalabilità. - Data Lakes e Archiviazione a Lungo Termine: Sposta i dati legacy su data lakes per sfruttare la potenza di calcolo cloud per l’analisi e l’archiviazione. 2. Migrazione Graduale La migrazione “big bang” può interrompere il servizio e causare problemi agli utenti. Una migrazione graduale minimizza i rischi.  - Strategia di coesistenza: Lascia temporaneamente operativi i sistemi legacy insieme ai nuovi, finché la migrazione non è completata. - Sincronizzazione dei dati: Implementa un sistema di sincronizzazione per mantenere allineati i dati tra l’ambiente legacy e quello cloud. 3. Best Practice per la Continuità Operativa  - Testing continuo: Effettua test regolari per evitare problemi una volta completata la migrazione. - Backup e Disaster Recovery: Pianifica backup regolari e strategie di ripristino d’emergenza per proteggere i dati durante la migrazione. - Documentazione e formazione del team: Forma il team DevOps per gestire i nuovi ambienti e documenta ogni fase per garantire una gestione ottimale anche dopo la migrazione. Conclusione: La migrazione delle applicazioni legacy al cloud è una sfida che richiede competenze avanzate e una pianificazione accurata. Con tecniche di re-factoring, containerizzazione, ottimizzazione delle risorse e una gestione attenta dei dati, è possibile trasformare un sistema monolitico e rigido in un’applicazione moderna, scalabile e più economica. Investire in una migrazione ben eseguita significa non solo ridurre i costi, ma anche migliorare la resilienza e la velocità di risposta ai cambiamenti del mercato. Portare il tuo sistema legacy nel cloud è un passo verso il futuro, che garantisce nuove opportunità di crescita e innovazione per la tua azienda.https://saverioriotto.it/blog/342/devops/migrazione-e-ottimizzazione-di-applicazioni-legacy-nel-cloud-guida-completahttps://saverioriotto.it/blog/342/devops/migrazione-e-ottimizzazione-di-applicazioni-legacy-nel-cloud-guida-completaTue, 26 Nov 2024 00:00:00 +0100Migrazione e Ottimizzazione di Applicazioni Legacy nel Cloud: Guida CompletaSaverio Riottono-reply@saverioriotto.itDevOpsIl ransomware è una delle minacce informatiche più pericolose e in continua evoluzione. I recenti attacchi alle supply chain di SolarWinds e Kaseya hanno dimostrato l’abilità dei gruppi di cybercriminali di sfruttare vulnerabilità per colpire migliaia di aziende con impatti devastanti. In questo articolo, esploreremo l'evoluzione delle tattiche di ransomware, analizzeremo due attacchi di grande rilevanza e forniremo strategie pratiche di difesa. L’evoluzione delle tattiche di ransomware nel 2024 Il panorama dei ransomware si è evoluto significativamente, con nuove tecniche e strategie di attacco. Tra le tendenze più preoccupanti troviamo: Ransomware-as-a-Service (RaaS): Questo modello permette ai cybercriminali di accedere a strumenti preconfezionati per lanciare attacchi sofisticati senza necessariamente avere un background tecnico avanzato. Double Extortion: I criminali non si limitano a criptare i dati delle vittime, ma li rubano e minacciano di divulgarli se il riscatto non viene pagato, aumentando la pressione. Attacchi mirati a settori specifici: Sanità, infrastrutture critiche e aziende tecnologiche sono tra i principali obiettivi, a causa del loro alto valore strategico e della criticità dei dati che gestiscono. Evasione dei controlli di sicurezza: Gli attaccanti utilizzano tecniche avanzate per aggirare le difese aziendali e persino i rilevamenti basati su intelligenza artificiale, aumentando la difficoltà di individuare e fermare l'intrusione. Caso di studio 1: Attacco alla supply chain di SolarWinds 1. Contesto dell’attaccoNel 2020, la piattaforma di gestione IT SolarWinds è stata compromessa attraverso una sofisticata campagna di attacco alla supply chain. Gli attaccanti hanno inserito una backdoor, nota come "SUNBURST", in un aggiornamento legittimo del software Orion, distribuendo il codice maligno a migliaia di organizzazioni governative e aziendali. 2. Tattiche utilizzate Compromissione della build del software: Gli attaccanti hanno compromesso i sistemi di SolarWinds per inserire il codice maligno direttamente nel processo di build del software Orion. Questo ha trasformato un aggiornamento legittimo in un vettore di attacco.Il codice maligno inserito agiva come una backdoor, consentendo agli aggressori di comunicare con server di comando e controllo (C2). Per evitare il rilevamento, il codice maligno si comportava in modo simile a un normale traffico di rete. Inoltre, gli attaccanti hanno limitato le loro azioni per non sollevare sospetti durante le fasi iniziali. Movimento laterale e persistenza: Una volta installato, il malware ha permesso agli attaccanti di spostarsi lateralmente all'interno delle reti compromesse, esfiltrando dati senza destare sospetti. 3. Risposta della comunità della sicurezzaLa scoperta dell'attacco da parte di FireEye ha scatenato un'ondata di collaborazione globale tra aziende di sicurezza e governi, portando alla rapida adozione di patch e strategie di mitigazione. La vicenda ha evidenziato l'importanza di una sorveglianza rigorosa delle supply chain e del monitoraggio costante delle attività di rete. Caso di studio 2: L'attacco a Kaseya con REvil 1. Dinamica dell’attaccoNel 2021, il gruppo ransomware REvil ha sfruttato una vulnerabilità zero-day nella piattaforma di gestione IT Kaseya VSA, colpendo circa 1.500 aziende attraverso un singolo attacco alla supply chain. 2. Tecniche di attacco Accesso remoto ai server VSA: Gli attaccanti hanno identificato e sfruttato una vulnerabilità zero-day nel software di gestione remota Kaseya VSA, che consentiva loro di ottenere l'accesso remoto non autorizzato ai server che eseguivano Kaseya VSA. Questo software è spesso utilizzato dagli MSP (Managed Service Providers) per monitorare e gestire i sistemi IT dei loro clienti. Così gli aggressori hanno sfruttato questa vulnerabilità per distribuire il ransomware ai sistemi gestiti, sfruttando la fiducia e l'accesso degli MSP (Managed Service Providers). Distribuzione massiccia: Grazie alla natura centralizzata della gestione dei sistemi tramite VSA, l'attacco ha avuto un impatto rapido e devastante, estendendosi a numerosi clienti in tutto il mondo. 3. Risposta e mitigazioneKaseya ha rapidamente disattivato i propri server e collaborato con le autorità di sicurezza per contenere la minaccia. Il rilascio successivo di una chiave di decrittazione universale ha permesso alle vittime di ripristinare i propri dati senza pagare il riscatto. Strategie di difesa contro i ransomware nel 2024 Per affrontare le moderne minacce ransomware e proteggersi da futuri attacchi alla supply chain, le organizzazioni devono adottare un approccio proattivo: Segmentazione della rete e backup sicuriRidurre l'accesso tra segmenti di rete e mantenere backup offline per mitigare i danni in caso di compromissione. Monitoraggio e rilevamento avanzatiUtilizzare soluzioni di Endpoint Detection and Response (EDR) e strumenti di monitoraggio del traffico di rete per rilevare comportamenti sospetti e attività anomale. Sicurezza della supply chainVerificare regolarmente la sicurezza dei fornitori di software e delle soluzioni di terze parti, richiedendo audit di sicurezza e aggiornamenti tempestivi. Autenticazione multifattoriale (MFA) e modello zero-trustImplementare politiche di autenticazione rigide per ridurre le superfici di attacco, adottando un approccio zero-trust che verifica ogni accesso. Conclusione Gli attacchi alle supply chain di SolarWinds e Kaseya hanno dimostrato la potenza e la complessità delle moderne campagne ransomware. Prepararsi con strategie di difesa solide, monitoraggio continuo e una gestione proattiva dei fornitori può fare la differenza nella protezione delle organizzazioni da minacce future.https://saverioriotto.it/blog/344/sicurezza-informatica/levoluzione-del-ransomware-e-lattacco-alla-supply-chain-di-solarwinds-e-kaseya-lezioni-e-strategie-di-difesahttps://saverioriotto.it/blog/344/sicurezza-informatica/levoluzione-del-ransomware-e-lattacco-alla-supply-chain-di-solarwinds-e-kaseya-lezioni-e-strategie-di-difesaTue, 19 Nov 2024 00:00:00 +0100L’evoluzione del ransomware e l’attacco alla supply chain di SolarWinds e Kaseya: lezioni e strategie di difesaSaverio Riottono-reply@saverioriotto.itSicurezza InformaticaCosa Sono le ADR (Architectural Decision Records)? Le Architectural Decision Records (ADR) sono documenti leggeri che aiutano gli architetti e gli sviluppatori software a registrare decisioni importanti prese durante la progettazione di un sistema software. Ogni ADR cattura una singola decisione architetturale, inclusa la motivazione, il contesto e l'eventuale impatto di tale decisione sul progetto. Negli ultimi anni, le ADR sono diventate uno standard nella documentazione architetturale, grazie alla loro semplicità e capacità di migliorare la trasparenza del processo decisionale. Mantenere traccia delle decisioni aiuta i team a riflettere sul "perché" di certe scelte, facilitando la gestione e l'evoluzione del software nel tempo. Perché Usare le ADR nell'Architettura Software? Le ADR offrono vari vantaggi, tra cui: Trasparenza: Documentano chiaramente le ragioni dietro ogni decisione, rendendo il processo trasparente e facile da seguire per tutti i membri del team. Coerenza: Aiutano a mantenere coerenza nelle scelte architetturali, evitando incoerenze che potrebbero compromettere l’integrità del sistema. Facilità di Manutenzione: In progetti a lungo termine, le ADR aiutano nuovi sviluppatori o team a capire rapidamente le scelte precedenti senza doverle ripetere. Supporto per le Modifiche: Quando un cambiamento è necessario, le ADR permettono di valutare l’impatto delle modifiche su decisioni precedenti, evitando problemi a livello architetturale. Come Creare una ADR Efficace? Ogni ADR dovrebbe essere breve, chiara e focalizzata su una sola decisione. Una struttura tipica di un’ADR include: Titolo: Un nome chiaro che descrive la decisione. Contesto: La situazione o il problema che ha portato alla decisione. Decisione: La scelta fatta, descritta in modo semplice. Ragionamento: Le motivazioni dietro la scelta, inclusi i pro e i contro. Conseguenze: Gli effetti previsti della decisione sul sistema. Esempio di ADR: Titolo: Sostituzione del Database SQL con un Database NoSQL Contesto: Crescente necessità di scalabilità orizzontale per supportare un aumento di utenti. Decisione: Migrazione a un database NoSQL (MongoDB). Ragionamento: Maggiore capacità di gestire carichi variabili e scalare su più server. Conseguenze: Maggiore flessibilità nello schema dei dati, aumento della velocità in caso di grandi volumi di scrittura, ma maggiori costi di formazione per il team. Strumenti per Gestire le ADR Esistono vari strumenti per creare e gestire ADR in modo efficiente, tra cui: Markdown: Molti team preferiscono documentare le ADR in file Markdown per la semplicità e l'integrazione nei sistemi di controllo di versione come Git. Repositori di ADR: È possibile organizzare le ADR in cartelle, mantenendo una struttura chiara e facilmente navigabile. Tool di Documentazione: Strumenti come Confluence o Notion possono aiutare a centralizzare la documentazione e a facilitare la ricerca. Best Practice per le ADR nell'Architettura Software Documentare ogni Decisione Significativa: Non tutte le decisioni necessitano di una ADR, ma quelle che influenzano l'architettura e le prestazioni a lungo termine dovrebbero essere registrate. Revisione Periodica: Le ADR vanno riviste regolarmente per assicurarsi che siano ancora valide e aggiornate. Includere il Team: Coinvolgere gli stakeholder durante la creazione delle ADR per garantire che ogni decisione tenga conto delle necessità del progetto. Conclusione Le Architectural Decision Records (ADR) sono uno strumento prezioso per i team di sviluppo software, permettendo di documentare e gestire in modo efficiente le decisioni architetturali. Usare le ADR porta numerosi vantaggi, come una maggiore trasparenza, coerenza e facilità di manutenzione. Implementare le ADR nel tuo team può migliorare il flusso di lavoro e ridurre il tempo necessario per comprendere le scelte architetturali, sia nei progetti attuali che futuri.https://saverioriotto.it/blog/343/programmazione/guida-completa-alle-adr-nellarchitettura-software-cosa-sono-e-come-utilizzarlehttps://saverioriotto.it/blog/343/programmazione/guida-completa-alle-adr-nellarchitettura-software-cosa-sono-e-come-utilizzarleTue, 12 Nov 2024 00:00:00 +0100Guida Completa alle ADR nell'Architettura Software: Cosa Sono e Come UtilizzarleSaverio Riottono-reply@saverioriotto.itProgrammazione