Curious-Techie Impara
Guide tecniche approfondite che spiegano il reale funzionamento dei protocolli Internet, standard web, handshake crittografici e architetture di sicurezza.
Guide Tecniche & Analisi dei Protocolli
Spiegazioni architetturali verificate con riferimenti RFC, diagrammi e strumenti interattivi complementari.
Cos’è il DNS e come funzionano i Name Server?
Comprendi il Domain Name System: gerarchia di risoluzione, root server, record A/AAAA/MX/TXT e DNS cifrato su HTTPS (DoH).
Cos’è SSL/TLS e come funzionano i certificati HTTPS?
Guida tecnica su TLS 1.3, handshake crittografici, catene di certificati X.509 e registri Certificate Transparency.
Cos’è Content Security Policy (CSP) e come blocca gli attacchi XSS?
Guida a CSP Level 3: sintassi delle direttive, nonce crittografici, verifica con hash e configurazione di header sicuri.
Cos’è il CORS e la Same-Origin Policy (SOP)?
Comprendi il Cross-Origin Resource Sharing: richieste preflight OPTIONS, intestazioni di risposta ed eliminazione degli errori CORS.
Cos’è l’OSINT e come funziona la ricognizione passiva?
Open Source Intelligence: analisi dell’impronta digitale, cronologia DNS, registri Certificate Transparency e threat modeling.
Cos’è il JSON? Guida Tecnica allo Standard RFC 8259
Tipi di dato, regole sintattiche, alberi di parsing AST, serializzazione e correzione degli errori di parsing.
Cos’è un JWT? Architettura dei JSON Web Token (RFC 7519)
Autenticazione stateless, struttura a tre parti, codifica Base64URL, attacchi di algoritmo e verifica crittografica.
Guida Completa alla Codifica Base64
Scopri cos’è Base64, come funziona la conversione a 6 bit, le varianti URL-safe e perché non è una forma di cifratura.
Cos’è l’Hashing? Digest Crittografici ed Effetto Valanga
Funzioni matematiche unidirezionali, resistenza alle collisioni, SHA-256 vs MD5, rainbow table e Argon2.
Cos’è un UUID? Versioni, Entropia e Specifiche RFC 9562
Identificatori a 128 bit nei sistemi distribuiti: casualità in UUID v4 contro ordinamento temporale in UUID v7.
Cos’è un’Espressione Regolare (Regex)?
Automi a stati finiti, classi di caratteri, quantificatori, asserzioni lookahead e difesa da ReDoS.
Cos’è la Codifica URL (Percent-Encoding)?
Standard RFC 3986, caratteri riservati, traduzione byte UTF-8 e gestione delle query string.
Cos’è il Browser Fingerprinting e il Tracciamento Canvas?
Come i tracker riconoscono i dispositivi senza cookie: Canvas API, AudioContext, WebGL e strategie di autodifesa.
Cos’è l’Ora Unix (Epoch)?
Perché i sistemi contano i secondi dal 1° gennaio 1970, differenze tra timestamp 32 e 64 bit e il bug dell’anno 2038.
Domande Frequenti su Informatica e Sicurezza Web
Risposte rigorose e sintetiche alle questioni tecniche cruciali su crittografia web, infrastruttura DNS, protocolli di autenticazione e performance.
Qual è la differenza tecnica tra la cifratura HTTP e HTTPS?
Il protocollo HTTP trasmette i dati in testo non cifrato su stream TCP vulnerabili a intercettazioni man-in-the-middle (MitM). HTTPS (RFC 2818 / RFC 9110) incapsula HTTP all’interno di una sessione cifrata TLS (Transport Layer Security 1.3). TLS impiega la crittografia asimmetrica per autenticare il server tramite certificati X.509 e negozia una cifra simmetrica (AES-256-GCM o ChaCha20-Poly1305) per proteggere tutti i pacchetti.
Perché la codifica Base64 non è considerata né crittografia né hashing?
Base64 (RFC 4648) è un formato di conversione di byte ideato per trasmettere in sicurezza dati binari su canali ASCII a 7 bit. Non richiede alcuna chiave segreta e può essere decodificato istantaneamente da chiunque. Al contrario, la crittografia richiede una chiave per decifrare, e l’hashing crittografico è una funzione matematica unidirezionale e irreversibile.
Come impedisce la Content Security Policy (CSP Livello 3) gli attacchi XSS?
La Content Security Policy (CSP Livello 3 / W3C) limita l’esecuzione di script non attendibili definendo confini precisi nel browser. Tramite direttive rigorose come script-src 'nonce-rAnd0m' 'strict-dynamic', il browser blocca automaticamente script inline non autorizzati e inibisce eval(), rendendo inoffensivo qualsiasi payload malevolo iniettato.
Qual è la differenza tra OAuth 2.0 e JSON Web Tokens (JWT)?
OAuth 2.0 (RFC 6749) è un framework di delega delle autorizzazioni che definisce le modalità di accesso alle risorse di terze parti. JWT (RFC 7519) è una struttura standardizzata di token composta da Header, Payload e Signature. I server OAuth rilasciano regolarmente JWT firmati come token di accesso per trasmettere le autorizzazioni dell’utente in modo completamente stateless.
Perché UUID v7 garantisce prestazioni di indicizzazione superiori rispetto a UUID v4?
UUID v4 è puramente pseudo-casuale, causando frequenti split di pagine B-tree e write amplification se usato come chiave primaria nei database (PostgreSQL, MySQL). UUID v7 (RFC 9562) integra un timestamp Unix a 48 millisecondi nei bit più significativi, generando chiavi primarie cronologicamente ordinate che preservano la località su disco e le strutture B-tree.
Cosa causa il Backtracking Catastrofico nelle Espressioni Regolari (ReDoS)?
Il Backtracking Catastrofico si verifica nei motori regex ad Automi a Stati Finiti Non-Deterministici (NFA) in presenza di quantificatori annidati (come (a+)+$). Su stringhe non corrispondenti, il motore valuta combinazioni in modo esponenziale ($O(2^n)$), saturando la CPU al 100% e provocando un Denial of Service (ReDoS).
In che modo DNS over HTTPS (DoH) previene intercettazioni ISP e poisoning della cache?
Le query DNS tradizionali (RFC 1035) viaggiano in chiaro su pacchetti UDP sulla porta 53, consentendo a ISP e aggressori di spiare i domini visitati e falsificare le risposte. DNS over HTTPS (DoH, RFC 8484) incapsula le query in connessioni HTTPS cifrate con TLS sulla porta 443, impedendo intercettazioni, censura e alterazione dei record.
CORS va configurato su frontend o backend, e come protegge le API?
Il CORS viene applicato dal browser del client, ma è configurato interamente sul server backend. Il browser invia automaticamente l’header Origin, e il backend deve autorizzarlo esplicitamente tramite Access-Control-Allow-Origin. Senza questo header, il browser impedisce al codice JavaScript di leggere i dati della risposta.
Pronto a testare questi concetti nella pratica?
Scopri la nostra suite di 27 utility per sviluppatori, veloci e al 100% in-browser.