Perché ho aperto questo blog

Probabilmente non esiste un altro posto online dove trovi, nello stesso indice, una distribuzione Perl per il CVSS referenziato da FIRST e una tecnica per fotografare direttamente su carta B/N con una Rolleiflex. Qui ci saranno tutte e due, e in questa prima issue provo a spiegare perché.

Il filo comune

Per anni ho pensato che questi pezzi della mia vita (il lavoro come developer con PHP, Perl, JavaScript; il lavoro su vulnerabilità e standard di security come CVSS, STIX, SBOM; vent’anni passati dentro Slackware; certi esperimenti fotografici fatti alle superiori; un telescopio amatoriale tirato fuori in qualche notte serena) non avessero molto a che fare l’uno con l’altro.

Col tempo mi sono accorto che un filo conduttore c’è: la curiosità di capire come funziona qualcosa sotto il cofano, anche quando non porta a niente di finito.

Perché “issue” e non “post”

Le fanzine punk mescolavano tutto: nello stesso numero potevi trovare un’intervista, un collage e la recensione di un concerto, scritti con la stessa voce diretta e senza la divisione in rubriche di una rivista vera.

È il formato giusto per un blog che non vuole essere solo “il blog di security” o “il blog di tecnologia”. Ogni pezzo qui è un’issue, numerata, e dentro ogni numero può starci qualsiasi cosa: un’analisi di CVE in un numero, un esperimento di fotografia in un altro, musica e programmazione in un altro ancora e così via.

Ho cominciato a contare da zero, come l’indice di un array, e non da uno come le riviste in edicola.

Cosa troverai in questi numeri

Security e CPAN. Mantengo da anni alcuni moduli Perl che, senza che lo avessi previsto, sono finiti dentro il software di altri. Oltre a URI::PackageURL, l’implementazione Perl dello standard PURL, ho scritto la specifica del tipo cpan in purl-spec, quella che gli strumenti di security e di SBOM (e progetti come CPANSec e NixOS) useranno per identificare una distribuzione CPAN. La distribuzione CVSS è referenziata direttamente da FIRST.org (l’organizzazione che definisce lo standard CVSS). E tre delle mie distribuzioni (URI-PackageURL, CSAF, CVSS) sono state pacchettizzate in Debian (e di conseguenza in Ubuntu), il che vuol dire che potenzialmente girano su migliaia di macchine senza che chi le usa sappia nemmeno che esistono. Ne scriverò sia dal lato tecnico (come si scrive e si distribuisce un modulo) sia da quello pratico: cosa vuol dire mantenere codice da cui dipendono altri.

Sysadmin e Slackware. Uso Slackware Linux dal 2004, dalla versione 10.0, ed è ancora il sistema su cui sto scrivendo questa riga e su cui ho scritto quasi tutti i miei progetti. Non sono agli stessi livelli di ponce, conraid, rworkman o alienbob ma nel mio piccolo contribuisco alla community Slackware con SlackBuild pubblicati sul mio GitHub e su SlackBuilds.org; ad esempio il mio SlackBuild per OpenLDAP Server è quello che Patrick Volkerding (il BDFL di Slackware) ha usato per Slackware 15.0, quando la distro è passata dal fornire solo i client OpenLDAP a includere di default anche slapd, il server LDAP. Nel 2017 ho scritto SlackMan, un wrapper in Perl per i pkgtools di Slackware che velocizza download, installazione e aggiornamento dei pacchetti, sia dai repository ufficiali sia da quelli di terze parti (compresi quelli di alienbob e conraid), con la risoluzione delle dipendenze e le notifiche degli aggiornamenti via DBus. E poi c’è un’idea un po’ pazza di security: portare SELinux su Slackware, che di default non lo prevede. Per ora è un progetto in alpha (slackware-selinux), che segue il ramo -current.

Slackware insegna UNIX più di qualsiasi altra distro perché non ha strumenti che ti risparmiano il lavoro: se un pacchetto non è nella distribuzione principale, lo compili, se serve scrivi una patch, e ci fai uno SlackBuild. È così che ho imparato a non avere paura di configurare a mano, compilare da sorgenti, scrivere patch, capire dove mettere le mani nel sistema e passare le giornate nel terminale.

Esperimenti che non sono arrivati da nessuna parte. Avranno un tag dedicato, spike: sono gli esperimenti senza un risultato concreto, in cui però ho capito come funziona qualcosa che magari un giorno servirà a me o a qualcun altro.

Fotografia analogica. Camera oscura, pellicole B/N, un adattatore per pellicola piana usato per fotografare su carta invece che su negativo. Rifarò qualcuno di quegli esperimenti di allora, questa volta documentandoli passo passo.

Astrofotografia amatoriale. Un piccolo Celestron su montatura equatoriale, i limiti reali di cosa si riesce a fotografare con e senza inseguimento motorizzato, e quanto tempo hai prima che la rotazione della Terra ti rovini lo scatto.

Perché lo faccio

Non è il mio primo sito: per anni ho tenuto Lotar’s Wiki, un wiki fatto con DokuWiki e con i miei template e plugin, con guide su Slackware, appunti tecnici e qualche esperimento. Questa volta ho scelto un formato diverso.

Non lo faccio per costruirmi un brand né per guadagnarci: se un giorno nel footer comparirà un bottone per offrirmi un caffè, servirà a pagare l’hosting. Lo faccio perché avere tutte queste cose sparse nella testa, senza un posto dove metterle insieme, era più faticoso che scriverle qui.

Si comincia da zero.