title: Welcome to the Pleasuredome

text: Welcome to the Pleasuredome è l'album d'esordio della band inglese Frankie Goes to Hollywood pubblicato nel 1984.


title: Welcome to the Pleasuredome

text: Originalmente un doppio vinile per via della durata di 64 minuti, si decise di pubblicarlo in questo formato in seguito al grande successo riscosso dai singoli "Relax" e "Two Tribes", e "The Power of Love" (che suonarono in play-back al Festival di Sanremo 1985).


title: Welcome to the Pleasuredome

text: Le cover includono "Born to Run" di Bruce Springsteen, "Do You Know the Way to San Jose" (qui intitolata "San Jose (The Way)") di Burt Bacharach, e "War" di Barrett Strong e Norman Whitfield.


title: Welcome to the Pleasuredome

text: Sono presenti alcune ballate quali "Black Night White Light" e "Wish (The Lads Were Here)" che cita i Pink Floyd sia nel titolo, simile a "Wish You Were Here", che nella seconda parte strumentale include un sottofondo di chitarra acustica accompagnata da una chitarra elettrica. La title track è ispirata al rock progressivo.


title: Welcome to the Pleasuredome

text: Tutti i brani sono stati scritti da Holly Johnson, Mark O'Toole, Brian Nash e Peter Gill, eccetto dove diversamente indicato.


title: Casa Cervi

text: La casa Cervi è un museo ricavato nella casa colonica abitata dai fratelli Cervi. Si trova in provincia di Reggio Emilia, per la precisione nel comune di Gattatico, in località "Campi Rossi".


title: Casa Cervi

text: La casa, a dal centro abitato di Gattatico, fu abitata a partire dal 1934 dalla famiglia Cervi, che qui conduceva in affitto un podere agricolo. Col passare del tempo i Cervi modernizzarono e inventarono oggetti per l'agricoltura e per i 20 ettari di terra che coltivavano. Vi sono tuttora conservati il primo trattore Balilla comprato da Aldo Cervi, su cui è appoggiato un mappamondo, le licenze di tutti i sette fratelli, oggetti rurali appartenenti alla famiglia, libri, divise e altre testimonianze scritte appositamente conservate. Una sezione virtuale con filmati e ricostruzioni permette di scoprire la storia della famiglia e dell'eccidio.


title: Casa Cervi

text: La Casa - Museo Cervi è parte, insieme alla Biblioteca Archivio Emilio Sereni e al Parco agroambientale, dell'Istituto Alcide Cervi di Campegine, fondato il 24 aprile del 1972, il giorno antecedente la ricorrenza della liberazione italiana dalla dittatura nazi-fascista. La fondazione dell'Istituto si deve alle attività svolte dalla figura di Alcide Cervi (1875-1970), padre dei 7 fratelli, denominato poi nel corso degli anni dalla TV e dai giornali, "Papà Cervi". Due anni dopo la dipartita di Alcide Cervi, l'ente "Alleanza nazionale dei contadini" (divenuta in seguito Confederazione italiana degli agricoltori) assieme all'Anpi di Reggio Emilia e il comune di Gattatico, porterà avanti il progetto di aprire l'istituzione museale, presso la residenza della famiglia Cervi.


title: Casa Cervi

text: Scopo principale dell'istituzione è tramandare la memoria storica sui valori della resistenza in Italia, dell'antifascismo e tutelare la "Costituzione italiana".


title: Casa Cervi

text: È una rievocazione storica che si tiene il giorno dell'arresto di Mussolini, avvenuto il 25 luglio del 1943 in ricordo della pastasciutta che i Cervi offrirono a tutto il paese, distribuendola in piazza a Campegine per l’occasione.


title: Casa Cervi

text: Ogni anno l'Istituto Cervi organizza il Festival Teatrale di Resistenza riservato a spettacoli a tematica civile che riescano a declinare anche al giorno d'oggi il significato della parola "Resistenza". Al termine del festival viene assegnato il Premio Teatro e Memoria. Per tradizione la premiazione avviene il 25 luglio durante la Pastasciutta antifascista. Tra i vincitori delle ultime edizioni la Piccola Compagnia Dammacco con lo spettacolo Esilio, La Confraternita del Chianti / Dramma Italiano di Fiume con lo spettacolo Esodo e Kuziba Teatro con L'estranea di Casa.


title: Sessione

text: Con il suo significato di base il termine è entrato in questi ambiti intorno agli anni settanta. Si parla di livello di sessione nel caso si parli di modello OSI.


title: Sessione

text: In inglese, la parola "sessione" si riferisce a un periodo di tempo discreto durante il quale viene eseguita un'attività. Una sessione web è quindi il tempo che un utente trascorre navigando su un determinato sito web: dal momento in cui arriva sulla prima pagina, al momento in cui lascia il sito.


title: Sessione

text: Una sessione web è costituita da dati o file che sono persistenti durante l'uso di un sito web o di un'applicazione web. Queste risorse sono identificate in modo univoco con un ID di sessione. Il browser dell'utente riceve questo ID all'inizio di una nuova sessione e questo ID viene scambiato durante ogni successiva comunicazione tra il browser e il server.


title: Sessione

text: Una sessione web include tutte le informazioni che possono essere rilevanti durante la visita dell'utente. A seconda dello scopo del sito Web o dell'applicazione Web, ciò può includere dati come:


title: Sessione

text: Di solito esiste un limite di tempo massimo per le sessioni web, dopo il quale la sessione scadrà. Questo limite di tempo massimo dipende dall'attuazione. Ad esempio, le sessioni web in Google Analytics scadono dopo 30 minuti di inattività; l'ulteriore attività dell'utente verrà trattata come una nuova sessione.


title: Sessione

text: I siti Web e le applicazioni Web con un numero molto elevato di utenti spesso memorizzano nella cache le sessioni Web, in modo che possano essere recuperate in modo più rapido ed efficiente.


title: Sessione

text: I vantaggi dell'utilizzo delle sessioni web sono evidenti: le sessioni web consentono al sito web di avere una qualche forma di "memoria a breve termine" sull'attività di un utente.


title: Sessione

text: Da un lato, non avere alcuna memoria degli utenti sarebbe estremamente scomodo. Se un sito Web di e-commerce non è in grado di ricordare le azioni di un utente, ad esempio, gli utenti dovrebbero effettuare ordini di e-commerce tutti in una volta all'interno di una singola azione, invece di memorizzare gli articoli in un carrello della spesa.


title: Sessione

text: D'altra parte, anche avere una memoria troppo lunga può essere poco pratico. Ad esempio, se un utente torna su un sito di e-commerce dopo un mese, potrebbe non voler vedere gli stessi articoli nel carrello degli acquisti dell'ultima volta.


title: Sessione

text: Le sessioni web rappresentano un equilibrio tra questi due estremi. Le sessioni Web a breve termine forniscono ai siti Web e alle applicazioni Web una "memoria" sufficiente per creare esperienze utente coinvolgenti e personalizzate nel corso della visita di un utente, senza memorizzare troppe informazioni irrilevanti a lungo termine.


title: Sessione

text: Le sessioni Web vengono spesso confrontate (e confuse con) i cookie. Sebbene sia i cookie che le sessioni web memorizzino informazioni su un utente, le loro funzioni sono diverse nella pratica.


title: Sessione

text: I cookie sono file di testo che vengono utilizzati per autenticare e tenere traccia dei visitatori di un sito Web e che vengono memorizzati solo sulla macchina dell'utente. La durata di un cookie è in genere molto più lunga di quella di una sessione web, nell'ordine di mesi o addirittura anni. I cookie sono il modo in cui i siti Web memorizzano le informazioni dell'utente a lungo termine che dovrebbero essere preservate: ad esempio, accedendo automaticamente all'utente quando arriva al sito Web o compilando automaticamente un modulo con i dettagli dell'utente.


title: Sessione

text: Al contrario, le sessioni web hanno lo scopo di memorizzare informazioni solo sulle attività più recenti dell'utente. Le sessioni Web vengono archiviate sul server anziché sul client, il che consente di impedire agli utenti malintenzionati di modificarle. Sia le sessioni web che i cookie possono essere utilizzati in combinazione per tenere traccia del comportamento a lungo e breve termine degli utenti.


title: Sessione

text: Una sessione Web è una sequenza di richieste HTTP di rete e transazioni di risposta associate allo stesso utente. Le applicazioni Web moderne e complesse richiedono la conservazione delle informazioni o dello stato di ciascun utente per la durata di più richieste. Pertanto, le sessioni forniscono la possibilità di stabilire variabili, come diritti di accesso e impostazioni di localizzazione, che si applicheranno a ogni interazione che un utente ha con l'applicazione web per la durata della sessione.


title: Sessione

text: Le applicazioni Web possono creare sessioni per tenere traccia degli utenti anonimi dopo la prima richiesta dell'utente. Un esempio potrebbe essere il mantenimento della preferenza della lingua dell'utente. Inoltre, le applicazioni Web utilizzeranno le sessioni una volta che l'utente si è autenticato. Ciò garantisce la capacità di identificare l'utente su eventuali richieste successive oltre a poter applicare controlli di sicurezza di accesso, accesso autorizzato ai dati privati dell'utente e aumentare l'usabilità dell'applicazione. Pertanto, le attuali applicazioni Web possono fornire funzionalità di sessione sia prima che dopo l'autenticazione.


title: Sessione

text: Una volta stabilita una sessione autenticata, l'ID sessione (o token) è temporaneamente equivalente al metodo di autenticazione più forte utilizzato dall'applicazione, come nome utente e password, passphrase, password monouso (OTP), certificati digitali basati su client, smartcard o dati biometrici (come impronte digitali o retina oculare).


title: Sessione

text: HTTP è un protocollo senza stato (RFC2616 sezione 5), in cui ogni coppia di richieste e risposte è indipendente da altre interazioni web. Pertanto, al fine di introdurre il concetto di sessione, è necessario implementare funzionalità di gestione della sessione che colleghino sia i moduli di autenticazione che di controllo di accesso (o autorizzazione) comunemente disponibili nelle applicazioni web:


title: Sessione

text: Per mantenere lo stato autenticato e tenere traccia dei progressi degli utenti all'interno dell'applicazione web, le applicazioni forniscono agli utenti un identificatore di sessione (ID sessione o token) che viene assegnato al momento della creazione della sessione e viene condiviso e scambiato dall'utente e dall'applicazione web per tutta la durata della sessione (viene inviato ad ogni richiesta HTTP). L'ID sessione è una coppia codice_1.


title: Sessione

text: Con l'obiettivo di implementare ID di sessione protetti, la generazione di identificatori (ID o token) deve soddisfare le seguenti proprietà.


title: Sessione

text: Il nome utilizzato dall'ID di sessione non deve essere estremamente descrittivo né offrire dettagli non necessari sullo scopo e sul significato dell'ID.


title: Sessione

text: I nomi degli ID di sessione utilizzati dai framework di sviluppo di applicazioni Web più comuni possono essere facilmente rilevati tramite fingerprint, come codice_2(PHP), codice_3(J2EE), codice_4& codice_5(ColdFusion), codice_6(ASP.NET), ecc. Pertanto, il nome dell'ID di sessione può rivelare il tecnologie e linguaggi di programmazione utilizzati dall'applicazione web.


title: Sessione

text: Si consiglia di modificare il nome dell'ID di sessione predefinito del framework di sviluppo Web con un nome generico, ad esempio codice_7.


title: Sessione

text: L'ID sessione deve essere sufficientemente lungo da impedire attacchi di forza bruta, in cui un utente malintenzionato può passare attraverso l'intero intervallo di valori ID e verificare l'esistenza di sessioni valide.


title: Sessione

text: L'ID di sessione deve essere imprevedibile (abbastanza casuale) per evitare attacchi di indovinazione, in cui un utente malintenzionato è in grado di indovinare o prevedere l'ID di una sessione valida attraverso tecniche di analisi statistica. A tal fine, è necessario utilizzare un buon CSPRNG (Cryptographically Secure Pseudorandom Number Generator).


title: Sessione

text: Il valore dell'ID di sessione deve fornire almeno l'entropia 64 bit (se viene utilizzato un buon PRNG, questo valore è stimato essere la metà della lunghezza dell'ID di sessione).


title: Sessione

text: Inoltre, un ID di sessione casuale non è sufficiente; deve anche essere univoco per evitare ID duplicati. Un ID di sessione casuale non deve già esistere nello spazio dell'ID di sessione corrente.


title: Sessione

text: Il contenuto (o valore) dell'ID di sessione deve essere privo di significato per prevenire attacchi di divulgazione di informazioni, in cui un utente malintenzionato è in grado di decodificare il contenuto dell'ID ed estrarre i dettagli dell'utente, della sessione o del funzionamento interno dell'applicazione web.


title: Sessione

text: L'ID sessione deve essere semplicemente un identificatore sul lato client e il suo valore non deve mai includere informazioni sensibili (o PII).


title: Sessione

text: Il significato e la logica aziendale o dell'applicazione associata all'ID sessione devono essere archiviati sul lato server e, in particolare, negli oggetti sessione o in un database o repository di gestione delle sessioni.


title: Sessione

text: Le informazioni memorizzate possono includere indirizzo IP del client, agente utente, e-mail, nome utente, ID utente, ruolo, livello di privilegio, diritti di accesso, preferenze di lingua, ID account, stato corrente, ultimo accesso, timeout di sessione e altre sessioni interne dettagli. Se gli oggetti e le proprietà della sessione contengono informazioni sensibili, come i numeri di carta di credito, è necessario crittografare e proteggere adeguatamente il repository di gestione della sessione.


title: Sessione

text: Si consiglia di creare ID di sessione crittograficamente efficaci tramite l'uso di funzioni hash crittografiche come SHA256.


title: Sessione

text: L'implementazione della gestione della sessione definisce il meccanismo di scambio che verrà utilizzato tra l'utente e l'applicazione Web per condividere e scambiare continuamente l'ID di sessione. Ci sono più meccanismi disponibili in HTTP per mantenere lo stato della sessione all'interno delle applicazioni web, come i cookie (intestazione HTTP standard), i parametri URL (riscrittura URL - RFC2396), argomenti URL su richieste GET, argomenti del corpo su richieste POST, come campi modulo nascosti (Moduli HTML) o intestazioni HTTP proprietarie.


title: Sessione

text: Il meccanismo di scambio dell'ID di sessione preferito dovrebbe consentire la definizione di proprietà avanzate del token, come la data e l'ora di scadenza del token o vincoli di utilizzo granulari. Questo è uno dei motivi per cui i cookie (<nowiki>RFC 2109</nowiki> e 2965 e 6265) sono uno dei meccanismi di scambio dell'ID di sessione più ampiamente utilizzati, offrendo funzionalità avanzate non disponibili in altri metodi.


title: Sessione

text: L'utilizzo di specifici meccanismi di scambio dell'ID di sessione, come quelli in cui l'ID è incluso nell'URL, potrebbe rivelare l'ID di sessione (nei collegamenti e nei registri Web, nella cronologia e nei segnalibri del browser Web, nell'intestazione del referer o nei motori di ricerca), nonché facilitare altri attacchi, come la manipolazione dell'ID o attacchi di fissazione della sessione.


title: Sessione

text: I framework di sviluppo Web, come J2EE, ASP.NET, PHP e altri, forniscono le proprie funzionalità di gestione delle sessioni e l'implementazione associata. Si consiglia di utilizzare questi framework incorporati anziché crearne uno fatto in casa da zero, poiché vengono utilizzati in tutto il mondo su più ambienti Web e sono stati testati dalle comunità di sviluppo e sicurezza delle applicazioni Web nel tempo.


title: Sessione

text: Tuttavia, tieni presente che questi framework hanno anche presentato vulnerabilità e punti deboli in passato, quindi è sempre consigliabile utilizzare l'ultima versione disponibile, che potenzialmente risolve tutte le vulnerabilità note, nonché rivedere e modificare la configurazione predefinita per migliorare la sua sicurezza seguendo le raccomandazioni descritte in questo documento.


title: Sessione

text: Le capacità di archiviazione o il repository utilizzato dal meccanismo di gestione delle sessioni per salvare temporaneamente gli ID di sessione devono essere protetti, proteggendo gli ID di sessione dalla divulgazione accidentale locale o remota o dall'accesso non autorizzato.


title: Sessione

text: Un'applicazione web dovrebbe utilizzare i cookie per la gestione dello scambio di ID di sessione. Se un utente invia un ID di sessione tramite un meccanismo di scambio diverso, come un parametro URL, l'applicazione Web dovrebbe evitare di accettarlo come parte di una strategia difensiva per interrompere la fissazione della sessione.


title: Sessione

text: Al fine di proteggere lo scambio di ID di sessione da intercettazioni attive e divulgazioni passive nel traffico di rete, è essenziale utilizzare una connessione HTTPS (TLS) crittografata per l'intera sessione web, non solo per il processo di autenticazione in cui vengono scambiate le credenziali dell'utente.


title: Sessione

text: Inoltre, l'attributo codice_8 cookie deve essere utilizzato per garantire che l'ID di sessione venga scambiato solo tramite un canale crittografato. L'utilizzo di un canale di comunicazione crittografato protegge anche la sessione da alcuni attacchi di fissazione della sessione in cui l'attaccante è in grado di intercettare e manipolare il traffico web per iniettare (o correggere) l'ID di sessione sul browser web della vittima.


title: Sessione

text: La seguente serie di best practice si concentra sulla protezione dell'ID di sessione (in particolare quando vengono utilizzati i cookie) e aiuta con l'integrazione di HTTPS all'interno dell'applicazione web:


title: Sessione

text: Vedere il foglio illustrativo della protezione del livello di trasporto OWASP per una guida più generale sull'implementazione sicura di TLS.


title: Sessione

text: È importante sottolineare che TLS non protegge dalla previsione dell'ID di sessione, dalla forza bruta, dalla manomissione o dalla correzione sul lato client; tuttavia, fornisce una protezione efficace contro un utente malintenzionato che intercetta o ruba ID di sessione tramite un attacco man in the middle.


title: Sessione

text: Il meccanismo di scambio dell'ID di sessione basato sui cookie fornisce più funzionalità di sicurezza sotto forma di attributi dei cookie che possono essere utilizzati per proteggere lo scambio dell'ID di sessione:


title: Sessione

text: L'attributo cookie codice_8 indica ai browser Web di inviare il cookie solo tramite una connessione HTTPS (SSL/TLS) crittografata. Questo meccanismo di protezione della sessione è obbligatorio per impedire la divulgazione dell'ID di sessione tramite attacchi MitM (Man-in-the-Middle). Assicura che un utente malintenzionato non possa semplicemente acquisire l'ID di sessione dal traffico del browser web.


title: Sessione

text: Forzare l'applicazione Web a utilizzare solo HTTPS per la sua comunicazione (anche quando la porta TCP/80, HTTP, è chiusa nell'host dell'applicazione Web) non protegge dalla divulgazione dell'ID di sessione se il cookie codice_8 non è stato impostato: il browser Web può essere ingannato per rivelare l'ID di sessione su una connessione HTTP non crittografata. L'aggressore può intercettare e manipolare il traffico dell'utente vittima e iniettare un riferimento HTTP non crittografato all'applicazione Web che costringerà il browser Web a inviare l'ID di sessione in chiaro.


title: Sessione

text: L'attributo cookie codice_11 indica ai browser Web di non consentire agli script (ad esempio JavaScript o VBscript) la possibilità di accedere ai cookie tramite l'oggetto document.cookie DOM. Questa protezione dell'ID di sessione è obbligatoria per impedire il furto dell'ID di sessione tramite attacchi XSS. Tuttavia, se un attacco XSS è combinato con un attacco CSRF, le richieste inviate all'applicazione web includeranno il cookie di sessione, poiché il browser include sempre i cookie quando invia le richieste. Il cookiecodice_11 protegge solo la riservatezza del cookie; l'attaccante non può utilizzarlo offline, al di fuori del contesto di un attacco XSS.


title: Sessione

text: SameSite consente a un server di definire un attributo di cookie rendendo impossibile al browser inviare questo cookie insieme a richieste cross-site. L'obiettivo principale è mitigare il rischio di fuga di informazioni tra le origini e fornire una certa protezione contro gli attacchi di falsificazione delle richieste tra siti.


title: Sessione

text: L'attributo cookie codice_13 indica ai browser Web di inviare il cookie solo al dominio specificato e a tutti i sottodomini. Se l'attributo non è impostato, per impostazione predefinita il cookie verrà inviato solo al server di origine. L'attributo cookiecodice_14 indica ai browser Web di inviare il cookie solo alla directory o alle sottodirectory specificate (o percorsi o risorse) all'interno dell'applicazione Web. Se l'attributo non è impostato, per impostazione predefinita il cookie verrà inviato solo per la directory (o percorso) della risorsa richiesta e l'impostazione del cookie.


title: Sessione

text: Si consiglia di utilizzare un ambito ristretto o limitato per questi due attributi. In questo modo, l'attributo codice_13 non dovrebbe essere impostato (limitando il cookie solo al server di origine) e l'attributo codice_14 dovrebbe essere impostato il più restrittivo possibile al percorso dell'applicazione web che utilizza l'ID di sessione.


title: Sessione

text: L'impostazione dell'attributo codice_13 su un valore troppo permissivo, ad esempio codice_18consente a un utente malintenzionato di lanciare attacchi agli ID di sessione tra diversi host e applicazioni Web appartenenti allo stesso dominio, noti come cookie cross-sottodominio. Ad esempio, le vulnerabilità in codice_19potrebbero consentire a un utente malintenzionato di ottenere l'accesso agli ID di sessione da codice_20.


title: Sessione

text: Inoltre, si consiglia di non mischiare applicazioni web di diversi livelli di sicurezza sullo stesso dominio. Le vulnerabilità in una delle applicazioni Web consentirebbero a un utente malintenzionato di impostare l'ID di sessione per un'applicazione Web diversa sullo stesso dominio utilizzando un attributo codice_13 permissivo (come codice_18) che è una tecnica che può essere utilizzata negli attacchi di correzione della sessione.


title: Sessione

text: Sebbene l'attributo codice_14 consenta l'isolamento degli ID di sessione tra diverse applicazioni Web utilizzando percorsi diversi sullo stesso host, si consiglia vivamente di non eseguire applicazioni Web diverse (soprattutto da diversi livelli di sicurezza o ambiti) sullo stesso host. Altri metodi possono essere utilizzati da queste applicazioni per accedere agli ID di sessione, come l'oggetto codice_24. Inoltre, qualsiasi applicazione web può impostare cookie per qualsiasi percorso su quell'host.


title: Sessione

text: I cookie sono vulnerabili agli attacchi di spoofing DNS, in cui un utente malintenzionato può manipolare la risoluzione DNS per forzare il browser Web a rivelare l'ID di sessione per un determinato host o dominio.


title: Sessione

text: I meccanismi di gestione della sessione basati sui cookie possono utilizzare due tipi di cookie, cookie non persistenti (o di sessione) e cookie persistenti. Se un cookie presenta il codice_25(che ha la preferenza su codice_26) o gli attributi codice_26, verrà considerato un cookie persistente e verrà memorizzato su disco dal browser Web in base alla data di scadenza.


title: Sessione

text: In genere, le funzionalità di gestione della sessione per tenere traccia degli utenti dopo l'autenticazione fanno uso di cookie non persistenti. In questo modo la sessione scompare dal client se l'istanza del browser Web corrente viene chiusa. Pertanto, si consiglia vivamente di utilizzare cookie non persistenti per scopi di gestione della sessione, in modo che l'ID di sessione non rimanga nella cache del client Web per lunghi periodi di tempo, da cui un utente malintenzionato può ottenerlo.


title: Sessione

text: Il Web Hypertext Application Technology Working Group (WHATWG) descrive le API di archiviazione Web HTML5 codice_28e codice_29, come meccanismi per l'archiviazione di coppie nome-valore lato client. A differenza dei cookie HTTP, i contenuti codice_28e codice_29non vengono condivisi automaticamente all'interno delle richieste o risposte dal browser e vengono utilizzati per l'archiviazione dei dati lato client.


title: Sessione

text: I dati memorizzati utilizzando l' codice_28API sono accessibili dalle pagine caricate dalla stessa origine, definita come scheme (codice_33), host (codice_18), port (codice_35) e domain/realm (codice_18). Ciò fornisce un accesso simile a questi dati come si otterrebbe utilizzando il flagcodice_37 su un cookie, il che significa che i dati memorizzati da codice_38non possono essere recuperati tramite codice_39. A causa del potenziale accesso simultaneo da finestre/thread separati, i dati archiviati utilizzando codice_28potrebbero essere soggetti a problemi di accesso condiviso (come le race condition) e dovrebbero essere considerati non bloccanti (Web Storage API Spec).


title: Sessione

text: I dati archiviati utilizzando l'API codice_28vengono conservati durante le sessioni di navigazione, estendendo il periodo di tempo in cui possono essere accessibili ad altri utenti del sistema.


title: Sessione

text: Gli standard non richiedono che i dati codice_28siano crittografati a riposo, il che significa che potrebbe essere possibile accedere direttamente a questi dati dal disco.


title: Sessione

text: WHATWG suggerisce l'uso di codice_28per i dati a cui è necessario accedere attraverso finestre o schede, su più sessioni e dove potrebbe essere necessario archiviare grandi volumi di dati (multi-megabyte) per motivi di prestazioni.


title: Sessione

text: L'API codice_29memorizza i dati all'interno del contesto della finestra da cui è stata chiamata, il che significa che la scheda 1 non può accedere ai dati archiviati dalla scheda 2. Inoltre, come l'API codice_28, i dati archiviati utilizzando l'API codice_29 sono accessibili dalle pagine caricate dalla stessa origine, che è definito come scheme (codice_33), host (codice_18), port (codice_35) e domain/realm (codice_18). Ciò fornisce un accesso simile a questi dati come si otterrebbe utilizzando il flagcodice_37 su un cookie, il che significa che i dati memorizzati da codice_38non possono essere recuperati tramite codice_39.


title: Sessione

text: L'API codice_29 memorizza i dati solo per la durata della sessione di navigazione corrente. Una volta chiusa la scheda, i dati non sono più recuperabili. Ciò non impedisce necessariamente l'accesso, nel caso in cui una scheda del browser venga riutilizzata o lasciata aperta. I dati possono anche persistere in memoria fino a un evento di garbage collection.


title: Sessione

text: Gli standard non richiedono che i dati codice_29 siano crittografati a riposo, il che significa che potrebbe essere possibile accedere direttamente a questi dati dal disco.


title: Sessione

text: WHATWG suggerisce l'uso di codice_29per i dati rilevanti per un'istanza di un flusso di lavoro, come i dettagli per la prenotazione di un biglietto, ma in cui è possibile eseguire più flussi di lavoro contemporaneamente in altre schede. La natura del vincolo di finestra/scheda manterrà i dati dalla perdita tra i flussi di lavoro in schede separate.


title: Sessione

text: In generale, i dati protetti o sensibili non devono essere archiviati in modo persistente negli archivi dati del browser poiché ciò potrebbe consentire la fuga di informazioni sui sistemi condivisi. Poiché i meccanismi di archiviazione Web sono API, ciò consente anche l'accesso da script iniettati, rendendolo meno sicuro dei cookie con il flagcodice_57 applicato. Sebbene sia possibile archiviare dati specifici del flusso di lavoro codice_29per utilizzarli in quella scheda/finestra specifica durante i ricaricamenti, le API di archiviazione Web dovrebbero essere trattate come archiviazione non sicura. Per questo motivo, se una soluzione aziendale richiede l'uso di codice_28ocodice_29per archiviare dati sensibili, una tale soluzione dovrebbe crittografare i dati e applicare protezioni di riproduzione. A causa della possibilità di accedere alle API di archiviazione Web tramite un attacco XSS, gli identificatori di sessione devono essere archiviati utilizzando cookie non persistenti, con i flag appropriati per proteggere da problemi di accesso non sicuro (codice_8), XSS (codice_11) e CSRF (codice_63).


title: Sessione

text: I Web Worker eseguono il codice JavaScript in un contesto globale separato da quello della finestra corrente. Esiste un canale di comunicazione con la finestra di esecuzione principale, che viene chiamato codice_64.


title: Sessione

text: I web worker sono un'alternativa per l'archiviazione del browser dei segreti (di sessione) quando la persistenza dell'archiviazione durante l'aggiornamento della pagina non è un requisito. Affinché i Web Worker forniscano l'archiviazione sicura del browser, qualsiasi codice che richiede il segreto dovrebbe esistere all'interno del Web Worker e il segreto non dovrebbe mai essere trasmesso al contesto della finestra principale.


title: Sessione

text: L'archiviazione dei segreti nella memoria di un Web Worker offre le stesse garanzie di sicurezza di un cookie HttpOnly: la riservatezza del segreto è protetta. Tuttavia, un attacco XSS può essere utilizzato per inviare messaggi al Web Worker per eseguire un'operazione che richiede il segreto. Il Web Worker restituirà il risultato dell'operazione al thread di esecuzione principale.


title: Sessione

text: Il vantaggio di un'implementazione di Web Worker rispetto a un cookie HttpOnly è che un Web Worker consente ad un codice JavaScript isolato di accedere al segreto; un cookie HttpOnly non è accessibile a nessun JavaScript. Se il codice JavaScript frontend richiede l'accesso al segreto, l'implementazione del Web Worker è l'unica opzione di archiviazione del browser che preserva la riservatezza del segreto.


title: Sessione

text: Gli ID sessione devono essere considerati non attendibili, come qualsiasi altro input utente elaborato dall'applicazione Web, e devono essere accuratamente convalidati e verificati. A seconda del meccanismo di gestione della sessione utilizzato, l'ID di sessione verrà ricevuto in un parametro GET o POST, nell'URL o in un'intestazione HTTP (ad esempio i cookie). Se le applicazioni Web non convalidano e filtrano i valori ID di sessione non validi prima di elaborarle, possono essere potenzialmente utilizzate per sfruttare altre vulnerabilità Web, come SQL injection se gli ID di sessione sono archiviati su un database relazionale o XSS persistente se gli ID di sessione vengono memorizzati e riflessi in seguito dall'applicazione web.


title: Sessione

text: L'ID sessione deve essere rinnovato o rigenerato dall'applicazione Web dopo qualsiasi modifica del livello di privilegio all'interno della sessione utente associata. Lo scenario più comune in cui la rigenerazione dell'ID di sessione è obbligatoria è durante il processo di autenticazione, poiché il livello di privilegio dell'utente passa dallo stato non autenticato (o anonimo) allo stato autenticato. È inoltre necessario considerare altri scenari comuni, come le modifiche alla password, le modifiche alle autorizzazioni o il passaggio da un ruolo utente normale a un ruolo di amministratore all'interno dell'applicazione Web. Per tutte queste pagine critiche dell'applicazione Web, gli ID di sessione precedenti devono essere ignorati, un nuovo ID di sessione deve essere assegnato a ogni nuova richiesta ricevuta per la risorsa critica e l'ID di sessione precedente o precedente deve essere distrutto.


title: Sessione

text: I framework di sviluppo web più comuni forniscono funzioni e metodi di sessione per rinnovare l'ID di sessione, come codice_65& codice_66(J2EE), codice_67& codice_68(ASP.NET) o codice_69& codice_70(PHP).


title: Sessione

text: La rigenerazione dell'ID di sessione è obbligatoria per prevenire attacchi di fissazione della sessione, in cui un utente malintenzionato imposta l'ID di sessione sul browser Web dell'utente della vittima invece di raccogliere l'ID di sessione della vittima, come nella maggior parte degli altri attacchi basati sulla sessione, e indipendentemente dall'utilizzo di HTTP o HTTPS. Questa protezione mitiga l'impatto di altre vulnerabilità basate sul Web che possono essere utilizzate anche per lanciare attacchi di correzione della sessione, come la suddivisione della risposta HTTP o XSS.


title: Sessione

text: Una raccomandazione complementare è quella di utilizzare un ID di sessione o un nome token (o un set di ID di sessione) diversi prima e dopo l'autenticazione, in modo che l'applicazione Web possa tenere traccia degli utenti anonimi e degli utenti autenticati senza il rischio di esporre o legare la sessione dell'utente tra entrambi gli stati.


title: Sessione

text: Se l'applicazione Web utilizza i cookie come meccanismo di scambio dell'ID di sessione e più cookie sono impostati per una determinata sessione, l'applicazione Web deve verificare tutti i cookie (e applicare le relazioni tra di essi) prima di consentire l'accesso alla sessione dell'utente.


title: Sessione

text: È molto comune per le applicazioni Web impostare una pre-autenticazione del cookie utente su HTTP per tenere traccia degli utenti non autenticati (o anonimi). Una volta che l'utente si autentica nell'applicazione Web, un nuovo cookie sicuro post-autenticazione viene impostato su HTTPS e viene stabilita un'associazione tra entrambi i cookie e la sessione utente. Se l'applicazione web non verifica entrambi i cookie per le sessioni autenticate, un utente malintenzionato può utilizzare il cookie non protetto di pre-autenticazione per ottenere l'accesso alla sessione dell'utente autenticato.


title: Sessione

text: Le applicazioni Web dovrebbero cercare di evitare lo stesso nome di cookie per diversi percorsi o ambiti di dominio all'interno della stessa applicazione Web, poiché ciò aumenta la complessità della soluzione e potenzialmente introduce problemi di scoping.


title: Sessione

text: Per ridurre al minimo il periodo di tempo in cui un utente malintenzionato può lanciare attacchi su sessioni attive e dirottarle, è obbligatorio impostare i timeout di scadenza per ogni sessione, stabilendo per quanto tempo una sessione rimarrà attiva. Una scadenza insufficiente della sessione da parte dell'applicazione web aumenta l'esposizione di altri attacchi basati sulla sessione, poiché per poter riutilizzare un ID di sessione valido e dirottare la sessione associata, l'aggressore deve essere ancora attivo.


title: Sessione

text: Minore è l'intervallo di sessione, minore è il tempo a disposizione di un utente malintenzionato per utilizzare l'ID di sessione valido. I valori di timeout di scadenza della sessione devono essere impostati in base allo scopo e alla natura dell'applicazione Web e bilanciare sicurezza e usabilità, in modo che l'utente possa completare comodamente le operazioni all'interno dell'applicazione Web senza che la sua sessione scada frequentemente.


title: Sessione

text: Entrambi i valori di inattività e di timeout assoluto dipendono fortemente dalla criticità dell'applicazione Web e dei suoi dati. Gli intervalli di timeout di inattività comuni sono 2-5 minuti per applicazioni di alto valore e 15-30 minuti per applicazioni a basso rischio. I timeout assoluti dipendono da quanto tempo un utente utilizza normalmente l'applicazione. Se l'applicazione è destinata all'uso da parte di un impiegato per un'intera giornata, un intervallo di timeout assoluto appropriato potrebbe essere compreso tra 4 e 8 ore.


title: Sessione

text: Quando una sessione scade, l'applicazione web deve intraprendere azioni attive per invalidare la sessione su entrambi i lati, client e server. Quest'ultimo è il più rilevante e obbligatorio dal punto di vista della sicurezza.


title: Sessione

text: Per la maggior parte dei meccanismi di scambio di sessioni, le azioni lato client per invalidare l'ID di sessione si basano sulla cancellazione del valore del token. Ad esempio, per invalidare un cookie si consiglia di fornire un valore vuoto (o non valido) per l'ID di sessione e impostare l'attributo codice_26(o codice_25) su una data passata (nel caso in cui venga utilizzato un cookie persistente):codice_73


title: Sessione

text: Al fine di chiudere e invalidare la sessione lato server, è obbligatorio che l'applicazione web intraprenda azioni attive quando la sessione scade, o l'utente si disconnette attivamente, utilizzando le funzioni e le modalità offerte dai meccanismi di gestione della sessione, quali come codice_66(J2EE), codice_67(ASP.NET) o codice_76(PHP).


title: Sessione

text: Tutte le sessioni dovrebbero implementare un timeout di inattività o inattività. Questo timeout definisce la quantità di tempo in cui una sessione rimarrà attiva nel caso in cui non vi siano attività nella sessione, chiudendo e invalidando la sessione dopo il periodo di inattività definito dall'ultima richiesta HTTP ricevuta dall'applicazione Web per un determinato ID di sessione.


title: Sessione

text: Il timeout di inattività limita le possibilità che un utente malintenzionato abbia di indovinare e utilizzare un ID di sessione valido di un altro utente. Tuttavia, se l'aggressore è in grado di dirottare una determinata sessione, il timeout di inattività non limita le azioni dell'aggressore, poiché può generare periodicamente attività sulla sessione per mantenerla attiva per periodi di tempo più lunghi.


title: Sessione

text: La gestione e la scadenza del timeout della sessione devono essere applicate sul lato server. Se il client viene utilizzato per imporre il timeout della sessione, ad esempio utilizzando il token di sessione o altri parametri del client per tenere traccia dei riferimenti temporali (ad esempio il numero di minuti dall'ora di accesso), un utente malintenzionato potrebbe manipolarli per estendere la durata della sessione.


title: Sessione

text: Tutte le sessioni dovrebbero implementare un timeout assoluto, indipendentemente dall'attività della sessione. Questo timeout definisce la quantità massima di tempo in cui una sessione può essere attiva, chiudendo e invalidando la sessione dopo il periodo assoluto definito da quando la sessione data è stata inizialmente creata dall'applicazione web. Dopo aver invalidato la sessione, l'utente è costretto a (ri) autenticarsi nuovamente nell'applicazione web e stabilire una nuova sessione.


title: Sessione

text: La sessione assoluta limita la quantità di tempo che un utente malintenzionato può utilizzare una sessione dirottata e impersonare l'utente vittima.


title: Sessione

text: In alternativa, l'applicazione web può implementare un timeout di rinnovo aggiuntivo dopo il quale l'ID di sessione viene automaticamente rinnovato, a metà della sessione utente, e indipendentemente dall'attività della sessione e, quindi, dal timeout di inattività.


title: Sessione

text: Dopo un determinato periodo di tempo dalla creazione iniziale della sessione, l'applicazione Web può rigenerare un nuovo ID per la sessione utente e provare a impostarlo o rinnovarlo sul client. Il valore dell'ID di sessione precedente sarebbe ancora valido per un po' 'di tempo, adattando un intervallo di sicurezza, prima che il client sia a conoscenza del nuovo ID e inizi a usarlo. A quel punto, quando il client passa al nuovo ID all'interno della sessione corrente, l'applicazione invalida l'ID precedente.


title: Sessione

text: Questo scenario riduce al minimo la quantità di tempo in cui un determinato valore di ID sessione, potenzialmente ottenuto da un utente malintenzionato, può essere riutilizzato per dirottare la sessione dell'utente, anche quando la sessione dell'utente vittima è ancora attiva. La sessione utente rimane attiva e aperta sul client legittimo, sebbene il valore dell'ID di sessione associato venga rinnovato periodicamente in modo trasparente durante la durata della sessione, ogni volta che scade il timeout di rinnovo. Pertanto, il timeout di rinnovo integra i timeout di inattività e assoluti, specialmente quando il valore di timeout assoluto si estende in modo significativo nel tempo (ad esempio, è un requisito dell'applicazione mantenere aperte le sessioni utente per lunghi periodi di tempo).


title: Sessione

text: A seconda dell'implementazione, potenzialmente potrebbe esserci una condizione di competizione in cui l'attaccante con un ID di sessione precedente ancora valido invia una richiesta prima dell'utente vittima, subito dopo che il timeout di rinnovo è appena scaduto, e ottiene prima il valore per l'ID di sessione rinnovato. Almeno in questo scenario, l'utente vittima potrebbe essere a conoscenza dell'attacco poiché la sua sessione verrà interrotta improvvisamente perché il suo ID di sessione associato non è più valido.


title: Sessione

text: Le applicazioni Web dovrebbero fornire meccanismi che consentano agli utenti sensibili alla sicurezza di chiudere attivamente la propria sessione una volta terminato di utilizzare l'applicazione Web.


title: Sessione

text: Le applicazioni Web devono fornire un pulsante di disconnessione (disconnessione, uscita o chiusura sessione) visibile e facilmente accessibile, disponibile nell'intestazione o nel menu dell'applicazione Web e raggiungibile da ogni risorsa e pagina dell'applicazione Web, in modo che l'utente possa chiudere manualmente la sessione all'indirizzo in qualsiasi momento. Come descritto nella sezione "Session_Expiration", l'applicazione web deve invalidare la sessione almeno sul lato server.


title: Sessione

text: NOTA: Sfortunatamente, non tutte le applicazioni Web facilitano agli utenti la chiusura della sessione corrente. Pertanto, i miglioramenti sul lato client consentono agli utenti coscienziosi di proteggere le proprie sessioni aiutando a chiuderle diligentemente.


title: Sessione

text: Anche dopo la chiusura della sessione, potrebbe essere possibile accedere ai dati privati o sensibili scambiati all'interno della sessione tramite la cache del browser web. Pertanto, le applicazioni Web devono utilizzare direttive di cache restrittive per tutto il traffico Web scambiato tramite HTTP e HTTPS, come le intestazioni codice_77e codice_78HTTP e/o tag META equivalenti su tutte o (almeno) le pagine Web sensibili.


title: Sessione

text: Indipendentemente dalla politica della cache definita dall'applicazione Web, se è consentito il caching dei contenuti dell'applicazione Web, gli ID di sessione non devono mai essere memorizzati nella cache, quindi si consiglia vivamente di utilizzare la direttiva codice_79, per consentire ai client Web di memorizzare nella cache tutto tranne l'ID di sessione.


title: Sessione

text: Le applicazioni Web possono integrare le difese di gestione delle sessioni descritte in precedenza con contromisure aggiuntive sul lato client. Le protezioni lato client, in genere sotto forma di controlli e verifiche JavaScript, non sono a prova di proiettile e possono essere facilmente sconfitte da un aggressore esperto, ma possono introdurre un altro livello di difesa che deve essere aggirato dagli intrusi.


title: Sessione

text: Le applicazioni Web possono utilizzare il codice JavaScript nella pagina di accesso per valutare e misurare il tempo trascorso da quando la pagina è stata caricata e è stato concesso un ID di sessione. Se viene tentato un tentativo di accesso dopo un determinato periodo di tempo, il codice client può notificare all'utente che è trascorso il tempo massimo per l'accesso e ricaricare la pagina di accesso, recuperando così un nuovo ID di sessione.


title: Sessione

text: Questo meccanismo di protezione aggiuntivo cerca di forzare il rinnovo della pre-autenticazione dell'ID di sessione, evitando scenari in cui un ID di sessione precedentemente utilizzato (o impostato manualmente) viene riutilizzato dalla vittima successiva utilizzando lo stesso computer, ad esempio, negli attacchi di correzione della sessione.


title: Sessione

text: Le applicazioni Web possono utilizzare il codice JavaScript per acquisire tutte le schede del browser Web o gli eventi di chiusura (o anche indietro) della finestra e intraprendere le azioni appropriate per chiudere la sessione corrente prima di chiudere il browser Web, emulando che l'utente ha chiuso manualmente la sessione tramite il logout pulsante.


title: Sessione

text: Le applicazioni Web possono utilizzare il codice JavaScript una volta che l'utente ha effettuato l'accesso e una sessione è stata stabilita per forzare l'utente a eseguire nuovamente l'autenticazione se una nuova scheda o finestra del browser Web viene aperta per la stessa applicazione Web. L'applicazione Web non desidera consentire a più schede o finestre del browser Web di condividere la stessa sessione. Pertanto, l'applicazione tenta di forzare il browser Web a non condividere lo stesso ID di sessione contemporaneamente tra di loro.


title: Sessione

text: Il codice JavaScript può essere utilizzato dall'applicazione Web in tutte le pagine (o critiche) per disconnettersi automaticamente dalle sessioni client allo scadere del timeout di inattività, ad esempio reindirizzando l'utente alla pagina di logout (la stessa risorsa utilizzata dal pulsante di logout menzionato in precedenza).


title: Sessione

text: Il vantaggio di migliorare la funzionalità di timeout di inattività lato server con codice lato client è che l'utente può vedere che la sessione è terminata per inattività, o può anche essere avvisato in anticipo che la sessione sta per scadere tramite un conto alla rovescia e messaggi di avviso. Questo approccio intuitivo aiuta a evitare la perdita di lavoro nelle pagine Web che richiedono dati di input estesi a causa di sessioni scadute lato server.


title: Sessione

text: Se un utente malintenzionato tenta di indovinare o forzare un ID di sessione valido, deve avviare più richieste sequenziali contro l'applicazione Web di destinazione utilizzando ID di sessione diversi da un singolo (o set di) indirizzi IP. Inoltre, se un utente malintenzionato cerca di analizzare la prevedibilità dell'ID di sessione (ad esempio utilizzando l'analisi statistica), deve lanciare più richieste sequenziali da un singolo (o insieme di) indirizzi IP contro l'applicazione web di destinazione per raccogliere nuovi validi ID di sessione.


title: Sessione

text: Le applicazioni Web devono essere in grado di rilevare entrambi gli scenari in base al numero di tentativi di raccogliere (o utilizzare) ID di sessione diversi e avvisare e/o bloccare gli indirizzi IP offensivi.


title: Sessione

text: Le applicazioni Web dovrebbero concentrarsi sul rilevamento delle anomalie associate all'ID di sessione, come la sua manipolazione. Il progetto OWASP AppSensor fornisce un framework e una metodologia per implementare funzionalità di rilevamento delle intrusioni integrate all'interno di applicazioni Web incentrate sul rilevamento di anomalie e comportamenti imprevisti, sotto forma di punti di rilevamento e azioni di risposta. Invece di utilizzare livelli di protezione esterni, a volte i dettagli della logica di business e l'intelligence avanzata sono disponibili solo dall'interno dell'applicazione Web, dove è possibile stabilire più punti di rilevamento relativi alla sessione, ad esempio quando un cookie esistente viene modificato o eliminato, un nuovo cookie viene aggiunto, l'ID di sessione di un altro utente viene riutilizzato o quando la posizione dell'utente o l'agente utente cambia durante una sessione.


title: Sessione

text: Con l'obiettivo di rilevare (e, in alcuni scenari, proteggere da) comportamenti scorretti dell'utente e dirottamento della sessione, si consiglia vivamente di associare l'ID di sessione ad altre proprietà utente o client, come l'indirizzo IP del client, utente-agente o client certificato digitale basato su. Se l'applicazione Web rileva qualsiasi cambiamento o anomalia tra queste diverse proprietà nel mezzo di una sessione stabilita, questo è un ottimo indicatore della manipolazione della sessione e dei tentativi di dirottamento e questo semplice fatto può essere utilizzato per avvisare e/o terminare la sessione sospetta.


title: Sessione

text: Sebbene queste proprietà non possano essere utilizzate dalle applicazioni Web per difendersi in modo affidabile dagli attacchi di sessione, aumentano notevolmente le capacità di rilevamento (e protezione) delle applicazioni Web. Tuttavia, un utente malintenzionato esperto può aggirare questi controlli riutilizzando lo stesso indirizzo IP assegnato all'utente vittima condividendo la stessa rete (molto comune negli ambienti NAT, come gli hotspot Wi-Fi) o utilizzando lo stesso proxy Web in uscita (molto comune in ambienti aziendali) o modificando manualmente il suo agente utente in modo che appaia esattamente come fanno gli utenti vittima.


title: Sessione

text: Le applicazioni Web dovrebbero aumentare le loro capacità di registrazione includendo informazioni riguardanti l'intero ciclo di vita delle sessioni. In particolare, si consiglia di registrare gli eventi relativi alla sessione, come la creazione, il rinnovo e la distruzione degli ID di sessione, nonché i dettagli sul suo utilizzo durante le operazioni di login e logout, le modifiche del livello di privilegio all'interno della sessione, la scadenza del timeout, la sessione non valida attività (se rilevate) e operazioni aziendali critiche durante la sessione.


title: Sessione

text: I dettagli del registro potrebbero includere un timestamp, indirizzo IP di origine, risorsa di destinazione Web richiesta (e coinvolta in un'operazione di sessione), intestazioni HTTP (inclusi User-Agent e Referer), parametri GET e POST, codici e messaggi di errore, nome utente (o ID utente), più l'ID di sessione (cookie, URL, GET, POST...).


title: Sessione

text: I dati sensibili come l'ID di sessione non devono essere inclusi nei registri al fine di proteggere i registri di sessione dalla divulgazione locale o remota dell'ID di sessione o da accessi non autorizzati. Tuttavia, è necessario registrare un certo tipo di informazioni specifiche della sessione per correlare le voci di registro a sessioni specifiche. Si consiglia di registrare un hash salato dell'ID di sessione invece dell'ID di sessione stesso per consentire la correlazione del registro specifica della sessione senza esporre l'ID di sessione.


title: Sessione

text: In particolare, le applicazioni web devono proteggere a fondo le interfacce amministrative che permettano di gestire tutte le sessioni attive correnti. Spesso vengono utilizzati dal personale di supporto per risolvere problemi relativi alla sessione, o anche problemi generali, impersonando l'utente e osservando l'applicazione Web come fa l'utente.


title: Sessione

text: I registri di sessione diventano una delle principali fonti di dati di rilevamento delle intrusioni nelle applicazioni Web e possono anche essere utilizzati dai sistemi di protezione dalle intrusioni per terminare automaticamente le sessioni e/o disabilitare gli account utente quando vengono rilevati (uno o più) attacchi. Se vengono implementate protezioni attive, anche queste azioni difensive devono essere registrate.


title: Sessione

text: È la decisione di progettazione dell'applicazione Web determinare se sono consentiti più accessi simultanei dallo stesso utente dallo stesso o da indirizzi IP client diversi. Se l'applicazione Web non desidera consentire l'accesso simultaneo alla sessione, deve intraprendere azioni efficaci dopo ogni nuovo evento di autenticazione, terminando implicitamente la sessione precedentemente disponibile o chiedendo all'utente (tramite la vecchia, la nuova o entrambe le sessioni) la sessione che deve rimanere attivi.


title: Sessione

text: Si consiglia alle applicazioni Web di aggiungere funzionalità utente che consentono di controllare i dettagli delle sessioni attive in qualsiasi momento, monitorare e avvisare l'utente degli accessi simultanei, fornire funzionalità utente per terminare manualmente le sessioni in remoto e tenere traccia della cronologia delle attività dell'account (registro) mediante registrazione più dettagli del client come indirizzo IP, agente utente, data e ora di accesso, tempo di inattività, ecc.


title: Sessione

text: Ci sono situazioni in cui il codice sorgente dell'applicazione web non è disponibile o non può essere modificato, o quando le modifiche richieste per implementare le molteplici raccomandazioni sulla sicurezza e le migliori pratiche descritte sopra implicano una riprogettazione completa dell'architettura dell'applicazione web e, pertanto, non possono essere facilmente implementate a breve termine.


title: Sessione

text: In questi scenari, o per completare le difese dell'applicazione web, e con l'obiettivo di mantenere l'applicazione web il più sicura possibile, si consiglia di utilizzare protezioni esterne come Web Application Firewall (WAF) in grado di mitigare le minacce di gestione delle sessioni già descritte.


title: Sessione

text: I Web Application Firewall offrono funzionalità di rilevamento e protezione dagli attacchi basati sulla sessione. Da un lato, è banale per i WAF imporre l'utilizzo di attributi di sicurezza sui cookie, come i flag codice_8e codice_11, applicando regole di riscrittura di base sull'intestazione codice_82per tutte le risposte dell'applicazione web che impostano un nuovo cookie.


title: Sessione

text: D'altra parte, è possibile implementare funzionalità più avanzate per consentire al WAF di tenere traccia delle sessioni e degli ID di sessione corrispondenti e di applicare tutti i tipi di protezione contro la correzione della sessione (rinnovando l'ID di sessione sul lato client quando i privilegi cambiano vengono rilevati), imponendo sessioni permanenti (verificando la relazione tra l'ID di sessione e altre proprietà del client, come l'indirizzo IP o User-Agent), o gestendo la scadenza della sessione (costringendo sia il client che l'applicazione web a finalizzare la sessione).


title: Sessione

text: Il ModSecurity WAF open source, oltre al set di regole OWASP Core, fornisce funzionalità per rilevare e applicare gli attributi dei cookie di sicurezza, contromisure contro gli attacchi di fissazione della sessione e funzionalità di tracciamento della sessione per applicare sessioni permanenti.


title: Alexis Argüello

text: È uno dei pochi pugili ad aver conquistato titoli mondiali in tre diverse categorie di peso (piuma, superpiuma e leggeri), ritirandosi tutte le volte con indosso la cintura mondiale.


title: Alexis Argüello

text: Esordì fra i professionisti nel 1968, a 16 anni, in modo del tutto inusuale, per un futuro campione mondiale: perse l'incontro per KO al 1º round. Dopo due vittorie perse anche il 4º incontro, ai punti, ma da lì in poi la sua carriera divenne un elenco interminabile di vittorie prima del limite. Ben quattro match disputati da Argüello sono compresi nella lista compilata dalla rivista Ring Magazine dei 100 più grandi combattimenti di tutti i tempi, con titolo in palio.


title: Alexis Argüello

text: A venti anni Argüello era uno dei più forti pesi piuma del Centro America, ma aveva sempre gareggiato solo a Managua. Il 24 novembre 1973 indusse al ritiro il trentenne ex campione mondiale José Legrá, battendolo per Kot al primo round. Il 16 febbraio 1974 combatté per la prima volta fuori dal Nicaragua, a Panama City, sfidando il campione mondiale WBA, il panamense Ernesto Marcel. Argüello perse ai punti in 15 riprese. Marcel, che era solo ventiseienne, si ritirò dopo quell'incontro.


title: Alexis Argüello

text: Argüello ebbe quindi un'altra chance nove mesi più tardi, il 23 novembre del 1974, che sfruttò al meglio, battendo per KO al 13º round il fortissimo messicano Rubén Olivares e conquistando quindi il titolo WBA dei pesi piuma. Tale match fu riconosciuto anche dalla rivista specializzata Ring Magazine e valido per lo "status" di campione lineare . Nei primi undici round Olivares era ampiamente in vantaggio e nel 12º colpì duramente il nicaraguense. Nella ripresa successiva il messicano tentò di chiudere il match ma fu colpito da un terribile colpo d'incontro alla mascella che lo mise al tappeto facendogli perdere il paradenti. Olivares si rialzò ma fu nuovamente colpito da Argüello che lo mandò al tappeto sino al conto finale. Il match è collocato al 39º posto nella lista dei 100 più grandi combattimenti di tutti i tempi. Argüello mantenne il titolo mondiale dei piuma fino al 1977, quando lo lasciò vacante dopo quattro difese superate tutte prima del limite.


title: Alexis Argüello

text: Il 28 gennaio 1978 Argüello conquistò il mondiale WBC dei superpiuma battendo Alfredo Escalera per KO al 13º round. Identico risultato si verificò nel match di rivincita, il 4 febbraio 1979. In tale occasione Escalera fu contato in piedi sino all'otto al quinto round e atterrato altre tre volte con un gancio sinistro di Argüello al quarto, al quinto e al tredicesimo round. A questo punto l'arbitro Poletti fermò l'incontro al conteggio di sette, con Escalera che aveva perso l'equilibrio mentre cercava di rialzarsi. Il portoricano scese dal ring con un taglio al sopracciglio sinistro e sotto l'occhio destro e Argüello con una ferita sopra l'occhio destro. Entrambi i match Argüello-Escalera sono compresi nella lista compilata dalla rivista Ring Magazine dei 100 più grandi combattimenti di tutti i tempi, rispettivamente al 67º e al 40º posto. Argüello abbandonò il titolo dei superpiuma nel 1980, dopo averlo difeso contro Rafael Limón, Bobby Chacon, Ruben Castillo e Rolando Navarrete, vincendo sempre prima del limite. In un match non valido per il titolo batté anche l'ugandese Cornelius Boza-Edwards per KOT all'8º round.


title: Alexis Argüello

text: Il 20 giugno del 1981 conquistò, battendo il britannico Jim Watt, anche il titolo mondiale WBC e della rivista "The Ring" dei leggeri, riconosciuto valido per il campionato lineare, a seguito della rinuncia al titolo del panamense Roberto Durán, ultimo titolare indiscusso della corona mondiale. Lo difese per la prima volta il 3 ottobre 1981 ad Atlantic City contro un astro nascente della boxe, l'italo americano Ray "Boom Boom" Mancini. Alla dodicesima ripresa, con il match ancora in equilibrio, Argüello mandò al tappeto l'avversario con un destro. Mancini fu atterrato nuovamente al 14º round e, a quel punto, il match fu interrotto dall'arbitro che attribuì la vittoria al nicaraguense per knock-out tecnico.


title: Alexis Argüello

text: Argüello difese altre tre volte il titolo mondiale dei leggeri battendo Roberto Elizondo, James Busceme e Andy Ganigan, sempre prima del limite. Poi, nel febbraio del 1983, abbandonò ancora una volta il titolo lasciandolo vacante.


title: Alexis Argüello

text: Nel frattempo aveva tentato di conquistare anche un quarto titolo mondiale, quello WBA dei superleggeri, con lo scopo di passare alla storia come il primo pugile ad aver indossato le cinture mondiali di quattro categorie diverse. Il suo tentativo fu però respinto da un altro fuoriclasse, l'afroamericano Aaron Pryor, il 12 novembre 1982 a Miami per KOT al 14º round. Al sesto round, Argüello fu ferito all'occhio sinistro. Si calcola che, nel complesso dell'incontro, Pryor abbia colpito il suo avversario con 428 pugni e il nicaraguense lo abbia centrato 238 volte. Dopo il combattimento vi furono polemiche per il contenuto di una bottiglia utilizzata da Pryor nell'intervallo del 13º round. Al suono della campana, infatti, Pryor sembrò rinato e sferrò una raffica di colpi sull'avversario senza ottenere risposta. Ciò indusse l'arbitro a fermare il combattimento. Non essendo stato controllato il contenuto della bottiglia né effettuati i test delle urine dopo il match, si sospettò che vi fossero contenute sostanze illegali. Tale incontro è collocato all'8º posto nella lista dei 100 più grandi combattimenti di tutti i tempi dalla rivista Ring Magazine che lo ha anche definito "il match del decennio".


title: Alexis Argüello

text: Stesso esito ebbe la rivincita, combattuta il 9 settembre 1983 al Caesars Palace di Las Vegas e conclusasi per KOT al 10º round. Pryor e Argüello divennero in seguito amici, frequentandosi diverse volte all'anno.


title: Alexis Argüello

text: Argüello rimase inattivo per l'anno 1984. Poi combatté altre due volte nel 1985 e nel 1986, con due vittorie prima del limite, prima di ritirarsi una prima volta dal pugilato. Risalì sul ring a quarantadue anni nel 1994, ottenendo un'altra vittoria ai punti, anche se con verdetto contrastato. Subì poi una sconfitta, ai punti, nell'ultimo match da lui sostenuto, il 21 gennaio 1995, prima di ritirarsi definitivamente.


title: Alexis Argüello

text: La International Boxing Hall of Fame lo ha ammesso fra i più grandi pugili di ogni tempo. Nel 1994 la rivista Ring Magazine lo ha considerato il miglior peso leggero junior della storia del pugilato e nel 2002 lo ha collocato all'ottavo posto tra i pesi leggeri. La medesima rivista lo ha classificato al 20º posto sia in un elenco dei primi 100 picchiatori di ogni epoca, sia in una propria classifica degli 80 migliori pugili degli ultimi 80 anni.


title: Alexis Argüello

text: Argüello fu anche un guerrigliero sandinista, a cui in seguito i sandinisti stessi espropriarono i beni, esiliandolo, dopo il suo passaggio a una visione anticomunista, negli USA. Questo avviene nel 1985, dopo che per un certo periodo Argüello aveva combattuto nel gruppo anticomunista dei Contras, appoggiati dagli Stati Uniti. In quel periodo Argüello si trasferì a Miami, dove divenne l'idolo degli esuli cubani che contestavano Fidel Castro.


title: Alexis Argüello

text: Poté tornare in Nicaragua solo dopo la caduta del governo sandinista, nel 1990, ma in seguito entrò in politica proprio seguendo l'antica fede. Nel novembre 2008 venne eletto sindaco di Managua.


title: Alexis Argüello

text: Il 1º luglio 2009 si suicidò con un colpo d'arma da fuoco al cuore, in circostanze non del tutto chiarite.


title: Lotus 102

text: La Lotus 102 è una monoposto di Formula 1 progettata dalla Lotus che ha gareggiato nel mondiale del 1990. È un'evoluzione della Lotus 101 e le sue varianti 102B e 102D hanno corso, rispettivamente, le stagioni 1991 e 1992.


title: Lotus 102

text: Utilizzando la 101 come base, Frank Dernie installò il motore Lamborghini V12 da 649 CV impiegato dal team Larrousse nella stagione 1989. Ciò rese la 102 l'unica Lotus con motore 12 cilindri. Il motore aveva parecchi difetti, in particolare le sue dimensioni, peso e consumi di carburante. Nonostante ciò, si pensava che l'aumento di potenza avrebbe superato gli svantaggi. Gli ingombri del motore imposero la sua installazione nel telaio in posizione ribassata, telaio che a sua volta dovette essere progettato sfruttando la larghezza massima consentita dai regolamenti in modo da poter montare serbatoi più capienti. Inoltre, a causa del peso del motore ogni componente della vettura venne analizzato per verificare se fosse possibile risparmiare ulteriormente peso in altre aree.


title: Lotus 102

text: L'ingaggio di Nelson Piquet alla Benetton e di Satoru Nakajima alla Tyrrell per il 1990 portò in squadra l'esperto Derek Warwick e il collaudatore promosso titolare Martin Donnelly. Questi piloti, che erano più alti di statura rispetto a Piquet e Nakajima, costrinsero i tecnici a ricorrere all'ennesimo compromesso, aumentando l'altezza della vettura più di quanto desiderato.


title: Lotus 102

text: Il team manager Rupert Manwaring dichiarò che il team avrebbe preso 40 punti. Dopo la prima gara fu però evidente che tanta fiducia venne malriposta.


title: Lotus 102

text: La Lotus faticò lungo tutta la stagione, ottenendo alla fine solo tre punti, il suo punteggio più basso dal 1958. Fu Warwick a metterli a segno, con un sesto posto in Canada ed un quinto posto in Ungheria, mentre Donnelly non segnò alcun punto. Spesso fu la mancanza di affidabilità del motore Lamborghini a privare la Lotus di possibili piazzamenti a punti.


title: Lotus 102

text: Paradossalmente, fu proprio l'impiego previsto del Lamborghini V12 il motivo principale per cui il tre volte Campione del Mondo Nelson Piquet decise di non rinnovare con il team dopo il 1989. Il brasiliano predisse (correttamente) che il motore, tutto da sviluppare, avrebbe ostacolato le chances di vittoria del team. Nonostante il Lamborghini, uno dei due motori V12 in Formula Uno a quel tempo (l'altro era il Ferrari), fosse sembrato promettente al suo debutto con il team Larrousse nel 1989, era indietro rispetto al V12 Ferrari, ai motori V10 Honda e Renault, e perfino rispetto al motore Ford V8 sia in potenza e soprattutto in affidabilità.


title: Lotus 102

text: Alla guida della 102 Martin Donnelly terminò la sua breve carriera in F1, con un incidente che quasi gli costò la vita, nel Gran Premio di Spagna 1990 a Jerez. Durante le prove del venerdì uscì di pista nella veloce curva a destra prima dell'ingresso ai box ed urtò le barriere ad alta velocità. La vettura si spezzò a metà, sbalzando il sedile (con ancorato Donnelly) fuori dall'abitacolo. Donnelly atterrò in mezzo alla pista, procurandosi gravi ferite che impiegarono diversi mesi per la guarigione. Due gare prima, a Monza, Warwick fu anch'egli protagonista di uno spettacolare incidente durante il primo giro della corsa, quando andò largo all'uscita della Parabolica urtando le barriere in velocità, capovolgendosi e strisciando lungo la pista. Ciò nonostante, Warwick rimase fortunatamente illeso. Uscì dalla vettura, che venne fortunosamente evitata dalle macchine che seguivano, tornò di corsa ai box (dove disse al team e ai giornalisti che l'incidente era colpa sua per essere andato troppo largo alla Parabolica) e prese parte nuovamente alla gara con la vettura di riserva.


title: Lotus 102

text: Dopo il terribile incidente a Jerez, che terminò la sua carriera, Donnelly venne sostituito nelle ultime due gare in Giappone ed Australia dal pilota inglese Johnny Herbert.


title: Lotus 102

text: Nel dicembre 1990 una cordata composta da Peter Collins e Peter Wright rilevò il team. A causa del cambio di proprietà avvenuto all'ultimo momento, il team non fu in grado di cominciare la stagione successiva con finanziamenti adeguati. Inoltre, i piani per l'introduzione della nuova 103, sempre progettata da Dernie, vennero accantonati, preferendo invece aggiornare la 102 alla specifica B.


title: Lotus 102

text: In un'intervista del 2014 riguardo al periodo passato in Lotus con il motore Lamborghini, Derek Warwick dichiarò che la vettura era mediocre e che "fletteva ovunque, si rompeva, era inaffidabile" aggiungendo anche che il V12 era "tutto rumore e niente spinta".


title: Lotus 102

text: La 102B fu la vettura schierata dalla Lotus per la stagione 1991. Nonostante avesse più di 800 nuove componenti non venne considerata sufficientemente diversa dalla 102 da giustificare un cambio di denominazione, seguendo un precedente stabilito dalla stessa Lotus 30 anni prima, quando la Lotus 25 venne quasi completamente riprogettata, ma nominata 25B. Sulla scelta influì l'aggravamento della situazione finanziaria del team, che perse il "main sponsor" Camel, passato alla Benetton: non essendosi presentato un nuovo partner, la vettura assunse una livrea di base bianca con inserti nelle storiche tinte istituzionali verde-oro del Team Lotus.


title: Lotus 102

text: Il pesante e inaffidabile (quantomeno sulla Lotus; sulla Lola del team Larrousse ottenne risultati migliori sin dal suo utilizzo nel 1989) motore Lamborghini venne rimpiazzato dal Judd EV V8 e cambiarono anche i piloti. Mika Häkkinen e Julian Bailey occuparono i sedili lasciati liberi da un demoralizzato Derek Warwick e dal convalescente Martin Donnelly. Fu subito chiaro che la vettura non reggeva assolutamente il passo della McLaren MP4/6 e della Williams FW14 nella gara di apertura a Phoenix. Häkkinen dichiarò che durante quella corsa il volante stranamente si staccò. La mancata qualificazione di Bailey al Gran Premio di Monaco determinò la sua sostituzione con il collaudatore Johnny Herbert per il resto della stagione. A causa degli impegni di Herbert nella Formula 3000 il pilota tedesco Michael Bartels venne chiamato durante le sue assenze ma fallì la qualificazione.


title: Lotus 102

text: La 102B permise al team di eguagliare il punteggio raggiunto nel 1990, ovvero tre punti. Con l'incremento delle sponsorizzazioni ed il ritardo nello sviluppo della 107 si decise di correre le prime quattro gare della stagione 1992 con la 102 in specifica D. La 102C fu spinta da un motore Isuzu V12 P799WE (), motore che venne sviluppato durante la stagione ma che non corse mai.


title: Lotus 102

text: L'ultima versione della 102 fu la 102D, la soluzione di ripiego con la quale la Lotus si presentò all'inizio della stagione 1992. Esteriormente simile alla 102B, la vettura fu dotata del motore Ford Cosworth HB V8 al posto del Judd EV V8. La livrea dismise il bianco dell'anno prima in favore del solo verde-oro Lotus. I piloti Häkkinen ed Herbert colsero quali migliori risultati un sesto posto a testa.


title: Gole di Celano

text: Le gole di Celano (dette anche gole di Aielli-Celano) sono delle gole situate tra i territori comunali di Aielli, Celano e Ovindoli (AQ) in Abruzzo, all'interno del parco naturale regionale Sirente-Velino e che unitamente alla val d'Arano e alla Serra di Celano fanno parte dei siti di interesse comunitario dell'Abruzzo.


title: Gole di Celano

text: Le gole erano note nel Medioevo anche come "gole delle Foci" o "gole del Foce" per via del toponimo "Fauces" che identificava un antico centro fortificato, l'acropoli di "Rocca de Foce" dominante sull'ocre di "Caelanus", ma anche un'area boschiva e un torrente.


title: Gole di Celano

text: Sono scavate per più di quattro chilometri dal Rio La Foce che riceve le acque del torrente della val d'Arano, il Rio Santa Jona, attraverso delle suggestive cateratte; il Rio La Foce a sua volta confluisce nei canali artificiali della sottostante piana del Fucino.


title: Gole di Celano

text: Esse separano il gruppo montuoso del Sirente (2348 ) e il monte Tino ("Serra di Celano", 1923 ). L'imbocco delle gole si trova a ridosso della val d'Arano, queste si addentrano tra i rilievi della Revecena, Savina, Serra dei Curti, Etra e della Defenza, rappresentando un importante fenomeno d'erosione dell'Appennino centrale. Il dislivello varia tra i 1330 dell'apice settentrionale e i 500 del versante fucense.


title: Gole di Celano

text: L'accesso alle gole della località Bocca di Castelluccio di Aielli è situato a circa 900 ; il toponimo richiama un incastellamento dell'XI-XII secolo noto in passato come "Castelluccio di Foce", raggiungibile da un sovrastante sentiero di epoca romana. Un'insenatura nei pressi della pineta, quasi in fondo al percorso accedendo da Aielli o Celano, porta alla Fonte degli innamorati, una piccola e suggestiva cascata d'acqua situata a 1029


title: Gole di Celano

text: Le pareti rocciose misurano, nella zona più profonda, quasi 200 metri di altezza. La larghezza media della gola è di circa 5-6 metri, con strettoie che non superano i tre metri. Le gole sono transitabili e visitabili da escursionisti sia in salita, provenendo da Aielli o da Celano, sia in discesa da Ovindoli accedendo dalla val d'Arano.


title: Gole di Celano

text: Nei pressi della forra si trovano i resti dell'eremo aiellese di San Marco ai Casaleni e del monastero di San Marco che, non distante dalla val d'Arano e precedentemente dedicato a Santa Maria Intra Fucem, fu custodito fino alla fine del XIV secolo dai monaci celestini, discepoli di Pietro da Morrone, fino al loro trasferimento nella chiesa celanese di San Michele Arcangelo donata alla congregazione dai Berardi conti di Celano.


title: John Sykes

text: Esponente del genere heavy metal, principalmente ha lavorato con Streetfighter, Tygers of Pan Tang, Thin Lizzy, Badlands (che pubblicarono solo un demo e da non confondere con l'omonima band di Jake E. Lee), Whitesnake e Blue Murder,


title: John Sykes

text: Inizia la sua carriera professionale sul finire del 1980 entrando nei Tygers of Pan Tang quando questi sono in procinto di registrare il loro secondo album, per quindi integrare i Thin Lizzy nel 1982, in tempo per contribuire con un pezzo, "Cold Sweat", a quello che sarà l'ultimo lavoro in studio dei rocker irlandesi, "Thunder and Lightning"; dopo il "tour d'addio" dei Lizzy, transita brevemente nella backing band di Phillip Lynott (Phil Lynott's Grand Slam).


title: John Sykes

text: Il vero successo in termini economici e di notorietà giunge con l'invito da parte di David Coverdale a entrare a fare parte dei suoi Whitesnake, con i quali riregistra diverse parti di chitarra per l'edizione statunitense dell'album "Slide It In" (1984) e partecipa alla composizione e alla registrazione del disco di maggior successo della band (l'eponimo "Whitesnake", che varrà al gruppo ben otto dischi di platino), un'esperienza durata nel complesso un biennio che lo porterà a suonare davanti a oltre 500 000 spettatori al festival Rock in Rio, e a beneficiare di una grande esposizione mediatica, agevolata anche dall'indubbia fotogenia.


title: John Sykes

text: Nel 1986, pochi mesi prima dell'uscita dell'album, il musicista è però licenziato da Coverdale in un contesto di reciproca acrimonia e mette in cantiere una nuova band, i Blue Murder, con i quali, dopo il fallimento degli abboccamenti con diversi cantanti, si cimenta anche come lead vocalist, con il resto della band che risulta costituito da Tony Franklin al basso e Carmine Appice alla batteria.


title: John Sykes

text: L'esperienza Blue Murder, fatto salvo un blando interessamento per il primo album (1989), sarà accolta con sostanziale indifferenza anche in ragione dell'affermarsi del grunge come forma di rock allora privilegiata dal ricco mercato americano. Appice e Franklin rassegnano così le loro dimissioni per dedicarsi ad altri progetti più remunerativi, con Sykes che riorganizza il gruppo con musicisti di minor profilo (salvo richiamare Appice come session man e sfruttare parti precedentemente registrate da Franklin in occasione del secondo e ultimo album in studio), finché nel 1994 la Geffen non scaricherà definitivamente la band. Sykes avvierà a quel punto una timida carriera solista priva di picchi commerciali.


title: John Sykes

text: Sul finire degli anni '90 promuove periodiche reunion dei Thin Lizzy collaborando con altri ex-membri della band irlandese come Scott Gorham, Brian Downey e Darren Warthon e con guest come Tommy Aldridge e Marco Mendoza a una lunga serie di "tribute tour", salvo ritrovarsi escluso da successive rifondazioni privilegianti fasi più classiche della storia del gruppo.


title: John Sykes

text: Nel secondo decennio del nuovo secolo si dedica alla lunga lavorazione di un nuovo album solista (titolo annunciato "Sy-Ops"), la cui pubblicazione sarà costantemente rimandata.


title: Filiale

text: Per filiale (o succursale), in economia aziendale, si intende una sede secondaria (figlia, appunto) di un'organizzazione più vasta.


title: Filiale

text: Generalmente il termine riguarda la struttura di società che, nascendo in un luogo ed espandendosi, necessitano di agenzie in zone diverse e distanti. Esempi di filiali sono le succursali bancarie, le sedi estere delle multinazionali o gli uffici distaccati delle imprese.


title: Filiale

text: All'interno dell'art. 1 del Testo unico bancario, la succursale è "una sede che costituisce parte, sprovvista di personalità giuridica, di una banca e che effettua direttamente, in tutto o in parte, l'attività della banca". L'art. 28 della previgente legge bancaria prevedeva delle autorizzazione per poter aprire delle succursali da parte di una banca. Con l'entrata in vigore del Testo unico bancario, la procedura di apertura di succursali è stata totalmente liberalizzata, a eccezione delle succursali di banche comunitarie o extracomunitarie.


title: Filiale

text: Secondo uno studio della Fabi, 3.062 comuni italiani al 2022 sono del tutto privi di filiali bancarie, insistendo su circa 4 milioni di cittadini e il 7% della popolazione complessiva.


title: Spadice

text: Lo spadice è un tipo di infiorescenza simile alla spiga riscontrabile in molte specie di piante monocotiledoni, soprattutto della famiglia delle Araceae. La foglia, spesso colorata, che lo avvolge, si chiama spata. È un tipo particolare di brattea.


title: Spadice

text: È caratterizzato da un asse principale spesso ed ingrossato e fiori a volte unisessuali e sessili (privi di peduncolo).


title: Spadice

text: Se i fiori sono ermafroditi, quelli femminili tendono a concentrarsi verso il basso, mentre quelli maschili si trovano piuttosto nella parte alta dell'infiorescenza, in maniera tale da ostacolare l'autofecondazione della pianta.


title: Pierre Boulanger (attore)

text: È noto soprattutto per aver recitato nel film francese "Monsieur Ibrahim e i fiori del Corano" del 2003 e nella commedia statunitense "Monte Carlo" del 2011.


title: Pierre Boulanger (attore)

text: A partire dal 2004, Boulanger ha inoltre recitato in singoli episodi di numerose serie televisive e film per la televisione francesi.


title: The Meters

text: The Meters è un gruppo musicale di musica funk. Venne fondato a New Orleans (nel Louisiana) come gruppo di accompagnamento di Fats Domino e fu attivo dalla fine degli anni sessanta fino al 1977.


title: The Meters

text: Nonostante pochi, seppur noti, successi musicali, i Meters sono citati, insieme ad altri artisti come James Brown, fra i "padrini" della musica funk, nonché una delle formazioni più influenti dello stile. Vengono inoltre nominati fra coloro che ispirarono, tra gli altri, Lee Dorsey, Robert Palmer e Dr. John.


title: The Meters

text: La loro musica si può definire come un insieme di groove melodici, stretti e sincopati, includenti forti riff di chitarra e tastiera.


title: The Meters

text: Il funk di New Orleans nacque, secondo alcuni, grazie ai fratelli Arthur e Aaron Neville. Art esordì, durante gli anni del liceo, con gli Hawketts: un complesso di amichetti.


title: The Meters

text: Nel 1955, i due fratelli ebbero un successo nazionale con il brano "Mardi Gras Mambo", e, successivamente, Aaron dovette congedarsi momentaneamente da Art quando partì per il servizio militare.


title: The Meters

text: A partire dagli anni sessanta, Aaron divenne noto grazie a canzoni che sfruttavano uno stile di canto yodel su una base rhythm and blues ("Over You", 1960; "Waiting At The Station", 1962; "Tell It Like It Is", 1966), mentre Art fu meno attivo, sebbene le sue tracce siano considerate migliori ("Zing Zing", 1958; e "All These Things", 1962). Alla fine degli anni sessanta, i due fratelli vennero ingaggiati da Allen Toussaint (New Orleans, nato il 14 gennaio 1938) con il quale intrapresero una lunga collaborazione. Considerato, a partire da quel decennio, una "leggenda" del R&B di New Orleans nonché una figura di riferimento come autore, artista solista, arrangiatore, produttore e pianista, Touissant divenne noto per aver collaborato con celebri musicisti blues e rock, e per aver ottenuto la "Rock and Roll Hall of Fame" nel 1998.


title: The Meters

text: I Meters vennero fondati nel 1966, ed erano modellati sulla "falsariga" di Booker T. & the M.G.'s, che presentavano una delle più celebri linee ritmiche della musica nera. La nuova formazione adattò il vecchio e pesante rhythm and blues pianistico al funky elettrico di Sly Stone, come avviene in strumentali da ballo come "Cissy Strut", presente nel loro omonimo esordio del 1969 (considerato inoltre il loro capolavoro).


title: The Meters

text: Attraverso album come "Look-A Py Py" (1970) e "Struttin"' (1972) vennero citati fra gli "ambasciatori itineranti" della musica di New Orleans. Durante il 1970, i Meters e ridefinirono il loro stile funk componendo brani quali "Look Ka Py Py", "Fire On The Bayou" e "Africa".


title: The Meters

text: Il loro stile definì il moderno funk di New Orleans. Nel 1975 si piazzarono in una "top 40" con "Hey Pocky A-Way", ottenendo significativi apprezzamenti fra la critica e gli ascoltatori di rock. Grazie alla notorietà di quel brano, la band venne, inoltre, invitata ad aprire i tour dei Rolling Stone tra il 1975 e il 1976.


title: The Meters

text: Durante gli stessi anni, i Meters intrapresero il progetto della Wild Tchopitoulas con il cugino di Art, lo zio George, Amos Landry, e due membri appartenenti alla band ufficiale del Mardi Gras delle tribu' indigene nere. I Meters, i Landrys, i Neville Brothers—Aaron, Charles, Art, e Cyril, furono tutti partecipi alle registrazioni dell'album "Wild Tchopitoulas", che ricevette ottime recensioni alla sua uscita avvenuta nel 1976. Nonostante il successo del disco, . quando la formazione si separò da Toussaint e Sehorn, dichiarando di sentire il bisogno di dare un'identità alla loro direzione artistica. Più tardi pubblicarono "New Directions" nel 1977, ma, subito dopo la sua apparizione, i due ex produttori reclamarono i diritti sul nome del gruppo. Fu così che, al fine di evitare litigi, il gruppo si sciolse: Art e Cyril formarono The Neville Brothers con Aaron e Charles, mentre gli altri tre componenti divennero musicisti da session a New Orleans.


title: The Meters

text: Zigaboo Modeliste, in particolare, divenne un noto musicista professionista, partecipò ad un tour con i New Barbarians nel 1979, e traslocò a Los Angeles negli anni ottanta.


title: The Meters

text: I Meters si riunirono come gruppo turnista nel 1990, con il batterista Russel Batiste che sostituì l'originario Modeliste.


title: The Meters

text: Quattro anni dopo, Nocentelli lasciò la band, presumibilmente a causa di un disaccordo con Art dovuta ad una questione legata ai musicisti hip hop che riproponevano i loro vecchi pezzi. Fu rimpiazzato da Brian Stoltz, che aveva suonato con The Neville Brothers.


title: Daniel Ezralow

text: È tra i fondatori della compagnia Iso e tra i ballerini originari della compagnia Momix. Ha realizzato coreografie teatrali, televisive e nel campo della moda. Ha collaborato con stilisti famosi come Roberto Cavalli ed ha al suo attivo la realizzazione delle coreografie di video musicali di cantanti tra cui Marina Rei, Andrea Bocelli, David Bowie, Ricky Martin, Sting, U2, nonché di alcune trasmissioni televisive quali "Amici di Maria De Filippi".


title: Daniel Ezralow

text: Dopo gli studi di danza all'Università di Berkeley (California), dove studia con David Wood e Marni Wood, all'età di vent'anni si trasferisce a New York, dove studia presso le compagnie di Ailey e Joffrey e inizia la collaborazione con alcune famose compagnie (dapprima con la 5 × 2 Plus Dance Company di Bruce Becker e Jane Kosminski, quindi con le compagnie di Lar Lubovitch e Paul Taylor), collaborazione che dura sino al 1986, quando inizia una tournée mondiale con la compagnia di ballo Iso, compagnia fondata nel 1983 e della quale Ezralow è ballerino solista, coreografo e direttore.


title: Daniel Ezralow

text: Nello stesso anno 1986 è impegnato come coreografo e attore nel film di Lina Wertmüller "Un complicato intrigo di donne, vicoli e delitti", mentre nel 1988 è coreografo dei film "Le ragazze della terra sono facili" ("Earth Girls Are Easy") e "La visione del Sabba", ove è anche protagonista, di Marco Bellocchio.


title: Daniel Ezralow

text: Nel 1994 ottiene un buon successo con lo spettacolo multimediale di successo "Salgari", dove è primo coreografo, ballerino e regista.


title: Daniel Ezralow

text: Nel 1995, recita nella serie televisiva "La famiglia Ricordi" e presenta al Festival Internazionale della Danza di Milano lo spettacolo "Mandala".


title: Daniel Ezralow

text: Nel 1998, è coreografo della 70ª edizione dei Premi Oscar: per le sue coreografie, riceve una nomination al Premio Emmy.


title: Daniel Ezralow

text: Nel 2002, vince l'American Coreography Award per lo spettacolo "Aeros Bravo"., mentre nel 2006 riceve il Premio Ischia Gassman.


title: Daniel Ezralow

text: A ottobre 2009 firma, per la Compagnia della Rancia, le coreografie della versione italiana del musical "Cats" di cui è anche regista associato accanto a Saverio Marconi. Lo spettacolo viene presentato nel settembre 2009 a Roma al Colosseo.


title: Daniel Ezralow

text: È stato il coreografo del Festival di Sanremo nelle edizioni del 2010, 2011 e 2012. Dalla dodicesima edizione di X Factor sarà il nuovo direttore artistico e coreografo subentrando a Luca Tommassini passato ad Amici di Maria De Filippi.


title: Daniel Ezralow

text: Nel 2018 è uno dei quattro giudici della seconda edizione di Dance Dance Dance, assieme a Deborah Lettieri, Vanessa Incontrada e Luca Tommassini.


title: Hedwig - La diva con qualcosa in più

text: Hedwig - La diva con qualcosa in più ("Hedwig and the Angry Inch") è un film del 2001 diretto da John Cameron Mitchell, tratto dal musical "Hedwig and the Angry Inch".


title: Hedwig - La diva con qualcosa in più

text: La produzione fa parte del filone di film glamrock basati sulle vicende di rockstar semifallite, concerti in costume, trucchi esagerati e vite vissute all'insegna della promiscuità sessuale durante il periodo che va dalla metà degli anni '70 alla metà degli anni '80, dello stesso genere il film del 1998 Velvet Goldmine.


title: Hedwig - La diva con qualcosa in più

text: Hansel, un bambino nato a Berlino est durante la guerra fredda, ha un'infanzia poco felice: il padre, un soldato americano, abusa di lui sin dalla più tenera età. Con l'andar del tempo Hansel scopre di essere una ragazza transgender; è appassionata di filosofia greca, mitologia ma, soprattutto, di musica rock. Hedwig, il suo nome, si sottopone a un intervento di cambio di sesso che produce però un risultato indefinito; in seguito questo specifico episodio ispirerà il nome del suo gruppo musicale (gli "Angry Inch", ovvero "Pollice arrabbiato") e una delle sue canzoni più scandalose.


title: Hedwig - La diva con qualcosa in più

text: Hedwig ha accettato di sottoporsi all'operazione soprattutto per poter lasciare il suo paese natio e per poter cominciare una nuova vita in Kansas, in compagnia del marito americano conosciuto nella capitale tedesca.


title: Hedwig - La diva con qualcosa in più

text: Quest'ultimo però la tradisce e la abbandona e Hedwig è costretta a lavorare come baby sitter. Ormai stufa, si trova da sola a ricostruirsi il proprio futuro, e lo fa con determinazione, scegliendo il palcoscenico. Il periodo è quello degli anni ottanta, epoca di David Bowie e di altri interpreti dai vistosi costumi: anche Hedwig si concede parrucche voluminose e trucchi pesanti, fondando il proprio gruppo rock. Con quest'ultimo è impegnata in serate variopinte, originali e trasgressive, soprattutto in locali cittadini.


title: Hedwig - La diva con qualcosa in più

text: Tuttavia, i problemi di Hedwig non sono finiti, poiché il suo talento musicale, le sue canzoni, sono stati rubati da un ragazzo poco più che adolescente, Tommy Gnosis, a cui lei, tempo addietro, aveva fatto da babysitter. Il ragazzo, ormai divenuto una star di fama mondiale e con il quale Hedwig ha avuto anche una storia d'amore, è costantemente pedinato e denunciato da Hedwig, anche se inutilmente. Hedwig si ritrova quindi obbligata a cantare le sue canzoni in quei locali di terza categoria fino a quando, ormai stanca, umiliata e piena di debiti, deve dire addio al suo gruppo, costretta nel giro della prostituzione.


title: Hedwig - La diva con qualcosa in più

text: Proprio durante una delle notti in cui è intenta a prostituirsi, si avvicina una limousine con dentro la rock star; lei, dapprima titubante, finisce col salire in auto ed ascoltare le spiegazioni che ha da darle il ragazzo. In primo luogo sembra che i due siano ritornati affiatati come un tempo: Hedwig, che nel frattempo ha preso il posto di guida, canta allegramente con Tommy Gnosis le sue canzoni. I due però restano coinvolti in un grave incidente stradale, e vengono entrambi arrestati.


title: Hedwig - La diva con qualcosa in più

text: Il film ha guadagnato un totale iniziale di $ 3.644.200 nelle sale nazionali da un budget di $ 6 milioni. Il film è uscito negli Stati Uniti in 9 sale il 20 luglio 2001 e ha incassato $ 156.724 nel suo weekend di apertura, classificandosi al 28º posto al botteghino. Nel 2019 "The Criterion Collection" ha pubblicato Hedwig su Blu-ray, per la prima volta. Nell'edizione speciale 'Reunion' il regista e star del documentario John Cameron Mitchell afferma che la scarsa apertura al botteghino era in parte dovuta alla data di uscita del film, il 12 settembre 2001; il giorno dopo gli attacchi dell'11 settembre a New York City. Poco dopo gli attacchi, tutte le sale cinematografiche hanno dato l'ingresso gratuito agli spettatori e, sebbene molte persone abbiano visto il film, l'ingresso gratuito ha significato che Hedwig And The Angry Inch non ha fatto soldi alla sua uscita. Il film ha guadagnato un seguito di culto internazionale ed è apparso in molte liste di "Migliori film". In Italia il film uscì il 16 novembre dello stesso anno.


title: Gerfalco

text: Gerfalco si trova a nord-ovest del capoluogo, ai piedi del rilievo montuoso delle Cornate dove si estende l'omonima riserva naturale. Le Cornate di Gerfalco costituiscono la vetta più elevata delle Colline Metallifere, raggiungendo l'altezza di 1060 metri s.l.m.


title: Gerfalco

text: Il borgo sorse in epoca medievale e fu conteso tra i vescovi di Volterra, i Pannocchieschi e gli Aldobrandeschi fino alla fine del XIII secolo, epoca in cui passò sotto il controllo della famiglia Pannocchieschi.


title: Gerfalco

text: Passato successivamente sotto il controllo dei Senesi, il paese conobbe alcuni periodi di decadenza. Nella seconda metà del XVI secolo anche Gerfalco venne inglobato nel Granducato di Toscana.


title: Gerfalco

text: Quella che segue è l'evoluzione demografica della frazione di Gerfalco. Sono indicati gli abitanti dell'intera frazione e dove è possibile la cifra riferita al solo capoluogo di frazione. Dal 1991 sono contati da Istat solamente gli abitanti del centro abitato, non della frazione.


title: 12º Reggimento bersaglieri

text: Le sue origini risalgono al 16 settembre 1883, quando fu costituito in Verona dai Reggimenti 6°, 8° e 10° che per la sua formazione cedettero quattro battaglioni che avevano partecipato alla campagna del 1860-1861 e alla liberazione del Veneto del 1866 nella quale si distinse il XXIII a Castel di Borgo guadagnando una Medaglia d'argento al valor militare. Alla gloriosa tradizione dei battaglioni di origine aggiunse il concorso alia formazione di reparti per la guerra di Abissinia del 1895-1896 e per la guerra italo-turca del 1911-1912 che portò alla conquista della Libia.


title: 12º Reggimento bersaglieri

text: Nel corso della prima guerra mondiale ha meritato una Medaglia di bronzo ed una seconda medaglia d'argento al valor militare per i combattimenti sostenuti sul Mrzli e sullo Sleme, ed infine una Medaglia d'oro al valor militare per i combattimenti sul Piave.


title: 12º Reggimento bersaglieri

text: Sciolto alla fine della prima guerra mondiale il reggimento venne ricostituito nel 1923 e per effetto della circolare ministeriale n° 3760 del 7 luglio 1924 viene interamente trasformato in reggimento bersaglieri ciclisti rimanendo articolato su due battaglioni e con il battaglione quadro soppresso. Con la legge 11 marzo 1926 n° 396, sul riordinamento del Regio Esercito, il Reggimento viene costituito su Comando, Deposito e due Battaglioni, il XXI e XXIII.


title: 12º Reggimento bersaglieri

text: Il reggimento ha preso parte nel 1935-1936 alla guerra italo-etiopica fornendo 10 ufficiali a reparti ed enti mobilitati.


title: 12º Reggimento bersaglieri

text: Nel 1939, un battaglione del Reggimento fu impegnato nelle operazioni per l'occupazione dell'Albania.


title: 12º Reggimento bersaglieri

text: All'entrata in guerra dell'Italia nel secondo conflitto mondiale Il reggimento era composto dal XXI Battaglione motociclisti e dai battaglioni XXIII e XXXVI autotrasportati dislocati sul fronte occidentale nella zona di Aosta, ma non prese parte ad alcuna operazione per il sopraggiungere dell'armistizio con la Francia.


title: 12º Reggimento bersaglieri

text: Nell'aprile del 1941, il reggimento venne trasferito in Jugoslavia alle dipendenze della Divisione corazzata "Littorio", ma dal 3 maggio fece rientro in Italia e dal giorno successivo dislocato in Liguria e in Emilia. Nel mese di dicembre, il Reggimento fece ritorno in Jugoslavia per circa un mese con compiti di esplorazione e ricognizione sul fronte della Divisione corazzata "Littorio" sulla direttrice Otac-Kunia, a Pagane, a Karlovac, a Mostar e a Sivok Brijga.


title: 12º Reggimento bersaglieri

text: Nel gennaio 1942 il reggimento fece rientro in Italia per raggiungere a scaglioni i porti di Taranto e Napoli in vista del suo trasferimento sul fronte dell'Africa Settentrionale. Durante il viaggio, la motonave "Victoria" che trasportava il XXXVI Battaglione venne silurata e nel naufragio si salvarono solo alcuni ufficiali e 200 bersaglieri. Giunto in Africa, il Reggimento, dopo un periodo di inquadramento della Divisione "Ariete", tornò alle dipendenze della Divisione "Littorio". Il 20 giugno il Reggimento, dopo essere passato per Tripoli ed Agedabia, venne schierato ad est di el Adem. A Sidi Rezegh e Trigh Capuzzo, il reggimento respinse l'attacco di una brigata indiana che intendeva raggiungere Tobruk per ricongiungersi con le truppe inglesi. Dopo questo successo, il Reggimento si spinse in avanti puntando su Marsa Matruh dove si attestò a caposaldo. Ripresa la marcia, il Reggimento raggiunse e occupò il 29 giugno Sidi Hamrisc e il giorno dopo proseguì la sua avanzata in direzione di el Alamein ridotto ormai ad un migliaio di uomini. Il 23 ottobre a seguito della grande offensiva inglese, il Reggimento iniziò un estenuante ciclo di battaglie di retroguardia per ritardare l'avanzata avversaria. Il 12 novembre, in ritirata, raggiunge Tripoli e venne sciolto l'8 dicembre 1942 con pochissimi superstiti che passarono passati alle dipendenze del ricostituito 7º Reggimento e continuarono la lotta in Tunisia.


title: 12º Reggimento bersaglieri

text: tra il 1939 e il 1943 al comando del reggimento si sono alternati i colonnelli Silvio Belluzzi, Arturo Benigni, Vincenzo Vittoria e Gaetano Amoroso.


title: 12º Reggimento bersaglieri

text: Il 24 maggio 1961 il I battaglione bersaglieri, ceduto al 182º Reggimento fanteria corazzato "Garibaldi", con sede a Sacile, cambiò il numerico in XXIII battaglione, che il 1º marzo 1964 avrebbe poi assunto la denominazione di XI Battaglione bersaglieri ereditando le tradizioni dell'XI battaglione bersaglieri ciclisti dell'11º Reggimento bersaglieri nella sede di Sacile e nella stessa data venne ricostituito il 32º Reggimento carri della Divisione corazzata "Ariete", che ai due battaglioni carri del reggimento, che assunsero la denominazione di III e V battaglione carri, equipaggiati con carri M47 Patton, venne affiancato un battaglione bersaglieri meccanizzato, il XXIII Battaglione bersaglieri, con sede a Tauriano, equipaggiato con VTT M113.


title: 12º Reggimento bersaglieri

text: Il 30 settembre 1975, nel quadro del processo di ristrutturazione dell'Esercito Italiano, che aboliva il livello reggimentale, il 32º Reggimento carri venne sciolto dando origine alla 32ª Brigata corazzata "Mameli", nella quale vennero inquadrati i battaglioni prima appartenenti al reggimento divenuti autonomi e il 1º ottobre 1975, a Tauriano di Spilimbergo in provincia di Pordenone venne costituito dal XXIII Battaglione bersaglieri il 23º Battaglione bersaglieri "Castel di Borgo" al quale venne assegnata bandiera, ereditando le tradizioni del 12º Reggimento. Nel 1980-1981 ha partecipato alle operazioni di soccorso alle pololazioni terremotate dell'irpinia.


title: 12º Reggimento bersaglieri

text: Dall'ottobre 1983 al gennaio 1984 il battaglione ha preso parte alla Missione di Pace in Libano. Dal 1º Aprile 1991 il battaglione è passato alle dipendenze della Brigata corazzata "Ariete" per essere poi ridislocato il 31 marzo del 1992 dalla sede di Tauriano in Sicilia, con base a Trapani, dove è operativo dall'11 maggio, alle dipendenze della Brigata meccanizzata "Aosta".


title: 12º Reggimento bersaglieri

text: Il 2 settembre 1992 il 12º Reggimento bersaglieri venne ricostituito alle dipendenze della brigata "Aosta" a Trapani, nella Caserma "Luigi Giannettino", inquadrando alle sue dipendenze il 23º Battaglione bersaglieri "Castel di Borgo". Tra il 1992 e il 1998 il reggimento è stato impiegato nell'operazione Vespri siciliani, e responsabile operativo dei reparti dislocati nella provincia di Trapani.


title: 12º Reggimento bersaglieri

text: Nel gennaio 2005, con la professionalizzazione delle forze armate, il reggimento viene soppresso e sostituito nella sede dal ricostituito 6º Reggimento bersaglieri.


title: 12º Reggimento bersaglieri

text: Nella sua storia il 12º Reggimento bersaglieri ha meritato le seguenti onorificenze alla bandiera di guerra:


title: 12º Reggimento bersaglieri

text: "Onorificenza": accollata alla punta dello scudo con l'insegna dell'Ordine Militare d'Italia pendente al centro del nastro con i colori della stessa.


title: 12º Reggimento bersaglieri

text: "Nastri rappresentativi delle ricompense al Valore": una Medaglia d'Oro al Valor Militare, due Medaglie d'Argento al Valor Militare, una Medaglia d'Argento al Valor dell'Esercito, due Medaglie di Bronzo al Valor Militare, sono annodate nella parte centrale non visibile della corona turrita, scendenti svolazzanti in sbarra ed in banda dal punto predetto, passando dietro la parte superiore dello scudo.


title: 12º Reggimento bersaglieri

text: La prima partizione è dedicata a Castel di Borgo, località della Valsugana ove il XXIII btg. Ha meritato una M.A.V. M. nel 1866.


title: 12º Reggimento bersaglieri

text: La seconda partizione è riservata alla partecipazione del reggimento alla Guerra 1940-43. Nella parte superiore le stelle alpine simboleggiano il fronte alpino occidentale, nella parte inferiore il silfio ricorda le operazioni in Africa Settentrionale. Il color porpora della "burella" è il colore tradizione della specialità.


title: 12º Reggimento bersaglieri

text: La terza partizione è riferita alla Grande Guerra: in particolare vi sono rappresentati il fiume Isonzo, sulle cui rive i bersaglieri del reggimento meritarono una M.A.V.M. e una M.B.V.M., e i monti che sovrastano lo stesso fiume, teatro di gloriose imprese.


title: 12º Reggimento bersaglieri

text: Il capo d'oro simboleggia la massima ricompensa al V.M. meritata dal XXIII Reparto d'Assalto (le cui tradizioni sono state affidate al reggimento) come testimonia il gladio riportato nel quartier franco.