Newsgroup: it.comp.sicurezza.varie
Titolo: Copie PGP fatte da Hakers ?

V'immaginate che se la vostra copia di PGP fosse pirata, la sicurezza
andrebbe a farsi benedire ?
Come si fa ad essere sicuri che la mia/vostra copia di PGP non sia
stata falsificata ?



Ogni copia di PGP porta una firma PGP dell'autore del programma,
che puo' essere verificata appena installato il programma.
(Dentro il file .zip c'e' un'altro .zip e la firma che ne
garantisce l'autenticita').
Per verificare la firma occorre la chiave pubblica di
Zimmermann, contenuta nel file stesso, ma molto diffusa,
prelevabile da tante fonti diverse e percio' praticamente sicura
da falsificazioni.
Inoltre, anche i sorgenti (in linguaggio C) di PGP sono pubblici
e firmati. Sono diffusissimi, possono essere esaminiati da chiunque
e sono di fatto stati esaminati da parecchi competenti programmatori.
Se ci fosse dentro un trucco, una "back door" e cose del genere,
non avrebbe potuto in nessun modo rimanere nascosto.
Per tutte queste ragioni una copia "pirata", ossia modificata, di PGP
verrebbe scoperta subito.
Ciao.
Giorgio Chinnici <> Milano-Italy <> PGP Key available
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
Visitate Nimrod/PGP 
http://www.serve.com/nimrod/pgp.html
Pagina PGP in italiano costantemente aggiornata ed estesa

frances...@skynet.be
 wrote:
 >Come si fa ad essere sicuri che la mia/vostra copia di PGP non sia
 >stata falsificata ?
Si controlla l'archivio con la firma che viene allegata.
-- 
ciao,			[To reply remove "+nospam" from my address.        ]
Marco			[Per rispondere togli "+nospam" dal mio indirizzo. ]
              * The Internet is full. Go away.  -- Joel Furr *

ovvero in pratica fuori linea.
Se tu presupponi che tutte le copie di PGP esistenti siano taroccate,
allora e' cosi'.
Ma ripeto, se facciamo una considerazione di sicurezza pratica e non teorica,
ossia se non caschiamo nella semplice paranoia, allora tu puoi procurarti
indipendentemente da diverse fonti online la chiave di Zimmermann e una
copia di PGP. Puoi fare dei controlli incrociati.
Io credo che sia possibile fare una copia taroccata avendo per bersaglio
una persona precisa, magari un po' sprovveduta che la prende dal taroccatore
fidandosi di lui, ma di sicuro quella copia se viene esaminata e' riconoscibile
come tale, e se va in giro sulla rete viene scoperta.
Ma, se tu ottieni la tua copia dal sito di Schumacher, o, se sei americano,
dal MIT, allora c'e' un grande complotto o mi pare estremamte difficile
sostiuire le copie buone di questi "distributori ufficiali" senza che la cosa
venga scoperta immediatamente.
Ci puo' essere qualcuno che ti spia continuamente per cui e' li' ad intervenire
appena tu decidi di scaricare la tua copia, si insinua sul collegamento e te
ne manda invece una taroccata? Certamente, ci puo' essere.
Ma io dormo lo stesso sogni tranquilli :-), sapendo che invece faccio bene ad usare
PGP nella mia corrispondenza. Non ho nulla da nascondere, ma la privacy della
corrispondenza e' un diritto fondamentale, e so che invece e' una eventualita',
dalla probabilita' astronomicamente piu' elevata di quella del complotto o
della spia sulla tua linea, il fatto che altre persone possano leggere, magari per puro
divertimento, la tua posta email se la mandi in chiaro.


 
Niente da dire contro pgp, ma il quesito nel messaggio era preciso e
riguardava la verifica della copia scaricata: usare la stessa copia per
la verifica non ha senso.
ciao
- Claudio

la verifica non ha senso.
E' vero, te l'ho gia' detto. E' vero, perche' la sicurezza al 100% non esiste,
ma in niente. Pero' tutti noi andiamo in giro in Internet sperando che nessuno
ci formatti l'HD, e io personalmente uso PGP confidando di avere una copia buona,
di usare chiavi pubbliche buone, ecc. Questo perche' e' una questione di probabilita',
ed i benefici che ottengo superano i rischi. Anche per un discorso di diffusione
della cultura della privacy.
Io chiudo comunque a chiave la mia porta di casa, di certo non la lascio aperta
solo perche' tanto chiunque con un grimaldello puo' scardinarla lo stesso.
Ciao :-)
Giorgio Chinnici <> Milano-Italy <> PGP Key available
mailto:
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
Visitate Nimrod/PGP 
http://www.serve.com/nimrod/pgp.html
Sito PGP in italiano costantemente aggiornato ed esteso

nim...@mail.serve.com
 wrote:
 >qualcosa. Per esempio, anche una qualunque chiave pubblica PGP che tu
 >ricevi via rete non e' mai sicura al 100%. Ora, e' bene prendere
A meno che non sia firmata da una chiave di cui tu hai fiducia...
 >le dovute precauzioni in fatto di chiavi e seguire delle norme di sicurezza.
 >Ma se dovessimo inseguire la sicurezza al 100% allora di fatto non
 >useremmo mai PGP, tranne che nei casi in cui il nostro corrispondente
 >ci estrae la chiave dal suo keyring sotto i nostri occhi dopo averci
 >mostrato la carte di identita' :-)
I signing party sono fatti apposta :-), la prossima volta che vado a una
conferenza mi porto dietro un po' di fogli con sopra la mia chiave pubblica.
In questo modo posso distribuirli in giro, e chi li ottiene puo` poi
confrontarli con la chiave scaricata dalla rete (senza doverla ribattere
a mano! :-) ).
 >Ma, se tu ottieni la tua copia dal sito di Schumacher, o, se sei americano,
*E* la verifichi con una chiave di cui ti fidi e che hai verificato tramite
piu` parti, non dimentichiamo che sostituirsi a un host remoto non e` poi
cosi` difficile, sopratutto se si usano proxy o se si e` una lan.
BTW, so che esistono diverse traduzioni dei messaggi di PGP (ne avevo
fatta una anche io, ma non l'ho mai distribuita perche` non mi piaceva),
sai dirmi dove prenderle?
Vorrei internazionalizzare decorosamente il pgp di Linux/Debian.


divertimento, la tua posta email se la mandi in chiaro.
ciao giorgio,seguo con interesse questo thread e prendo spunto per
fare una domanda che col thread c'entra poco o niente...ma e'
possibbole che non esista un modo per memorizzare la pass phrase
efficacemente??? non si puo' mettere nell'autoexec...,si potrebbe
cifrarla e decifrarla a ogni accensione/spegnimento del personal ma
anche questo e' noioso...,come mai la  password che uso per l'account
viene memorizzata cifrata in un file .ini e la devo scrivere una sola
volta??non si puo' usare lo stesso metodo per la pass-phrase?? o e'
poco sicuro??ciao e scusate l'intromissione.
[federico|end]
e...@iol.it
Key fingerprint = BB 82 C6 18 2B A2 77 44  48 E0 CC E5 BF EC 67 9E
"la Scienza e' un'equazione differenziale ; 
la Religione e' una condizione al contorno"
Alan M. Turing


Giorgio Chinnici <> Milano-Italy <> PGP Key available
mailto:
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
   Mere words! Was there anything so real as words?
   (Oscar Wilde - The Picture of Dorian Gray)

E questo e' quanto dice la FAQ sulla back-door o trap door:
3.15. How do I know that there is no trap door in the program? 
The fact that the entire source code for the free versions of PGP is available makes it just
about impossible for there to be some hidden trap
door. The source code has been examined by countless individuals and no such trap door has been
found. To make sure that your executable
file actually represents the given source code, all you need to do is to re-compile the entire
program. 
In generale val la pena leggere queste FAQ perche' contengono risposte (ovviamente non
verita' assolute ma almeno un parere autorevole su un argomento gia considerato
e discusso sufficientemente a lungo), tra l'altro, su tutti i problemi di "security"
connessi con PGP.
Ciao :-)


stata discussa ed affrontata.
Faro' anch'io questa ricerca. Se non troviamo nulla, possiamo pensare
di elaborare una FAQ con la partecipazione di tutti quelli che stanno
seguendo questo thread.
Francesco

 informazioni che si fanno viaggiare in linea.
No, non a prescindere: sono i dati che viaggiano che decidono se certi
investimenti verranno fatti per intercettarli. Nessuno utilizzarebbe un
Cray per decifrare la mia corrispondenza, mentre lo potrebbe usare per i
dati della CIA. =
ciao
- Claudio

dati della CIA. =
Non stiamo parlando di strumenti, ma di atteggiamento mentale e di
impostazione di base. Cio' vuol dire che la security  privata non
differisce a livello di principi da quella commerciale/politica, ma
solo a livello di approfondimento. 
Francesco

"dimenticata" dal computer) ha una finestra di ore (o giorni).
insomma mi devo rassegnare....credevo che si potesse tenere la
passphrase cifrata in un file .ini, ma la momento dell'utilizzo deve
essere decifrata e quindi resa in chiaro e cio' farebbe crollare il
livello di sicurezza,inoltre credo che i metodi con cui vengono
cifrate la password dai vari mailers,trumpet,netscape... siano molto
banali e quindi molto accessibili. grazie.


feature che gli permette di ricevere la passphrase ...
esiste questa possibilita' anche per linux???


frances...@skynet.be
 wrote:
 >"Come verificare la validità del proprio PGP" non è un argomento
 >trattato nel manuale di PGP. 
Una volta veniva distribuito un file PARANOID dove era trattato l'argomento,
non so se esiste ancora.
 >DOMANDA: questa procedura di verifica della validità, la cui
 >accuratezza dipende dagli interessi in gioco, va fatta anche per altri
 >tipi di programmi ? Ad esempio va fatta per lo shell di PGP ? Per
 >quali altri programmi ancora ?
Dipende tutto dalla sicurezza che vuoi ottenere. Avere un PGP ultrasicuro
serve a poco se intanto sulla tua workstation e` installato un rootkit
al completo e 4-5 cracker ci girano senza che tu nemmeno lo sappia.


 =
Daccordo sulla panacea. Sui tempi ti ho detto sopra la mia opinione,
anche se nel caso di pgp, che in fondo e` un programma o un prodotto e
non un algoritmo, i tempi possono comunque essere quelli che dici.
ciao
- Claudio

e...@iol.it
 wrote:
 >>, ma pgp per unix ha una
 >>feature che gli permette di ricevere la passphrase ...
 >esiste questa possibilita' anche per linux???
Certo, io uso mutt come mailreader (vivamente consigliato):
http://www.cs.hmc.edu/~me/mutt/index.html
ftp://ftp.cs.hmc.edu/pub/me/mutt
(Scarica dal sito web i cfg di esempio, altrimenti e` un po' spento...)
