Newsgroup: it.comp.sicurezza.varie
Titolo: Affidabilità programmi di crittografia

Da inesperto mi chiedo: nei programmi di crittografia (esclusi quelli a
doppia chiave) a che serve l'impiego dei migliori algoritmi (Blowfish, IDEA,
ecc.) quando i file crittografati sono apribili con le loro passwords?
Cerco di spiegarmi meglio: se scanners, bruteforce, o altro, possono
individuare le passwords, con queste è possibile aprire i documenti a
prescindere dall'algoritmo utilizzato dal programma che li ha crittografati.
In questo contesto posso solo immaginare che la sicurezza sia garantita da
passwords particolarmente lunghe o complesse, non individuabili con metodi
ad oggi conosciuti.
E' cosi?
Che limiti hanno scanners, bruteforce, ecc.?
Grazie a chi mi chiarirà le idee.
Saluti, Leopoldo

ecc.) quando i file crittografati sono apribili con le loro passwords?
A che serve l'impiego della serratura nella tua porta di casa quando
essa e' apribile con la tua chiave?
Scusa ma non ti capisco. Se tu stesso parli di "migliori" algoritmi
hai gia' trovato risposte per tutte le tue domande.
Lapalissiano
Icq 57269703

Che limiti hanno scanners, bruteforce, ecc.?
Il tempo.
Sapere che un brute force puo' aprire un file in cinquecento anni di
elaborazione continua, porta ad un relativo senso di sicurezza.
Fai questo esperimento:
trova una serratura a combinazione, di quelle semplici, a due rotori,
come si trovano in alcune ventiquattrore, o in catenacci da bicicletta:
con 99 tentativi massimi ( e puoi basarti poi sulla media) la apri
sicuramente, con tre al massimo ti servono gia' 999 tentativi. Se
l'esperimento lo fai a casa tua, nel tuo garage dove l'anno scorso hai
messo via la bicicletta, chiusa, e ti sei dimenticato la combinazione,
puoi anche provare mille volte, te la cavi; ma se lo provi a fare in
strada, secondo me prima di esserci riuscito, senti un toc toc sulla
spalla da parte di un simpatico giovanotto in divisa che ti chiede se
hai bisogno di aiuto. Se hai studiato all'actor studio, puoi ancora
cavartela.
Fa cosi' anche il brute force[*] prova tutte le combinazioni possibili,
finche non ottiene un qualcosa di diverso dal rumore.
Ma se al posto di quella da due ne prendi una con 6 quadranti, ti serve
provare mezzo milione di combinazioni[**].
Ma se la serratura e' di quelle che fanno agire il secondo rullo SOLO se
il primo e' in posizione corretta, e cosi' via, i tentativi necessari
salgono in modo esponenziale.(avessi studiato piu' matematica, quando
era ora, potrei anche essere piu' preciso:-) )
Con i sistemi di crittatura, il concetto e' simile: chiave lunga, e
metodo _bastardo_ per riutilizzarla, e il tempo di sfondamento diventa
sempre piu' vicino all'impossibile.
[*] Ovviamente, prima si provano le _solite_ combinazioni: 123 321 111,
etc. quelle piu' stupide, basandosi su un dizionario.
[**] Ipotizzando un tentativo random, non sequenziale. Da cio', il
problema si ribalta su chi chiude il lucchetto: che cifre scegliere per
il massimo tempo statistico di apertura? ;-)
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

era ora, potrei anche essere piu' preciso:-) )
Sempre mezzo milione (mediamente).
Pero' - mentre nel primo caso si devono effettuare al piu' 1.111.110
scatti, nel secondo caso tale numero e' 9.999.999, cioe' dieci volte
superiore, o 10.999.999 (11x). La complessita' sale in modo lineare.
Per evitarvi fatiche, la combinazione della mia valigetta e' 12345.
+++
Mi ricordo ai bei tempi quando avevo come password su un sistema, la
parola "dinars". E avevo messo in giro che stavo con una ragazza che
si chiamava Donata. Piu' di un pollastro, vedendomi scrivere la pw e
facendo 2+2=5, mi ha inconsapevolmente carpito la password letale.
Solo tre pero' la usarono (nulla di male: cambiava solo la shell del
DOS con la AlShell, entrando come utente "guest").
Contrariamente a quanto mi sarei aspettato, nessuno si accorse che i
caratteri dello sfondo di SYSCON non erano i normali "ALT+178" ma un
ricamo di cazzetti. Tsk. Venti minuti di lavoro con FONTEDIT buttati
al vento <sniff>.
Leonardo che aveva tempo da perdere
".signature": bad command or file name

 Leonardo che aveva tempo da perdere
Eh si, 8-)
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

Per evitarvi fatiche, la combinazione della mia valigetta e' 12345.
E' quella dell'   imperatore ?    ;-D