Newsgroup: it.comp.sicurezza.varie
Titolo: Pecoraro Scanio intercettato

é notizia recente di intercettazioni ai danni del parlamentare Alfonso Pecoraro
Scanio
http://it.reuters.com/article/topNews/idITDIG42745820080404
http://www.adnkronos.com/IGN/Cronaca/?id=1.0.2039439567
http://www.ilgiornale.it/a.pic1?ID=252279
http://www.repubblica.it/2008/04/sezioni/cronaca/pecoraro-indagato/atti-ministri/atti-ministri.html
http://www.ilsole24ore.com/art/SoleOnLine4/Italia/2008/04/pecoraro-indagato-woodcock.shtml?uuid=04973340-0210-11dd-ad63-00000e251029&type=Libero
Ma a tutti i parlamentari era stato fornito il "criptofonino",un telefono
cellulare criptato che avrebbe dovuto evitare le intercettazioni.  Naturalmente
 il conto l'aveva pagato il contribuente !
http://www.repubblica.it/2007/07/sezioni/scienza_e_tecnologia/criptofonino-deputati/criptofonino-deputati/criptofonino-deputati.html
molte delle telefonate intercettate erano effettivamente criptate, anche se
 questo non é servito ad evitare le intercettazioni
http://www.ilgiornale.it/a.pic1?ID=252513
queste telefonate, inoltre erano state effettivamente effettuate con i cellulari
 forniti dal ministero
http://qn.quotidiano.net/politica/2008/04/04/77731-voli_gratis_pecoraro.shtml
questo "criptofonino" é quindi inutile per eliminare le intercettazioni ?
Il fatto é che la caspertech aveva annunciato che la crittografia dai suoi
 dispositivi puó essere disabilitata per ordine della magistratura
http://www.corriere.it/Primo_Piano/Cronache/2006/10_Ottobre/31/mottola.shtml
Quindi é piú che legittimo dubitare della sicurezza di questo fantomatico
 "criptofonino" offerto senza altra garanzia se non la parola della sconosciuta
 ditta produttrice 
http://www.caspertech.com/
Per quello che ne sappiamo potrebbe essere quello che, in gergo si chiama 'snake
 oil' cioé un applicativo inefficace e buggato,
http://en.wikipedia.org/wiki/Snake_oil_(cryptography)
se non un fake totale:  cosa ne sappiamo di quello che fa questo software ?
chi ha la possibilitá di controllare ?
potrebbe anche non fare niente !
Del resto gli esperti hanno sempre raccomandato, per tutto quello che riguarda
la crittografia di poter conoscere il codice sorgente del programma utilizzato,
cosa che la Caspertech non ha mai fatto.
Miriam Ponzi, sicuramente un' esperta in sicurezza ha pubblicamente dichiarato
che, proprio per questi motivi non avrebbe MAI usato un criptofonino.
http://www.mediafire.com/?s5pyjd3lb12
Una valida alternativa al "criptofonino" closed source viene dalla Germania: dal
 sito internet 
http://www.cryptophone.de
  viene presentato un software per
 cellulari criptati (gratuito per uso personale su pc) accompagnato dal codice
 sorgente, permettendo quindi di controllare quello che si acquista.

 Scanio
[cut]
Per un amministratore di denaro pubblico l'intercettazione
non dovrebbe essere "ai danni" ma accolta con gioia.
Il governo una sorta di reality show che tutti possono
seguire in diretta.
Io un decreto per neutralizzare le intercettazioni lo do
fra i primissimi provvedimenti del Berlusconi 4.
Con l'appoggio appassionato di Veltroni & Co.
:-)

  Germania: dal sito internet 
http://www.cryptophone.de
  viene
Carino. Se mai mi eleggeranno parlamentare, usero' quel telefono... per
chiamare casa, tenendo i colloqui di lavoro in chiaro.
Fabrizio ;-)

 attiva la crittatura!"
Oh madonna ! ROTFL! Sei messo molto peggio dell'utlima volta sulle 
porte 80.

  sito internethttp://
www.cryptophone.de
 viene presentato un software per


 nelle opportune sedi.
Contro la reuters, repubblica, il giornale, quotidianonet, il corriere,
miriam ponzi?
In ogni caso, nemmeno io comprerei un sistema di crittografia a
sorgente chiuso.
E si fidi, nessun esperto di sicurezza lo farebbe.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 qual'è il Suo fine?
beh se si stupisce che su usenet esitano flooders, spesso anche fuori 
di testa, non la conosce tanto bene e si scalda per niente: quel che 
detto il tipo frega a nessuno e non ha nessuna rilevanza commerciale; 
il fatto che il sorgente non sia completamente disponibile invece quasi 
a a tutti: perchè non c'e' peggior insicurezza che credersi sicuri 
senza una comprovata ragione tecnica.

Buon giorno signor Roberto,
precisiamo quanto segue:
la falsità è riscontrata dalla manipolazione delle notizie pubblicate
su gli Organi di Stampa.
Dire che l'Onorevole in questione stesse usando un Criptofonino,
quando intercettato, non risponde al vero e alcun giornale l'ha
scritto.
Dire che tutti i Parlamentari sono stati dotati del Criptofonino
sistematicamente ed a spese del contribuente è falso, la convenzione
prevede esclusivamente un canale dedicato per l'ordinazione.
Sostenere che la soluzione concorrente è gratuita è falso, costa 1600
euro contro i 1000 del Criptofonino.
La versione free è solo per PC.
L'aver rilevato quanto sopra ci vede costretti a difendere la nostra
immagine contro chi ci discredita senza alcun fondamento, non contro
gli Organi di Stampa.
Eleggere Miriam Ponzi come esempio di chi non comprerebbe mai il
Criptofonino lascia il tempo che trova, soprattutto dopo le notizie
apparse su questa persona.
Anche noi non compreremmo mai una cifrante senza conoscere il
sorgente, a tal proposito lo mettiamo a disposizione del potenziale
cliente prima dell'acquisto.
Ulteriori informazioni tecniche sono a Sua disposizione presso la
nostra sede.
Distinti saluti



wrote:


 >  Germania: dal sito internethttp://
www.cryptophone.de
 viene


 Ogni conessione ha una chiave diversa.
Oste, e' buono il tuo vino?


 571 bit
Uhm...DH su curve ellittiche, quindi?
Il punto, comunque, non è certo la chiave di sessione, ovviamente.

 scritto dal signor Costanzo Lorenzo.
Mi consenta allora che è fuori luogo come il messaggio che Lei contesta 
e di nessun interesse ne' tecnico ne' pratico per questo newsgroup.
Da queste parti bazzica gente abbastanza sgamata per ponederare bene e 
distinguere con chiarezza quella che può essere la sparata di un 
provocatore e quello che è il rischio associato a una tecnologia 
crittografica closed-source, a prescindere dalla inclinazione delle 
ellissi degli algoritmi che si dichiarano utilizzati nella cifratura.

 cliente prima dell'acquisto.
E' diverso il concetto di fondo.[*]
Io, forse, non sono in grado di capire se il suo (o altrui) sistema
di crittografia sia valido, o abbia delle backdoor integrate, magari
per facilitare indagini da parte di organizzazioni governative, come
suggerito (non interessa se a ragione, o in modo diffamatorio, cerchi
di capire) da uno di quei link:
http://www.corriere.it/Primo_Piano/Cronache/2006/10_Ottobre/31/mottola.shtml
dove si capirebbe che voi stessi abbiate dichiarato:
" il magistrato puo' far disattivare le telefonate criptate".
Ma se il prodotto e' open source, qualcuno, appassionato all'argomento,
e con conoscenze matematiche sufficienti, tra tutti quelli che hanno la
possibilita' di metterci le mani, puo' verificare che sia davvero cosi'.
[*] PS: domanda senza troppa polemica: se volessi comprare il
criptofonino, lei mi metterebbe a disposizione il sorgente, ha detto.
Cio' vuol dire che posso ricompilarmi IO il programma ed installarmelo?
Vabbeh, quel che segue, un po' polemico lo puo' sembrare: (NDR)
No, perche' se non e' cosi', cioe' se mi fa vedere il sorgente, ma non
posso installarmi il risultato della compilazione proprio di QUELLO,
continua ad essere tutto basato solo sulla fiducia in cio' che l'oste
dichiara del proprio vino.


 ellissi degli algoritmi che si dichiarano utilizzati nella cifratura.
Tengo a precisare che questo signore ha inondato tutti i blog di
notizie false e con il chiaro intendo di screditare il nostro
prodotto.
Nel rispondere, al fine della corretta informazione, ho inviato lo
stesso testo a tutti, compreso questo blog.
Prendo atto di quanto Lei dice scusandomi sin da ora per avervi
coinvolto.
Le confermo di non frequentare alcun blog è di non conoscere le
conseguenze di notizie pubblicate dai provocatori.
Mi premuro solamente di contrastarle non appena ne vengo a conoscenza.

 dichiara del proprio vino.
La possibilità la diamo esclusivamente se ci sono le dovute garanzie
da parte sua.
Come si suol dire, la fiducia deve essere reciproca.
Per sua informazione, sul mercato militare e governativo, viene sempre
richiesta la certificazione.
Consideri inoltre che, grazie ad una libreria esterna, si ha la
possibilità di implementare un algorimo proprietario in piena
autonomia.



Il Diffie-Hellman eseguito con il metodo delle curve ellittiche
permette di avere una sicurezza ampiamente maggiore rispetto agli
stessi bit, con una tempo di calcolo sorprendentemente piu' basso.
Tramite l'utilizzo delle curve ellittiche, i nostri dispositivi sono
in grado di generare una chiave di sessione in pochissimi secondi.
Come per il DH tradizionale, puo' approfondire l'argomento su un
articolo di Wikipedia 
http://en.wikipedia.org/wiki/Elliptic_Curve_Diffie-Hellman
.

 autonomia.
Capisca pero', che a fronte della notizia (da lei ora dichiarata
travisata dal giornalista) che a richiesta le telefonate criptate
potevano essere disattivate, fa nascere sempre piu' la voglia di
non fidarsi di un sistema chiuso.


 inclusive.
Appunto: vede che si da la risposta da solo: chi compra l'oggetto gli 
frega poco che sia 200 euro in meno, gli frega che funzioni eben ed 
avere il culo parato, perchè il valore che vuol custodire è 
incomparabile col costo dell'apparecchio. Se per culo parato intendiamo 
trasparenza assoluta del codice su quella particolare compilazione 
hardware, il fatto che il codice sia open è irrilevante. Chi clonerebbe 
sarebbe solo un utilizzatore nemmeno potenziale, qualche brufoloso 
ragazzino curioso o un cinese, e figuriamoci chi userebbe un prodotto 
di gente che clona da una vita per tutelare i suoi segreti; quel 
ragazzino però magari non lo sarà un domani cliente.

 non fidarsi di un sistema chiuso.
La invito a visitare il nostro sito e la rassegna stampa. Su decine di
articoli, un povero giornalista, ha riportato una notizia errata.
Alcun danno ci è stato creato, anzi, l'articolo ha aumentato la nostra
visibilità contribuendo ai target raggiunti nel 2006.
Io le chiedo scusa ma difficlmente riesco ancora a rispondere. Ho
un'agenda da rispettare.
Perchè non mi viene a trovare presso la Caspertech? Avremmo
l'opportunità di approfondire quanto di suo interesse.


 ragazzino però magari non lo sarà un domani cliente.
Fatico a capire la sua affermazione:'si risponde da solo'.
Continuo a dirle che il nostro obbiettivo è quello di VENDERE, non
regalare.
Lei mi parla di ragazzini brufolosi non valutando il rischio che
avremmo se ci clonassero e distribuissero il prodotto in Cina, India,
Romania ecc....
E non i soliti brufolosi ma concorrenti che non riescono a raggiungere
la nostra qualità audio, i nostri tempi di connessione, La nosta
stabilità.
La capacità di adattare il SW ai nuovi pocessori, di contenere al
minimo le impostazioni per facilitarne l'utilizzo ecc....
Sono dispiaciuto di non poter continuare la discussione su questo blog
per ovvie ragioni di tempo.
Se intende farsi una chiara idea sulla nostra azienda e sul nostro
prodotto, Le propongo un incontro.
Con l'occasione avrà modo di valutarci dopo averci conosciuto.

 chiave di sessione.
No, è un metodo di trasmissione di una chiave di sessione su un 
canale insicuro.
La generazione in sè è banale: data una base B condivisa tra i due peer
e due esponenti segreti, e1 ed e2, scelti indipendentemente da ciascuno
dei due peer rispettivamente; il metodo di Diffie-Hellman consente 
ai due peer di condividere tale chiave senza far passare sul canale 
insicuro e1 e e2, usando un ulteriore parametro P, numero primo, anch'esso 
scambiato in chiaro.
Peer 1 calcola B^e1 mod P e lo invia a peer 2.
Peer 2 calcola B^e2 mod P e lo invia a peer 1.
Peer 1 calcola, a questo punto, (B^e2 mod P)^e1 mod P e, viceversa,
peer 2 calcola (B^e1 mod P)^e2 mod P, che sono uguali.
La chiave segreta dipende ed è generata, quindi, a partire da due esponenti
"estratti" da sorgenti pseudorandomiche; mi pare evidente che la peculiarità 
di DH è lo scambio sicuro, non la generazione in sé.

 di DH è lo scambio sicuro, non la generazione in sé.
Ribadiamo, anche se probabilmente giunti a questo punto e' superfluo:
lo *scambio* non e' *sicuro* come lo definisce lei (tanto che puo'
essere fatto pubblicamente) e soprattutto non riguarda la *chiave*,
che non viaggia mai sul canale (come invece spesso si tende a credere)
ma viene generata autonomamente da entrambe le parti a partire da
valori "pseudorandomici" (mi perdoni i doppi apici, ma va tanto di
moda ormai questa parola fra un certo tipo di pseudoesperti in
sicurezza che non me la sono sentita di non usare la forma di
citazione).

 
Guardi che l'acquirente non lo diventa, acquirente di un oggetto
simile, se ha il dubbio che qualcuno gli possa disattivare la
crittografia (crittofonia?) da lontano, come legge su quell'articolo.
E una volta che il dubbio e' instillato, ci vogliono fior di smentite
per fargli dimenticare il fatto.[*]
E le smentite hanno molto piu' peso se non arrivano dal commerciale
dell'oggetto in questione.
Ma, come tutti qui dentro sanno, io sono paranoico.
[*] In fondo, le mie telefonate le posso anche pubblicare su google.
Chi invece cerca un "criptofonino", si vede che ha davvero qualcosa
che non vuole far diventare di dominio piu' o meno pubblico.
E quelli sono ancora piu' paranoici di me.
-- 


 la sono sentita di non usare la forma di citazione).
Posso affermare, anche in questo caso, di poter scrivere quella parolina con
una qualche congnizione di causa, essendomi occupato, ad esempio, di sistemi
dinamici complessi e caos deterministico fin dai tempi della mia tesi di laurea.
I miei ossequi.

 prodotto, Le propongo un incontro.
ho avuto modo di testare molto velocemente prodotti similari di 
colleghi (non so dirle se il Vs ma non credo): latenze esagerate e 
qualità infima. Magari il vs è perfetto, ma per ora preferisco i 
pizzini :) 
Cmq grazie.

 Guardi, le aziende che visito io poi normalmente chiudono. 
che gufo! LOL!
-- 
Copyright ©2008 The Happy Beavers. Tutti i tronketti sono riservati.

internet, è superfluo pubblicare il sorgente dello stesso.
Al contrario e' basilare. Come si puo' essere sicuri, ad esempio, che
non sia stata eliminata una inizializzazione ritenuta inutile in modo
da liberarsi di una segnalazione di Valgrind? (Per dire, eh).
L'uso di un algoritmo - che so, PRNG a curve ellittiche - non e', *di
per se'*, garanzia di nulla: 
http://www.schneier.com/essay-198.html
Io tante volte ho implementato algoritmi documentati. Ed ho fatto dei
casini monumentali scoperti tutti (spero :-) ) nel successivo debug.
Prima, durante e dopo il casino e anche se non avessi corretto nulla,
e lasciato i bug a posto, avrei potuto dire "Ho utilizzato l'algo XYZ
ampiamente documentato" magari in perfetta e angelica buona fede - ma
mi sarei sbagliato.
Purtroppo in questo mondaccio le cose vanno cosi'.
Leonardo
-- 
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:

 conviene :)
ROTFL!!! :)
Se capiti dalle mie parti avvisa prima. Giusto il tempo che sciolgo i 
doberman.
-- 
Ciao, Guglielmo.

 ...
quelle che la conoscono chiudono prima della sua visita e riaprono solo 
quando sono sicuri che lei è ben lontano...