Newsgroup: it.comp.sicurezza.varie
Titolo: Richiesta strana su certificato ssl

Un fornitore cui effettuiamo ordini via web, mi dice che dovremo
installare anche il suo certificato di sicurezza di nota azienda (bla
bla ma non so chi è l'azienda). Il problema è che mi dice che
l'installazione la dovrà fare un suo incaricato perchè la password per
l'esportazione dovranno conoscerla solo loro, per impedirci di
effettuare esportazioni su altri pc senza il loro intervento.
Ma una volta che loro hanno la password d'esportazione possono riuscire
a rifare la nostra accoppiata (chiave pubblica e privata) in casa loro o
non c'è pericolo perché ogni chiave generata è diversa ?
Insomma cosa debbo dirgli ?
Che pericoli ci sono ?
Vorrei dei dettagli perché in azienda non accettano risposte secche tipo
si o no, dovrei giustificarle.
Grazie mille intanto.

 non c'� pericolo perch� ogni chiave generata � diversa ?
Fiuto puzza di brucio. Se loro non ti mollano la password, solamente loro hanno
il controllo del tuo certificato, quindi tu ti leghi a loro, almeno fino alla
scadenza del certificato o alla sua revoca.
Gia' questo basta per rispondere "no, grazie".
L'identita' di un'entita' deve essere controllabile e gestibile dall'entita'
stessa, non da terzi esterni.
Tu accetteresti che la password della tua mail sia a te ignota e venga li' un
tizio di un'azienda terza a memorizzarla sul tuo programma?
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Statistics: The only science that enables different experts using the same
figures to draw different conclusions.
    --Evan Esar

 
Intanto grazie, sono d'accordissimo, guarda in azienda io avevo fatto il
confronto di due chiavi per la cassetta di sicurezza, una la possiede la
banca, l'altra il proprietario accettereste di dare l'altra chiave al
direttore della banca ? Non è bastato. Mi rispondono, ma cosa possono
fare di male, mica possono fregarci dei soldi. Allora dico io, con la
password nel mio pc posso duplicare il certificato esportandolo, ma se
sono in possesso della password lo posso fare solo presso di me o
volendo loro lo possono fare anche al di fuori del mio pc questa
duplicazione ?

duplicazione ?
Certo che essendo in possesso della password possono esportare il 
certificato dove vogliono, ma a che pro?
Per effettuare degli ordini falsi sul loro sito di e-commerce?
Se volessero lo fanno gi� senza mettere in piedi tutta questa impalcatura 
dei certificati.
Quello che probabilmente gli interessa � il fatto che i clienti non possano 
repudiare gli ordini fatti, il che pu� essere considerato una paranoia 
eccessiva ma sinceramente non credo ci si possa vedere un complotto.
Se proprio vuoi tutelarti fatti rilasciare un documento dove dichiarano che 
il certificato installato � di loro propriet� e che solo loro ne posseggono 
la password.
Ciao,
        Tosh.

 effettuare esportazioni su altri pc senza il loro intervento.
Bah.
Di cosa stiamo parlando, di un certificato *client* o di un certificato 
*server*?
Nel secondo caso, stanno vaneggiando: a voi servirebbe solo la parte pubblica.
Il punto è che, con buona probabilità, non sanno di cosa parlano e non sono
in grado di esportare, a partire dal .pl2 in loro possesso, la sola parte
pubblica. :-)

 Grazie mille intanto.
se avete fretta  sempre mettere un keylogger quando vengono (sono tue le macchine?) e poi con calma studiare la cosa,
non mi e' chiaro sto certificato cosa sia perche' se e' un applicazione proprietaria che colloquia con un loro server allora
e' un conto, ma se e' semplicemente la loro chiave pubblica per explorer, il certificato e' in chiaro altrimenti explorer ti 
chiederebbe sempre la password che dovresti sapere, e anche se fosse nel keyring di explorer in un modo o nelle altro sarebbe 
comunque in chiaro ........................
Giulia