Newsgroup: it.comp.os.linux.iniziare
Titolo: PGP

Ho la RH 7.0 tutt'altro che bucata ai miei occhi,
qualcuno saprebbe dirmi come si usa PGP, cosa
č la firma e basta grazie?
                                            Lucky


1024-bit key, key ID C4E35621, created 1998/10/28
You need a pass phrase to unlock your RSA secret key.
Enter pass phrase:
****************************************************************************
bisogna digitare la propria passphrase:
***********************************************************************
Enter pass phrase: Pass phrase is good. Just a moment......
Plaintext filename: receive
***********************************************************************
A questo punto basta aprire con un editor di testo il file receive (senza
estensione perché il PGP salva così di default) e leggere il messaggio.
Digitando nuovamente <pgp receive.asc> e battendo invio al momento in cui il
PGP chiede la passphrase, si vedrà che nel negare l'accesso alla chiave
privata, il PGP riporta il nome degli User ID che sono abilitati a
decrittare il messaggio. Questo può essere un modo rapido per controllare se
il messaggio è effettivamente crittato con tutte le chiavi che si intendeva
usare. Ma può essere anche un momento di debolezza: qualunque altra persona
può vedere a chi è destinato quel messaggio, anche se naturalmente non sarà
in grado di leggerne il contenuto. Per questo motivo in certe circostanze
può essere opportuno inserire come User ID della propria chiave un nome di
fantasia o addirittura nessun nome (in questo caso la chiave verrà
identificata esclusivamente da una stringa di caratteri alfanumerici
generata automaticamente e univocamente per ogni chiave). Per lo stesso
motivo si può anche evitare di inserire il proprio indirizzo e-mail.
E a questo punto?
Questo è il momento di usare il PGP operativamente; si può cominciare a
distribuire la propria chiave pubblica, magari prima in matrix o via e-mail
a qualche amico che usa il PGP, per tentare qualche scambio e verificare se
tutto è a posto. Se non ci sono problemi, è tempo di diffondere la propria
chiave a vasto raggio. Se si desidera, si può anche inserirla su qualche
keyserver (le istruzioni sono più avanti). Naturalmente bisogna anche farsi
mandare e\o procurarsi le chiavi pubbliche delle persone con cui si
corrisponde. Nel frattempo è utile guardarsi bene la documentazione allegata
al PGP, approfondendo la padronanza dello strumento, poiché qui si è parlato
solo dei primi rudimenti necessari.
Il passo successivo probabilmente sarà l'uso di una shell, cioè di un
programma di interfaccia, per collegare il PGP direttamente al proprio
programma di posta (così da evitare i continui copia/incolla). Prima di
concludere il capitolo, vanno ancora posti alcuni problemi piuttosto
importanti.
Alcune questioni pratiche per l'uso "sicuro" del PGP
La prima cosa da sottolineare è che l'uso di un sistema crittografico come
il PGP può generare un falso senso di sicurezza. Bisogna rammentare sempre
che PGP di per sé non dice nulla sulla persona con cui si stanno scambiando
messaggi (magari critici) e che la regola d'oro rimane sempre la solita:
chiunque nel ciberspazio potrebbe essere uno sbirro (e pure fuori). Da
sottolineare anche che chiave privata e passphrase del tuo interlocutore
potrebbero essere cadute in mano di altri a sua insaputa. Oppure potrebbe
anche aver passato dei guai ed essere stato costretto - a tua insaputa - a
cedere la sua chiave privata ad altri, che magari stanno continuando a
scambiare messaggi con te al posto suo.
Ricorda anche che al momento in cui i guai li passi tu e hai in giro molti
messaggi mandati ad altri interlocutori, non puoi essere sicuro che essi non
abbiano ceduto sotto pressione la loro chiave, consentendo così la
decifrazione dei tuoi messaggi, anche se tu hai tenuto la bocca chiusa... Ma
tutto ciò ha poco a che fare con la valutazione di un sistema crittografico
e molto a che fare con valutazioni di altra natura.
Diciamo invece che per motivi tuoi hai fiducia nel tuo interlocutore e
quindi vuoi essere sicuro che la sua chiave pubblica - sebbene non
consegnata a mano, ma pescata da qualche parte o inviata per e-mail - sia
davvero la sua. Come fai? Nulla vieterebbe ad un eventuale "terzo incomodo"
di inviare una chiave pubblica su un keyserver a nome del tuo amico, oppure
di intercettare la tua e-mail e di rispondere al posto suo, inviando una
chiave a nome del tuo amico e intercettando poi la tua risposta... Il PGP
possiede un comando:
====================
pgp -kvc <user_ID>
====================
che consente di visualizzare il key fingerprint, cioè una serie di caratteri
alfanumerici che può essere prodotta da una chiave pubblica e solo da
quella, proprio come un'impronta digitale. nota 9 Il fingerprint di una
chiave pubblica si presenta così:
================================================================
Key fingerprint = 04 FA 8C FC 27 EB 2F 5128 D2 39 84 73 08 30 AA
================================================================
Il fingerprint serve se trovi da qualche parte una chiave pubblica
attribuita a Lex Luthor e hai dei dubbi sulla sua veridicità. Se conosci Lex
potresti estrarre il fingerprint dalla chiave sospetta, telefonargli e
confrontarlo con il suo, in modo da verificare con lui che la chiave sia
quella autentica. È un modo più semplice che non confrontare tutti i
caratteri che compongono la chiave pubblica... Non solo. Con il comando:
==========================
pgp -kvc > fngrprnt.asc
==========================
si può salvare su file il fingerprint della propria chiave pubblica. Una
buona abitudine è quella di inserire il proprio fingerprint nella firma
della propria posta elettronica, in modo che compaia su tutti i messaggi che
invierai. È così possibile verificare la corrispondenza tra quel fingerprint
(diffuso a largo raggio) e quello di tutte le copie della tua chiave
pubblica che ci sono in giro.
Il PGP offre molte altre possibilità in tema di "sicurezza" che andrebbero
approfondite. In primo luogo il sistema della certificazione delle chiavi,
basato sulla fiducia verso una persona che conosci e con cui è avvenuto uno
scambio di chiavi in modo sicuro. Questa persona può garantirti, firmandola,
una nuova chiave pubblica appartenente a una terza persona che non conosci.
Nota però che è preferibile non usare il sistema della certificazione
piuttosto che usarlo con leggerezza. Considerazioni approfondite su questo
aspetto si possono trovare nella documentazione del PGP.
La firma elettronica è un ulteriore argomento: è possibile firmare usando la
propria chiave privata un messaggio o un testo, che sia crittato oppure in
chiaro. Anche qui è bene prestare attenzione: benché attestare in questo
modo di essere l'autore di un messaggio possa essere molto utile in certe
situazioni, una volta che l'hai firmato ti sarà molto più difficile negare
di esserne l'autore, qualora se ne presentasse la necessità...
Infine esiste la generazione di un attestato di firma per un file, separato
dal file stesso di cui si vuole attestare l'autenticità, metodo che viene
solitamente usato per file molto grossi o per firmare file eseguibili e
programmi. Anche per queste questioni, è necessario leggere
approfonditamente la documentazione.
Appendice: i keyserver
I keyserver sono particolari server presenti su Internet, dedicati al
deposito e al prelievo delle chiavi pubbliche. Sono in rete tra loro, per
cui ogni chiave immessa in un server viene diffusa anche sugli altri. Per
ricevere o immettere chiavi bisogna inviare un'e-mail all'indirizzo del
keyserver. In Italia è solitamente utilizzato:
============================
pgp-pub...@dsi.unimi.it
============================
I comandi al keyserver vanno scritti nel "subject" dell'e-mail: per ricevere
una chiave pubblica basta inviare al keyserver una e-mail, contenente nel
subject il comando GET seguito dallo User ID della chiave richiesta. Chi
vuole la chiave pubblica di Lex Luthor scriverà un e-mail così:
================================
To: 
pgp-pub...@dsi.unimi.it
From: 
j...@luthorcorp.com
Subject: GET 
l...@luthorcorp.com
================================
o anche solo GET luthor, senza aggiungere nulla nel corpo dell'e-mail. Per
depositare la propria chiave occorre spedire un'e-mail al keyserver, con il
comando ADD nel subject. Nel corpo del messaggio va copiata la propria
chiave, estratta col comando <pgp -kxa> in modo da essere, come abbiamo
visto, in formato ASCII. Ecco un'e-mail con cui si chiede di depositare una
chiave:
===============================================================
To: 
pgp-pub...@dsi.unimi.it
From: 
l...@luthorcorp.com
Subject: ADD
---------------------------------------------------------------
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: 2.6.3i
Comment: PGP 2.x compatible
mQCNAjTXBdgAAAEEANStJZjQZQpIE/0teO/Oo7Y52ESv7usdCrH3BSqLr14QGQpl
+A+0z4UNlMYr+oNS8/xaNlriBdqWtrj8Ow3vydL12kdHjbtpNT180HlekU3+l263
/fKlLBXyOE1UWIRExvnVmX9qNd2xOszse+SwTzl9PICsJjxEvTt1dOqQZTMhAAUR
tB9MZXggTHV0aG9yIDxsZXhAbHV0aG9yY29ycC5jb20+iQCVAgUQNNcF2Tt1dOqQ
ZTMhAQGUYAP/c+iZSKAZ4juy+cB/H5PdeUSp14NYn8KkAs84tgq+dscG0EQB4vRa
v5ZOkcZTARnV3EU0tEVb+Ube7TSfSjPugD4JEe+/uIRJgJhbfZXbh3uBngLNHshn
NgWBT9/RCBELwvjAv17xu3chhL0xTIq7GNpcy6iJies/6GGndUc2pwg=
=LWqw
-----END PGP PUBLIC KEY BLOCK-----
================================================================
Per altre informazioni sulle funzioni di un keyserver, si può inviare allo
stesso un'e-mail con scritto HELP nel subject della stessa.
Note:
Nota 1: È più semplice utilizzare inizialmente come user ID il nome o
l'alias con cui si cambiare lo user ID o di aggiungerne altri alla propria
coppia di chiavi o ancora di creare tante coppie di chiavi quante sono le
identità che si assumono in rete. torna al testo
Nota 2: Bisogna tenere presente che il PGP nella digitazione della
passphrase è sensibile alla differenza fra maiuscole e minuscole. Se ad
esempio si sceglie come passphrase "yuk yuk", quando poi il PGP chiederà di
digitare la propria passphrase per decrittare un messaggio, se si digiterà
"Yuk yuk" si otterrà solo il fatidico messaggio: "Error: Bad pass phrase".
torna al testo
Nota 3 :Un consiglio da amico contro la sfiga pura è: salva i keyring su
dischetto prima di mandare in giro la tua chiave pubblica. E dopo che li hai
salvati, ricorda di salvarli di nuovo periodicamente, perché così:
A) quando prima o poi qualcosa andrà a puttane sull'hard disk e toccherà
reinstallare anche il PGP, non dovrai far altro che sovrascrivere i nuovi
keyring con quelli salvati su dischetto. In questo modo non hai bisogno di
doverti fare una nuova coppia di chiavi, che è sempre un po' un casino
(consulta la documentazione per la procedura di revoca di una chiave) e non
dovrai cercare o farti rimandare di nuovo le chiavi pubbliche nel frattempo
accumulate, che è sempre un po' una rottura per te e per il prossimo.
B) se giri per il mondo e stai a casa di un amico che ha un PC e il PGP,
puoi usare le tue chiavi dal dischetto senza dover reinstallare nulla (vedi
comunque la documentazione del PGP a proposito). Naturalmente bisogna
fidarsi abbastanza dell'amico ed è meglio evitare, in generale, di battere
la propria passphrase in ambienti non sicuri, come ad esempio le reti locali
delle università o delle ditte, dove possono girare più o meno legalmente
dei programmi chiamati "sniffer" che leggono tutto quello che passa
attraverso la rete, fra cui anche la tua chiave e la tua passphrase. Ma
questo rientra in considerazioni più generali di sicurezza... torna al testo
Nota 4: Per crittare ciò che si vuole tenere riservato sul proprio hard disk
o archiviare "solo per i propri occhi", è consigliabile l'uso dell'opzione
<pgp -c> che non implica l'utilizzo della doppia chiave ma solo di una
passphrase. Si occupa così anche in assoluto il minimo spazio su disco ed è
probabilmente il tipo di crittazione più invulnerabile consentita dal PGP.
Come al solito, per maggiori informazioni è meglio leggere la documentazione
che accompagna il programma. torna al testo
Nota 5: Esiste il parametro <-o> che consente di creare un file crittato in
una directory diversa da quella di default e anche di indicare per il file
crittato un nomefile diverso da quello di default. torna al testo
Nota 6: È possibile configurare il file config.sys affinché il PGP crei
sempre file crittati in formato ASCII, senza bisogno di digitare il
parametro -a ogni volta che si desidera un armor. La scelta di quale
settaggio usare di default è squisitamente personale. torna al testo
Nota 7: Il meccanismo delle certificazioni (trattato nel precedente
capitolo) è piuttosto complesso ma è anche estremamente significativo;
tuttavia una sua dettagliata trattazione uscirebbe dai propositi di questa
guida introduttiva all'uso del PGP. Chiunque desideri approfondire
l'argomento, può sfruttare l'abbondante e dettagliata documentazione che
accompagna il pacchetto del software. torna al testo
Nota 8: La digitazione del comando <pgp -kv> senza ulteriori parametri
provoca la visualizzazione di tutte le chiavi contenute nel pubring.pgp, il
che può essere un problema quando sono molte. In questo caso si può digitare
<pgp -kv | more> per visualizzare una schermata alla volta. torna al testo
Nota 9: Alcune analisi molto sofisticate hanno smentito la convinzione
diffusa ed esposta, per motivi di semplicità, nelle righe precedenti: in
realtà il fingerprint non identifica in modo assolutamente univoco una
chiave pubblica, in quanto è tecnicamente possibile "pilotare" la creazione
di una chiave pubblica affinchè questa presenti un certo fingerprint
stabilito a priori (magari proprio quello di una chiave già esistente che si
vuole "clonare"). Lo stesso discorso vale per il key ID della chiave.
L'unico modo sicuro per identificare una chiave in modo univoco pare
pertanto essere quello di verificare contemporaneamente fingerprint, key ID
e dimensione della chiave (in quanto nella creazione di una chiave con
fingerprint "pilotato" si perde il controllo sulla sua dimensione in bit).
Si tratta di una delle questioni che rappresentano probabilmente lo stato
dell'arte nella ricerca di punti deboli nel PGP. torna al testo
--
_____________________________________________
$pooky Hunter ICQ: 24081574
http://xre.cjb.net
 o 
http://digilande.iol.it/spookyh
Motore di ricerca amatoriale, hacking, misteri, paranormale.
Se qualcosa può andar male lo farà!
-- 
Posted from 
pop09-acc.tin.it
 [212.216.176.72] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

Le istruzioni che ti ho dato sono basate fondamentalmente per la versione
Dos, ma vi sono molte informazioni importanti anche per Linux. La versione
di PGP che hai installato tu qual č? Io non sono riuscito ad installare la
versione 2.6.3i.tar.gz , la tua era mica in formato rpm? Se non lo era, mi
poteti dire come hai fatto ad installare qualla .tag.gz ? Te ne sarei grato
Luca


Primi passi con il PGP
Scusa, non per voler essere scortese, ma non potevi dare un piccolo url
da cui scaricare quelle milletrecento righe di testo?
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net