Newsgroup: it.comp.os.linux.sys
Titolo: E' sicuro rpmfind.net?

Ciao a tutti,
ho scaricato nessus da 
www.rpmfind.net
. All'atto dell'installazione perņ
ho avuto un messaggio che mi avvertiva che la firma GPG dei file che stavo
installando non era corretta.
Siccome ho letto qualcosa (molto superficialmente) sulla firma dei
pacchetti per Linux, volevo sapere se 
www.rpmfind.net
 č un sito "sicuro".
Grazie a tutti,
Ciao Tony
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 # man rpm
In effetti hai ragione tu. Ottengo "OK" su tutti i file scaricati da lì. 
Ma cos'è la firma GPG di un pacchetto? Se non sbaglio e' qualcosa di
diverso dalla signature MD5. Puoi darmi qualche fonte di documentazione
(semplice...)?
Grazie per l'aiuto.


 per cui non posso esserti d'aiuto piu' di tanto.
Scusa se ti faccio questa domanda fuori teme e apparsa spesso sul ng, ma
mi interessa la tua opinione. 
Quali sono secondo te i reali vantaggi e svantaggi di Debian
(pacchettizzazione a parte) per un Firewall?
Grazie, 


diverso dalla signature MD5. 
Ordunque, sarò sintetico che il tema è ampio.
L'MD5 è un hash crittografico: significa che, dato un qualsiasi flusso
di byte, è molto semplice calcolare l'MD5 dello stesso, mentre risulta
improponibile l'operazione inversa. L'operazione inversa è quella che
interessa a uno che: a) prende il file originale; b) lo modifica in modo
tale che, per es., includa un trojan; c) lo modifica ulteriormente in
modo tale che l'MD5 del file modificato sia uguale a quello originale.
Per cui, se la tua distribuzione ti comunica gli hash MD5 dei suoi
pacchetti, tu puoi verificare sempre se sono "originali" o meno.
Che c'entra la firma sopra, allora?
C'entra perchè esiste il problema che gli hash MD5 sono difficili da far
arrivare in modo integro a chi li deve ricalcolare sui suoi pacchetti.
Io potrei (ipoteticamente), inviarti un pacchetto con un trojan, e
intercettare le tue comunicazioni con il sito della tua distribuzione
per modificare le pagine Web in cui sono contenuti gli hash MD5 del tuo
pacchetto, per sostituirli con i miei.
Allora, quello che si fa è prendere l'hash MD5 (che sono qualche
centinaio di bit) e aggiungerci sopra la firma elettronica solita,
quella a chiave pubblica/chiave privata.
A quel punto, tu per verificare che il pacchetto sia autentico calcoli
l'hash MD5 dello stesso, poi prendi la firma, ci applichi la chiave
pubblica, se ottieni nuovamente lo stesso hash allora il pacchetto
proviene dal proprietario della firma, altrimenti è stato alterato.
E tutto questo viene graziosamente fatto per te da gpg, non è un amore?
:-))
Ovviamente, anche il meccanismo della chiave pubblica/privata gode delle
stesse proprietà dell'MD5, ovvero è molto facile verificare che sia
autentico, ma è molto difficile falsificarlo.
Nota che uno potrebbe anche firmare tutto il pacchetto, solo che firmare
N byte richiede N byte, e tempi di computazione non indifferenti per N
grande, per cui si preferisce firmare l'hash crittografico. E' questo,
per il resto, lo stesso modo con cui vedi firmati ad es. i messaggi del
GCN, quello firmato è l'hash (in quel caso, usano Secure Hash 1, che è
sempre un hash crittografico).
-- 
"L'Italia è un interessante esempio di avanguardia teatrale" (Gore Vidal)
Per rispondermi, ricordati di togliere il nome del poeta.

     poco.
Grazie infinite


Zefram Cochrane wrote:













Adesso è tutto molto più chiaro.
Grazie.


 Grazie infinite
Hmmm 40 linee di quote e una di reply... 
lasciati dire che la scelta della distro è l'ultimo dei tuoi problemi :-P
Byez.
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

    poco.
Oltre ad essere veloce, hai la possibilita' di installare
automaticamente le patch di sicurezza, appena escono.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 Ma cos'è la firma GPG di un pacchetto?
cerca Gnu Privacy Guard
è un'autentica firma elettronica
MD5SUM serve più a controllare che non ci siano stati errori
nella trasmissione del pacchetto. Ti garantisce un po' anche da
manomissioni dolose.
ciao, Andrea

 lasciati dire che la scelta della distro è l'ultimo dei tuoi problemi :-P
Ero un po' di fretta. Scusami.


     dautime che con un colpo di sed si levano subito.
Senza scomodare sed:
# update-inetd --multi --disable echo,chargen,discard,daytime,time
Massimiliano