Newsgroup: it.comp.os.linux.sys
Titolo: [OT] autorita' di certificazione priopria.

Si puo' essere autocertificatori di se stessi?
Devo creare dei certificati per i miei server e non vedo perche' dovrei 
spendere fior di quattrini per acquistare dei certificati dalle 
autorita' di certificazione autorizzate.

music ha scritto:

Certo che puoi.. ma ha la stessa validità di una carta d'identità rilasciata 
da tuo fratello, ovvero nessuna
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"There is hopeful symbolism in the fact that flags do not wave in a
vacuum."
		-- Arthur C. Clarke

 
Anche se l'azienda e' un'amministrazione pubblica?

music ha scritto:

allora.. il certificato serve per dire che il server contattato è veramente 
quello che dice di essere.
Se sei te che dici che il server è buono si cade nel chiedere all'oste se il 
vino è buono.
Non a caso se provi a collegarti ad un sito con certificato self signed 
tutti i browser ti mostrano allarmate finestrelle di avvertimento.
Lo scopo di una CA è di garantire da "indipendente" che quello è veramente 
il server indicato
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
New members urgently required for SUICIDE CLUB, Watford area.
		-- Monty Python's Big Red Book

 Si puo' essere autocertificatori di se stessi?
Solo se sei autoritario e/o autoritativo ;)
-- 
Vide


in che senso.

music ha scritto:

vedi il megathread qualche riga più in alto
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"What's another word for Thesaurus?"
		-- Steven Wright

 tutti i browser ti mostrano allarmate finestrelle di avvertimento.
Capirai, ti compare solo l'avviso, nella finestra di accettazione del
certificato, che ti avvisa che l'identità del certificatore non è tra
quelle "note".
Poi non dimentichiamo che il certificato serve anche a contenere le
chiavi pubbliche e i fingerprint necessari all'instaurazione di una
sessione crittografata, ed è poi questo AFAIK il vero scopo primario del
certificato, non tanto quello di "identificazione" (che, IMHO, è stato
un compito "aggiunto" per mere ragioni di business, e viste le schifezze
che p.e. ha combinato Verisign in passato, non ritengo certo che sia un
ente che dia un "valore aggiunto" in termini di certificazioni...).
-- 
Massimo Bacilieri AKA Crononauta

 veramente il server indicato
Pur confermando in pieno ciò che scrivi tu, aggiungo che i certificati, 
anche se auto-firmati, possono essere indispensabili per poter usare ad 
esempio connessioni protette fra i propri server (e client) in una LAN. 
In questo caso non importa che sia vana la garanzia di autenticità del 
server, perché sull'hardware della LAN hai tu il controllo; l'importante 
è che le macchine riescano a comunicare fra loro via SSL per evitare 
intercettazioni.
Se però servono dei certificati che siano correttamente riconosciuti da 
macchine esterne, su cui tu non hai il controllo, allora tocca pagare.
Se non ricordo male esistono anche autorità di certificazione che 
emettono certificati gratuiti, ma affinché questi certificati siano 
accettati senza messaggi di errore da parte di browser, client di posta 
e altro è necessario che l'utente inserisca manualmente nel proprio 
computer il certificato dell'autorità di certificazione.
-- 
Ciao,
   Marco.


Dal punto di vista della robustezza crittografica un certificato
autoprodotto non ha niente di diverso rispetto a quello di una CA.
Quindi se il tuo unico scopo è quello di proteggere dati in transito
sulla rete niente ti vieta il fai-da-te. Il problema, come suggeriva
Roberto, è che i browser "moderni" tendono a sottolineare l'assenza
della firma di una CA in modo piuttosto appariscente e questo a
seconda delle situazioni può essere un problema d'immagine.
Comunque "fior di quattrini" è un po' esagerato: su GoDaddy un
certificato costa una ventina di dollari all'anno. Per una PA non mi
sembra una gran cifra.
Marius

 ente che dia un "valore aggiunto" in termini di certificazioni...).
Gia', ed e' proprio per questo che non bisognerebbe accettare certificati
non attendibili.

 altrove...
Il punto è che, se non hai una procedura sicura per far installare il
certificato della tua CA nel browser dei tuoi utenti finali, sei
a rischio MITM.

 certificato, non tanto quello di "identificazione" (che, IMHO, è stato
Ma instaurare una sessione crittografata con un server che magari non è 
quello che dice di essere non ha molto senso. IMHO può avere senso solo 
in una situazione come quella che descrivevo nell'altro messaggio, una 
LAN in cui sei tu stesso a gestire tutte le macchine.
-- 
Ciao,
   Marco.

 
Se e' per questo 
cacert.org
 li rilascia gratis se non sbaglio.

 Se e' per questo 
cacert.org
 li rilascia gratis se non sbaglio.
Si, con il risultato che poi devi installarti la CA a mano su ogni pc 
perchè tanto di default non è inclusa.
Se devo installarmi i certificati a mano tanto vale che mi creo un 
certification authority interna. Tra l'altro se usi la CA di windows 
server in active directory i cerificati creati vengono "trustati" dai 
client automaticamente.


Ma il certificato di 
cacert.org
 non è incluso di default in nessun browser.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 
e vabbe' e che ci vuole ad installarlo.

 e vabbe' e che ci vuole ad installarlo.
Beh, guarda te. Se è il TUO PC non c'è problema, ma se lavori in un'azienda 
le cose cambiano.
Se fosse nell'azienda per cui lavoro, avrei in giro corca 2000 dispositivi 
che dovrebbero montare il certificato. Ipotizzando che anche solo l'1% degli 
utenti richieda supporto (e questo è assolutamente impossibile, nella realtà 
sono MOLTI di più) e che tale supporto richieda 15 minuti di telefonata per 
ciascun utente (anche questo è inverosimile perché l'utente medio è cretino 
e ti tiene al telefono almeno mezz'ora), significa 5 ore di lavoro perse.
Alla tariffa di circa 30 euro l'ora (costo aziendale tipico di un 
dipendente) sono 150 euro, con i quali mi compro un certificato già incluso 
in tutti i browser e non mi devo preoccupare di nulla.
Nella realtà il costo aziendale di cui sopra è verosimilmente circa 10 volte 
maggiore.


 la rete WAN ai quali voglio un accesso https.
Certo, infatti avevo specificato che la LAN era solo un esempio. Ma da 
come hai iniziato il tuo primo messaggio sembrava parlassi di 
tutt'altro: se i server sono tuoi o a te noti, non ha molto senso dire 
che se non accettano il tuo certificato possono andare a farsi un giro.
-- 
Ciao,
   Marco.

 che se non accettano il tuo certificato possono andare a farsi un giro.
Questo lo penso comunque, di base.
Nel senso che se *so* dove mi voglio collegare, non necessariamente un
server "mio" ma anche di terzi in giro per la rete, e il certificato
corrisponde, non mi interessa se è auto-firmato, mi sta benone.
Alla fine la certificazione "validata" da soggetto terzo ha senso solo
per quei casi tipo transazioni bancarie, dove l'importante non è (solo)
garantire la sessione crittografica - cioè la sicurezza dei dati - ma
anche e soprattutto accertarsi dell'identità del server per evitare di
trasmettere i dati in maniera sicura... a dei manigoldi!


 per quei casi tipo transazioni bancarie, dove l'importante non è (solo)
Boh, sarà una cosa soggettiva, ma per me essere sicuri dell'identità del 
server è importante nella maggior parte dei casi in cui vengono usate 
connessioni SSL: gestione dei propri dati nel sito dell'università, 
login nel sito del proprio comune o del proprio ente previdenziale, o 
anche webmail che non sia proprio una mailbox usa e getta...
-- 
Ciao,
   Marco.

 connessioni SSL:
...a proposito: una mia collega mi ha appena fatto scoprire che il sito
dell'Ufficio delle Entrate si autocertifica l'identità :-D


 dell'Ufficio delle Entrate si autocertifica l'identità :-D
Infatti spesso succede, e la cosa è abbastanza triste.
Solo che il sito dell'Agenzia delle Entrate, seppure a torto, può 
permettersi di dire "installa il nostro certificato la prima volta che 
entri", perché offre servizi di cui il cittadino non vuole/può fare a 
meno, ma se invece sei la Pizza&Fichi International e fai la stessa cosa 
per la tua webmail, quando quasi nessuna webmail fa le stesse storie, 
rischi di perdere clienti/utenti.
-- 
Ciao,
   Marco.

 corrisponde, non mi interessa se è auto-firmato, mi sta benone.
Sapere dove volersi collegare non indica che si stia proprio arrivando
lì dove si voleva andare.
Ok, allora, ti faccio un repository per qualche distribuzione famosa,
che chiameremo, per comodità, pogginux.
Lo riempio di rootkit.
Trovo il modo di avvelenare il tuo dns.[*]
Ti ci colleghi, e vedi che il sito pogginux usa un certificato emesso
da pogginux, ( e certo, se mi presento come pogginux, il certificato
lo firmerà una autority coerente, anche se falsissima) ti scarichi i
miei rootkit, e mi ringrazi pure.
Io ci vedo comunque un piccolo problema di identità, tu no?
[*] Se dai per scontato che non posso avvelenare i dns, tutto il gioco
della connessione protetta con certificato è una pagliacciata.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Io ci vedo comunque un piccolo problema di identità, tu no?
No, perché non vedo cosa cambi qui un certificato piuttosto che un
altro: io volevo collegarmi a pogginux e lì mi sono collegato
/effettivamente/. Perciò il certificato andava bene firmato, non firmato
o anche assente. Il problema è che quel repository è pieno di rootkit,
non che io non mi sto collegando dove volevo (a pogginux volevo andare,
e lì sono finito)... ma questo non te lo può garantire un certificato!



Mi sa che dovevi interpretare che 'pogginux' è una distro già
esistente, con un proprio dominio per scaricare, che stai usurpando
con i tuoi pacchetti rootkittati (tiè Crusca!)
Cioè, un 'site-in-the-middle'.
--
Saludos
Adriano

 ma questo non te lo può garantire un certificato!
E pensare che servono fondamentalmente solo a questo, a garantire che 
qualcuno sia chi dice di essere.


 /effettivamente/.
NON LO SAI, se quella è la pogginux enterprise, o sono io che l'ho
clonata, rootkittata e fatto dns poison per farti arrivare sul mio
server, invece che sul vero server pogginux.
Se ragioni così, il certificato non serve MAI, neppure per la banca,
basta un qualsiasi sistema di crittografia, per evitare sniffing.


 
scusate se m'intrometto così al volo ma perchè vorrei sapere se ho capito
bene e considerate che non sono esperto in materia, quindi siate
pazienti :D.
Se io ho due macchine, server e client, che comunicano in una wan e il
server è autocertificato, anche se la comunicazione è crittografata ho
sempre la possibilità che un malevolo si spacci per la maccina server
diciamo e freghi il client perchè la ca è la solita del server che si deve
identificare, ma se io usassi un'altra macchina solo come CA sarebbe
possibile pararsi da questo inconveniente?
ciao
Umberto

 possibile pararsi da questo inconveniente?
Sì, se la CA è una terza parte trusted ed hai importato il certificato 
allora ti accorgi che qualcosa non va.


 
Aggiungo: anche se fosse la stessa macchina, ma è sotto il suo
controllo, e non è la prima volta che vi si connette.
Se non è la prima volta, il certificato lo ha già, e se cambia
viene avvisato dal browser, e dovrebbe sapere se e perchè il certificato
è variato.


 dell'Ufficio delle Entrate si autocertifica l'identità :-D
I soliti cialtroni...
Comunque è anche vero che, nella mia esperienza, pure la richiesta
alla CA è una mezza farsa: generi la CSR, la invii via mail ad una CA
che sta dall'altra parte del pianeta, *forse* ti chiedono un fax di
conferma (ma non so se mi ricordo bene) e ti servono il tuo bel
certificato "sicuro". Non è che ti mandino i RIS in Azienda a
controllare cosa c'è sui tuoi server, voglio dire... Alla fine, ancora
una volta, il primo dispositivo di sicurezza informatica è quello
collocato fra fronte e nuca.
Marius

 basta un qualsiasi sistema di crittografia, per evitare sniffing.
In effetti è poi quello che penso, perché visto come lavorano le varie
CA, per i quali la "certificazione" è solo business (mandi un
certificato e i soldi e ti ritorna il certificato trusted, o poco più)
non vedo neanche cosa ci voglia a farsi fare un certificato fasullo
"trusted"...
A voler fare le cose per bene - diciamo a livello bancario - il
certificato dovrebbe *sempre* essere rilasciato e certificato dalla
banca stessa, consegnato non via rete (tipo allo sportello bancario lo
si riceve su penna usb), installato quindi nel proprio browser, ed
utilizzato per l'identificazione della sessione.
Ovviamente questo non è sempre possibile, e per come la penso, in un
ottica very-paranoid, un certificato che mi presenta un sito nel momento
in cui mi ci collego, trusted o no dal punto di vista
dell'identificazione vale poco.
