Newsgroup: it.comp.os.linux.sys
Titolo: Gpg e revoca chiave

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
 
A causa di un delete dato male, ho cancellato la chiave GnuPG che utilizzavo 
(soprattutto) per firmare i post che inviavo a destra e a sinistra. Ora, 
visto che di quella chiave ho ancora il certificato di revoca, come posso 
eliminarla completamente dai keyserver remoti?
 
Enrico
P.S. e` ovvio che ora firmo con una nuova chiave :P
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)
 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=WfyE
-----END PGP SIGNATURE-----
 

 eliminarla completamente dai keyserver remoti?
 
Poi mi spiegherai a che serve firmare digitalmente i post su usenet, che 
io sinceramente non lo capisco!
 
-- 
Massimo Bacilieri AKA Crononauta

 io sinceramente non lo capisco!
 
Su usenet in effetti nulla, solo che mi viene "gratuito" in quanto il 
profilo di knode e` condiviso con quelli impostati in kmail (c'e` lo zampino 
di akonadi dietro)
 
Enrico
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)
 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=pIha
-----END PGP SIGNATURE-----
 

 
 
Sorpresa!
Le chiavi revocate NON si eliminano!
Bensì, rimangono sui keyserver forever and ever, ma vengono appunto 
marchiate come revocate (tipicamente quando vengono compromesse).
 
Pertanto i documenti firmati con tali chiavi dovrebbero essere considerati 
autentici/attendibili fino se firmati *prima* della data di revoca della 
chiave.
 
Per quanto riguarda la firma dei post su Usenet, beh, certo che ha senso!
Firmare i post con GnuPG serve a certificare l'autenticità del post.
Se un domani qualcuno dovesse rubare il pc di Enrico Bianchi e cominciare a 
scrivere post su Usenet a suo nome, probabilmente non potrebbe firmarli (a 
meno che Enrico non abbia scritto la sua password in chiaro in qualche file 
sull'hard disk). 
 
E anche se avesse la possibilità di farlo, Enrico ha ancora la possibiltà di 
revocare tale chiave e porre fine all'uso indiscriminato della sua identità.
 
Notate che: 
 
* GPG quando deve verificare una firma, avvisa se una chiave è stata 
revocata.
 
* Inoltre, se una chiave viene compromessa, è bene che coloro che l'hanno 
firmata aggiornino le loro firme sul keyserver, cambiando la fiducia al 
minimo.
 
In questo modo è possibile discernere tra i post autentici di una persona ed 
i post di malintenzionati.
 
Personalmente, ho una copia del certificato di revoca della mia chiave 
stampato (carta, quella vera, che si tocca) e ben nascosto in casa mia (ed 
anche off-site).
 
Se avete voglia di approfondire, potete consultare il manuale GNU sulla 
privacy, sul sito di GnuPG.
 
-- 
Rzl

 sull'hard disk).
 
AHAHA ROTFL, dai...
Chiunque può inviare post a nome e cognome di Enrico Bianchi copiando la 
firma, o pure mettendo stringhe a casaccio, tanto sai quanti andranno a 
verificare se è autentica o meno?
Forse lo 0,001% di chi sa *cosa è* una firma digitale, che già sarà lo 
0,001% di chi usa usenet... e magari sono pure ottimista.
 
Il rimanente 99,9etc.% semplicemente se ne sbatte il culo, anzi ti dirò, 
probabilmente penserà che è una gran rottura di coglioni tutta quella 
roba in fondo al messaggio. Compreso il bimbominkia che s'incazza perché 
da una parte si vede fare la predica per la sua firma di 18 righe in 
html che inneggia a Justin Bleiber (o come minchia si scrive), e 
dall'altra vede questo sbrodolo di righe crittografate cui nessuno dice 
niente...
 
Poi se uno vuole usare una firma digitale a scopo ludico/didattico va 
bene, sono sempre conoscenze (e quella della crittografia è una delle 
più affascinanti), ma restiamo obiettivi sulla sua utilità nel mondo 
reale: la firma digitale ha senso se devi trasferire informazioni a 
qualcuno che deve poter verificare l'attendibilità di tali informazioni, 
e deve potersi assicurare se gliele stai mandando davvero tu, oppure è 
un depistaggio.
 
Mi sembra siano problematiche veramente particolari, non certo esigenze 
di "persone comuni".


 Firmare i post con GnuPG serve a certificare l'autenticità del post.
 
E a cosa servirebbe la certifica dell'autenticità del post?
Vuoi mantenere diritti inalienabili di copyright su quanto scritto su
usenet? In un gruppo linux? ;-)
 
Ormai è un discorso fatto decine di volte: quello che sarebbe utile è
poter capire se un post (offensivo o semplicemente stupido) sia stato
scritto da un altro a nome mio (tuo, suo, ecc.), non il contrario.
 
Ma la mancanza della mia firma gnupg non dimostra che questo post non
l'abbia scritto io.
 
Potrei benissimo non firmare questo post, e poi dichiarare che non è,
come si nota dalla mancanza della firma, mio.
 
E l'unico modo perché tu possa credermi, è, appunto, credermi.
Il che non deriva dalla firma ma solo dalla mia reputazione in questo
posto.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net
 

La gente ci cascherà comunque perchè *NESSUNO* verificherà quella firma.
 
Nessuna persona, no, ne convengo. Ma
 
	- Opzioni -
	  [ ] Non verificare eventuali firme GPG
	  [x] Segnala assenza di firma GPG per utenti che l'hanno
	      utilizzata con successo
 
...?
 
Leonardo
 
-- 
Tell us whether you spy, in the light of the morn,
what saluted was fiercely at the fall of the past day:
whose pips and whose bands in the very heart of the fray
bravely floated from the bulwarks to which we were sworn?