Newsgroup: it.comp.sicurezza.crittografia
Titolo: Info su semplice programma per la non ripudiabili tà

Salve a tutti, cercavo un programma per Win che mi permettesse di 
rendere non ripudiabili brevi testi da cut&pastare ogni volta 
nell'interfaccia del programma in questione (non fondamentale che il 
metodo per l'inserimento sia questo, la cosa limitante è che il testo lo 
devo inserire copiandolo da un programma (browser) quindi non sto 
parlando di word processors o mail client) che lavori con chiave 
pubblica e privata e magari si appoggi a qualche società di Authoring 
(tipo quelle che offrono [gratuitamente vero?] servizi basati su X.509). 
Sapreste consigliarmi?
Sono ben accetti anche consigli alternativi se non si conoscesse o se 
non esistesse un sofware del genere.
	grazie anticipatamente per le risposte, rz.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
mrzac wrote:
| parlando di word processors o mail client) che lavori con chiave
| pubblica e privata e magari si appoggi a qualche società di Authoring
| (tipo quelle che offrono [gratuitamente vero?] servizi basati su X.509).
| Sapreste consigliarmi?
Uhm.. potresti usare i tool "openssl" da riga di comando con l'x.509, ma
non so se l'S/MIME ha qualche forma di "testo auto-firmato", magari puoi
propriousare il MIME stesso per avere testo+firma.
PGP (o GPG, su controparte opensource) invece si basano proprio su
piccoli testi auto-firmati (tipo questo messaggio) e il copia&incolla
diventa banale, ma non riconoscono autority centrali.
(con l'eccezione di PGP che ha un qualche supporto x.509! molto comodo,
peraltro: importa le chiavi x.509 come se fossero chiavi PGP e gli
lascia attaccato il certificato d'origine, che GPG nno riconosce ma lui sì)
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/hlOIACgkQaJiCLMjyUvvQqgCgioKFWZGXSlE3Df1LDB4Fy60x
hcQAn3x0hOBSKFJ7UY3Y3Z+nd5ouannc
=owfi
-----END PGP SIGNATURE-----

 
		ciao, rz.


| (senza andare a scomodare X.509 :) che però mi sembrava
| più fico avendo la CA che ti garantiva...
Avere una CA "riconosciuta da tutti" più che "fiko" e molto "comodo".
In pratica con un atto di fiducia (fidarti della CA) perdi un po' di
libertà (la libertà di scegliere esattamente le persone/chiavi di cui ti
fidi) ma ne guadagni enormemente in comodità (tutte le chiavi emesse
dalla CA sono automaticamente "fidate").
PGP (o meglio, lo standard OpenPGP) prevede invece di non togliere
niente all'utente, e lasciargli quindi completo sia l'onore che l'onere
di decidere e verificare personalmente la sicurezza di ogni loro contatto.
Ad esempio prima che una chiave PGP abbia un benché minimo senso va
firmata con la propria chiave, e per farlo è necessario vedersi di
persona e verificare i rispettivi fingerprint (l'impronta digitale di
una chiave è l'hash della parte pubblica della chiave stessa).
| PGP quindi farebbe al caso mio da quanto leggo nel tuo messaggio, è free?
PGP, come programma, è free solo per scopi non commerciali.
OpenPGP, come standard, è open.
GPG, come programma, è compatibile OpenPGP ed open.
Quindi GPG può interoperare completamente con PGP e non pone limiti di
uso. (se non quelli definiti dalla GPL, che però riguardano l'uso dei
sorgenti di GPG o il link con lo stesso; i binari invece possono essere
richiamati da programmi anche non GPL senza problema legali)
| Copiando e incollando un testo nella sua consolle (versione per windows
| di PGP) ricevo una signature che contiene la mia chiave pubblica
In realtà contiene solo il fingerprint della tua chiave pubblica.
La chiave è in genere abbastanza grossa e per questo viene tenuta su un
"keyserver" dal quale gli altri utenti possono recuperarla, proprio
tramite il fingerprint (o un suo sottoinsieme di 32 o 64 bit, spesso
chaimato "key id").
| stringa che varia di volta in volta basata sulla mia chiave privata
Esatto.
| permette a chi è interessato di ottenere la conferma che ho scritto
| veramente io tramite un procedimento che sfrutta l'elaborazione della
| signature mia, della sua chiave privata e della mia pubblica?
Esatto, ma la sua chiave privata non c'entra nulla nella verifica della
tua firma (che non è indirizzata a nessuno in particolare ed è leggibile
da ttuti).
Ovviamente la sua chiave privata serve se gli mandi un messaggio prima
firmato e poi crittato (per lui).
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/i6fsACgkQaJiCLMjyUvu/rgCeIceRpTZbK2LUw7UlZWObeDMw
x0oAoJX8lRFtJM3QUEvjsXy66GrUBq8C
=U50f
-----END PGP SIGNATURE-----

 una chiave è l'hash della parte pubblica della chiave stessa).
Beh, nulla vieta di "centralizzare" anche l'uso della tecnica descritta
da OpenPGP...
All'interno di una comunità (ad es. un'azienda, una facoltà, un ente,
un'associazione, ...) è possibile definire una chiave detenuta da una
CA designata, che avrà l'onere di firmare tutte le chiavi dei facenti
parte, verificandone la reale identità e certificandone la validità a
favore della comunità.
In questo modo, ciascun appartenente a tale comunità dovrà riconoscere
come valida e totalmente fidàta, la chiave della CA. Tutte le chiavi che
ne riporteranno la firma, saranno automaticamente considerate valide.
Ciò, non ne impone necessariamente tale uso, ma consente, comunque,
l'utilizzo dell'OpenPGP standard, per tutte le chiavi, che siano esse
appartenenti o non, alla comunità.
In questo modo, può essere demandata la verifica e la certificazione di
ciascuna chiave di ogni membro della comunità, alla CA, per gli utenti
più inesperti e/o svogliati; mentre concede la piena libertà di
determinazione, a tutti gli utenti con competenze maggiori, creando un
sistema ibrido cui potersi appoggiare.
Ciao,
un TJL73 che si è ritrovato anche a fare da PGP-CA...
-- 
"Tra due mali scelgo sempre quello che non ho mai provato."
                                                             -- Mae West