Newsgroup: it.comp.sicurezza.crittografia
Titolo: Client-server: chiavi e documenti

Ciao a tutti,sono nuovo! :-)
Devo realizzare un programma java in cui il client deve passare la
password al server per la login e il server deve trasmettere al client
documenti presenti sul disco del server.
Ho paura che qualcuno possa rubare password o documenti.
Visto che *non so nulla* (per usare un eufemismo...) di
crittografia,dove mi consigliate di dare uno sguardo per risolvere i due
suddetti problemi?
Cerco materiale disponibile in rete perchè non ho la disponibilità
economica per comprare un libro.Vanno bene anche pezzi di codice.
Grazie
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Delio Nasso wrote:
| Visto che *non so nulla* (per usare un eufemismo...) di
| crittografia,dove mi consigliate di dare uno sguardo per risolvere i due
| suddetti problemi?
Potresti "fare le cose a mano", ma mi pare una scelta sempre tropop
rischiosa e complicata.
Il mio consiglio è di collegare client e server tramite un socket SSL
anziché un normale socket, in modo che tutto il traffico sia crittato.
Ovviamente il server deve avere un certificato di cui il client può
verificare la firma... et voilà!
Dato che il socket SSL crea praticamente un "canale sicuro" puoi farti
moooolti meno problemi a cosa ci fai passare dentro ^_^
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAMTXMACgkQaJiCLMjyUvvaRQCdEV/2bWbVPLwtTD82m6XTtw9w
AWQAn06b2tGKiO3dkeLZYCFrx263wexg
=WpLn
-----END PGP SIGNATURE-----

 anziché un normale socket, in modo che tutto il traffico sia crittato.
Non posso,devo utilizzare RMI!
Come posso fare?


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Delio Nasso wrote:
|>Il mio consiglio è di collegare client e server tramite un socket SSL
|>anziché un normale socket, in modo che tutto il traffico sia crittato.
| Non posso,devo utilizzare RMI!
| Come posso fare?
Ecco il tutorial che fa al caso tuo:
http://java.sun.com/j2se/1.3/docs/guide/rmi/rmisocketfactory.doc.html
The Custom Socket Factory Tutorial shows you how to create a version of
the distributed Hello World program in which the RMI runtime uses
sockets of a type chosen by the programmer. This tutorial also includes
a discussion of how RMI can be used over SSL sockets.
Nota: non so molto di RMI, ho solo cercato google "java rmi ssl"
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAOSPIACgkQaJiCLMjyUvsblgCbBzHxU1FhG4CJdrhf9rLVX/+u
pVgAoMGwPcs0WhStMxwOAGGDEiQr8KYY
=P9gP
-----END PGP SIGNATURE-----

e per i dati memorizzati sul server come faccio?Se qualcuno riesce ad
accedere li vede!


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Delio Nasso wrote:
| e per i dati memorizzati sul server come faccio?Se qualcuno riesce ad
| accedere li vede!
Se ogni utente deve poter accedere solo ai propri dati potresti crittare
i dati stessi (lato server) con una chiave specifica dell'utente... il
problema è che in questo caso l'utente può usare il sistema solo da un
computer dove ha la chiave stessa (risolvibile, in parte, usando come
chiave l'hash di una password, in modo che l'utente possa ricordarla a
memoria).
Se invece il server ha costante bisogno di accedere a tutti i dati non
vedo soluzioni: ogni crittografia è inutile, ni quanto la chiave
dovrebbe comunque essere in chiaro sul server affinché il server stesso
possa accedere ai dati...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAQdVIACgkQaJiCLMjyUvvxfwCg9jXtHpZij5zZJXbSC/frgD+2
jWAAn2g8ZyGPyfqw6nygFMoDmtJV0WnH
=vaj6
-----END PGP SIGNATURE-----

possa accedere ai dati...
Dipende, per alcune elaborazioni no, basta tenere d'occhio forme di
decrittazione deduttive e si possono trattare i dati crittografati,
per i numeri ci sono altri trucchi.
E' un campo di cui mi occupo: sistemi a crittografia pervasiva,
peccato che per vivere faccio altro altrimenti avrei già finito un
primo servizio di questo tipo.
Andrea

 per i numeri ci sono altri trucchi.
Non ho capito bene... potresti riformulare,per favore?
A che ti riferisci con "deduttive" e "numeri"?
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkBfbCUACgkQaJiCLMjyUvtbIwCeLBpfny/BhkwFOM4XP3pq7tgf
5yYAoIb6ynT1XdVYUuYZjNjBujMM8bZG
=/DO0
-----END PGP SIGNATURE-----