Newsgroup: it.comp.os.dibattiti
Titolo: Windows Vista x64 accetterà in kernel mode solo codice digitalmente firmato.

Questo significa che, per poter rilasciare pubblicamente un driver o un 
servizio in kernel-mode, bisognerà ottenere un certificato per Commercial 
Software Publisher di Classe 3. Rilasciato da Verisign. Costo: 500 dollari 
all'anno. Occorrerà dunque essere un'entità commerciale.
http://www.microsoft.com/whdc/system/platform/64bit/kmsigning.mspx
Le implicazioni sono tante, la più lampante è che tutto ciò sembra un 
ulteriore passetto nel cupo solco che sta tracciando il Trusted Computing 
Group...
La seconda è che questa mossa taglia fuori una certa fetta del software 
FOSS, perché solo entità commerciali potranno ottenere un certificato, e 
comunque stravolgerà il senso della fetta restante, perché se non si è in 
possesso di un certificato si perderà la possibilità di riutilizzare il 
codice per rilasciarne pubblicamente una versione modificata.
Le altre implicazioni le lascio a voi: cosa ne pensate?
SALUTONI,
WindoM 


Part of the inhumanity of the computer is that, once it is competently 
programmed and working smoothly, it is completely honest. (Isaac Asimov)

Fabio Fioretti - WindoM alle 02:37, domenica 22 gennaio 2006 in preda ad
eccitazione post-Matrix ha scritto:

che a Guglielmo Cancelli & Partners non serve fornirgli il martello per i
maroni ha già una mazza da fabbro tutta sua e sta facendo un ottimo lavoro.
La comunità Linux gode.
Cià
-- 
Iggy Blues
---------------
Se vedi un affamato non dargli del riso: insegnagli a coltivarlo. (Confucio)

 Le altre implicazioni le lascio a voi: cosa ne pensate?
Che se qualcuno vuole far girare del codice in kernel mode sul mio PC
almeno che si possa identificiare con certezza.
E questo dovrebbe valere anche per chi fornisce il sorgente.
Che poi il certificato sia a pagamento oppure rilasciato gratuitamente
da un ente pubblico poco importa.
Saluti.

 Le altre implicazioni le lascio a voi: cosa ne pensate?
Che saran cazzi dei client, io tanto non uso Windows :P
-- 
Lawrence - 
http://www.oluyede.org/blog
"Anyone can freely use whatever he wants but the light at the end
of the tunnel for most of his problems is Python"

 almeno che si possa identificiare con certezza.
Se tu vuoi far girare *tuo* codice (scritto e compilato da te) in 
kernel-mode devi identificarti presso te stesso? Ok tiri fuori la carta 
di identita` e ti riconosci. Ma Vista non ti riconosce. Che strano, 
eppure l'hai pagato con soldi *tuoi* e pensavi di possederne tutti i 
diritti sulla *tua* copia che gira sulla *tua* macchina.
Oppure premi F8 ad ogni boot? Oppure ci attacchi un kernel-debugger ?
Comodo!
-- 
Vincenzo

Fabio Fioretti - WindoM wrote:

Ne penso molto male: la documentazione del TCPA lasciava
intendere chiaramente che l'utente sarebbe in grado anche di
autorizzarsi il SW in base ai suoi bisogni, questa notizia
invece fa intendere che la personale implementazione di MS di
questo sistema toglie questa libertà fondamentale all'utente.
Mi sembra ampiamente oltre i limiti dell'assurdo, un sistema
del genere costringerebbe a sborsare paccate di soldi anche
solo per testare il SW a basso livello che uno ha scritto.
Saluti
Alberto
-- 
rimuovere/remove         "Calm yourself!  Man who argue with cow
WLATOPA                      on wall is like plane without wings--
per rispondere/to reply    very soon get nowhere." (Peter Sellers)

 solo per testare il SW a basso livello che uno ha scritto.
No, hai ben due possibilita`:
• Attaching a kernel debugger. Attaching an active kernel debugger to 
the target computer disables the enforcement module in Windows Vista and 
allows the driver to load.
• Using the F8 option. An F8 boot option introduced with Windows 
Vista—“Disable Driver Signature Enforcement”—is available to disable the 
kernel-signing enforcement only for the current boot session. This 
setting does not persist across boot sessions
Ovviamente e` un palliativo della normale e logica liberta` di fare 
quello che si vuole con uno strumento legittimamente acquistato.
-- 
Vincenzo

 persist across boot sessions
E' possibile che questa modalità sia disponibile anche come opzione di avvio 
del kernel, per cui in realtà potrebbe bastare una modifica a boot.ini...
--
Xelloss 

 tutti i diritti sulla *tua* copia che gira sulla *tua* macchina.
No, usi la CA che sta nel DDK di Vista.
Saluti.

 almeno che si possa identificiare con certezza.
Giusto. E ti dico di piu`, potrebbe essere un'ottima cosa. Pero` considera
questo: una cosa del genere puo` essere implementata in n-mila modi
differenti (e.g. chiave PGP con certificato), e loro hanno scelto il piu`
chiuso, limitativo e costoso
Henryx
-- 
 Signore e signori! Lo avete letto sui giornali! E ora fremerete d'orrore 
 osservando con i vostri stessi occhi il piu` raro e tragico degli 
 scherzi di natura! .. l'uomo medio! 
                                     Joker (Batman: the killing joke) 

 da un ente pubblico poco importa.
Beh, sinceramente avrei preferito di parecchio la seconda ipotesi. :-)
SALUTONI,
WindoM

 n-mila modi differenti (e.g. chiave PGP con certificato)
Il meccanismo deve essere standardizzato e riconosciuto ufficialmente e 
globalmente dai vari stati
PGP non mi pare lo sia.
Saluti.

 Beh, sinceramente avrei preferito di parecchio la seconda ipotesi. :-)
E chi vieta ad una CA legalmente riconosciuta ed abilitata a rilasciare i 
certificati gratis?
Nessuno.
Ma almeno "The Master of HackerWarez" dovrà presentare il proprio
documento d'identità per ottenere il certificato.....
D'altra parte prevedo una corsa al furto dei certificati da parte di certa 
gente.
SAluti.

 un'altro discorso.
Ehmmm, orrore......
Chiedo scusa alla lingua Italiana.

 certificati gratis?
Nessuno, ok, ma chi vieta a Microsoft di accettare solo certificati 
Verisign?
SALUTONI,
WindoM 

 Le altre implicazioni le lascio a voi: cosa ne pensate?
IMHO offre anche possibilità interessanti di obolescenza indotta, visto 
che, se non capisco male, i certificati scadrebbero periodicamente [1], 
e quindi o si aggiornano i driver di quando in quando, o si deve far senza.
Avremo forse dei casi di macchine che di punto in bianco non faranno più 
il boot perché qualcuno si è dimenticato di fare l'aggiornamento 
periodico dei driver della scheda RAID?
O forse dei casi in cui hardware funzionante che però non ha più il 
supporto del rivenditore diventerà necessariamente buono solo per far da 
fermaporta? Chiaro che qualcuno se ne uscirà dicendo che i rivenditori
"seri" non oserebbero fare nulla del genere, e che lascierebbero margini 
molto ampi, però rimane il fatto che che chi vorrà, potrà, e senza appello.
------
[1] Altrimenti basterebbe che un solo impiegato infedele mandi in giro
     la parte privata della chiave che usa per firmare il driver
     che sta sviluppando/testando, ed il gioco sarebbe fatto una volta
     per tutte, salvo elenchi di chiavi ritirate (che però creerebbero
     abbastanza scompiglio, perché invaliderebbero anche le cose
     "legittime" che son state firmate con quella chiave).
-- 
   |   \    \  | ___|_  |_  |  ianezz a casa sua... :-)
   |  _ \  | \ | _|    /   /   Verba volant, scripta
  _|_/  _\_|  _|____|___|___|  manent, data corrupted

 molto ampi, però rimane il fatto che che chi vorrà, potrà, e senza appello.
Buoniiiii... ho letto adesso dell'F8 al boot e del debugger. Ritiro il 
"senza appello".


     "legittime" che son state firmate con quella chiave).
Ecco, questo è il punto debole della catena.
Risolto in parte per il fatto che i certificati si trovano memorizzati in 
supporti
esterni al computer (smart card) che richiedono PIN di sblocco multipli.
L'uso di una PKI non se lo è inventato Microsoft e non è relativo a 
Palladium.
Saluti.
Aspettatevi l'uso di strumenti basati su PKI per l'accesso condizionale a 
cose
come il telefono e le trasmissioni digitali (Sky ad esempio....)

 PIC."
Probabilmente accetteranno un qualisiasi certificato di classe 3 rilasciato
da un ente valido. Usano Verisign come riferimento perchè Verisign è il 
maggior certificatore
usato negli USA.

 Verisign?
Chi "impone", casomai. :-)
Cmq, speculando, direi che dietro ci potrebbe essere un bell'accordo con 
Verisign. Magari (ipoteticamente) del tipo che, in cambio 
dell'esclusiva, Microsoft si può tenere una certa parte di quei $500.
Che moltiplicata per il numero di certificati da emettere annualmente, 
fa una bella sommetta, a occhio direi tra i $100.000 e il $1000.000 (una 
goccia nel mare per Microsoft, concordo, ma visto che praticamente 
saltano fuori dal nulla, ci ci sputa sopra?).


 maggior certificatore usato negli USA.
Mmmmh, se non vedo non credo, voglio vederlo scritto nero su bianco come ora 
vedo solamente Verisign... :-)
SALUTONI,
WindoM 

 esterni al computer (smart card) che richiedono PIN di sblocco multipli.
e in parte perché, a differenza di quello che credevo, i più non avranno 
bisogno di firmare i driver per poterli testare.


 
Solo io noto una contraddizione in queste due affermazioni?
Posso ammettere che se il certificato era valido al momento 
dell'installazione venga considerato valido anche dopo la scadenza, ma 
se devo reinstallare?
Alessandro.


Auspicabile, ma siamo sicuri che queste modalità palliative possano
bastare a chi voglia testare un driver o, che so, un'utility di
basso livello per i dischi, un antivirus o quant'altro in un
ambiente realistico di utilizzo?


 
PGP e' uno standard, ma non capisco l'importanza del fatto che debba 
essere riconosciuto dagli stati (X.509 e' piu' vicino al riconoscimento 
ufficiale ma mi pare ci sia molta strada da fare in molti paesi dal 
punto di vista legale e non solo).
IMHO piu' che riconosciuto dagli stati deve essere un sistema 
riconosciuto da Microsoft :-) (e a questo punto un sistema vale l'altro).
Ma il fatto che il driver sia stato firmato implica in qualche modo una 
responsabilita' del firmatario? Altrimenti una volta ottenuto il 
certificato posso mettermi a firmare i driver di chiunque, mettendo un 
avvertimento "attenzione non c'e' alcuna garanzia su questo software, 
usatelo a vostro rischio e pericolo" come s'e' sempre fatto.
Alessandro.

GdG ha scritto:

E che te ne fai se il tuo certificato non e' firmato?
Alessandro.

Vincenzo Valvano ha scritto:

Siamo sicuri che in questa modalita' non avrai comunque delle 
limitazioni (es.non poter accedere a contenuti protetti da diritto 
d'autore)?
Alessandro.

 saltano fuori dal nulla, ci ci sputa sopra?).
anche perche' in questo modo si obbligano sviluppatori non americani a
pagare una CA americana.
Non sono antiamericano, ma questa cosa dal punto di sta economico puzza...

 
In realta' non c'e' molta scelta, gli standard piu' diffusi sono 
sostanzialmente due: X.509 rispetto a PGP ha il vantaggio di permettere 
una gestione "gerarchica" e piu' strutturata dei meccanismi di fiducia.
Alessandro.

 una gestione "gerarchica" e piu' strutturata dei meccanismi di fiducia.
X.509 e' anche molto piu' burocratico e lento, questo e' il problema, 
secondo me. Voi avete mai provato a cercare un notary geograficamente vicino 
a voi per guadagnare i punti necessari ad essere minimamente trusted?
Io l'ho fatto, e devo dire che e' una cosa per cui bisogna perderci non poco 
tempo (oltre a dover essere pure fortunati). Mentre gente che usi PGP la si 
puo' trovare con molta molta piu' facilita' per firmarsi a vicenda. Il Web 
of Trust di PGP e' sicuramente piu' flessibile, ma non per questo meno 
affidabile, IMHO, sorpattutto sui grandi numeri. E poi non devi dare i tuoi 
dati e la tua chiave privata a nessuno (CA o privato che sia), aspetto 
questo ormai non trascurabile di questi tempi. Ovviamente X.509 e' molto 
comodo per molte altre cose (soprattutto il fatto di essere supportato da 
pressoche' tutti i client di posta, per esempio), ma per altri aspetti io 
preferisco lo standard PGP perche e' piu' autosufficiente e meno 
manipolabile.
Comunque in Italia per quanto riguarda la firma elettronica e simili, siamo 
ancora all'eta' della pietra, soprattutto come legislazione, che poi e' 
l'aspetto piu' importante di tutta la faccenda. E la cosa fa pure rabbia, 
perche' invece con questo sistema si riuscirebbero a tagliare i costi 
aumentando, contemporaneamente, la velocita' dell'apparato burocratico 
pubblico.
-- 
BArrYZ
"Non piangere. Ho bisogno di tutto il mio coraggio per morire a vent'anni."
                                      [Evariste Galois 1811-1832]

 da un ente pubblico poco importa.
Invece importa eccome, IMHO. Perche' la discriminante non e' piu' la
certezza dell'identita' (che con la crittografia e il web of trust oggi si
puo' ottenere con buona approssimazione a costo praticamente zero), ma il
fatto di doversi appoggiare, a pagamento, a Verysign. Mi sembra una 
forzatura inaccettabile.


 Le altre implicazioni le lascio a voi: cosa ne pensate?
L'implicazione principale che vedo io, e' che cosi' facendo non lo comprera'
nessuno (o almeno me lo auguro) a favore, definitivo, dei tanti sistemi free
*Nix. Se volevano dare un slancio al mondo dell'OSS, con queste stronzate
dei vincoli sul software e del TCP, penso ci stia riusciendo in pieno,
peggio per loro.
Aggiungo pero' che come limitazione in se', non mi pare mostruosamente 
invalidante. Far girare i driver in usermode, oltre che piu' sicuro e 
stabile, ormai non fa perdere granche' come prestazioni, penso (oddio 
dipende pure dall'ambito preciso, non e' vero in assoluto). Quindi per i 
vari sviluppatori freelance, slegati dal circuito principale, creare dei 
driver che non girino in kernel mode, puo' non essere cosi' necessario per 
la maggior parte delle applicazioni. Questo da un punto di vista pratico, 
credo. Resta ovviamente inaccettabile la forzatura del procedimento, 
soprattutto se il tutto fosse legato al dover pagare per un certificato da 
comprare da una sola CA.


 solo per testare il SW a basso livello che uno ha scritto.
Questo e' vero, ma penso che qualche scappatoia la lasceranno (vedi F8), 
anche perche' se perdono pure tutto il mare di sviluppatori che hanno, 
possono pure chiudere bottega subito, e non credo che lo vogliano.
-- 
BArrYZ
Cocaine decisions . . .
You are a person who is high class
You are a person not in my class
And the cocaine decision that you make today
Will mean nothing later on
When you get nose decay
                    [Cocaine Decisions - Frank Zappa] 

 di tutti. Che poi siano LEGALMENTE validi è un'altro discorso.
Eh ma e' la parte piu' importante del discorso. La legislazione in tale 
materia in Italia, e' allo stato men che embrionale, purtroppo. Le CA in 
Italia, cmq, mi pare che siano molte meno di 15, ma non vorrei dire una 
sciocchezza.
Il problema e' che MS sembra obblighi a scegliere Verisign, questo e' il 
problema da risolvere. Se cosi' fosse, si trattrebbe di un vero e proprio 
balzello internazionale a danno degli sviluppatori, che ovviamente poi 
ricadranno pari pari, anzi con gli interessi, sui poveri utenti finali che 
compreranno il software. Cosi' non va.


 (es.non poter accedere a contenuti protetti da diritto d'autore)?
Mi sa che e' molto probabile, purtroppo, senno' tutto Palladium sarebbe 
bypassabile dal boot, e il che mi pare un po' un controsenso.
-- 
BArrYZ
[_Sign?_] 

 questo ormai non trascurabile di questi tempi.
Tutto dipende dalla Policy della CA, X.509 di per se' non richiede 
nessuna di queste cose.
Alessandro.

 se devo reinstallare?
(adesso che ho studiato un po' di più): il certificato finale che 
accompagna il driver deve includere timestamp e hash/digest del driver 
firmati da una CA, che ovviamente te lo firma (in maniera peraltro 
automatica) solo se gli presenti un certificato non scaduto.
Vista a questo punto non ha che da verificare che (grossomodo):
  - gli hash del driver da caricare coincidano con quelli indicati
    nel certificato (firmati dal produttore)
  - che la chiave pubblica del produttore sia effettivamente quella
    indicata nel certificato (che è firmata dalla CA)
  - che il timestamp di firma del driver sia entro il periodo di
    validità del certificato e che l'hash/digest corrisponda al
    driver da caricare (entrambi firmati dalla CA).
Il giro in realtà è un poco più complicato (perché c'è di mezzo sia il 
certificato di Verisign, sia quello che ti da Microsoft), ma 
sostanzialmente dovrebbe essere questo.
Per cui, in sintesi:
  - i driver non "scadono";
  - i certificati scadono, e chi vuol fare driver firmati
    paga un tot all'anno;
  - l'ipotesi di obolescenza indotta che avevo fatto non sta
    in piedi;
  - il tutto comunque è subordinato alla volontà di Microsoft,
    che può emettere o non emettere i propri certificati con totale
    discrezionalità (nessuno li obbliga a farlo);
  - l'amministratore che voglia installare un driver non firmato
    o fa sempre il boot con F8, o chiede pure lui un certificato
    (o meglio: lo chiede l'azienda per cui lavora), pagandolo,
    e i driver se li firma da sè (col consenso di Microsoft);
  - qualcuno potrebbe anche metter su un gruppetto (o lo potrebbe fare
    un'aziendina - diciamo anche RedHat o Novell) che paga
    i $500 annuali e firma driver di altri per una frazione di quella
    somma, ad esempio.
    Nel qual caso, sarà interessante vedere se Microsoft concederà loro
    il suo certificato (a fronte di quello dato da Verisign) o meno.


 E che te ne fai se il tuo certificato non e' firmato?
Il certificato serve per firmare. Il driver cosi firmato è formalmente è 
valido.
Nella sostanza no, dato che è firmato usando un certificato
non rilasciato da un ente certificatore che, appunto, certifica la tua 
identità.
Lo uso per sviluppo e test.

 una responsabilita' del firmatario?
Tu che dici?

> meccanismi di fiducia.
Chi controlla (notarizza) il rilascio di certificati PGP?
Io me lo sono fatto da solo, il certificato PGP.

 vorrei dire una sciocchezza.
Allora non la dire :-)
http://www.cnipa.gov.it/site/it-IT/Attivit%c3%a0/Certificatori_accreditati/Elenco_certificatori_di_firma_digitale/

 se devo reinstallare?
AHO reinstalli il driver FIRMATO con un certificato VALIDO quando quel 
driver fu firmato.
No perchè se fosse come tu pensi, quando ti scade la carta d'identità 
verrebbero annullati TUTTI gli atti
giuridici che videro quel documento come fonte della certificazione della 
tua identità....

 sembra una forzatura inaccettabile.
Ma che stai a di.....
Saluti.

 penso ci stia riusciendo in pieno, peggio per loro.
Io invece prevedo che molto presto sulla scia della varie leggi sulla 
sicurezza, privacy
e trasparenza dei bilanci aziendali (Serbanes Oxley in USA e Basilea in 
Europa)
ci sarà una direttiva EU che obbligherà i produttori
di hardware a fornire drivers e software dotati di firma digitale legalmente 
valida ed obbligherà
le utenze non domestiche ad usare SOLO software con queste caratteristiche.

 Io me lo sono fatto da solo, il certificato PGP.
Infatti sostenevo proprio questo.
PGP e' piu' agile dei certificati X.509.
-- 
BArrYZ
[_Sign?_] 

 
http://www.cnipa.gov.it/site/it-IT/Attivit%c3%a0/Certificatori_accreditati/Elenco_certificatori_di_firma_digitale/
Si' effettivamente sono molte di piu', ma quelle che effettuano il servizio 
di certificazione diretta per i cittadini, penso siano poche in quella 
lista.
E cmq, tanto per dire il livello di competenza e rigore formale di cui 
parlavo sopra in ambito legislativo, ti quoto una parte:
"La lista dei certificati, completata con le informazioni previste dall'articolo 
41 del DPCM 13 gennaio 2004 sopra citate è strutturata, in un archivio 
WINZIP non compresso"
Non sapevo che WINZIP fosse un formato (tra l'altro sicuramente molto aperto 
e crossplatform, come TUTTA la documentazione statale dovrebbe essere...), 
interessante davvero.


 Ma che stai a di.....
Sto dicendo che se MS obligasse a dover pagare il certificato di Verisign (o 
altresi' di obbligare tutti a prenderlo da lei solo), sarebbe una cosa grave 
e inaccettabile, questo sto dicendo.
Tu invece cosa stai dicendo di costruttivo e interessante?


 caratteristiche.
E questo cosa c'entra con quello che dicevo?
Mica ho detto che sono contro i driver firmati, anzi, io sono 
ultra-favorevole.
Il problema, pero', in questo caso, e' avere la liberta' di SCELTA se usarli 
o meno nel proprio sistema (parlo del lato consumer). Nel caso di MS c'e' il 
problema degli sviluppatori e del fatto saranno obbligati a pagare un 
fottutissimo certificato a Verisign, anche se volessero sviluppare per hobby 
un driver di basso livello che giri a livello del kernel. Questo nel lungo 
perido spingera' ancor di piu' alla ribalta il freesoftware sulle 
piattaforme *Nix.


 Standard de che?
Mai sentito parlare di OpenPGP ?
http://www.openpgp.org/


    il suo certificato (a fronte di quello dato da Verisign) o meno.
La cosa che ancora non e' chiara, e' capire se i certificati di altri enti 
certificatori, saranno o meno riconosciuti da Microsoft. Mi sembra un nodo 
fondamentale da sciogliere, questo.


 
Che se fosse cosi' sarei curioso di sapere quali.
Alessandro.

 
Anche quello X.509, a quanto pare.
In teoria sei sempre tu che decidi di chi puoi fidarti o oppure no, 
quello che cambia sono le modalita' con cui tu concedi la fiducia 
(affidandoti ad un certificatore, solo a te stesso, agli amici fidati o 
agli amici degli amici degli amici...).
Alessandro.

 di queste cose.
Beh e' vero, hai ragione. Pero' ho capito che molte CA, di fatto, si tengono 
pure una copia della tua chiave privata, e cio' e' male, IMHO.
Del resto OpenPGP e i vari keyserver, nascono (anzi proprio quasi tutta la 
crociata di Zimmermann, nasce da questo presupposto) proprio per essere al 
di fuori di questo tipo di sospetti, essendo una rete che trattiene e 
pubblica solo ed esclusivamente chiavi pubbliche e non altro.


 
http://www.openpgp.org/
Non basta essere una  RFC per essere anche uno standard con valore LEGALE.


E chi mi rilascia un certificato PGP opponibile a terzi in un Tribunale?

 sembra un nodo fondamentale da sciogliere, questo.
Puoi sempre scrivere a Microsoft.
Saluti.
PS: la risposta è si. Ovviament se rilasciati da enti certificatori conformi 
agli standard LEGALI.

 Tu invece cosa stai dicendo di costruttivo e interessante?
CHe non c'hai capito niente in generale.
Saluti.

 CHe non c'hai capito niente in generale.
Ma LOL !
(sara' colpa dei "i certificati PGP"...)
-- 
BArrYZ
[_Sign?_] 

 Non basta essere una  RFC per essere anche uno standard con valore LEGALE.
Si parlava solo di standard, non di valore legale, e OpenPGP *E'* uno 
standard. Leggi meglio la prossima volta.
-- 
BArrYZ
"Gli studenti sono piu' interessati a superare l'esame, che ad apprendere."
                                      [Evariste Galois 1811-1832] 

 E chi mi rilascia un certificato PGP opponibile a terzi in un Tribunale?
PGP non funziona con i certificati, mi sa che non sai neanche di cosa stai 
parlando.
-- 
BArrYZ
[_Sign?_] 

 conformi agli standard LEGALI.
Fammi capire: ma tu hai fatto un corso di simpatia e buone maniere da 
qualche parte su Marte?
Cmq la certezza di cio' ancora non c'e', visto che i dettagli Microsoft li 
dara' in futuro:
"Future versions of this preview information will be provided in the Windows 
Driver Kit (WDK), under the topic "Signing Drivers for Development and Test 
(Windows Vista and Later)." "
Ripeto, quindi: se accettera' i certificati di chiunque nel mondo, ok, 
altrimenti se prendera' solo quelli di Verisign, sarebbe un fatto gravissimo 
e inaccettabile.



Si, vabbè, ciao!

 (sara' colpa dei "i certificati PGP"...)
Da "Guida a PGP", 
http://pgp.unito.it/
"Certificazione e fiducia
Quando ottenete una qualsiasi chiave pubblica, dovete controllare per 
assicurarvi che la chiave appartenga realmente al proprietario dichiarato. 
Una volta che siete sicuri che la chiave pubblica è valida, potete applicare 
un certificato a quella chiave. Indicate quindi che ritenete sicuro 
l'utilizzo con il proprietario dichiarato. Molta gente può applicare piu' 
certificati alla stessa chiave pubblica. La fiducia che avete in queste 
persone è molto importante per determinare la qualità della chiave (a meno 
che la abbiate verificata voi stessi). Oltre ai vostri certificati potete 
assegnare alla chiave della persona un livello indicante la fiducia che 
avete in quell'individuo sulle sue certificazione delle chiavi pubbliche di 
altri utenti.
Ci sono parecchi modi per controllare l'autenticità di una chiave, cioè, se 
la chiave realmente appartiene al relativo proprietario. A meno che 
riceviate fisicamente una chiave, per esempio, per mezzo di un dischetto, o 
a meno che realmente vi fidiate della persona che ha applicato il suo 
certificato su una chiave pubblica, il modo migliore per verificare 
l'autenticità di una chiave consiste nel confrontare la relativa impronta 
digitale (fingerprint). Contattare il proprietario indicato dalla chiave che 
desiderate verificare. Chiedergli di comunicarvi l'impronta digitale della 
sua chiave privata abbinata a quella della sua chiave pubblica. Dopo questa 
verifica potete decidere se certificare la sua chiave pubblica."

 essere...), interessante davvero.
Ecco, questo conferma che non hai le idee molto chiare in merito.

 qualche parte su Marte?
No, su Plutone.

 Si, vabbè, ciao!
Un saluto anche a te, e mi raccomando ripassa quando vuoi, almeno qualche 
risata ogni tanto me la posso fare.
-- 
BArrYZ
[_Sign?_] 

 Da "Guida a PGP", 
http://pgp.unito.it/
Se volevi darmi ragione e chidere scusa per aver detto una cazzata, potevi 
pure dirlo evitando il quote diretto e ulteriori figuracce.


 Ecco, questo conferma che non hai le idee molto chiare in merito.
Ah si'?
Perche' Winzip e' un *formato*, vero?
Vabbe' ti ho dato pure troppa guazza, meriti l'oblio.
Torna a parlare da solo nel tuo mondo, che e' meglio.


 potevi pure dirlo evitando il quote diretto e ulteriori figuracce.
Argomenta.

 Torna a parlare da solo nel tuo mondo, che e' meglio.
ROTFL.

 standard. Leggi meglio la prossima volta.
Eh, ma qua si parlava della  certificazione di provenienza e 
dell'identificazione certa dell'autore di un driver.
Tu te ne sei uscito con OpenPGP. Che non ha purtroppo applicabilità in 
questo contesto.
Tutto qua. Leggi meglio la prossima volta.
Saluti.

 ora vedo solamente Verisign... :-)
Aggiornamento: da quel che è emerso oggi al Technet Evolution Workshop, 
*pare* abbia ragione GdG, ovvero Verisign non sarà l'unica CA ammessa ma si 
potrà scegliere un ente certificatore (riconosciuto) a piacimento.
SALUTONI,
WindoM 

 
Non so quanto possa essere valido, comunque, se non lo conosci gia', ti 
segnalo questo: 
http://www.europki.org/
Alessandro.

 
Per quale motivo dovrei avere bisogno di portare in un tribunale il 
certificato con cui e' stato firmato un driver?
Alessandro.

 
IANAL ma ho l'impressione che la validita' nel tempo di quegli atti e' 
confermata non dal documento d'identita' usato allora per identificarmi, 
ma dalla firma, mia o di altri presenti sull'atto (che, a differenza dei 
certificati digitali, non scade).
Follow-up suggerito.
Alessandro.

 certificatore (riconosciuto) a piacimento.
Mi pare un'ottima notizia, meno male.



Per risalire a colui che lo ha firmato in caso di causa civile o penale.
Sarebbe un elemento di prova.
Saluti.


Quello che ancora non capisco e':
- Quali sono i casi in cui potrei rivalermi sul firmatario del driver 
quando molti di questi sono forniti "as is".
- Cosa c'entra Microsoft in tutto questo.
Alessandro.

 - Cosa c'entra Microsoft in tutto questo.
Beh, penso una backdoor, o cmq se sviluppi un qualcosa che giri a livello 
del kernel e che puo' generare piu' o meno deliberatamente, problemi di 
sicurezza, per esempio. L'idea non e' male, in fondo mi sembra e' un buon 
deterrente, visto che se scrivi qualcosa di malizioso che giri a basso a 
basso livello, saprebbero immediatamente chi sei.


 - Cosa c'entra Microsoft in tutto questo.
C'entra nella misura in cui è la proprietaria dell'OS che usa quei drivers.
L'utente medio chi identifica IMMEDIATAMENTE come responsabile?
L'autore del driver scritto alla bella e buona o Microsoft?
Io dico Microsoft.
Saluti.

 
Un conto e' l'impressione immediata, un altro e' arrivare in tribunale, 
un altro ancora e' dimostrare che il problema sia dovuto al driver (e 
non magari all'HW o chissa' che altro).
Ma non bastava WHQL?
Alessandro.

 Ma non bastava WHQL?
Evidentemente no. E poi WHQL è un certificazione di prodotto che implica
anche l'identificazione del produttore. E costa una tombola.