Newsgroup: it.comp.sicurezza.crittografia
Titolo: Hash_MD5 ?

Ciao a tutti,
ho la mia WebApp che lavora con la WebApp di un mio fornitore,
devo scambiare alcune semplici informazioni tramite l'URL,
poiche' mi basta sapere che la chiamata proviene da lui (non ho necessità di
riservatezza)
pensavo di firmare le variabili  con un Hash_MD5 e chiave segreta
Che dite?   la chiave e' recuperabile?
e' un buon compromesso tra semplicita' di implementazione e sicurezza?
grazie in anticipo
mg

 e' un buon compromesso tra semplicita' di implementazione e sicurezza?
Se il tuo scopo è l'autenticazione e NON la segretezza, allora può
andare (anche se io userei SHA256, oggi come oggi, non MD5 che ha già
dato enormi segni di cedimento...).
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJuwpAACgkQaJiCLMjyUvvLwQCgxOe0DGPf/XaapJS0VNcQHXd7
RKAAnRkl29pt0G+A1ake4yU98Qle/R1E
=FOcv
-----END PGP SIGNATURE-----

mg
Nel caso sono disponibile a consulenza privata.
Saluti,
MARco
-- 
http://xref.mm.homeunix.org:8380/~u17006.31631/i.c.sic.crit/signing,it
x(t),y(t) = th(3t-34.5)*e^[-(3t-34.5)^2]/2-4.3+e^(-1.8/t^2)/(.8*atg(t-
3)+2)(t-1.8)-.3th(5t-42.5),(1.4e^[-(3t-34.5)^2]+1-sgn[|t-8.5|-.5]*1.5*
|sin(pi*t)|^[2e^(-(t-11.5)^2)+.5+e^(-(.6t-3.3)^2)])/(.5+t)+1  ; 0<t<14

allora puņ andare
Forse intendevate dire "autentiCAZIone" ? ;-)
Saluti,
MARco
-- 
xref: 
http://xref.mm.homeunix.org:8380/~u17007.52003/i.c.sic.cri/cazi,it


  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quaqo.org
 - My OpenPGP KeyID: 0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
iD4DBQFCb9LqZXjZQFU52OQRAtlfAKCl2oYeJZxKcBIW1yLA1klVcKacDQCXZzl+
gnDLPFH+ziLfpJVCoRZ3Rw==
=xlXh
-----END PGP SIGNATURE-----

> mi basta sapere che la chiamata proviene da lui
Dimenticavo i link del caso:
quello che vuoi fare è in pratica un MAC, qui i casi sono due o usi
HMAC (RFC 2104) con un hash sicuro (oggi come oggi, dovendo progettare
un sistema da zero, userei assolutamente SHA256 e non MD5 e SHA1 che
stanno mostrando i loro primi segni di cedimento, a seconda dell'uso)
oppure un hash specifico, come ad esempio il nuovissimo (l'autore è un
grande crittgrafo, ma proprio perché "nuovo" forse conviene aspettare
un po' ad usarlo ;-)) POLY1305 [2]
Links:
1. 
http://www.faqs.org/rfcs/rfc2104.html
2. 
http://cr.yp.to/papers.html#poly1305

 Nel caso sono disponibile a consulenza privata.
ahahahaha ma te stai fuori come un balcone, aripigliate ;-)

 ha scritto nel messaggio
news:1114637862.1...@l41g2000cwc.googlegroups.com...


 Nel caso sono disponibile a consulenza privata.
Rilasci regolare ricevuta?  <eg>
Ciao,
un TJL73 in attesa di essere contraddetto...
-- 
Perdere Nicola per recuperare Giuliana.
Non e` stata una gran mossa.
Sarebbe stato meglio lasciare tutto com'era.

E` vivamente sconsigliato fare queste proposte su questo niuggi`. ;)
In effetti solitamente mi trattengo, e finisce che non inoltro neppure,
comunque puntualizzo che sono dalla parte del bene.
E se ci fosse ancora rischio di fraintendimento, specifico motivando,
che non sono capace di attaccare (velocemente) sistemi perche`
oltre ad una ragione filosofica ed etica,  mi rifiuto di
collezionare potenti tool di fonte incerta(non piu` di
web-trust) e di cui ho fiducia zero.
Pero` so molto bene come si fanno le cose per bene.  Tanto che
contribuisco allo sviluppo di alcuni unix come OpenBSD.
I piu` accorti mi chiedono di esaminare la sicurezza
dei loro sistemi. Qualcosa potrebbe anche sfuggirmi,
ma solitamente mi accorgo con stupore dei difetti
architetturali quasi sempre presenti.
Per il resto non ho limiti. Ripeto, stando nel bene.
Saluti,
MARco
-- 
http://xref.mm.homeunix.org:8380/~u17008.6813/it.comp.sec.crit/bene,it


ahahahaha ma te stai fuori come un balcone, aripigliate ;-)
Se non ti e` passata la voglia di ridere a vanvera, prova vedere
il seguente programmino C su uno qualsiasi dei client del tuo sistema
di logging da te governati (e` una vera prova di vulnerabilita specifica
per la tua tecnica di logging, fai molta attenzione, ti consiglio di
non eseguirlo):
cat > exploit_syslog-ng+postgresqlv0.1.c
#include <syslog.h>
int main() {
	syslog(0,"');DELETE FROM nglog;INSERT INTO nglog (msg)"
              " VALUES ('non devo mai dire aripigliate a chi ne sa di piu`");
}
gcc -o whatisseclog exploit_syslog-ng+postgresqlv0.1.c
./whatisseclog
l'invio della stringa imprevista puo` avvenire anche senza una execve(),
quindi da una qualunque processo dei client da te predisposti con stunnel,
con un connect alla porta 
127.0.0.1:1999
 che rispetti la sintassi di
syslog-ng (o per vie di piu` basso livello con l'esecuzione di
istruzioni non convenzionali).
Chiudo il sipario aperto in via del tutto eccezionale,
e scusa se ti ho fatto impallidire, ma te la sei cercata.
Saluti,
MARco
-- 
http://xref.mm.homeunix.org:8380/~u17008.6813/it.comp.sec.crit/male,it



Non te la sei presa, nooo...
Alessandro.

 oppure un hash specifico
Leggi "oppure un MAC specifico": mentre SHA256 è un hash che puio usare
assieme a HMAC, POLY1305 è già un MAC completo, che usa AES come
primitiva crittografica.
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJxVPYACgkQaJiCLMjyUvuZFQCgkdPlScWqLkOFg0Zzn89pJ0af
4coAoOoJGE14z4Gk4jIWp1hpIa2ikikT
=3tx5
-----END PGP SIGNATURE-----

 Non te la sei presa, nooo...
Dai non fate i bambini =P
Probabilmente stava solo sfottendo bonariamente il tono "pomposo" della
mail; che a me a sua volta pareva scherzoso, ma si sa che per iscritto
le impressioni a volte funzionano male ;-)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJxVrMACgkQaJiCLMjyUvsJTwCeMcvHsfEJaNScr1w264nxdD2L
gLAAoIVI6RbK8U6fljuhXUk2IEH5IHWm
=6hog
-----END PGP SIGNATURE-----


Ha cominciato lui!-P
Ok, la smetto.
Alessandro.

 Ha cominciato lui!-P
...e non OSATE dire "bsd č melgio di linux" o il contrario, che se c'č
una cosa che odio č quando due cose entrambe opensource invece di
combattere il "nemico comune" fanno il suo gioco ;-)
un Lapo non del tutto onesto (in QUESTO messaggio, non in generale =P)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJxXvsACgkQaJiCLMjyUvvDSgCfSmU9Vwo3XxaKK7ehjTIuszui
CBwAn0COpdHUYA+mhOZ35SXauYJExkQf
=uAqv
-----END PGP SIGNATURE-----

 comunque puntualizzo che sono dalla parte del bene.
Nel bene o meno, a me non interessa. Ti ripeto che questo non e` il
posto piu` adatto per offrire i propri servigi di "consulente privato".
Saluti,
Federico


 e scusa se ti ho fatto impallidire, ma te la sei cercata.
uh? secondo me ti prendo troppo sul serio (o fai poco sesso, vedi tu) ;-)
*PLONK*
--
Alessandro Merlani

 le impressioni a volte funzionano male ;-)
Infatti.


Alessandro Merlani ha scritto:
[...]
ROTFL!


Federico
Avevo interpretato il tuo "sconsiglio" in altro modo, visto che
c'e` un uso malevole della crittografia e sicurezza. Il mio dire
di non essere capace di attaccare (velocemente) era in questo senso.
La frase che hai ripreso era comunque marginale. Non so a che pro,
il tuo post.
Saluti,
MARco
-- 
http://xref.mm.homeunix.org:8380/~u17010.13862/i.c.s.cri/marginalismi_pro
?,it


  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quaqo.org
 - My OpenPGP KeyID: 0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
iD8DBQFCckoHZXjZQFU52OQRAg8qAKDYQ9tU3P8mg8KrAejY3eJl+mZnWACfdL6C
JiGvqBxg0XCKGPI/D0r1stg=
=feF3
-----END PGP SIGNATURE-----