Newsgroup: it.comp.sicurezza.crittografia
Titolo: La chiave, come la metto?

Sempre io!
Altro dubbio!
Creo un Wallet (che contiene anche la chiave privata per l'SSL) per il WS di
Oracle 9ias (che tra l'altro è il famosissimo Apache WS con qualche mod oracoliano).
Ho la possibilità di proteggere il Wallet con una pwd, o meglio, una passphrase.
Nel "httpd.conf" indico il Wallet da utilizzare e (se voglio evitare che debba
andare in sala macchina ogni volta che riavvio il server a digitar la passphrase)
indico pure la passphrase.
Cazzata: che lo proteggo a fare il Wallet con la passphrase se poi quest'ultima
compare in chiaro nel "httpd.conf"?
Anticazzata: Oracle ti da la possibilità di crittare la tua passphrase con un
programmino presente nei suoi tool e quindi, tu tranquillissimo, nel "httpdconf"
invece di piazzarci la passphrase in chiaro, la piazzi crittografata con una chiave
chissà di chi e chissà dove è.
Ma se il WS all'avvio riesce a decrittografare la passphrase, significa che la
chiave per farlo è nel Sistema stesso.
Ricapitolo:
1. chiave privata -> la critto con una passphrase
2. passphrase     -> la critto con una chiave che è necessariamente presente nel sistema.
Ma allora il discorso di tenere la chiave nello stesso server è valido?
GianpieroP attaccato dagli esperti, ma non convinto!
-------------------------------------------------------------------------------------
Troisi: "Leonardo, a terra ci sono settebello, asso di denari e otto di spade; in mano
hai otto di bastoni. Che fai?"
Leonardo Da Vinci: "sette e uno = otto!"
Troisi: "Nooo! Ci stà l'otto di spade a terra! Mamma mia: nemmeno 'a scopa!"
da "Non ci resta che piangere!"
-------------------------------------------------------------------------------------

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
| Oracle 9ias (che tra l'altro è il famosissimo Apache WS con qualche
mod oracoliano).
UNBREAKABLE!
Oh, s'è roooott'!
(come direbbe un comico di mai dire domenica...)
| Cazzata: che lo proteggo a fare il Wallet con la passphrase se poi
quest'ultima
| compare in chiaro nel "httpd.conf"?
NON la metti nell'httpd.conf e ti colleghi da remoto, con ssh, per
inserirla ogni volta che il server viene riavviato.
| Anticazzata: Oracle ti da la possibilità di crittare la tua passphrase
con un
| programmino presente nei suoi tool e quindi, tu tranquillissimo, nel
"httpdconf"
| invece di piazzarci la passphrase in chiaro, la piazzi crittografata
con una chiave
| chissà di chi e chissà dove è.
In realtà quella non è proprio crittografia, è un mero hash.
Non ha una chiave.
| Ma allora il discorso di tenere la chiave nello stesso server è valido?
Ci vuole sempre un "punto sicuro" per "propagare" la sicurezza... niente
viene creato "dal nulla"... quindi o hai un modo sicuro per inserire la
passphrase o ti accontenti di avere la chiave alla mercé di tutti...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAdHJEACgkQaJiCLMjyUvvKowCffVmPUnPIY21SpCm8dN30JcBA
Qd0AoOWrt53ncezd5j9A3vn4xcS5udoZ
=aXft
-----END PGP SIGNATURE-----