Newsgroup: it.comp.sicurezza.crittografia
Titolo: Crittografia sulla telefonia mobile

A titolo di pure curiosita', volevo sapere se qualcuno conosceva un qualche 
sistema, anche commerciale, per la la cifratura forte sulla telefonia 
mobile. Che io sappia ad oggi esistono solo parziali soluzioni per il Voip, 
come quella di Zimmermann o anche altre, ma per una soluzione di 
crittografia forte phone to phone indipendente, o qualche astuzia o 
trucchetto per interporsi, esiste qualcos'altro che voi sappiate?
Mi sembra una discussione interessante, visto e considerato quanto le 
comunicazioni mobili sia monitorate oggi (senza contare il massivo e 
pervasivo data-retention di tutte le nostre comunicazioni).
-- 
BArrYZ
" There's no such thing as talent; you just have to work hard enough."
                                       [David Mamet] 

 saluti
Ciao


http://www.securegsm.com/home.php
Questa è una soluzione software, che però gira solo su telefoni winmobile e 
smartphone, ha di bello che costa poco e se quanto dichiarano è vero 
dovrebbe anche essere abbastanza robusta.
Per curiosità ho provato il demo e sembra funzionare, anche se con delay 
importanti e qualità non eccelsa.
Ciao,
         Tosh. 

 indagine Eurispes. Anzi, chissà quante cose non sappiamo...
Gia'.
:-(
-- 
BArrYZ
[_Sign?_] 

 importanti e qualità non eccelsa.
Grazie mille, ora lo guardo subito. Interessantissimo!
-- 
BArrYZ
[_Sign?_] 

 importanti e qualità non eccelsa.
Cavolo non c'e' nessun Nokia con Symbian :-((((
Io ho un N9500 pensavo che ci fosse sicuramente, invece nisba. E che ci 
vuole per encodare in tempo reale una trasmissione a 8 bit, un dualcore?
-- 
BArrYZ
[_Sign?_] 

 mistero...
Beh, che usassero password idiote e' possibilissimo, IMHO. Anche password 
fino a 10/15 caratteri penso si aprano con estrema facilita', l'entropia e' 
cmq bassa e con la forza bruta e' solo questione di quando, non di come.
-- 
BArrYZ
[_Sign?_] 

 mistero...
dove hai letto che l'FBI ha decifrato i dati di quel famoso palmare? 
...non era un normale PSION con la semplice password di sistema? e la 
PSION si era RIFIUTATA di collaborare...
WF

Per ora ho realiizato un sistema di crittografia forte di SMS per 
telefoni Java con crittografia delle curve ellittiche.
In pratica cifra SMS con chiavi a curve ellittiche da 192 bit (che sono 
paragonabili a chiavi RSA da 2048).
La demo gratuita è qui:
http://www.ugosweb.com/miabo
.
Buon divertimento.
Ciao,
Ugo Chirico
http://www.ugosweb.com


 pubblica, scambiando le chiavi preventivamente con altro canale sicuro.
Il lato positivo della crittografia a chiave pubblica è proprio quello
di potersi scambiare le chiavi su un canale non sicuro...
Perché complicarsi ulteriormente la vita?
Ciao,
un TJL73 e l'UCCS...
-- 
"L'aspetto piu` difficile della soluzione dei problemi,
 e` il prevedere i problemi causati dalle soluzioni."
                                                      -- Theodore Levitt

 Perché complicarsi ulteriormente la vita?
Ma come, si e' parlato di "man in the middle" pochi post fa e ora e' 
diventato tutto sicuro? ;-)
-- 
BArrYZ

 diventato tutto sicuro? ;-)
No... tranquillo...  ^_^
Forse non mi sono espresso bene io...
La chiave pubblica non ha la necessità di essere trasmessa su canale
sicuro... ha solo la necessità di essere verificata, per avere la
certezza che quella ottenuta sia proprio quella che si crede sia.
E questo, può essere fatto in due modi: mediante verifica del
fingerprint (di persona o telefonicamente, se si riconosce la voce del
titolare) oppure tramite certificazione da parte di un "trusted
introducer" (o un'eventuale CA).
Se ottieni la chiave su canale non sicuro (es, in chiaro, su linea
telefonica), puoi verificarne l'autenticità, chiedendo al corrispondente
di leggerti il fingerprint della chiave telefonicamente (sempre che tu
sia in grado di riconoscerne inequivocabilmente la voce), se non è già
corredata di un certificato di cui ti fidi, che ne attesta digitalmente
l'attendibilità.
In questo modo, eviti che la chiave possa essere stata generata dal MitM
e spacciata per autentica.
In caso di chiave simmetrica, invece, hai l'assoluta necessità che
questa sia scambiata su canale sicuro (che poi è ciò che avviene con la
chiave di sessione, dopo che questa è stata cifrata con la pubblica del
destinatario).
Spero di aver chiarito un po' cosa intendevo dire.
Ciao,
un TJL73 e tutto ciò che è già stato scritto...
-- 
"Quando tutto il resto fa fiasco, leggi le istruzioni."
                            -- Assioma di Cahn - da "La legge di Murphy"

> 
per gli sms su punto informatico avevano segnalato SMS007
http://punto-informatico.it/p.aspx?i=58229&r=Telefonia
un "pgp" per sms nn esiste, vero? ;-)
-- 
il mitico HappyCactus mi ha definito: 
"utonto, ma meno di altri, a quanto pare. ;)

 Forse non mi sono espresso bene io...
No no, forse sono io che non mi sono espresso bene: quando parlavo di 
scambiare le chiavi su canale sicuro mi riferivo appunto al mero 
controllo, non ad altro. So bene come funge la crittografia a chiave 
pubblica, e probabilmente mi sono espresso in maniera ambigua, chiedo venia.
-- 
BArrYZ

 un "pgp" per sms nn esiste, vero? ;-)
Non lo so (c'era il programma di Ugo Chirico che ha postato piu' sotto, 
davvero interessante come approccio, usa le curve ellittiche). Pero' 
credo che alla fin fine gli sms crittografati siano di utilita' relativa 
visto che per usarli serve comunque uno smartphone, dove allora, a quel 
punto, si puo' pensare a mandare una email con GPG/PGP o similari (e 
penso che alcuni smartphone lo permettano senza problemi).
Visto che per la telefonia mobile si e' scoperto che in giro c'e' poco, 
mi sono messo a cercare qualcosa per il VOIP, e di serio ho trovato solo 
la roba di Zimmermann cioe' il suo Zphone, che tra l'altro si propone 
anche come standard nel settore. E' uscita una beta nel sito alcuni mesi 
fa, ma da allora non se ne sa molto altro, chissa'.
Altri programmi che crittografano col VOIP?
Io come VOIP sono molto appassionato di Openwengo (
www.openwengo.com
) 
che e' una societa' francese che vende servizi di VOIP a livello 
internazionale, ma con software tutto completamente Opensource (e questo 
per la sicurezza e' gia' qualcosa), a differenza di Skype e smilari. Ho 
visto pero' che per la crittografia non e' previsto nulla, purtroppo. Ho 
fatto una proposta sul forum del dev ma non so quali possibilita' ci 
siano di avere implementata la crittografia nel loro programma.
Conoscete altri provider che vendano servizi similari ma con la 
possibilita' di crittografare?
(ho cercato, ma non ho trovato molto)
La cosa penso funzionerebbe solo da computer a computer e non da 
computer a fisso/cellulare.
-- 
BArrYZ

 penso che alcuni smartphone lo permettano senza problemi).
Il mio programma PGP per SMS non richiede necessariamente uno smartphone.
Funziona su qualsiasi telefonino Java di ultima generazione e su molti 
della scorsa (basta che supporti l'API Java WMA1.0 - Windows Messaging API).
Io lo uso quotidianamente su un Siemens CX65 che non è uno smartphone ma 
un comune telefono cellulare che costa circa 150€.


 API).
Per me un telefono che faccia girare Java, e' gia' uno smartphone 
(quindi in pratica lo sono la maggioranza), cmq e' questione di punti di 
vista, effettivamente.
Quello che voglio dire e' che cmq la maggior parte dei telefoni che 
girano ora, gestiscono in qualche modo pure le email, e a quel punto si 
puo' gia' provare ad usare PGP per quelle (anche solo usando la 
copertura GPRS). Cio' nondimeno il tuo programma e' davvero notevole 
(l'ho provato), complimenti.
-- 
BArrYZ