Newsgroup: it.comp.sicurezza.crittografia
Titolo: software firma digitale

Ciao a tutti,
devo implementare un programma sulla firma digitale e avevo i seguenti
dubbi:
1 – un programma che svolge tale compito deve essere certificato da
qualcuno  per essere utilizzato o basta che sia corretto dal punto di
vista tecnico e informatico.
2 – per la verifica di un certificato e' necessaria una connessione?
Mi spiego meglio (spero), come faccio a verificare che un certificato
sia stato revocato o no? Devo collegarmi a qualche database?
Vi ringrazio in anticipo
Ciao

 sia stato revocato o no? Devo collegarmi a qualche database?
IN GENERE la rispsota č: no, si verifica offline e la CRM la si verifica
"a intervalli regolari".
C'č da dire che la maggior parte del software di firma digitale NON LA
VERIFICA in toto.
Non che questo sia "bello", ma č lo stato delle cose.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIwGLsACgkQaJiCLMjyUvt3EwCg6sROu+iimglIcqVIhzX2KOyf
UqwAnRoWQPiJnqar+cj+EIN0fCuCSaFe
=BHWG
-----END PGP SIGNATURE-----

sia stato revocato o no? Devo collegarmi a qualche database?
Dike di Infocamere prova a collegarsi per vedere se è revocata, se non
ce la fa lo segnala e dice che la firma è congrua ma non verificata.
E' altrettanto importante la lista dei certificatori e quanto blindata
è, per intendersi i certificatori controfirmano le firme e per sapere
che una firma è valida in assoluto (non solo scaduta) va fatta una
verifica sulla "firma della firma". In passato c'era stato qualche
problema/polemica su questo punto.
Andrea

 Andrea
ciao Andrea, 
ti ringrazio per la risposta ma mi potresti spiegare meglio l'ultima
parte, sopra riportata.
grazie e ciao

parte, sopra riportata.
Una buona descrizione di dettaglio la trovi quě con riportati i
problemi che ci sono stati.
http://www.s0ftpj.org/docs/MOCM03_firma_digitale.pdf
Andrea


Sapresti dirmi a quando risale il documento in questione?
Grazie,
Stefano

Sapresti dirmi a quando risale il documento in questione?
Il file pdf dice 23/9/2003 e questo torna con quello che so, erano
problemi un po' vecchiotti.
Comunque i software di firma non sono blindati, lo è il documento e la
firma.
Da più parti si era prospettato un software open source che garantisse
un nucleo di funzionalità e fosse "certificato", poi non se ne è fatto
niente.
Ti faccio un esempio:
Un anno fa ho provato a vedere se un escamotage che conoscevo poteva
prestare il fianco a una doppia interpretazione del documento.
Internet Explorer ha un funzionamento diverso tra visualizzazione e
stampa per le scritte in bianco in un html. Nella stampa vengono
convertite in nero diventando visibili, lo stesso documento firmato
due rappresentazioni diverse. 
Due dei software di firma, che ho provato, utilizzando IE presentavano
questo comportamento, e credo che lo facciano ancora.
Non è un problema, tutti i formati file hanno comportamenti "strani",
l'unico che non ha problemi è il testo non formattato.
Andrea
 


Grazie per l'info, Andrea.
In effetti le poche volte che mi sono servito della firma digitale ho 
adoperato proprio un file solo testo oppure un'immagine .tiff
Ed in effetti il mio certificatore mi ha sempre suggerito di firmare solo 
pdf, txt o tiff
Stefano

 tiff
Scelta curiosa: TIFF è un "meta-formato" grafico con così tante
sottovarianti (tra le quali formati fotorealistici simili al JPEG,
formati bitmap ottimizzati per fax, formati bitmap di altro tipo) che è
comunissimo che un programma non legga TIFF create da un'altro programma.
Consiglierei piuttosto gli "standard" JPEG per le immagini fotografiche
o scansionate e PNG per i bitmap con "salti" di colore netti (come, in
genere, quelli generati da computer)...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI1PDoACgkQaJiCLMjyUvt6KwCg0PFm+6WVphTr9mG9Tg6xN31T
NpoAn0w/A968DcFu2fpmMRJn9UyBoGGc
=VOv7
-----END PGP SIGNATURE-----


Beh...a detta del certificatore jpeg è un formato compresso che potrebbe 
quindi creare problemi nella fase di verifica dell'integrità dello stesso.
Boh...
Stefano

quindi creare problemi nella fase di verifica dell'integrità dello stesso.
In effetti essendo un dataloss crea qualche problema, mi ricordo che
si parlava della difficoltà nel definire a priori la qualità del JPEG
in modo costante per tutte le immagini.
Anche un mio filtro sul rumore dei tiff veniva escluso per lo stesso
motivo. Comunque come puntualizza correttamente Lapo, Tiff e PNG sono
meta formati con varie sofisticazioni non ultima le mascherature delle
bitmap. Per esempio per un tiff in toni di grigio si potrebbe
obbiettare la visibilità di scritte molto chiare.
Quindi il tiff B/N sembra essere la soluzione migliore.
E' un terreno minato e molte volte "più sicuro è meglio".
Andrea

 Quindi il tiff B/N sembra essere la soluzione migliore.
Questo è vero per ogni formato, ma a quel punto meglio un PNG b/n che un
TIFF sempre b/n: è un formato libero e maggiormente compatibile e, non
ultimo, occupa meno.
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI1rhwACgkQaJiCLMjyUvvrVQCg9Rx9KtWQPjdoayFARIVJbJFE
KowAoOohmOiyNkx8raKnppvsLIH3lkNn
=0A4C
-----END PGP SIGNATURE-----

 quindi creare problemi nella fase di verifica dell'integrità dello stesso.
Il problema non esiste: la firma la applichi sul formato già codificato
in JPEG, mica sul bitmap "prima della conversione"!
(che il ricevente, ovviamente, non può perfettamente recuperare)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI1rZMACgkQaJiCLMjyUvuotwCg9KOAD/iXarGijHsVqBVZbqb1
hboAn0vSGTXkixD/HXizfjMcEVHwagtT
=3UxO
-----END PGP SIGNATURE-----


Beh, a sentir loro sembra che durante l'apertura del file jpeg si possono 
verificare delle modifiche sul file compresso le quali potrebbero alterare 
l'hash.
Tanto per gradire, comunque, le poche volte che mi è capitato di dire: bene, 
allora le spedisco il documento via email firmato digitalmente a norme Cnipa 
mi sono sempre sentito rispondere: "no, preferiamo un fax..." oppure " 
scusi...ma non riesco ad aprire il file che mi ha inviato", sigh...
E meno male che lo Stato sostiene che dovremmo essere all'avanguardia nella 
tecnologia...:-((
Altro che scegliere tra formati vari...a volte sembra di essere su un 
diverso pianeta, grrrr...
Stefano

 "no, preferiamo un fax..."
Guarda, non me ne parlare.. peraltro non ho MAI capito come mai un fax
debba valere più di una telefonata o di un'email, ma che valga meno di
un'email firmata è veramente ridicolo (a maggior ragione ora, che il
governo "spinge tanto" sul documento digitale...).
un Lapo un po' disilluso, almeno per ora...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI122UACgkQaJiCLMjyUvvsrQCcDwpheDB4lbiiTvAh4ed3YcgW
+xUAoKuKQ2MbyIKZOand8fDu86kHclHA
=dgcE
-----END PGP SIGNATURE-----


Temo di avere la spiegazione: pura e semplice *ignoranza* delle moderne 
tecnologie!
Di sapore un pò medioevale...ma dannatamente reale.
Penso che tu sappia bene quante persone adoperino il pc solo per "scrivere 
una lettera con word" e adorino la posta html...perchè ci sono tutte quelle 
faccine colorate, sigh.
Giusto per dirtene una: sabato sera a cena con due miei amici avvocati...si 
lamentavano del fatto che la legge sta per imporgli la tutela della privacy 
sui documenti memorizzati sul pc; la mia proposta: ma perchè non 
crittografate i files riservati e lasciate stare l'inutile pwd di accesso a 
windows? E visto che ci siamo...ma che aspettate a munirvi della firma 
digitale a valore legale?
Le loro risposte: ma che ci facciamo con queste due cose? Mi sembra più 
pratico mettere i doc riservati in cassaforte e spedire una raccomandata 
quando serve...
Mi sono arreso alzando le braccia e suggerendo di mettere anche il pc in 
cassaforte...ma tanto una pwd di accesso basta e avanza ;-)
E stiamo parlando di persone giovani, caro Lapo, non di persone appartenenti 
alla vecchia guardia...
Stefano

 alla vecchia guardia...
Troppe volte veniamo depressi da situazioni simili.
Per fortuna, rare volte, siamo invece risollevati da inaspettata
snellezza mentale in persone che fanno proprio parte, della vecchia guardia!
...Lapo e i messaggi che sono rimasti a lungo senza risposta...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJpWjEACgkQaJiCLMjyUvvxKgCgujM8+80f9h1mVRIpfMBsjRhk
n4YAoPup+pyF+myXqn/2kwwgmJE4KSRs
=fWlk
-----END PGP SIGNATURE-----


alla faccia del bicarbonato di sodio :-)
ma sei mica una cpu, per ricordarti di post così vecchi?
Comunque...è vero quello che scrivi.
Uno Stefano stupito.
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.1 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBQmoLrwQvBtJfR/KaEQI6igCggzsAuy5GgphlItGLcaHjvGjJ+OUAniXR
3fOSl6y4L4V4TG5xwmunoKFG
=D7+m
-----END PGP SIGNATURE-----