Newsgroup: it.comp.sicurezza.crittografia
Titolo: [ANN] GePaHE V1.0 beta - Generatore di password ad alta entropia

Ultimamente abbiamo molto parlato dei generatori di password e finalmente mi
sono deciso anch'io a dare un contributo. :-)
Al sito
http://www.webalice.it/cristiano.pi/GePaHE/
(ancora in evidente stato di bozza) dopo circa 2 mesi di messa a punto, ho
pubblicato GePaHE (per SO Windows e CPU P4 compatibili), un generatore di
password innovativo rispetto ai "soliti" generatori che _sperano_ di
accumulare qualche bit di entropia sfruttando i movimenti del mouse o i
tasti premuti dall'utente.
Dal gran numero di analisi effettuate sui due generatori di entropia di
GePaHE, sono arrivato alla conclusione che gli eventi sfruttati per
accumulare entropia effettivamente dipendono in maniera splendidamente
imprevedibile dall'hardware e che è, inoltre, possibile avere una buona
confidenza in merito alla stima dell'entropia accumulata. Il grande
beneficio è che l'utente è a conoscenza dell'effettiva qualità crittografica
delle password che utilizza.
Allo stato attuale, GePaHE garantisce già un'elevata qualità delle password
generate (a patto che GePaHE stabilisca che l'hardware sia adatto allo 
scopo),
ma per poter effettuare analisi ancora più precise sul comportamento dei
generatori d'entropia di GePaHE e quindi per fornire a tutti (gratuitamente)
un generatore che io ritengo molto superiore (sotto vari aspetti) a tutti
quelli per PC di cui sono a conoscenza, avrei bisogno della vostra
collaborazione.
Come anche detto nel sito, tutti gli interessati all'utilizzo (e quindi al
miglioramento) di GePaHE possono darmi una mano con pochissimo sforzo; è
sufficiente scaricare dal sito un programma che crea il file "PCdat" (pieno
zeppo di numeri, automaticamente compresso dal programma stesso che lo
genera) e inviarmelo all'indirizzo nel sito. Il tutto richiede solo pochi
minuti.
Per la massima trasparenza, preciso che il file "PCdat" _non_ contiene 
alcuna
informazione riservata del vostro computer; esso contiene i seguenti 4 file
in formato compresso lha:
i file "_ENT1 tsc.dat" e "_ENT4.dat" contengono i valori del TSC in uscita
dai generatori di entropia, il file "_ENT medvar.dat" contiene il riepilogo
delle prove effettuate, le frequenze del TSC e del performance counter, il
file "report.txt" contiene _esclusivamente_ la configurazione hardware del
computer analizzato (_non_ include alcuna informazione in merito ai
programmi installati).
Grazie a tutti coloro che vorranno collaborare
Cristiano 

 Quindi, non ci sono scuse, fate 'sto test e mandatelo ;o)
Grazie mille per avermi inviato il test e per l'opera di sensibilizzazione. 
:-)
Cristiano 

 tasti premuti dall'utente.
non hai pensato di accumulare entropia controllando i tempi di risposta 
e i testi di più siti web ? (presi ovviamente in modo pseudo-random?)
MultiTasking
-- 
sostenitore di 
www.xorro.org

 pseudo-random?)
Fortunatamente, no. :-)
Cristiano 


peccato :-P
sarebbe stato facile, veloce e veramente casuale.
adesso voglio vedere il primo che spunta che dice che il il ping verso 
un determinato sito e meglio i tempi di risposta dei vari traceroute non 
sono random.

 non sono random.
Più che non random, è un sistema non auto-contenuto (come, invece, lo è 
quello che propongo io) e si presta, quindi, ad attacchi, non è pratico, 
potrebbe essere molto lento, è quasi impossibile avere un'idea dell'entropia 
accumulabile (con il mio sistema, è, invece, possibile avere una buona stima 
dell'entropia accumulabile).
In definitiva, lo trovo molto inferiore ad un sistema come il mio che 
accumula entropia sfruttando eventi *puramente* casuali e che *verifica* 
l'effettiva disponibilità dell'entropia minima prevista.
Il sistema che proponi (per quanto valido per molti scopi) ricade nello 
schema: "faccio qualcosa, *spero* di accumulare un po' d'entropia", ma di 
questi schemi il web ne è pieno. :-)
Cristiano 

 potrebbe essere molto lento, 
nel tuo primo post:
Il tutto richiede solo pochi minuti.
ps.
ma tu come la "calcole" l'entropia accumulata ?
ps2.
hai mai fatto da shell:
tracert 
www.google.com
?

 sostenitore di 
www.xorro.org
ciao.
a prosposito di questo xorro... ma non basta bloccare tutti gli accessi a 
62.149.140.47:80
 ?
chiedo eh... non che ne sappia molto! Me lo chiedevo perchè immagino che se 
si è in presenza di sysadmin che hanno addirittura il tempo di stare a 
sniffare e leggersi quei pochi bytes che passano in una chat... magari 
avranno anche il tempo di analizzare il traffico... un po' come dire "non 
posso leggere quello che passa, ma capisco che c'è traffico crittato: 
perchè?"
no?
altrimenti è proprio un bel sistema :))))


certo che non basta... devi anche bloccare tutti i proxy http della rete 
internet ;-)
oltretutto i server saranno vari e su diversi ip ;-)