Newsgroup: it.comp.sicurezza.crittografia
Titolo: Essere riconosciuti... WAS: Re: PGP è davvero sicuro?

 crittografia... ma se non c'e' qualche tapino che inizia, allora...
Io credo che "il grande passo" debba essere fatto dallo Stato perché esso
viene ritenuto da tutti (o quasi) il "grande certificatore", ovvero: "se lo
dice il governo, stiamo tranquilli". Ma finché siamo noi con i nostri
cazzabubboli a fare qualcosa, quel "qualcosa" vale sě e no solo per noi.
Cristiano

problemi, ma se il giudice è digiuno...
IANAL *at all*, ma la legge non diceva una cosa tipo che per la
"crittografia debole" o come cavolo si chiamano bastava una "crittografia
che segue certi standard di sicurezza" (mi parevano anche sensati, tipo
minimo 128bit simm e 1024 asimm... una cosa così), comprendendo quindi
anche PGP?
Mi *pare* che l'iscrizione all'AIPA servisse solo per la "crittografia
forte".
Da notare che forte e debole non indica il grado di sicuerzza
crittografica (stessi algoritmi, stesse chiavi...) ma solo il gradi di
fiducia del governo nell'entità certificatrice, a quanto ho capito...
Poi, non mi stanco di ripeterlo, non sono un legale... e perfino i legali
di interlex (1) non ci capiscono più nulla, in una legge che è nata come
estremamente innovativa ma che cambia ogni giorno non primo del mese.
=(
1) 
http://www.interlex.it/
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBPw/MFWiYgizI8lL7EQJCWACfeLK+7oQIlHTmTkDlGMzW+NSRDhIAoPBP
IdYmPXMLTY2ApXVTj28mzWm0
=s/B1
-----END PGP SIGNATURE-----
-- 
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it

 del mese.
Se usi pgp per proteggere i messaggi, bene. Direi, invece, che (tutto
considerato) č molto azzardata l'idea di poter pensare di avvalersi di pgp
(o altro) per usi legali, almeno in Italia.
Cristiano

cazzabubboli a fare qualcosa, quel "qualcosa" vale sì e no solo per noi.
Questo e' vero in linea di principio, ma se ci pensi bene lo stato
storicamente ha sempre fatto poche cose in questo campo. Si' certo, ti
ha dato la carta d'identita', ma dimmi, vale di piu' la tua carta
d'identita' o la tua carta di credito? Quando devi prelevare allo
sportello bancario dei contanti, vale di piu' il tuo passaporto o il
fatto che sei cliente di quella banca? Pensi che il prosciutto in
salumeria te lo diano piu' volentieri se gli presenti la patente
oppure il bancomat? ;-)))
Ciao,
Duccio.

estremamente innovativa ma che cambia ogni giorno non primo del mese.
Specifico per chiarire, neanch'io sono un legale! E non mi interesso
neanche tanto di crittografia! :-)
Io facevo un discorso generale, che prendeva spunto dalla normale
applicazione del codice civile. So che nel corso di questi anni l'UE e
l'Italia hanno fatto leggi per regolamentare la questione, ma ho
sentito dire che come spesso accade, se quel giorno avessero fatto
come gli altri 364 dell'anno, ossia non si fossero presentati in
parlamento... :-)
Se non ricordo male l'intervento e' stato piuttosto diretto ad
inquadrare lo strumento della crittografia come affidabile/non
affidabile, non tanto a modificarne gli effetti una volta che la sua
affidabilita' sia stata provata... ma potrei tranquillamente
sbagliarmi.
Ciao,
Duccio.

sbagliarmi.
Lapsus: mi sono scordato di inserire che tenta anche di regolare i
rapporti della pubblica amministrazione con la crittografia... anche
se questo compito lo vedo piuttosto arduo! :-)
Ciao,
Duccio.

 oppure il bancomat? ;-)))
Tutto quello che citi è riconosciuto da qualcuno degno di fiducia (bancomat,
passaporto, carta di credito), pgp è riconosciuto solo da noi; nessun ente
importante gli dà importanza. In altre parole, pgp non conta un accidente su
scala mondiale. :-)
Ciao
Cristiano

un accidente su scala mondiale. :-)
Questo mi pare un pelino di parte, diciamo che la crittografia "in
generale" non conta nulla e non è riconosciuta da nessuno... l'Italia era
forse la prima con una legge splendida in tal senso, e la sta smontando
decreto dopo decreto...
cfr, ad esempio:
Sparita l'equivalenza tra firma autografa e digitale!
http://www.interlex.it/docdigit/sparita.htm
:''''''(
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBPxPUbWiYgizI8lL7EQJ81wCg4a9tv+WkSwDbJD0fixGN4Cs62x0AoLcG
noZt7Z1Ox7AQ8kmCnOSMevEU
=W/w3


scala mondiale. :-)
E infatti credo che siamo tutti in attesa di un terzo, preferibilmente
non lo stato, che si metta tra i due e faccia da garante... lucrandoci
ovviamente qualcosa, cosi' come avviene per carta di credito, bancomat
e parecchi altri campi! :-)
Ciao
Duccio.

 :''''''(
Già. E questo mi fa pensare che qualche annetto bisognerà ancora aspettarlo
prima di veder avverarsi il nostro sogno. :-)
Cristiano


Sì, sono d'accordo. Quando c'è da lucrarci sopra qualcosa, allora il sistema
funziona. E quando lo Stato ha da succhiare il sangue a chi riesce a mettere
in piedi una cosa che funziona (facendosi il mazzo con la c maiuscola), la
cosa funziona ancora meglio. :-)
Cristiano

 Ma non è quasi uguale a quello che ho detto io? :-)
Mi correggo. Leggendo meglio, sono proprio in disaccordo con quello che
dici.
La crittografia ha un peso enorme in moltissime applicazioni serie (nel
senso di applicazioni commerciali, statali e militari anche molto critiche).
A livelli più o meno spinti te la ritrovi da tutte le parti.
Quello che ho detto è proprio quello che volevo dire: è pgp ad essere usato
a livello più o meno giocattoloso e il più delle volte senza una reale
necessità.
Il suo campo d'utilizzo somiglia un po' a quello della steganografia (occhio
che non sto parlando del livello di sicurezza): due amici si scambiano le
foto della Canalis steganografate in quelle di un paesaggio perché "l'è 'na
figata".
Per sicurezza voglio ribadire che non è pgp in sé ad essere un giocattolo, è
l'uso che se ne fa di solito ad essere giocattoloso.
Cristiano

 a livello più o meno giocattoloso
Beh... vallo a dire ai compàri della Lioce...  :-(
Nel mio caso, lo uso anche in ambito lavorativo, per lo scambio di
alcune informazioni particolarmente delicate... l'ho praticamente
imposto ai miei interlocutori (beh, c'è da dire, che ho lasciato loro la
libertà di scelta su quale software OpenPGP utilizzare  ^_^  )
Con questo non intendo dire che tutti gli usi che ne vengono fatti,
siano sempre seri e sensati... anch'io, spesso e volentieri, lo uso per
giocare... ma, IMHO, è proprio quello il modo migliore per scoprire
tutte le funzioni e imparare ad usarlo con dimestichezza... quando lo
utilizzo "seriamente", non ho molto tempo per fare prove.
Ciao,
un TJL73 e la doppia faccia della medaglia...
-- 
"Secondo autorevoli testi di aeronautica, il calabrone non puo`
 volare, a causa della forma e del peso del proprio corpo in rapporto
 alla sua superficie alare. Ma il calabrone non lo sa e percio`
 continua a volare."                                  -- Igor Sikorsky

 utilizzo "seriamente", non ho molto tempo per fare prove.
L'uso giocoso fatto per imparare, è normale che ci sia. E` ovvio che quasi
nessuno trasmetterebbe e-mail riservate appena installato pgp; un minimo
d'impratichimento credo che sia d'obbligo.
Ma, secondo me, la maggior parte di utenti lo usa in modo "giocoso" fine a
se stesso (purtroppo).
Cristiano

 ha scritto nel messaggio
news:mNrRa.181862$Ny5.5...@twister2.libero.it...


 se stesso (purtroppo).
Credo che non siano molti gli utenti che abbiano una *reale* necessità
della corrispondenza crittografata in genere, con OpenPGP e/o con
qualsiasi altro sistema.
La si può utilizzare per le migliaia di motivazioni più disparate
(lavoro, amanti, illeciti, politica... e tutte le altre motivazioni
citate nel manuale originale di PGP), ma per un uso quotidiano,
effettivamente, che mi frega se qualcuno sniffa le mie mail...
Ovvio che, visto che ho una struttura OpenPGP a disposizione, quando
posso, la uso... anche se, in parecchi casi, potrei farne a meno...
Diventa una sorta di allenamento...
Se fossi veramente paranoico, dovrei cifrare *tutte* le mie mail e
scramblerare *tutte* le mie telefonate, magari girando con una maschera,
per nascondere la mia identità (ma qui, si sconfina nell'anonimità,
oltre che nella paranoia da psichiatra)...
Invece mi sento puramente "realista" e cifro tutto quello che posso, se
posso farlo, per abitudine, *imponendo*, anche ai miei corrispondenti,
la cifratura di ciò che considero particolarmente "delicato" per la mia
sicurezza/privacy personale e, soprattutto, quella professionale...
Ovviamente, per utilizzare un sistema qualsiasi, preferisco utilizzare
un sistema affidabile e standardizzato...
Qui, la scelta di GnuPG, piuttosto che di un altro sistema.
Ciao,
un TJL73 che quando ne è convinto, non si fa altrimenti...
-- 
"Bisogna lasciare la ragione agli altri
 perche' questo li consola di non aver altro."
                                                          -- André Gilde

 privato...
Anche il notaio è un privato.

 certificato qualificato) fa piena prova sino a querela di falso.
Alla luce della recente modifica del Dpr 445/2000, la firma digi č un tipo
di firma elettronica QUALIFICATA...e sul suo valore, dato anche la modifica
dell'art. 23, sono in corso molte discussioni: guarda 
www.interlex.it
  ...

 ha scritto nel messaggio
news:bf6ekc$bmpfq$1...@ID-189361.news.uni-berlin.de...


 Beh... vallo a dire ai compàri della Lioce...  :-(
[Prima l'avevo lasciato nella mia replica perché volevo rispondere, ma poi
mi si faceva tardi per il mare e me ne sono scordato. :-) Rispondo ora.]
Questo è un esempio che avvalora ciò che dico; in tutti questi anni di pgp,
è il primo esempio di un suo utilizzo serio (seppur deprecabile). Prima di
questa notizia non si era mai sentito parlare di pgp nei mass media (per
quel che mi ricordo).
E il discorso che stiamo facendo verte proprio sulla scarsissima diffusione
di pgp tra la gente "non addetta ai lavori" e tra gli enti statali; solo noi
appassionati di crittografia ci fidiamo di lui e all'occorenza lo usiamo.
Tutto il resto del mondo lo ignora (nel senso che per scopi seri viene usato
da un numero di persone trascurabile) e non si fiderebbe mai di lui
(semplicemente per ignoranza).
Cristiano

 privato...
Per ora, l'unica che abbia un "senso",
 legale e tecnico, in italia, č 
http://www.poste.it/online/postecert/
In Piemonte si sta cercando di dotare tutti i cittadini di certificato
digitale avente pieno valore legale, ma per ora i problemi sono molti.
ciao

 un TJL73 che quando ne è convinto, non si fa altrimenti...
E fai bene. :-)
Ciao
Cristiano

 (semplicemente per ignoranza).
Parlando con uno dei miei corrispondenti "professionali", un volta, mi
sono sentito rispondere: "Ma non va bene, se te lo mando zippato con la
password?"...  O_o  (la mai paura è anche che avrebbe usato "pippo")
Gli ho risposto che, a quel punto, avrei preferito me lo mandasse in
chiaro, con scritto "Leggete tutti!" nel subject...
Manuale in PDF, santa pazienza e l'ho convinto... ora spero solo che
abbia capito e le cose le faccia "per bene" (che non è poco).
Ciao,
un TJL73 dubbioso, ma fiducioso... (e sicuramente in errore)
-- 
"L'aspetto piu` difficile della soluzione dei problemi,
 e` il prevedere i problemi causati dalle soluzioni."
                                                      -- Theodore Levitt

 posso imporlo! :-)
Beh, se io fossi un tuo corrispondente, non mi convinceresti molto
facilmente... pretenderei di utilizzare un software diffuso e stimato
dalla comunità crittologica...
A meno che, tu ci stia nascondendo qualcosa riguardo alla tua reale
identità...  ^_^
Scherzi a parte, preferirei indubbiamente utilizzare un sistema
"sicuramente sicuro", piuttosto che uno "probabilmente _più_ sicuro".
Ciao,
un TJL73 e le garanzie... poche... sporche... e subito...
-- 
"Non condivido la tua idea, ma mi battero` affinche` venga ascoltata."

 abbia capito e le cose le faccia "per bene" (che non è poco).
Speriamo... :-)
Io volevo provare a convincere il commercialista ad usare AxCrypt (che mi
sembra veramente di una semplicità estrema); gli ho detto basta che clicchi
qui (sull'icona di un file batch per attivare la password) e poi fai doppio
clic sulla fattura che ti mando e il gioco è fatto. Mi ha detto che era
troppo complicato! Ma li mortacc... :-)
Poi usa ancora i programmi di contabilità con l'interfaccia testuale, che
per fare qualcosa devi premere cento tasti! Però a cliccare su un'icona è
troppo complicato e si perde tempo.
E` proprio la cultura che manca. Per questo dicevo che un ente "di fiducia"
dovrebbe fare il grande passo, se no qui rimaniamo con i pezzi di carta fino
al tremila. :-)
Cristiano

 "sicuramente sicuro", piuttosto che uno "probabilmente _più_ sicuro".
Un programma "sicuramente sicuro" sai che non esiste, un programma
"probabilmente _più_ sicuro" esiste sicuramente (nel senso che
*probabilmente* è più sicuro di un altro, ovvero c'è una qualche probabilità
che sia più sicuro di un altro, anche se potrebbe non esserlo).
Poi è mio convincimento che un programma compatto, senza tanti fronzoli, che
aderisce ad uno standard crittografico implementato correttamente
(verificandolo con gli appositi test vector) è sicuro perché fa quello che
deve fare, non occorre che tutto il mondo lo collaudi per dire che va bene.
Se così non fosse, le case specializzate in programmi crittografici
sarebbero fallite da tempo.
Se poi uno non si fida è un altro discorso. Anch'io non mi fiderei mai di un
programma crittografico a scatola chiusa scritto da uno sconosciuto. Ma se
io potessi *imporlo* a una decina di miei corrispondenti che si fidano di me
perché mi conoscono, non vedo problemi.
Cristiano

 
No esistono tool per estrarre le password dai file zip!! E lo fanno
maledettamente bene!

 al tremila. :-)
Un server "certificato" che crei le chiavi e distribuisca il client
decifratore ai propri utenti.
Il visitatore va sull'homepage dell'utente, scarica un piccolo plugin ed ha
la possibilita` di inviare email all'utente stesso; solo che in background
il plugin prima di inviarla, cifra l'email con la chiave pubblica
dell'utente senza interventi esterni.
Necessita` di nascondere il codice di cifratura non ce ne sono..
Poi l'utente, aperta la mailbox, per leggere effettivamente il contenuto in
chiaro dell'email dovra` scaricarsela ed applicare la chiave privata, questo
offline.
Tutto cio` permetterebbe di ricevere email cifrate e se il server e` sicuro,
sicure, senza obbligare chi ce le invia a disporre di un cifratore. Non
capisco perche` questa tecnica non venga applicata.
Le repliche circa l'insicurezza dovuta a trojanhorse ecc. non mi convincono
molto: il plugin, salvo aggiornamenti, verrebbe scaricato una volta sola:
okay che potrebbe essere infettato ma allora siamo in qualche modo piu`
sicuri con le versioni di PGP che scarichiamo in rete?
Regards,
 Mattex
--------------------------------
Inviato via 
http://usenet.libero.it

 rete?
Per non urtare i nervi ai simpatizzanti di pgp, non vorrei insistere troppo
con le mie considerazioni su di esso. Per fare un discorso generico, credo
che sul web da dove si scaricherebbe il plugin ci debba essere il digest
sha-1 di ogni cosa scaricata in modo che l'utente possa verificare
l'integrità del plugin scaricato calcolandone l'sha-1.
Cristiano

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Romeo Caudan wrote:
| L'errore e' di chi mischia (volontariamente) i due problemi, nel
| nostro caso il (chiaramente troll)  Cristiano.
Il "troll" è uno degil scrittori più seri e assidui di questo newsgroup.
Certo, ha un suo (per me inspiegabile) odio per PGP e per tante altre
cose ma non per questo diventa un troll ;-)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jHToACgkQaJiCLMjyUvuEVwCcCFBkplsYKjas54zFuFn2X2Xr
SAUAmwetpK3c0OAPCkrHtzk38sifZgBx
=1abO
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Dai... non esagerare. :-) Probabilmente sarebbe bastato winzip con una
| password un po' più lunga, no?
No, *mi pare* che uno zip con password da 8 caratteri sia più sicuro di
uno con una password maggiore (per un problema nell'algoritmo che
"comprime" la password, dato che *MI PARE* di aver letto che comunque il
campo nel formato è solo di 8 caratteri).
| E` proprio la cultura che manca.
Parole sante!
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jHFQACgkQaJiCLMjyUvvNDQCg5C7QiC6/eS00NdyxB7l2DJjr
7bYAoMr8aZt2H0rxOZq3e5YSIzF5TmFQ
=LucY
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Poi è mio convincimento che un programma compatto, senza tanti
fronzoli, che
| aderisce ad uno standard crittografico implementato correttamente
| (verificandolo con gli appositi test vector)
Ma quelli verificano solo la correttezza, non la sicurezza.. anzi ^_^
Ad esempio nell'attacco alla chiave segreta OpenPGP non c'è *alcun*
problema nelal crittografia ni sé, ma solo nel formato... questo solo
per fare un esempio di come una crittografia correttamente implementata
(e che sicuramente passa tutti i suoi bravi test-vector) può benissimo
portare a un programma che comunque ha delle falle.
Sono *queste* quelle che temo di più, sono più difficili da trovare (da
parte dell'autore) e più facili da sfruttare (non dall'autore) di
eventuali grosse "falle" dell'algoritmo stesso...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jG30ACgkQaJiCLMjyUvs6wACeNw2CKyZjjQ6JaElVVqK/pT9t
3ygAoILvCsJMy/q+VbePHK3AglaOSPy3
=pMGy
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
TJL73 wrote:
| La si può utilizzare per le migliaia di motivazioni più disparate
| (lavoro, amanti, illeciti, politica... e tutte le altre motivazioni
| citate nel manuale originale di PGP),
Ad esempio nel mio lavoro di sistemista obbligo la gente a cui devo
comunicare delle password di usare "una qualche forma di crittografia".
| Ovviamente, per utilizzare un sistema qualsiasi, preferisco utilizzare
| un sistema affidabile e standardizzato...
| Qui, la scelta di GnuPG, piuttosto che di un altro sistema.
...anche se nel 99% dei casi riesco 'solo' a convincerli a usare x.509
(è integrato nel mailer, è più facile fidarsi della CA invece che delle
persone una per una, etc. etc.) e non a usare PGP.
| un TJL73 che quando ne è convinto, non si fa altrimenti...
Eh beh =)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jGowACgkQaJiCLMjyUvv5cgCdEfKhnYa+WLI368UPziiXmVpf
MRcAoP1qC/swPuP/+Ekt96DL2zHvE9Bh
=t4/G
-----END PGP SIGNATURE-----

 può benissimo portare a un programma che comunque ha delle falle.
Quindi, con l'esempio che ha fatto, tu stesso affermi che un programma open
source non dà alcuna garanzia di sicurezza in più.
Ha inoltre lo svantaggio che l'open source obbliga un programmatore a
*tentare* di capire il codice che ha scritto un altro. Qualunque
programmatore sa che questo è molto più difficle che capire il codice
scritto da lui stesso.
Per cui: va bene l'open source, ma non pensiate che sia a prova di tutto,
anzi...
Cristiano

 Il "troll" č uno degil scrittori piů seri e assidui di questo newsgroup.
Finché rispondi a un troll tra virgolette, pazienza! Ma speravo che non
avessi mai risposto a un troll senza virgolette! :-)
A parte gli scherzi, apprezzo molto la difesa, ma non dare spago ai troll
senza virgolette.
Cristiano

 [...] non dare spago ai troll senza virgolette.
Soprattutto a quasi due mesi di distanza da quella polemica...  :-/
Che hai fatto, Lapo, stai rispulciando tutto l'archivio?  ;oP
Ciao,
un TJL73 ritardatario incallito...
-- 
"Se Claudia Schiffer mi chiedesse di uscire con lei,
 come prima cosa ne sarei sorpreso."
                                                     -- Daniele Luttazzi