Newsgroup: it.comp.sicurezza.crittografia
Titolo: creare un certificato personale per outlook express

Chiedo consiglio sulla configurazione di MS Outlook Express 6.0
perchè possa firmare le mie e-mail personali.
Vorrei:
1. generare una coppia di chiavi;
2. richiedere un certificato a mio nome per la chiave pubblica;
3. Racchiudere il certificato (o meglio il certificate chaining)
    e la chiave privata in un file supportato da ms outlook express;
4. importare tale file in outlook express.
I punti 1 e 2 già l'ho completati con OpenSSL.
Il punto 4 sembra abbastanza facile.
Il punto 3 come si fa? I file supportati dalla versione 6 sono (cito da
"importazione guidata certificati" di outlook express):
1. Scambio di informazioni personali - PKCS #12 (*.PFX, .P12)
2. Standard di sintassi dei messaggi crittografici - Certificati PKCS #7 (.P7B)
3. Archivio certificati serializzati Microsoft (*.SST)
Grazie a chiunque mi dia consigli. Senza "apprezzamenti" alla "scelta"
del sistema client di posta. (Forse questa è la volta buona che cambio
il client!!).
GianpieroP

 1. Scambio di informazioni personali - PKCS #12 (*.PFX, .P12)
Mi sembra di aver risolto:
Sia JSSE sia BouncyCastle implementano il keystore PKCS12,
quindi posso usare a linea di comando il keytool del jdk
specificando lo standard pkcs12 e dichiarando nel java.security uno
dei due provider su citati.
Ma comunque esiste un tool più raffinato?
In attesa di riscontro provo a importare il mio keystore e
invio a voi tutti i miei saluti migliori.
GianpieroP.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
| 1. generare una coppia di chiavi;
| 2. richiedere un certificato a mio nome per la chiave pubblica;
| I punti 1 e 2 già l'ho completati con OpenSSL.
Lo sai che i certificati self-signed non valgono molto, dal punto di
vista della sicurezza, per chi li riceve, vero?
A quel punto dovresti distribuire la tua chiave self-signed a mano a
tutti i tuoi contatti, uno ad uno, e pregarli di metterla tra le "root
keys" valide... cosa neanche troppo simpatica.
un Lapo che, per la crittografia "fai da te", preferisce GPG...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAzLAMACgkQaJiCLMjyUvuwmgCglxKxF3mgm0GjItwAq0TCuLhj
7YEAniz7j2zrGO6zXOaf36Ej10m2mBRT
=+2Pm
-----END PGP SIGNATURE-----

 un Lapo che, per la crittografia "fai da te", preferisce GPG...
Concordo pienamente con te! Mi avete ormai contaggiato!
Ho già firmato la tua chiave. Simpatica la foto!
Come posso fidarmi che quella chiave sia proprio tua?
Come è che fate? Come vi comunicate l'impronta della chiave?
P.S. Comunque sono riuscito a creare la struttura pkcs12 direttamente
con
openSSL (i provider crittografici java che avevo menzionato non
supportano
la scrittura pkcs12: che cagata!
Vado bene con Thawte Personal Freemail? Il contratto è tutto in
inglese,
non è che ci ho capito molto!
Ciao,
GianpieroP
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQDPkbJ4sPKh9SaicEQIQVwCg+BlAxdRcylnPqasMlgrtVOUwEhEAnRXf
7l8wDHTwULtyAp2sJ57iSEPq
=Ba3M
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
| Ho già firmato la tua chiave. Simpatica la foto!
...e hai fatto molto male, se non mi hai mai incontrato e verificato che
la mia chiave sia davvero mia ^_^
| Come posso fidarmi che quella chiave sia proprio tua?
Non puoi, a meno di incontrarmi, per questo non dovresti firmarla 0=)
| Come è che fate? Come vi comunicate l'impronta della chiave?
Tra persone "sconosciute" la procedura "standard" (anche se in realtà
ognuno ha la libertà di fare come gli pare, e gli altri di comprotarsi
di consequenza) è verificare di persona fingerprint e carta di identità.
Tra due persone con esperienze passate comuni abbastanza da riconoscere
la voce (eventualmente aggiungendo qualche particolare su qualche sul
passato) basta invece una bella telefonata, sempre con lettura del
fingerprint...
| Vado bene con Thawte Personal Freemail?
Se fidarti di loro o meno, e quanto, è una tua scelta.
Per me è "giustificabile" fidarmi di Thawte con il "pro" di poter
comunicare in modo sicuro con molta più gente di quanto GPG/PHP mi
permetterebbero (per il semplice fatto che sono programmi più
"complessi" da usare che non la crittografia S/MIME già compresa nei
mailer).
Comunque guarda che la chiave te la crea in locale il browser da solo,
non hai alcun motivo per creartela prima tu con openssl!
quella è la procedura per i server, per i certificati di posta non è
così complesso ^_^
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAz/V0ACgkQaJiCLMjyUvs6pQCfdOILOZoU5vjiREA95rx+TRdh
K9cAoKvdQusWBNze7SLDISbyqo/o45ll
=tilc
-----END PGP SIGNATURE-----

 ...] è verificare di persona fingerprint e carta di identità.
A meno che si tratti esclusivamente di uno pseudonimo (come, ad esempio,
nel mio caso)... in tal caso, non v'è documento d'identità che possa
attestarlo, se non per palese riconoscimento pubblico in ambiente
abituale... e poi, considera anche che parecchi utenti della privacy,
sono /fondamentalmente/ "anarchici" (nel senso *puro* del termine) e non
accettano la verifica di un documento rilasciato da un'Autorità...
Non dico di condividere quest'idea, ma la capisco perfettamente...
Il riconoscimento "mediante documento", io lo lascerei alle
certificazioni "ufficiali", tipo quelle della Thawte...
IMHO, in mancanza di un documento, ma in caso di verifica approfondita
della corrispondenza "persona fisica->chiave", un livello 2, è
sufficiente, ma un livello 3 potrebbe anche starci.
Quindi, per "palese riconoscimento pubblico in ambiente abituale",
intendo che io posso fidarmi della tua chiave poiché me l'hai passata
via mail e ne ho potuto verificare il fingerprint su questi ng, su cui
sei abituale frequentatore e vi hai postato pubblicamente il tuo
fingerprint, senza che ci siano state smentite...
In tal caso, posso dare un livello di certificazione della firma, ad
esempio a livello 1, che, come dice il man di GnuPG:
|       --default-cert-check-level n
|                 The  default  to  use  for  the check level when
|                 signing a key.
| [...]
|                 1 means you believe the key is owned by the per­
|                 son who claims to own it but you could  not,  or
|                 did  not  verify the key at all.  This is useful
|                 for a "persona" verification, where you sign the
|                 key of a pseudonymous user.
può essere utilizzato per firmare un pseudonimo...
Potrebbe far comodo, per le chiavi che riportano dati personali reali
(come, ad esempio, la tua) avere un'identità fittizia (magari utilizzata
in rete), in modo che chi vuole apporre una firma all'identità virtuale
del Lapo reale, può farlo, senza doverne accertare la reale identità...
In questo modo, chi ti ha incontrato di persona e ha verificato i tuoi
documenti, può firmare la tua reale identità (e anche lo pseudonimo),
anche a livello 3... chi, invece, ti ha sempre solo "frequentato" in
rete, potrebbe firmare esclusivamente la tua identità virtuale (ad
esempio, quel Dr.Brain che compare tra le tue identità), dandole un
livello 1.
Tutto questo, non impone una mia *verità* in merito... è solo
l'espressione di come vedo io la cosa... ciascuno la legga con le dovute
accortezze e esprima un proprio giudizio personale in merito...
IMHO, il confronto delle idee, non può far altro che far crescere
tutti... me, per primo (che spesso, mi sento un perfetto ignorante in
materia).
Ciao,
un TJL73 in cerca di un confronto con idee e punti di vista altrui...
-- 
"Addio, Pirata!"  -_-

 è così complesso ^_^
Ma di quale browser parli?
Un GianpieroP che si sta dannando con i mailer e i browser che usa!
:-(
P.S. Cmq è una bella soddisfazione crearsi chiavi, richieste e
certificati con openSSL!
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQDUYWJ4sPKh9SaicEQJdHQCgntQ79jxIlkMNaB06LmPkkbH1KjQAoOo5
CCutxWPcLIB1JsfYAy1l9CnY
=4wtv
-----END PGP SIGNATURE-----

 "Addio, Pirata!"  -_-
e buona fortuna ovunque tu sia.
Ciao,
GianpieroP
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQDVClJ4sPKh9SaicEQJ29gCg/VXbiToRWzEVo6Bs5IsWGiS7/BcAn1hV
pLVlwmdwaa+EFq/00u2LMnej
=/xpy
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
TJL73 wrote:
| un TJL73 in cerca di un confronto con idee e punti di vista altrui...
Beh, il "bello" (e il "brutto", ANCHE!) di PGP è che lascia a ognuno
piena libertà (onori e oneri) di decidere come vuole e di valutare anche
come decidono gli altri.
Personalmente non concepisco una firma "3" per persone che non si sono
incontrate di persona, e capisco comunque poco l'utilità di "1"... ma
sono ovviamente mie idee, personali, e la cosa importante è che ognuno
che veda una mia firma "3" sappia cosa itnendo IO per "3" e per "1",
etc. etc.. no?
Dopotutto la "fiducia" non può essere ingabbiata in una formula o in uno
standard, ognuno assegna a ognun altro la fiducia che vuole...
(questo poi è uno dei più grandi "problemi" degli standard di sicurezza,
dopotutto...)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA1WlEACgkQaJiCLMjyUvvlNgCcCZ6rSmt6oBmtfRrEZ9aU1B/+
Y3wAoOCRMaXplYUtEgLpqQwIkkiOy65j
=o9oj
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
| Ma chi è Lapo per me? Quello che mi ha dato ottimi suggerimenti nel
| ng ics.crittografia.
Certo, la fiducia è sempre una questione personale... se per te è più
importante l'identità "virtuale" di una persona (e quindi,
fondamentalmente, non ti interessa che io mi chiami "Lapo Luchini" o
"Carlo Brembatti" o anche altro) puoi benissimo firmaer la mia chiave
localmente per poternete "fidare".
Ma firmandola pubblicamente devi ricordarti che non solo ti fidi di me
ma che ti stai facendo GARANTE della mia identità verso anche i tuoi
amici... e questo, per il mio punto di vista, prevedere delle "garanzie"
superiori.
Ma, come dicevo prima a TJL73, ognuno in realtà usa questi 3 livelli
"fittizzi" di GPG come gli pare, e i suoi amici si suppone che sappiano
come lui intende quei livelli...
| Questa l'avevo già letta, ma credo sia cmq tediosa, non è meglio
| copiarsi il fingerprint quando ci si incontra di persona?
Beh dai, non sono poi così tante cifre da leggere.
Dicevo comunque il telefono per amici che maagri abitano lontani... se
ci si incontra la cosa milgiore è il mitico "biglietto da visita con il
fingerprint sopra".
IMHO ogni biglietto da visita dovrebbe avere il fingerpting in fondo 0=)
|>>Comunque guarda che la chiave te la crea in locale il browser da
|>>solo, non hai alcun motivo per creartela prima tu con openssl!
|>>quella è la procedura per i server, per i certificati di posta non
|>>è così complesso ^_^
| Ma di quale browser parli?
Se vai su 
http://www.thawte.com/
 per richiedere un certificato ci starai
pure andando con un browser, suppongo 0=)
Che poi sia Mozilla, Konqueror o IExplorer cambia poco, moltissimi sono
i browser e i mail compatibli x.509 (e se il tuo browser e il tuo mailer
non hanno un modo di "parlarsi" da soli, puoi sempre esportare il
certificato in PKCS#12 e poi re-importarlo nell'altro)
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA1W5sACgkQaJiCLMjyUvu/VACfVD89R7DecgBerOS9yevuH6pS
kAwAn3SHru3wf8Ckkc0p2yI49Bw9n5Io
=aNNr
-----END PGP SIGNATURE-----

 starai pure andando con un browser, suppongo 0=)
Mi parlavi di generazione *locale*. Io voglio generare una coppia
localmente
e mi sembra (spulciando un po' tutte le funzionalità) che non vi sia
tale
funzionalità nei brows e mailer MS.
GianpieroP
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQDXBN54sPKh9SaicEQJi1gCdGfUC3ZpPjY6p3a/FsHvbB7z+OmcAoO2r
Oqo9SeaglDdFgzGSF0lfRnUd
=Q/MK
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
|>>Se vai su 
http://www.thawte.com/
 per richiedere un certificato ci
|>>starai pure andando con un browser, suppongo 0=)
| Mi parlavi di generazione *locale*.
Difatti: il browser genera la coppia di chiavi LOCALMENTE, il sito non
fa altro che allegare alla chiave pubblica il certificato...
(come sa bene chi, dopo aver richiesto il certificato, a provato a
"scaricarlo" con un altro browser... che non avendo in locale la chiave
privata, non sapeva cosa farsene della nuda "firma" che il sito aveva
generato...)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA1xCkACgkQaJiCLMjyUvtR1QCg+QBK4IKeo5foIzHJIhgQCNVF
k/MAniLOdUngC7s//TJydhZ7yYNpsP9l
=CyY5
-----END PGP SIGNATURE-----

 [...] Oppure se qualcuno mi diffama. E così via.
E' proprio questo che intendevo dire... io ci tengo al mio nick... se
qualcuno lo diffamasse, mi spiacerebbe un po'.
Vero che non mi cambierebbe la vita reale, però, sarei "virtualmente" un
po' seccato da tutto ciò...
Molti di noi utilizzano uno (o più) nick, oltre, eventualmente, al nome
reale... credo che tale nickname dovrebbe comparire nella chiave, come
identità alternativa al nome, in modo che chi identifica esclusivamente
sulla rete, possa firmare un'identità pseudonima, e lasciare non firmata
quella reale (finché non ci si incontra di persona...)
Quindi la chiave non sarebbe firmata "in toto", ma lo sarebbe solo una
parte delle identità.
Ripeto, non è né una proposta, né un dogma... è solo un mio ragionamento
(come, mi sembra, l'abbiate giustamente interpretato), cui mi piacerebbe
avere opinioni.
Ciao,
un TJL73 cui piace ragionare sulle varie ed eventuali...
-- 
"Addio, Pirata!"  -_-

 dopotutto...)
Approvo e sottoscrivo...
Ciao,
un TJL73 e la libertà decisionale assoluta...
-- 
"Addio, Pirata!"  -_-