Newsgroup: it.comp.sicurezza.crittografia
Titolo: si può fare anche senza hash?

Ho un sistema client-server in cui gli utenti hanno id e pwd e anche una
chiave pubblica.
Per tenere le pwd sul server (per l'accesso) conviene usare l'hash della
pwd o la pwd cifrata con la chiave pubblica di ogni client?
Forse è indifferente...chiedo lumi.
Ciao
ps:spero di essere stato chiaro
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Delio Nasso wrote:
| Ho un sistema client-server in cui gli utenti hanno id e pwd e anche una
| chiave pubblica.
| Per tenere le pwd sul server (per l'accesso) conviene usare l'hash della
| pwd o la pwd cifrata con la chiave pubblica di ogni client?
| Forse è indifferente...chiedo lumi.
Se hai già modo di avere (in modo *fidato*) la chiave pubblica di ogni
utente, a che pro usare una password?
Autentica direttamente con la chiave, che è anche molto meglio...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAs/9kACgkQaJiCLMjyUvtogQCgr3EN5Sx2H2HtWHoew32/b1pz
k9IAoP6o7Y5wkofdByBXEpU6ixaQ/kmz
=9ZNT
-----END PGP SIGNATURE-----

 utente, a che pro usare una password?
Perchè in modo fidato?Non posso farmela dare in fase di registrazione e
memorizzarla?


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Delio Nasso wrote:
|>Se hai già modo di avere (in modo *fidato*) la chiave pubblica di ogni
|>utente, a che pro usare una password?
| Perchè in modo fidato?Non posso farmela dare in fase di registrazione e
| memorizzarla?
Avere "una qualsiasi chiave pubblica" è di poca utilità se non sei certo
che è "di chi pensi tu sia"... ^_^
L'autenticazione è spesso molto più importante della crittografia in sé,
sopratutto perché in mancanza della prima la seconda ha spesso poco senso.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA0hWAACgkQaJiCLMjyUvucBACgjB3KbrYLhwwzgw5vfXsRVjSU
DmIAnRF5s2dfk931XJUFwqgmf3tfnLjo
=mP9B
-----END PGP SIGNATURE-----

 che è "di chi pensi tu sia"... ^_^
Ma al mio server può registrarsi chiunque quindi chi si registra mi darà
la sua chiave pubblica...E' sbagliato?


 la sua chiave pubblica...E' sbagliato?
Se ti interessa *ESCLUSIVAMENTE* sapere che l'account "pippo" è "quella
persona che il giorno XYZ si è registrato al mio sito" (ricordandoti che
potrebbe essere chiunque, perfino un impostore che "abusa" della e-mail
del registrante ipotetico) allora no, non è sbagliato.
Se invece ti interessa che i dati diciamo "anagrafici" che quell'utente
ha inserito siano effettivamente i suoi... allora che il sito sia in
chiaro o usi SSL non cambia praticamente nulla, da quel punto di
vista... ^_^
In tal caso dovresti per forza "pretendere" che il cliente si autentichi
con una chiave pubblica "certificata" da terzi (o da te personalmente).
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA9sF4ACgkQaJiCLMjyUvurhQCePaSUN/0tCgu7tismbGwpRg7H
2MAAoPNR3NJo4WoOwtVsRgEAchqQckrF
=Wxt/
-----END PGP SIGNATURE-----