Newsgroup: it.comp.sicurezza.crittografia
Titolo: Chiude Thawte Freemail

Dopo anni di onorato servizio, chiude il servizio Freemail offerto da
Thawte che ho sempre utilizzato (in parallelo all'uso di OpenPGP) per
comunicare con quelle persone che sanno riconoscere “un lucchetto
chiuso” ma si scandalizzerebbero se sentono parlare di PGP o di
“installare il certificato di CACert”.
Per quel tipo di scopo temo non ci sarà una valida alternativa per
parecchio tempo (sempre ammesso che prima o poi CACert riesca a farsi
includere per default in qualche lista ‘seria’, con l'iter di auditing
che sta seguendo).
FAQ sulla cosa:
https://search.thawte.com/support/ssl-digital-certificates/index?page=content&id=SO12658
Che dire… peccato, aveva una sua utilità.

 Che dire… peccato, aveva una sua utilità.
Gia' :-(
Ma Thawte da quando e' stata comprata da Verisign, insomma, diciamo che
e' cambiata un pochino, c'era da aspettarselo. Convertire tutti i
milioni di certificati free che avevano dato negli anni, in robe a
pagamento, gli portera' soldi a vagoni, e senza fare nulla.
Ed in effetti oggi avere gratis un certificatino X.509 per le mail,
presso una CA riconosciuta, vedo che ormai non esiste piu' nulla,
bisogna pagare, quindi sanno bene che non ci sono alternative.
Per me e' un'assurdita', e questo e' anche un grande problema politico,
oltre che sociale e culturale.
-- 
BArrYZ

 oltre che sociale e culturale.
ï¿œ anche un problema economico, con tanti euro che attraversano 
l'atlantico.
-- 
Post

 è anche un problema economico, con tanti euro che attraversano l'atlantico.
Gia' :-(
-- 
BArrYZ

 cazzo di certificato digitale per firmare/criptare documenti o/o e-mail.
per me dovrebbe avere d'ufficio anche una connessione adsl base ed una 
email, a carico pubblico come le normali strade, scuole, giardini, etc...
-- 
Post

 CA abilitate, visto che gli fa concorrenza.
Beh, a onor del vero il problema non è *solo* quello, sarebbe anche
carino che (come le altre CA) passassero qualche audit fatto da terzi
e non solo che dicessero "siamo stati bravi, è tutto in regola".
Il processo in corso a cui accennavo è questo:
http://wiki.cacert.org/Audit
che ho trovato linkato da qua:
http://wiki.cacert.org/InclusionStatus

> è anche un problema economico, con tanti euro che attraversano l'atlantico.
Evidentemente non hai compreso la differenza abissale che passa tra i 
prodotti seri e con valore legale e le cagate internettiane realizzate 
da un pinco-pallo che non si assume alcuna responsabilità civile/penale.
Pensa te se si può affidare la propria identità/firma con tutto ciò che 
ne può scaturire al primo ente no-profit che rilascia certificati in 
allegria..
Cerchiamo di essere seri..

 non si assume alcuna responsabilità civile/penale.
Rispondo solo su questo, ma non è che devi essere d'accordo per
forza... :-)
Il "pinco-pallo" che aveva realizzato il sistema dei certificati
Thawte si chiama Mark Shuttleworth. Nel 1999 è interessata
all'acquisto una certa VeriSign (che fra l'altro gestisce uno o più
di uno dei root-nameserver sparsi per il globo) per la cifra di 575
milioni di dollari americani. Evidentemente il cda della VeriSign non
l'ha ritenuta una "cagata internettiana"...
Per il resto ognuno usi quello che ca*** gli pare.
-- 
Reform school was my primary school, St. Patrick's Institution my
secondary school, and Mountjoy [Prison] my university -- they taught
me everything I know. -- Martin Cahill (1949–1994)

 l'ha ritenuta una "cagata internettiana"...
Non solo: il personaggio in questione a cui piace trollare con il suo
bel Mac da Bolzano-Merano, ha pure scritto, tra i vari insulti e
falsita', che quelli di CaCert.org sono dei "ritardati mentali che
distribuiscono certificati via Internet a gente non-certificata".
Mi pare davvero inutile cercare di replicare razionalmente a
provocazioni di tale stupidita' e bassezza.
-- 
BArrYZ

 
http://wiki.cacert.org/InclusionStatus
Grazie per la segnalazione, mi erano sfuggite.
Partendo dal primo link ho trovato questo interessante todo che hanno
steso riguardo agli Audit:
http://wiki.cacert.org/AuditToDo
Tra cui questo report molto interessante sul meeting di certificatori a
Monaco che racconta un po' tutte le criticita' riscontrate:
https://svn.cacert.org/CAcert/Assurance/Minutes/20090517MiniTOP.html
-- 
BArrYZ

 
Allora provo a spiegartela..
Voce del verbo "CERTIFICARE"..
Il processo di "certificazione" avviene in diverse fasi..
1)Il "richiedente" si reca "fisicamente" presso la "Registration 
Autority"  (RA) dove viene "autenticato" (da un pubblico ufficiale o 
persona demandata dalla CA)
2)Il "richiedente" firma in calce il malloppo di carte detto "contratto"
3)La RA "genera" la "private key" all'interno del token (smart card o 
USB che sia)
4)La RA "crea" la CSR (certificate signing request) firmandola con la 
private key precedentemente creata all'interno del token
5)La RA "firma" (con firma qualificata) la CSR e la invia alla CA
6)la CA verifica la firma apposta alla CSR per identificare la RA, se 
tutto è OK firma la CSR generando il "certificato" e lo re invia firmato 
alla RA che lo inserisce nel token
la procedura dal punto 3 al punto 6 viene ripetuta per il numero di 
certificati richiesti (generalmente 2)
Ora, il richiedente è in possesso di uno o più "certificati" che ne 
attestano l'identità e tutte le controparti possono operare (transazioni 
finanziarie ecc..) certi che l'identità del soggetto dall'altro capo 
della rete.
Nota bene che la "private key" generata all'interno del token non può 
essere estratta e che il tentativo di forzare il PIN blocca il token 
richiedendo il PUK lasciando tutto il tempo all'utente di contattare la 
propria PKI per bloccare il certificato (vedi CRL)
Ora, tutti sanno come lavorano VeriSign, Thawte ecc..
Il punto critico che differenzia una PKI che emette certificati "seri" 
da una che emette "cagate" è il punto "1" ovvero l'identificazione certa 
del richiedente ceh per ovvie ragioni non può e non deve avvinere "in 
remoto".
Pensa solo a quanti entrano in contatto con i documenti necessari al 
rilascio di un certificato (carta d'identità o altro documento idoneo al 
riconoscimento e codice fiscale), praticamente portieri d'albergo, 
negozi di telefonia mobile, assicurazioni, banche ecc.. un botto di 
gente può avere una copia (foto-copia) di documenti personali, se fosse 
sufficente compilare una form e faxare i suddetti per ottenere un 
certificato di firma qualificata o un analogo certificato.
Quindi scusami se considero un "demente" chi affiderebbe ad un 
"pinco-pallo" Thawte o VeriSign che sia l'identificazione "certa" di un 
utente (persona fisica) senza che un addetto della RA ci metta la faccia 
"firmando" la CSR e senza averlo "identificato" in modo certo prima di 
rilasciare il certificato.
Scusami se non mi fido dei documenti inviati a mezzo fax, ma sai com'è 
di questi tempi anche i ragazzini tredicenni sanno usare Gimp o 
Photoshop per copi-incollare una firma da un documento cartaceo ad un 
altro, quindi se la procedura di rilascio dei certifiacati fa acqua 
prima ancora che vengano emessi..

BArrYZ ha scritto:

Azz! un vero hacker! Bolzano-Merano quanti utenti comprendono? qualche 
milione?
Proprio preciso preciso..
Come le policy crete da alcuni ritardati mentali che distribuiscono 
certificati via Internet a gente non-certificata, mai vista n'è 
conosciuta ma che semplicemente hanno compilato una form ed inviato una 
copia di documenti (magari di qualcun altro) inviati via Fax.
Un sistema perfetto, soprattutto in caso di querela di falso..
Anziché voler fare il sapientino-squola della situazione analizza i 
manuali operativi delle suddette CA e studia la differenza tra quelle 
CNIPA e quelle dei pinco-pallo..
Vedi 
http://www.card.infocamere.it/documentazione/manuali.php
(MO Certificati di Autenticazione)
la chiave della felicità sta tutta in
5.1      Identificazione ai fini del primo rilascio
  Il Certificatore verifica con certezza l’identità del Richiedente 
prima di procedere al rilascio del
certificato di Autenticazione richiesto.
La procedura di identificazione comporta che il Richiedente sia 
riconosciuto personalmente da uno
dei soggetti di cui al § 5.1.1, che ne verificherà l’identità attraverso 
il controllo della carta d’identità o
di un documento ad essa equipollente (cfr. art. 35 comma 2 del [3]) in 
corso di validità.
Senza questo passaggio crolla la serietà della PKI in quanto diventa 
possibile "fottere" il sistema e farsi rilasciare certificati di 
riconoscimento semplicemente inviando documenti fasulli.
Questo lo sanno tutte le PKI del mondo e tutti i professionisti che ci 
lavorano fai te..

 Come le policy crete da alcuni ritardati mentali
Diciamo che forse *ritardato mentale* e' un che continua ad offendere a
destra e a manca, tra l'altro confondendo fischi per fiaschi.
 Il concetto Web of Trust e' una cosa che forse ti e' completamente
sconosciuta, mi pare evidente. Il WoT ha differenti livelli di trusting,
e' nato *proprio* per essere gerarchico, a differenza di una CA
riconosciuta che, per essere tale, invece deve essere ai massimi livelli
di trusting, sempre. Sono cose differenti, usate per fini differenti, e
tu le stai confondendo in maniera imbarazzante.
E siccome continui a parlare solo per cercare la rissa, ma dicendo cose
che non c'entrano un beneamato cazzo con quello che si stava dicendo (il
certificato x.509 dato gratis da Thawte *non* e' MAI stato equivalente
ad una firma di una CA certificata, infatti esisteva il sistema dei
notary e tutti i punteggi connessi, cosi' come non lo mai stato un
qualsiasi certificato di CACert se prima non lo fai controfirmare da n
persone trusted che ti hanno riconosciuto dal vivo), il mio consiglio e'
di prenderti una bella camomilla, respirare a fondo, e tornare solo
quando avrai vagamente capito di cosa si sta parlando, invece di venire
a insultare come un bambino di 10 anni.
-- 
BArrYZ