Newsgroup: it.comp.sicurezza.crittografia
Titolo: AxCrypt...

Salve a tutti,
uso questo semplice programma per codificare vari file nel mio pc.
Sulle istruzioni dicono per una maggiore sicurezza di usare il "Key - File", 
cioč un file tipo questo: 7VYK khWy lpkD U6yD odZI j1v/ fy5s iP0Q vz/j r1WH 
wCM= , generato automaticamente del programma stesso.
Mi sorge un dubbio; non č che siano creati in base a qualche linea 
matematica e quindi a lungo studiare riproducibili a sua volta da qualche 
mal intenzionato??? O peggio ancora, che siano stati "pre-creati" in qualche 
file all'interno del programma stesso??? Noto che per esempio il finale 
delle Key per quante se ne creino, č SEMPRE con il simbolo =
Inoltre secondo voi, qual'č il sistema piů sicuro per creare un password se 
non con il metodo citato sopra???
Grazie,
Lunatico80 

 è SEMPRE con il simbolo =
Quel simbolo identifica il "terminatore"... ossìa, il punto in cui
finisce il keyfile o una porzione di esso. E' come se quel carattere
non esistesse, o fosse un CRLF.
Per il resto del post, lascio rispondere chi ne sa più di me.
Ciao,
un TJL73 ignorante in materia...
-- 
Alcuni si celano dietro al poco che sanno,
per nascondere la propria immensa ignoranza
su tutto il resto.

 Per il resto del post, lascio rispondere chi ne sa più di me.
In realtà non lo so, posso solo supporre che per generarlo usi il RNG
delle CryptoAPI... ma grazie a un po' di RTF spero di carpilo ;-)
No, pare fare tutto "a mano", vedo che c'è un raccoglitore di entropia e
tutto... (mi chiedo se usi ANCHE quella della CryptoAPI.. voglio dire,
non sarà di qualità eccelsa, ma ha l'indubbio dubbio di essere basata
anche su interrupt hardware che a user-level non sono disponibili!)
http://cvs.sourceforge.net/viewcvs.py/axcrypt/Common/AxCrypt/CEntropy.h?rev=HEAD&view=auto
Essendo un'applicazione grafica cno una finestra in cui l'utente deve
necessariametne scriere, giustamente usa il movimento del mouse come
sorgente di entropia (tanto gliene serve poca...) e mantiene una entropy
pool di 256 byte, usando SHA1. Il file stesso dice che la pool non è
protetta un gran che, ma tanto se la macchina locale è compromessa è più
facile sapere la password che ricavare il contenuto della pool ;-)
In definitiva direi che è un sistema adatto allo scopo (io avrei usato
Fortuna e OLTRE AL MOUSE ci avrei buttato dentro anche altre cose, non
ultima qualche chiamata alla Random della CryptoAPI, comunque va bene
anche così ;-)).
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJ7TkIACgkQaJiCLMjyUvvrywCg3kjZA176LqSbE3YMIUxfKvGp
l9sAn2wQoZ8WBV7pkYQ95biqIMbZNs5j
=c0hm
-----END PGP SIGNATURE-----

 ma grazie a un po' di RTF spero di carpilo ;-)
Diciamo che magari intendevo dire:
ma grazie a un po' di RTFSน spero di capirlo ;-)
Sigle:
1) RTFS = Read The Free Source
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkJ9Rg4ACgkQaJiCLMjyUvttiQCg0ayY18yjrTqxJnaQJiBeD3fj
uc4An1IoS9YWf5OmAZOT+w4L/38tHDvq
=VOOe
-----END PGP SIGNATURE-----

 non con il metodo citato sopra???
Direi che il metodo interno di AxCrypt è sufficientemente sicuro.
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkKD0fAACgkQaJiCLMjyUvvezACgxdKByBBzFvoQ8H8oOyXpwRyz
1BwAoO6e/Csx1SFiCfvvWW+DEDVGY3y7
=WtCB
-----END PGP SIGNATURE-----