Newsgroup: it.comp.sicurezza.crittografia
Titolo: Come utilizzare PGPDisk su CD-R e DVD-R

Se masterizzo il file .pgd su un CD-R o su un DVD-R poi posso 
tranquillamente accedervi conoscendo solo nome utente e password?
O devo conservare qualche file-chiave o altro?
Non credo che re-installando Windows o il programma cambia qualcosa e 
non posso più accedere ai files criptati?
Altra domanda: i files criptati da PGPDisk non hanno niente a che vedere 
con la coppia di chiavi asimmetriche giusto? Quelle servono solo per i 
programmi di posta o le firme elettroniche, mi sbaglio?
Con un nome utente di 7 caratteri e una password di 8 caratteri, con 
l'algoritmo più veloce permesso da PGPDisk, quanto tempo ci vorrebbe per 
craccare i files, disponendo di un computer da 3 Ghz? A occhio... 
giorni, mesi, anni?
Grazie

.
Ciao,
un TJL73 che, pur simpatici, cerca di evitare Pippo, Pluto e Topolino...
-- 
C'e` una sola certezza nella vita...
E vorrei non esserne cosi` sicuro.   :o(

 giorni, mesi, anni?
PGPdisk o non PGPdisk, 8 caratteri di password sono decisamente troppo
pochi, secondo me... la mia password "sicura" è di 13 caratteri
(alfanumerici e "ben casuali") e sto pensando di cambiarla...
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkBe4YAACgkQaJiCLMjyUvsULQCfRAadbzpTfwwYrt91hDG4Zfuf
T10AoMRQ3eL87u9916UTMFIOInDBBSmu
=efrC
-----END PGP SIGNATURE-----

.
Mmh, userei quel programma solo se dovessi fare qualcosa di 
segretissimo. A me basta qualcosa che per craccarla con la forza bruta 
occorre tenere un PC medio acceso per un paio di mesi. Tutto qui.
Di quanti bit avrei bisogno?
Grazie

 Di quanti bit avrei bisogno?
Dipende dal sistema... se il sistema rallenta in modo artificiale (ma
*strutturalmente inevitabile*) il tempo di verifica delle password una
password da 8 caratteri può anche bastare, ma dove sono possibil
attacchi "offline" a piena velocità secondo me conviene non scendere
sotto l'ottantina di bit di sicurezza (quindi 13 caratteri in caso di
usare caratteri alfanumerici maiuscoli e minuscoli e qualche punteggiatura).
Per dare consigli "seri" comunque bisogna considerare la sicurezza
"globale" e non quella del singolo componente, a dare un obiettivo di
sicurezza (ni "bit" o altro) per ognuna delle parti...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkBfJ8kACgkQaJiCLMjyUvtkBwCdHuhTMonvD09elSXzX5Rjfkvs
B44AoPv8M5JIq5PA+aL0az+BSnJgKFdy
=eXOj
-----END PGP SIGNATURE-----

 usare caratteri alfanumerici maiuscoli e minuscoli e qualche punteggiatura).
Due parole, una da 7 caratteri e una da 8, come se fosse una password da 
15 caratteri!
Se non conosci lo username e conosci solo la password non accedi a 
nulla, quindi non vedo perchč consideri diversamente la prima parola, 
solo perchč non si chiama password!

 E comunque non cambierebbe nulla...
Si vede che non usi PGPDisk da anni, perchè chiede il nome utente oltre 
alla password. E cambiano eccome le cose, perchè occorrono due parole 
per accedere al disco, non una sola! Se sai solo la password, ma non il 
nome utente non fai niente.
Quindi la password risultante è nomeutente+password.
Se ad es: il nome utente è Miomao e la password è machupicchu, è come se 
ci fosse un'unica password che è la somma delle prime due:
Miomaomachupicchu

 Quindi la password risultante è nomeutente+password.
Mi chiedo il *senso* di questa cosa...
un nome utente "di suo" è una informazione tendenzialmente non segreta,
quindi ha ben poco senso usarlo a meno che non c'entri qualcosa
direttamente con l'autenticaizone dell'OS sottostante, che in questo
caso non credo sia.
Comunque è vero, non uso più PGPdisk da quando non è più gratuito, dato
che ci sono comode alternative gratuite&libere...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkBi128ACgkQaJiCLMjyUvs8MQCdH5ehdnX6JgD3AuroTno+l7IF
SlkAn3IzkI8GqXshotVLLWveJOsL7U4i
=WgdV
-----END PGP SIGNATURE-----

 non cambia se la prima parola la chiami username!
Invece cambia, e anche *parecchio*.
Non dal punto di vista tecnico forse, ma sicuramente dal punto di vista
sociale: qualsiasi utente, che poi abbia voglia di farlo o meno, *sa*
che una "password deve essere segreta", mentre uno username non ha
questo senso di "segretezza" correlato.
Che poi possa essere segreto lo stesso cambia ben poco: il 99% degli
utenti useranno il loro username "classico" e quel campo sarą
praticamente inutile.
...e per quel 10% di "utenti sgamati" che sanno la cosa cambia ben poco
digitare la "vera password" in due campi diversi o in un campo solo.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEUEARECAAYFAkBi2AwACgkQaJiCLMjyUvt4HwCeNTC/fAsSTafd+aBC8hUI8Lhy
91oAljltjV99rV8tGWQl2xuBDJk4+54=
=YaQC
-----END PGP SIGNATURE-----

Miomaomachupicchu
Il nome utente viene visualizzato nelle info sul file pgpdisk, quindi
non è segreto...

 praticamente inutile.
Sarà inutile per il 90% degli utenti. Per me invece vale a tutti gli 
effetti come una ulteriore password, perchè basta non rivelarlo.
Il programma in ogni caso tratta lo username esattamente come una 
password, quindi avendo username da 7 caratteri e password da 8 si hanno 
ben 15 caratteri di password risultante, più che sufficienti!

 praticamente inutile.
Sarà inutile per il 90% degli utenti. Per me invece vale a tutti gli 
effetti come una ulteriore password, perchè basta non rivelarlo.
Il programma in ogni caso tratta lo username esattamente come una 
password, quindi avendo username da 7 caratteri e password da 8 si hanno 
ben 15 caratteri di password risultante, più che sufficienti!
In ogni caso non mi interessa cosa fanno il 99% degli utenti, il 
programma lo devo usare io e solo io.

 che ci sono comode alternative gratuite&libere...
Beh, potevi continuare a usare l'ultima versione di PGPDisk gratuita.

Pistarino ha scritto:

Ah, non mi ero accorto!
Allora è completamente inutile.
Domanda:
Si può impostare il PGPDisk sul proprio PC in modo da montare un CD 
criptato all'inserimento nel drive e facendo in automatico anche il 
login, ossia senza bisogno di inserire la password ogni volta?
Cosicchè io nel mio PC non ho più bisogno di inserire nome utente e 
password, ma posso accedere ai miei CD criptati semplicemente 
inserendoli nel drive e basta?
Grazie

 inserendoli nel drive e basta?
Fatico a capire esattamente quale concetto di sicurezza ci sia nella tua
testa...
Se vuoi che i tuoi dati siano protetti, devi utilizzare un algoritmo
crittografico e una password.
La password *deve* essere segreta... tutto il resto (algoritmo
crittografico, username, ecc... può essere noto).
Questo è quanto... ogni variazione a questo schema, riduce o annulla la
sicurezza che la crittografia può dare.
Quindi, non cercare sistemi o utilizzi rivoluzionari di quanto è stato
scritto e consolidato negli anni... ogni variazione, può farti incappare
nell'olio di serpente... dandoti una falsa sicurezza e una protezione
pari a zero.
Se vuoi utilizzare la crittografia, devi farlo in maniera corretta...
tenendo la tua passphrase *segreta* e digitandola ogniqualvolta si renda
necessario.
That's all, folks!
Ciao,
un TJL73 e il riformatore di turno...
-- 
"Per ogni problema complesso,
 c'e` sempre una soluzione semplice. Ed e` sbagliata."
                                                  -- George Bernard Shaw

login, ossia senza bisogno di inserire la password ogni volta?
al login ti chiede la password semplicemente perchè l'utilizzo della
tua chiave privata è protetto da essa. Prova a selezionare "cache
passphrase while logged on" fra le opzioni di PGP (cmq almeno la prima
volta che usi la tua chiave privata - per aprire pgp o firmare una
mail - nella sessione ti chiederà la password).