Newsgroup: it.comp.sicurezza.crittografia
Titolo: Cryptext ita e chiave di codifica

Ciao a tutti.
Per puro caso mi sono imbattuto nel programmino freeware di cui all'oggetto
e, per curiosità, l'ho installato.
Ho fatto qualche prova ed ho potuto vedere la cifra di un semplice file di
testo che avevo preparato alla bisogna.
Ora, svariati giorni dopo, volevo far vedere il funzionamento di tale
programma ad un amico ma quando il software mi chiede di inserire la chiave
di codifica per il nuovo file di testo che ho scritto, beh mi dice che tale
chiave non sarebbe esatta.
Ovviamente io non ricordo più la prima chiave che ho utilizzato a suo tempo
per la prima prova, ma ritenevo di poter stabilire una chiave diversa ogni
volta che avessi avviato il processo di cifra.
Dove sbaglio?
Grazie in anticipo a chi mi risponderà.
Enzo.

 Dove sbaglio?
Non saprei. Dipende anche da cosa il programma fa e cosa quindi dovresti
aspettarti da lui.
Se il programma di cui parli e' questo (primo link di google su quel nome)
http://www.pcug.org.au/~njpayne/
allora mi pare un normale programma di crittografia convenzionale che
usa l'hash della password come chiave, quindi non dovrebbe avere il
comportamento che dici.
Domanda a latere: perche' vuoi usare PROPRIO questo programma, che a
quanto pare qua nesusno conosce ed e' perfino closed source (cosa che in
crittografia e' ben piu' grave che non altrove...)?
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH3dyIACgkQaJiCLMjyUvsHLgCgpeo591PAi6ssw22bK3yQxdXK
fUIAoK3G9OHS4jxydPF/GUOKVAvt/gD0
=6Rer
-----END PGP SIGNATURE-----

 
http://www.pcug.org.au/~njpayne/
Altra nota: se il programma e' quello stai anche attento al fatto che
come algoritmo crittografico utilizza RC4, che non e' piu' considerato
molto sicuro (a meno di buttare i primi 1024 bit di verme), dato che ha
delle weak keys.
Per quel tipo di esigenze esistono tanti altri programmi: AxCrypt,
CrossCrypt, TrueCrypt... etc. etc.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH3eBIACgkQaJiCLMjyUvuPRgCeP1DqkpRMD89L3lH4xFrye0zt
bB4Anjb16oE55l5LTy0FWL2gFNNeNSsH
=uFHM
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
news:35pbgtF...@individual.net...

Ciao Lapo,
innanzi tutto grazie per l'interesse.
Ti passo il link da cui l'ho scaricato:
http://www.enricozimuel.net/software.asp?Id=12
Ti riporto una breve descrizione ad esso allegata:
"Cryptext e un software di pubblico dominio che integra la shell dei sistemi
Ms Windows con funzioni di strong encryption dei file. Il programma e
disponibile in versioni multilingua, Inglese, Francese, Tedesco, Spagnolo,
Portoghese ed Italiano. Per le operazioni di encryption e sufficiente
selezionare un file e tramite il tasto destro del mouse selezionare la voce
encrypt o decrypt nel menu.
Gli algoritmi crittografici utilizzati dal programma sono una combinazione
di SHA-1 e RC4 con chiavi di 160 bit utilizzati in maniera che ogni singolo
file abbia una chiave di encryption differente ad ogni operazione".
Anch'io non mi spiego perche bisogna fissare una chiave unica anche se,
intanto, ho ricordato la chiave di prova che usai a suo tempo.
Non conosco il livello di sicurezza del software in questione anche se viene
"spacciato" per crittografia forte (che resta comunque un termine vago).
Sono del tutto consapevole che la forza di un algoritmo di cifra e nella
chiave e non nella metodica di cifra ma e stato giusto il desiderio di
provare il funzionamento del software di cui sopra.
Anche se non ho dati sensibili da proteggere, seguiro i tuoi consigli circa
gli altri prg di cifra che indichi che certamente offrono garanzie di
sicurezza adeguate ma, ritengo, il  divertimento e realizzarne propri
software di cifra.
In fondo il Vernam - one time pad, il metodo piu sicuro per la cifra e
facilissimo da realizzare. Semmai il probrema e generare una chiave di
lunghezza adeguata che sia veramente random.
Grazie ancora, Enzo.

Oops, sono sfuggite parecchie "e" accentate....
Enzo.

 Grazie ancora, Enzo.
E di che?
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH4hI8ACgkQaJiCLMjyUvvqWACg6ljJyobICnqp2MtEz6F9ygNo
43YAn18nU72gR1h0w7vLECfV1MHauRvm
=zUpU
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
news:35rf0nF...@individual.net...

Certo, è per questo che gli algoritmi asimmetrici (tipo chiave
pubblica/chiave privata) hanno avuto così fortuna.
Tuttavia, e non è farina del mio sacco in quanto sono e mi reputo un vero
dilettante in materia, pare che dal punto di vista matematico solo gli
algoritmi tipo Vernam siano sicuri al 100% tanto che alcune nazioni li hanno
vietati equiparando il loro uso da parte di privati a quello delle armi da
guerra ...
Enzo.

,
puoi fare in modo che anche il tuo OE utilizzi le accentate
correttamente.
Applica quelle regole alla lettera e dovresti risolvere buona
parte dei problemi.
Se poi, volessi rendere il tuo OE più performante, potresti
affiancargli tool come OE-Quotefix o Fidolook.
Per ulteriori info in merito, puoi provare a chiedere su
it.comp.software.newsreader
Ciao,
un TJL73 e l'allettante ipotesi dei newsreader alternativi...
-- 
"Se il solo strumento che possedete e` un martello,
 vedrete in ogni problema un chiodo."
                                                       -- Abraham Maslow



Stai mescolando un po' di cose diverse tra loro...
Da un lato Vernam è l'unico "matematicamente dimostrato".
Verissimo.
Questo,  però,  è   interessante  SOLO  per  un   matematico.  Per  un
crittografo AES,  Serpent, Twofish sono  di MOLTO superiori  a Vernam,
nonostante la loro sicurezza non sia dimostrata.
Ricordiamoci  che un  sistema non  dipende eslcusivamente  dalla "mera
forza" di un  suo componente (che già normalmente è  il più forte), ma
anche a come questo interagisce con gli altri componenti.
Vernam interagisce MALISSIMO  con gli altri componenti:  ad esempio, è
sempre "bene"  che una primitiva crittografica  sia abbastanza "forte"
da essere utilizzata come "scatola nera", senza cioè bisogno di sapere
come funziona al suo interno. AES e amici si avvicinano "notevolmente"
a questo  ideale della scatola nera,  lo stesso non si  può certo dire
per un algoritmo che se utilizzi la stessa chiave anche solo DUE volte
non  dico che  "rischi di  esporla", ma  anzi la  esponi totalmente  e
sicuramente. Con DES stesso, un algoritmo oramai "da buttare", servono
2^48 messaggi  in chiaro, prima  di ricavare la chiave.  Questo giusto
per rendere l'idea...
Quindi sì, è vero, è dimostrato. Ma questo ci dice BEN POCO...
Tornando al secondo punto che hai "mescolato" col primo è quello della
legge americana  sull'esportazione. Quella non ha  (anzi, oserei quasi
dire "aveva", perché  da qualche anno non è più  valida, tranne che se
abiti in  uno stato sotto  embargo americano)  mai avuto niente  a che
fare con Vernam: vietava infatti  qualsiasi cifrario con chiave di più
di 40 bit.
Pensa:  perfino DES  (con  i suoi  miseri 56  bit)  non poteva  essere
esportato senza "esporre" 26 dei 56 bit della chiave privata.
Questa   legge   (che   considero  terribilmente   repressiva,   dando
fondamentalmente  per  scontato  che  il governo  DEVE  poter  leggere
QUALSIASI messaggio, e senza neanche fare fatica) per fortuna non vale
più (tranne per  gli stati sotto embargo.. ma, come  dire... se sei un
terrorista  ti frega  BEN  POCO se  ti  incriminano per  "crittografia
illegale", no?  come al solito  hanno da perderci solo  gli innocenti,
magari onestissime  ditte israeliane che volevano  commerciare con gli
USA e portargli soldi... ma questo  è un altro discorso), grazie anche
e non solo al processo di Phil Zimmermann (autore di PGP, che ha fatto
scappare i fatidici "buoi"  e ha costretto  l'america ad ammettere che
oggi  come oggi  la  crittografia non  è solo  appannaggio  di spie  e
militari...)
GH.
Oddio.
Non volevo scrivere un messaggio così lungo...
Scusate ;-)
Buon week-end, ci vediamo lunedì =)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH5ZUwACgkQaJiCLMjyUvs5OgCgzjABpk7ngjRMJPkW0GwIL0/z
F9IAniet0U7niethdSa+PDExnqzPzu2H
=CYf0
-----END PGP SIGNATURE-----