Newsgroup: it.comp.sicurezza.crittografia
Titolo: Chiave pubblica senza email/con email fasulla

Dunque,
probabilmente se ne era parlato tanto tempo fa, ma tanto tanto credo :P
E' una pratica molto errata quella di creare una coppia di chiavi senza 
indirizzo email, o con un indirizzo di email fasullo in modo che possa 
essere utilizata in modo universale e non ci si deve preoccupare dello 
spam o di cambiare email?
Che ne pensate? qualcuno di voi lo fa?
Daniele

  [X.509 available]  ,''`.
Linux Reg. User #263663/NEW Machine: #216144 (Debian Sarge/SID) : :' :
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4 `. `'
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
   `-

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Danielem wrote:
| Dunque,
| probabilmente se ne era parlato tanto tempo fa, ma tanto tanto credo :P
| E' una pratica molto errata quella di creare una coppia di chiavi senza
| indirizzo email, o con un indirizzo di email fasullo in modo che possa
| essere utilizata in modo universale e non ci si deve preoccupare dello
| spam o di cambiare email?
Dipende se la chiave stessa certifica l'appartenenza della mail alla
persona.
Nel caso di chiavi x.509, questo è uno dei requisiti fondamentali.
Nel caso di chiavi PGP, questo è sicuramente "comodo" e "preferibile",
ma ogni persona nell'ottica di PGP ha piena libertà di fare le proprie
assunzioni su cosa basare le proprie scelte per firmare le chiavi
(compresa la propria) e quindi è "accettabile" che la chiave nno
contenga una e-mail.
| Che ne pensate? qualcuno di voi lo fa?
Penso che siano più i contro  che i pro.
Facendo il solito esempio è ovvio che il modo migliore per nno essere
investiti sia non uscire di casa, ma preferisco "guidare con prudenza"
che non evitare di uscire di casa, è una soluzione che oltre a risolvere
in buona parte il problema, non mi limita troppo.
Non avere la mail sulla chiave (PGP, dato che in altri casi non ha senso
del tutto) porta a questo:
1. nessuno potrà certificare quale sia la vera vostra email, quindi in
caso di sicurezza indiretta la persona dovrò *comunque* contattarvi di
persona per poter sapere la vostra email ed avere conferma che sia
vostra (cosa che non capita se l'amico comune ha firmato la vostra
chiave completa di email)
2. la chiave non finirà nelle liste di spam: questo secondo me è
assolutamente il meno, dato che *CMOUNQUE* nelle liset di spam ci si
finisce presto o tardi, la sicurezza va "fatta" non va "aggirata" con
l'oscurantesimo; per me personalmente evitaer di "usare" la propria mail
solo per evitare di farla avere agli spammer equivale al non uscire di
casa dell'esempio precedente
3. chiunque voglia mandarci un messaggio crittato dovrà scegliere a
mano, ogni volta, quale chiave crittografica usare, dato che il
programma non potrà capirla "dal contesto"
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/YhxAACgkQaJiCLMjyUvtcXACfV49UIwQ+fZHO3MsWMK7KC8gN
GvMAoJsKQ1/+SA3Xz57mfeaaMtNOA4/L
=omJS
-----END PGP SIGNATURE-----

 programma non potrà capirla "dal contesto"
GPGrelay ha un'eccellente gestione degli alias (che mi sembra a Enigmail
manchi).
Se definisci uno (o più) alias per una chiave, GPGrelay utilizzerà
sempre quella chiave per quell'indirizzo email, anche se quell'indirizzo
non compare tra gli UserID della chiave...
Questo torna utile, quando un utente ha più caselle di posta (lavoro,
casa, usenet, ecc.) e un'unica chiave personale.
In questo modo, qualsiasi sia la casella di destinazione, la mail parte
cifrata con la giusta chiave... anche se il corrispondente dovesse
cambiare il proprio indirizzo (causa cambio di lavoro, cambio di
provider, cambio di cognome, cambio di sesso, ecc.), senza aggiornare
l'identità nella chiave o se dovesse avere una chiave senza indirizzo o
con un indirizzo non valido.
Sarebbe una funzionalità molto carina e utile, da implementare in
Enigmail (sempre che non sia già presente nelle ultime versioni).
Ciao,
un TJL73 che, non sempre un buon prodotto, è realmente IL migliore...
-- 
"La gente non e` che voglia una macchina a poco prezzo.
 La gente vuole una macchina carissima che costi meno."
                                                        -- Steven Wright

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
TJL73 wrote:
|>3. chiunque voglia mandarci un messaggio crittato dovrà scegliere a
|>mano, ogni volta, quale chiave crittografica usare, dato che il
|>programma non potrà capirla "dal contesto"
| GPGrelay ha un'eccellente gestione degli alias (che mi sembra a Enigmail
| manchi).
| un TJL73 che, non sempre un buon prodotto, è realmente IL migliore...
Un Lapo che, non è che siccome esiste un modo per "aggirarlo" allora un
problema non è più un problema...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/Z3CYACgkQaJiCLMjyUvveWQCfcUDRrRZIYM1pEeS3LD48IPAK
+jkAn30A/HycQkS5Ql7VWXAMUXGmEx/S
=XxPu
-----END PGP SIGNATURE-----

 problema non è più un problema...
Non "aggira" il problema... GPGrelay mette a disposizione una feature
che a Enigmail manca... tutto lì.
Con questo, non voglio assolutamente dire che non sia più un problema...
Ciao,
TJL73 <tjl73ATdespammedDOTcom>
-- 
1
2
3
4