Newsgroup: it.comp.sicurezza.crittografia
Titolo: [ANN] GePaHE beta 2

Ho pubblicato la beta 2 del mio generatore di password (gratuito e 
prossimamente open source); a chi interessa... :-)
Ricordo che chiunque volesse contribuire al miglioramento del programma può 
farlo semplicemente scaricando dal sito
http://www.webalice.it/cristiano.pi/GePaHE/
il file
http://www.webalice.it/cristiano.pi/GePaHE/CheckPC.zip
a me molto utile soprattutto per verificare i valori minimi accettabili per 
l'entropia accumulata.
Per commenti o suggerimenti mi potete anche contattare all'e-mail indicata 
nel sito.
Grazie
Cristiano 

 molto valido.
Ti ringrazio, ma di questo passo la V1.0 stabile la pubblico per Natale! :-)
E io che pensavo di fare cosa gradita... :-<
Cristiano 

 E io che pensavo di fare cosa gradita... :-<
La mia opinione personale è che in questo Newsgroup impera  la paranoia 
della sicurezza e se non ricordo male il file che viene generato non è in 
chiaro o meglio compresso in un modo che io non riesco a leggere per cui non 
potendo verificare ciò che effettivamente contiene preferisco non inviarlo.
djx 


E io che pensavo di fare cosa gradita... :-) (stavolta sorridendo). Faccio 
tanto per arrecare il minor disturbo possibile agli utenti (comprimendo 
automaticamente i file) e questo mi si ritorce contro?! O_O
I più psicotici posso sempre fare "lha -e pcdat" e constatare la presenza di 
4 file pieni zeppi di numeri, come ho affermato nel sito. Ma se uno non si 
fida dell'autore, è evidente che men che meno si fiderà del programma da lui 
creato (specialmente di un programma che genera password), potrei metterci 
backdoor impensabili o virus fantascientifici!
Cristiano 

 Mah, imho non fidarsi di una cosa del genere è solo ottusità.
Personalmente, direi "ottusità e/o paranoia"...  ^__^
Mi spiego meglio...
Con tutta la fiducia che si possa avere in Cristiano, il file da lui
generato (che lui stesso dichiara essere "4 file pieni zeppi di numeri")
potrebbe virtualmente contenere qualsiasi cosa... come, ad esempio, i
tuoi keyrings di PGP, i tuoi file di Keepass o qualsiasi altra
informazione personale, cifrata in modo da sembrare una sequenza di dati
casuale.
In modo molto banale, posso provare a farti un esempio...
Basterebbe creare un batch evoluto (con un qualsiasi scripting tool) che
spazzoli i dischi raccogliendo le informazioni riservate e le cifri con
un software crittografico che generi un crittogramma senza intestazioni,
come, ad esempio, fa TrueCrypt.
Quindi, senza sapere cosa siano quei "4 file pieni zeppi di numeri" (e
l'unico modo per saperlo con certezza, è avere i sorgenti da compilare),
ci si può solo fidare ciecamente oppure non fidare per nulla... ma non
si potrà mai avere la certezza consapevole di ciò che si sta inviando.
Personalmente, appena mi sarà possibile, genererò quei file di report
sulla mia macchina (e da altre macchine cui ho accesso sul lavoro),
facendo boot da un Live CD e disconnettendo i dischi da BIOS, e invierò
il risultato a Cristiano.
Ciao,
un TJL73 che si ritiene paranoico moderato...
-- 
"E' inutile affannarsi tanto nella vita...
 Tanto, non si riuscirebbe ad uscirne vivi!"
                                                                  -- SDB

 invierò il risultato a Cristiano.
Ah! Grazie per la "fiducia"! :-) Se devi fare tutto quel casino, ti 
ringrazio per il pensiero, ma ti chiedo formalmente di lasciar perdere.
Anche perché GePaHE è un programma molto "particolare", nel senso che si 
basa sul comportamento *imprevedibile* dell'hardware su cui deve funzionare.
Volendo assicurare l'ottima qualità crittografica delle password generate, 
ma non avendo a disposizione un campione significativo sul comportamento di 
GePaHE, probabilmente non potrò distribuire il programma che quindi resterà 
qui con il suo paparino. :-)
Cristiano 

 qui con il suo paparino. :-)
ma una versione per linux la proverai a fare?
in realtà qui di tool ne esistono a bizzeffe, ma se vuoi aggiungerne uno ...

 uno ...
Vorrai scherzare! :-) Con tutto il tempo che ho perso per niente...
In realtà, dovendo testare i generatori d'entropia in ambiente DOS puro (per 
evitare le interferenze di winzozz), il cuore del programma l'ho scritto con 
DJGPP (che usa il compilatore GCC) per cui sarebbe già pronto per Linux, ma 
poi c'è il problema della GUI e sotto Linux non ne so nulla.
Cristiano 

 poi c'è il problema della GUI e sotto Linux non ne so nulla.
cos'è la GUI? :-p
scherzi a parte, quello è un problema secondario.
e cmq molti dei programmi che ho usato io, li invochi con un paio di
parametri (lunghezza della pass, escludere i simboli non alfanumerici,
pronunciabili o meno) e lui ne spara fuori una decina, poi tu scegli e
hai fatto.

 hai fatto.
Inizialmente l'idea era proprio quella della linea di comando (senza GUI), 
ma poi, visto che il programma era adatto solo per winzozz, ho pensato 
d'includere anche l'interfaccia grafica.
Comunque, se hai dato un'occhiata al sito, di parametri ce ne vogliono 
molti, per cui sarebbe abbastanza scomodo usare GePaHE senza un'interfaccia 
grafica.
Cristiano 

 grafica.
ridarò un'occhiata.
l'altra volta mi ero fermato subito vedendo che era solo per win.
ciao.

 perdere. [...]
Rileggendo, TJL73, non vorrei che avessi preso la mia replica come un 
disprezzo per l'aiuto che mi hai offerto. Volevo solo dire che se per fare 
un piacere a me, devi smontare il computer, non è il caso che perdi tempo 
per me. :-)
Ciao
Un Cristiano che apprezza il gesto e che non vuole passare per strafottente. 
:-) 

 programma che quindi resterà qui con il suo paparino. :-)
Questo mai... non ho mai negato e mai negherò supporto a chi ne
manifesta la necessità.
Controlla la posta... avrai presto notizie dal mio mail server.  ^_^
Ciao,
un TJL73 e un periodo merDavigliosamente rilassante...
-- 
Le cose importanti della vita, sono quelle,
ahime', cui si riesce a dedicare meno tempo...

 strafottente.  :-) 
Non mi è nemmeno balenata per l'anticamera del cranio, un'idea del
genere...  ^_^
Sereno... è solo il tempo per fare le cose, che mi manca... la passione
e la disponibilità, spero non mi manchino mai...
Ciao,
un TJL73 che ha già in mente i 3 desideri per il genio della lampada...
-- 
"Vedo difficile che riescano a gestire l'alta velocità,
 dato che non sono nemmeno capaci di gestire la bassa."

 un TJL73 che ha giā in mente i 3 desideri per il genio della lampada...
Pių fatturato, meno tasse e pių... Be', hai capito. :-)
Cristiano

 Controlla la posta... avrai presto notizie dal mio mail server.  ^_^
Ok, grazie.
Cristiano 

 
direi che allora è (spesso) inutile anche pgp e le firme digitali...
difficilmente qualcuno è interessato al contenuto delle mie mail...

 Più fatturato, meno tasse e più... Be', hai capito. :-)
Più tempo libero, più tempo per me stesso, più tempo da passare con le
persone cui voglio bene.
Ciao,
un TJL73 e, se avanza del tempo, la pace nel mondo...


 Nemmeno lo conoscevo. Puň far comodo, proviamo! :-)
E' davvero una bomba... quello che io definisco il "mai piů senza".
Diciamo che, per gli utenti Win32, č l'equivalente di Knoppix (i
pinguini rabbrividiranno... e non per il freddo).
Ciao,
un TJL73 e le divagazioni...
-- 
"Quando ti morde un lupo, pazienza.
 Quel che ti secca e` quando ti morde una pecora."
                                                         -- Arthur Bloch


______________________|________________________________________________
GnuPG RSAv4 4096 - Fingerprint:FA68CF697EA63865AAFA805F68703AD40609D743

 pinguini rabbrividiranno... e non per il freddo).
Uso saltuariamente Knoppix (per compilare i programmi sotto Linux). E` 
veramente comodo, ma soprattutto è già bell'e pronto. UBCD4Win, invece, 
sembra che necessiti di una lunga e complessa "preparazione" (ammetto di 
aver letto il sito un po' frettolosamente).
Ma qui cominciamo ad essere un pelo OT. :-)
Cristiano 

 rimediare.
Non fartene un obbligo! :-) Fa' con comodo.
Attualmente sto tentando di mettere a punto un sistema che fa alcuni test 
più approfonditi rispetto agli attuali, in modo da evitare la necessità da 
parte mia di richiedervi (e analizzare) il file PCdat. Questo, però, 
comporterà l'allungamento della fase di test che spero di riuscire a tenere 
sotto ai 10 s.
Lavori in corso... :-)
Cristiano 

 intestazioni, come, ad esempio, fa TrueCrypt.
E` senz'altro molto semplice farlo, ma č altrettanto semplice verificare che 
i 40004 numeri contenuti nei due file '_ENT1 tsc.dat' e '_ENT4.dat' sono 
distribuiti in maniera vistosamente esponenziale e in alcuni casi formano 
una fugoide (una sinusoide smorzata esponenzialmente).
Questo rende evidente che i numeri *non* possono in alcun modo far parte di 
un crittogramma generato con gli algoritmi di cifratura "moderni" (dagli 
anni '70 in poi); tutti sappiamo che in quel caso i numeri sono 
uniformemente distribuiti.
Inoltre, i due file contengono 20002 numeri con circa 4 bit di 
entropia/numero e altri 20002 numeri con circa 8 bit di entropia/numero, per 
un totale di circa 240 kbit di "informazione". Che vuoi che contenga un file 
da 30000 byte? :-) Ammesso, poi, che qualcuno sia in grado di scrivere un 
algoritmo di cifratura che trasformi qualunque ingresso in un'uscita 
distribuita esponenzialmente. E io non scriverne nemmeno uno "classico", 
figuriamoci uno cosě "stravagante"! :-)
E` una precisazione che ho voluto fare nella speranza di attenuare un po' la 
"psicosi dei dati rubati" di cui molti frequentatori del ng sono 
patologicamente affetti. Vano tentativo?
Cristiano 

 Ma qui cominciamo ad essere un pelo OT. :-)
Infatti...  ^_^  se ti va di continuare il privato, il mio indirizzo in
"Reply-To:" è valido.
Ciao,
un TJL73 che è abituato agli ambienti Win32...
-- 
"La vita e` come la scaletta di un pollaio...
 corta, in salita e piena di merda."

 Vano tentativo?
Hai vinto tu... mi fido.  ;oP
Basta che mi lasci in pace... prima quelle vocine... poi gli alieni e i
loro esperimenti sul mio cervello... ti prego... non ti ci mettere anche
tu...  O_O
Ciao,
un TJL73 che oggi sta davvero "dando di melone"...
-- 
"I ricercatori hanno scoperto che il cacao produce, sul cervello,
 alcuni degli effetti prodotti dalla marijuana. Hanno anche scoperto
 altre similitudini tra i due, ma non ricordano quali siano."
                                                           -- Matt Lauer

 Hai vinto tu... mi fido.  ;oP
Possibile?! o_O
Se ho convinto uno che voleva smontare il computer prima di far girare il 
mio programma, mi sa che ho condotto alla ragione decine di frequentatori 
del ng! :-)
Cristiano 

 del ng! :-)
No, no... alla fine, l'ho fatto proprio cosě...  ^_^  piů per test, che
per altro...
A proposito... hai posta.  ;oP
Ciao,
un TJL73 che ci ha messo davvero poco tempo...
-- 
"Ho visto cose... che, voi umani... neanche immaginate."

 
mah... sinceramente il mio numero di carta di credito non l'ho mai
mandato via mail.. invece ho diverse password memorizzate su piccì...
alcune anche legate ad informazioni di billing per alcuni siti di
vendita online.
non credo di essere l'unico...
per curiosità, in che senso la vedi diversa la questione?