Newsgroup: it.comp.sicurezza.crittografia
Titolo: Domande su GnuPG e keyserver

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Prima di tutto voglio precisare che ho installato GnuPG 1.2.4 e
GPGshell 3.02 su Windows 2000.
Avrei diverse domande da porre:
1) E' possibile avere piů portachiavi pubblici/privati?
2) E' possibile marcare una chiave come non esportabile? (voglio
in pratica che non venga mandata a nessun keyserver quando
aggiorno le chiavi del portachiavi pubblico)
3) Per controllare una chiave prima di firmarla č sufficiente
controllare che il fingerprint sia lo stesso indicato dalla
persona nel suo sito?
4) I keyserver del mondo si scambiano le chiavi fra di loro? Se
sě, quando io mando una chiave ad un keyserver dopo quanto tempo
la riceveranno tutti gli altri keyserver?
5) Qualcuno sa come mai non si riescono a spedire e ricevere
chiavi dal keyserver "
search.keyserver.net
" attraverso GPGshell?
6) Cosa significa allegato MIME in un messaggio di posta
elettronica?
7) Visto che i newsgroup "it.comp.sicurezza.crittografia" e
"it.comp.sicurezza.pgp" trattano argomenti simili e sono
frequentati da piů o meno le stesse persone, a chi deve
inoltrare questioni riguardanti GnuPG?
Grazie (anche per la pazienza).
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (MingW32) - GPGshell v3.02
iD8DBQFACGLgYqDHRhZj29sRAoJTAKCS9dkJQe5CQH6ByAVS9Skt/GGpqQCglNph
oj8874aLXUbJrSJS4P1L+FU=
=33y4
-----END PGP SIGNATURE-----


| Se
| sì, quando io mando una chiave ad un keyserver dopo quanto tempo
| la riceveranno tutti gli altri keyserver?
1 giorno i più veloci, più raramente gli altri.
| 5) Qualcuno sa come mai non si riescono a spedire e ricevere
| chiavi dal keyserver "
search.keyserver.net
" attraverso GPGshell?
Non ne ho idea.
Io uso 
keyserver.kjsl.com
 (aka 
wwwkeys.2.us.pgp.net
), uno dei pochi con
il software aggiornato in modo da accettare anche i nuovi pacchetti,
come ad esempio le immagini (non le immagazzina, ma almeno non dà errore
quando le chiavi ne contengono).
| 6) Cosa significa allegato MIME in un messaggio di posta
| elettronica?
MIME è un sistema per incapsulare testi e file in un messaggio di posta.
Gli allegati o sono MIME o sono "vecchia maniera".
MIME è stato esteso in S/MIME e PGP/MIME per supportare anche allegati
di tipo "firma digitale di altri allegati".
| 7) Visto che i newsgroup "it.comp.sicurezza.crittografia" e
| "it.comp.sicurezza.pgp" trattano argomenti simili e sono
| frequentati da più o meno le stesse persone, a chi deve
| inoltrare questioni riguardanti GnuPG?
In origine, quando ho proposto il voto per questo NG, il GCN ha detto
che essendo gruppi così simili ed essendo questo un sovrainsieme
dell'altro, il grupop ics.pgp sarebe "morto".
Invece in seguito hanno deciso di mantenerlo.
Il 'problema' è che oggi come oggi la crittografia (anche in senso
lato!) è "in topic" su entrambi i gruppi.
Personalmente tendo a usare ics.pgp esclusivamente per parlare di PGP o
GPG e questo per "tutto il resto".
| Grazie (anche per la pazienza).
E di che?
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAWGCYACgkQaJiCLMjyUvvofwCgoIY//leHy780yYc4yjwHxw75
WiMAoJHpvOGYx4pgwUNJhlvtp9TphevU
=3T2X
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Solo per capire ...
Se quando controllo la firma di un tuo messaggio su questo NG,
GPG mi dice che è tutto ok, vuol dire che ho la tua giusta
chiave (e non una taroccata)?
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (MingW32) - GPGshell v3.02
iD8DBQFAGp9RYqDHRhZj29sRAk/AAJ9ltlm/Zc4QDcSkcFYY43b1SATspACgsGI8
E5cDUGZeb2wWJp5KqnRZlwA=
=y2oi
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Lurkos wrote:
| Solo per capire ...
| Se quando controllo la firma di un tuo messaggio su questo NG,
| GPG mi dice che è tutto ok, vuol dire che ho la tua giusta
| chiave (e non una taroccata)?
Se per "tutto ok" intendi che ti dice "Trusted signature" e non
"UNSTRUSTED Good signature", allora sì, certo.
Ma come può essere "trusted" se non sei a priori SICURO che la chiave
sia quella giusta?
La chiave serve per verificare il messaggio, non il contrario...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAf8Q4ACgkQaJiCLMjyUvtkFACcCdaZaK0MDTgMlH2yig8tQ5gp
BR8AnRqz4KeT9vb9RU9kLYwA6jo6N4mD
=kT8K
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
news:bvos3c$uj3o2$1...@ID-187835.news.uni-berlin.de...


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Lurkos wrote:
| Ma allora è praticamente impossibile essere sicuri al 100% che una chiave
| non sia taroccata ...
No, basta scambiarsi le chiavi di persona (o anche verificarne il
fingerprint per telefono, se ci si conosce bene e si può verificare così
la mutua identità) o avere qualche amico (fidato) comune che possa fare
da tramite... (una chiave firmata da una chiave valida diventa valida a
sua volta)
Il "Web of Trust" è tutto qua, senza usare il WoT GPG diventa un tool
molto meno sensato di quello che in realtà è.
Ovvero: una chiave 1024bit S/MIME certificata da una CA centrale è
sempre più sicura di una chiave PGP "sicura quanto ti pare" nno firmata
da nessuno di fidato... per quanto poco ci si possa fidare della CA
centrale stessa!
Il metodo di PGP dà più flessibilità  e indipendenza a prezzo di
maggiori "oneri" di verifica della validità.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAiOfEACgkQaJiCLMjyUvtrXwCfeFiPisa60MpFjTf58PqgUBv2
gVIAnjC5YXT/uLBw1d3geeLKmuP3moIr
=NaD5
-----END PGP SIGNATURE-----