Newsgroup: it.comp.sicurezza.crittografia
Titolo: certificati SSL

Scrivo, come profano, per chiedere delucidazioni/pareri sulla
sicurezza dei certificati SSL e sul paragone di quest'ultimi con
il sistema di chiavi openpgp/gnupg.
Con gpg, la sicurezza della cifratura e' garantita dai robusti
algoritmi che conosciamo. E c'e' un meccanismo di firme e
controfirme delle chiavi (da parte di quanti piu' utenti
possibili), che serve per ottenere una ragionevole certezza
dell'identita' dei possessori (oltre a eventuali gpg-party).
I miei dubbi, per venire al dunque, riguardano il sistema di
certificati SSL, sia sul punto (1) della sicurezza del metodo di
cifratura che su quello (2) della sicurezza dell'identita'.
1A- Outlook Express dice: "Quando si riceve un messaggio di posta
elettronica crittografato, è improbabile che il messaggio sia
stato letto da altri." E gia' questo 'improbabile' non mi
suona molto bene, a meno che in originale non si volesse
intendere 'quasi impossibile', ma di solito le traduzioni
Microsoft sono impeccabili.
1B- Su questo howto <
http://www.ibiblio.org/pub/Linux/docs/HOWTO/
other-formats/html_single/SSL-Certificates-HOWTO.html>, si dice:
"You can send your message as encrypted signed messages or clear
text message. The encryption is not really an encryption as the
message contains everything needed to decrypt the message, but
it ensures that the recipient won't read the message if he does
not have an s/mime compliant reader." ?????????
1C- Ma la cifratura delle email con i certificati SSL e' simmetrica o
asimmetrica? Conosco il meccanismo SSL tra un browser e un
server web o tra un client e un server di posta (il metodo
asimmetrico viene usato solo per cifrare la chiave simmetrica random),
mentre non ho ancora capito come funziona la cifratura dei
messaggi email con i certificati, tra client di posta S/MIME.
Vorrei delucidazioni su questi punti, anche perche' il materiale che
si trova in giro non e' molto e non e' per niente facile.
2- Supponiamo che io voglia mettere in piedi una Certification
Authority (come servizio offerto alla comunita' virtuale di un sito)
e che distribuisca a chi lo richiede il suo bel certificato, da
usare per le comunicazioni via email e non so cos'altro.
Pero', il tutto e' gratuito e non vengono richiesti dati anagrafici.
Quindi viene meno il ruolo della CA come garante dell'identita'
dei possessori dei certificati, cosi' come lo e' tradizionalmente.
Qualcuno si registrera' con i suoi dati reali, qualcuno con
pseudonimi; quindi il sistema SSL assomigliera', in questo scenario,
al sistema 'fai-da-te' di gnupg.
Mi chiedevo se siano gia' diffusi usi di questo genere dei
certificati SSL. E quali vantaggi/svantaggi si presentino rispetto
alla soluzione gnupg.
Sarebbe interessante anche sapere se esiste un meccanismo di
firma dei certificati/chiavi pubbliche, come su gnupg, per
aumentarne l'affidabilita', nel contesto di una comunita' dove si
vuole fare a meno dei dati anagrafici.
Poi, sono ben accette anche riflessioni sull'uso di SSL e gpg in
ambiente windows e linux (gpg, su windows, per esempio, non e'
molto ben supportato, a parte la perfettibile soluzione offerta da
WinPT o prodotti commerciali tipo CryptoEX) e magari anche sulle
tendenze e sul futuro di questi metodi di cifratura.
Vanno bene anche rimandi a URL o altro  :-)
Grazie e ciao a tutti.
g

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
stupormundi wrote:
| 1A- Outlook Express dice: "Quando si riceve un messaggio di posta
| elettronica crittografato, è improbabile che il messaggio sia
| stato letto da altri." E gia' questo 'improbabile' non mi
| suona molto bene, a meno che in originale non si volesse
| intendere 'quasi impossibile', ma di solito le traduzioni
| Microsoft sono impeccabili.
Quando uno dei due corrispondenti non ha installato il"modulo
crittografia a 128 bit"  usa, quindi, crittografia a 40 bit, direi che
"improbabile" è già tutto grasso che cola.
Nel caso di 128 bit e più invece "quasi impossibile" è la parola giusta.
| 1B- Su questo howto <
http://www.ibiblio.org/pub/Linux/docs/HOWTO/
| other-formats/html_single/SSL-Certificates-HOWTO.html>, si dice:
| "You can send your message as encrypted signed messages or clear
| text message. The encryption is not really an encryption as the
| message contains everything needed to decrypt the message, but
| it ensures that the recipient won't read the message if he does
| not have an s/mime compliant reader." ?????????
Non capisco che cosa intenda, ma partiamo dal fatto che SSL non viene
usato per rendere sicuri "messaggi" ma solo "connessioni TCP"...
Che poi i "certificati" x.509 creati da OpenSSL siano compatibili con
S/MIME è tutt'altra questione... e S/MIME è sicuro, come formato.
Non ho capito bene quindi cosa intendesse dire quel "The encryption is
not really an encryption"...
Probabilmente si riferisce al fatto che è un certificato self-signed,
quello di cui parla ma mi permetto di correggere la frase: un
certificato self-signed può essere meno "fidato" (come autenticazione
del possessore) ma NON meno "sicuro" (come "forza" della crittografia
usata).
| 1C- Ma la cifratura delle email con i certificati SSL e' simmetrica o
| asimmetrica? Conosco il meccanismo SSL tra un browser e un
| server web o tra un client e un server di posta (il metodo
| asimmetrico viene usato solo per cifrare la chiave simmetrica random),
| mentre non ho ancora capito come funziona la cifratura dei
| messaggi email con i certificati, tra client di posta S/MIME.
|
| Vorrei delucidazioni su questi punti, anche perche' il materiale che
| si trova in giro non e' molto e non e' per niente facile.
Ibrida. Ma stai *comunque* parlando di S/MIME e non di SSL che, come
dici tu stesos, è nato per le comunicaizoni browser-server e poi esteso
a "connessioni TCP qaulsiasi".
| Mi chiedevo se siano gia' diffusi usi di questo genere dei
| certificati SSL. E quali vantaggi/svantaggi si presentino rispetto
| alla soluzione gnupg.
Che in tal caso la gente dovrebbe "fidarsi di te", invece in GPG il
controllo è individuale e personale.
| Grazie e ciao a tutti.
Ciao e a presto
Lapo
BTW: cc in mail data l'età del thread...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jICoACgkQaJiCLMjyUvsfwgCgwVsNZTS3o/tisLpVthi0atim
kkoAnRPFZw9WkOmFh0lpa3JidXHOHMqe
=as97
-----END PGP SIGNATURE-----