Newsgroup: it.comp.sicurezza.crittografia
Titolo: Algoritmo crittografico

Salve.
Dunque, pensavo ad un algoritmo crittografico decente e mi č
venuto in mente questo: usare delle immagini al posto di una password.
Il numero di click ed il numero di immagini varia la password generata che
non
viene salvata in alcun punto del disco fisico, ma viene utilizzata solo in
memoria.
Posto che l'hash finale da utilizzare viene dai dati delle immagini, e
considerando che
comunque la sicurezza al 100% non esiste, secondo voi č un buon metodo?
Ciao,
Andrea

 comunque la sicurezza al 100% non esiste, secondo voi è un buon metodo?
...e quindi non ti so rispondere.
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA9N0wACgkQaJiCLMjyUvtk5gCgzc+Y/VEm26GhbUPVx+V9L+Os
lycAn385cgGZnICwg+S/xw64gNs0Hin5
=L8zk
-----END PGP SIGNATURE-----

 Lapo
Andrea

 password.
Se hai un set di (diciamo 10) immagini che è fisso e costante, allora
esiste una relazione biunivoca tra questo set di immagini e il set dei
caratteri da '0' a '9'.
Dato che i due set sono in relazione biunivoca sono sono equi... equi
qualche cosa che non ricordo (ricordare i concetti mi viene facile, i
nomi delle cose no =P) ma comunque il concetto è che bene o male puoi
usare uno o l'altro indipendentemente.
Quindi ammesso che il tuo set iniziale sia:
cane, gatto, giraffa, gnu, zebra,
oziorinco, squalo, rinoceronte, topo, drago
E che quindi la relazione possa, ad esempio, essere:
0=cane, 1=gatto, 2=giraffa, 3=gnu, 4=zebra,
5=oziorinco, 6=squalo, 7=rinoceronte, 8=topo, 9=drago
Beh, in questo caso la password "gatto, rinoceronte, topo" selezionata
come dici, per quanto possa occupare tanti byte, non conterrà mai più
entropia della password "178", una banale password di 3 caratteri (che,
dato l'afabeto ristretto, può contenere come suo limite 9.97 bit di
entropia).
Alla fine l'entropia dipende esclusivamente dalla cardinalità
dell'insieme da cui la password viene scelta... non conta niente se gli
elementi di quell'insieme sono "numeri interi" o "film da 2 ore", se
l'insieme ha cardinalità 10, avrai sempre (al massimo) 3.32 bit per ogni
singolo "carattere" della password.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA9rjkACgkQaJiCLMjyUvtW9ACg8ZiLireTcGr3ASwyR1izUcKQ
PVwAnA1d2RlavQVtu2G5tTTgHI0BAYST
=rtDy
-----END PGP SIGNATURE-----

 disco.
E' una schifezza.
Se l'attaccante e' in grado di accedere alla sequenza delle immagini,
deve solo tentare un n!/(m-n)! sequenze di immagini, in cui n = numero
di immagini, m = lunghezza della sequenza.
La sequenza di j bit che prendi all'inizio dell'immagine non complicano
affatto la scelta, e' come dire che invece di fare un solo hash, ne fai
due.
La grossissima debolezza di questo metodo e' che l'utente riuscira'
a ricordare una sequenza di 5-6 immagini su, metti, 10-15. In pratica,
corrisponde ad una password di 4-5 lettere. Debolissima.
L'apparente forza nel metodo e' nel fatto che l'attaccante potrebbe non
conoscere il metodo di immissione della password, ma il tutto cadrebbe
dopo aver analizzato i programmi installati.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 corrisponde ad una password di 4-5 lettere. Debolissima.
Tu dici che l'utente riuscirà a ricordare una sequenza di 5-6 immagini su
10.
Ne sei sicuro? Hai dati in merito? Io penso che con un set di immagini ben
assortito,
l'utente possa tranquillamente arrivare a 10 immagini su 50. Senza troppi
problemi.
D'altro canto, anche solo la patente altrimenti come si prende?
Ma non sono un crittografo.
Magari sbaglio.
Ciao,
Andrea

 Ma non sono un crittografo.
Questa non e' crittografia, e' sicurezza unita a psicologia e
semiologia.

Non contesto la tua esperienza personale, però ho trovato questo:
http://zdnet.com.com/2100-11-525841.html?legacy=zdnn
Ciao,
Andrea

 
http://zdnet.com.com/2100-11-525841.html?legacy=zdnn
Come tutti gli articoli di zdnet ed analoghi magazine, mancano di dati
importanti, quali la lunghezza delle password e una valutazione della
sicurezza di tale sistema.
Ripeto, posso perfettamente ricordare la password che postai prima,
(nmdcdnvmrpusocldves) ma non la sequenza delle immagini (e con il
debito esercizio puo' farcela chiunque, basta sapere il trucco).

 Ma non sono un crittografo.
Qua la crittografia in realtà c'entra ben poco, mi pare che l'argomento
della discussione sia "come far ricordare a mente melgio dei 'bit raw'
alla mente umana", o sbaglio?
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA+g+sACgkQaJiCLMjyUvsN5wCgnTyeETmne/kYQZyR6GjIqcQF
yEUAnRGKKnOI6o6NocxvrJGwUG89bToG
=W7gl
-----END PGP SIGNATURE-----

 Supponi di avere 50 immagini ed una sequenza di 10 in queste 50:
Piccola aggiunta: non è molto utile prendere un hash di una riga di
qualcosa di qualcosa di qualcosa dell'immagine... è molto più semplice
numerare le immagini da 1 a 50 e stop... (e rappresentare ognuna con un
numero a 6 bit)
Tanto le immagini non sono segrete, perché le vedi all'atto di inserire
la password, quindi non hanno un segreto "in sé"...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkA+hZEACgkQaJiCLMjyUvv07wCfRXk/y1PgO/MKcIXDGGDaFawK
CX4AoJw9d311jTHEt0uy4eg96Iz8BflY
=b361
-----END PGP SIGNATURE-----

  [X.509 available]  ,''`.
Linux Reg. User #263663/NEW Machine: #216144 (Debian Sarge/SID) : :' :
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4 `. `'
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
   `-

 Che gran Commedia... ;)
eh, gia' ;)
Oh, era un esempio.