Newsgroup: it.comp.sicurezza.pgp
Titolo: Enigmakey Interessante?

Qualcuno sa di cosa si tratta, sembra interessante:
http://cgi.ebay.it/ws/eBayISAPI.dll?ViewItem&item=3066444239&category=11175

  [X.509 available]  ,''`.
Linux Reg. User #263663/NEW Machine: #216144 (Debian Sarge/SID) : :' :
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4 `. `'
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
   `-

 ha scritto nel messaggio
news:pan.2003.12.19....@rhinoceros.afraid.org...


Il Fri, 19 Dec 2003 17:00:38 +0100, Alessandro Dell'Aquila ha scritto:
[...]
Capisco. Ora e` perfettamente chiara la situazione e ti becchi
una segnalazione all'abuse...



cito dal sito:
| L' algoritmo cifrante proprietario di Dellatronics garantisce una
| protezione contro i tentativi di decrittazione pari ad un sistema a
| oltre 1.000.000 di bit di codice. Inoltre possiede un sistema di
| cambio codice che consente di crittografare ogni volta con parte del
| codice segreto differente in maniera completamente automatica e
| trasparente all'utente.
1. "proprietario"? qualunque algoritmo crittografico "proprietario" e
2"innovativo quasi sicuramente è olio di serpente
2. "un milione di bit di codice"? e cosa dovrebbe significare questo?
fondamentalmente, nulla, grazie a quel "di codice": il codice non ha mai
*bisogno* di essere segreto, quello è un attributo che si tiene per una
chiave
3. "cambio del codice", per lo stesso motivo del punto 2 non ha mai
molto senso cambiare il codice (l'algoritmo), al limite la chiave
La mia personale traduzione di quel testo "tecnichese" in un vero testo
tecnico è la seguente:
(traduzione che lascia molti dubbi, in quanto il testo originario a
malapena ha un significato)
Abbiamo pensato di utilizzare l'OTP e siccome non potevamo permetterci
di usare una chiave lunga quanto il testo e completamenet casuale (BIP!)
abbiamo inventato un innovativo prng con un ciclo di ben un milione di
bit (BIP!) inoltre, pensate un po', quando crittate non usate sempre la
stessa chiave ma iniziate in un punto diverso del ciclo del prng, magari
immettendo il valore di inizio direttamente nel testo cifrato.
Risultato: il solito caro vecchio "quasi OTP"...
BTW: la mia ovviamente non può essere una certezza, ma chi ha scritto
quel sito quantomeno non sa scrivere "di crittografia", quindi è molto
da dubitare che sappia produrne di valida.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/jOQkACgkQaJiCLMjyUvvh8QCgq1osmP4AZ/hrktKjJxpJkydH
kbAAoKCxetHnGx6bYjiJyzT96wYbsvlV
=+Qns
-----END PGP SIGNATURE-----

 valida.
Oh, ma e` molto semplice sapere  chi ha scritto quel sito...
Basta un whois...
quaqo@rhinoceros:~$ whois 
enigmakey.com
[...]
Trovato un riferimento a 
whois.opensrs.net
.
Registrant:
 Alessandro DellAquila
[...]
E... Oh... L'abuse m'ha risposto,  ogni tanto un servizio che
funziona... Hanno ``riscontrato pertinente la segnalazione'',
e pare contatteranno il proprietario del  dominio  per un av-
vertimento...


 ha scritto nel messaggio
news:pan.2003.12.19....@rhinoceros.afraid.org...


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Alessandro Dell'Aquila wrote:
| Purtroppo sono venuto a conoscenza solo ora (avvertito dall'abuse) delle
| mail inoltrate nel pomeriggio NON da me, ma purtroppo sfruttando una mia
| casella di posta (spedita oltretutto con tiscali e non con il mio
provider),
| forse con l'intento proprio di generare abuse e farmi chiudere il sito.
Cose che càpitano... e sarà difficile "fermarle" o quantomeno
controllare la loro validità o meno fino a quando non sarà "in uso
comune comune" mandare le proprie mail firmate crittograficamente.
| Per quanto riguarda le critiche sul prodotto (che sono ben accette) voglio
| ribadire che il termine "Codice" è appropriato, l'algoritmo
implementato in
| FPGA deriva da un nuovo modo di fare crypto ( "chiave" non è appropriato),
| già utilizzato in ambito più
| professionale della EnigmaKey (destinata al consumer),e che è in fase di
| brevetto.
Scusami l'aspra critica che ho fatto nel messaggio percedente, ma devo
ancora vedere un algoritmo crittografico "innovativo" davvero sicuro che
non sia uscito dalle mani dei "soliti 10-20 crittografi", da qui lo
scetticismo verso ogni prodotto che siauto-proclami "innovativo" senza
però dire nello specifico cosa fa; questo però non significa che la cosa
non mi interessi o (eventualmente) affascini, spero che dopo il brevetto
(qualche anno? sigh) se ne potrà parlare in modo più esplicito..?
A proposito di brevetti, mi viene in mente l'ultimo capitolo di quello
splendido libro che è "Pratical Cryptography" quando dice "quale è la
cosa milgiore da fare con i brevetti? NON LEGGERLI, perché così avrete
la scusa dell'ignoranza e i danni da pagare saranno molto minori;
inoltreleggerli è comunque impossibile senza assoldare una schiera di
avvocati esperti in materia".
A questo riguardo spero che il vostro brevetto non segua questa linea
del testo più possibile ambiguo e oscuro in modo da estendere in modo
poco chiaro la validità e le applicaizoni coperte dal brevetto.
D'altra parte IANAL e non ho neanche la più pallida idea di quanto i
brevetti italiani assomiglino ai brevetti americani (di cui, suppongo,
parlano Schneier&Ferguson) o meno.
| Non voglio però fare ulteriore pubblicità scorretta ed invito chi fosse
| interessato ad un confronto diretto sulla mia Email.
Parlare dei risvolti tecnici di un prodotto crittografico non è OT.. o
meglio, lo è forse su it.comp.sicurezza.pgp ma non lo è su
it.comp.sicurezza.crittografia (il newsgroup più generale sulla
crittografia) --> x/post e f/up, se si vuole proseguire il discorso...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/jpzAACgkQaJiCLMjyUvv3YwCfUlVUosKnX5tJU1M2StTxg2gK
A2EAoIn+sMnMtE9pezHnlPHLT/0Bm6gP
=qnG/
-----END PGP SIGNATURE-----

 Purtroppo sono venuto a conoscenza solo ora (avvertito dall'abuse) delle
(snip)
E meno male che funziona... ! (Almeno uno... Ed e` stato pure
veloce...!).
Saluti,
Federico
PS: Quota !!!


 E come, di grazia, per "miracolo"?
No... Grazie agli orsetti polari della Coca-Cola...


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
TJL73 wrote:
| un TJL73 che, *nulla* può funzionare senza software (o "firmware")...
Non è strettamente vero... gli FPGA si "microprogrammano" ma non hanno
quello che normalmente si chiama "software".
O meglio in un FPGA è difficile fare differenza tra hardware e software...
Il fatto che non ci sia un termine appropriato comunque non significa
che l'algoritmo crittografico sottostante abbia comunque bisogno di una
chiave.
Peraltro gli FPGA non hanno SRAM e vanno "riprogrammati" ad ogni boot,
quindi supopngo che sulla chiavetta ci sia come minimo una batteria
tampone o un secondo chip SRAM (o flash) per riprogramamre il primo?
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/mI4wACgkQaJiCLMjyUvvCTgCgwB0LD9PtayQgiHSkmccbOYAa
egwAn3yuCV25eMm9BNXpMhSvobpp1RW/
=NQx1
-----END PGP SIGNATURE-----

 quello che normalmente si chiama "software".
Beh, che lo si chiami software, firmware, FPGAware o
chissàconqualealtronome, non ci vedo molta differenza...
Almeno un'istruzione di deve pur essere, no?  ;oP
Ciao,
un TJL73 e... un nome, è solo un nome [WS]...
-- 
"Essere innocenti e` pericoloso perche' non si hanno alibi."
                                                    -- Boris Makaresko

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
TJL73 wrote:
| Almeno un'istruzione di deve pur essere, no?  ;oP
No, in un FPGA non ci sono "istruzioni", solo "tabelle di verità" e
"tabelle di instradamento".
Comunque certo, (come ho detto prima) il fatto che si programmi in un
modo o nell'altro non cambia le cose: è comunque un modo (qualsiasi) di
implementare un aloritmo crittografico specifico, che come tutti gli
algoritmi avrà bisogno di essere "sicuro" e "verificato" prima di essere
"affidabile".
Leggendo sul sito (alla voce "chiavi per gruppi") mi viene da pensare
che sia un algoritmo a chiave privata usata direttamente (altrimenti
sarebbe possibile crittare per più identità e non solo per quella di cui
si ha la chiave), cosa in sé non molto positiva (perfino con AES è
sconsigliato usare ripetutamente la stessa chiave).
Ma faremo commenti più precisi quando -e se- sapremo qualcosa di più
preciso, no?
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj/mvW4ACgkQaJiCLMjyUvtK1ACguKwzz3DPqcJYlsWSHXwz8wWZ
mAwAn1RH9GISwSlDSR8LjjbZXglIKXl7
=HaQX
-----END PGP SIGNATURE-----

 Peraltro gli FPGA non hanno SRAM e vanno "riprogrammati" ad ogni boot,
(snip)
Veramente hanno SRAM... Proprio per questo si dovrebbero ripro-
grammare al boot... :)
Si  possono  pero` programmare facilmente in modo non volatile,
distruggendo  (Fuse) o creando (Anti-Fuse) dei collegamenti tra
i blocchi.
Un'altra tecnica e` quella di costruire FPGA con EPROM/EEPROM o
memorie FLASH non volatili integrate...


 preciso, no?
Comincio a sospettare [1] che il signor Dell'Aquila non sia
molto ansioso di confrontarsi... :/
O forse non legge nemmeno piu`...
Saluti,
Federico
[1] Di circostanza...


 tampone o un secondo chip SRAM (o flash) per riprogramamre il primo?
Non necessariamente, la fpga potrebbe essere riprogrammata da eeprom.
Pero' non ne vedo la necessita', sinceramente.
Quel che non capisco e' il fatto che non abbia bisogno di software
esterno per la gestione, da qualche parte una passphrase dovrai pure
inserirla, no?
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 da qualche parte una passphrase dovrai pure inserirla, no?
No... Da qualche parte diceva che non usa  pw...  Tu ti porti
dietro la chiave e dai in pasto i file da crittare/decrittare
che vengono restituiti in chiaro/crittati.
Sta tutto dentro... Ogni chiave e` programmata con una specie
di pw. Tutto questo l'ho letto sul sito.
Vendono pure chiavi duplicate, chiamate `di gruppo',tutte con
la stessa pw...


 la stessa pw...
Urgh... mi sfugge l'utilita'. Se la chiave [crittografica] sta dentro la
chiavetta [hardware], dove sta l'utilita' della crittografia? se rubi la
chiavetta [hardware] la inserisci nella USB e ottieni gia' tutti i file
decrittati? ohibo'. Vado a vedermi il sito (tanto non ho intenzione di
acquistarla, che me ne faccio? linux+cryptoapi e ho tutto quel che mi
serve).


 Urgh... mi sfugge l'utilita'. Se la chiave [crittografica] sta dentro la
(snip)
Aggiungo che pare che non usi crittografia convenzionale... Ma
`innovative tecniche di Signal Processing' per cifrare.
In pratica non usa algoritmi simmetrici, asimmetrici...
