Newsgroup: it.comp.sicurezza.pgp
Titolo: Re: PGP9 per Windows e scadimento prestazioni sistema

 SDA (Self Decrypting Archive) senza tutto il resto?
Credo proprio di no.
Nel caso puoi usare soluzioni alternative, come GPG (anche se non credo 
esista SDA) o altri software specializzati nell' encripting dei file, oppure 
se non ti serve un crittaggio forte, Winrar con gli SFX archive+password.
-- 
BArrYZ
[_Sign?_] 

 se non ti serve un crittaggio forte, Winrar con gli SFX archive+password.
Se non erro GPGshell permette di produrre una sorta di SDA, ma nel campo
degli SDA secondo me AxCrypt regna sovrano...
(è vero, non strettamente "self" ma con un semplice file batch puoi
installarlo e deinstalalrlo in modo totalmente pulito; Google su
it.comp.sicurezza.crittografia può dare istruzioni dettagliate scritte
da altri e che ora non ricordo)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkMgTWcACgkQaJiCLMjyUvvx4QCgsCSq4PbhAQN2EBGv1NzeDzUX
Jf8AoKy9dMD9BnykU3as9suUq1RuguGK
=MKKk
-----END PGP SIGNATURE-----

 Credo proprio di no.
eppure ricordo che prima di installare questo PGP (9) avevo una versione 
precedente, se non erro la 7 (?) con la quale grazie a un "hack" impedivo 
che partissero tutti i servizi PGP ma continuavo ad avere nei context menu 
dei file in Explorer, il submenu "PGP >", con le voci "Encrypt", "Sign", 
"Encrypt&Sign" e "Create SDA". 
La stessa cosa potrei ottenere adesso, arrestando manualmente tutti i 
servizi di PGP ma ogni riavvio dovrei ripetere la procedura, mentre ricordo 
che l'avevo fatto una volta per tutte e poi basta (forse rimuovendo la voce 
di avvio da msconfig). Proverò a cercare quella vecchia versione di PGP. 
Grazie a tutti per gli interventi.

 -----END PGP SIGNATURE-----
scusa una domanda: che scopo ha "firmare digitalmente" un messaggio delle 
news? Forse per evitare che qualcun altro si possa sostituire a te, 
imitando gli headers di un post? O c'è qualche altro scopo che mi sfugge?

 imitando gli headers di un post?
Principalmente per questo. Forse ha meno senso farlo sistematicamente, nel 
senso che una volta che si sono mandati un po' di messaggi con la propria 
sign e che si abbia disseminato il proprio certificato anche su Google per i 
posteri, usare la sign puo' essere limitato solo nei casi in cui si sta 
mandando un messaggio importante o nei momenti in cui in un gruppo dilagano 
i morphing o i fake. Altrimenti, in generale, IMHO, e' solo spreco di banda.
Lo stesso GCN che regola questa gerarchia, usa la sign con PGP solo e 
soltanto quando deve fare degli annunci particolari su it.news.gruppi o 
it.news.annunci.
-- 
BArrYZ
[_Sign?_] 

 precedente, se non erro la 7 (?)
Io anche con la 9.0 ho bloccato il processo, usando proprio msconfig per non 
farlo ripartire al boot successivo. Quando dovevo encriptare o altro, lo 
facevo partire con un collegamento rapido.
Ora pero' uso WinPT, e devo dire che mi trovo molto meglio, anche se la 
suite e' affetta da non pochi piccoli bug. Spero vengano risolti perche' il 
programma e il progetto, imho, meritano molto.
-- 
BArrYZ
[_Sign?_] 

 programma e il progetto, imho, meritano molto.
Posso chiedere quali bug?
Mica il problema che ho segnalato io nel precedente thread?
-- 
Inviare MMS GRATIS per un mese ogni mese!
Scopri come su 
http://marcoelaura.splinder.com

 Posso chiedere quali bug?
A me personalmente ogni tanto quando gli dico di encodare/decrittare la 
finestra attiva a volte mi cancella tutto e basta. E poi a volte, raro e 
molto random, se mi da l'errore precedente, mi parte anche la mappatura 
della tastiera, e quindi se premo la virgola mi parte la parentesi con tutto 
rimappato a cavolo (ma solo i simboli). Ovviamente se chiudo e riapro 
ritorna tutto ok. Ho letto nella mailing list di sviluppo che anche altri 
hanno avuto questi problemi, quindi spero li risolvano presto.
-- 
BArrYZ
[_Sign?_]

 dei file SDA (Self Decrypting Archive) senza tutto il resto?
Ti darò una risposta semplice, ma efficace...
L'accoppiata GnuPG+GPGshell ti consente di creare dei SDA (che GPGshell
chiama "SFX") utilizzando un crittosistema OpenPGP compatibile
(crittografia ibrida).
Se, invece non hai necessità di rimanere su OpenPGP, puoi utilizzare
AxCrypt (crittografia simmetrica), che ti consente di creare degli
archivi autoestraenti direttamente da menu contestuale della shell.
Ciao,
un TJL73 che preferisce restare sullo standard OpenPGP...
-- 
"I problemi non possono essere risolti
 allo stesso livello di conoscenza di chi li ha creati."
                                                      -- Albert Einstein

 hanno avuto questi problemi, quindi spero li risolvano presto.
GPGshell non soffre di questi problemi e ha funzionalità in più...  O:-)
Ciao,
un TJL73 in vena di spam...
-- 
Se voleste regalarmi del cioccolato, mandatemelo fondente.
Il cioccolato al latte, e` la morte del cacao...

 i morphing o i fake. Altrimenti, in generale, IMHO, e' solo spreco di banda.
Non vedo come la firma di un messaggio possa in qualsivoglia modo
rendere più sicuri "tutti gli altri". Piuttosto che "firmare a volte"
capisco molto di più un argomentazione simile ma applicata a tutti i
messaggi.
E riguardo alla banda... beh, "baratto" più che volentieri 200byte di
"costosissima banda" (circa 1s di trasmissione su un modem 1200bps,
0,15ms su una ADSL) per far sapere al mio interlocutore che parla con me
e non con altri.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkMinM8ACgkQaJiCLMjyUvu31QCgs9KwDm/YdKG63zpJSNPYbjsW
CjoAoMitycvbg8Ka39Epp4CsLhd5mZ2I
=h9ZV
-----END PGP SIGNATURE-----

 imitando gli headers di un post? O c'è qualche altro scopo che mi sfugge?
Lo scopo è sempre quello: un messaggio news, come un messaggio mail, è
fondamentalmente anonimo, se non contiene una firma digitale.
Per lo stesso motivo per cui metto il mio nome nel campo "From" di un
messaggio, metto la firma nel corpo del messaggio.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkMimnoACgkQaJiCLMjyUvsTXACfYn8UFM/ryuZbvILlaDXdinuG
CDgAoM7yLWt1pV8ptJfTslJ993VY94VS
=FECg
-----END PGP SIGNATURE-----

 disponibili in rete.
Ne abbiamo parlato più volte su it.comp.sicurezza.crittografia
Qualcuno (mi pare Cristiano!) aveva mandato degli interessanti paper che
dimostavano che, praticamente, è fuffa.
Però ti prego di cercare il messaggio e leggere tu stesso, perché era
parecchio tempo fa e ho una pessima memoria...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkMinTcACgkQaJiCLMjyUvtdNQCdFkGn2TXibUwKQhJVNl5rXhM9
yGQAn0421yzZ+H9bhkVz+ZwW0UN+XS8K
=Wd3k
-----END PGP SIGNATURE-----

 parecchio tempo fa e ho una pessima memoria...
trovato:
 
http://tinyurl.com/8ul47
e:
 
http://tinyurl.com/ay3ox
Thanxx

 "costosissima banda"
Non e' il singolo caso che conta, ma lo standard. Le RFC non suggeriscono 
esplicitamente di mettere sempre la sign digitale e, per giunta, 
suggeriscono di usare non piu' di 10 righe di sign, perche' se tutti ci 
mettessimo a scrivere l'hash del messaggio con tutta la firma (e in alcuni 
casi la cosa puo' essere molto lunga), il consumo di banda totale non 
sarebbe di certo *solo* 200byte; e per che cosa poi?
L'utilita' reale di certificare in qualche modo l'autore di un messaggio su 
Usenet, e' molto relativa, nella maggior parte dei casi. Citavo, infatti, i 
casi reali in cui invece puo' avere un senso (l'uso di messaggi con sign da 
parte dei gestori della gerarchia o per postare i manifesti, statistiche, 
votazioni, etc etc), e una soluzione parziale per risolvere i dubbi 
sull'identita' di qualcuno, puo' essere il diffondere la propria chiave 
pubblica di tanto in tanto, tanto per *fissarla* anche su Google, e usarla 
alla reale occorrenza (uno scambio di persona, per esempio, o morphing).
Per questo ritengo, ma e' una mia opinione, che la sign crittografata su 
Usenet vada usato solo in questi casi di verifica o cmq in casi molto 
particolari, non la ritengo utile cioe' se usata da tutti indistintamente, 
anzi lo vedo come uno spreco un po' inutile, e lo spreco e' tale sia che sia 
grande, sia che sia piccolo. Questo su Usenet, IMHO. Per le mail, invece, e' 
un'altra cosa, e li', secondo me, ha gia' molto piu' senso usare la sign 
regolarmente.
-- 
BArrYZ
[_Sign?_] 

 messaggio, metto la firma nel corpo del messaggio.
La differenza è che il campo "From:" ci va, come da RFC, mentre per
quanto riguarda la firma digitale inline, oltre a non essere necessaria
da RFC (che, comunque, non è la bibbia), crea anche qualche
inconveniente: la netiquette (o, forse, addirittura l'RFC stessa, ma non
ne sono sicuro ed ora non posso controllare) impone l'uso di un
delimitatore di firma composto da "-- " (trattino-trattino-spazio), cosa
che nei tuoi post non avviene, a causa della modifica da parte di
OpenPGP; e di un massimo di quattro 4 linee lunghe 72 caratteri, per
quanto riguarda la tag-line (o firma personalizzata), cosa che anch'essa
non accade, in quanto, oltre alle tue 3 linee di tag-line, ne vengono
aggiunte altre 8 da parte di OpenPGP (da sole, il doppio delle
consentite).
Con questo, non voglio far polemica, né chiederti di rinunciare alla
firma digitale dei post, ma solo far notare che non esiste un criterio
applicabile su Usenet per quanto riguarda la firma digitale degli
articoli...
Chi firma i propri articoli con una firma PGP-inline contravviene alla
netiquette e forse anche alla RFC (cosa IMHO pur accettabile, se fatto
saltuariamente, ma fastidioso, quando sistematico).
Anche la firma in PGP-MIME (che potrebbe ipoteticamente ovviare al
problema) non è attuabile, dato che creerebbe un articolo composto da
un paio di allegati che alcuni news server potrebbero rifiutare sui
newsgroup puramente testuali.
Tutto ciò, solo per esprimere il mio parere in merito. Non voglio che
questa venga presa né come una presa di posizione, né, tantomeno, come
un punto di riferimento.
Ciao,
un TJL73 che, su Usenet, firma solo quando necessario...
-- 
/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\
\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/
/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\
\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/

 un TJL73 che, su Usenet, firma solo quando necessario...
Pienamente d'accordo su tutto.
-- 
BArrYZ
[_Sign?_] 

 saltuariamente, ma fastidioso, quando sistematico).
Non sono d'accordo. Quelle regole sono nate per minimizzare la parte
"inutile e ridondante" di un messaggio (ovvero la firma nel senso di
footer), ma una firma digitale apporta informazione e non č inutile. Non
vedo come le regole per la "firma/footer" dovrebbero applicarsi alla
firma digitale, tranne il fatto incidentale che contengano entrambe la
parola "firma".
Poi, certo, puoi dire che a te quel tipo di informazione non interessa,
ma questo lo puoi applicare al corpo di un qualsiasi messaggio, e
normalmente la soluzione č non leggerlo.
Il fatto che enigmail non abbia un'opzione per lasciare la
"firma/footer" al di fuori (ovvero proprio in footer, come dovrebbe
essere), personalmente, lo reputo una sua mancanza, ma č tutt'altra
questione.
Il fatto poi che buona parte dei server NNTP ancora non conosca la
parola "MIME", poi, mi pare anche arcaico, ma personalmente nno posso
farci nulla...
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkMtrZQACgkQaJiCLMjyUvsqpQCgusiMijmRV3x66Gp5Pqwt8bh/
x4gAn3vZwRP6LU5PcYplc1DSo8Lxqrnk
=Lz6R
-----END PGP SIGNATURE-----

 footer), ma una firma digitale apporta informazione e non č inutile.
Appunto, ma si stava appunto sostenendo che la firma digitale *diventa* 
inutile ridondanza se e' usata *sistematicamente* e da tutti su Usenet. E 
penso questo anche in RL, bada bene. Non ha senso firmare ogni volta che uno 
usa un foglio e una penna per scrivere due righe, pensaci. Di solito, 
infatti, si firmano solo i documenti e/o gli atti ufficiali, non il 100% di 
quello che uno scrive. Su Usenet, la vedo analogamente: l'idea e' quella di 
aggiungere la sign digitale, IMHO, come un mezzo per evitare dubbi 
sull'autore, ma solo e soltanto quando cio' e' veramente necessario, non 
sempre (e i casi in cui cio' puo' esserlo, li ho gia' enumerati, IE vedi uso 
della firma da parte del GCN).
-- 
BArrYZ
[_Sign?_] 

 quello che uno scrive. Su Usenet, la vedo analogamente: [...]
Quoto e sottoscrivo.
Ciao,
un TJL73 che trova inessenziale, questo uso della firma digitale...
-- 
"Chi ha l'indispensabile sente una gran mancanza del superfluo."
                                                              -- Anonimo

 scrive. Su Usenet, la vedo analogamente: 
Concordo.
Aggiungo solo che chi vuole usarla sempre dovrebbe impostare l'opzione 
--not-dash-escaped per rendere cmq valido il delimitatore di firma.
-- 
Ciao, Lurkos

 --not-dash-escaped per rendere cmq valido il delimitatore di firma.
Questo la renderebbe non più verificabile con PGP, ma solo con GnuPG.
,-----[da "gpg.man"]
|
|  --not-dash-escaped
|       This  option  changes the behavior of cleartext signatures so
|       that they can be used for patch files. You  should  not  send
|       such  an  armored  file via email because all spaces and line
|       endings are hashed too.  You can not use this option for data
|       which  has  5  dashes at the beginning of a line, patch files
|       don't have this. A special  armor  header  line  tells  GnuPG
|       about this cleartext signature option.
`-----
Ciao,
un TJL73 che, comunque, appoggia la tua proposta...
-- 
"La risposta e` sempre all'interno del problema, non al di fuori."
                                                     -- Marshall McLuhan

 un TJL73 che, comunque, appoggia la tua proposta...
A me sembra una ragionevole via di mezzo per chi vuole firmare 
sempre ogni post.
-- 
Ciao, Lurkos