Newsgroup: it.comp.sicurezza.pgp
Titolo: Lioce e PGP

E' di pochi giorni fa la notizia che la Polizia ha avuto accesso ai dati
cifrati della Lioce. Chi ne sa di piu'?

 cifrati della Lioce. Chi ne sa di piu'?
Pochi giorni? 0_o
Piuttosto "parecchi mesi"...
Il mio giudizio a riguardo, comunque, è che i dati passati dai
giornalisti sono TROPPO parziali, imprecisi e spesso discordanti, per
poter "valere qualcosa" (come d'altro canto succede quasi ogni volta che
l'argomento di discussione c'entra con l'informatica in senso lato).
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkCjNo8ACgkQaJiCLMjyUvtZCgCdF9iqTTWR3hZcEGapLWCl/UIW
RS0AoNUFx4CFvwpRlCuzryr3HNl9iNV0
=736E
-----END PGP SIGNATURE-----


A parte la probabile imprecisione della notizia, secondo me la cosa
va interpretata diversamente.
Ammesso e non concesso che le autorità abbiano avuto accesso e siano
veramente riuscite a mettere in chiaro dei dati cifrati con PGP,
occorre vedere COME sono riusciti a farlo, se attraverso strumenti di
crittoanalisi (improbabile) oppure semplicemente attraverso la
conoscenza della chiave privata + un attacco brute force della
passphrase.
Avranno certamente sequestrato dei computer, e in se in questi ci
sono dati crittografati in PGP è molto probabile che la chiave
privata risieda nell'hd di questi computer.
Ripeto che se si è in possesso della chiave privata basta fare un
"brute force attack" della passphrase per decriptare ogni cosa.
Il livello di complessità in questo caso è simile a quello di un file
zip con la password (quello di word è molto più semplice da
decriptare), per cui l'unica complessità e data dalla imprecisata
lunghezza della passphrase. Tutto qui.
Saluti!
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0.3 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBQKNEcGRowbLrc050EQJfxwCfU9v8IxH6HY3S+NUi5IUGe9NTW90AoNw9
nFeuil47ntLII2ay2hrPihab
=NOM4
-----END PGP SIGNATURE-----

 per cui l'unica complessità e data dalla imprecisata lunghezza della
passphrase. Tutto qui.
La vedo anche io così, per di più stiamo facendo speculazioni su cose
praticamente "ignote"... gli articoli dicevano poco e quel poco non
necessariamente affidabile ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkCjSS8ACgkQaJiCLMjyUvuJ+ACg52zTdYAgbHYwRuEaWGMPVAvT
tikAoIZOct4OJXM10b81B76bv1i8OxtR
=ZqP+
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
news:2ggvpkF...@uni-berlin.de...



Ciao uso PGP da due giorni.
Perchè il mio software (si chiama PGPfreeware 6.0.2i) non mi dà la
verifica delle e-mail tua e di Pippo, mentre per gli altri ho provato
e funziona?
GM

 provato e funziona?
Perché probabilmente nella tua lista di chiavi pubbliche non hai
ancora scaricato le nostre chiavi pubbliche.
Per scaricare queste chiavi puoi fare una ricerca direttamente sul
keyserver principale di PGP,  idap://
keyserver.pgp.com
, altrimenti
puoi scaricare la mia direttamente da qui 
http://tinyurl.com/2jhta
(fai un copia e incolla della chiave).
PGP Key Fingerprint:
5453 E20B 95C1 C723 8F4B  B615 6468 C1B2 EB73 4E74
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0.3 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBQKOD8WRowbLrc050EQLBtwCfZ4k1gEPqmkbpvKXEF7s0Zp0wwusAnisE
jl/aAGVmQrYovbjhDzpmQK7t
=7d1G
-----END PGP SIGNATURE-----


GM

 significare?
Ogni chiave pubblica importata nella propria keylist per ragioni di
sicurezza viene inizialmente riconosciuta come "non valida", e quindi
è del tutto normale che il mio messaggio da te verificato ti appaia
come "Good signature from invalid key" (firma digitale corretta
proveniente da una chiave non valida).
Il fatto è che non essendoci un autorità di certificazione il
programma PGP non può certificare per tuo conto se la chiave pubblica
appartenga effettivamente a Pippo. La mia chiave resterà nella tua
keylist come "non valida" fino a quando non sarai tu stesso a
decidere di riconoscerla come valida, utilizzando lo strumento della
"controfirma" (è il comando Sign).
Lo strumento della "controfirma" è molto importante perché crea un
sistema di certificazione a catena tra gli utenti di PGP.
Ti faccio un esempio: mettiamo il caso che ci siano tre utilizzatori
di PGP: Tizio Caio e Sempronio. Tizio conosce di persona Sempronio e
controfirma la sua chiave pubblica, Sempronio a sua volta conosce
Caio e controfirma la sua chiave. Tizio e Caio non si conoscono
affatto, ma attraverso il keyserver Tizio vedrà riconosciuta come
valida la chiave di Caio e così viceversa.
E' opportuno precisare che le regole di sicurezza di PGP invitano
tutti gli utenti a controfirmare e a riconoscere come valide
*soltano* le chiavi ottenute da persone in maniera personale e
attraverso un canale sicuro.
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0.3 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBQKPE22RowbLrc050EQLR3QCfQiUiCVZmA+77h8qLxqKk5kPEcskAoNfy
mw/Z5Ui8FZCyqZAghfsnpzgG
=mQDx
-----END PGP SIGNATURE-----

 gli stessi erano praticamente una sfilza di *.pgp
Mahhh.
Questo vuol dire che se stampo la dir dei miei keyring allora sto
craccando PGP? Fico.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkCkDlAACgkQaJiCLMjyUvvFFgCg6kYSsnlngqgj781YuyPnyum+
rHYAoMt5U3HKgO0awU4W74wiA0DbmnYe
=4nfl
-----END PGP SIGNATURE-----

 tutto bene se fosse un palmare, un portatile, un frullatore o cosa)
era uno Psion (quindi OS Symbian)
puo' anche darsi che abbia usato qualche sistema di crittografia
presente nel word processor integrato nello psion.
Se non erro si sono rivolti a FBI (o chi per essa) per decodificare
i dati (probabilmente perche' lo Psion e' poco conosciuto da noi,
a maggior ragione dalle forze dell'ordine...)

 ha scritto nel messaggio
news:2gihn0F...@uni-berlin.de...


 a maggior ragione dalle forze dell'ordine...)
Considera che qui in Italia nel campo della crittografia siamo
rimasti ai tempi del 1915 nell'era del generale Luigi Sacco!
Sicuramente si saranno rivolti all'FBI, che prende tutto il know-how
direttamente della NSA che rappresenta oggi il massimo ente della
crittografia esistente sulla faccia della terra.
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0.3 - not licensed for commercial use: 
www.pgp.com
iQA/AwUBQKSCNmRowbLrc050EQLE1gCdFHgLY++t1X70TX/I1Rfilq7NMTgAn1VB
Ae8QDefiG4cNNCpR0dADbLZx
=rkSb
-----END PGP SIGNATURE-----

 asimmetrica?
No, semplicemente rispondevo a Lapo Luchini che diceva
"ma anche lě non si č capito del tutto bene se fosse un palmare,
un portatile, un frullatore o cosa" spiegando di che tipo
di dispositivo si trattasse :)
Sono anchio dell'avviso che probabilmente PGP non c'entra una
mazza...

 indirizzi predefiniti e gli altri non si possono aggiungere.
ldap://
keyserver.pgp.com
 non idap://
keyserver.pgp.com
 ("l" non "i")
(immagino che sia stato un errore di battutira, ma uno alle prime armi
magari non lo nota)
-- 
Lurkos
OpenPGP-Key-ID: 0x135E4D8D

 
Io sapevo , non ricordo + dove l'ho letto che la Lioce avrebbe usato 
come password per cifrare con PGP , la stessa che usava per il suo 
account di posta.  Le forze dell'ordine una volta a conoscenza della 
pass dell'account di posta (chiesta dalle Autorità al provider, che ne è 
a conoscenza), avrebbe solo provato ad aprire i documenti cifrati con la 
stessa password.
Se le cose sono andate veramente così, allora non c'entra niente Pgp e 
il discorso è chiuso.
La pass mi pare fosse "aristide".
Ciao

 e il discorso č chiuso.
Se le cose stessero realmente cosě, viene ribadito il concetto che
l'anello piů debole della catena č, quasi sempre, la parola scelta
dall'utente...
Ciao,
un TJL73 e la scelta di una buona pass...
-- 
"La risposta e` sempre all'interno del problema, non al di fuori."
                                                     -- Marshall McLuhan

 stessa password.
boh, il provider non dovrebbe essere a conoscenza della password in
plaintext, sarebbe illegale, e inoltre se e' la stessa password della
posta e' anche la stessa password usata per collegarsi in rete,
e quella la si recupera facilmente dal PC, senza andare dal provider.
Non ricordi proprio la fonte della notizia ?
-- 
.
ciao
GPG/PGP key available on keyservers
sig gorgiamus allus subictatus nunc

 Non ricordi proprio la fonte della notizia ?
Quel che ricordo io era "ricavabile" dalla lettura degli articoli su
quotidiani popolari quindi a rischio di cazzata a più non posso.

 quotidiani popolari quindi a rischio di cazzata a più non posso.
Il problema è che non solo tu sei costretto a queste "fonti": il rischio
di un sisetma informativo dove chi scrive gli articoli troppo spesso non
ha la minima competenza di quello di cui parla...
(c'è da dire che suppongo che anche il comunicato stampa della polizia
da cui poi i giornalisti hanno tratto l'articolo non avrà proprio avuto
come target dei "tecnici", suppongo...)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkFbMJgACgkQaJiCLMjyUvturgCgiXywkqT3kR8AEILfgp7gLf9s
860AoKyRGV/QhzruJ1G/QdpKIqFyi4iT
=NO5U
-----END PGP SIGNATURE-----