Newsgroup: it.comp.sicurezza.pgp
Titolo: Pgp 9.0 beta

http://www.pgp.com/news/dt9pb.html
Qualcuno l'ha già installata?
Ciao,
Stefano

 multiple language versions   
Buona parte delle "nuove" feature saranno probabilmente da considerarsi
"plug-in a pagamento", suppongo... (full disk encryption sarà un
estensione di PGPdisk, che dalla 7 in poi lo è sempre stato; il secure
IM magari no, ma scommetto di sì), quindi a meno che ci sia anche
"dell'altro" direi che gli utenti "personal" non è che abbiano tutta
questa utilità nell'upgrade..? Spero di essere smentito ;)
un Lapo che da quando usa Enigmail, non fa doppio click sull'icona di
PGP da lungo tempo...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEUEARECAAYFAkI1No4ACgkQaJiCLMjyUvs6JwCfZ/RnUi3pt/c4zeOY5zfxoa4A
4xUAl3VDtrdOJ81ZFQbFxRWtV+W7gM0=
=aDcy
-----END PGP SIGNATURE-----

 PGP da lungo tempo...
Ciao,
un TJL73 che fa la stessa cosa, ma con GPGshell&GPGrelay...
-- 
"Il gatto con i guanti non acchiappa i topi."
                                                    -- Benjamin Franklin


Ma dai...:-)) vorrei dire che non ci credo ma temo tu sia nel giusto...non č 
possibile essere cosě idi...ehm...distratti!
Altro che pivelli...
Stefano

 Altro che pivelli...
Per giunta (ma questo sarà per mia incapacità), non riesco nemmeno a
trovare le firme digitali di quei pacchetti... passi per i checksum
(vuoi la distrazione...), ma, da parte loro, dico, almeno le firme di
quei file... ecchediàmine!
Speriamo che Paul legga ancora questo ng e ci faccia sapere qualcosa...
Ciao,
un TJL73 che non si capacita di tanta superficialità...
-- 
"Ci sono  giorni  in cui  ho  l'irresistibile tentazione  di  prendere a
 randellate qualcuno, nella vana speranza che l'intelligenza sia solo un
 po' incrostata e qualche martellata  possa farla staccare e permetterle
 di fluttuare nella cavita` cranica dove dovrebbe essere."         -- DB

 un TJL73 che non si capacita di tanta superficialità...
un Lapo che "la data del rilascio la decidono i commerciali" e
probabilmente l'hanno fissata un mese prima di quanto consigliato da chi
il lavoro lo deve invece "fare"... niente di più facile che fare casini
di questo genere, probabilmente i checksum sono della penultima
versione, trovato un bug, corretto in fretta, scordati i checksum...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI38LYACgkQaJiCLMjyUvuCGgCgs1hY3vnKDZC6h3eMI3ik7cnG
0+IAoPmps7A67ccm3oAPpO/2sqC54GM0
=yqwI
-----END PGP SIGNATURE-----

 Speriamo che Paul legga ancora questo ng e ci faccia sapere qualcosa...
Sono ancora qui!  Sono lontano (geographicamente e amministrativamente) da
quelli che lavorono sul website, pero ...
  - dopo ho letto vostri post (sopra) ho notificato loro re: i problemi con
i valori SHA-1.  Addesso i valori sul website sono corretti (speriamo; se
ci sono ancora problem, vorrei sapere).
  - ho chiesto perche usano SHA-1 e non usano firme PGP.  Sono d'accordo
che sarebbe meglio usare firme PGP e promettono che col prossimo rilascio
ci saranno i .sig files.
Paul

 fretta, scordati i checksum...
Questo non giustifica il fatto che i checksum siano uguali per documenti
e installazioni di lingue differenti... inglese, tedesco, giapponese.
Documenti in lingue differenti, impongono hash differenti.
Ne convieni?  ;oP
Ciao,
un TJL73 che, comunque, non ha trovato le firme...
-- 
"Per ogni problema complesso,
 c'e` sempre una soluzione semplice. Ed e` sbagliata."
                                                  -- George Bernard Shaw

 Ne convieni?  ;oP
a meno di incredibile sfiga, si.
o fortuna, a seconda dei punti di vista.


DSA/ElG: A494BF2AD30DE68B5084BAF302585B0E 05FA68A5     o' \,=./ `o
RSA/RSA: A846962A2368FD172BD4BB597118B8E2 47C1741C        (o o)
==  - ·--- ·-·· --··· ···--  ====----====----====-----ooO--(_)--Ooo-----

 
http://www.pgp.com/news/dt9pb.html
 Qualcuno l'ha già installata?
E  quel  qualcuno,  in  caso,  può  confermare  se  quanto  predetto
mesi  fa  si è  già  avverato?  (ovvero:  c'è  già il  supporto
per
SHA-256/512? OpenPGP ancora non li  supporta ufficialmente ma se già
li supportassero PGP e GPG non sarebbe certo male, IMHO...)
http://www.pgp.com/library/ctocorner/hashes.html
  Lapo
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)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=Iiw6
-----END PGP SIGNATURE-----

 li supportassero PGP e GPG non sarebbe certo male, IMHO...)
GnuPG (v1.4.x) gia lo supporta lo SHA256/512, certo non si puo usare con 
DSA perche' quest'ultimo funziona solo con algoritmi di hashing a 160 
bit... Pero' se ti crei una chiave primaria RSA per firmare e una 
sottochiave Elgamal per cifrare, puoi utilizzarli benissimo.
Manuel

 sottochiave Elgamal per cifrare, puoi utilizzarli benissimo.
Altrimenti, puoi aggiungere una sottochiave "RSA (sign only)" (scelta 5)
alla chiave DSA/ElG e utilizzare tale sottochiave per generare firme di
hash SHA2 (da quanto ne so, se è presente una chiave secondaria
abilitata alla firma, questa viene utilizzata di default per firmare).
In questo modo, non si rende necessario creare una nuova chiave RSA, ma
si può continuare ad utilizzare la chiave DSA/ElG attuale.
Devo solo verificare la compatibilità con PGP.
Ciao,
un TJL73 che crolla dal sonno...
-- 
"Il fanatismo consiste nel raddoppiare gli sforzi
 quando si e` dimenticato lo scopo."
                                                    -- George Santillana

 Devo solo verificare la compatibilità con PGP.
Questo interessa anche a me, fammi sapere...
Manuel

 Questo interessa anche a me, fammi sapere...
Dalle prove effettuate con PGP v8.1, questi supporta solo SHA-256 e non
riconosce le firme apposte su SHA-384 e SHA-512, dando il messaggio:
,----- [SHA-384 o SHA-512]
| *** Status:   Bad Signature from Invalid Key
| *** Alert:    Signature did not verify. Message has been altered.
`-----
diversamente da quanto accade con firme apposte su SHA-256:
,----- [SHA-256]
| *** Status:   Good Signature from Invalid Key
`-----
In entrambi i casi, non capisco il significato di quell'"Invalid Key",
dato che la chiave di test è stata firmata correttamente con la mia
chiave... boh?!?  (sono troppo stanco per capire ora)
Che PGP riconosca solo firme apposte con la chiave principale?
Oppure, forse, non consente di gestire una chiave DSA/ElG (chiamata da
PGP "DH/DSS"), con più sottochiavi, di cui alcune RSA?
Mi sa che, 'stavolta, senza una lettura approfondita della RFC, non se
ne verrà a capo. Solo che non credo di essere la persona più adeguata a
cercare di capirci qualcosa, "laddèntro".
E poi... come si comporta PGP v9.0?  (non credo proprio lo installerò
solo per fare queste prove)
Insomma... io ho messo un sassolino... avanti il prossimo.
Ciao,
un TJL73 che patisce terribilmente la primavera...
-- 
"Se ogni tanto ti senti piccolo, inutile, offeso e depresso,
 ricorda sempre che una volta sei stato il piu' veloce e vittorioso
 spermatozoo del tuo gruppo."

 l'ultima chiave (con potere di firma) creata.
*Trucchetto*
Per "costringere" gpg ad utilizzare una chiave invece di un'altra, si puo' 
utilizzare la sintassi <keyid>!
pub  1024D/8B9CEE0F  created: 2005-03-24  expires: never       usage: CS
                      trust: ultimate      validity: ultimate
sub  2048g/F15C9D15  created: 2005-03-24  expires: never       usage: E
sub  1024R/F8F75D2B  created: 2005-03-24  expires: never       usage: S
[ultimate] (1). testKey
gpg --homedir ./test/ -u 8B9CEE0F! --clearsig xxx.xxx
You need a passphrase to unlock the secret key for
user: "testKey"
1024-bit DSA key, ID 8B9CEE0F, created 2005-03-24
Manuel

 Altrimenti, puoi aggiungere una sottochiave "RSA (sign only)" (scelta 5)
Nessuno di voi ha notato che il mio messaggio era PROPRIO firmato con
SHA256 con una subkey RSA sign-only, eh? =P
Però Enigmail si "ostina" a non supportarlo, quidni ho dovuto fare da
riga di comando e... CVD: le cose fatte a mano nno funzionano mai troppo
bene. Forse perché ho detto "--utf8" a riga di comando o forse perché
non l'ho fatto.
Francamente non ho voglia di scoprirlo, preferirei che Enigmail lo
supportasse e via (nonostante la RFC2440 non lo preveda...).
Ora ho messo SHA256 come "default", vediamo se Enigmail invece lo
"specifica esplicitamente" o lo lascia usare...
  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iQIcBAEBCAAGBQJCQ0eRAAoJELBiMTth2oCDPfIP/3W6uM43dbbYeT3KTnRAXPGB
Q8FKKY7oAv7x4Q5FW5BZK+dU2cN4lu+vrFEhsuObLFJxY6FlR48WNPDpGdleWIoa
Yj3ZGE/qrC7hJE9x+GTk28bFeyjLMbVxNuRt7X0uwkQLMf5E9oslx7VDAY9XAl1T
LBxp71nF4k+I4eyfHT5jHomfuf7AqNn0P4fvnI0Qt0wPlk5jiuG7Uh4SwQMyaks5
GEEHTqKMFMRTtNhcondKx0xf37Cskt8uIp/C5Z3Mofb1/XuzUeLZho5jPKMX2OzP
Ymo7IhuvvFRwt4qAzmxIqFwSKkXMuOcmjdVssSGUX2oFj4vz8Et9eFgXApq6QwHn
urifxi0JX+LZKbe2WIy4dXebhMiZcxma3C0/rW1FJaXDDLO3W1yoK+NKeFaxaDGQ
Q+PSpbV52fXgmjuOhWsjWA7gEMSRqHaQ4ODafhEuKIWVHYwLGhmJ3TKpr4dhZrct
CwdTa3rglVLwRoCuf25djC+EdNDF8Ga4cpyj+nvdnzIZLu4heofbuChoc2CLFCKZ
5M0FCfnrQjf2ukxv2v63au5+a9T/zWDRe7EjhcgeTsyh3IyxN5VLVcIvUuoW7V5q
kB1YL2mLqO6hEIUB8JF+RtjnUbQ5/w7/fl0PYkDvG2Anevw6iWskx4hW4dm4seLU
tTziwATGL5JtoqfJYB1/
=cBP4
-----END PGP SIGNATURE-----

 (0x61DA8083)
*** Signed:   25/03/2005 0.04.49
*** Verified: 25/03/2005 0.11.04
*** BEGIN PGP VERIFIED MESSAGE ***
La 0x61DA8083 è chiaramente la nuova subkey RSA.
Nella finestra della chiave vedo "tipo DH/DSA" e se apro "subkeys" ne
vedo due (non specifica il tipo) ma un dorata e una argentata.
Probabilmente il fatto che sia di tipo diverso da quello "atteso" gli
impedisce di propagare la fiducia della chiave base?
Bah... peccato =(
A questo punto devo o rimuoverla o revocarla (o, se ci si riesce, dire a
GPG di usare comunque l'altra), altrimenti gli utenti PGP non potranno
più controllare le mie firme...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iQIcBAEBCAAGBQJCQ0n4AAoJELBiMTth2oCDzucQAKmKSZCYwGpWgvSenhU4DW8R
nzhAfrPKF6rSwDxIwtQCGU/S3tXCY927ZLXqhqEQwITYw651eKEf2fQUQ+30kaKe
fTYAm1DctQQZoXQtS/TqyCuGxwmFcQtf1CyEIus0TYAjuC9Zgn0W54sx4ataJ95U
0rYMJLmAotE3hgAstMjaMYcV2l+ptaRBWAoVc5oOAf/LpLNpyhF7O39gO6abzLoy
isZUojNStAVUi2odAOjhOhGP51s6Ak1lukdBw4vHwEdG2t/JWtFbHzUuJDpTAh1G
B1oTTTj0NG9pAziBSCNUhOrJRm+dz0wvl26xiwqD3jhiIiROJtLQP6RER83S0bC5
m8iX7W8RUlCPO7lAAe/bD+TJHjr84eRqjQWoUm2Yj5JUpa36XFB9Asm4nH4TKnKb
GUFvjjgwslGZWSiySLbiEyGPw7WpW0m9b3g8BuY/1nwn3yr5sOUDt/2yU3Zv7UMG
kcK8Ptb4vqhXKSVMVHXLkVn3hRjnndj5q5E1JR6roM72DWHgWe7QScAYG7/glN11
IGU4CA7VvP+u+S5767lv8xo8DfGkyEp8lDtBvG55AAbV3B4cSGA1Yn/QwnGbMlnM
m8r6vXQOxuKfigHd/pW7koeYSA5yuJQsjwObC0z1zxcM2TeK2CCDuNjBDyYckBtB
7BvJhHvsjTr2tg3c2Hb2
=0y5h
-----END PGP SIGNATURE-----

 SHA256 con una subkey RSA sign-only, eh? =P
Me ne sono accorto a mail inoltrata... Ninna nanna ninna oh -_-
Pero' magari il messaggio poteva esser utile a qualcuno... :D
Manuel

 utilizzare la sintassi <keyid>!
Come, d'altronde, specificato nel man:
,----- [gpg.man]
| Note that you can append an exclamation mark (!) to key IDs or
| fingerprints. This flag tells GnuPG to use the specified primary or
| secondary key and not to try and calculate which primary or secondary
| key to use.
`-----
Grazie della segnalazione.
E' proprio vero che in questi giorni sono davvero stanco...  é_è
Ciao,
un TJL73 e spesso è già tutto scritto... basterebbe solo leggere...
-- 
"Quando tutto il resto fa fiasco, leggi le istruzioni."
                            -- Assioma di Cahn - da "La legge di Murphy"