Newsgroup: it.comp.sicurezza.pgp
Titolo: A proposito di scambio di chiavi pubbliche

Se funzionasse qualcuno l'avrebbe già proposto:....
Se io mando a uno di voi un messaggio cosi confezionato: in allegato metto
un documento word in cui inserisco un immagine della scansione della mia
carta d'identità e sotto il fingerprint della mia chiave pubblica (o la mia
chiave pubblica) e il file relativo alla firma del documento word; nel
messaggio inserisco la chiave pubblica e firmo con la chiave privata.
Chi riceve può verificare che la chiave pubblica è legata al documento di
identità attraverso la chiave stessa che verifica la firma dell'allegato:
può quindi legare con sicurezza la chiave pubblica al sottoscritto....
Cos'è che non va?
Accetto critiche....:-)


se ho la tua foto e la pwd della tua posta
posso impersonarti e spacciare una MIA chiave pubblica
come tua... e falsando la voce fingermi te
a dettare il fingerprint taroccato.
l'associazione tra chiave pubblica e persona
deve avvenire tramite canale sicuro:
o conosci materialmente chi ti sta dando la chiave pubblica
o il fingerprint, oppure lo conosce direttamente qualche
ente certificatore di cui ti fidi.
________________________
.___  Don Spatatrac
/_|_\__  
cowo4n0l3...@sneakemail.com
@----@-'  Dio e` grande - per rispondere scacciare il demonio


Non credo che si avra mai un canale sicuro al 100% senza scambio di persona
delle chiavi, ma secondo me, si può raggiungere un grado elevato di fiducia
nelle chiavi scambiate tale da consentirne un uso "normale" (ovvere non di
scambio di segreti militari, industriali ecc..)


 ente certificatore di cui ti fidi.
Dipende dal livello cui vuoi verificare una chiave.
Mi spiego meglio:
Se vuoi verificare una chiave di una persona "reale", ti toccherà
contattarla di persona, oppure averne la verifica mediante un ente
certificatore.
Se, invece, si tratta di una persona "virtuale", allora basta che la
chiave sia verificabile su un'area pubblica della rete (ad es. la
firma nei post che manda abitualmente sui ng, oppure il fingerprint
sulla sua homepage...)
A me, di sapere chi realmente sia Spatatrac, importa relativamente...
chi ci sia dietro allo pseudonimo, non è una cosa che mi interessa...
voglio avere la garanzia che, quando scrivo ad una determinata
"persona virtuale", sia quella e non un'altra.
Diverso è il caso di firme apposte su documentazione ufficiale per il
"mondo reale".
In tal caso, si deve, giustamente, ricorrere ad un ente certificatore
ufficiale.
Se non si tratta di procedure legali, per "ente certificatore",
intendo anche una persona fidata e di comprovata serietà (per ciò che
riguarda le firme delle chiavi).
Ed esempio, se io volessi scrivere a Paul B. Johnson, potrei
utilizzare tranquillamente la sua chiave pubblica, essendo questa
firmata dal "PGP Security Employee Certification Key" che risulta
firmata direttamente da Phil Zimmermann.
Questo è quello che ritengo "web-of-trust".
Ovvio che solo il vero PBJ potrebbe ricevere e leggere il mio
messaggio (a meno che la chiave sia compromessa).
Il fatto che sulla sua chiave compaia (anche se indirettamente, ma
tramite entità sicure) la firma di PRZ, attesta con sicurezza la sua
autenticità.
PRZ risulta, quindi, non solo una persona fisica/virtuale, ma, nel suo
caso, un'istituzione e, quindi, un valido ente certificatore...
La verifica della chiave di PRZ si può fare ovunque, dato che questa
risulta pubblicata sia in formato elettronico che cartaceo, su
parecchi libri e manuali e nella distribuzione ufficiale di PGP.
Ribadisco, per come la vedo io, la differenza tra "persona reale" e
persona virtuale".
Resta comunque il fatto che firmando una chiave, le si dà fiducia
implicita... fiducia alla chiave (fiducia calcolata), ma non
necessariamente alla persona cui questa chiave appartiene (fiducia
personale).
Ciao,
TJL73 che generalmente sceglie le "non-exportable signatures"...
-- 
C'e` una sola certezza nella vita...
E vorrei non esserne cosi` sicuro.   :o(