Newsgroup: it.comp.sicurezza.pgp
Titolo: Pranoia - Criptazione - PGP - Windows e molto altro....

Si, lo ammetto posso sembrare paranoico per quello che andrete a 
leggere, ma secondo me vale la pena e forse può tornare utile a qualcuno.
La mia necessità o meglio il mio incontro con la crittografia avviene un 
bel dì quando una "bravissima persona" pensò bene di appropriarsi 
indebitamnente del mio portatile dove vi erano dati riservati molto 
importanti per nulla protetti, se non con il semplice fyle system NTFS 
di Windows ed una labile password, non tanto per la lunghezza, quanto 
per il meccanismo di funzionamento d'implementazione della password 
stessa, su un file Word.....un'accoppiata che più deleteria non oso 
immaginare....Uscito fortunatamente dalla situazione di panico indenne 
decisi che era il momento di guardare oltre.
Mi rivolsi a PGP di cui oggi ho una licenza per suo personal non sono 
per crittografare le e-mail ma anche per avere la possibilità di craere 
dischi virtuali criptati.
Ho creato le mie chiavi private utilizzando l'algoritmo AES-256 (mi è 
sembrato il migliore tra quelli proposti CAST, TRIPLE-DES, IDEA, 
Twofish) e le corrispondeti chiavi pubbliche con size 4096/1024 bit e 
con passphrase di lunghezza 40 caratteri utilizzando numeri, lettere 
mauiscole e minuscole, spazi, caratteri speciali, simboli e non 
stampabili.....
In questo modo ho creato il mio disco virtuale di 1 gyga ed inserito al 
suo interno i documenti più importanti e dati sensibili.
A questo punto però sono nate 2 esigenze:
1) Proteggere la chiave privata salvata per default in
C:\Documents and Settings\Nome-utente\Documenti\PGP\
2) Montare il disco logico-criptato all'avvio del sistema operativo
Si penserà che la cartella nome-utente su un file system ntfs sia già 
abbastanza protetta se l'utente in questione fa parte del gruppo 
Administrator e quindi altri utenti con privilegi minori, ad esempio 
User,  non possono accdervi, se non crackando il file SAM delle 
password, installando un keylogger all'insaputa dell'admin, osservandolo 
mentre digita la password......eppure lo cose non stanno 
così...QUALSIASI utente lasciato davanti ad un pc anche con diritti di 
GUEST può superare il file system NTFS leggendo e copiando qualsiasi 
file anche quelli con soli diritti d'amministratore!! a questo punto con 
un tale metodo andano nella cartella
C:\Documents and Settings\Nome-utente\Documenti\PGP\ si possono copiare 
le chiavi private.....mancherà sempre la passphrase, cmq già può essere 
un bel danno.
Per chi non lo sapesse esiste una versione di Windows, chimata Windows 
PE, rilasciata da Microsoft solo ai grandi distributori OEM, ed è un 
Pre-Enviroment Installation, in pratica è l'equivalente di una 
distribuzione linux Live come Suse o Knoppix che può essere lanciata da 
cd-rom all'avvio del pc, utilissima in caso di crash del sistema 
operativo, quando è impossibile arrivare a login, ha un'interfaccia 
grafica uguale a Windows, nel senso che anche operando da Dos si ha 
gestione risorse con la possibilità di sfogliare file e cartelle, e 
tutto il resto di un Windows tradizonale.
Ora questa versione non si trova facilmente, ma un suo clone per di più 
free è NU2 visibile a 
http://www.nu2.nu/pebuilder/
 di cui qui potete 
vedere gli screenshot 
http://www.nu2.nu/pebuilder/#screen
 in particolare 
il primo con Gestione Risorse all'opera. Il bello di NU2 è che può 
essere allargato, nel senso che per creare un cd auto-avviante serve NU2 
una copia di Windows installata sul pc da cui copiare alcuni file ed è 
possibile implementarvi decine di programmi che PARTIRANNO DA DOS CON LA 
STESSA GRAFICA DI WINDOWS, vale a dire Nero Burning Rom, Adware, McAfee 
antivirus.... la lista dei plug in è qui 
http://www.nu2.nu/pebuilder/#plugins
 e ci sono molti altri siti che 
mettono a disposizone tali add-on.
Per prova mi sono creato un cd auto-avviante con NU2 ci ho aggiunto un 
antivirus, un programma adware, Ontrack easy recovery, Mozzilla 
Thunderbird ed altro, anche per usarlo in condizoni di emeregenza, e da 
DOS sono riuscito a sfogliare la cartella
C:\Documents and Settings\Nome-utente\Documenti\PGP\ lanciare Nero 
direttamente da cd, e masterizzare il tutto su un cd, insieme al fyle di 
swap non resettato in fase di shutdown.....(passphrase)
Per ovviare all'insicurezza intrinseca di Windows, praticamente nulla di 
fronta tale NU2, profondamente osteggiato dalla stessa Microsoft, ma 
perfettamente legale, ho deciso allora di crittografare le stesse chiavi 
private utilizzando l'EFS (Encryption File System) nativo in Windows.
In effetti i file crittografati sono risultati illegibili da NU2 e da 
qualsiasi altro sistema operativo, l'EFS funziona solo su NTFS e quindi 
ho provato con Partion Magic a converire la partzione da NTFS in Fat32 
per bypassare l'EFS stessa ma è stato inutile.
A questo punto facendo il Login si avviava l'EFS in modo trasparente ed 
in background senza nessun intervento da parte dell'utente (io). Il 
problema è che l'EFS è legato all'account di accesso quindi una volta 
entrati o scoperta la password (crack del SAM) anche l'EFS si va a far 
benedire, a meno che non si esportino i certificati di cifratura su un 
flppy ed ogni volta si re-importano.....cosa alquanto lunga, perchè ciò 
avrebbe voluto dire dopo aver fatto il logon--->importazione certificati 
creati da Win per l'EFS--->sblocco chiave privata pgp--->montaggio 
dischi logici-criptati di PGP tramite inserimento della passphrase di 40 
caatteri.....alquanto laborioso.
Oltretutto l'EFS non opera in maniera del tutto trasparente, insomma non 
da alcuna possibilità di settaggi e via dicendo e non assicura la 
presenza di qualche Master key in Windows....in effetti facendo un salto 
qui 
http://www.elcomsoft.com/aefsdr.html
 si può scaricare un tool per 
superare L'Encryption File System, Advanced EFS Data Recovery (o 
semplicemente AEFSDR) screenshot qui 
http://www.elcomsoft.com/AEFSDR/aefsdr_s.gif
 anche se con alcune 
limitazioni:
- The program can decrypt protected files only if encryption keys
   (at least, some of them) are still exist in the system and have
   not been tampered.
e nella maggior parte dei casi queste rimangono sul pc, perchè sono 
legate all'account altrimenti come dicevo prima si dovrebbe importarle 
ogni volta....
Si potrebbe pensare allora di usare una chiave hardware d'accesso al pc. 
Per chi ancora non lo sapesse digitanto start--->esegui---->syskey
si avvia l'utilità per configurare il database di account in modo da 
aggiungere una crittografia addizonale, anche salvando la chiave 
generata su un floppy, in modo che prima ancora del login di Windows 
venga richiesto tale floppy come chiave harware di accesso.
Anche qui AEFSDR può fare qualcosa con le dovute limitazioni:
- For files encrypted on Windows 2000, if Account Database Key
   (SYSKEY) is stored on floppy disk, or if "Password Startup"
   option has been set, you should know/have one of the following
   in order to be able to decrypt the files:
   - startup password or startup floppy disk
   - the password of user who encrypted the files
   - the password of Recovery Agent (if one is availbale)
Cmq quanto basta per farmi dubitare delle soluzioni Microsoft e del 
closed source almeno in questi casi.
Ho ovviato alla protezione delle chaivi private .pkr e .skr di PGP 
salvandole prima su un floppy e poi su un supporto hardware vale a dire 
su una ciave USB, che consiglio a tutti, in questo modo senza chiave usb 
non è possibile far nulla.
Ma mi sono spinto oltre. In effetti mi sarebbe piaciuto avere non solo 
degli hard disk logici-criptati con pgp da montare al momento al momento 
del bisogno, ma avere l'intero sistema operativo e tutte le partizioni 
di uno o più dischi criptati già all'avvio.
Bene ho traovato la soluzione
DriveCrypt Plus Pack
http://www.securstar.com/products_drivecryptpp.php?XCARTSESSID=19e566253453c02406572f8248d640db
cripta l'intero sistema operativo e singole partizoni già dopo il bios è 
richiesta una coppia di password, modificano l'MBR e criptando i dischi 
settore per settore, quindi cluster per cluster con algoritmo di 
criptazione AES 256bit
All'avvio infatti volendo si imposta il sistema che dopo il Bios sia 
mostrato l'errore "Boot Disk Failure...." tipico di un ambiente DOS e si 
inserisca la coppia di password senza che nulla venga scritto sullo 
schermo....e siamo ancora al post delle routine del BIOS.
In effetti analizzando le partzioni così crearte con partion Manager 
sono riconosciute come non formattate non rivelando nulla dei dati 
presenti e dello spazio occupato, e tentando una clonazione cluster per 
cluster da Dos con Drive Image o Acronis True Image i programmi mostrano 
errori o si chiudono, stessa copsa per NU2. Una volta inserita la coppia 
di password si avvia il normale boot, la schermata di Login di Windows e 
questi vede le partzioni come NTFS ed è possibile lavorare nomalmente 
NON è richiesta più nessuna operazione da parte dell'utente, la 
criptazione è AL VOLO e per TUTTO il disco, sistema operativo incluso!
La coppia di password viene creata dal programma con un procedimento 
simile a pgp, c'è un contenitore e delle chiavi, a sua volta il 
contenitore e le relative chiavi possono essere stenografate in 
un'immagine bitmap od in un token hardware, ma non sono più richieste 
dopo la criptazione di tutto il disco se non si abbia necessità di 
decriptarlo.
Smile l'altro porgramma DriveCrypt 4.0
http://www.securstar.com/products_drivecrypt.php?XCARTSESSID=19e566253453c02406572f8248d640db
che come PGP crea dischi dinamici da montare al volo ma si estende a 
garantire una criptazione Twofish a 1344 Bit e cripta intere partzioni 
(ma non il sistema operativo a differenza del primo)
questa seconda versione è utile quindi se si vuole criptare solo 
partizioni singole, creare dischi-logici criptati, ma anche per crerare 
dei dischi logici all'interno di una chiave usb criptati a 1344 bit e 
stenografati in un file .wav che all'apertura sono montati come dischi 
logici da Windows ed assegnata la relativa lettera, inoltre per 
utilizare tali dischi in sistemi dove non è presente DriveCrypt 4 nella 
chiave USB viene salvata una versione "da viaggio" del programma della 
grandezza di 1 Mega che lo rende avviabile dalla chiave stessa con la 
medesima interfaccia grafica dell'installazione completa su Windws.
Quindi io:
- Ho criptato tutti i dischi e relative partizioni, sistema operativo 
compreso con AES a 256 Bit con DriveCrypt Plus Pack
- Esportato le chiavi privati di PGP in una chiave hardware (il che non 
sarebbe stato necessario perchè già tutto l'harddisk è criptato)
- Creato nella chiave USB hardware, già protetta da password che dopo 6 
tentativi errati avvia la formattazione automatica, un file .wav 
stenografato che contiene all'interno un harddisk virtuale criptato a 
1344 Bit che contiene dati riservati.
- Creato su una partizone non criptata di per sè, ma semplice NTFS, per 
motivi di accessibilità, un disco-logico pgp criptato AES 256 BIt con 
chiavi private a 4096 Bit.

 swap non resettato in fase di shutdown.....(passphrase)
Come hai fatto ad aggiungere questi programmi aggiuntivi antivirus? Hai
semplicemente copiato i file di installazione per poi installarli oppure hai
messo su soltanto gli eseguibili?
Saresti molto gentile se mi spiegassi brevemente come funziona questo
utilissimo cd che sei riuscito a creare, grazie!

 di Windows ed una labile password, non tanto per la lunghezza, quanto
[...]
Provato questo? 
http://www.ce-infosys.com.sg/CeiHome.asp
Credo che a differenza di DCPP cripti l'intero hard disk (tavola delle
partizioni compresa, se non erro) e non mi ha dato un problema di
compatibilità hardware che aveva invece DCPP. Per di più è gratuito. Pecca:
la password è di soli 16 caratteri, non so perchè.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 la password è di soli 16 caratteri, non so perchè.
Pecca inconepibilmente grave, tra l'altro... non tanto per la lunghezza
in sé (se usi una password "densa" può essere sufficente, anche se altri
utenti preferiscono passphrase meno dense ma più lunghe e ne sarebbero
limitati), ma più che altro perché fa venire il dubbio che gli autori
NON SAPPIANO cosa sia un hash... e questo, a catena, fa venire enormi
dubbi su "come" venga crittato il contenuto del disco...
Questi sono ovviamente solo infondati dubbi, ma non verrebbero a
chiunque, con un "dato" così eclatante?
un Lapo dubbioso... che prima o poi si spulcierà BENE il sito per capire
meglio, ma ora è troppo stanco anche solo per darci un'occhiata
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkCWrSQACgkQaJiCLMjyUvviggCeKVsnK07hiYOa30GY1TU83YOR
1C0AoL4vwLE2P/4teJ50GN3j+hPMQZE7
=7+CN
-----END PGP SIGNATURE-----