Newsgroup: it.comp.sicurezza.pgp
Titolo: PGP 5.0i e PGP 5.5 - Proposta di esperimento

Salve.
Dopo aver seguito un po' la discussione mi sono deciso a cercare di dare il
mio contributo, non senza un certo timore, perché in questo ng c'è molta
gente che ne capisce molto più di me. Se dico qualche scemenza perdonatemi.
Ho installato PGP5.5 Administrator e ho generato una chiave primaria. Poi
ho preparato i 'dischetti' per la distribuzione del PGP ai miei
(fantomatici) dipendenti. In questa fase ho deciso di avere una Corporate
Message Recovery Key sia Incoming sia Outgoing. Ho installato la versione
'client' così ottenuta su un altro computer. Durante il processo di
installazione e creazione delle chiavi DH/DSS viene detto chiaramente che
la chiave contiene una Corporate Message Recovery Key e che tutto il
materiale criptato con la chiave generata dall'utente 'client' sarà
accessibile anche al proprietario della CMRK (il cui nome viene
specificato). Nessun messaggio invece generando una chiave RSA. 
Ho generato due chiavi, una RSA e una DSS/DH. Ho provato a firmare e
criptare messaggi e file e ho visto che comunque il programma non nasconde
MAI il fatto che c'è sempre di mezzo questa CMRK che consente
all'Administrator di leggere la tua roba. Non ho la più pallida idea se sia
possibile fare in modo da nascondere la CMRK dalla vista, e non so nemmeno
se sia possibile scoprirlo. Su questo interpello i più esperti del ng.
Secondo me però il problema (e qui chiedo la vostra collaborazione) è un
altro. Ipotizziamo che io mandi a un terzo le due chiavi pubbliche
'client': a questo terzo apparirà chiaro che nella chiave (almeno in quella
DH/DSS) è nascosta una CMRK? Se sì, almeno il terzo (e quarto, quinto,
sesto, ecc..) è in grado di difendersi (o almeno può astenersi dall'usare
un canale irrimediabilmente 'aperto'). Se la CMRK non compare, ecco che
allora abbiamo ragione di preoccuparci, e molto. Il terzo (e quarto,
quinto, sesto, ecc..) non saprebbe che i suoi messaggi sono leggibili anche
dall'Administrator, e quindi la riservatezza sarebbe finita.
Vi propongo quindi uno stupidissimo esperimento. Accludo al messaggio le
due chiavi 'client' genarate sul secondo computer nel corso del mio
esperimento casalingo. Vi chiedo di aggiungerle ai vostri keyring e di
provare a inviarmi un messaggio cifrato, aggiungendo anche se il programma
vi informa o meno della presenza della CMRK.
Io riceverò i messaggi sul computer dove è installato il PGP Adminstrator,
e potrò fare la 'prova del nove': su questo computer NON ho le due chiavi
private 'client' e quindi se riesco a leggere da qui i vostri messaggi e
voi non avete ricevuto warning dal vostro programma vuol dire che PGP ci ha
giocato uno scherzetto.
Che ne dite? La DH/DSS è la prima delle due.
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: PGP for Business Security 5.5
Comment: Big Brother is watching you!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=Y12M
-----END PGP PUBLIC KEY BLOCK-----
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: PGP for Business Security 5.5
Comment: Big Brother is watching you!
mQCNAzSUZrEAAAEEAMVV2OZs5nVYHOqO/nZMs1fPTEUnGDfe4xs7Mt8dHtF2nY26
LgHe9BMDuIuMWEnmZ/NA2Zsw0xjp5VylAA+sXGIfiHQ+LmlbrrVlqWVF+UWedh1f
ZNcSKRndidwUvkAxakmQutg2JZUhaJ7rfsGHoJiFPXWAtXPy9l8+2tR+ymkBAAUR
tClWZWRpYW1vIFNlIE5hc2NvbmRlIFF1YWxjb3NhIDxjaGlhdmVAUlNBPokAlQMF
EDSUZrFfPtrUfsppAQEBYJwD/jCvVaPncnx02eb0EEDZnnjaAYqQVQzttQcoPBRa
9F9r3qLXj3YEG5DklysuYuzCuZiNdhPA5DSC2S2sZ34+6FcNtUSdpPlMH57JiLDU
QtKNUCh70UIyY91ViuR7/Y2yJ8nchab8fissQGcEUESLoGeLgCQtDuqN/ec1S4P3
CPXv
=WcbG
-----END PGP PUBLIC KEY BLOCK-----

 gente che ne capisce molto piů di me. 
A parte ho inviato i messaggi crittati con le due chiavi e attendo di
conoscere l'esito dell'esperimento.
Mi preme, intanto, ricordare a tutti i partecipati al group che, essendo
questo non moderato, ognuno puo' scrivere quel che vuole e sollevare
allarmi piu' o meno fondati, ma che esiste un solo modo per esprimere il
proprio interesse o disinteresse ai temi proposti. SCRIVERE, esprimento
opinioni in merito, o proponendo, come in questo caso, prove, oppure NON
SCRIVERE e lasciare che l'argomento si esaurisca per mancanza di
partecipanti.
Scrivere, invece, sostenento l'infondatezza dei temi discussi o la loro
inutilita' e' invece controproducente, perche' si innestano i giri
viziosi di chiarimenti e controchiarimenti, e poi perche' di fatto si
mantiene in vita un tema, contraddicendo quindi il proprio giudizio di
disinteresse.
sergio b.
-- 
---------------------------------------------------------
*** real name: 
bova...@cisi.unito.it
 ***
"provando e riprovando" (Dante)
PGP-Key:
http://www.trustcenter.de/pgp-bin/pgp_getkey-e.pl?user=bova
PGP-Key:
http://pgp.ai.mit.edu:11371/pks/lookup?op=get&search=0x08D0A539
DSS/Diffie-Helleman PGP v 5.0 Keys are accepted.
---------------------------------------------------------

On Mon, 15 Dec 1997 01:41:57 +0100, 
chie...@bigfoot.com
 (Carlo M
Chierotti) wrote:
ho spedito un messaggio utilizzando la chiave RSA senza che mi venisse
segnalato niente, ma quando ho provato ad utilizzare la chiave DSS non
mi ha permesso di farlo dandomi questo errore:
Some ENFORSED Corporate  Message Recoveri Keys are missing. Would you
like tu update them from the server ?
my fingerprint:
FFAD 9689 E6AD F356 E5F1  870C A4AF 4375 DF08 8536
commy
Francesco Catalano
       E-Mail: 
fran...@nigma.it
 
co...@freenet.hut.fi

 wrote:
Seguono due cifrature alle due chiavi.
Premetto che sto usando la versione 5.5.1 per Macintosh.
Nell'utilizzo delle due chiavi non mi e' stato dato nessun avviso
particolare MA chiedendo le informazioni sulle chiavi nel "Keyrings",
per la chiave DSS mi compare un nuovo campo subito dopo il FingerPrint:
"Additional Decryption Key" con l'ID della chiave tanto odiata ;-)
e soprattutto nella finestra delle chiavi, nella colonna ADK mi compare
un bel pallino rosso ad avvertirmi del giochetto.
Per chi fosse interessato posso mandargli due piccole ".gif" delle due
finestre in oggetto.
Ciao-
-----BEGIN PGP MESSAGE-----
Version: PGP for Personal Privacy 5.5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==
=JCRD
-----END PGP MESSAGE-----
-----BEGIN PGP MESSAGE-----
Version: PGP for Personal Privacy 5.5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=MJiB
-----END PGP MESSAGE-----
-- 
Paolo Sasso  _\\|//_  Lunga vita e prosperita'
            (' O-O ')
Student at the Department of Computer Science
of Turin, Italy   ----  e-mail:  
s...@kagi.com

se sia possibile scoprirlo. Su questo interpello i piů esperti del ng.
ho installato la 5.5 e mi riprometto di fare delle prove quanto prima
(spero!) .. ho comunque notato che nelle PGP Preferences - Advanced
esiste la possibilita' di abilitare  "Warn when encrypting to keys
with CMRK"
comunque ritengo che il problema del "e' sicuro o no?" sia del tutto
irrilevante di fronte al quesito "accetto o no il venir meno di un
principio?" .. e non mi dilungo sul principio al quale mi riferisco,
Chinnici e' stato molto chiaro, almeno per il sottoscritto, il che non
significa che sia daccordo con lui al 100% (ho installato la 5.5. e
per ora la uso) ma penso che le sue osservazioni siano del tutto
fondate e che chi e' concorde debba senza dubbio boicottare la
diffusione di versioni successive alla 2.6.3 
         / \__
        (     @\___
      /                 O        bye p.     ( e bau dal suo aiutante )
    /       (_____/ 
  /_____/
Fingerprint: 45 8E 8D 34 3C EE BB 3C  9D 04 E8 92 FB 0A E0 C8
Home Page    
http://users.iol.it/pastore
A.P.B.T.I    
http://www.aspide.it/freeweb/APBTI

un bel pallino rosso ad avvertirmi del giochetto.
ho verificato nella versione 5.5 e anche li nelle proprietą della
chiave DSS appare l'indicazione della corporate key e c'č un pallino
rosso nella colonna CMRK relativa alla chiave client DSS
idem per la versione 5.0 freeware ma manca la colonna CMRK 
pare che tutto sia fatto alla luce del sole (per il momento... , ma
stiamo allerta)
