Newsgroup: it.comp.sicurezza.pgp
Titolo: Chiarimenti su firma digitale

 gentilmente ha risposto:
Per il diritto anglosassone si, per quello italiano no.
http://www.interlex.it/docdigit/degradis.htm
Esiste un regolamento che spiega come eseguire una firma digitale in Italia?
Sì ma non è facile aderirvi. Sembra inoltre che l'ultima direttiva cee
sull'argomento possa rendere non del tutto necessario lo sforzo di
adeguamento
Si può con PGP ottenere una firma digitale valida per la legislazione
Italiana?
No ma si possono ottenere una coppia di chiavi che hanno alcune
caratteristiche compatibili con il regolamento attualmente in vigore
La crittografia di PGP é strong o debole?
Sia per lunghezza delle chiavi, sia per il loro utilizzo in algoritmi
standard e molto collaudati (RSA e IDEA) che ne preservano la lunghezza, PGP
è attualmente il prodotto che permette di ottenere la sicurezza di "output"
maggiore tra gli strumenti a larga diffusione oggi a disposizione (è
gratuito, ha ottenuto il permesso di esportazione dall'NSA, è di facile
utilizzo con i client di posta e i sistemi operativi oggi in commercio).
Dove sta la "debolezza" in PGP?
La debolezza di PGP, che è comunque la debolezza di tutti gli strumenti
attualmente di largo utilizzo, sta nel fatto che attualmente le chiavi
private risiedono sul computer e sono dei files. Non c'è niente di meno
sicuro di un computer.
Perché PGP non sembra emergere come standard nelle legislazioni Italiana ed
europea?
La "debolezza" di PGP agli occhi del legislatore, sta nel modello di
associazione dell'utente alla chiave pubblica.
Il PGP si regge su un modello non gerarchico ma orizzontale di affidamento,
mentre la legislazione che si sta sviluppando prevede la costituzione di
Certification Autority che compiono "istituzionalmente" il lavoro che in PGP
è lasciato tipicamente all'amico o al conoscente. In realtà PGP non è
incompatibile con il modello basato su CA, RA, X.509, ma non ha ancora un
chiaro orientamento in questo senso e sopratutto non supporta i formati di
output S/MIME che ora i client più diffusi di posta (come outlook express e
netscape mail) sembrano supportare (anche se non in versione strong cioè
oltre i 40 bit) e PKCS come formato di output delle chiavi pubbliche.
Supporta invece il suo formato (PGP per l'appunto) che è comunque oggetto di
una RFC così come il S/MIME.
Cos'è questa storia del requisito hardware previsto dalla legge italiana?
il cosiddetto "dispositivo di firma" citato nel regolamento AIPA è uno
stratagemma, a mio parere abbastanza intelligente, per diminuire uno dei
rischi maggiori della firma digitale: la sottrazione (copia) della chiave
privata.
Nella visione dell'AIPA è molto difficile che programmi "troian horses"
leggano la chiave privata dell'utente all'atto della firma, poichè questa
non esce mai ed in nessuna forma dal dispostivo e non viene mai letta se non
dal microprocessore del dispositivo.
Spero che questa serie di domande e risposte possano essere di una qualche
utilità se non altro come argomento di discussione.
Ne approfitto per dire sto ricercando persone che abbiano competenze in
questo settore perchè faccio parte di un'azienda che si sta sviluppando in
fretta. Chi é interessato può contattarmi personalmente all'indirizzo di
posta elettronica (scusate se approfitto..).
Gabriele Domenichini
gabr...@usa.net

 gentilmente ha risposto:
Per il diritto anglosassone si, per quello italiano no.
http://www.interlex.it/docdigit/degradis.htm
Esiste un regolamento che spiega come eseguire una firma digitale in Italia?
Sì ma non è facile aderirvi. Sembra inoltre che l'ultima direttiva CEE
sull'argomento possa rendere non del tutto necessario lo sforzo di
adeguamento
Si può con PGP ottenere una firma digitale valida per la legislazione
Italiana?
No ma si possono ottenere una coppia di chiavi che hanno alcune
caratteristiche compatibili con il regolamento attualmente in vigore anche
se non nel formato prescritto




netscape mail) sembrano supportare (anche se non in versione strong cioè
Non so il tuo MUA, ma il mio (mutt, 
www.mutt.org
) legge e scrive messaggi
S/MIME senza alcun problema.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *
      | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it

 dal microprocessore del dispositivo.
Ore che ci penso il consiglio del dischetto andrebbe bene fino ad un certo
punto... potrebbe essere possibile sottrarre la chiave pubblica mentre il
programma legge dal Drive?

che possa guardare la posta di tutti... chi è d'accordo con me?
Questo non ha nulla a che fare con il modello delle CA.


dal microprocessore del dispositivo.
Infatti.
Saluti
Luca de Grazia
-----------------------------------------------------------------
Luca-M. de Grazia - Avvocato - Patrocinante in Cassazione
E-mail: 
luca.d...@degrazia.it
 - 
studio.d...@degrazia.it
http://www.rtmol.it/users/degrazia
http://www.degrazia.it
ICQ:12969258
PGP Key (DSS/RSA) su 
http://www.degrazia.it/infodirnet/chiavi.htm