Newsgroup: it.comp.sicurezza.pgp
Titolo: Anche la 5.5.3 ha il key escrow?

Secondo quanto leggo sui newsgroups internazionali su PGP
(dove molte persone si oppongono alla cifratura per una
chiave dell'amministratore) TUTTE le versioni 5.5.x, quindi
anche la versione freeware 5.5.3 implementano questa cosa.
Chi l'ha provata puo' confermare?
Allora, io assolutamente dissento da quelli che sostengono
che e' giusto perche' interesse dell'azienda controllare
le attivita' del dipendente e ricordo ancora che (per fortuna
e finche' non ce lo tolgono) in Italia esiste uno Statuto
dei Lavoratori che tutela i diritti civili e sindacali
proprio perche' ovviamente contrari agli interessi
del padrone.
Detto questo pero', mi pare che le "obiezioni" portate su
i.c.s.pgp riguardino esclusivamente l'uso di mezzi aziendali
e comunque le attivite' fatte al lavoro.
Ma, se e' vero che TUTTE le versione di PGP dalla 5.5 implementano
il key escrow, allora mi pare che ogni polemica cada, e
bisognera' combattere questa cosa.
A meno che poi i paladini dell'interesse aziendale non vogliano
anche sostenere che e' giusto in generale che se io uso PGP
qualcun altro abbia la possibilita'
di decodificare in modo indiscriminato ed a suo piacimento non avrei piu'
nessuna discussione da fare, personalmente.
La privacy delle comunicazioni personali
e' un diritto civile e democratico fondamentale.
Non deve essere possibile che il portinaio mi legga
la posta, perche' e' questo che fa il nuovo PGP 5.5.x.
Solo un ordine della magistratura puo' fare aprire la mia posta.
Questo e' un discorso completamente diverso e possiamo discuterlo.
Ma cio' che viene fatto con questo key escrow indiscriminato e'
veramente la negazione della privacy, come dire che chiunque puo' ascolare
senza formalita' le mie telefonate.
Dove sono finiti quelli che si proclamavano qui difensori dei diritti civile
e che diffondevano PGP perche' credevano in quei diritti civile?
PGP 5.5.x non e' piu' questo, purtroppo.
Nei newsgroup internazionali si dice gia' che se Phil Zimmermann
ha svenduto (o e' stato costretto a farlo) la privacy, allora
qualcun altro rilancera' il vero PGP per la privacy personale,
nello stesso modo in cui fece lui dieci anni fa. Un tedesco
che mi pare molto attivo ha persino scritto su questo punto:
"work in prograss". Speriamo! :')
Ciao a tutti :-)
Giorgio Chinnici <> Milano-Italy <> PGP Key available
mailto:
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
   Mere words! Was there anything so real as words?
   (Oscar Wilde - The Picture of Dorian Gray)


Se fosse vero che anche le versioni per uso PERSONALE implementino il
key escrow (o in qualunque forma lo supportino o lo anche solo lo
prendano in lontana considerazione) ebbene in questo caso qualunque
acrobatica difesa del suo uso andrebbe a cadere rovinosamente...
Bisogna fare attenzione perche' certe preoccupazioni espresse in
questo newsgroup non sono frutto di facile allarmismo bensi'
dovrebbero farci riflettere seriamente...
Marco Tassi
E-mail : 
dal...@iperbole.bologna.it
Fingerprint : 1D99 7033 9A91 3058 FCE2  B7AE 581B 1387 1ECD D10F

 "work in prograss".
trovo il tema della discussione interessantissimo. Sono ovviamente
d'accordo anche sulla gravita' del problema ma, visto che, credo come
altri, non seguo tutti i newsgroups su pgp, ti chiederei di darci un
estratto di quel che si dice fuori la porta di casa.
Nell'ordine:
- - vendita della ditta PGP;
- - futuro commerciale del prodotto;
- - possibilita' teorica e pratica che qualche altro benefattore
costruisca qualche applicazione che permetta di usare IDEA senza la
presenza di chiavi occulte;
- - possibile collegamento con la discussione sulla privacy.
Concludo con il mio urlo nel deserto: visto che il mio curiosone non
e' l'FBI ma il mio Direttore di dipartimento (scusi, eccellenza!),
quando esco, ammesso che lui sia capace, quali possibilita' ha di
leggere la mia posta crittata con la mia chiave PGP?
sergio b.
- ---------------------------------------------------------
*** real name: 
bova...@cisi.unito.it
 ***
"provando e riprovando" (Dante)
PGP-Key:
http://www.trustcenter.de/pgp-bin/pgp_getkey-e.pl?user=bova
PGP-Key:
http://pgp.ai.mit.edu:11371/pks/lookup?op=get&search=0x08D0A539
DSS/Diffie-Helleman PGP v 5.0 Keys are accepted.
- ---------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: PGP                         
iQB1AwUBNI/tVPMolPoI0KU5AQGHaAL9Hy0xxI4PaYuPvOi1R/tdi+/zOgoWfoSK
yBuAiiWAeHN3CiarrjKBQalIjyl46EPot9Ug1WFgb4XPSKCvbI4+eU8cFqBq+Vbe
P2j8sQeH7JVcG4eRjZ2FZdZZdTyUBz1s
=XLDe
-----END PGP SIGNATURE-----

senza formalita' le mie telefonate.
PURTROPPO per quello che ho saputo da un amico che lavora per la
societa che gestisce il sistema di telefonia (e vabbe non la volevo
nominare ma se insistete si tratta della Telecom) funziona piu o meno
così, basta pigiare un paio di pulsantini nel giusto ordine e chiunque
può sentire le nostre telefonate. Chiaramente per poterle utilizzare
in giudizio contro di noi ci vuole il mandato del giudice ma non è
questo ciò che ci preoccupa.
Per quanto riguarda il sistema Etacs è ancora piu semplice basta
disporre di uno scanner radio (o molto più spesso di un telofono
Etacs) e il gioco è fatto.
Per i GSM mi risulta che sia più difficile intercettare le telefonate
(almeno da parte dei privati) ma la cosa veeerameeeente simpatica è
che per permettere il funzionamento del sistema in pratica sanno in
ogni momento dove ci troviamo con un margine di spostamento davvero
irrisorio.
my fingerprint:
FFAD 9689 E6AD F356 E5F1  870C A4AF 4375 DF08 8536
commy
Francesco Catalano
       E-Mail: 
fran...@nigma.it
 
co...@freenet.hut.fi

 Chi l'ha provata puo' confermare?
Ora sto utilizzando la versione 5.5.1 per Macintosh.
Non si possono generare chiavi RSA ma le chiavi RSA si possono importare
e compaiono correttamente nel portachiavi. Le ho utilizzate con successo
per verificare una firma fatta con una chiave RSA.
Ciao-
-- 
Paolo Sasso  _\\|//_  Lunga vita e prosperita'
            (' O-O ')
Student at the Department of Computer Science
of Turin, Italy   ----  e-mail:  
s...@kagi.com

per verificare una firma fatta con una chiave RSA.
Nella mia domanda non parlavo affatto delle chiavi RSA,
bensi' del fatto che le versioni 5.5, ANCHE la versione
5.5.3 freeware, implementino la possibilita' di
imporre la codifica per la chiave di un terzo.
E' una cosa che va assolutamente al di la'
dell'ambito aziendale.
Chiedevo a chi ha provato la 5.5.3 sepuo' dirce
qualcosa di questo.


trovarti daccordo, privacy o meno.
Io sono d'accordo, non ho mai affermato il contrario.
Se leggi i miei interventi precedenti, ho gia' risposto
al tuo tipo di discorso.
Ad ogni modo: il fatto che ci siano i delinquenti
non autorizza ad eliminare i diritti civili e fare un
controllo indiscriminato di tutti come nei regimi nazisti.
Il fatto che ci siano quelli che defraudano in qualche modo
l'azienda non vuol dire che l'azienda e' autorizzata a controllare
tutti.
Se usi i mezzi dell'azienda per fini personali sei giustamente
passibile di licenziamento. Ma e' il controllo indiscriminato
che non e' ammesso.
La legge proibisce al datore di lavoro si sorvegliare il
dipendente, di ascoltare e archiviare le sue telefonate, anche
se il telefono glielo fornisce l'azienda. E' di questo che stiamo
parlando. Questa e' la privacy.
Chi vede come il fumo negli occhi che ci siano leggi e
strumenti (come il PGP, almeno quello vecchio) a favore
della privacy ha sempre avanzato questo tipo di argomento:
siccome ci sono i malintenzionati, limitiamo la privacy
di tutti. Mi fa specie che questo argomento continui
ad essere ripetuto da chi invece dichiara di avere
a cuore la privacy.
E poi: ti vedo preoccupato dell'interesse del padrone,
mi piacerebbe che ti preoccupassi anche della possibilita'
per niente teorica che il dipendente venga sfruttato,
discriminato, sorvegliato, che ti preoccupassi del
fatto che debbano esistere diritti civili per contrastare
questo.
Il dipendente deve essere licenziato se deruba l'azienda
o usa i mezzi di quest'ultima a propri fini. Quando ci
sono casi sospetti si puo' in modo circostanziato
ricorrere alla magistratura che puo' ordinare e
predisporre perquisizioni, sequestri, controlli
e quello che serve.
Ma il datore di lavoro non deve poter controllare indiscriminatamente
ed in prima persona tutte le comunicazioni di tutti i dipendenti
(anche se di lavoro).
E su questo, a te che dichiari di voler diffondere PGP e
quindi la cultura della privacy, della
democrazia e dei diritti civili, mi piacerebbe sentirti
d'accordo, interesse dell'azienda o meno.
Ciao :-)

tue marachelle. O sbaglio?
Per quanto mi riguarda, la discussione e' chiusa.


 tue marachelle. O sbaglio?
Il nostro rapporto col lavoro, col mondo del lavoro e col datore di
lavoro non e' identico: dalle tue parole emerge una concezione,
legittima ma che non condivido, del padrone, assolutamente
totalizzante, per cui da una parte c'e' l'interesse della Ditta, e
dall'altra parte ci sono le tue marachelle.
Grazieaddio non siamo tutti medici-in-prima-linea e c'e' lo spazio per
la tutela della individualita'e della riservatezza, anche sul lavoro. 
Non voglio con questo fare della filosofia, anche se a volte
converrebbe proprio farla per non cadere in tecnicismi, efficientismi
o moralismi spinti, ma ricondurre il problema al concetto di privacy,
o altrimenti detto in italiano, di riservatezza.
Mi fa molto piacere che il bord@@@@ sul PGP 5.xx abbia creato paure,
allarmi ed altro, giusto perche' ha finalmente spostato il tema dal
profilo tecnico-operativo (come faccio a fare questo?) a quello piu'
generale: ho diritto di sapere che qualcuno mi ascolta? Io non ho
smontato le versioni di PGP 5xx per Mac e W95 per il solo fatto che
non sono piu' sicuro che siano esenti da intecettazioni, e seguo il
dibattito nell'attesa che prima o poi possa riprendere la sicurezza
nella trasmissione della posta elettronica. Lo <scandalo> non sta solo
perche' anche la posta elettronica e' auscultabile, ma perche' cio'
avviene con un programma per cui fino all'altro ieri si raccoglievano
fondi per la difesa legale del suo Primo Diffusore. Hai difeso la tua
porta di casa con una Yale e te la aprino con una spilletta? Va bene.
Ma se l'hai blindata e scopri che la ditta ha reso noti i punti deboli
del suo lavoro... beh allora...
E poi perche'per il solo fatto che sono in caserma o alla Fiat devo
considerare del tutto ovvio che nei telefoni ci sia una cimice
ricetrasmittente o il PC su cui lavoro sia pieno di programmini
residenti che prendono nota di tutto quello che scrivo?
Il paladino PGP fino ad ora proteggeva anche la riservatezza sulle
ricette di cucina, sul ca@@eggio serotino con l'amico che risiede
dall'altra parte delle Alpi o dell'Oceano etc. Teoricamente lo farebbe
ancora adesso, ma, guarda caso, proprio quando finalmente esce una
bella versione per W95, colorata e a pulsantini, o per Mac con tutta
l'operativita' dell'OpenDoc, pronta a diventare uno standard, si viene
scoprendo che forse che l'Eroe che ha dato il dititto alla Privacy
anche ai poveri, ha preparato delle carte truccate. Ce ne siamo
accorti, bene. Chi vuole puo' continuare a giocare (e quanti giocano
alle macchinette mangiasoldi sapendo che le vincite non sono
proporzionate alle scommesse!). Ma lui (la sua Ditta) le carte le
aveva comunque truccate. Da qui lo scandalo, ma la capacita' di
indignarsi e' comunque anch'essa degna di tutela!
Il problema e' di rilevante attualita' perche' l'elettronica e la
capacita' di comunicare che ne e' seguita hanno esploso la capacita'
di controllare i cittadini e quindi la necessita' politica,
filosofica, sociale di difenderli. Ma non per coprire le loro
<marachelle>, ma per mantenere attuale il valore di scoperte, non
scientifiche, ma filosofiche, politiche e sociali, fatte durante la
rivoluzione francese e da allora al centro del dibattito, della lotta,
degli scontri nelle societa', europee ed extraeuropee. Col che non
voglio dire, ripeto, che la differenza di opinioni rappresenti un
limite, anzi, e' un arricchimento, perche' il concetto di rispetto per
l'umanita', di riservatezza, di tolleranza non lo prendiamo col latte
della mamma ed e' una conquista rinnovabile generazione dopo
generazione; alcune generazioni l'hanno lasciata cadere, altre l'hanno
ripresa, tutto cio' con molta dialettica e poco determinismo.
Piccolo esempio tratto dalla Storia: Congresso di Verona dell'ottobre
1822, presenti gli imperatori di Austria e Russia, il re della Prussia
e tutti i sovrani italiani tranne il Papa etc. etc. Tra i temi
trattati il funzionamento dei servizi postali nella Penisola <cui
l'Austria era interessata per l'organizzazione dello spionaggio>.
Il testo di storia non spiega di piu', ma e' comunque curioso che chi
voleva estendere la sua rete di spie spingeva per un sistema di
trasmissione sicuro della posta. Forse perche' se tutti si mettevano a
scrivere lettere, era poi possibile aprirle quelle stesse lettere? O
per la contraddizione insita in tutte le attivita' umane?
sergio b.
- ---------------------------------------------------------
*** real name: 
bova...@cisi.unito.it
 ***
"provando e riprovando" (Dante)
PGP-Key:
http://www.trustcenter.de/pgp-bin/pgp_getkey-e.pl?user=bova
PGP-Key:
http://pgp.ai.mit.edu:11371/pks/lookup?op=get&search=0x08D0A539
DSS/Diffie-Helleman PGP v 5.0 Keys are accepted.
- ---------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: PGP                         
iQB1AwUBNJK4gPMolPoI0KU5AQEyZAMAhX7z+2fVEu6C1Ck/HRaQRQzdfC0H7As6
RVc+d/UywHKrFsCKV3N9K6f7aFcxXXc9TPT9IAQtUx9F91++8pDX0OsQZcVficCf
BRMcpFRACGvj/F1NfgwqD4kNFaX7YOvi
=U4jM
-----END PGP SIGNATURE-----

 murphy insegna)
mi spiego meglio. 
La Yale ha tanti meriti, tra cui quello di avere permesso a basso
costo l'istallazione di una serratura alla porta delle case di tutti i
poveri diavoli. Il sistema a pistoncini che usa e' geniale, ma non e'
impossibile con un ferrettino piu' o meno elaborato aprire le
serrature Yale. Pero' la ditta non ti ha mai venduto il suo prodotto
dicendoti che erano serrature di sicurezza, quindi io posso anche
tollerare che su riviste del settore (in questo caso, ferramenta
professionali) si parli del sistema Yale facendo vedere degli esplosi
delle loro serrature.
Se la ditta Fichet mi vende una serratura di sicurezza, devo ritenere
che nel prezzo o nel pacchetto io abbia anche comperato non solo un
valore (la sicurezza, che si esprime con l'uso dei migliori ritrovati
disponibili sul mercato) ma anche la tutela dello stesso
(riservatezza, protezione dei disegni e quant'altro rende piu'
difficile l'apertura della serratura che mi viene venduta).
Torniamo a noi. Che cosa e' successo, semplificando? Che un signore
noto per avere diffuso ai poveri il sistema crittografico (perdonami
le imprecisioni di termini, che fosse un sistema, o un algoritmo o una
implementazione etc qui non interessa), sistema noto per la sua
estrema resistenza agli attacchi, che fa? Costruisce un prodotto che
contiene all'interno la potenzialita' di essere aperto da Tizio
(padrone, poliziotto, magistrato etc.) e fin qui tutto lecito, lo
mette sul mercato con lo stesso nome che aveva scelto quando faceva
Robin Hood, e per di piu', cosa che a me pare gravissima, con una
nuova chiave incompatibile con le precedenti, con una veste grafica
finalmente gradevole, friendlich, facile da usare, che, nei fatti,
costringera' tutti a passare ai suoi nuovi standard.
Il problema e', quindi, che Lui non doveva farlo, non che un Altro lo
poteva o non poteva farlo. Ho scaricato ieri una shell per PGP 2.6. E'
un prodotto shareware e mi si dice che dei 25 dollari richiesti per la
registazione, il 15 per cento andra' al fondo legale pro-Zimmermann.
E dov'e' Zimmermann adesso? In galera? Ricercato da tutte le polizie
per avere dato ai poveri il nettare dei ricchi? O sotto un ombrellone
alle Bahamas?
tutto qui, chiedo scusa se non ero stato chiaro.
sergio b.
- ---------------------------------------------------------
*** real name: 
bova...@cisi.unito.it
 ***
"provando e riprovando" (Dante)
PGP-Key:
http://www.trustcenter.de/pgp-bin/pgp_getkey-e.pl?user=bova
PGP-Key:
http://pgp.ai.mit.edu:11371/pks/lookup?op=get&search=0x08D0A539
DSS/Diffie-Helleman PGP v 5.0 Keys are accepted.
- ---------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: PGP                         
iQB1AwUBNJO/XPMolPoI0KU5AQEvVgL7Brzb4QBWkRBp2I4lFJCRMV21HIpsXPBr
5P8ARbuSUIYpWsjn73i7NgrfZQ2uRV4/AW6KVwu19Vv36mr37DbmJCQ3tIHpjOsg
jPuk4ZJrcUPcoL7xAK6wuEl5YkTn6TCM
=XYte
-----END PGP SIGNATURE-----

residenti che prendono nota di tutto quello che scrivo?
Non credo che il problema sia di questo tipo, ritengo che nessun
datore di lavoro decida di licenziare un dipendente perchè invia
qualche mail personale (eventualmente utilizzando Pgp 6.2.x) o si
faccia una navigatina su internet. Tutto cambia se invece di essere
degli eventi sporadici diventano abitudinari e si sostituiscono
all'attività lavorativa (e vi garantisco che non è fantascienza).
L'esigenza di avere un sistema che permetta la lettura dei documenti
cifrati dai dipendenti si basa esclusivamente sulla necessità di
CHIUNQUE NE SIA AUTORIZZATO  nell'azienda di poter accedere ai
DOCUMENTI AZIENDALI e non sicuramente alle SPORADICHE lettere
personali del dipendente.
-----BEGIN PGP SIGNATURE-----
Version: PGP 
iQA/AwUBNJNkA6SvQ3XfCIU2EQI96QCdGWX2vkjIvORS+Il2yjOKRvdyULIAn3F9
UAzz7utI3CupMDGXCbeepRIQ
=rndT
-----END PGP SIGNATURE-----


Etacs) e il gioco è fatto.
Verissimo!
Sono testimone del fatto che un tipo ha aperto il telefono, "fatto" qualcosa dentro all'
apparecchio e si sentivano bellamente le telefonate di altre persone.
Non so se era possibile in qualche modo modificare la ricezione per intercettare altre
telefonate ma la cosa sembrava fattibilissima.
Ciao
Matteo
  IIIIIIIII   HOMEPAGE 
http://www.zuzzurello.com/arte/pizzorni
 | @ @ | Nequaquam   
http://www.aspide.it/freeweb/desopo
 |  B    |  Vacuum             
  \ U /      Zippo      La Fenice (di Piero Desopo)
   ---                  ICQ 1771998                
_______________________________
PGP Public Key disponibile.   
  Mandami una e-mail con       
  questo subject: SEND PGP 
-------------------------------

parlando. Questa e' la privacy.
Va Bene Giorgio, tu hai perfettamente ragione, ma cosi' siamo davanti al cane che si morde
la coda.
Se non si fanno controlli e se le chiavi possono essere utilizzate solo dai dipendenti
come fa' il datore di lavoro a sapere che essi usano il cpu per i fatti loro?
A volte basta sapere che si "potrebbe" essere controllati per farsi passare tutte le
voglie di utilizzare il comp dell' ufficio per mail personali.
Ho fatto il servizio civile in una scuola elementare proprio mentre installavano internet.
Ti assicuro che la connessione e' stata utilizzata dai dipendenti al 95% per vedere siti
porno o prenotare le proprie vacanze ed il restante 5% per fare prove di posta per vedere
se funzionava.
Cosa proporresti per conciliare un giusto controllo preservando la privacy?
