Newsgroup: it.comp.sicurezza.pgp
Titolo: GPG in piccola rete

Ciao a tutti,
sono nuovo di questo argomento e vorrei capirne qualcosa per poter rendere 
il nostro ufficio "up to date" con le nuove normative in materia di Privacy.
La situazione č questa:
Ho una rete con server Linux con 15 clients Windows.
A questo punto ho una serie di domande:
Posso far si che i clients utilizzino GPG per criptare o firmare i messaggi 
di posta, ma far creare le chiavi sul server con Linux (e gpg) ?
Questo per far in modo che io creo le chiavi private e pubbliche di tutti 
gli utenti, e loro le utilizzino solamente.
Per iniziare forse puň bastare...
Avrei inoltre bisogno di qualche HowTo da leggermi su come organizzare un 
corretto sistema di gestione e manutenzione di chiavi...
Grazie
Giulio 

 gli utenti, e loro le utilizzino solamente.
E' il concetto ad essere sbagliato... ciascun utente dovrebbe creare la
propria chiave autonomamente... il fatto che gliela crei tu, la rende
non più sicura, poiché non è il solo utente ad averne una copia...
Dovresti, piuttosto, crearla in loro presenza, lasciando a loro, il
compito di inserire la passphrase.
Insomma... tu dovresti essere comunque "non in grado" di poter
utilizzare tale chiave, nemmeno se volessi.
Successivamente, per creare una rete di validità, dovresti prendere la
tua chiave (in qualità di CA) e, con questa, firmare le chiavi di tutti
i dipendenti. In questo modo, ogni chiave che riporta la tua firma, può
essere considerata valida dagli utenti.
Diciamo che, per esprimere il concetto di validità centralizzata, il
web-of-trust di PGP non è quello più indicato (non che non funzioni)...
AFAIK, il sistema dei certificati X.509 è quello studiato per essere
validato da una CA, invece che dagli utenti stessi.
Mi si corregga se ho scritto imprecisioni.
Ciao,
un TJL73 che aveva già immaginato tale implementazione in azienda...
-- 
"Il bello degli standard e` che ce ne sono tanti tra cui scegliere"
                                                       -- Andy Tanenbaum

 un TJL73 che aveva già immaginato tale implementazione in azienda...
Grazie
G 

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it


Considera che, pur essendo molto datato, è da ritenersi (per quanto
riguarda la filosofia di PGP) ancora più che attuale.
Se, dopo l'approfondita lettura di questo testo, avessi ancora dubbi in
merito, chiedi pure.
Ciao,
un TJL73 e la lettura dei testi sacri...
-- 
"Riesco a trovare ogni parola sul dizionario
 molto piu` velocemente da quando ho scoperto
 che sono in ordine alfabetico."
                                                     -- Leopold Fechtner

quaqo wrote:
....
Grazie
Giulio

 un TJL73 e la lettura dei testi sacri...
:-)
CIao
Giulio 

 Giulio


I tuoi messaggi mi compaiono come allegati di testo.
Utilizzi qualche formato di invio particolare?
I messaggi di *Lapo Luchini* che risultavo inviati sempre con 
Thunderbird (ma da Windows e non da Linux) non mi danno questo 
problema.
Ho spulciato il testo integrale del messaggio e mi è sembrato di capire 
che possa essere dovuto al fatto che gli header 'Content-Type' e 
'Content-Transfer-Encoding' sono staccati dagli altri (c'è una riga 
vuota in mezzo).
È solo un mio problema?
-- 
Ciao, Lurkos
In case of problems with the 'Reply-To' address, please write me to  
yhexbf _qbg* hfrarg [ng) k /qnfu\ cynarg *qbg_ bet (use ROT-13).

 È solo un mio problema?
No, anche Outlook lo fa.


 Č solo un mio problema?
no, il vero problema č che PGP/MIME č poco supportato.
Il tuo mailer probabilmente non lo supporta (non ti peroccupare di
questo: a parte MUTT e Thunderbird+enigmime, si puň quasi dire che
NESSUN mailer lo supporti... per questo uso il vetusto "firma in linea"
e non PGP/MIME, almeno nei newsgroup).
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIoproACgkQaJiCLMjyUvt1/wCgiIUFu73vUjwtMLj8XDjjMPEm
TsAAnjklUuHYEVCXzw/nv3022M5yshGk
=PhU3
-----END PGP SIGNATURE-----

 controllato a dovere l'identita` fisica delle persone.
Ovviamente è un buon "plus" se almeno tu, come CA, partecipi
"attivamente" al web-of-trust, in modo che per fidarti di te (e, quidni,
di quelli da te firmati) non debbano tutti per forza incontrarti di
persona ma basti, ad esempio, avere degli amici in comune...
Giusto per rendere l'idea ecco come io mi fido dell'autore di GPG, pur
non avendolo mai conosciuto né visto:
http://webware.lysator.liu.se/jc/wotsap/wots/latest/paths/0xC8F252FB-0x5B0358A2.png
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIop/AACgkQaJiCLMjyUvuNwACg+TbFm3u4Ql2Yjg5xYH93rqa+
kSwAoOe6NVK/logpSlZ2icvDyjN6g8fh
=gRK/
-----END PGP SIGNATURE-----

 e non PGP/MIME, almeno nei newsgroup).
Il fatto che non supporti PGP/MIME non implica pero` che non riesca a
visualizzare correttamente la parte di testo che e` chiaramente indicata
come "text/plain"...  C'e` forse un "bug"...


 come "text/plain"...  C'e` forse un "bug"...
Secondo me invece lo implica: perché è un "multipart/signed" non un
"normale" multipart come quello usato per gli attach.
Quindi anche SENZA dover vedere la firma, mi pare normale che serva
comunque supporto specifico.
(il che mi pare una grande cavolata, ma forse non è così e sono io che
non conosco la politica di "cosa fare con i nomi sconosciuti" nel MIME)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIoqv0ACgkQaJiCLMjyUvuvkACg28SPAhvwnzTfsCDqmbdCa6Q9
hskAoOleOtFsr8aMtD7O2rCWVghqZrUN
=NjSb
-----END PGP SIGNATURE-----

 non conosco la politica di "cosa fare con i nomi sconosciuti" nel MIME)
Un subtype sconosciuto deve esser trattato come mixed. Quindi il client
dovrebbe "visualizzare" l'ultima parte che riconosce (in questo caso
sono due, e l'ultima riconosciuta e` text/plain).


 chiaramente indicata come "text/plain"...  C'e` forse un "bug"...
Io riesco a visualizzare il tuo messaggio correttamente, ma il fatto 
che mi si apra anche una finestra con l'allegato (lo stesso messaggio) 
è un po' scocciante e rende un po' meno comoda la lettura dei tuoi 
messaggi.
Non è un bug, ma un comportamento normale di Xnews quando rileva 
allegati.
Non so sinceramente con si comporti OE.
Se pochi NEWSreader supportano questo sistema forse è meglio evitarlo, 
sempre che esistano alternative sufficientemente efficaci.


  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFCKwq9ZXjZQFU52OQRAmk+AKDJNWg5uqjdgaOWNSevmlyGxDLPQgCg+C9c
C5KbMbE2rk4dAFTHbfzgrnc=
=wwU9
-----END PGP SIGNATURE-----

 e la pace comune. <grin>
http://www.bretschneidernet.de/tips/secmua.html
Questa pagina mostra una tabella con un elenco completo di MUA che
supportano PGP/MIME (e, se necessario, con quale plug-in).
Non concordo però affatto con la sua conclusione "sono tanti, quindi
usate PGP/MIME senza farvi problemi".
Saranno tanti sì, ma sono una minima parte dei MUA usati dalla gente; il
che non sarebbe un problema finché la sola firma fosse ignorata (da
quelli che non la sanno leggere), ma purtroppo pare che molti client
abbiano problemi a visualizzare anche il solo testo del messaggio
(quando firmato in chiaro con PGP/MIME)...
Personalmente credo che PGP/MIME, per questo motivo, non possa ancora
essere usato "in modo generale" (ad esempio su NG e ML), ma solo con
privati di cui si conosce il mailer usato.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIrEx8ACgkQaJiCLMjyUvsZMwCgxKukjAuyFSS9sXc+E1PA+Ftl
5WkAn2IKUj9DcIq3xYrVOlB7GXiM+6p1
=gI6M
-----END PGP SIGNATURE-----

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFCK3CSZXjZQFU52OQRAqpIAJ9PKd3lPP4kPbytmNX/Mk2hthzLaACg7n8m
Dk6nOviSkH3IBDkWUngjayA=
=GG37
-----END PGP SIGNATURE-----

 supportare per bene il multipart. :(
Sono d'accordissimo con te, ma che fare, a parte picchiare personalmente
tutti i programmatori disattenti fino a quando si saranno estinti? ;-)
Spesso mi ritrovo e pensare similmente, riguardo ad esempio al supporto
o meno dell'UTF da parte dei programmi... ce ne sono alcuni che fanno i
saltimortali per supportare più codepage quando oggi come oggi, secondo
me, avrebbe più senso supportare UTF "e via andare"...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkIr/W8ACgkQaJiCLMjyUvuL/ACfVj+AFmuDC407dBfCiZW5k1PZ
rLoAn1Od8DnCsd7DyTVNNKC4yJRbaH34
=4u34
-----END PGP SIGNATURE-----

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFCLCu+ZXjZQFU52OQRAqVGAJ4mLKgBBrI/rt1QNCt75hYm/GgPbgCgr9fz
2LQMNkyjLd3Wx78dxnLXfFI=
=AkKM
-----END PGP SIGNATURE-----

 comodita` dei molti e la pace comune. <grin>
In generale hai ragione.
Concedimi però che il paragone con l'HTML è però un po' esagerato.
È giusto scrivere pagine web per ogni browser rispettando gli
standard del W3C.
IMHO PGP/MIME va trattato in maniera diversa.
Per prima cosa veramente una piccolissima percentuale firma i propri 
messaggi su Usenet (io per esempio in generale mi accontento 
dell'header X-Autenticated-User di *X-Privat*).
Il secondo luogo OE, che risulta (purtroppo) uno dei più usati 
newsreader, non lo riesce a gestire in maniera corretta.
Considerando questo mi sembra che usare Inlined-PGP sia la soluzione 
migliore, visto che si ottiene lo stesso risultato senza creare troppi 
problemi.


  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFCLXiuZXjZQFU52OQRApR6AKCBbn+JUYti+nN9BFvVn7ARTAsE3gCdFQPh
XgvtqHxhcyheGMqPwFpnlW0=
=tWju
-----END PGP SIGNATURE-----


iQA/AwUBQjqWOoQgbjze8v51EQJRhwCfXllD6+EJH9g2hDQy62VUu/sG2QUAoPSg
7YVEcVXFvn7RDaNT7qIkFAwt
=v6H3
-----END PGP SIGNATURE-----

 attraverso la posta elettronica.
Probabilmente, dopo ulteriori spiegazioni, tutto ciò mi sarà più chiaro.
Ciao,
un TJL73 con le idee un po' confuse...


 Intendi la lettura del fingerprint?
no, credo che intenda proprio una "password", ovviamente lo scambio di
messaggi è già cfrittato+firmato, quindi la conoscenza della password
porta l'associazione alla chiave che l'ha firmata.
Ovviamente è bene che la password sia abbastanza "robusta" (128 bit o
più), quindi il "vantaggio" di usare una password invece che
direttamente il fingerprint è relativo...
(prima o poi devo finire il programmino per convertire i fingerprint in
parole italiane.. o meglio: devo finire di rifinire l'elenco di parole,
il programmino già funziona bene!)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI6wNYACgkQaJiCLMjyUvuzzwCg4icMwszKGQyWJvdBGMlEwiXb
KCMAni3aKkj8uNvC6fKHJQj/kwI0eHSz
=ZVuv
-----END PGP SIGNATURE-----

 già funziona bene!)
Confermo... quando lo usai, non ebbi problemi.
Ciao,
un TJL73 in attesa della depenalizzazione del colleghicidio...
-- 
"Quando ti morde un lupo, pazienza.
 Quel che ti secca e` quando ti morde una pecora."
                                                         -- Arthur Bloch

 un TJL73 in attesa della depenalizzazione del colleghicidio...
Uno dei primi "temi" non "in tema" con il messaggio che ti vedo usare,
ma suppongo fosse in tema con qualcosa di successo in quel momento ;-)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkI7ApAACgkQaJiCLMjyUvs1YACeOw0xHehPY4ZRLRdG6OK25k/P
s3gAnRk2jQdNMB7Y8G0CIxr2/w7Df9Ay
=6mR7
-----END PGP SIGNATURE-----


iQA/AwUBQjsqnYQgbjze8v51EQK6KQCg9Dm47wZ38rpg2VeoM7lR1dAGaegAoLlI
W0qOsLypXGQ2OGQ7hZIRn2KF
=1sjN
-----END PGP SIGNATURE-----

 a farsi riconoscere da Alice senza rivelare alcuna password.
Perché, invece, non utilizzare la lettura del fingerprint?
In questo modo eviteresti anche il problema del "man-in-the-middle".
Scenario:
*Mario* riesce a intercettare tutti i messaggi tra Giovanni e Bob e
riesce ad inviare due chiavi fasulle ad entrambi; potrebbe, quindi, far
credere ai due ignari di aver ricevuto la chiave corretta del
corrispondente. In questo modo, se Giovanni riceve la chiave fasulla di
Bob e gli scrive utilizzando la chiave fasulla di Bob(Mario's) (credendo
che sia realmente quella di Bob) Mario intercetta il messaggio, lo
legge, lo ri-cifra con la vera chiave di Bob e lo firma con quella
fasulla di Giovanni(Mario's). In questo modo, Bob ottiene la parola
magica (credendo che sia firmata con la reale chiave di Giovanni) e la
può comunicare pubblicamente a Giovanni, senza che questo venga a
sospettare nulla (dato che si tratta di quella che gli ha inviato
cifrandola con la presunta chiave di Bob). Da questo momento in poi,
tutte le comunicazioni tra Giovani e Bob vengono intercettate da Mario
che provvederà a decifrare tutti i messaggi e ricifrarli con le reali
chiavi dei destinatari, firmandoli con le chiavi fasulle (che, però, i
due corrispondenti crederanno autentiche).
Questo è uno dei subdoli attacchi discussi sia in Kriptonite che nel
manuale di PGP. Consiglio un'approfondita lettura di entrambi i testi.
Con la verifica del fingerprint, invece, è quasi impossibile che si
incorra in questo inconveniente, poiché il fingerprint di una chiave la
identifica in modo quasi univoco. Con questa tecnica, ti sarà possibile
verificare a voce (di persona o telefonicamente) ogni chiave, con il
rispettivo proprietario.
Se la lettura del fingerprint come stringa esadecimale può sembrare
complicata da attuare, si possono utilizzare programmi come VoData (non
appena il buon Lapo lo completerà e metterà a pubblica disposizione) che
consentono di associare i vari byte del fingerprint a ben determinate
parole della propria lingua.
Un esempio (utilizzando, con VoData, la versione del dizionario italiano
in mio possesso, con la mia chiave PGP) è il seguente:
,----- [Long KeyID: 0x02585B0E05FA68A5]
|
| Fingerprint  : A494 BF2A D30D E68B 5084  BAF3 0258 5B0E 05FA 68A5
|
| VoData output: oltre decido Bavaria brache Teresa pioli lavanda
|                pauroso 1975 legare abbia falco forcuto dispari
|
`-----
Spero di aver espresso tutti i concetti con chiarezza.
Ciao,
un TJL73 e il giro dell'orologio...
-- 
"Se vostra suocera e un commercialista stessero affogando
 e voi aveste la possibilita` di salvare solo uno di essi,
 andreste al ristorante o al cinema?"
                                                           -- Tom Weller


iQA/AwUBQkCUaYQgbjze8v51EQKbVgCg82U28Q4wWUb3OEWcoaczF6BC8aAAoIWX
aiMhmnl4wEpZQ2KVyz13MDYZ
=6u4g
-----END PGP SIGNATURE-----