Newsgroup: it.comp.sicurezza.pgp
Titolo: Differenza fra `trust' e `sign'

Che differenza c'è, in pratica, fra assegnare un dato livello di 
fiducia ad una chiave e la firma (anche locale)?
Tutte le volte devo dare una certa fiducia ad una chiave e anche 
firmala localmente se voglio che GnuPG non mi segnali tutte le volte 
che la firma di una data persona (a cui è associata la chiave pubblica 
del mio keyring) non è fidata.
-- 
Ciao, Lurkos


Ciao,
un TJL73 che all'inizio faceva confusione tra validità e fiducia...
-- 
"Si possono vedere lati positivi, anche nelle situazioni negative
 ed è possibile utilizzare tutto ciò, come esperienza per il futuro."
                                                         -- Ayrton Senna

 privata).
Mi rendo conto che sono passati quasi 6 mesi, ma solo ora ho avuto il 
tempo di leggere con calma tutto quello che avevi scritto (della serie: 
gli esami non finiscono mai).
Se ho ben capito, quindi:
- validità/firma: livello di controllo che ho potuto effettuare su una 
chiave.
- livello di fiducia: quanto voglio ritenere valide le firme fatte da 
una data persona.
Ho capito bene?
In questo contesto, come si deve collocare la firma locale? Quando va 
utilizzata?
Se uno ha scambiato alcuni messaggi email con una data persona che
non conosce personalmente, è ragionevole che firmi (livello 1) la sua
chiave pubblica?
-- 
Ciao, Lurkos

 chiave pubblica?
E' ragionevole che lo faccia "localmente"... in tal caso, può scegliere
il livello di validità che più l'aggrada... tanto sarà una validità
limitata ai confini del suo portachiavi.
Se, invece, scegliesse di firmarla "pubblicamente", dovrebbe farlo nel
totale rispetto del resto degli utenti del WoT.
Come esposto da GnuPG (nella versione italiana):
,-----
| Quando firmi l'user ID di una chiave dovresti prima verificare che questa
| appartiene alla persona indicata nell'user ID. È utile agli altri sapere
| con quanta attenzione lo hai verificato.
|
| "0" significa che non fai particolari affermazioni sull'attenzione con cui
|     hai ferificato la chiave.
|
| "1" significa che credi che la chiave sia posseduta dalla persona che dice di
|     possederla, ma non hai o non hai potuto verificare per niente la chiave.
|
| "2" significa che hai fatto una verifica superficiale della chiave. Per esempio
|     potrebbe significare che hai verificato l'impronta digitale e confrontato
|     l'user ID della chiave con un documento di identità con fotografia.
|
| "3" significa che hai fatto una verifica approfondita della chiave. Per esempio
|     potrebbe significare che hai verificato di persona l'impronta digitale con
|     il possessore della chiave e hai controllato, per esempio per mezzo di
|     un documento di identità con fotografia difficile da falsificare (come
|     un passaporto), che il nome del proprietario della chiave corrisponde a
|     quello nell'user ID della chiave, e per finire che hai verificato
|     (scambiando dei messaggi) che l'indirizzo di email sulla chiave appartiene
|     al proprietario.
|
| Nota che gli esempi indicati per i livelli 2 e 3 sono *solo* esempi. Alla fine
| sta a te decidere cosa significano "superficiale" e "approfondita" quando
| firmi chiavi di altri.
|
| Se non sai cosa rispondere, rispondi "0".
`-----
Ovviamente, sempre nel totale rispetto di chi si fida del WoT, non ha
senso firmare una chiave associata ad un nickname o ad un'identità
virtuale (come, ad esempio, le mie), con un livello superiore a "1".
Per quanto riguarda una chiave appartenente realmente ad un'identità
verificabile, IMHO, è necessario assegnare un valore di "2" o "3" (in
base all'accuratezza della verifica effettuata). Per questo tipo di
chiavi (sempre IMHO), non ha senso apporre pubblicamente firme con
valori "0" o "1".
Che senso ha firmare una chiave dicendo "guarda che non l'ho verificata"
oppure "l'ho fatto, ma non ne sono per nulla sicuro"?
Tanto vale non firmarla.
Se io firmassi pubblicamente tutte le chiavi che ho nel mio portachiavi,
con un livello "0" o "1", probabilmente perderei di credibilità.
Se invece firmassi solo quelle che ho realmente verificato di persona,
con un livello "2" o "3", probabilmente, da chi mi conosce, verrei
considerato affidabile.
Dato che ho potuto verificare realmente poche di queste chiavi e la
maggior parte di queste, non sono nemmeno presenti sui keyserver, ho
preferito apporre quasi esclusivamente firme locali, per mio "uso e
consumo".
Inutile dire che in questo modo, non partecipo al WoT... ma preferisco
non farlo, piuttosto che farlo in modo errato.
Ciao,
un TJL73 che ci crede, al punto da starne fuori...
-- 
"Se lei si spiega con un esempio, non capisco piu` niente."
                                                        -- Ennio Flaiano