Newsgroup: it.comp.sicurezza.pgp
Titolo: PGP & html

E' possibile utilizzare PGP in una homepage personale per cui chiunque vi
acceda volendo comunicare con il proprietario non ha che da compilare un
form ed inviarlo tramite e-mail, previa cifratura PGP sottostante l'html?
In questo modo Tizio, che non dispone di PGP, puo' cmq inviare passando dal
web un messaggio cifrato a Caio;
sara' solo il ricevente Caio ad aver bisogno di PGP per decifrarlo.
Non ho mai visto homepage con questa possibilita' e sarei curioso di vederne
una.
Regards,
 Mattex
--------------------------------
Inviato via 
http://usenet.libero.it

form ed inviarlo tramite e-mail, previa cifratura PGP sottostante l'html?
No, non ha nessun senso.
-- 
ciao, | The Internet is full. Go away.  -- Joel Furr      | #156856496
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it
          | 
m...@jabber.linux.it

Il Sat, 25 Jan 2003 23:16:19 +0000, mattex ha scritto:
[...]
In pratica vorresti utilizzare una chiave PGP solo per crittare ?
Insomma le due chiavi sarebbero comunque tue...
Beh... Allora non c'e` bisogno d'utilizzare PGP. Esistono tanti
algoritmi di crittazione...
Correggimi se ho frainteso,
Federico 
-- 
La Wikipedia Italiana sta crescendo !  Visita:  
http://it.wikipedia.com
Linux Registered User: #263663 / Machine: #160060 (Debian 3.0r1/ Woody)
On the Net:  
qu...@despammed.com
  - On the Web:  
http://quaqo.lonex.org
On Jabber: 
qu...@jabber.org
 - On ICQ: 48618109 - My GPG Key: 0x5539D8E4

Insomma le due chiavi sarebbero comunque tue...
Uhm... forse intendeva / sarebbe piů realistico fare:
"una form contenete la chiave pubblica dell'autore della pagina, con del
javascript compatibile OpenPGP, potrebbe creare un messaggio crtitato per
quella chiave pubblica con (nel caso ideale) la stessa sicurezza di usare
PGP in locale, con il pro di non necessitare PGP installato".
Questo ovviamente darebbe una sicurezza ONE-WAY, ma potrebbe essere utile
per ricevere commenti sul proprio sito o cose del genere, in modo
"privato"...
*Perň:*
a. che io sappia tale javascript non esiste
b. non ci sarebbe modo "sicuro" per identificare il mittente
c. il mittente stesso non potrebbe fidarsi del destinatario, a meno che la
sua chiave pubblica non sia firmata da suoi amici o conoscenti
Per il punto "a" perň faccio notare che esistono dei javascript per fare
Base64, AES, RSA... molto lenti, ma per frasi "relativamernte corte" sono
decisaemnte utilizzabili... nessuno perň li ha mai (AFAIK) "assemblati" per
costituire un benché minimale sistema OpenPGP.
-- 
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /

 No, non ha nessun senso.
Si, a quanto ho capito, una cosa del genere non esiste ma a mio modo di
vedere potrebbe avere un senso in questo senso :-) ; faccio un es.:
Tu stai sviluppando una certa applicazione.
Ad un certo punto io collaboro con te da una citta' diversa per una parte
del codice ed ho messo piu' tempo del dovuto ad ultimarlo, per cui tu ora
hai parecchia fretta.
Quando telefonicamente ti comunico che sto per spedirtelo via e-mail, tu mi
avverti di sbrigarmi e di cifrarlo PGP perche' hai paura di furti.
Se io non ho ancora installato PGP, la cosa diventerebbe un po' lunga, ma se
tu avessi una versione PGP utilizzabile dalla tua homepage per cifrare i
messaggi non avresti che da indicarmi l'URL e i valori della tua chiave
pubblica, poi, in questo caso, la comprova della mia identita' sarebbe
abbastanza superflua e la decifrazione del codice sarebbe possibile solo a
te con la tua corrispondente chiave privata.
Io per motivi scolastici ho iniziato a sviluppare qualcosa del genere ma, a
parte le notevoli limitazioni nei calcoli, ha anche il difetto di
implementare un ActiveX non firmato, per cui e' ben poco utilizzabile; (sto
pensando di farne una versione piu' 'performante' in Java).
Pensavo pero' che, visto che ora PGP e' anche opensource, qualcuno l'avesse
gia' portata in qualche modo sul web.
IMO una cosa del genere stimolerebbe molto chi ancora non usa PGP ad usarlo.


 avverti di sbrigarmi e di cifrarlo PGP perche' hai paura di furti.
Una submit form in una pagina HTTPS, non potrebbe bastare?
Ciao,
un TJL73 e le banalità...
-- 
"E' inutile affannarsi tanto nella vita...
 Tanto, non si riuscirebbe ad uscirne vivi!"
                                                                -- SDB

messaggi non avresti che da indicarmi l'URL e i valori della tua chiave
Il problema è garantire a chi la usa che quella versione di PGP non sia
troianizzata o le comunicazioni intercettate da qualcuno che sta in
mezzo.


 Una submit form in una pagina HTTPS, non potrebbe bastare?
Perche' no, ma la domanda era se conoscevate homepage da cui si potesse
inviare msg cifrati tipo PGP al proprietario ad es.
Io non ne conosco e sarei interessato a vederne qualcuno.


 mezzo.
:D a parte che sta "PGP troianizzata" mi suono un po' porno...
(cmq +o- lo so cos'e' un troian-horse)
se ho ben capito, il problema avverrebbe a monte dell'invio dell'e-mail con
il msg cifrato, cioe' quando io compilo il form di submit, naturalmente in
italiano e quindi 'in chiaro' non avendolo ancora cifrato con la tua chiave.
Tu dici che e' li' che avverrebbe lo sniffing?
quindi volendo fare le cose serie l'idea mia e' da bocciare in pieno ed ecco
spiegato xche' non ci sono homepage fatte cosi' :-) grazie per il
chiarimento!



Scusa,ma mi e' venuta in mente ancora una cosa:
la mia idea finale era di usare un'applet Java anche per migliorare
l'ampiezza di utilizzo ma se ci si limitasse ad usare solo un ActiveX
richiamato dall'HTML, non credi che il problema della sicurezza gia'
diminuirebbe?
con l'applet pero' non so bene in tema di sicurezza..quello che so e' che e'
'imbarazzante' avere un activeX sull'homepage per chi, come penso sia anche
il tuo caso, usa Linux :-(
Voglio dire che innanzitutto non ci sono piu' in alcun momento caratteri del
msg che transitano in chiaro sulla rete perche' la cifratura avverrebbe sul
mio PC dove dalla tua homepage mi si e' scaricato l'activeX.
Resta il trojan: anche qui non so: potrebbe essere la mia macchina infetta
oppure potrebbe gia' risiedere sul server dove c'e' l'ActiveX? E' cosi'
facile agganciare un trojan ad un ActiveX?
Forse tu sul server dovresti controllare le dimensioni dell'activeX ed
anch'io confrontarle..
Una volta che ho modificato un activeX mi ricordo che ho dovuto poi cambiare
anche l'ID perche' il n° identificatore di prima non lo accettava piu'. Poi
c'e' anche la storia della firma..
Cmq 'sto trojan mi deve leggere, e spedire dove vuole lui, cio' che io
scrivo in chiaro sul mio PC..
Inoltre se il trojan non me lo becco la prima volta che mi collego alla tua
homepage, dopo non dovrei piu' prenderlo visto che una volta che l'activeX
risiede permanentemente sul mio HD le volte successive non sono richiesti
ulteriori download. (Bisognerebbe avvertire gli utilizzatori nei cambi di n°
di versione per il resto gli ulteriori download sarebbero da considerarsi
sospetti).
IMO e' pure buona norma alla fine delle pagine HTML inserire l'indicazione
che si aggiorna da sola sulla data del salvataggio sul server del file
stesso. Certo che 'l'Ulisse' potrebbe anche cambiare la data dell'effettivo
salvataggio del file taroccato sul server, pero'..
Spero di non aver scritto troppe stupidate, sono solo considerazioni di uno
che la sicurezza la studia solo per un fine scolastico ma che all'atto
pratico dal punto della privacy personale non e' che ne sappia ne' mi abbia
mai interessato molto e quindi adesso brancolo un po' nel buio!
