Newsgroup: it.comp.sicurezza.pgp
Titolo: PGP scartato per firma digitale da P.A.

"
...]
____________________________________________________________________
Get free e-mail and a permanent address at 
http://www.netaddress.com/?N=1
--
Automatic posted from 
www04.netaddress.usa.net
 [204.68.24.24]
via Mailgate Server - 
http://www.mailgate.org

chiavi ......................... :-((((((((((((((((((
Salve a tutti,
ho prelevato la bozza su indicata da
"
http://www.aipa.it/attivita/standard[5/firma[2/index.asp
" (indirizzo alquanto
strano per una pagina Web). E' stata pubblicata in formato .pdf.
Dopo una fugace lettura, devo ancora sviscerarla -consta di ben 23 pagine-,
almeno a me e' sembrata non male:
1) L'algoritmo da usare per la generazione delle firme dev'essere RSA o DSA;
2) La generazione delle chiavi puo' essere eseguita dal titolare (logicamente se
rispetta le condizioni poste in merito all'algoritmo e alla sicurezza del
software utilizzato)
3) La chiave segreta rimane esclusivamente al legittimo titolare (infatti
bisogna
solo dimostrare la corrispondenza con quella pubblica depositata e per la quale
si richiede la certificazione)
4)Le chiavi non potranno essere inferiori ai 1024 bit;
RISULTATO: PGP risulta essere perfetto! Anche per le versioni piu' datate (per
alcuni le piu' sicure!)
Il X.509, sinceramente non ne ho mai sentito parlare prima, dall'art. 1.2 della
bozza, sembra essere una definizione ufficiale dello stesso algoritmo RSA, ma
devo ancora comprendere meglio...
Inoltre, finalmente, si chiarisce anche la figura del certificatore. Non
necessariamente un ente pubblico, ma anche un privato che ne faccia richiesta e
che risulti avere i requisiti per farlo. Chiaramente sara' realizzato anche un
elenco ufficiale dei certificatori.
Invito a scaricare la bozza cosi' potremmo aiutarci nella sua interpretazione.
Per chi non abbia un reader per i file .pdf posso inviargli la bozza in formato
testo.
Salute
-----
Esposito Silvano
http://silvano.freeweb.org
remove NOSPAM to reply
PGP keys and Fingerprint at 
http://www.freeweb.org/personali/silvano/pubkey.zip

, "Silvano Esposito" <s.esp...@NOSPAMaltavista.net> writes:
|> 1) L'algoritmo da usare per la generazione delle firme dev'essere RSA o DSA;
Fra l'altro l'RSA e il DSA in europa sono diponibili solo a 40 bit per la
criptografia! :( Questo vuol dire che le firme sono anche a 1024, ma se volete
criptare i vostri messaggi potrete farlo solo a 40 bit :(
|> 2) La generazione delle chiavi puo' essere eseguita dal titolare (logicamente se
|> rispetta le condizioni poste in merito all'algoritmo e alla sicurezza del
|> software utilizzato)
No, dal titolare solo se il software rispetta la corrispondenza delle chiavi con
il titolare. Nessun software lo sa fare.
|> 3) La chiave segreta rimane esclusivamente al legittimo titolare (infatti
|> bisogna
|> solo dimostrare la corrispondenza con quella pubblica depositata e per la quale
|> si richiede la certificazione)
Leggi l'articolo II.12 comma 2. Da la facolta' di fare la coppia di chiavi da
parte del certificatore. Inoltre al momento del rinnovo e' esplicito che e' il
certificatore che fa la nuova coppia di chiavi.
|> 4)Le chiavi non potranno essere inferiori ai 1024 bit;
Questo e' bene :))
|> RISULTATO: PGP risulta essere perfetto! Anche per le versioni piu' datate (per
|> alcuni le piu' sicure!)
No, PGP non va bene invece, vogliono certificati X.509 :(
|> Il X.509, sinceramente non ne ho mai sentito parlare prima, dall'art. 1.2 della
|> bozza, sembra essere una definizione ufficiale dello stesso algoritmo RSA, ma
|> devo ancora comprendere meglio...
l'X.509 e' lo standard dietro S/MIME. Qui si parla di usare S/MIME e X.509 con
algoritmi controllati dalle attuali leggi ITAR americane. PGP e' l'unica
soluzione che non sottosta al controllo delle leggi ITAR americane (al momento
attuale). 
|> Inoltre, finalmente, si chiarisce anche la figura del certificatore. Non
|> necessariamente un ente pubblico, ma anche un privato che ne faccia richiesta e
|> che risulti avere i requisiti per farlo. Chiaramente sara' realizzato anche un
|> elenco ufficiale dei certificatori.
Questo e' bene! :)
|> Invito a scaricare la bozza cosi' potremmo aiutarci nella sua interpretazione.
|> Per chi non abbia un reader per i file .pdf posso inviargli la bozza in formato
|> testo.
Piuttosto, speriamo che accettino gli emendamenti per accettare anche certificati
PGP.
Best regards,
ivan
---
+==============================================================+
| Ivan Pintori - Security Engineer - UUNET WorldCom            |
| 332 The Science Park, Cambridge, England, CB4 4BZ            |
| Email: 
Ivan.P...@uk.uu.net
      WWW: 
http://www.uk.uu.net
 |
| Voice: 
+44-(0)1223-250100
          Fax: 
+44-(0)1223-250101
   |
+==============================================================+
 Le opinioni espresse sono le mie e non quelle dell'azienda
 All opinions are my own and not those of the company
PGP fingerprint =  8438 AB1C 985E BF8C  FBC2 7C72 064F 5E59  9FC6 0217

via Mailgate Server - 
http://www.mailgate.org
Dario Forte
Certified Check Point Firewall 1 CCSE-CCSA
USENIX-SAGE individual member
Internet:
www.darioforte.com
 (Pgp Keys ready for download)
GSM 0039.0335.8159971
***********************************************************************************
Dario Forte is not responsible for any recommendation, solicitation, offer or
agreement or any information about any transaction, customer account or account
activity contained in this communication.
***********************************************************************************

alf...@usa.net
 wrote:
 >Al suo posto, fra gli altri X.509: chi è costui? e forse con
L'algoritmo usato da netscape e dai prodotti microsoft.
Ribadisco l'invito a scrivere all'autority chiedendo che venga
esaminata la possibilita` di usare OpenPGP.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Grazie per la tua risposta cosi' precisa,
mi e' servita molto.
Ma ti dispiacerebbe aiutarmi a comprendere meglio cosa sia un software che
rispetta la corrispondenza delle chiavi con il titolare?


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
(messaggio mandato in CC al Sig. Terranova dell'AIPA)
On Fri, 14 Aug 1998, Silvano Esposito wrote:
s.espo>Grazie per la tua risposta cosi' precisa, mi e' servita molto.
Di nulla, e' un piacere essere di aiuto.
s.espo>Ma ti dispiacerebbe aiutarmi a comprendere meglio cosa sia un software che
s.espo>rispetta la corrispondenza delle chiavi con il titolare?
Mi sono espresso male.. ti cito l'Articolo I.5 comma 2 bella bozza
(l'articolo tratta della Generazione delle Chiavi)
"2. Il sistema di generazione delle chiavi deve comunque assicurare:
a) la rispondenza della coppia ai requisiti imposti dagli algoritmi di
generazione e di verifica utilizzati;
b) l'equiprobabilita' di generazione di una qualunque delle coppie
possibili;
c) l'identificazione certa del soggetto che attiva la procedura di
generazione."
Leggo il punto c). Si richiede che il software che crea la coppia di
chiavi possa "assicurare l'identificazione certa del soggetto che
attiva la procedura di generazione". Il che vuol dire che se io
certificatore non sono certo di CHI abbia creato la chiave, non posso
certificarla.
E qui cade l'asino! Quando mi faccio autenticare la firma in comune, non
viene dichiarato che la mia firma e' VERA, ma solamente che e' stata posta
di fronte ad un ufficiale comunale e che mi sono presentato come "Ivan
Pintori" a fronte della presentazione del documento di identita'. In
pratica posso mettere anche una croce sul foglio, ma siamo tutti sicuri
che quella croce l'ho messa io perche' ho presentato la croce e un
documento all'ufficiale comunale.
Lo stesso dovrebbe accadere con il certificatore: io debbo poter 
presentare una chiave publica che mi viene certificata previo mia
presentazione di un documento di identita'.
In effetti, se ben ci pensate, non potrete neanche avere le vostre chiavi
pubbliche certificate "on-line", ma dovrete trovare un modo per presentare
il vostro documento al certificatore, il quale dovra' tenere copia del
documento e della domanda di certificazione per almeno 10 anni.
Best regards,
ivan
- ---
+==============================================================+
| Ivan Pintori - Security Engineer - UUNET WorldCom            |
| 332 The Science Park, Cambridge, England, CB4 4BZ            |
| Email: 
Ivan.P...@uk.uu.net
      WWW: 
http://www.uk.uu.net
 |
| Voice: 
+44-(0)1223-250100
          Fax: 
+44-(0)1223-250101
   |
+==============================================================+
 Le opinioni espresse sono le mie e non quelle dell'azienda
 All opinions are my own and not those of the company
PGP fingerprint =  8438 AB1C 985E BF8C  FBC2 7C72 064F 5E59  9FC6 0217
-----BEGIN PGP SIGNATURE-----
Version: PGPfreeware 5.0i for non-commercial use
Charset: noconv
iQA/AwUBNdSdpQZPXlmfxgIXEQIBggCfYUKYRlAmGiZG7ST1dfLOMKC9sDUAn3DB
MKr4tVXvDDTYRi1BsU9L+VPG
=IikR
-----END PGP SIGNATURE-----

dario...@usa.net
 wrote:
 >- attualmente X509 garantisce un'origine "super partes" cioé non
 >risulta essere fondamentalmente legato a parametri commerciali come
 >invece, allo stato attuale e anche futuro, Pgp;
Come no? X.509 e` spinto da RSADSI...
Di OpenPGP esiste una implementazione free (GPG) e gia` integrata o
quasi con tutto il software significativo. Di X.509 quali
implementazioni free ci sono?
 >- nonostante la disponibilita' del supporto LDAP garantita da Pgp
 >DevKit di NAI, attualmente e' X509 ad essere giudicato il piu'
 >"compliant" i field in chiaro sono, presumibilmente dovuti
 >all'esigenza di interoperabilità con i servizi di directory;
Vorrei sapere che se ne fa un programma di crittografia di un servizio
di directory. Se e` solo per scaricare le chiavi pubbliche allora
in cinque minuti ti preparo uno script che usa GPG e un client LDAP
unix.


unix.
sono sicuro che lo sai fare ;-)anche se, e lo sai bene, vi sono molti
paper che enfatizzano la simbiosi tra i due. Potresti allegare lo
script ad una mail per il responsabile aipa che si sta occupando dei
feedback, e' un'idea.
tuttavia, premesso che io non sono un sostenitore ne' di uno ne'
dell'altro, potresti, per favore, obiettare in maniera piu'pacata?
in questo modo la tua  competenza  passa in secondo piano ;-)
ho scritto "benvenuti i commenti", non "benvenute le aggressioni".
ciao

dario...@usa.net
 wrote:
 >si, lo so, ma a mio parere una cosa e' "spingere" e uno standard che
 >nasce come implementazione super partes ed un'altra e' essere
 >proprietari per poi, in futuro, poter rivendicare...
Una volta che lo standard viene accettato da IETF nessuno ne e`
proprietario. OpenPGP viene definito in un working group a cui chiunque
puo` partecipare, non in riunioni segrete.
 >>Di OpenPGP esiste una implementazione free (GPG) e gia` integrata o
 >>quasi con tutto il software significativo. Di X.509 quali
 >>implementazioni free ci sono?
 >JavaKey dal jdk 1.1 in poi , per esempio.
Intendi dire che c'e` il sorgente che posso riutilizzare per farci
quello che voglio? Comunque una implementazione in java e` abbastanza
inutile visto che non si e` mai visto al mondo un mail reader in java.



mi dispiace contraddirti ma di mail reader, parzialmente e full java,
ce ne sono almeno 10.uno di questi e' J Street Mailer . Una domanda,
ma con open Pgp e' possibile scrivere cardlet ?
ciao e buon lavoro

dario...@usa.net
 wrote:
 >>Intendi dire che c'e` il sorgente che posso riutilizzare per farci
 >>quello che voglio? 
 >con il Jdk, che e' free, puoi scrivere quello che ti pare, a che ti
 >serve decompilare il jdk?
Voglio avere una implementazione di riferimento e voglio che sia open
source per poterne riusare il codice.
Tra parentesi il JDK non e` free software ma solo gratuito, e non ho
alcuna intenzione di scrivere programmi in Java.
 >ma con open Pgp e' possibile scrivere cardlet ?
Con qualcosa intorno tutto e` possibile, di che si tratta?
