Newsgroup: it.comp.sicurezza.pgp
Titolo: Valore legale PGP

Salve,
Ho cercato qualcosa su zio gugo, ma non ho trovato granche', quindi lo 
sottopongo alla vostra attenzione: che voi sappiate esistono in Italia 
precedenti giudiziari rilevanti riguardo all'utilizzo in processi di prove 
di certificazione con la sign in Open_PGP ?
In pratica: un documento firmato con PGP/GPG, ha un qualche valore legale 
tipo la posta certificata digitale di adesso, oppure non viene considerata 
proprio?
-- 
BArrYZ
Key_ID: 0xC1E74174
[_Sign?_] 

proprio?
Hanno entrambi valore, in modo diverso.
-- 
ciao, | The Internet is full. Go away.  -- Joel Furr      | #156856496
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it/
         | 
m...@jabber.linux.it

> lo Cerca meglio. 
www.interlex.it
.
Grazie per la segnalazione, forse qualcosa ho trovato. Ma non scioglie con 
chiarezza il dubbio,IMHO.
Qui si fa riferimento alla firma PGP:
http://www.interlex.it/docdigit/faq/faq73.htm
E si parla di firma *leggera*, cioe' con poco valore legale.  Presumo, 
perche' la Faq non e' chiarissima, che sia per via del fatto che da un punto 
di vista legale il web of trust, e tutta l'eventuale catena certificativa 
con le sign delle chiavi pubbliche tra gli utenti, non e' riconosciuta come 
invece un ente semi-notarile che certifichi queste cose.
Ma da un punto di vista piu' concreto, se io firmassi le mie con la mia 
bella firma PGP (e la mia chiave pubblica fosse firmata da molti altri 
utenti, quindi *sicura*), di fronte ad un giudice, che valore avrebbe 
questa?
Sarebbe oggettivamente qualcosa di piu' di una mail oppure e' tutto sempre a 
discrezione del giudice?
-- 
BArrYZ
[_Sign?_]

 discrezione del giudice?
Sarebbe oggettivamente di più, perché da un punto di vista pratico il
sistema di crittografia utilizzato è riconoscibile come sicuro e le
persone che hanno firmato la tua chiave possono testimoniare di conoscerti.
Cio non toglie che non ha lo stesso valore della firma digitale fatta
con certificati emessi da una CA riconosciuta.
Diciamo che si colloca a metà strada.
Flavio

 Diciamo che si colloca a metà strada.
Capisco, quindi avere un certificato per la propria chiave pubblica, e' 
l'unico modo. E quelli rilasciati gratis (tipo Thawte, per capirci), sono 
riconosciuti indiscriminatamente, oppure c'e' una lista di societa' non 
riconosciute qui in Italia?
-- 
BArrYZ
[_Sign?_]

 riconosciute qui in Italia?
Al contrario, c'è una lista delle sole società riconosciute (dall'AIPA,
che però ha cambiato nome, ma su interlex vedrai che dicono tutto per
filo e per segno).
TUTTO IL RESTO, se segue le stesse considerazioni tecniche di livello di
sicurezza, è "firma leggera".
Se invece non le segue (esempio: DES a 56bit) non vale niente e stop.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkNFzQYACgkQaJiCLMjyUvumMQCeKtt6AlvUH4lyjzQgm5NpupdI
EeUAn2WZqm4RDSpbmJcSOY78LIOx8k0F
=s4/k
-----END PGP SIGNATURE-----

 filo e per segno).
Quello che a me interessava capire piu' precisamente era sapere se esiste la 
possibilita' di eseguire transazioni con valore legale (cioe' lo status di 
documento scritto e firmato), tutto via mail. Il tutto senza passare per 
certificazioni di enti o altro, a pagamento.
Se la firma PGP e' un qualcosa di cosi' poco riconosciuto (perche' di fatto 
e' demandato al riconoscimento o meno da parte del giudice, che puo' voler 
dire tutto e niente) anche in presenza di un catena di trusting forte da 
parte dell'utente che la usa (che magari partecipato ad un keyparty), mi 
domando se l'uso di certificati sia un qualcosa che sia ugualmente semplice 
per l'utente comune. Perche' a me pare indubbio che tutto il sistema a 
chiavi pubbliche ha da parte sua una forte snellezza che per il cittadino 
medio sono davvero una grande risorsa per la collettivita' e non capisco 
perche la legge non ne riconosca pienamente lo status. Richiedere un 
certificato, invece, gia' lo trovo piu' complesso per quanto mi riguarda, ma 
forse e' solo una mia impressione.
Per andare piu' in concreto cerco di fare un esempio piu' terra terra: se io 
per scrivere ad un'azienda firmassi tutte le mie e-mail con la mia firma 
PGP, poi potrei portare quelle mail in sede di giudizio nel caso volessi 
andare a vie legali con quell'azienda?
-- 
BArrYZ
[_Sign?_] 

 andare a vie legali con quell'azienda?
Se proprio proprio è Lei che può usarle contro di te.
Se io ti invio un Fax, io non posso utilizzare il Fax come prova contro
di te, in quanto non è accertabile che tu abbia ricevuto tale Fax.
Se invece sei tu a portarmi in giudizio, allora il Fax ha valore legale
perché sei stato sicuramente tu ad inviarmelo se c'è la tua firma.
Se per esempio vuoi dare un valore "legale" al sistema, puoi fare un bel
contratto tra te e l'azienda in cui vi accordate sull'utilizzo delle
firme PGP (e scrivete le chiavi pubbliche sul contratto) nelle vostre
comunicazioni. Sempre nel contratto specificate bene che le
comunicazioni firmate con le chiavi PGP indicate non possano essere
ripudiate e siglate il contratto davanti ad un notaio.
Teoricamente così dovrebbe avere pieno valore legale anche PGP, ma
limitatamente alle comunicazioni che intercorrono tra i firmatari del
contratto in quanto sono loro che con l'apposizione della firma davanti
al notatio garantiscono il valore del sistema.
Flavio

 perché sei stato sicuramente tu ad inviarmelo se c'è la tua firma.
  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Perché sono stato sicuramente io ad inviartelo se c'è la mia firma.
:-)
Flavio

 ripudiate e siglate il contratto davanti ad un notaio.
Si' si', comprendo, ma io cercavo una scappatoia che evitasse contratti e 
notai, sfruttando la potenza del web of trust e dell'archivio delle chiavi 
pubbliche. Perche' andare dal notaio e' sempre lecito, ma, per esempio, per 
evitare di mandare una raccomandata ad una ditta, non si potrebbe sfruttare 
una bella mail PGP-signed ?
Ovviamente la firma non dimostrerebbe la ricezione della mail (do per 
scontato che al ditta risponda alla mail, e gia' quello basterebbe per 
dimostrare che lei l'abbia ricevuta, proprio per il principio che riportavi 
tu), ma dimostrerebbe che io sono io, che e' gia tanto secondo me.
E poi, per le date, avevo sentito parlare del PGP timestamping per 
certificare il timestamp sulla posta, ma non so se e come funzioni.
-- 
BArrYZ
[_Sign?_]

 certificare il timestamp sulla posta, ma non so se e come funzioni.
Con PGP non ha comunque valore legale. Il timestamping della firma deve
essere fatto da un organo autorizzato (marca temporale) ed ha lo stesso
valore del timbro postale. Se non è fatto da soggetti autorizzati non
serve a nulla e non ha valore legale.
Flavio

 non si potrebbe sfruttare una bella mail PGP-signed ?
Si "potrebbe" nel senso che "avrebbe senso" modificare la legge in tal
senso, su questo concordo... purtroppo, allo stato attuale delle cose,
non si può; o melgio, si può, ma non vale comunque niente più che "firma
leggera" ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkNJD+wACgkQaJiCLMjyUvuorgCeKIF9pLOiLAQ/PmCdooUpnRMu
sJYAoKVZDiSV71FxUcsIYpU3XQ02pf17
=ugob
-----END PGP SIGNATURE-----

 leggera" ^_^
E' gran peccato, si'. Eppure basterebbe poco; e la sicurezza non sarebbe 
compromessa, anzi.
-- 
BArrYZ
[_Sign?_]