Newsgroup: it.comp.sicurezza.pgp
Titolo: Nuova versione

passphrase" ? 
tutto sommato non mi sembra affatto strano, 
dimostra solo una volta di piu' la "serieta'" della Network Associates.....
--
.
ciao
PGP key available 
Kryptosexual Cancroid homepage 
http://www.geocities.com/SunsetStrip/7966/kc.htm

da qualche parte ? 
si', la mia era una risposta "ironica", viene tenuta in memoria.
PGP 2.6.3 sconsigliava questa pratica, PGP 7 la imposta di default.....
devo dire che piu' passa il tempo e piu' la NAI mi stupisce per le scelte
che fa e per quanto mi riguarda la sua "serieta'" e' sempre piu' in
discussione.
Tra l'altro ho letto in alt.security.pgp che una delle nuove features di PGP 7
consiste nel continuo monitoraggio dei tasti premuti e del movimento del mouse
per generare "random bits", questo anche quando non si sta usando il PGP.
In altre parole se le cose stanno davvero cosi' e' un bellissimo trojan che 
sniffa tutto quello che viene digitato. 
Non ne vedo proprio nessuna utilita' e non mi piace affatto. 


ma a che scopo ?! 
credo per generare "entropia" che server poi durante la creazione del messaggio
ma non ho la documentazione sottomano. 
mi pare fosse il punto 12 o 13 delle sulle "new features".
Qualcuno puo' controllare ? 


Qualcuno puo' controllare ? 
Esatto
* Entropy and Cryptographic Algorithms *
13. Continuous entropy collection. PGP now continuously
    collects random data from mouse movements and keystrokes
    (whether a PGP-related window is open or not), and stirs
    that random data into the PGP entropy pool.
Lapalissiano
Icq 57269703

questo e' "secure" ?
1.
Mettiti nei panni di chi voglia decrittare, ad es., un intero cdrom,
contenente un numero svariato di cartelle e files. Come saprai, pgp
non critta le cartelle che contengono i files (cosa che invece si puo`
ottenere dal piu` modesto Kremlin), bensi` tutti i files ad uno ad
uno. Ora, se non ci fosse questa feature ("cache passphrase") - che
comunque e` disattivabile e, quando attivata,  consente di regolare il
tempo di permanenza in cache -, per raggiungere lo scopo (decrittare
il contenuto del cdr), bisognerebbe, per ogni file, digitare la
passphrase... un lavoro possibile ma sicuramente avvilente, lungo ed
estenuante.
2.
Questa utility ("Always use secure viewer when decrypting") va usata
nel caso in cui si ritenga di essere passibili di attacchi di tipo
"Van Eck" (o Tempest Attack, che e` la stessa cosa). In pratica questo
tipo di offensiva si basa sul fatto che il monitor, come ogni altro
apparecchio dove gira corrente, emette, quando e` acceso, delle
radiazioni elettromagnetiche che opportunamente rilevate ed
analizzate, consentono all'attaccante di risalire a cio` che scorre in
esso .
 
Ciao.
martin.luther.blissett
BDB1 BAD5 2321 797D 74A3  3D37 30E5 45FF F290 73A1

uno. Ora, se non ci fosse questa feature ("cache passphrase") - che
la cosa strana non e' che l'opzione sia disponibile (d'altronde lo era
anche con PGP 2.x) ma che sia attivata di default.
Essendo una feature che comporta dei rischi io l'avrei disabilitata di default
lasciando poi all'utente il compito di attivarla se lo crede necessario.
Perche' attivarla di default ? 
1)
alla NAI pensano che l'utente sia un poco scemo e non e' capace di attivarsi
l'opzione da se.
2) 
alla NAI sanno benissimo che molti utenti non leggono la guida e se capita
che devono criptare 50 files e ogni volta devono inserire la passwd (perche' non
sanno che esiste l'opzione cached passphrase) gli passa la voglia di usare PGP 
e passano a Kremlin o altro con conseguente danno economico.
altre non me ne vengono (tenderei a escludere l'opzione paranoica che 
facciano apposta per fare in modo che altri programmi possano accedere alla
passwd in memoria).
quindi la mia conclusione e' che la NAI ha una bassissima considerazione dei
suoi utenti, pero' pur di non perderli decide di esporre il suo programma
a dei rischi.  Gli utenti skillati non si lamenteranno piu' di tanto perche'
semplicemente disabiliteranno questa funzione, e gli altri non sapranno nemmeno
di correre dei rischi, tanto sono solo utenti, consumatori, esuberi (come diceva
beppe grillo).
Sono lontani i tempi del PGP 2.x che se non ti installavi la documentazione
al posto giusto (segno che non avevi nemmeno letto la guida iniziale)
non si installava neanche.  


[...]
Le tue considerazioni non mi lasciano estraneo, direi anzi che ne
condivido appieno lo spirito; tuttavia, volendo essere piu` completi,
dobbiamo anche dire, in questo caso specifico, che l'opzione e` attiva
di default per un tempo di due minuti soltanto: avrebbero potuto fare
di peggio!
Ciao.
martin.luther.blissett
-- 
0xF29073A1
29/07/00
E-mail buona sui KeyServer

di peggio!
Mi sembra che si stia drammatizzando oltremisura un aspetto che tra
l'altro è presente anche nella 6.5.8 (di default la cache decryption
passphrases è di due min.).
Sbaglio o un keylogger la pwd te la puo' "fregare" mentre la digiti? 
Credo inoltre che chi usa PGP non ci impieghi molto curiosando nelle
options a notare che c'è il segno di spunta su "cache decryption
passphrases".
Ciao
--
Tuscan65
e-mail: (senza z- remove z)

passphrases".
infatti, un utente "esperto" non ci mette molto (cosi' come non ci 
metterebbe molto a compiere l'operazione inversa (l'opzione e' 
deselezionata, gli metto un segno di spunta),
ma un utente meno esperto e che quindi andrebbe "tutelato" maggiormente 
potrebbe non accorgersene.
E questo per me e' un problema che alla NAI o non si sono posti (grave)
o su cui hanno preferito sorvolare (ancora piu' grave).
