Newsgroup: it.comp.sicurezza.pgp
Titolo: MD5

salve,
su 
www.enricozimuel.net
 leggo questa cosa:
"In particolare Hans Dobbertin ha dimostrato che con l’MD5,
con un normale PC, occorrono circa 10 ore per trovare collisioni."
da quello che so il requisito di un buon algoritmo per l'hash è che
sia computazionalmente intrattabile trovare due messaggi con lo stesso
hash, certo che se bastano 10 ore devo dedurre che MD5 non è per
niente un buon algoritmo hash, eppure è usato in PGP.
cosa potete dirmi a riguardo? le 10 ore sono una stima precisa o
l'autore si è sbagliato?

l'autore si ? sbagliato?
Semplicemente non è un problema. Il fatto che sia possibile trovare
collisioni non significa che l'algoritmo sia meno utile per applicazioni
di firma.
-- 
ciao, | * The Internet is full. Go away.  -- Joel Furr *
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it

 l'autore si è sbagliato?
Trovare collisioni possibili e' semplice.
Trovare collisioni di due documenti che abbiamo un senso compiuto e'
computazionalmente eterno.
Non so se rendo l'idea...
A presto...  Raffa!!!
---
Fingerprint PGP Key: F924 135B 1B70 307E 4819  4A00 5356 D718 6D4B 9EB5
La tua privacy è qui => 
http://pgp.unito.it

 di firma.
Uh!? Non è un problema? Che motivo ci sarebbe, allora, di utilizzare una
funzione crittografica ad altissima complessità lineare invece di un normale
checksum lineare da 32 bit?
Se la notizia fosse vera, sarebbe possibile falsificare molti protocolli di
commercio elettronico e gran parte dei protocolli a chiave asimmetrica.
Cristiano

 l'autore si è sbagliato?
Spero che sia una cavolata; non vorrei sentire tra qualche mese che qualcuno ha
trovato due messaggi che generano lo stesso digest per l'SHA-1! :-)
Io inizio a far macinare messaggi ai miei pc, vediamo se trovo qualcosa...
Cristiano

 Non so se rendo l'idea...
Non tanto :-)
Ci sono hash adatti ai documenti di senso compiuto ed altri adatti ai documenti
senza senso? Ogni documento è semplicemente una serie di bit, il senso gli e lo
dà il contesto in cui il documento viene usato.
Se io volessi hashare un documento compresso o una serie di numeri in formato
binario vuoi dire che troverei collisioni a iosa?
Cristiano

Se la notizia fosse vera, sarebbe possibile falsificare molti protocolli di
La notizia *è* vera.


 La notizia *è* vera.
Ok, allora non resta che verificarla.
Sto facendo girare un programma per verificare se e quando riesco a trovare la
collisione di due messaggi hashati con md5. Appena ho qualche novità la posto.
Cristiano


Organization: Chinet - Public Access UNIX
Date: Thu, 18 Mar 1993 04:06:39 GMT
Lines: 25
This is from Bart Preneel's Ph.D. thesis, "Analysis and Design of
Cryptographic Hash Functions," Jan 1993, p. 191.  It is about the
cryptanalysis of MD5:
 B. den Boer noted that an approximate relation exists between
 any four consecutive additive constants.  Moreover, together
 with A. Bosselaers he developed an attack that produces
 pseudo-collisions, more specifically they can construct two
 chaining variables (that only differ in the most significant
 bit of every word) and a single message block that yield the
 same hashcode.  The attack takes a few minutes on a PC.  This
 means that one of the design principles behind MD4 (and MD5),
 namely to design a collision resistant function is not satisfied.
I have not seen the actual paper yet, which will be presented at
Eurocrypt.  Both PEM and PGP rely on MD5 for a secure one-way hash
function.  This is troublesome, to say the least.
Bruce
--------------------------------------
E` da notare, contrariamente a quanto accade a Marco d'Itri, la preoccupazione
di Schneier nell'evidenziare che l'md5 (usato appunto in pgp) potrebbe non
essere resistente alle collisioni.
Dal canto mio, come già anticipato, sto hashando miliardi di bit per vedere
quanto è probabile trovare una collisione; per il momento siamo a 480 milioni di
stringe da 128 bit ognuna: nessuna collisione...
Ciao
Cristiano

 [...]
Ulteriori interessanti informazioni:
http://groups.google.com/groups?q=md5+group:sci.crypt.*&hl=it&selm=BURT.93Apr231
71338%
40chirality.rsa.com
&rnum=4
http://groups.google.com/groups?q=md5+group:sci.crypt.*&hl=it&selm=4oc8v5%242v1%
40mo6.rc.tudelft.nl
&rnum=3
Direi che gli utenti di pgp possano stare ragionevolmente tranquilli. :-)
Ancora meglio sarebbe che gli autori di pgp si decidessero ad aggiornarlo con i
nuovi algoritmi lasciando perdere roba vecchia di decenni.
Cristiano


|    * The default cipher algorithm for encryption is now CAST5,
|      default hash algorithm is SHA-1.  This will give us better
       ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
|      interoperability with other OpenPGP implementations.
Direi che ci hanno già pensato...  ;o)
Ah... io lascerei perdere il discorso PGP, ormai ufficialmente
abbandonato dalla stessa NAI.
L'unico che lo sviluppa ancora è Imad e...
| 13) Better control over the Preferred Hashing algorithm (Advanced tab, pgp
|     preferences dialog).  Setting this option to default will result in the
|     following:-
|       RSA keys -> MD5 will be used
|       DSS or Elgamal Sign/Encrypt -> SHA1 will be used.
|     If it is set to MD5 and the key is DSS then SHA1 will be used.  The
|     program is able to verify a DSS signed message where MD5 was used,
|     however will not allow you to use MD5 with a DSS key. This should
|     make PGP more compatible with GnuPG.
Quindi, a meno che tu non usi una chiave RSA...
Ciao,
TJL73 <tjl73ATdespammedDOTcom>
-- 
"Quando tutto il resto fa fiasco, leggi le istruzioni."
Assioma di Cahn - Legge di Murphy

 essere sviscerato.
Il discorso e' semplice da dire ma un po' meno da capire.
La proprietà della funzione di hash la conosci e hai capito che e'
relativamente semplice trovare una sequenza di bit che genera un DIGEST
uguale a quello del tuo documento che vuoi inviare autenticato.
Per fare un attacco a regola d'arte cosa fai: Prendi il documento e la
firma, togli la firma (DIGEST cifrato con la chiave privata) e la attacchi
alla sequenza di bit che hai trovato generare lo stesso digest del documento
originale.
Il destinatario vedra' che la firma e' valida ma.............. IL DOCUMENTO
NON HA SENSO. E' solo una sequenza di bit.
Non e' possibile trovare due documenti di senso compiuto che abbiano lo
stesso digest.
Per fare attacchi di questo tipo e' piu' facile cercare di craccare la
chiave privata, e con questo puoi capirene la difficoltà.
Se ci sono ancora dei dubbi.... Chiedi!!!


 Quindi, a meno che tu non usi una chiave RSA...
Eh, eh, anche questa non ti sembra una stranezza? Che motivo c'è di non usare
l'sha-1 con l'rsa? Mah!
Ciao
Cristiano

 Se ci sono ancora dei dubbi.... Chiedi!!!
Grazie della disponibilità :-)
Ciao
Cristiano

 Che motivo c'è di non usare l'sha-1 con l'rsa? Mah!
Mi sembra che anche questo, sia dovuto alla compatibilità con le
specifiche dello standard OpenPGP.
Ma quelle sono impostazioni di default... nessuno ti vieta di farlo...
Diciamo che la scelta è vasta, sta all'utente scegliere le
impostazioni che preferisce...


indicarmi dove devo andare a vedere esattamente?
Sono andato a vedere anche io e l'ho trovata qui:
http://www.enricozimuel.net/algoritmi.asp?Id=32
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 nelle versioni a 192 e 256 bit.
PGP (versione 7.0.1+) anche usa AES a 192 e 256 bit.  Quando selezioni 
"AES" come "Preferred Algorithm", l'algoritimi preferiti diventono AES-
256, AES-192, AES-128; in quell'ordine.
Paul

 256, AES-192, AES-128; in quell'ordine.
Ho provato, ma non ci sono riuscito... NAI PGP 7.1
Ho selezionato AES come preferred, ho applicato, ma restano
disponibili sempre e comunque solo gli stessi algoritmi...
Hai una distribuzione particolare o è quella ufficiale NAI?
Non ho provato il CKT... ma arriva fino a 6.5.8... quindi non credo
intendessi quella.


 impostazioni che preferisce...
Se è così, va bene. Leggendo il tuo precedente messaggio avevo capito che fosse
obbligatorio utilizzare l'sha-1 con l'rsa.
Cristiano

 
http://www.enricozimuel.net/algoritmi.asp?Id=32
Ah sě, grazie per il link.
In ogni caso, consiglierei di leggere la documentazione "ufficiale" (quella di
Dobbertin).
Cristiano

 (una dei miei siti preferiti!) e 
incolla la pubkey e cliccare su "Show Packets".  Si puo` anche fare 
qualcosa di simile con gpg e "--list-packets", ma PGPdump IMHO e` piu` 
carino.
5) vedrai qualcosa come:
       Hashed Sub: preferred symmetric algorithms(sub 11)(3 bytes)
              Sym alg - AES with 256-bit key(sym 9)
              Sym alg - AES with 192-bit key(sym 8)
              Sym alg - AES with 128-bit key(sym 7)
Questo ti dice che la chiave di prova ha, come algoritmi preferiti, 
tutti i tre varianti di AES.  E' piu` difficile mostrare che PGP sia in 
grado di veramente usare AES-256 con questa chiave.  Pero, e` facile 
mostrare che PGP puo` usare AES-256 con "conventional encryption", puoi 
fare cosi:
6) Sempre con AES selezionato come algoritmo preferito, copia qualche 
testo al clipboard.
7) Con PGPTools o PGPTray fai un "conventional encryption" del 
clipboard.
8) Copia il risultato dal clipboard dentro il modulo a 
www.pgpdump.net
 e 
cliccare su "Show Packets".
9) Vedrai 
       Sym alg - AES with 256-bit key(sym 9)
 
Questo vuol dire che il testo e` stato criptato(???) con AES-256.  
Per provare che PGP sia in grado di usare tutti i varianti di AES con 
cripto a chiave publica, dovresti fare qualche scambio di messaggi con 
GnuPG (che, immagino, ti permette piu` controllo).
Con PGP l'idea e` stato di essere piu` semplificato per l'utente: se 
l'utente ha selezionato AES come algoritmo, probabilmente vuole usare 
AES-256, AES-192, AES-128 in quell'ordine.
Paul

 Per verificare questo, puoi fare cosi`:
Ho provato e, in effetti, ho potuto verificare quello che hai
scritto...
Avevo gia` verificato che un messaggio cifrato con GnuPG con uno di
quei tre algoritmi (per la verita` tre versioni/dimensioni dello
stesso algoritmo), veniva decifrato correttamente e senza problemi da
PGP7x.
Con le tue spiegazioni, ne ho avuto l'ulteriore conferma.
Grazie delle preziose informazioni.
Il PGPDump, era un tool/sito che non conoscevo... io l'avevo sempre
fatto da GPGShell (opzione "PGP Packets").
Ah... complimenti per l'ottimo italiano.  ;o)
Ciao,
TJL73 <tjl73ATdespammedDOTcom>
-- 
"Ho investito meta` del patrimonio
in alcool, donne e auto veloci...
L'altra meta`, l'ho sperperata."