Newsgroup: it.comp.sicurezza.pgp
Titolo: Outolook express: parametri sballati

 pensato.
Sarebbe praticamente una sorta di PGP/MIME in cui la firma non e' in
allegato ma negli headers del messaggio. Una serie di headers del tipo
"X-PGP-SIGN:", eventualmente numerati se ce ne dovesse volere piu' di
uno...
Da un punto di vista tecnico non penso ci sia nessun problema,
bisognerebbe buttare giu' una RFC... ;-))) 
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Carlo Luciano Bianco wrote:
| Sarebbe praticamente una sorta di PGP/MIME in cui la firma non e' in
| allegato ma negli headers del messaggio. Una serie di headers del tipo
| "X-PGP-SIGN:", eventualmente numerati se ce ne dovesse volere piu' di
| uno...
|
| Da un punto di vista tecnico non penso ci sia nessun problema,
| bisognerebbe buttare giu' una RFC... ;-)))
Penso che il principale problema sarebbe che il messaggio viene
normalmente "maneggiato" (wrap, conversioni di codepage e/o altro)
mentre un messaggio MIME non lo è...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj8+b2kACgkQaJiCLMjyUvv8uQCfVckKCQjVMLX+BxHw9QpIrD65
jr8An3BgiW1JraEPKXgdODmLL19KRQeF
=iIka
-----END PGP SIGNATURE-----

 mentre un messaggio MIME non lo è...
Beh, ma lo stesso problema si presenta anche con il formato "inline",
no? Una firma PGP negli header non potrebbe comunque essere peggio di
una inline... 


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Carlo Luciano Bianco wrote:
| Beh, ma lo stesso problema si presenta anche con il formato "inline",
| no? Una firma PGP negli header non potrebbe comunque essere peggio di
| una inline...
Secondo me sì, per dirne una se un "maneggiamento" tipico da parte di un
server (specialmente se gratuito) è aggiungere testo in automatico in
testa o in coda, con un inline (che i suoi bei delimitatori) non è un
problema.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj8/qCYACgkQaJiCLMjyUvtjKgCfZlp9HL6LRceQVmpp413e7Qtc
hHgAnjz6q8/UrpSTCI02eyNFGyN7BlS5
=5VdH
-----END PGP SIGNATURE-----

 un problema.
Hai ragione, non avevo pensato a questo problema... :-/


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Carlo Luciano Bianco wrote:
|>Secondo me sì, per dirne una se un "maneggiamento" tipico da parte di
|>un server (specialmente se gratuito) è aggiungere testo in automatico
|>in testa o in coda, con un inline (che i suoi bei delimitatori) non è
|>un problema.
| Hai ragione, non avevo pensato a questo problema... :-/
Tra l'altro questo si pone perfino con S/MIME (nel caso di messaggio
solo firmato): i programmi che non conoscono l'S/MIME lo prendono per
normale MIME (sembrando quindi messaggio + strano attach .s7m) e
smanacciano il messaggio tranquilli tranquilli lasciando l'attach ormai
diventata una firma detached completamente non valida =(
In realtà il caso "server o client che non conoscono lo standard usato"
si può cercare di "rattoppare" o "evitare" ma prima o poi qualche casino
succede =(
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9Aa3cACgkQaJiCLMjyUvu+nACdECFlwDGfEoA1LdwlaZWWoTz3
s40AoPy77UNMB29U4GTq5l1og0fBmQRv
=IQip
-----END PGP SIGNATURE-----