Newsgroup: it.comp.sicurezza.pgp
Titolo: Autenticità della firma

Salve a tutti,
mi č venuto un dubbio che riguarda i messaggi solamente firmati.
Se qualcuno creasse una coppia di chiavi col mio nome e poi firmasse
un messaggio con la stessa coppia di chiavi, come potremmo accertare
che č messaggio non č il mio?
Alessandro Grossi
http://ale.grossi.name
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: 6.5.8ckt 
http://www.ipgpp.com/
mQGiBD5ontIRBADlDXq1W+LbTog9nGm3io+Chm/Plzaqe82ZyuTv7z54Mh94jyuE
tG3g7vUIepFSA/F+2MqvJ7eTMDKkuhQcIIwunY2Lrqh5v+t+DQAX6ov6XXpUMm4V
4rlngr4MYRRbfidWZImHIxYEnugb/TahYhuUhd0mckHWUlczWVrJAZ6RtwCg/y9n
DlaXORCGSOUKnywyeybtNBEEAKbBM4rffHAfayuA/aS85UPRRsOYUCZ3orZEdeog
GHbc0tK8xvTew371N5eYPDPfoB6a3R2KVwSOkARVczxRJCrcLz72SzE2Lf1+ZWk7
MrKBIHaxj7ACOktIaVmi3cghZ9aqiEroaHIj59ysJrj38bjuxzYSsegZ1LmNUZb6
+PpYBADIHvrnbGKY47NBuWEO2VufUfPZ+58ZGkk3NdKstGVSlyTndZFAEwzm2zdx
CFG381vEcxKe56d7P9sd1FXAj0f6UH3Ns6MmLgBXWgQWiQ0+hPnPgsezVvQPA+tu
zFgMDJZi/NZ29+yi62ScXN3X7odJU8RgLr2ZUkWzlD9VZsFXfbQqQWxlc3NhbmRy
byBHcm9zc2kgPGFsZXNzYW5kcm85NjNAeWFob28uaXQ+iQBTBBARAgATBQI+aJ7S
CQsJCggCBwMBBAIZAQAKCRC2xwhr7HA0ZVmHAKDy1lxmUETOmFjsB4dCiFKZJMnz
gQCgxA5t+n/HIXq0GifOG92NOuQwKKa5Ag0EPmie5xAIANWB5swMvQYor4HxE22p
0F78uNKJ7CZu9VFXV4HEVAbmy5oCQgB3YxI8YMnNdzPKx3boOUIGMzA9d/l2Fxvt
BlhHQNafyZ6OkemACrfQu2w/UjEHR52l5C8QykFy86/2rfLN+JPAcAjKIqIuM+Qe
Y3pFRjEkcyiNvxPX2iajYdaVMbR4qyhIQyRfH2+7Vj0EncaBJjqHbRAZOqE1v1mg
KfY1za+ZVRLdGgvpCeNHbNQcd9yxrrgSEZUUTB0J4xY2VYSs/NFbKYhMnMn8BI+P
k5ZVlxVztvIELW+2S6Q4hovGWswpFKUB5lhr2xWsrw4P/w7pBIvgwi62uIo3i4lD
qWUAAgIH/1Q+YUPiFCsKMSJEUgn71YXFKNd54McDk7shvwJ32W1GVEBk3g4riJjQ
gn3LVCsoK7+zEgYwrl25VFvzly4/p2lt9zirz4aIeQBLOYQ69LnVAmhWQuAA6VSk
pRZpE03+pzBik8lYKwX4JIuZiUuPV0+yncnhTZE27YovZY/sjepcYoMJvCLK07lM
nz841B7c8UWgXph+fgk230VRjNw+E9RNl1JpuK0TpKg5XftLXG16Ua00tM6OqUu/
Rc7iw+1V6XaffN+BuDp4dT6Hjd4pfhzEzONukG/ZeZIXJDS0Xj5NVBn3fghCynew
SODbOZvr3+Dv1iluAW7HQ+OKa/eVawSJAEYEGBECAAYFAj5onucACgkQtscIa+xw
NGX6qgCgjXy+cuUyY/WbS1jqDLK9bsWt5C0AnAjBH+wnjylmk7vy7L+YQ2WCRvwf
=nWyc
-----END PGP PUBLIC KEY BLOCK-----


Ciao,
un TJL73 e le FAQ...
-- 
Alcuni si celano dietro al poco che sanno,
per nascondere la propria immensa ignoranza
su tutto il resto.


Certo che una conferma telefonica o di persona toglierebbe ogni
dubbio. Ma se io volessi scrivere su un newsgroup mica mi posso fare
telefonare da tutti coloro che leggono i miei messaggi!
Circa un anno fa mi capitò che qualcuno usasse il mio nome ed i mie
dati per parlare male (insultando) del provider con cui ero abbonato.
La cosa mi ha dato molto fastidio, ma mi sembra che non ci siano
soluzioni a questo.
Alessandro Grossi
http://ale.grossi.name

 telefonare da tutti coloro che leggono i miei messaggi!
E' evidente che non hai letto o capito cosa sia una web-of-trust (ricorda, 
Google è tuo amico!)
8-)
-- 
"Any sufficiently advanced technology is indistinguishable from magic."
                                                            Arthur C. Clarke

 ha scritto nel messaggio
news:iosh6vspekledvno2...@4ax.com...

Il problema che stai ponendo è un problema conosciuto della crittografia a
chiave pubblica: associare una data chiave pubblica PU ad un utente U.
Per risovere questo problema ci si deve basare su una "terza parte fidata".
Nell'approccio più "classico" questa ruolo è svolto dalle società di
certificazione, tipo verisign o thwate. Queste società, dopo opportuni
accertamenti, rilasciano dei "certificati" che provano che una determinata
chiave pubblica appartiene effettivamente all'utente U. Tutti si devono
fidare di quello che dicono queste società.
Nel caso di PGP invece non esistono queste società, tutto è svolto
attraverso la cooperazione degli utenti: U1 verifica che la chiave PU2
appartiene effettivamente a U2 (ad esempio attraverso telefono). A questo
punto pone una "firma" sulla chiave PU2 utilizzando la sua chiave segreta.
Se io (utente U) possiedo la chiave PU1 e mi posso fidare di questa chiave
(e di U1) allora posso dire che anche la chiave PU2 è fidata, in quanto già
verificata da U1. (ho detto cavolate? ;-))
L'approccio di PGP è migliore da un punto di vista "filosofico", in quanto
non devono per forza intervenire autorità esterne di cui fidarsi, IMHO pero'
per come è normalmente utilizzato fornisce una sicurezza peggiore: raramente
le chiavi (per quello che ho visto) sono firmate da più persone. Se qualcuno
pensa il contrario sono felice di discuterne!
ciao!
mirko.

 Se qualcuno pensa il contrario sono felice di discuterne!
Sono d'accordo con te... :)
Saluti,
Federico che s'e` risvegliato da un lungo sonno... Ehi l'hanno
approvato !!! <bg>
-- 
La Wikipedia Italiana sta crescendo !  Visita:  
http://it.wikipedia.com
Linux Registered User: #263663 / Machine: #160060 (Debian 3.0r1/ Woody)
On the Net:  
qu...@despammed.com
  - On the Web:  
http://quaqo.lonex.org
On Jabber: 
qu...@jabber.org
 - On ICQ: 48618109 - My GPG Key: 0x5539D8E4

 Ehi l'hanno approvato !!! <bg>
<cit>
Ma ora che sarà dei thread attivi su questo ng?
Verranno migrati o verranno "perduti"?
E' previsto un periodo di "affiancamento", in cui impostare dei f/u al
nuovo i.c.s.c?
</cit>
Ciao,
un TJL73 che sta già scrivendo "
http://www.google.it/
" nel browser...
-- 
*NOTE: This message is ROT-13 encrypted twice for extra protection*

attraverso la cooperazione degli utenti: 
E proprio quì è il problema!
Io che non ho mai usato PGP, e quindi nessuno mi conosce, come posso
fare per farmi garantire?
-----BEGIN PGP SIGNATURE-----
Version: 6.5.8ckt 
http://www.ipgpp.com/
iQA/AwUBPm+RwrbHCGvscDRlEQLeHgCgkGBz/bfTXJ3uBRqP5p3VmXaWXjUAoMty
6GH5gXn/wz1lgockhAva0iF4
=RVkB
-----END PGP SIGNATURE-----
Alessandro Grossi
http://ale.grossi.name


Ciao,
un TJL73 che, prima o poi, parteciperà attivamente...
-- 
"Se il solo strumento che possedete e` un martello,
 vedrete in ogni problema un chiodo."
                                                       -- Abraham Maslow

 fare per farmi garantire?
Potresti organizzare e/o partecipare ad un "Key Signing Party"... in
