Newsgroup: it.comp.sicurezza.pgp
Titolo: Firmo Cosa ?

Non so come interpretare alcune cosettine sui documenti firmati da PGP,
ma confesso
che non mi piacciono molto, e mi sarebbe molto di aiuto alcune vostre
opinioni. Mi
spiego meglio (ho paura che sarò un po' lungo): un documento firmato in
chiaro con la
firma allegata da PGP si compone di due parti
1- Il documento stesso in chiaro
2- La firma del documento
Le stringhe di separazione del documento firmato sono tre, e dividono le
due parti così:
-----BEGIN PGP SIGNED MESSAGE-----
.... il documento in chiaro ...
-----BEGIN PGP SIGNATURE-----
... la firma del documento ...
-----END PGP SIGNATURE-----
Se prendo il documento, lo copio in clipboard e verifico quest'ultima
con PGP 6.0, mi
appare una finestra con scritta la data di firma: vuol dire che la firma
è valida, e mi
presenta il documento in chiaro senza stringhe di separazione e senza la
firma in una
nuova finestra.
Se modifico il documento firmato, NON E' DETTO CHE MI ARRIVI IL
MESSAGGIO
"BAD SIGNATURE". Infatti, se modifico ciò che sta prima della stringa
-----BEGIN PGP SIGNED MESSAGE-----
PGP mi chiede semplicemente di salvare da qualche parte la clipboard. Se
modifico,
aggiungendo qualunque spazzatura, ciò che sta alla destra della stringa
di cui sopra,
PGP mi dice che il documento è correttamente firmato. La stessa cosa per
le modifiche
dopo la stringa
-----END PGP SIGNATURE-----
L'integrità di un documento, non dovrebbe essere garantita in tutte le
sue parti ? Io potrei
intercettare un file firmato, aggiungere tutta la porcheria che voglio,
basta che non tocco
alcune parti critiche. Non è questo un problema di sicurezza ?
Probabilmente (spero) ho
scoperto l'acqua calda in polvere, ma qualcosa non mi convince. Certo,
PGP poi mi estrae
solo la parte corretta, ma intanto a me è arrivato anche dell'altro.
Forse è per questo che è
meglio firmare i documenti lasciando separata la firma ?
Saluti e Grazie per gli eventuali commenti.
--
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Davide Buggio
SIOSISTEMI s.r.l.
E-mail: 
dbu...@siosistemi.it
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

sue parti ?
No, PGP assicura l'integrita' in alcune parti ben definite tra la linea dopo
l'inizio del messaggio e la linea prima della fine del messaggio. (non mi
son spiegato bene, lo so.. e' ancora troppo presto per me :))))
PGP non ti garantisce nulla di nulla al di fuori dei suoi parametri, ed e'
giusto che cosi' sia! ;))
Ora, il problema di cui tu ti preoccupi si chiama "User Education", ovvero
insegnare all'utente quali sono i limiti della tecnologia (Tipo non puoi
usare una chiave inglese per le svitare e aprire il tuo computer... oddio..
se proprio vuoi puoi, ma non mi prendo responsabilita' dei risultati! :))
Best regards,
ivan
---
+==============================================================+
| Ivan Pintori - Security Engineer - UUNET, an MCI WorldCom co.|
| 332 The Science Park, Cambridge, United Kingdom, CB4 4BZ     |
| Email: 
Ivan.P...@uk.uu.net
      WWW: 
http://www.uk.uu.net
 |
| Voice: 
+44-(0)1223-250100
          Fax: 
+44-(0)1223-250101
   |
+==============================================================+
  Le opinioni espresse sono le mie e non quelle dell'azienda
  All opinions are my own and not those of the company
**BEWARE** RSA and DSS/DH keys 0x321C64D1 and 0x9FC60217 are NOT valid
anymore!
**ATTENZIONE** le chiavi RSA e DSS/DH 0x321C64D1 e 0x9FC60217 sono INVALIDE!

 se proprio vuoi puoi, ma non mi prendo responsabilita' dei risultati! :))
Concordo con l'educazione, ma non ci vorrebbe molto per "blindare"
il documento, evitando così problemi. Ad esempio, come riferivo nella
mail precedente, se aggiungi qualcosa alla destra del -----BEGIN PGP
SIGNED MESSAGE----- PGP continua a dirti che la firma è corretta;
io utente che sa la metà di chi non sa nulla, guardando al volo il
contenuto del documento vedo che è all'interno del SIGNED MESSAGE,
quindi mi convinco che tutto è OK. Modificando in alcuni punti particolari,
PGP non ti dice nulla, lasciandoti in preda a tutte le ipotesi possibili. Altre
volte ti chiede direttamente di salvare il file (quindi è andato tutto bene ?
No, l'alterazione c'è). Forse sono rimasto troppo legato al vecchio
concetto di documento firmato, il cui supporto, che conteneva sia il
documento che la sua firma,doveva essere intatto, integro ed illibato.
Ancora grazie e Saluti.
--
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Davide Buggio
SIOSISTEMI s.r.l.
E-mail: 
dbu...@siosistemi.it
Fax: 0302209248
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~



documento che la sua firma,doveva essere intatto, integro ed illibato.
Infatti il documento cartaceo firmato NON ti da alcuna garanzia sul fatto
che il contenuto non sia stato cambiato :))))
Solo le firme digitali ti danno questa garanzia!


 chiaramente cosa è firmato e cosa no.
Non vero. Il documento firmato comincia dopo la prima riga vuota che segue
la stringa -----BEGIN PGP SIGNED MESSAGE----- e finisce prima della stringa
-----BEGIN PGP SIGNATURE-----, che non è il più chiaro dei modi utilizzabile.
Il problema è che PGP non ti avverte sempre in maniera chiara di una eventuale
modifica.
Grazie e Saluti,


 Solo le firme digitali ti danno questa garanzia!
Ecco perchè mi suona strano che PGP reagisca a volte in maniera non
coerente ad alcune modifiche del blocco -----BEGIN ... -----END ...
Se faccio le firma separata, sono a aposto.
Saluti, Riciao e Rigrazie,


firmato (solo il corpo del documento).
E bravo! ;)))) finalmente!!!!!!! La struttua e cio' che esterno alla
struttura non sono importanti. E' importante il contenuto! :)))
Best regards,
ivan
---
+==============================================================+
| Ivan Pintori - Security Engineer - UUNET, an MCI WorldCom co.|
| 332 The Science Park, Cambridge, United Kingdom, CB4 4BZ     |
| Email: 
Ivan.P...@uk.uu.net
      WWW: 
http://www.uk.uu.net
 |
| Voice: 
+44-(0)1223-250100
          Fax: 
+44-(0)1223-250101
   |
+==============================================================+
  Le opinioni espresse sono le mie e non quelle dell'azienda
  All opinions are my own and not those of the company
**BEWARE** RSA and DSS/DH keys 0x321C64D1 and 0x9FC60217 are NOT valid


modifica.
Secondo me il problema è da valutare in maniera diversa, ossia:
se tu firmi un documento su un foglio bollato, la firma la apponi in fondo a quanto è stato scritto, facendo capire che solo quello che è prima della firma è da te approvato, ma nulla e nessuno possono impedire che qualcuno scriva dopo che tu hai firmato.
E' proprio per questo che ciò che è stato scritto dopo la firma non ha valore se non viene controfirmato.
Lo stesso vale per il programma che attesta (come è giusto) che le cose che tu hai dichiarato non sono state modificate.
se poi qualcuno scrive prima o dopo le tue dichiarazioni, purtroppo non lo puoi impedire, ma nessuno potrà imputare a te quanto aggiunto.
Se invece il problema è quello di non far modificare il messaggio, basta criptarlo o utilizzare i file di firma separati dal documento, come ti hanno già suggerito
Ciao,
Gian Luca

dbu...@siosistemi.it
 wrote:
 >Non vero. Il documento firmato comincia dopo la prima riga vuota che segue
 >la stringa -----BEGIN PGP SIGNED MESSAGE----- e finisce prima della stringa
 >-----BEGIN PGP SIGNATURE-----, che non è il più chiaro dei modi utilizzabile.
??? C'e` SCRITTO! Cosa vorresti ancora?
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *