Newsgroup: it.comp.sicurezza.pgp
Titolo: norme attuative AIPA

mi sbaglio o quando leggo in tali norme la parola " dispositivo di firma"
devo tradurre come "smartcard"?
--
goffredo monetti
g.mo...@mc.link.it

 writes:
|> mi sbaglio o quando leggo in tali norme la parola " dispositivo di firma"
|> devo tradurre come "smartcard"?
Nella mia interpretazione (ma non sono un avvocato) per dispositivi di firma si
intende ogni cosa che puo' fare una firma.
I problemi della proposta sono 2:
1) Il certificatore puo' (e in alcuni casi deve) creare la coppia di chiavi.. sia
quella pubblica che quella privata. Chi mi assicura che tali chiavi siano state
fatte "bene" e non possano essere craccate tramite fattorializzazione perche' i
numeri primi scelti non sono buoni?
2) E' concepito solo l'X.509, e non OpenPGP. Quindi se tu firmi un qualcosa con
PGP, legalmente non ha alcun valore, dato che nessun certificatore potra'
controfirmare la tua chiave.
Il 10 settembre devono essere presentate eventuali modifiche. Ho quasi finito il
documento e nel weekend lo mandero' qui sul gruppo per revisione. Fra l;altro
credo che se riesco a trovare un momentino faro' uno squillo al responsabile
all'AIPA per farci 4 chiacchiere al telefono, che male non fanno mai :))))
Comuqnue ripeto: il documento AIPA e' veramente ben fatto!
Best regards,
ivan
---
+==============================================================+
| Ivan Pintori - Security Engineer - UUNET WorldCom            |
| 332 The Science Park, Cambridge, England, CB4 4BZ            |
| Email: 
Ivan.P...@uk.uu.net
      WWW: 
http://www.uk.uu.net
 |
| Voice: 
+44-(0)1223-250100
          Fax: 
+44-(0)1223-250101
   |
+==============================================================+
 Le opinioni espresse sono le mie e non quelle dell'azienda
 All opinions are my own and not those of the company
PGP fingerprint =  8438 AB1C 985E BF8C  FBC2 7C72 064F 5E59  9FC6 0217

 certificatore potra' controfirmare la tua chiave.
Ma l'X.509 non si limita a "suggerire" la struttura di un certificato
senza imporre alcun algoritmo ? Ed il certificato proposto da X.509,
non và bene anche per PGP ? Se non sbaglio, in OpenPGP si intende per
certificato semplicemente una Chiave Pubblica, che non contiene,
forse, tutti gli elementi richiesti da un certificato X.509 ?
Questo è un punto che ancora non mi è chiaro.
Grazie in anticipo e saluti.
--
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
       Davide Buggio
       E-Mail: 
max...@iol.it
 
dav...@asterix.ing.unibs.it
       Chiave pubblica RSA : 0xC1964051
       Chiave pubblica DSS/DH : 0x4E970882
       Estraibili in 
http://keyserver.unibs.it
"All'inizio era il nulla. Poi qualcosa andò storto."
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 writes:
|> 
|> Ivan Pintori digitò :
|> 
|> > 2) E' concepito solo l'X.509, e non OpenPGP. Quindi se tu firmi un
|> > qualcosa con PGP, legalmente non ha alcun valore, dato che nessun
|> > certificatore potra' controfirmare la tua chiave.
|> 
|> Ma l'X.509 non si limita a "suggerire" la struttura di un certificato
|> senza imporre alcun algoritmo ? Ed il certificato proposto da X.509,
|> non và bene anche per PGP ? Se non sbaglio, in OpenPGP si intende per
|> certificato semplicemente una Chiave Pubblica, che non contiene,
|> forse, tutti gli elementi richiesti da un certificato X.509 ?
|> Questo è un punto che ancora non mi è chiaro.
Ci sono lavori che stanno cercando di far accettare a PGP (prodotto) certificati
X.509 per l'interoperabilita' con il resto del mondo. Sapevo che questa
possibilita' doveva apparire con la 6.0, ma da quel poco che riesco a vedere non
mi pare che ci sia questa interoperabilita'. Comunque ancora debbo avere in mano
il programma, quindi mi riservo di esprimermi fino a che non avro' ottenuto in
maniera legale PGP 6.0 (si, lo so, lo puoi prendere un po' ovunque, ma e' stato
esportato illegalmente, o almeno cosi' si dice, quindi non voglio sporcarmi le
mani prendendolo :)))))
Comunque X.509 definisce sia i contenuti dei certificati sia come debbono essere
descritti i certificati. Anche OpenPGP parla di certificati, e indica come
debbano essere descritti i contenuti. Le due descrizione sono incompatibili, anche
se i contenuti sono pressocche' uguali.
Una cosa interessante e' che con PGP 6.0 quando firmi il certificato di un altro,
puoi dare una data di scadenza alla tua firma. In questa maniera al momento del
rinnovo, non devi ritirare tutto il certificato (quindi rifare le chiavi private e
pubbliche ecc. ecc.) ma ri-firmi nuovamente il certificato. Con X.509 invece e' il
certificatore che FA il certificato con la tua chiave pubblica e che lo da
decadere temporalmente, quindi a quel punto devi ricominciare tutta la trafila
dall'inizio. Insomma, non proprio carino :((( ma con X.509 non si puo' fare
altrimenti.
