Newsgroup: it.comp.sicurezza.pgp
Titolo: ALTRE NOTIZIE MOLTO GRAVI, leggete!


dice che:
* PGP 5.5 genera chiavi che hanno un campo aggiuntivo
dove si specifica la chiave di una terza persona
tale che quando uno codifica un messaggio per quella
chiave, il messaggio viene automaticamente codificato
per la chiave della terza persona. E fin qui lo sapevamo,
ma occhio perche' questo evidentemente non e' limitato
all'uso di PGP all'interno dei luoghi di lavoro!
* Se io codifico un messaggio per una chiave siffatta
anche con la versione freeware 5.5.3 ed
ANCHE CON PGP 5.0, il messaggio viene codificato
anche per la chiave della terza persona che puo'
dunque leggerlo.
* questa codifica per la terza persona viene fatta
SENZA CHE L'UTENTE NE VENGA INFORMATO.
Nel thread in questione quest'ultima cosa viene contestata
da altri, ma in ogni caso, anche se io venissimi informato
del fatto che il messaggio che sto codificando viene codificato
anche per un terzo, di fatto mi si impedisce comunque la
comunicazione riservata. Come ha detto giustamente
Sergio Bova, chi scriverebbe alla Fiat in queste condizioni?
I botta e risposta sui NG internazionali sono complessi,
insomma i gravissimi problemi di privacy di PGP 5 e superiori
sono ancora poco chiari.
Io non ho il tempo di leggere tutto, e quindi molte cose
ancora mi sono senz'altro sfuggite, ma anche cosi'
sono abbastanza allarmato e preoccupato.
Donnerhacke dice che nel codice di PGP 5.0 ci sono implementate
queste inquietanti possibilita', basta esaminarlo.
Mi pare comunque che alcuni punti siano sicuri e bisogna
davvero che li teniamo ben presenti.
1. L'eliminazione della privacy, al di la' dei particolari,
c'e' davvero ed e' grave. Bisogna fare chiarezza e far
conoscere il piu' possibile il fatto che le versioni nuove
non sono affidabili.
2. PGP come strumento di privacy e' stato svenduto,
evidentemente su pressioni di centri di potere e/o governativi.
3. Bisogna che qualcuno riproponga un software pulito e sicuro
per la priivacy personale come attualmente e' solo PGP 2.6.3i
Io scrivo subito:
* a  Donnerhacke, chiedendogli se puo' illustrare e documentare
bene tutte queste faccende per noi;
* al gestore del sito spagnolo Kriptopolis (e relativo bollettino
e-mail), persona in gamba a cui ho sempre fatto riferimento
perche' essendo europeo ha sempre indicazioni per gli utenti europei:
* a Schumacher, ma dubito che risponda.
Chiunque puo' reperire informazioni certe e documentate e' benvenuto
e benemerito.
Mala tempora, gente :-(
Giorgio Chinnici <> Milano-Italy <> PGP Key available
mailto:
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
Visitate Nimrod/PGP 
http://www.serve.com/nimrod/pgp.html
Sito PGP in italiano costantemente aggiornato ed esteso

-----BEGIN PGP SIGNED MESSAGE-----
Ho avuto uno scambio di e-mail con Lutz Donnerhecke.
Queste che seguono sono le informazioni che mi
ha dato, un po' in ordine sparso.
C'e' stata un'ondata di indignazione appena si e' saputo
che nella nuova versione "PGP 5.5 for Business" 
l'accesso da parte delle direzioni aziendali (e di altri)
alla e-mail che dovrebbe essere privata
non solo e' consentito (come in PGPMail 4.5 della societa'
Viacrypt, che a quel tempo fu praticamente linciata per questo
da PGP Inc.), ma adesso addirittura forzato.
A proposito: nel frattempo Viacrypt e' stata acquistata
da PGP Inc.
Questo tipo di funzione che permette ad un terzo di
leggere i messaggi codificati viene indicata in inglese
con la sigla GAK (Government Access to Keys, accesso da parte
governativa alla comunicazione privata), dove per Government
puo' stare ditta, gruppo, internet provider, universita',
chiunque.
Per comodita' usiamo qui la sigla GAK per indicare questa
funzione.
Particolare attenzione merita la dichiarazione di
Jon Callas (capo della sicurezza di PGP Inc.),
in cui Jon afferma chiaramente che non solo si vuole
leggere forzatamente la posta e-mail in uscita, ma
che si puo' forzare cio' anche per la posta in ingresso.
Considerando cio' che PGP Inc. ha intrapreso nel suo
percorso da crociato e protettore del Graal della
sfera privata fino a drago assetato di soldi,
l'uso di PGP 5.0 e seguenti e' assolutamente da
sconsigliare.
La versione 5.0i non e' una versione a se' stante.
Schumacher ha passato allo scanner la versione 5.0b8
ed essa e' diventata la 5.0i, semplicemente. Le condizioni
della licenza vietano la modifica di questa versione.
Quando e' uscita la versione 5.5 business, diverse persone
hanno esaminato la 5.0 ed hanno appurato che gia' in
quest'ultima
viene supportato il GAK. Cio' ha causato l'ira di molti.
Quelli che hanno dato una mano (tra cui lo stesso Donnerhecke)
con lo scanning e il proof reading si sono sentiti sfruttati.
La versione 5.5 business puo' produrre chiavi con GAK. Insieme a
cio', e' previsto l'impiego di un Police Enforcer.
Nella 5.5 business le restrizioni alla sicurezza non possono
essere disinserite.
Dalla versione 5.5.2 in poi vengono inoltre prodotti formati
di dati incompatibili con le chiavi RSA di PGP 2.6x.
Il GAK serve a rendere la comunicazione in ENTRAMBE le direzioni
leggibile da terzi. Per la e-mail per esempio di una ditta,
PGP 5.5. business puo' essere configurato in modo tale che
i messaggi vengano sempre codificati anche per una chiave della
ditta.
Nelle chiavi pubbliche generate all'interno di questo sistema
viene introdotto un campo speciale chiamato ARR (Additional
Recipient Record) che fanno si' che un programma PGP (dalla
5 in poi, perche' si tratta di chiavi DSS/DH) usato all'esterno
codifichi anche per la chiave della ditta. Non mi e' chiaro
come questa chiave arrivi al keyring dell'utente esterno,
tuttavia
se c'e' egli puo' eliminarla e quindi non codificare per
questa chiave.
Pero': per impedire  che qualcuno all'interno della ditta usi
una
versione di PGP diversa da quella della ditta con il GAK,
e per evitare che un utente esterno non tenga nel proprio
keyring
la chiave della ditta e quindi non codifichi per quella,
viene usato i meccanismo diabilico del Police Enforcer, che
viene
insieme alla 5.5 Questo software sorveglia il traffico e-mail
e blocca tutti i messaggi in ingresso ed in uscita che non sono
codificati per la chiave della ditta. Chi non coopera, non puo'
comunicare.
In quanto sopra, e' possibile sostituire la parola "ditta" con
cio'
che si vuole. Per esempio, il Police Enforcer potrebbe essere
applicato ad un internet provider (o, per mezzo di una legge
che di fatto cosi' impedisce la riservatezza delle comunicazioni
personali, a tutti gli internet provider - benvenuto, Grande
Fratello!).
E' chiaro allora che tutto questo non e' una semplice faccenda
aziendale.
Tuttavia, Donnerhecke ricorda che anche nell'ambito aziendale e'
vietato ascoltare e archiviare le telefonate dei dipendenti,
percio' deve essere vietata anche la lettura della posta
(elettronica).
Donnerhecke dice che per l'interesse delle aziende l'unica cosa
importante sarebbe la codifica dei dati archiviati su dischi
fissi.
Aggiunge pero' per questo potrebbe essere usata una chiave
apposita
lasciando cosi' libere le comunicazioni.
Donnerhecke e' del parere che le conseguenze enormi di queste
nuove
implementazioni siano sfuggite alla stessa PGP Inc, che cosi' ha
creato non intenzionalmente un perfetto strumento di
sorveglianza
nazista.
L'unica soluzione per Donnerhecke e' il rilascio di una nuova
ersione
di PGP, sicura e privata, che possa diffondersi fermando la
diffusione
di PGP 5 e successivi. Lui ci sta lavorando.
Io aggingo che in attesa di questa versione, io uso PGP 2.6.3i,
che
insieme ad una shell come Mail PGP e' comodissima da usare.
Ed in ogni caso, non sara' l'assenza di qualche pulsante o
gadget vario
a farmi derogare dalla mia privacy.
Ho detto a Donnerhecke che avrei inviato le sue informazioni a
i.c.s.pgp
e mi ha risposto che e' a disposizione per ogni chiarimento che
gli
venga richiesto.
-----BEGIN PGP SIGNATURE-----
Version: 2.6.3i
Charset: cp850
iQEVAwUBNJDcbcHFVX4P617JAQG4IggAx47mlC/64Htg+MCE20NBO9NxBg7k9aIN
bIHMM/VtUfnCV0xvtn4a1MJC8S/AsODkUsIv8cBc40qNLWkpd0uiBp3cKbh3Tmbi
Fn9N6dFCSjWjUtROykjma1QaqKgH5eq52e287LkpRov0UzkCpa5Kt2rGHceFPOKY
OmJu6MRS6D8/cSoyWVCZSTrzXrzBJCpG/MH3S92r3R63GNLmKqxvvf9hRI20TNx9
WEaJTG8eQ84RaS4r+lh8PgUcS9/EtxUcSdP+n/GZy6yd6c8Y90gFvFgBXWhhymFQ
5qdXRrAHCdBseJhkpoJe3NH5A5F/rUjZdomZuvnrMhWkXh4shny+1A==
=d2SL
-----END PGP SIGNATURE-----

comunicare.
Si puo' sempre "avvolgere" il messaggio PGPato in un involucro che il
Police Enforcer non comprende; che so, per esempio una banale codifica
in base 64 o, per andare sul sicuro, steganografia.
----------------------------------------------------------------------
Marco Coletti
Network Administrator, Webmaster, Computer Consultant
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
finger://
mail.eurofin.it/marco.coletti
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

 di dati incompatibili con le chiavi RSA di PGP 2.6x.
Qualche tempo fa avevo postato un e-mail segnalando che la mia chiave
pubblica RSA controfirmata da due amici torinesi(con PGP 2.6.i e dal
Trust Center di Hamburg sempre con 2.6.i) veniva respinta dal
portachiavi del PGP 5.0, 5.1 e 5.5 (o si inchiodava tutto o mi diceva
che il materiale che andavo ad incollare non comprendeva alcuna
informazione PGP utile). Il Trust Center mi aveva risposto che
sapevano che la 5.0 creava problemi con le chiavi e di andarmi a
seguire il dibattito nei groups appositi. C'e' un nesso con questa
storia del GAK?
sergio b.
- ----------------
*** real name: 
bova...@cisi.unito.it
 ***
"provando e riprovando" (Dante)
PGP-Key:
http://www.trustcenter.de/pgp-bin/pgp_getkey-e.pl?user=bova
PGP-Key:
http://pgp.ai.mit.edu:11371/pks/lookup?op=get&search=0x08D0A539
DSS/Diffie-Helleman PGP v 5.0 Keys are accepted.
- ---------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: PGP                         
iQB1AwUBNJF+tvMolPoI0KU5AQFg7wL+IGCBABNt8HAVtV6B0xpv6OLxPvK7/r13
N527bY9qMyadhm4hMOKk1m2f689RID5EUlxc9EbaYl1LNVIkIOW7p7766e3amMEV
2Wa6b+LlJSwAz8mKCsXkj/SrZqcgjQiz
=LP1X
-----END PGP SIGNATURE-----

in base 64 o, per andare sul sicuro, steganografia.
Si, certo :-)
Per fregare questo tentativo di controllo sociale e' chiaro che
conviene usare questo tipo di tecniche, mi pare una ottima cosa.
Conviene evidenziare pero' anche che questo e' un problema politico
di diritti civili, non semplicemente un problema tecnico :-)
Deve esistere un mezzo sicuro e libero per le comunicazioni
private di TUTTI: un diritto fondamentale della democrazia.
Ciao :-)
Giorgio Chinnici <> Milano-Italy <> PGP Key available
mailto:
nim...@mail.serve.com
 <> 
http://www.serve.com/nimrod
   Mere words! Was there anything so real as words?
   (Oscar Wilde - The Picture of Dorian Gray)

Ragazzi, sto cercando anch'io disperatamente
di capirci qualcosa in questa faccenda
su cui mi pare fondamentale fare chiarezza.
Non e' facile, in giro ci sono notizie e
pareri ancora frammentari, poco chiari e
contrastanti.
Nessuno ha altre informazioni?


Salve a tutti,
premetto che che sono nuovo di PGP! ho scaricato PGP 5.0i pochi giorni
fa, ma dopo aver letto i mex precedenti ho molte perplessità. Ho creato
la coppia di chiavi come da default (chiavi DSS/DH), ma ora vi vorrei
chiedere:
1-se uso Pgp 5.0i con un mio amico (x es.) vi è la possibilità di
lettura da parte di una terza persona?
2-se uso Pgp 5.0i con chiavi RSA c'è ancora questo problema?
3-x non c'è motivo di andarsi a impanatanare in Pgp 5.xx e mi
consigliate di usare Pgp 2.6.3i con qualche shell?
Grazie dell'aiuto. 
-- 
Enrico   
melo...@geocities.com
http://www.geocities.com/RainForest/Vines/4202

consigliate di usare Pgp 2.6.3i con qualche shell?
MailPGP e' un'ottima shell per PGP 263...
Il link lo trovi su 
www.serve.com/nimrod
Billy Milano
"No Glove, No Love" ---MOD
RFD di it.comp.hp48 su it.news.gruppi!!!
web: 
billymilano.home.ml.org
email: 
bimilan...@reborn.com
Remove NOSPAM from address before sending email!!!
PGP signature: 3EA7 62D0 73BF E126 6DFD  FF66 6CEE DFC0 5568 D30D
PGP signature: E143 D067 4484 44BE 078C  73BD 8DB9 4E04 BDBF 36F0