Newsgroup: it.comp.sicurezza.pgp
Titolo: Disinformazione su PGP

Ciao a tutti,
stamani ho letto l'articolo del Sig. Andrea Monti, all'interno della sua
interessante rubrica, "Diritto nella rete" pubblicata su una nota rivista
di informatica che compro abitualmente. Si parlava della firma digitale,
che dovrebbe essere accettata ed equiparata alla classica firma
calligrafica a cui noi tutti siamo abituati. Vi riporto un passo
dell'articolo:
"[...] Come e' noto in termini giuridici il problema fondamentale dei
sistemi di crittografia asimmetrica (PGP, in altri termini) e' quello di
raggiungere la prova dell'identita' fisica di chi usa una certa chiave
pubblica. Esempio: ammettiamo che sul web di xxxxxxxxxxxxxx giunga una
richiesta di abbonamento da un utente che dice di essere me. In tale
qualita' egli stipula il contratto mediante l'utilizzo della propria chiave
pubblica, il tutto a mia totale insaputa... morale della favola, mentre io
dovro' dimostrare di non avere mai visitato il sito ne' tantomeno richiesto
un abbonamento, qualcun altro -nella migliore delle ipotesi- mi ha giocato
un bel tiro mancino (non voglio pensare alla peggiore delle ipotesi!).
[...]"
E' chiaro che al Sig. Monti sfugge la distinzione tra chiave segreta e
chiave pubblica, nonche' il concetto di firma e codifica di un testo o
file. La mia preoccupazione e' che, cosi' facendo, si possa contribuire ad
alimentare dubbi ed incertezze (infondate per chi conosce a fondo ed e'
abituato ad usare PGP, per tutelare la sua privacy personale,
quotidianamente) sulla sicurezza di una firma digitale apposta ad un
documento digitale tramite PGP. Indipendentemente dai risvolti
squisitamente tecnici che hanno colpito le recenti versioni di tale
programma!
La mia non vuole essere una polemica nei confronti del Sig. Monti o della
sua rubrica, anzi! E' solo una preoccupazione! La firma digitale, tramite
PGP, e' oggi una realta', in grado, a tutti gli effetti, di rappresentare
chi fisicamente l'apporta. Quindi cosa ne dite di invitare il Sig. Monti a
rettificare cio' che asserisce?
------
Esposito Silvano          -Sarno-  SA
http://www.aspide.it/freeweb/silvano
remove NOSPAM for reply
PGP key at htt://
www.aspide.it/freeweb/silvano/silvano.zip

 file.
non ho letto l'articolo ma il problema purtroppo esiste e non ha nulla a
che fare con la distinzione tra chiave pubblica e privata. Anzi, e' proprio
su questo problema (l'authority di registrazione) che l'attuazione della
Bassanini si e' un po' impanata: chi puo' dire infatti se la chiave
pubblica di un signor xxx e' effettivamente di xxx e non di un yyy che si
spaccia per xxx? Tutto cio' non implica un'insicurezza del sistema di
crittografia, anzi! E' lo stessa questione che si pone quando vai in banca
a depositare la tua firma (la prima volta): chi puo' dire che quella firma
sia realmente della persona che dici di essere? Tu risponderai: la carta
d'identita'. Ma chi ti rilascia la carta d'identita'? Un'autorita'. E anche
l'autorita' ha i suoi problemi (ti ricorderai che la prima volta che ti
rechi a fare la CI - a meno che l'impiegato non ti conosca personalmente,
impiegato che a sua volta e' conosciuto dall'autorita', ecc.ecc. - c'e'
bisogno di qualcuno - tipicamente un genitore o comunque qualcuno
conosciuto o dotato di carta d'identita' - che garantisca che tu sei...
proprio tu!).
Il problema sollevato da Monti mi sembra quindi proprio quello "ab
origine": la prima firma elettronica, chi la valida?
Il problema concreto e' che la legge italiana ha posto limiti di capitale
sociale cosi' elevati alle potenziali autorita' di registrazione che la
sola idonea - per ora - e' la disastrosa TIN :-(((
Ciao
Nicola