Newsgroup: it.comp.sicurezza.pgp
Titolo: Chiave pubblica sicura?

Forse una domanda banale: ma usando PGP nessuno mi garantisce l'autenticità
della chiave pubblica del destinatario? Solo con un certificato elettronico
X.509v3 si può ovviare a tale inconveniente, oppure mi sfugge qualcosa?
Mirko Tedaldi.
--
Posted from 
mta01-acc.tin.it
 [212.216.176.32]
via Mailgate.ORG Server - 
http://www.mailgate.org

mi...@mbox.queen.it
 wrote:
 >Forse una domanda banale: ma usando PGP nessuno mi garantisce l'autenticità
 >della chiave pubblica del destinatario? Solo con un certificato elettronico
 >X.509v3 si può ovviare a tale inconveniente, oppure mi sfugge qualcosa?
L'autenticita` della chiave e` garantita da chi la firma. La catena di
firme deve arrivare in qualche modo a te.
Si puo` applicare anche il modello di fiducia di X.509 basato sulle
certification authority, ma di solito chi usa PGP preferisce non pagare
il pizzo a una CA e certificarsi tra di loro.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *


Visitate il mio sito "Leggende Metropolitane"
http://studenti.ing.uniroma1.it/~speranza/

 via Mailgate.ORG Server - 
http://www.mailgate.org
--
---------------------------------------------------
Giovanni Serafini   
gser...@ticino.com
---------------------------------------------------
PGP Key: DH/DSS 2048/1024
Fingerprint:
14EE 366D 9F4D C2E3 658C  7F39 38E5 7899 5866 9420
---------------------------------------------------

impostore...
Attenzione! l'identificazione del soggetto cui e' associato un certificao
NON e' ad opera (e quindi responsabilita') della CA, ma della RA.
La CA svolge un ruolo essenzialmente tecnico: rilascio, "manutenzione" e
revoca dei certificati.
La RA svolge il compito base di una PKI, che e' appunto garantire
l'identita' del sig. Rossi cui e' associato il certificato XYZ; tale
identificazione segue norme molto rigide (prevede ad esempio il
riconoscimento fisico della persona che chiede un certificato) a garanzia i
tutto il dominio di validita' dei certificati.
- -------------------------------------
Daniele Borghi
Banca Intesa
Laboratorio Ricerca & Sviluppo
Tel. 
+39.02.7239.9513
GSM: +39.03356989812
ICQ: 28739968
mailto:
dbo...@ambro.net
http://come.to/dab
public key at ldap://
certserver.pgp.com
- ---------------------------------------

sono firmate.
Beh, .. direi: "per fortuna!!!"
Si pensi cosa comporterebbe se ognuno firmasse a destra e a manca le
chiavi di chiunque glielo chiedesse!
Personalmente credo che e' proprio nel "web of trust" che e' contenuto
il punto debole della crittografia asimmetrica. Non ho mai firmato una
chiave altrui e penso che mai lo faro'! E' tecnicamente impossibile
essere sicuri della paternita' di una chiave pubblica, per ovvi
motivi...
Mi spiego! Cosa potrei fare se volessi essere sicuro circa la
paternita' di una chiave pubblica:
1) Fidarmi delle firme che altri hanno apportato ad essa? Niente di
piu' scellerato!
Di quanti di essi posso fidarmi ciecamente? Quanti di essi
conosceranno le tecniche di PGP a fondo? Per quale motivo hanno
firmato quella chiave? ... e soprattutto, quanti di essi io conosco
personalmente? Conoscerli via Internet non significa nulla!
2) Ricorrere ad una Certification Autority? Credo di sicurezza media!
A questo punto bisognera' chiedersi:
Chi e' questa CA a cui mi affido? Come lavora? Che garanzie mi offre?
Quale autorita' ha nel certificare simili chiavi?
3) Ricorrere alla conoscenza fisica. Ossia, dopo aver scambiato alcune
mail crittografate con il tizio in questione, lo conosco personalmente
e controllo la sua identita' (confrontandola con l'UserID della
chiave), mi faccio dettare a voce il suo Fingerprint nonche' la sua
lunghezza e tipo di chiave. A questo punto avrei un riscontro quasi
perfetto, se:
a) nel UserID della chiave non vi e' un nik, ma il nome e cognome del
Tizio;
b) il luogo e l'ora dell'appuntamento e' stato deciso utilizzando
quella chiave in oggetto.
E' doveroso aggiungere pero' che ricorrendo alla conoscenza diretta
del titolare della chiave pubblica si e' reso nullo il vantaggio
stesso della crittografia asimmetrica, a questo punto potrei
usare benissimo quella simmetrica (a parer mio piu' affidabile, in
termini di sicurezza!).
In conclusione (giuro finisco! ;-), usare pgp significa assicurarsi
una certa privacy nelle comunicazioni tra Noi e' il Tizio, ma dobbiamo
essere coscienti che la certificazione di Tizio e' una cosa che pgp
(...e credo nessun software!) potra' mai darci.
Infine, permettetemi una domanda: ma quante nostre comunicazioni hanno
bisogno realmente della certificazione di Tizio?
Saluti
- ---
Silvano Esposito
http://silvano.freeweb.org
PGP Key at 
http://www.freeweb.org/personali/silvano/pubkey.asc
-----BEGIN PGP SIGNATURE-----
Version: PGP
iQEVAwUBNsa5+panghqShgeRAQF1eQf+J/IMzWg65+H1jnEhhAhCfHvBfQXYLiX3
eXmVaDj9Jw67hxoZ8u6+lqdKHbu0eEM1xqozYicWm+ojNNTbB8Cw5DqgLpQCzXXj
d2poanGBbtvp4KOOOD9MPWdnb5s+xnhRlDNQbeV2U/sbiiZcgomyqUqsWdVvASLZ
T6qlPJ0bq8wv6+3C8VsnzLVMZ4FXinwq2vQTG0ZAE//Btyq/LnD3MQoT+1OxJq0F
ohpJW1cEJqjPPrXPSnho38pmiD/GG3l1n00o8NccpE1g7/w7BjeCmnFx+j3/iNGY
Tq4+gMjCEwWsi4gAJK/d3VPe9yU/7D26daH6x6z9RR2ygEh/YewtTw==
=tFN6
-----END PGP SIGNATURE-----

dal tuo sito ed essere ragionevolmente sicuro che ti appartenga,
Che la chiave mi appartenga non significa che io sono quel Esposito
Silvano cui dico di essere!
Questo intendo per certificazione!
La cosa, come il mio interrogativo faceva intendere, e' perfettamente
insignificante se noi due vogliamo solo discutere del piu' e del meno,
ma diventerebbe fondamentale se invece ci trovassimo in "certi
contesti".
Saluti
- ---
Silvano Esposito
http://silvano.freeweb.org
PGP Key at 
http://www.freeweb.org/personali/silvano/pubkey.asc
-----BEGIN PGP SIGNATURE-----
Version: PGP
iQEVAwUBNshXcZanghqShgeRAQFLsgf/XtKFRFqnVHxV8IyXY/pG6GDauOgRS4/S
s7p8O6CPVB8yAKOjst/26hyTfWDTsiLsByhIsct0rvrBSK7LGfdVm04maES7nD1T
Anjc95+e6NUI0o251uDyMugWFqJEKN/EgLD0R9sLEac8FRVArmzvIJu/42xPlcrm
YQf8rRrqZTkH+th6hyY0OTPHy/3MoX1HFOAgQmxKHvp7uCbF340/diOgFFJRzpS5
P+WIAdjCjyiNVT9PHTbOWG9K471QXRS5DvavBcx71kdKgXaw7LZa1TVraINPiUU2
2Trgxc9yhU4dv3CIo9S0aH9i9SjrFnr8S4GIWViHMXEVLNgOQg0Bhw==
=NWAa
-----END PGP SIGNATURE-----