Newsgroup: it.comp.sicurezza.pgp
Titolo: Chiarimento dubbi sul PGP 5.*

Ho letto alcuni messaggi riguardo i problemi di riservatezza del PGP
5.*, ma non sono sicuro di aver capito tutto quanto bene....
Quindi faccio un breve riassunto, sperando che qualcuno vorra'
corregge i miei errori.
Mettiamo che sono un amministratore, ed uso PGP 5.5 Business. Installo
il mio bel programma e preparo la copia di installazione per i miei
dipendenti...
A questo punto, se ho capito bene, i miei dipendenti possono si'
creare, o importare nuove chiavi, ma ogni volta che cripteranno un
messaggio lo faranno anche con la chiave del *padrone* (cioe' la mia).
In questo modo, io posso apire tutta la posta in uscita.
In secondo luogo, non ho capito grazie a quale arcano, io posso
leggere la posta anche che i miei dipendenti ricevono (1)
Tutto questo, se ho capito bene come funziona, e' allarmante.
Quello che mi chiedo io adesso e':
1. Se uso PGP 5.5Business (lo installo io sulla mia macchina) posso
farlo tranquillamente? C'e' qualche rischio che qualcuno possa
decifrare quello che scrivo?
2. Ho letto che il GAK e' implementato in qualche modo anche nella
5.0, cosa significa? Significa che la 5.0 sarebbe gia' predisposta ad
avere una superchiave con la quale codificare tutti i messaggi?
3. Se i sorgenti di PGP sono pubblici, non e' possibile crearne una
nuova versione, facendo in modo di disabilitare la superchiave?
4. Gli algoritmi usati da PGP (RSA/DSS/DH/IDEA/TripleDES...) posso
essere usati da terzi? Sono pubblici?
[se non erro il brevetto del DSS (o del DH?) scadono o sono gia'
scaduti, quindi questi algoritmi saranno liberi... lo stesso discorso
vale anche per algoritmi come il TripleDES?]
5. L'eroe Zimmermann e' anche lui "implicato" in questa faccenda?
(1) Questo com'e' che funziona?
Spero che abbiate la pazienza di risolvere i miei dubbi :-)
Billy Milano
"No Glove, No Love" ---MOD
RFD di it.comp.hp48 su it.news.gruppi!!!
web: 
www.geocities.com/SiliconValley/Bay/4224
email: 
bimilan...@reborn.com
Remove NOSPAM from address before sending email!!!
PGP signature: 3EA7 62D0 73BF E126 6DFD  FF66 6CEE DFC0 5568 D30D
PGP signature: E143 D067 4484 44BE 078C  73BD 8DB9 4E04 BDBF 36F0

avere una superchiave con la quale codificare tutti i messaggi?
attualmente sembrerebbe di no ma in futuro chissa
-----BEGIN PGP SIGNATURE-----
Version: PGP 
iQA/AwUBNJPkeqSvQ3XfCIU2EQLwUQCghXtNOi4N9rD95L7zYkmE6JPFP7gAn3T6
ry4PLZPIvAUVhEORaSPac3GZ
=0ix5
-----END PGP SIGNATURE-----
my fingerprint:
FFAD 9689 E6AD F356 E5F1  870C A4AF 4375 DF08 8536
commy
Francesco Catalano
       E-Mail: 
fran...@nigma.it
 
co...@freenet.hut.fi

bimilan...@reborn.com
 wrote:
 >1. Se uso PGP 5.5Business (lo installo io sulla mia macchina) posso
 >farlo tranquillamente? C'e' qualche rischio che qualcuno possa
Si.
 >decifrare quello che scrivo?
Solo se cifri per un utente la cui chiave richiede la cifratura per la
chiave aziendale *E* hai la chiave aziendale nel tuo keyring.
 >2. Ho letto che il GAK e' implementato in qualche modo anche nella
 >5.0, cosa significa? Significa che la 5.0 sarebbe gia' predisposta ad
 >avere una superchiave con la quale codificare tutti i messaggi?
Non tutti, ma solo quelli destinati ad alcuni utenti.
 >3. Se i sorgenti di PGP sono pubblici, non e' possibile crearne una
 >nuova versione, facendo in modo di disabilitare la superchiave?
Certo, ma poi non la puoi distribuire.
 >4. Gli algoritmi usati da PGP (RSA/DSS/DH/IDEA/TripleDES...) posso
 >essere usati da terzi? Sono pubblici?
RSA e IDEA solo per usi non commerciali, gli altri si. Sono tutti
pubblicamente disponibili per il peer review.
 >[se non erro il brevetto del DSS (o del DH?) scadono o sono gia'
 >scaduti, quindi questi algoritmi saranno liberi... lo stesso discorso
 >vale anche per algoritmi come il TripleDES?]
Non ricordo la situazione del DES riguardo ai brevetti, ma credo che sia
usabile da tutti senza pagare royalties.
 >5. L'eroe Zimmermann e' anche lui "implicato" in questa faccenda?
Si.
 >(1) Questo com'e' che funziona?
L'amministratore della rete aziendale genera le chiavi aziendali[1] per tutti
gli utenti. Queste chiavi hanno un campo in cui e` indicato che tutti i dati
cifrati per questo destinatario devono essere cifrati anche per un'altra
chiave, che sara` conservata dall'amministratore.
[1] e sottolineo _aziendali_. Lo statuto dei lavoratori non c'entra proprio
niente, provate un po` a parlarne con un magistrato. Il proprietario di una
azienda ha tutti i diritti di avere accesso ai suoi dati, se i dipendenti
vogliono la privacy useranno delle chiavi personali (se permesso) o useranno
PGP a casa.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

chiave, che sara` conservata dall'amministratore.
no l'amministratore si limata a distribuire i dischi di installazione
per i client comprensivi della sua chiave pubblica che automaticamente
verrà utilizzata nel proceso di cifratura
(per ulteriori informazioni seguite l'evoluzione dell'esperimento in
corso)
-----BEGIN PGP SIGNATURE-----
Version: PGP 
iQA/AwUBNJThRaSvQ3XfCIU2EQIeiwCgmFPijWVskFSfK43Iq5SatikS6woAnixy
hjVtXbvZGwtXu73TVeeG5szv
=GzLh


PGP a casa.
ha anche il diritto di leggere quello che il sottoscritto scrive al
suo dipendente ? .... preciso che non e' una domanda retorica, non ho
certezze in merito, per il momento
         / \__
        (     @\___
      /                 O        bye p.     ( e bau dal suo aiutante )
    /       (_____/ 
  /_____/
Fingerprint: 45 8E 8D 34 3C EE BB 3C  9D 04 E8 92 FB 0A E0 C8
Home Page    
http://users.iol.it/pastore
A.P.B.T.I    
http://www.aspide.it/freeweb/APBTI

pas...@iol.it
 wrote:
 >ha anche il diritto di leggere quello che il sottoscritto scrive al
 >suo dipendente ? .... preciso che non e' una domanda retorica, non ho
Se e` una comunicazione istituzionale che riguarda l'azienda allora si.
Se non la e` allora non usi la chiave aziendale.
