Newsgroup: it.comp.sicurezza.pgp
Titolo: Trappolone???

Ciao a tutti.
Ho scaricato e installato l'ultimo PGP e mi accorgo subito che una mail,
dopo essere stata decriptata (dopo normale inserimento della mia password)
puo' essere aperta liberamente senza ridigitare la password.
WHAAAATTTT?? E questa sarebbe la Pretty Good Privacy?
Condivido il PC con altri colleghi! Il PGP non fa per me!
Poi guardando bene mi accorgo che nelle option ho impostato il default e
cioe':
[Cache passphrase for 10 min.]
Bene, penso. Per stare tranquillo mi basta impostare l'opzione 
[Do not cache passphrase]
Si, ma l'accesso a queste opzioni non e' protetto!
Tutte le volte che decripto devo andare a vedere se qualcuno ha cambiato i
settaggi? Mi sembra assurdo.
Daccordo che posso impostare una hotkeys (CTRL+F12) per effettuare un 
[Purge passphrase cache]
e abituarmi a dare CTRL+F12 dopo ogni decriptazione, ma nemmeno quel
settaggio e' protetto.
Un collega puo' benissimo disabilitarmi il CTRL+F12 che, siccome non viene
segnalato nulla a video, io nemmeno mi accorgerei di non avere ripulito la
cache della mia passphrase.
Probabilmente e' solo mia ignoranza.
Vi prego, ditemi che esiste un modo semplice per prevenire l'inconveniente
senza dovere controllare i settaggi delle options ad ogni decript.
Grazie & ciao
U.
-- 
Inviato il sab 08 set 2001 15:42:46 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

In effetti ... non c'è la possibilità di mettere sotto chiave le opzioni di
PGP, l'unica soluzione sembra davvero quella di trasferire le chiavi su un
supporto rimovibile ... e se io le copiassi su un dischetto o CD
riscrivibile come dovrei utilizzarle ? ... quasi quasi ci provo e poi vi
dico com'è andata.
Saluti by Icio -- "sii montagna nella tempesta, non spiga di grano nella
brezza"
----------------------------------
Homepage 1 
http://digilander.iol.it/icio64VR
Homepage 2 
http://members.xoom.it/iciodaverona
Homepage 3 
http://it.geocities.com/icio64vr
Test Homepage 
http://digilander.iol.it/iciodaverona
Home Mail 
ici...@libero.it
Personal Forum 
http://pub52.ezboard.com/bunluponellarete
MSN 
icio...@hotmail.com
ICQ UIN 64381410
----------------------------------

WOW !!! Ci sono riuscito !!
Ho copiato su un floppy il mio keyring ed ho impostato il programma per
cercare le chiavi sull'unitą A: ... funziona tutto a meraviglia, ma le
operazioni di copia su floppy e di eliminazione della cartella chiavi
precedente le ho dovute fare da una sessione DOS eseguita con un dischetto
d'avvio ... un po' macchinoso, perņ funziona ! :-)


Comunque, lo si poteva fare anche da una sessione provvisoria di Windows, ho
verificato stamattina (la notte porta consiglio).
Saluti "semisvegli" by Icio -- "sii montagna nella tempesta, non spiga di


 Condivido il PC con altri colleghi! Il PGP non fa per me!
su una macchina condivisa il PGP e' sempre un "rischio" perche' parecchia
gente puo' avere accesso alla tua chiave segreta, e magari ti puo' installare
un buon keylogger per "sniffarti" la password.
Una buona cosa e' usare un s.o. che ti permetta di essere l'unico a poter
accedere alla chiave privata (es. linux o NT, non win 95/98)
oppure la soluzione migliore se la prima non e' percorribile e' tenersi la 
chiave segreta su dischetto e portarselo sempre dietro 
(senza lasciarlo mai nel drive).
-- 
.
ciao
PGP key available 

 
Si pero' il problema rimane.
Se metti il floppy e decripti e poi togli il floppy ti senti sicuro.
Ma in realta' se uno che ha accesso al tuo PC ti ha impostato il caching
della passphrase ti puo' comunque leggere la mail appena aperta.
Interessante pero' il sistema di spostamento dei 2 keyring. Io non lo
sapevo che era cosi' delicato e l'ho duplicato brutalmente. Morale adesso
su quel PC non riesco ad usare PGP perche' mi dice sempre che il file
delle chiavi e' in uso da un'altra applicazione. Boh ???
Ciao
U.
-- 
Inviato il lun 10 set 2001 17:04:03 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

della passphrase ti puo' comunque leggere la mail appena aperta.
non dovrebbe, se non c'č la chiave la password non serve a niente.
o sbaglio?

 o sbaglio?
Io non sono proprio un esperto, ma credo che se la caching della password è
impostata in modo che non venga automaticamente eliminata dalla memoria
entro un dato tempo (purge), finché il PC non viene riavviato potrebbe
rimanere in RAM ed essere riutilizzata.
Per Uranox: non so bene perché PGP si sia così "incasinato" , ma hai provato
ad eliminare le cose inutili e reimpostare le directory predefinite da una
sessione provvisoria ? potrebbe funzionare, forse (?).
Saluti by Icio -- "sii montagna nella tempesta, non spiga di grano nella


 sessione provvisoria ? potrebbe funzionare, forse (?).
Il problema l'ho gia' risolto con una reinstall. di PGP (tanto stavo
facendo solo prove) ma e' interessante sapere che toccare i keyring a PGP
attivato puo' dare problemi.
Ciao da Marco
-- 
Inviato il mar 11 set 2001 09:29:56 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

rimanere in RAM ed essere riutilizzata.
sģ ma, ripeto, la password senza la chiave non serve a niente, e la
chiave sta sul dischetto che hai estratto...

 chiave sta sul dischetto che hai estratto...
Sei sicuro che Windows non faccia il caching dei file appena aperti da
floppy?
O che non lo faccia PGP?
La seconda e' meno probabile ma la prima credo che sia possibilissima
(visto il colabrodo che e' windows).
Bisognerebbe provare.
Ciao
Marco
-- 
Inviato il gio 13 set 2001 14:44:25 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 sopra; oltre i dieci minuti o ci metti il disco oppure... nisba!
Vuoi dire che se anche togli il CD con le chiavi, per 10 min. le mail sono
leggibili?
Incredibile!!!
Si perche' il mio problema e' che il mio PC e' condiviso con i colleghi.
Ti possono cambiare questo tempo di 10 min. e mettertelo a 24 ore senza
che tu te ne accorga (dovresti ogni volta controllare i settaggi).
Dopodiche' le mail gia decriptate sarebbero leggibili senza passphrase per
un giorno intero.
Ciao
Marco
-- 
Inviato il ven 14 set 2001 14:53:13 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

(visto il colabrodo che e' windows).
io ho provato a mettere i keyring su floppy e a permettere il caching
della passphrase: levando il floppy non c'è niente da fare, anche se
la pass è ancora in cache...

 la pass č ancora in cache...
Beh. Meno male!
Ciao
Marco
-- 
Inviato il lun 17 set 2001 14:34:45 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 dare del trappolone a pgp ma non e` lui il problema
Uso Win98SE e so bene che e' un colabrodo.
Ma li' bastava che il PGP permettesse di settare una password per
l'accesso alle opzioni. Win9x o Linux che fosse questo era almeno un primo
sbarramento.
Ciao
U.
-- 
Inviato il lun 17 set 2001 15:50:43 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 ancora in memoria
Ehhmmmmm
scusa la mancanza di ignoranza .... ma ... cos'e' il pgpsdk.dat?
Io ho solo un PGPnetLog.dat su una cartella diversa da C:\windows.
Ritornando al discorso di partenza, i tuoi 2 metodi risolvono il problema
ma hanno qualche piccolo inconveniente.
Andare a toccare i keyring a PGP avviato e' un casino.
Se passi i keyring su CD o miniCD quando devi aggiungere una nuova Key
diventa una scocciatura. Il floppy va bene, ma io (per esperienza) mi fido
pochissimo dei floppy.
La soluzione piu' semplice la potevano adottare quelli che hanno fatto il
PGP.
Come sai, si posssono impostare degli HotKey per criptare, decriptare,
pulire la cache, etc. 
Ebbene se uno ha dei problemi come i miei, imposta una HotKey per pulire
la cache delle password (default CTRL+F12) e prende l'abitudine di dare un
CTRL+F12 dopo ogni lettura.
Questo PGP gia' lo permette, ma .... non avverte della avvenuta pulizia
della cache. 
Cio' significa che il furbone che ti imposta il tenpo di cache della
password a 24h puo' anche disabilitarti il CTRL+F12 senza che tu te ne
renda conto (se non entrando ogni volta a controllare i settaggi). 
Bastava un messaggino di un secondo di "Avvenuta cancellazione della
cache".
Probabilmente non ci hanno pensato.
Che faccio, gli scrivo?
Ciao
U.
-- 
Inviato il mar 18 set 2001 10:22:26 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/

 ecco appunto.. ma nel frattempo che fai?
M'attacco!
;-)
Scherzi a parte penso che salvero' le mail criptate in un archivio WinZip
con password e poi le cancellero' da AutlukExpress.
So bene che la password di Winzip non e' solida ma il caching della
password non dovrebbe funzionare piu'.
Ho qualche dubbio invece sulla sicurezza della cancellazione di Autluk.
Ma non vorrei diventare paranoico.
Comunque, se nella prossima release di PGPFreeware vedrai una password per
accedere alle Options o, dopo un CTRL+F12, un messaggio di avvenuta
cancellazione della cache delle password sappi che e' colpa/merito mio.
Ciao
U.
 
-- 
Inviato il mer 19 set 2001 10:25:47 CEST da 212.210.92.131
[212.210.92.131]
http://www.neuromante.net/