Newsgroup: it.comp.sicurezza.pgp
Titolo: Dubbio sulla sicurezza dei dati

Salve!
Ho un dubbio su quale sia il metodo più sicuro per mettere al riparo da
sguardi indiscreti dei documenti su cui lavoro spesso e che avrei la
necessità di sfogliare più volte al giorno (ad. esempio ci tengo archiviate
tutte le mie password della Banca, Carta di credito, ecc.). Il fatto è che
il PC è sempre connesso ad Internet, si trova in una LAN aziendale ed è
utilizzato da più persone.
Secondo un amico il metodo migliore è quello di creare uno Zip con la
password (utilizzando l'ultima versione di WinZip, le altre si aprono troppo
facilmente). Per un altro è meglio creare uno disco virtuale di alcuni MB
con PGP 8.
Secondo voi qual'è la soluzione migliore? Magari esistono programmi più
adatti?
P.S. Dove posso trovare informazioni in italiano su PGP (nel caso fosse la
soluzione più sicura)?
Grazie per le risposte
MasterLog

 tutte le mie password della Banca, Carta di credito, ecc.).
Il mio personale consiglio è di usare knoppix più una usb key, magari di 
usare Mandrake moove che ti da una chiave da 128 megabyte pe 60 euro.
Se usi un sistema disponibile al pubblico allora non ci sono protezioni 
che tengano, un rpogrammino banale può leggere i tasti che premi sulla 
tastiera, un virus può farlo un worm può farlo, un trojan può farlo, se 
sei sempre in rete molta gente può curiosare tra i tuoi file, se ti 
prendono di mira (improbabile) non ci sono firewall o antivirus che tengano.
L'unica protezione sicura è usare una distro live per il tempo in cui 
necessiti di usare i servizi sensibili, la protezione è massima, linux è 
sicuro e non modificabile, tieni i dati criptati in una usb, niente 
virus, niente worm, niente trojan. Possono solo bucarti knoppix nell'ora 
in cui sei connesso e infettarti la usb ma lo ritengo improbabile, 
estremamente improbabile. Comunqe un ls -la rivelerebbe i file di troppo 
sempre se non sia la nsa a cercare i tuoi dati.
ciao:)
-- 
Bye,     | Stolto e' colui che invece di guardare (gnuKEY ID 0xD5D28BA9)
Sandro.  | la luna guarda il dito che la indica.      (Togli/Cut SpamNo)
---------*
WWW.KENSAN.IT
 Geek and Hacker site, LinuxHelp.it writer 
rcx.it
 mantainer

  [X.509 available]  ,''`.
Linux Reg. User #263663/NEW Machine: #216144 (Debian Sarge/SID) : :' :
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4 `. `'
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
   `-

 Mai piu` indicato... ;)
Appena ho un minuto gli darņ un'occhiata!
Grazie
MasterLog

 più adatti?
Secondo me, il solito AxCrypt è l'ideale per questo tipo di protezione.
Probabilmente, il tuo amico che ti ha consigliato WinZip con la password
ritiene che tutto sommato i tuoi potenziali nemici si troverebbero già in
difficoltà con una protezione così blanda. Io credo che sia così, ma visto
che hai a disposizione un programma gratuito e ben fatto che comprime, cifra
ed è semplicissimo da usare, io ti consiglio di usarlo.
Per completezza vorrei precisare che se i file che cifri con AxCrypt sono
accessibili, chiunque è libero di cancellarteli. Se usi un sistema operativo
che consente di regolamentare gli accessi, dovresti salvare i file cifrati
in una cartella non accessibile agli altri (che poi è inaccessibile per modo
di dire).
Cristiano

 Cristiano
Vorrei ringraziare tutti per le risposte, molto esaurienti, che tuttavia mi
hanno fatto sorgere ulteriori dubbi. A livello di sicurezza intrinseca,
qual'è il programma che garantisce la protezione migliore? Proprio oggi ho
letto di programmi che recuperano la password di WinZip, senza usare Brute
Force, nel giro di pochi secondi. Di questo AxCrypt non ne ho mai sentito
parlare, ma, ammettendo di utilizzare una password parecchio lunga, che ne
so, un verso della Divina Commedia di una quarantina di caratteri, quale è
il programma che garantisce la migliore sicurezza? E come sarebbe possibile
recuperare la password di un file di questo tipo? E' possibile utilizzare
solo il crack Brute Force (magari impiegandoci settimane per trovarla) o ci
sono metodi alternativi.
Forse l'amico che mi ha consigliato WinZip non era a conoscenza di questa
debolezza del programma, pensava di essere al sicuro.
So benissimo che la sicurezza totale non esiste, ma vorrei sapere, nella
situazione attuale, qual'è il programma che più ci si avvicina, giusto per
curiosità.
P.S. Da quel poco che ho letto PGP sembra un programma ottimo, anche se un
po' complesso. Sapete se esiste una guida in italiano, tanto per prendere
confidenza con il programma?


 so, un verso della Divina Commedia di una quarantina di caratteri, quale è
In assoluto la tua è una cattiva idea, in realtà quaranta caratteri 
prevedibili non sono da buttare via. Trovo che sia meglio una roba del 
tipo ax1hS5Qu che otto parole prevedibili (5 caratteri a parola).
Il mio consiglio è di crearti una poesia sicura, inventata da te oppure 
di un autore locale oppure un po' conosciuta, prendi solo una lettera 
per parola e fai la pwd. Puoi prendere un passo non troppo noto della 
Divina commedia e prendere solo le iniziali, usa 256 bit di dati,  32 
caratteri.
Adesso che te l'ho detto cambia poesia o prosa magari scegli tra le 
sconosciute.


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Sandro wrote:
| Adesso che te l'ho detto cambia poesia o prosa magari scegli tra le
| sconosciute.
Usare qualcosa di "poco conoscito" è insicuro praticamente quanto
qualcosa di consocuito da tutti (magari proprio la divina commedia), la
differenza in numeri di prove è ridicola.
Una password deve essere indistinguibile da un dato casuale per essere
una password "seria".
(ovviamente una chiave "seria" può essere "diluita" in una forma più
"commestibile", ma deve essere "seria" già in partenza)
Ad esempio questo comando crea certamente una buona password, ma è in
una forma piuttosto scomoda da ricordare:
$ dd if=/dev/urandom bs=16 count=1 2>/dev/null | base64
4nZZb4EQ4ocKfUhLFG8gaQ==
Note "per non addetti ai lavori" (e per chi non ha letto altri miei post):
con "seria" chiamo ogni password che abbia 128 bit di entropia negli
occhi dell'attaccante, ovvero una password adatta a *qualsiasi scopo*,
ovviamente la password che protegge un file che contiene altre password
dovrebbe avvicinarsi quanto più possibile a questo "ideale di sicurezza"
con "diluita in forma commestibile" intendevo invece qualunque schema
che abbina i bit della "pura chiave" a parole o concetti più facili da
ricordare.
questo sarà equivalente alla forma "compatta" ovviamente solo nel caso
il programma che usa la password stessa faccia "la cosa giusta" (ovvero
un hash della password stessa), come ad esempio PGP e AxCrypt fanno.
quindi, come richiesta personale, ti PREGO, non usare un testo (che sia
prosa o poesia!!!!) conosciuto da CHIUNQUE altro che non sua TU.
Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAVOasACgkQaJiCLMjyUvt+ugCdH3i3wnOsb7eRUGfZcUaDPZps
KOgAoIs8Mxe0xJ/qOH1pNpk99A9fiChK
=p7Sl
-----END PGP SIGNATURE-----

 prosa o poesia!!!!) conosciuto da CHIUNQUE altro che non sua TU.
Ok, hai ragione ma occorre essere pratici. Quasi tutti usano i sevizi 
bancari ed eseguono gli allegati che gli manda l'amico con l'aggravante 
di avere l'adsl e di essere molto spesso collegati a internet. Antivirus 
poco aggiornato (e comunque serve a poco).
Che gli serve una pwd a 128 bit di entropia? Il discorso dell'anello più 
debole non ce lo mettiamo?
Ovviamente non mi riferisco ne a te ne al signore/ragazzo ma ai molti 
che ci leggono e che potrebbe trarre false sicurezze dalle tue parole: 
concordi?


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Sandro wrote:
| Che gli serve una pwd a 128 bit di entropia? Il discorso dell'anello più
| debole non ce lo mettiamo?
Il fatto che "il resto del sistema" sia meno sicuro non autorizza questa
singola parte del sisetma a "far schifo" ^_^
Perché il sistema completo sia sicuro deve essere sicura ogni sua parte...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAVnY4ACgkQaJiCLMjyUvupWQCeMwRr2ZuP6lQZh4ltxnGBMUiZ
47MAoOHltCs2AMKmjNXZzjjou+SXklA9
=vnk+
-----END PGP SIGNATURE-----

 concordi?
No... La tua idea quale sarebbe invece? `E` davvero inutile usare una
buona password perche` tanto i dati verranno sottratti in altro modo' ?
Saluti,
Federico


 buona password perche` tanto i dati verranno sottratti in altro modo' ?
Dico subito che Lapo è un esperto ma credo sappia la mia opinione su di 
lui. Ho affermato invece che il suo giudizio non rispettava la massima 
sull'equilibrio della catena. Tutti noi siamo sensibili al problema 
della sicurezza e normalmente cerchiamo di avere i nostri dati al sicuro 
con un uso oculato del pc e dei sw.
La maggior parte delle persone, invece, non si occupa di massime 
sicurezze ma solo di sicurezze modeste (e insufficienti per molti usi 
del pc), per costoro suggerirei di essere chiari e di rivelare che poca 
conoscenza coincide con poca sicurezza, usare outlook coincide con avere 
l'internet banking non sicuro anche se si usano pwd casuali da 128 bit 
di entropia.


 Perché il sistema completo sia sicuro deve essere sicura ogni sua parte...
Avere un sistema molto sicuro è la nostra ambizione :)


Il Tue, 27 Jan 2004 21:34:48 +0100, Sandro ha scritto:
[...]
Pare d'ascoltare il responsabile legale d'un azienda... La questione
su cui volevo far  riflettere  era, semplicemente, che e` chiaro che
esisteranno altri anelli deboli,ma non per questo non e` conveniente
avere accortezza nella scelta della password, dell'algoritmo, etc...
:D
