Newsgroup: it.comp.sicurezza.pgp
Titolo: PGP e normativa italiana

L'allegato tecnico (Regole tecniche per la formazione, la trasmissione, la
conservazione, la duplicazione, la riproduzione e la validazione, anche
temporale, dei documenti informatici ai sensi dell'articolo 3, comma 1, del
Decreto del Presidente della Repubblica, 10 novembre 1997, n. 513.) al
DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 8 FEBBRAIO 1999 prevede
all'art.2 :
<<Algoritmi di generazione e verifica delle firme digitali
1. Per la generazione e la verifica delle firme digitali possono essere
utilizzati i seguenti algoritmi:
a. RSA (Rivest-Shamir-Adleman algorithm).
b. DSA (Digital Signature Algorithm).>>
Quindi,tutti coloro che -come me- hanno utilizzato il DSS/DH devono
rigenerare e ritrasmettere al keyserver la chiave pubblica per rispondere ai
predetti requisiti legislativi? cosa ne pensate delle scelte (RSA-DSA)
effettuate dall'Italia?

che come al solito arriviamo tardi........non capisco e non capirò mai le
restrizioni...se si accetta la crittografia come semplice mezzo di difesa
della privacy....perchè diavolo mi devono dire che algoritmo usare....è come
dire potete usare i portoni blindati ma le chiavi ve le diamo noi......
Nietzsche che gli esempi non servono e poi non li sai fare......
--
Nietzsche
PGP KEY AT:
http://members.xoom.it/nietzsche/contatti.htm

Quindi,tutti coloro che -come me- hanno utilizzato il DSS/DH devono
AFAIK DSS==DSA, ma comunque PGP non soddisfa le norme italiane e bisogna
usare per forza X.509 e simili.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 
http://members.xoom.it/nietzsche/contatti.htm
P.s.
Se lasci la chiave su una pagina internet ti conviene aggiungere il
fingerprint sotto l'indirizzo, sicche' tutti possano sapere che e' davvero
la tua chiave e non ci sono state sostituzioni...
Ciao
Al

 ha un valore legale (potrebbe essere una prova in tribunale).
Infatti.
Il sistema è esattamente questo.
Si tratta di scegliere un sistema che possa "sostitituire" a tutti gli
effetti la firma autografa, ed in questo senso si deve leggere la scelta di
utilizzare i due algoritmi peraltro più diffusi al mondo.
In effetti PGP non è che  sia incompatibile con la normativa, è solo che
allo stato attuale non può implementare la c.d. "chiave generata
nell'hardware" che è di fatto richiesta dal DPR 513/97
Ed anche per quanto concerne la validità della prova, in effetti - pur
essendo firmato con PGP astrattamente  di valore "minore" rispetto ad un
documento firmato a norma del DPR 513 - ben difficilmente potrebbe resistere
ad una consulenza tecnica; ho scritto qualcosa sull'argomento alla URL
http://www.affaritaliani.it/forum/avvocato_index.html
 o
http://www.cww.it/elaw/1999/09/02190706.htm
Saluti e complimenti ad Atoms per la precisione.
Luca de Grazia
-----------------------------------------------------------------
Luca-M. de Grazia - Avvocato - Patrocinante in Cassazione
E-mail: 
luca.d...@degrazia.it
 - 
studio.d...@degrazia.it
http://www.rtmol.it/users/degrazia
http://www.degrazia.it
ICQ:12969258
PGP 5.5.3i Fingerprint
4B39 35E8 06B8 FA06 3306  C9E3 2F1A B79A E358 42FF

Il problema è differente.
Per tutelare la privacy possiamo utilizzare tutti i programmi che
vogliamo senza alcuna limitazione, ma se si vuole ottenere una chiave
pubblica certificata e che soddisfi i requisiti del DPCdM è necessario
utilizzare i due algforitmi previsti dal legislatore.
Il principale problema che ha portatoa ll'esclusione di PGP è la sua
impostazione lineare (ovvero è l'utente che certifica come sicuro un
altro utente sia per lui che per gli altri utenti che lo hanno
certificato a loro volta). Mi spiego meglio A è un "vecchio" utente di
PGP ed è stato certificato come "sicuro" da B, C, e D.
Nel momento in cui A certifica E automaticamente E diventa sicuro anche
x B, C, e D (almeno questo è avvenuto in tutte le prove che ho fatto).
Se questa situazione non crea disagi in una cerchia "ritretta" di
utenti, con la diffusione della crittografia è evidente che è necessario
stabilire dei rigidi criteri di certificazione.
E' per questo che al sistema lineare proprio di PGP è stato preferito un
sistema verticale in cui soltanto un soggetto, il certificatore, può
garantire sull'autenticità della firma digitale di un soggetto.
Il sistema no è certo perfetto, ma sembra essere quello che offre le
maggiori garanzuie x gli utenti.
--
Parsifal
www.geocities.com/CapitolHill/Senate/3279
parsifa...@lycosmail.com
per scrivermi elimina nospam


Scusa, perche' il PGP non soddisfa la normativa italiana?
Dove potrei trovare info al riguardo ed anche a proposito di X.509?

Dove potrei trovare info al riguardo ed anche a proposito di X.509?
Ci sono abbondanti RFC, credo.
