Newsgroup: it.comp.sicurezza.pgp
Titolo: [GnuPG] Firme a durata limitata

Speriamo che questa ultima settimana di lavoro, prima delle ferie,
scorra liscia e indolore...
Veniamo al mio dubbio:
Ho generato una coppia di chiavi DSA che vorrei utilizzare come
Certificate Authority e un'altra chiave DSA/ElG relativa ad un ente
dipartimentale.
La durata della vita di entrambe le chiavi è illimitata (no expire),
ma vorrei fare in modo che la firma apposta dalla CA sulla chiave
dell'ente abbia validità limitata nel tempo... ad esempio 6 mesi.
Ho provato a firmare la chiave dell'ente con quella della CA, ma,
durante l'apposizione della firma, non mi viene richiesto il tempo di
validità di tale firma, bensì viene ritenuta a durata illimitata.
Inoltre, ho creato una chiave secondaria (DSA, quindi per la sola
firma) per la CA a vita limitata ad un anno e vorrei utilizzarla per
firmare la chiave dell'ente durante l'anno di validità, imponendo la
validità della firma a sei mesi.
Oltre a non essere riuscito a dare validità limitata nel tempo alla
firma, non mi è neppure riuscito di utilizzare la subkey per apporre
la firma.
Nel senso che la subkey ha un suo (o sua) KeyID, ma quando la
specifico per la firma, viene comunque sempre utilizzato il KeyID
della chiave primaria.
Se mi fosse possibile utilizzare la subkey, potrei darle validità 6
mesi ed utilizzare questa per le firme a validità limitata, essendo
legate alla validità della chiave firmante... o sbaglio?
Se questa operazione tento di farla mediante PGP 7, durante
l'apposizione della firma, mi chiede la durata della validità della
firma... senza dover creare chiavi secondarie o stratagemmi simili...
Mi dà, inoltre, la possibilità di dare una validità "da, a" alle
subkey, cosa che non mi è possibile con GnuPG.
Ho cercato sulla documentazione e sul web, ma non ho trovato nulla in
merito alla durata delle firme sulle chiavi.
Qualcuno ci si è già imbattuto o ha una vaga idea di come risolvere il
problema?
Grazie,
TJL73 <tjl73ATdespammedDOTcom>
--
"I problemi non possono essere risolti
allo stesso livello di conoscenza di chi li ha creati."
Albert Einstein (1879-1955), fisico tedesco

 wrote in message
news:ea4bkuce5mek41p1o...@4ax.com...


 problema?
Ho notato che se tento di firmare con GnuPG (1.1.90) una chiave che scade
tra, mettiamo, 6 mesi, mi viene chiesto se anche la mia firma dovra'
scadere tra 6 mesi. Quindi sembra che la durata della firma sia legata
alla durata della chiave firmata. Se cosi' fosse, tu potresti modificare
la durata della chiave da firmare, firmarla e poi rimetterne a posto la
durata. Forse in questo modo si ottiene quello che ti serve... 
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

 durata. Forse in questo modo si ottiene quello che ti serve... 
L'avevo notato e ponderato anch'io...
Il mio problema, però, è differente... le chiavi che devo firmare, non
sono di mia proprietà... non possiedo la parte privata... quindi non
posso variare la durata di validità...
Un po' come s'io fossi una CA che deve firmare le chiavi di tutti i
miei utenti di sei mesi in sei mesi.
O forse non ho capito io che cosa intendevi dire...
Ciao,
TJL73 che, se iddìo vuole, ci sentiamo a settembre...
--
"Per ogni problema complesso,
c'è sempre una soluzione semplice. Ed è sbagliata."
George Bernard Shaw (1856-1950), drammaturgo inglese

 O forse non ho capito io che cosa intendevi dire...
No, hai capito benissimo. Mi sa che dovresti mettere la cosa nella
wishlist di GPG... 
... a meno che non abbiamo preso tutti un abbaglio clamoroso leggendo la
manpage, ovvimente... ;-) 


 manpage, ovvimente... ;-) 
Infatti questo è stato il mio primo dubbio... credevo proprio di non
essere stato io, capace di utilizzare quella funzione...
Proverò a considerare l'idea della wishlist, sperando che non tutti
gli sviluppatori siano uguali...
Ciao,
TJL73 scettico...
-- 
Rimango sempre stupito dalla capacità femminile
di reinterpretare la realtà...

 gli sviluppatori siano uguali...
Ricorda che GnuPG e' OpenSource. Troverai di sicuro qualcuno che ha le tue
stesse necessita' e vuole implementare quella funzione. Oppure potresti
implementarla tu stesso, mandando poi la patch a chi di dovere che la
inserira' nella successiva versione del programma (dopo averla testata, si
spera... ;-)). 


    Werner
Quindi, c'era, ma mi era sfuggito...
Ciao,
TJL73 e un altro caso brillantemente risolto... da altri...


 Quindi, c'era, ma mi era sfuggito...
Sarebbe interessante sapere se quella funzione c'era anche tre mesi fa,
oppure se e' stata introdotta in una versione piu' recente. 
Tanto per cercare di evitare la solita figura da niubbi che non leggono le
manpages... ;-))) 


 manpages... ;-))) 
Ebbene sì... 'stavolta mi sono fatto la figura del niubbone...  O:-)
Ciao,
TJL73 newbie...
-- 
C'e` una sola certezza nella vita...
E vorrei non esserne cosi` sicuro.   :o(

 funzione era già presente...
<arrampicata sugli specchi>
Vabbe', ma le versioni "unstable" non fanno testo, si sa... ;-))
</arrampicata sugli specchi>
