Newsgroup: it.comp.sicurezza.pgp
Titolo: PGP6.5.8ckt

Salve,
ho provato ad installare il nuovo PGP 8, ma ho avuto problemi di
instabilità del sistema, probabilmente per incompatibilità con altre
applicazioni.
Ho così optato per il 6.5.8ckt build 8.
Non conoscendo questa "distribuzione" e continuando a sentirne parlare
bene ora voglio usarla ma pongo dei quesiti.
Premesso che non voglio provocare nessuno, ma solo conoscere questa
distribuzione:
-come faccio a fidarmi di uno che, oltre a tenere un sito che funziona
a metà (link errati, no supporto script ecc...ma ci vuole tanto???),
distribuisce la build 8 con firma errata?
Lo so, lo so, poi la ha aggiunta al sito, ma da 2 giorni mi da "404
non trovato". Come faccio a verificarne l'autenticità?
Un bel po di incuria...ma passiamo oltre.
-Subito sotto i link alle ultime versioni ckt si viene avvisati di
dare un occhio ad un sito ftp pieno di file/dati/documenti su pgp&co.
Sullo stesso sito, oltre ad essere presente pgp8 freeware, contro al
volere di pgp corp che vuole distribuirla solo dal suo sito, ci sono
dei bei file tipo pgp8 key generators.......ehi sono crack!!
- mi scarico la build 9 beta 3 e winrar mi avverte "bad autenticoty
verification" o roba simile....poi però la firma è corretta.
Già, la firma, ma chi cavolo sarà mai 'sto imad. R Faiad???
Guardando sui keyserver le sue (ma saranno sue?) chiavi hanno dei bey
keyId tipo DEADC0DE e DEADBEEF o roba simile, ora non ricordo bene....
Eppoi, io non ho mai sentito 'sto tipo. chi è??? Non lo conosco come
un grande nome della crittografia come chessò, Zimmerman, Schneier,
Rivest,  & C.
Ripeto, sto ammettendo la mia ignoranza e vorrei che qualcuno la
colmasse.
Qualcuno conosce un sito dove esperti di sicurezza parlino delle
ckt???
Non utenti nei NG, non siti personali.
Siti tipo securityfocus & c.
Che dicano "abbiamo esaminato i sorgenti" o simili....:-)
Non basta che siano disponibili i sorgenti se la comunità non li
controlla.....o no?
Grazie mille in anticipo!
Intanto continuo a testarla....
-----------------------------------------
Real security is hard work.
There is no cure-all, especially not PKI.
             --C. Ellison and B. Schneier

 Intanto continuo a testarla....
Facci sapere se trovi qualcosa di interessante...
Ciao,
un TJL73 che finge di sapere, ma, in fondo, è un grande ignorante...
-- 
"C'e` rimedio? Allora perche' ti preoccupi?"
"Non c'e` rimedio? Ed allora perche' ti preoccupi?"
                                                        -- SP (Toccio)

un TJL73 che finge di sapere, ma, in fondo, è un grande ignorante...
Citando PRZ: "quando ero convinto di sapere la crittografia, in realtà non
sapevo ancora nulla" (ho parafrasato, ma non ho voglia di controllare).
-- 
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /

 colmasse.
grrrrrrrrrrrr

stavolta.
Permettimi un grasso sorriso. :-)
Se lo avessi letto fino alla fine avresti visto che non volevo certo
tirare su dei flame.
Non avendo sentito nulla delle ckt, se non quel poco per provarle,
volevo chiarirmi dei dubbi e sapere gli altri come la pensano su
questi temi.
Non voglio schierarmi ne dire questo č bello questo č brutto, e nel
post lo dico.
Tu, piuttosto, perchč tratti le persone con sufficienza?
Perchč vuoi fare queste figuracce perdendo l'occasione preziosa di
tacere?
Chi tende a prendersela come affronto personale quando qualcuno o non
la pensa come lui o, come nel mio caso, vuole solo capirci qualcosa e
parla di cose che lo lasciano perplesso....beh... a casa mia si chiama
"IGNORANTE  CON SPESSORE ZERO".
Ma tu non lo sei di sicuro, almeno giudicando dai post precedenti,
vero? 
Allora facciamo tutti finta che la tua risposta sia stato un errore di
gioventů.
Alla prossima, ma solo quando avrai qualcosa da dire,
Ciao


grrrrrrrrrrrr
Questo grrr puoi pure tenertelo.
Grazie per le risposte, anche se sei già il secondo che le prende come
affronti personali.
E non capisco perchè.
Alal fine il sunto del mio post era: I ckt erano un gruppo di hacker
"paladini della libertà" e Faiad era uno di loro.
Ora, qui sul NG tutti sono molto attenti alla sicurezza di tutto.
Talvolta alcuni sono pure paranoici, il che in questo campo non
guasta.
Io scrivo che non conosco nulla sulla fonte delle ckt e che seppur
avendo cercato in giro, ho trovato pochino pochino.
Chiedo al NG perchè diavolo dovrei fidarmi di questi *per me*
sconosciuti e cerco conferme circa  il loro biglietto da visita, che
mi lascia perplesso.
Non capisco dove sia il problema. Tutti si preoccupano di dove può
mettere le mani la NSA (a ragione) ma si scandalizzano quando uno
(dichiaratamente ignorante circa le ckt), è perplesso di fronte ad un
ex hacker (termine che io non giudico a priori negativo, beninteso).
Comunque ci terrei a precisare un altra cosa.
Io ho ammesso la mia ignoranza circa le fonti delle ckt.
Con questo non sono l'ultimo arrivato. Frasi che hanno il senso "ma
che ne vuoi sapere tu" dimostrano poco spessore.
Saluti e grazie per la risposta.


 che ne vuoi sapere tu" dimostrano poco spessore.
credo di poter dire la stessa cosa di te, riferendomi alla mancanza di
rispetto che hai mostrato nei suoi confronti.
passare ai giudizi personali è sbagliato cmq. spero sarai d'accordo di
tagliare qui questo tipo di discorso, specie in un NG.
avrai notato che rispondevo 'evidentemente' come colui che gli girano per il
post che hai messo.
ma mi sono astenuto dal dirti direttamente "sei un xxx, ecc ecc" perchè non
mi va di passare a considerare male uno che ancora non conosco, e ho cercato
di invitarti a comportarti in coerenza al principio di rispettare le terze
persone.
Ciao

 principio di rispettare le terze persone.
Non mi pare che VeRbAl abbia offeso nessuno, lui ha espresso (in maniera
esagerata, se vuoi, ma non certo offensiva) i dubbi di chiunque, con un
minimo di cervello, si affacci a scaricare un programma delicato come
uno di criptografia o uno relativo alla sicurezza. Puo' non piacerti,
perche' magari e' risaputo che tizio e' white hat ed aiuta le vecchine
ad attraversare la strada, ma il dubbio e' lecito porselo.
Cerchiamo di smorzare i toni, pero', eh?
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

Ma che dici? Se entro nel sito e sostituisco il software con MIA versione 
(e non sarebbe la prima volta) come fai a dire: hai mai visto un hacker 
avere un sito 
www.nike.com
 bla bla bla...


Grazie per la risposta.
Comunque sono sicuro che Faiad non se la prenderebbe più di tanto. Lui
scrive un programma in un ambito "caldo". Lui era un hacker (pure
white hat, non dico mica che sia assolutamente un delinquente, anzi
tutti conosciamo l'importanza di questi signori nell'IT).
E nonostante non abbia nulla contro di lui, capirai che uno che
distribuisce la sua versione di PGP debba come minimo aspettarsi un
"chi sei tu?", soprattutto circa il suo passato.
Mica gli dico che è un coglione o che è un falso o che altro.
Anche lui, se è intelligente, si aspetterà queste obiezioni. E se le
aspetta come tutti quelli che si occupano di sicurezza. Anche
Zimmerman ne ha passate tante e tralasciando la buffonata del processo
(altro che obiezioni!), anche lui, all'inizio, si sarà sentito dire "e
tu da dove esci?". Se ora è conosciuto e rispettato, è anche grazie a
quelle domande e alle risposte che ha saputo dare.
Nulla ho poi da dire sulla fondatezza delle obiezioni verso Faiad
(chiedevo lumi, appunto). Ma non sollevarle sarebbe un reato.
Per i toni, forse troppo marcati, e su questo ti do ragione, ho
scritto un post a proposito.
Ciao,


 a trovargli un bug... e a quanto pare non l'hanno ancora trovato.
Infatti... era proprio quello che pensavo anch'io...
Ciao,
un TJL73 che si prepara per un week-end di totale riposo...
-- 
"I problemi non possono essere risolti
allo stesso livello di conoscenza di chi li ha creati."
                                                      -- Albert Einstein

Dopo aver spiegato e rispiegato il senso del mio post, e dopo che gli
altri utenti lo hanno compreso cosa posso fare se non constatare la
tua incapacità di rapportarti con gli altri?
Gli altri che mi hanno cortesemente risposto e hanno compreso il senso
di quello che ho scritto, assieme a molti altri che leggono e non
partecipano, non possono fare altro che constatare la tua figuraccia.
Mi diverte molto il tuo sentirti superiore. E mi diverte pure il fatto
che ti arrabbi cosi in fretta: è facilissimo farti fare una
figuraccia, purtroppo per te.
Vabbè, chiudiamo qui il post va.
Ciao.


aspettiamo il link, poi continuiamo su questo punto.
Non trovo neanche io il link, ma se la memoria non mi tradisce il "succo"
era questo:
"troppi programmatori (magari bravissimi) pesnano che questo sia sufficente
per scrivere programmi di crittografia, e facendolo commettono errori a dir
poco grossolani".
Ovvero: "non è necessario essere crittografi (teorici), ma bisogna comunque
essere esperti di crittografia ('applicata', diciamo) per scrivere un
programma di crittografia".
NB: questo mio post non c'entra con il TEMA del thread (su cui ormai ho da
tempo detto la mia), volevo solo aiutare a ritrovare quel link di cui si
parlava (ma neanche io l'ho trovato.. spero almeno di averne dato un
'minisunto' sufficente, dato che Verbal era stato piuttosto vago; comunque
magari mi ricordo malissimo)


 poco grossolani".
Può tornare utile?
Dal manuale di PGP di Zimmermann - 1994:
"Quando ero al college all'inizio degli anni 70, sviluppai quello che
credevo fosse uno schema brillante di crittografia. [...] Anni dopo,
scoprii lo stesso schema in diversi testi introduttivi alla
crittografia. [...] Sfortunatamente lo schema era presentato come un
semplice esercizio su come utilizzare le tecniche di analisi
crittografica elementare per violarlo in modo triviale. [...] La maggior
parte delle persone non capisce quanto sia difficile sviluppare un
algoritmo che possa affrontare un attacco prolungato e determinato da
parte di un avversario ricco di risorse. Molti sviluppatori software di
grido hanno realizzato schemi di crittografia ingenui come il mio
(spesso proprio lo stesso), ed alcuni di loro lo hanno inserito in
pacchetti software commerciali di crittografia [...] A volte i pacchetti
commerciali usano il DES [...] Il Governo raccomanda specificamente di
non usare il modo piu' semplice e debole, l'ECB [...] Raccomanda invece
di usare i piu' robusti e complessi CFB [...] e CBC [...] Parlando con
gli autori di queste implementazioni, ho saputo che non avevano mai
sentito nominare CBC o CFB, e non sapevano niente della debolezza
dell'ECB. [...] questi pacchetti contengono spesso un secondo algoritmo
piu' veloce da utilizzare al posto del piu' lento DES. [...] dopo poche
domande, di solito scopro che e' solo una variazione del mio brillante
schema dei tempi del college. [...] Brian Snow, un crittografo di alto
livello della NSA. Mi disse che non si sarebbe mai fidato di un
algoritmo di cifratura sviluppato da qualcuno che non si fosse fatto le
ossa spendendo un mucchio di tempo a violare codici. Questo ha molto
senso. Io osservai che praticamente nessuno sviluppatore commerciale
poteva qualificarsi secondo questo criterio. "Esatto" mi rispose
sorridendo, "e questo rende il nostro lavoro alla NSA molto piu'
semplice". Un pensiero raggelante. Neanche io sono qualificato."
Spero solo di non aver scritto una trentina di righe inutili e fuori
luogo.
Ciao,
un TJL73 e i brani del vecchio testamento...
-- 
"Quando ti morde un lupo, pazienza.
Quel che ti secca e` quando ti morde una pecora."
                                                       -- Arthur Bloch


no, anzi le conoscevo anch'io, il problema semmai è come applicarle al caso
di Imad...
prendere il PGP ufficiale per potenziarlo non ce lo vedo lì.
Ciao

 prendere il PGP ufficiale per potenziarlo non ce lo vedo lì.
Beh, tieni conto che chiunque faccia delle modifiche ad un software
consolidato e sicuro, può (involontariamente) inserire delle
vulnerabilità e/o instabilità...
Imad ha toccato pesantemente i sorgenti della versione 6.5.8 originale,
inserendo nuove funzionalità, algoritmi, e tutta una miriade di cose che
ha influito notevolmente sul "core" di PGP.
Potrebbe aver modificato e reso insicuro (insisto con il dire
"involontariamente") le versioni che ha distribuito... questo, non
perché abbia voluto introdurre delle backdoor o similari, ma perché,
magari, ha inserito delle funzionalità non pienamente testate e/o
scritte diversamente da come erano state studiate dagli autori (nulla di
fondàto... le mie sono solo ipotesi).
In questo modo, avrebbe inserito un anello debole nella catena...
Tutto ciò, non perché sia in cattiva fede, ma perché, anche lui, è un
essere umano e, come tutti noi umani, può sbagliare.
Quante volte, in qualsiasi software (o automobile, calcolo strutturale o
chissàchealtro), ci è capitato di vedere il rilascio di una nuova
versione dopo poco tempo dal rilascio della precedente, solo per
"tappare" un buco o un errore non presente nelle versioni precedenti e
magari introdotto dalla penultima versione? Sarà capitato migliaia di
volte... e quante volte potrebbe essere capitato, ma nessuno se n'è
accorto e la cosa è perdurata per parecchie versioni (quindi, per anni)?
Immagina se questo "inconveniente" fosse presente nel core delle CKT e
l'autore finora non se ne fosse accorto...
Un'accurata analisi da parte di un occhio esperto, potrebbe rivelare il
busillis.
Ribadisco la differenza tra programmatore e crittografo.
Trovo molto significante, la frase che lo stesso Zimmermann ha scritto
nell'ultima frase del paragrafo che ho riportato nel mio post
precedente.
Ciao,
un TJL73 che, cmq, in confronto a quegli umani, si sente una nullità...
-- 
"Ci sono due specie di sciocchi:
quelli che non dubitano di niente
e quelli che dubitano di tutto."
                                                     -- C. J. de Ligne