Newsgroup: it.comp.sicurezza.pgp
Titolo: Aiuto per inizio utilizzazione di PGP

Premetto che ho effettuato alcune ricerche su Google, ma ho bisogno di alcune vostre personali considerazioni.
Innanzitutto avrei intenzione di utilizzare il PGP v2.6.3i con la shell Aegis Shell 32 bit.
avrei però alcune domande:
1) tutto ciò che è criptato con questa versione, è leggibile con le versioni  interamente sotto windows ?
2) perchè la versione che ho scaricato io  a 16 bit, nelle intestazioni scrive PGP v 2.6.3.ia ???
ovvero perchè la "a" finale invece che soltanto la "i" ??
3) esiste anche un'altra versione a 32 bit sempre della v2.6.3.ia, ma facendo delle prove, se codifico una frase con la
versione a 16 bit, perchè è differente la codifica con quella a 32bit ?  Non dovrebbero essere uguali ?
Per il momento vi ringrazio se vorrete darmi una vostra considerazione.
A presto rileggervi.

 versione a 16 bit, perchè è differente la codifica con quella a 32bit ?  Non dovrebbero essere uguali ?
Un testo cifrato (anche se il testo in chiaro originario è identico) non
è *mai* lo stesso... anche se viene generato dallo stesso algoritmo (e
quindi dallo stesso programma, stessa versione)...
... o non mi è chiara la domanda?
Ciao,
un TJL73 e l'utilizzo delle risorse più recenti...
-- 
"Quando ti morde un lupo, pazienza.
 Quel che ti secca e` quando ti morde una pecora."
                                                         -- Arthur Bloch


Appena installo GNUPG e tutti i suoi file, ti faccio sapere dove mi sono
arenato.
Grazie per il momento.
Bye.

 GNUPG e PGP hanno lo stesso livello di sicurezza ?
Posso risponderti io?
Gpg e pgp rispettano entrambi lo stesso protocollo (Open pgp) e sono due 
ottime implementazioni (cosě si dice), i bachi sono sempre dietro 
l'angolo e quindi la sicurezza č relativa al fatto di non avere commesso 
errori nell'implementare i diversi algoritmi. In piů c'č il problema che 
gli algoritmi sono sicuri fino a prova contraria ma questa č una lunga 
storia: stay tuned.
Secondo me i programmi di tipo Liberi, quelli che in inglese si chiamano 
free, in particolare quelli sotto GPL sono piů sicuri in generale e piů 
sicuri nel particolare caso della crittografia, questo č dovuto al fatto 
che esistono degli assiomi sul fatto che la sicurezza non sta nella 
segretezza del codice a cui il sw libero si conforma.
Poi se hai nel tuo pc dei sw closed (win? o altro) esiste il problema 
degli spyware e anche questa č una lunga storia: stay tuned.
-- 
Bye,     | Stolto e' colui che invece di guardare(gnuKEY ID 0xD5D28BA9)
Sandro.  | la luna guarda il dito che la indica. (Togli/Cut SpamNo)
---------*
[This message is released under the GNU/GPL license 
http://www.gnu.org
]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Peter wrote:
| Ora però ti chiedo questo.
| GNUPG e PGP hanno lo stesso livello di sicurezza ?
Identico, come specificato dallo standard OpenPGP.
| Haaa.. ecco non lo sapevo, pensavo che entrambi avevano le stesse
| caratteristiche di cifratura, e che quindi non dipendesse dal tipo di
| compilazione (16 o 32 bit), e che fossero indipendenti dal periodo di
| cifratura (data e ora di cifratura), ecco perchè ho cercato di fare la
| prova di cifratura dello stesso testo con le due versioni.
Beh, dovrebbe essere diverso anche se usato nello stesso microsecondo
(dipendendo da tutto lo "storico" delle operazioni fatte -e da altro-
per riempire il suo file di entropia).
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9IrLIACgkQaJiCLMjyUvt/FACg6G3qBgpXPZyJAMWpzylRzJyi
VUoAnA/P3QAj/HttNfyXrlCNqwZ5430m
=V2Su
-----END PGP SIGNATURE-----

 generale e più sicuri nel particolare caso della crittografia,
Questa storia della maggior sicurezza dei programmi crittografici open
source la sento sempre più frequentemente.
Per non rischiare di farlo diventare un luogo comune, conviene fermarsi un
po' a ragionarci sopra.
Tutti gli algoritmi crittografici pubblicati hanno un test vector che serve
proprio per verificare che l'implementazione fatta da ognuno di noi funzioni
come previsto.
Se io scrivo un programma (in qualunque linguaggio) che implementa l'AES
(per esempio) e verifico che il risultato ottenuto dal mio programma
corrisponde a quello previsto (confrontandolo con i test vector) io sono
*assolutamente* sicuro che il programma funziona come previsto (a meno di
malfunzionamenti occasionali del pc); non c'è bisogno che tutto il mondo
veda il codice sorgente.
Il fatto che un programma crittografico sia open source deve soltanto far
stare tranquilli che non ci siano trap door, ma la sicurezza (una volta
collaudato a fronte di test vector) non deve essere ritenuta superiore a
quella di un programma non open source:
- io scrivo un programma che implementa l'AES;
- io t'invio l'eseguibile (senza sorgente);
- tu cifri e decifri i test vector originali forniti dagli autori
dell'algoritmo;
- il programma produce i risultati attesi;
- tu *devi* essere sicuro che il programma è sicuro.
Non c'è verso che io possa produrre il risultato atteso nascondendoti chissà
quali misteri.
Quando, anni fa, seguivo le vicende di pgp, mi ricordo che saltava fuori un
bug dietro l'altro, eppure il codice era lì a disposizione di tutti.
Può capitare, per esempio, che proprio perché tutti dicono: "il programma
sarà stato controllato da milioni di programmatori/crittografi, io sto
tranquillo." in realtà nessuno (tranne una o due persone) ha controllato per
bene *tutto* il programma.
Cristiano

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Non c'è verso che io possa produrre il risultato atteso nascondendoti
chissà
| quali misteri.
In realtà il verso c'è (potresti riconoscere i test vector e dare
risultati corretti SOLO per quelli), ma siamo comunque nel campo della
"sega mentale" e se siamo in quel campo mi diverte molto quell'aneddoto
che idealmente *OGNI* copia di *OGNI* compilatore che è in giro potrebbe
contenere un troiano auto-riproducente (ovvero che quando compila un
compilatore produce un compilatore con la stessa funzione troiana) e che
~ riconosce determinate linee di codice e le altera in fase di compilazione.
Tengo a dire che questa *è* una sega mentale, però a me spesso aiuta a
restare con i piedi per terra... 0=)
(per la serie: attraversando la strada rischio la vita, ma spesso lo
faccio...)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9JN6AACgkQaJiCLMjyUvsv7gCcD9GC3GTV4qDPIcYJ5fRht/TJ
+CYAoN4nnvYfrvWcCKPlvohDUCmxqvAV
=VNgh
-----END PGP SIGNATURE-----

 risultati corretti SOLO per quelli),
E` vero, ma dovresti includere nel programma una lunga serie di caratteri
facilmente individuabili "a occhio" quasi da chiunque.
Se poi venissero pubblicati altri test vector da parte di organizzazioni
affidabili (matematici, programmatori, istituiti di ricerca) per testare i
loro programmi con file di lunghezza elevata (di solito i test vector sono
lunghi 1 blocco di cifratura)?
Io credo che un programma così fasullo venga scoperto veramente in poco
tempo.
Cristiano

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Io credo che un programma così fasullo venga scoperto veramente in poco
| tempo.
<seghe mentali mode>
Solo disassemblando il programma... e un programma che fa una "porcata"
simile ha certamente *intenzione* di farla, quindi avrà anche
l'accortezza di nascondere bene i test vector all'interno del codice.
Ma ancora più "facilmente" potrebbe usare semplicemente un checksum (o
un hash) della stringa di ingresso per decidere se usarla in modo
"normale", senza per questo smettere di 'manomettere a piacere' la
stragrande maggioranza dei codici...
Ma comunque ci sono modi molto più facili, suppongo... leggendo gli
annunci di correzione dei bug vengono fuori dei bug così *astrusi* e
impensabili che, una volta pensati, non è difficile pensare di usaril
"apposta", avendo poi l'ottima scusa che era un bug", no?
</seghe mentali mode>
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9JdhsACgkQaJiCLMjyUvsCAgCgs99VFXElvQZKlfnWfAje0LPs
PeEAn3C3PrVleKS7oTxGJxWIQCZXG5pu
=QtxS
-----END PGP SIGNATURE-----

 </seghe mentali mode>
Far passare per bug un controllo sulla chiave e sul file in ingresso!?
Nemmeno il peggior allocco ci crederebbe.
Sarebbe l'ultimo programma che quel programmatore mette in circolazione a
suo nome.
Cristiano

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Far passare per bug un controllo sulla chiave e sul file in ingresso!?
| Nemmeno il peggior allocco ci crederebbe.
| Sarebbe l'ultimo programma che quel programmatore mette in circolazione a
| suo nome.
No, quello era un *altro* esempio... ci sono 1000 modio per rendere un
programma non sicuro senza fare cose macchinose come quelle di cui parliamo.
Avere un buffer overflow conosciuto dall'autore nella procedura di
ingresso è forse il più semlpice.. e dopotutto se perfino "Unbreakable
Oracle" ha bug di buffer overflow perché non possono averlo anche altri? ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9J1Y0ACgkQaJiCLMjyUvvBjwCgqJMYTU0f6So8PDbFXWXNoGs9
q00AnA65GM5MGTC2G0KTh7p6manRxRg+
=+asd
-----END PGP SIGNATURE-----

 altri? ^_^
Ma a cosa servirebbe un buffer overflow? In altre parole, perché il balordo
terrebbe lě in agguato un buffer overflow?
Cristiano

 fermarsi un po' a ragionarci sopra.
Tra un ragionamento e un altro, può essere interessante anche leggere:
http://www.securityfocus.com/news/19
Cristiano

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Cristiano wrote:
| Ma a cosa servirebbe un buffer overflow? In altre parole, perché il
balordo
| terrebbe lì in agguato un buffer overflow?
Per avere "accesso" ad un programma "protetto" dal suo programma...
ovvero può essere un modo "sostenibile" di immettere una backdoor senza
che sia facilmente notabile o che "incrimini" chi l'ha messa se scoperta
(può sempre dire che se perfino Oracle ha dei buffer overflow, anche a
lui possono scappare...)
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAj9jGPYACgkQaJiCLMjyUvsy5wCdFsTVYLjMIH2mKoyvtk870wa7
A6YAn3BN7iaf6MkUG4qw21PdtrhXmJua
=H96B
-----END PGP SIGNATURE-----