Newsgroup: it.comp.sicurezza.pgp
Titolo: DOMANDA-PROPOSTA A TUTTI !

Salve a tutti...
    Frequento questo ng da parecchio tempo, anche se ho interrotto per un
po'... Volevo chiedervi un attimo di tempo per riflettere con me su un paio
di punti:
1. Il PGP (che io uso da un paio di anni) dovrebbe, e sottolineo dovrebbe,
essere sicuro in quanto usa algoritmi         potenti a doppia chiave.
Tuttavia, essendo un programma commercializzato, non sappiamo come funziona.
Quando dico "non sappiamo come funziona" intendo dire che dietro alla bella
mascherina dei tools o delle             chiavi del PGP, mentre noi ci
colleghiamo al server per inviargli la nostra chiave pubblica e relativi
aggiornamenti,     nessuno ci garantisce che non ci sia un piccolo bug,
molto ben nascosto, che invii la nostra         chiave privata chissà a
chi...
2. Le chiavi sono generate dal programma stesso. Che ne sappiamo noi che,
nella generazione delle stesse, non ci     sia un qualche bug che inserisca
nella pubblica, un richiamo che consenta a chi a scritto il programma o a
terzi     di rigenerare la privata?
3. Ho letto diversi commenti su articoli più o meno specifici, postati sul
NG, relativi alla compromissione del             sistema PGP per vie
traverse. Articoli usciti, sotto forma di estratto sintetico anche su
www.pgpi.org
 !!!
    E quindi la mia domanda è: siamo sicuri che in realtà non stiamo
utilizzando un programma che ha più buchi del formaggio svizzero? La
soluzione per confermare una cosa o l'altra sarebbe molto semplice:
basterebbe mandare una bella mail con espliciti riferimenti a traffico di
droga o ancor meglio ad un attentato contro Bush alla sede centrale della
NSA. Solo che io non ho voglia di svegliarmi alle 06.00 del mattino, con i
un paio di agenti di Langley che mi bussano alla porta. E voi? Credo che
nessuno di voi manderà quel messaggio per smentirmi, per dimostrare che
invece la NSA non può leggerci, e mi chiedo perchè! Forse anche voi non
siete poi così sicuri?!
    Ora la proposta: io ho da poco letto il libro di Simon Singh, "Codici e
Segreti": non possiamo inventarci un sistema crittografico molto più banale
sotto word, magari a mezzo Macro? É possibile generale delle macro che
operino trasposizioni e sostituzioni a nostra discrezione?
So che molti di voi obietteranno che si tratta di una stronzata, che se la
NSA decritta il PGP, allora figurati le macro di word, ma devo ricordare a
chi non lo sapesse che - tanto per esemplificare - la cifratura di Vigenère
praticamente è indecifrabile a meon che non si conosca la chiave.
Forse le macro non sono una buona idea, forse - anzi sicuramente - ce n'è
una migliore... Allora perchè non ci dedichiamo a trovarla tutti insieme?
Ciao A tutti,
Druidus


iQA/AwUBOtbHOG/a3fnYIE8nEQKNBQCdElKhaAm4BR9ov95l9M86MGWn6hcAoPtw
yryXkpygJ4r2fQ1hhQtL+ttl
=sind
-----END PGP SIGNATURE-----
-- 
         Stefano Aglietti - StallonIt on IRCnet - ICQ#: 2078431
 
agli...@mi.flashnet.it
 - 
agli...@webby.it
 - 
stal...@bastardi.org
 
http://www.geocities.com/SiliconValley/Haven/2255
  PGP keys available on keyservers  (cripted & signed PGP mail welcome)
        RSA fingerprint: CDF0 2E91 8CD9 53FB ADEA BADD D3CF 92AD
   DSS fingerprint: 5003 681D 6A92 2571 163D 4728 6FDA DDF9 D820 4F27


iQA/AwUBOtbhyG/a3fnYIE8nEQI+nQCfZWGJwS1FMKXNrrkkC6doIFmgtNQAniUd
m+YhV4zKc/QYnCsbYisvUDGl
=55Ub


    Innanzi tutto, vorrei ringraziare Stefano per le spiegazioni che mi ha
dato che, devo ammettere, mi hanno abbastanza rinfrancato; ero piuttosto
preoccupato per la sicurezza dei documenti che spesso mi capita di
trasferire via mail, ma la sua lunga e dettagliata spiegazione mi ha dato
modo di stare un pò più tranquillo.
In questo senso, vorrei approfittare della tua gentilezza per chiederti una
cosa, Stefano: io conservo le mie due chiavi in una cartella nascosta, che
in realtà è una sottocartella molto ben camuffata in mezzo alle altre.
Vorrei sapere alcune cose:
1. Cosa sono i bak che PGP crea ogni tanto? (Devo tenere anche quelli in
considerazione, quando trasferisco la     mia "chiave" oppure sono
sufficienti i files originali?)
2. Farei meglio a masterizzare un CD da 21 minuti, di quelli piccoli, come
ha fatto un mio amico per tenerci sopra     le chiavi o dovrei metterle su
un dischetto? Il fatto di tenerle nella mia cartella nascosta, rappresenta
un pericolo     per la sicurezza?
3. Qualche tempo fa ho creato un nuovo user PGP fittizio, per scmbiar
informazioni con un paio di amici in             maniera del tutto anonima.
Purtroppo, ho commesso l'errore di indicare quali files "chiave", gli stessi
del mio         vero user, di modo che ogni volta che aprivo PGP apparivano
due chiavi con la "faccina" di fianco, mentre io         avrei preferito
avere 4 chiavi: una privata ed una pubblica per tutte e due le identità. Non
riuscendo a                     risolvere il problema, ho revocato la
chiaver fittizia e ho così potuto cancellare la seconda identità dalle mie
chiavi? Ho fatto bene oppure ho danneggiato le mie chiavi originali? Adesso
le mie chiavi corrispondono             SOLO al mio user o no?
    Ringrazio Stefano per l'aiuto in anticipo e chiunque altro vorrà darmi
il suo parere. Concludo con una piccola frecciatina, che spero mi verrà
concessa: è vero che non testo il funzionamento dell'airbag della mia auto
per sapere se effettivamente quello che si dice corrisponde a verità, ma è
anche vero che testare il PGP con NSA sarebbe meno cruento... Se non c'è
rischio alcuno, allora cos'è che ci impedisce di tentare? Tanto il nostro
messaggio non dovrebbero essere in grado di codificarlo comunque, no? Oppure
qualcuno si è già preso la briga di fare la prova in questione?
Ciao A Tutti,
Manlio

 una migliore... Allora perchè non ci dedichiamo a trovarla tutti insieme?
Concordo con tutto ma ho da fare un'altra proposta.
Qualcuno è in grado di disassemblare i codici di PGP 7.0 per scoprire se c'è qualcosa di
sospetto?
Va beh, l'ho buttata lì..    :-))))))))
--
- And®ea, IK1TVW -
and...@nettuno.it
manute...@nettuno.it
PGP Fingerprint:
59FA 2F81 0B57 CF1D 3EFD  A1FF B2D6 0ACB 868D 499E
key available on keyservers
**Attenzione: togli l'asterisco dall'E-mail per rispondermi!!**
**Questo è il mio indirizzo corretto: 
and...@nettuno.it
  **
.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.·´¯`·.¸¸.


iQA/AwUBOtf5pW/a3fnYIE8nEQLBPQCfWdSl+bt3qoz0yW24dKBZA+1SonYAoNbf
GBu7MlBgR/xJp28Gw78ItRbP
=R2iq


le mie chiavi corrispondono             SOLO al mio user o no?
Credo proprio di si
Lapalissiano
Icq 57269703