P.G.P. (Pretty Good Privacy)

Manuale PGP
P.G.P. (Pretty Good Privacy)
Release 1.5
A cosa serve la crittografia
La crittografia deve consentire di:
!"
codificare un messaggio affinché solo il destinatario sia in grado di leggerlo
!"
autenticare il messaggio inviato affinché il destinatario sia inequivocabilmente sicuro dell'identità del
mittente
!"
autenticare sia il mittente che il messaggio affinché il destinatario sia certo che il messaggio non è stato
alterato
Poiché la corrispondenza per posta elettronica (e-mail) presenta notevoli problemi di sicurezza e riservatezza, la
crittografia risponde a queste esigenze che, in alcuni casi, risultano senz'altro indispensabili come ad esempio per
l'invio di numeri telefonici, numeri di carte di credito, ordini di acquisto (essere certi che l'ordine arriva da una certa
persona e che la quantità di beni acquistati sia veramente quella indicata), organizzare appuntamenti, ecc....
Cosa è PGP
Il problema insito nella crittografia in genere, o meglio il suo tallone d'Achille, consiste nel fatto che per cifrare e
decodificare un messaggio occorre una chiave segreta in possesso sia del mittente che del destinatario. Ma queste
due persone potrebbero trovarsi a notevole distanza tra di loro o addirittura non conoscersi affatto e pertanto, se
non esiste un canale sicuro per scambiarsi i codici di cifratura, occorre avvalersi di canali (e-mail, chat, posta
convenzionale) attraverso i quali la chiave potrebbe essere intercettata.
PGP risolve il problema essendo un programma di "crittografia a chiave pubblica " che si basa sulla generazione
di una coppia di chiavi: una "segreta" e l'altra "pubblica".
Eliminando la necessità di trasmettere una chiave segreta si riducono praticamente a zero i rischi di frode. L'utente
tiene al sicuro la propria chiave segreta mentre diffonde e rende disponibile la chiave pubblica. È stato stimato che
(nel caso di chiavi a 1024 bit, dove, come vedremo, il numero dei bit identifica la complessità della chiave: per
capirci una chiave a 4096 bit ha un livello di sicurezza definito “militare”…) una rete di un milione di Computer
10
impiegherebbe qualcosa come 10^ anni (un tempo pari all'età dell'Universo) per poter ricavare una chiave privata
da una chiave pubblica ... e a quel punto ci sarebbe ancora il problema di ricavare la “Pass Phrase” segreta.
Una chiave pubblica, quindi, potrebbe non essere sicura solo se non si è certi della sua reale appartenenza, cioè
solo se temiamo che Mister X ci abbia spedito la sua chiave pubblica spacciandosi per Mister Y e quindi noi
scriviamo a X pensando di farlo a Y (si capisce l’estrema rarità del caso descritto.. e comunque vedremo in seguito
come affrontare il problema della "certificazione" di appartenenza delle chiavi pubbliche).
Riassumendo (fra parentesi riporto i corrispondenti comandi di PGP che vedremo però solo successivamente):
1. la chiave segreta consente di decodificare il messaggio che è stato cifrato sulla base della
corrispondente chiave pubblica; Esempio:
!"
io sono in possesso della chiave pubblica di Cippa Lippa e pertanto, volendo inviargli una mail
riservata, effettuo la cifratura del messaggio (Comando ENCRYPT) usando la SUA chiave
pubblica. Solo Cippa Lippa, che ha la corrispondente chiave privata, potrà decodificare la mail
!"
viceversa, quindi, se mi arriva una mail che è stata cifrata sulla base della mia chiave pubblica,
potrò decodificarla (Comando DECRYPT) con la mia chiave segreta corrispondente, dove dico
corrispondente perché uno può anche avere più coppie di chiavi a suo nome, in genere una per
ogni indirizzo di e-mail.
-1-
Manuale PGP
2. la chiave privata consente di apporre al messaggio una "firma" che identifica univocamente il
mittente lasciandone però inalterato (non cifrato) il suo contenuto; Esempio:
!"
anche Cippa Lippa, come molti altri, è in possesso della MIA chiave pubblica. Se volessi inviargli
una mail non riservata dandogli però nel contempo la certezza che sono proprio io ad averla
spedita, posso effettuare la "firma in chiaro" (Comando SIGN) del messaggio usando la mia
chiave privata. Cippa Lippa, usando la mia chiave pubblica, potrà verificare (Comando VERIFY)
che il messaggio è stato inviato proprio dal sottoscritto ed inoltre che non è stato in alcun modo
alterato da estranei.
!"
Anche io, usando la chiave pubblica di un utente, posso verificare (Comando VERIFY) la "firma"
che lui ha effettuato con la sua chiave privata (parlo di utente generico e non necessariamente di
amico perché questo sistema può anche essere usato nelle mail pubbliche o sui newsgroup da
chiunque, in quanto, non essendo cifrato il corpo del messaggio, chiunque può leggerne il
contenuto mentre chi è in possesso della chiave pubblica di costui, può verificare che è stato
proprio lui a scrivere)
3. la chiave pubblica di un utente codifica il messaggio e la propria chiave privata lo firma; Esempio:
!"
quello che io ho scritto a Cippa Lippa usando la sua chiave pubblica lo può decifrare solo Cippa
Lippa (con la sua chiave privata) ma chiunque potrebbe aver scritto quella mail. Pertanto, oltre a
codificare il messaggio per Cippa Lippa, lo firmo con la mia chiave privata
!"
mi è pervenuta una mail che Cippa Lippa (ma quanto scrive !!) ha codificato con la mia chiave
pubblica e firmato con la sua chiave privata. Oltre ad essere l'unico a poter leggere quella mail
sono anche assolutamente certo che l'ha scritta Cippa Lippa e non qualcun altro
Cosa prelevare e dove
Il PGP è freeware, realizzato da Philip Zimmermann negli Stati Uniti con altri contributi nelle
versioni successive, è disponibile per DOS, OS/2, Mac, Amiga, Atari, Unix, VMS e chi più né ha
più né metta!.
Potete prelevare la versione internazionale ("international" cioè utilizzabile in tutto il mondo, non
solo negli USA dove gli algoritmi di crittografia sono proprietà del governo che né ha vietato
l'esportazione!) al sito ufficiale: http://www.pgpi.com
Si Parte!
Una volta installato, vi ritroverete l’omonimo gruppo di icone nel menù avvio: di queste ci focalizzeremo su quelle
mostrate in figura.
Ebbene, ignorate PGP-Tools (almeno per il momento non vi serve), lanciate il necessario PGP-Keys (almeno una
volta dovrete, altrimenti chi pensate che generi la coppia di chiavi! ;-9) e mettete in esecuzione automatica PGPTray che sarà il cuore del programma! (a partire da PGP v5.5.3i, è incorporato il Plug-In per gestire la crittografia
all’interno di programmi di posta elettronica come Eudora PRO, Outlook, Exchange ..etc.., ma resta comunque più
comodo e più sicuro usare il PGP-Tray per tutta una serie di motivi che vedremo poi).
-2-
Manuale PGP
Note sulla vecchia versione Dos
Il PGP ha un glorioso passato sotto DOS dove nacque alimentato da volenterosi che sopportavano la difficilissima
interfaccia a linea di comando pur di sperimentarne le potenzialità.
Oggi come oggi, il PGP è un’applicazione nativa di Win9x con tutti i pro e i contro che né conseguono, ma in
particolare con l’innegabile semplicità che ora né fanno una applicazione alla portata di tutti.
Mentre una volta l’unico algoritmo di crittografia incorporato in PGP era lo “RSA”, oggi dispone anche del “DiffieHellman/DSS” molto più sicuro, ma chiaramente incompatibile col passato! (questo problema vi si porrà quando
genererete la vostra coppia di chiavi: alla richiesta dell’algoritmo da usare, sappiate che se scegliete DSS non
permetterete a chi ancora utilizza PGP 2.6.3 (spero davvero pochi!) o precedenti (ultima versione a linea di
comando) di crittografare messaggi con la vostra chiave pubblica.
Generazione della coppia di chiavi (Autocomposizione o Wizard)
È decisamente la cosa fondamentale, o no? ... quindi lanciate PGP-Keys. Essendo il primo avvio di PGP e non
trovando precedenti files di chiavi nel sistema (infatti se avete fatto una reinstallazione di PGP stesso e siete già in
grado di effettuare un ripristino di database di chiavi, non dovreste proprio aver bisogno di questo manuale!), esso
partirà subito con l’autocomposizione per la generazione di una coppia di chiavi e vedrete la schermata seguente:
Cliccate su AVANTI e apparirà la seguente schermata ove dovrete inserire i vostri dati personali, cioè Nome,
Cognome (oppure il vostro alias in rete) e indirizzo di e-mail:
-3-
Manuale PGP
Si noti che i dati sopra visualizzati, cioè Nome, Cognome e indirizzo e-mail saranno per come dire “incorporati”
nella chiave pubblica che sarà generata, e poiché la chiave pubblica, per definizione, è di pubblico dominio,
ponderate attentamente l’indirizzo e-mail da inserire, oppure fate più semplicemente una coppia di chiavi per ogni
indirizzo e-mail che gestite, anche se poi ci sarà il problema di dare ai vostri “corrispondenti” la giusta chiave
pubblica! ;-9
Ora cliccate su AVANTI e comparirà la finestra ove decidere l’algoritmo di crittografia da usare:
Poi dovrete decidere la lunghezza delle chiavi tenendo presente che più è lunga e più è sicura ma
contemporaneamente meno maneggevole (nel senso di lenta a criptare/decriptare e soprattutto grossa!).
Sinceramente mi fiderei del valore consigliato, cioè 2048:
Nella schermata successiva vi verrà chiesto se volete generare delle chiavi a tempo, io risponderei di no! (questa è
una funzione particolare di PGP: esso può generare una coppia di chiavi che ad una precisa data si auto
disabiliteranno smettendo perennemente di funzionare, ma a meno che non vi chiamiate James Bond, sospetto
che non vi serva proprio questa potenzialità! ;-9 )
-4-
Manuale PGP
Nella schermata successiva vi verrà richiesta la “PASS PHRASE”. Questa è una fase fondamentale della
generazione della vostra coppia di chiavi. Nell’esempio ho disabilitato il Check-Box “hide typing” in modo da
mostrarvi il tipo di Pass Phrase scelta, cioè “polvere di diamanti” (attenzione: uno spazio è come un carattere! se
lo digitate ora, dovrete ricordarvi di digitarlo tutte le volte che vi sarà richiesta la Pass Phrase!)
Consiglio una frase lunga ma facilmente memorizzabile (poiché ad OGNI “Decrypt” vi verrà regolarmente
richiesta) e sconsiglio qualunque frase intuibile (specie dati personali), meglio intercalare lettere maiuscole,
minuscole e numeri e ricordate che deve essere di almeno 8 caratteri.
Attenzione (lo ripeto): la frase scelta vi verrà richiesta ogni qualvolta dovrete usare la chiave segreta per
decodificare un messaggio o per firmare una mail, quindi annotatevela da qualche parte (in un posto sicuro!)
oppure siate certi di non dimenticarla facilmente.
Vi verrà chiesto di premere dei tasti a caso e di aspettare un certo tempo (in questo momento PGP sta generando
la coppia di chiavi e la pressione dei tasti a caso genera la componente casuale delle chiavi stesse allo scopo di
renderle ancor più imprevedibili e quindi indecifrabili).
-5-
Manuale PGP
Ci siamo! PGP ha generato la coppia di chiavi: l’ultima finestra ci chiederà se vogliamo spedire la nostra chiave
pubblica su un Key-Server: rispondiamo no (questa cosa si può fare quando si vuole, più avanti vedremo cosa
sono i Key-Server!).
Ebbene la nostra coppia di chiavi sarà così composta:
!" quella segreta nel file secring.skr
!" quella pubblica nel file pubring.pkr
Potete trovare entrambi i file sopra nella stessa directory in cui avete installato PGP stesso.
Quest' ultimo (pubring.pkr) è il database di default delle chiavi pubbliche che userete e quindi per il momento,
contiene solo la vostra ma con il tempo conterrà anche le chiavi pubbliche di altri utenti da voi aggiunte, quindi
ENTRAMBI i file sopra vanno periodicamente backuppati su Floppy, Iomega Zip o che altro.
Solo in questo modo se accidentalmente doveste perdere l’Hard Disk (un virus, una formattazione, un guasto o
qualsiasi altra cosa) sarà un attimo ripristinare la situazione senza perdere nulla (in particolare la vostra chiave
segreta senza la quale non potreste più decriptare alcun documento ottenuto con la corrispondente chiave
pubblica, la quale invece è ancora viva e vegeta e circola per la rete o comunque per le mani dei vostri
corrispondenti!).
Il pannello di PGP Keys
Se lanciate PGP Keys, vi apparirà il pannello di controllo di PGP stesso nel cui corpo trovate voi stessi (nel nostro
esempio il signor Cippa Lippa, riga peraltro evidenziata nella figura) nonché l’elenco di tutte le persone di cui
disponete della rispettiva chiave pubblica (chiaramente questi sono gli indirizzi e-mail e le public key dei
programmatori di PGP che voi non conoscerete di sicuro, quindi potreste anche cancellare tutte queste chiavi dal
vostro database pubring.pkr visto che non le userete mai, tuttavia per fare un po’ di pratica, soprattutto all’inizio fa
sempre comodo disporre di qualche chiave in più senza bisogno di generarle solo per esperimenti).
-6-
Manuale PGP
Il menù più importante è certo il menù “Keys” (mostrato aperto nella figura sotto) le cui funzioni spiegheremo
attentamente in seguito, in particolare “NEW KEY” che serve a lanciare nuovamente l’autocomposizione vista
prima per la generazione di una nuova coppia di chiavi, “EXPORT” che serve a esportare la propria chiave
pubblica su file con estensione ASC (che è come dire testo, cioè TXT) e “SEND KEY TO SERVER” che vedremo
poi.
Osserviamo alcune cose sul pannello di PGP-Keys. Innanzitutto il nostro nome è scritto in neretto per ricordare fra
tutte quelle chiavi qual è la nostra in maniera facile, inoltre in sua corrispondenza, la colonna “Validity” mostra un
rombo verde anziché un pallino grigio. Il perché è presto detto: vi ricordate quando avevo detto che l’unico tallone
d’Achille del PGP (se di difetto poi si tratta) è la possibilità che si realizzi la condizione in cui noi usiamo la chiave di
X credendo che sia di Y? ebbene PGP ci viene incontro con il valore “Validity” (modificabile cliccando il tasto
destro del mouse sulla chiave in questione, scegliendo “Key Properties” dal menù contestuale che appare e
modificando il livello di “TRUST” (cioè “Credibilità”) della chiave stessa agendo sull’apposito cursore) che noi
possiamo decidere per ogni chiave pubblica in nostro possesso.
In pratica, se siamo sicuri che la chiave di Sempronio è davvero di Sempronio (per verificarlo si può fare ricorso
al “FINGERPRINT”, funzione che vedremo poi) possiamo dargli “Trust” massimo, e a quel punto anche la sua
chiave avrà il rombo verde accanto. E’ chiaro quindi che le chiavi da noi generate hanno automaticamente il
rombo verde, d'altronde se non ci potessimo fidare neanche del nostro Computer, saremmo proprio fritti!
-7-
Manuale PGP
Per quanto riguarda “Export” di una chiave nonché della “maneggevolezza” stessa, faccio molto prima a parlare
sulla base di un esempio; riporto di seguito la chiave pubblica che PGP ha generato con i dati del signor Cippa
Lippa:
-----BEGIN PGP PUBLIC KEY BLOCK----Version: PGPfreeware 5.5.3i for non-commercial use <http://www.pgpi.com>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=WhQ9
-----END PGP PUBLIC KEY BLOCK----ATTENZIONE: Per riportare la chiave sopra ho cliccato sulla menzionata funzione “Export” mentre avevo
evidenziato la riga di Cippa Lippa nel corpo di PGP-Keys. In questo modo si è aperta una finestra di dialogo in cui
mi si chiedeva il nome da dare al file, io ho scelto “Cippa_Lippa_public_key.txt” ed ho così ottenuto il file testo
(cioè con estensione .TXT) della mia chiave pubblica, file che posso spedire in posta elettronica ai miei amici in
modo che loro possano importarlo nel loro database di chiavi pubbliche e cominciare così a potermi scrivere
crittografato! A questo punto dovrebbe essere chiaro che l’esportazione della propria chiave pubblica è una fase
FONDAMENTALE di PGP: finché non fate circolare la vostra Public key, nessuno può scrivervi !!!!!
Vi basterà doppiocliccare sul file TXT della vostra chiave per aprirlo (probabilmente con blocco note stesso),
selezionare tutto e con il mitico copia/incolla di Windows trasportarlo nel corpo di una mail, et voilà, il destinatario di
quella mail finalmente conoscerà la vostra chiave pubblica!
Dovrebbe anche essere chiaro il concetto di “maneggevolezza” di una chiave! Più sono i bit scelti per la sua
complessità, più la corrispondente chiave pubblica sarà grande (e quindi più righe ci saranno nell’esempio sopra
riportato!) con tutti gli effetti che né derivano.
Keyservers
I keyservers sono dei database di chiavi pubbliche PGP accessibili a tutti al fine di aggiungere la propria chiave o
di estrarre quella di un utente. Sono come una sorta di pagine gialle delle chiavi dove chiunque può andare e
cercare la chiave pubblica di Mario Rossi e, a patto che il signor Rossi si sia registrato, trovarla! I keyservers si
aggiornano tra di loro quindi basta usarne uno qualsiasi per inserirvi la propria chiave che automaticamente tutti gli
altri la elencheranno.
Potete usare, ad esempio, quello del Dipartimento di Scienze dell'Informazione dell'Università Statale di Milano
oppure via Web dove potete anche raggiungere un keyserver all'indirizzo: http://wwwkeys.pgp.net).
Questa sorta di registrazione può avvenire automaticamente per e-mail (operazione complessa e inutile che non
sto a descrivere) oppure sfruttando la funzione apposita di PGP, cioè “SEND KEY TO KEYSERVER” dal menù
“Keys” di PGP stesso.
Il metodo è molto semplice e non lo spiego neppure, basta soltanto pastrocchiare un po’ con questa funzione per
capirne il funzionamento (allo stesso modo con “Search” si fanno le ricerche sul Keyserver).
-8-
Manuale PGP
Fingerprint
Il fingerprint è un hash (valore di lunghezza fissa) di 128 bit (32 cifre esadecimali) della chiave pubblica che la
identifica in modo univoco.
Potete ottenerlo cliccando il tasto destro del mouse sulla chiave in questione, scegliendo “Key Properties” dal
menù contestuale che appare, e osservando la finestra che compare, come riportato in figura:
Nella figura possiamo vedere le “key properties” della chiave di Cippa Lippa dove si vede bene il suo
Fingerprint.
Ricordate quando dicevo che il fingerprint è l’unico metodo per risolvere il menzionato tallone d’Achille di PGP?
Ebbene, se abbiamo il sospetto che la chiave in mano nostra non sia proprio di Y (se fossimo furbi, probabilmente
dovremmo anche sapere chi è l’X che si spaccia per Y! ;-9), né tiriamo fuori il Fingerprint come visto sopra, poi
telefoniamo a Y stesso e gli chiediamo di dettarci il suo Fingerprint! Se sono identici possiamo star sicuri che
anche le chiavi lo saranno, poiché due chiavi diverse non potranno MAI avere stesso Fingerprint.
Finalmente: PGP Tray
Quando lancerete PGP Tray (ancora meglio se, come avevo suggerito, lo mettete in esecuzione automatica),
otterrete come unico effetto la comparsa di una nuova icona (una lettera disposta sopra una chiave) nel systray
(quella zona di Windows in basso a destra, leggermente infossata, dove c’è anche l’orologio), cliccando col tasto
destro del mouse sulla quale, comparirà il seguente menù contestuale, cuore di tutte le azioni di cripto/decripto di
PGP stesso:
-9-
Manuale PGP
Supponiamo che abbiate scritto nel programma di posta elettronica una lettera per il vostro amico Philip
Zimmerman (se lo conosceste davvero, il diavolo vi fulmini se non me lo presentate!); come potete criptare il
messaggio per lui? Facilissimo: basterà selezionare col mouse tutto quello che avete scritto, copiare negli appunti
(usando la combinazione di tasti CTRL+C), ), cliccare col tasto destro del mouse sull’icona di PGP-Tray e
scegliere dal menù contestuale “ENCRYPT CLIPBOARD”. A quel punto si aprirà la finestra di dialogo seguente:
Nella parte superiore vedrete l’elenco di tutte le chiavi pubbliche di cui disponete mentre nella parte inferiore c’è
l’elenco delle chiavi pubbliche per cui cripterete. Notate che me stesso (nell’esempio Cippa Lippa) è presente nei
destinatari (in inglese “recipients”) e il perché è chiaro: uno può scegliere di criptare contemporaneamente per
tutte le chiavi pubbliche che vuole, ma deve sempre tenere conto che SOLO i proprietari delle corrispondenti chiavi
private potranno decodificare il messaggio! Se noi NON ci mettessimo nella lista dei destinatari, una volta criptato
il messaggio, NON saremmo più in grado di fare il contrario, cioè di decriptarlo, magari in un secondo tempo per
ricordare cosa avevamo scritto!!!!
A questo punto, essendo Philip Zimmerman il destinatario del nostro messaggio, scorreremo l’elenco superiore
alla ricerca della sua chiave: una volta trovata vi cliccheremo sopra con il mouse e tenendo premuto il pulsante la
trascineremo nella finestra sottostante dei recipients, ove lasceremo il pulsante e a quel punto dovremmo
ottenere:
- 10 -
Manuale PGP
Cioè l’elenco dei destinatari ora contiene anche P. Zimmerman come richiesto. La cosa può proseguire ad
oltranza: non c’è limite al numero di chiavi per cui è possibile contemporaneamente criptare, basta (lo ripeto)
ricordare che SOLO i rispettivi proprietari delle controparti segrete potranno decriptare il messaggio in questione!
(motivo per cui è bene che noi siamo sempre presenti nella finestra dei destinatari!)
Quando cliccheremo su OK, PGP “cripterà” il testo presente negli appunti (tecnicamente detti “clipboard” di
Windows) e pertanto a noi basterà usare la combinazione di tasti CTRL+V per incollare il testo criptato
direttamente nella lettera che era rimasta aperta in Eudora (o quello che usate voi per la posta elettronica) e
prepararci al suo invio!
E’ finita qui?
No, al contrario, PGP-Tray ha parecchie altre funzioni fondamentali, il cui modus operandi è sostanzialmente
analogo a quanto appena visto.
Descriviamo a seguire le più importanti:
!" SIGN CLIPBOARD
apporrà la firma in chiaro al testo presente negli appunti senza criptarlo e corrisponde alla famosa “firma in chiaro”
di cui si era parlato all’inizio di questo documento.
!" ENCRYPT & SIGN CLIPBOARD
cripterà il testo presente negli appunti sulla base dell’elenco delle chiavi pubbliche che avevamo messo nella
tabella “recipients” e “firmerà in chiaro” il documento già criptato (una sicurezza nella sicurezza perlopiù inutile!)
!" ADD KEY FROM CLIPBOARD
Supponiamo che un nostro amico ci invii in posta elettronica una mail nel cui corpo del messaggio riporta anche le
sua chiave pubblica, come possiamo noi aggiungerla al nostro database di chiavi in modo da poter d’ora in poi
criptare anche per lui? Facilissimo, basterà selezionare tutto il messaggio (anche le parti di messaggio che non
centrano nulla, al più sono ignorate!), copiare tutto negli appunti col solito CTRL+C e poi scegliere dal menù
contestuale: “ADD KEY FROM CLIPBOARD”, et voilà, PGP scandirà gli appunti alla ricerca di chiavi, se né troverà
qualcuna ce lo riferirà prima di aggiungerla al nostro elenco di public key!
!" DECRYPT / VERIFY CLIPBOARD
Supponiamo che un nostro amico ci invii un messaggio criptato, come possiamo leggerlo “in chiaro” (cioè
decriptarlo)? semplicissimo: selezioniamo tutto il messaggio, lo copiamo negli appunti col solito CTRL+C,
scegliamo dal menù contestuale di PGP-Tray la voce: “ DECRYPT/VERIFY CLIPBOARD”, a quel punto se PGP
riconosce che negli appunti c’è un messaggio criptato ANCHE per la nostra chiave pubblica, allora ci chiederà di
inserire la pass phrase relativa alla chiave segreta corrispondente et voilà, ovunque noi incolleremo il testo ora
presente negli appunti (con la solita combinazione di tasti: CTRL+V) ci ritroveremo il messaggio in chiaro!
(Analogamente se il messaggio è già in chiaro, ma è stato firmato, seguendo la stessa procedura si verifica la
“certificazione” del mittente, d'altronde cosa pensavate che significasse VERIFY nel nome del comando? ;-9)
Alcuni esempi
Vediamo ora un esempio al solo scopo di mostrarvi cosa significa criptare o firmare in chiaro; fino ad ora ho scritto
tanto ma senza mai dare esempi concreti su cui è sicuramente più facile intendersi!
Supponiamo che questo sia il messaggio da criptare (lo riporto con carattere testuale, tipo DOS, per semplicità):
Poiché la corrispondenza per posta elettronica (e-mail) presenta notevoli problemi di
sicurezza e riservatezza, la crittografia risponde a queste esigenze che, in alcuni
casi, risultano senz'altro indispensabili come ad esempio per l'invio di numeri
telefonici, numeri di carte di credito, ordini di acquisto (essere certi che l'ordine
arriva da una certa persona e che la quantità di beni acquistati sia veramente quella
indicata), organizzare appuntamenti, ecc....
- 11 -
Manuale PGP
Lo copiamo negli appunti e lo criptiamo: cosa otteniamo? Basterà incollare il risultato qui sotto
-----BEGIN PGP MESSAGE----Version: PGPfreeware 5.5.3i for non-commercial use <http://www.pgpi.com>
ANQR1DBwU4DDPWlIfsbbpQQCACgdS64HLiCjqyWoWCKaefdUeg6YfSbjvpytR5wews0LuYddJSSYTdfuI0RZK
h+T3E5xRTSfuSh8h+83qSzmUwy0ayp+qGxIsdgkqd0on0QY4smcp6H8ZnV9izgwgbyAXu41UeyxhgJa1K+ol4
+qN6PHh+VIuMOXkuBhTtmEVRvouYHreissnNDEXToopTrH8suRKvHBbxDDHQjO0+DgQwEc38xBWO5XqRKcgUL
I7Ac26K4WCC1wjMgXjZlDriTHqPuYYBgTJrIn8yTvCcuDT8lraXrmLB9RHJhCSEMirTCodF6PbeuWXLT1UDEM
admCSfGbDTxAjh0TBChVKHAOCADKuGqb04+90HlDo++AvFBDAi9I5pzSNKokdwzv2HAWbZvO4eFcPD9NZ2C8j
kgBTTK9LCCkKwGeEZeli+oHCXnKI2kkKCEihAgCOYvQVOaxP/3KjP8ngbPCPMxn2aAI2Zr4+t75gLpn3P4mvB
cT6wAfSUcC5pRDIq75kAkSAXXNiade4CITYHIi4RkJx6bymVTtn1LBegfkG0w2SVy+IWpOEOyYCsE1hA4BlHX
n9/4u1IuL2t2058eDKeMlX+JPWNZDkviZ2qhl7xB+jbkZcqQHQnZ4PitQsnGVco+HWePwcJum9yPrxZZhpXRM
f6BvNHcQtWMNHnTRCUycBJkdeWhgzHAhbu9ePckQRd0KJeRrtJwCjEmfdfhhEpyIWXrdRghelq+XdhAw4KH7W
a5moDWhDnfYq+G+BzPOo965qcdQxgk3fk2T40zHkNg8OGAaYj1hLLiH3e5PQhNfYaq8m2uRuPYpQbeMzj0EAq
+BfIRqs0PwxU9lvXhtRbXHyLWOAMUC4PsYEjyrb4yIDv0WXiJRZEvLBaEYzEjLTimRkg39SkTFxKc34DSAAKm
H6KU3ZFg1FaSlo88JB8MudpGetrHcRb79i0pYdLqnW+uAFT7g9s5xBWegIme9AXsUCLNGzyyX0u0C7wz2sy+G
gMYnxXECFtalZgcqnNWIg618rGwvPWHWjyje8tqQ9x0ENlFTILZUAJOJF9x4W6o+kCzP00hnQBFQmFvKr+ExL
ErWlizQh5tqUhgzHAhbu9ePckQRdd
=DDxY
-----END PGP MESSAGE----E se invece l’avessimo solo voluto “firmare in chiaro” cosa avremmo ottenuto? Il seguente risultato:
-----BEGIN PGP SIGNED MESSAGE----Hash: SHA1
Poiché la corrispondenza per posta elettronica (e-mail) presenta notevoli problemi di
sicurezza e riservatezza, la crittografia risponde a queste esigenze che, in alcuni
casi, risultano senz'altro indispensabili come ad esempio per l'invio di numeri
telefonici, numeri di carte di credito, ordini di acquisto (essere certi che l'ordine
arriva da una certa persona e che la quantità di beni acquistati sia veramente quella
indicata), organizzare appuntamenti, ecc....
-----BEGIN PGP SIGNATURE----Version: PGPfreeware 5.5.3i for non-commercial use <http://www.pgpi.com>
iQA/AwUBNr84La1N2hTAk0JyEQIIFQCgi7JsVwZ/5TAZK/9cWGxu/uUWOBcAmwTA
pTIY3wiNKqPWMflTir+yzyz+
=kxr6
-----END PGP SIGNATURE-----
Conclusione
Ora che sono giunto alla conclusione di questa “guida” introduttiva all'uso di PGP mi chiedo: perché l'ho scritta?
Probabilmente, non essendo un esperto di crittografia, l'ho scritta nella speranza che chiunque abbia la necessità
(o bontà) di leggerla e la pazienza di scrivermi (suggerimenti, critiche, informazioni utili) possa anche ringraziarmi
per il lavoro svolto e soprattutto la mole di tempo perso a riguardo. La pretesa non era di scrivere qualcosa di
esauriente (molto meglio leggersi le numerose FAQ in merito) ma bensì una guida pratica (e sintetica)
comprensibile anche a mio padre, per me grande esempio in moltissime cose della vita ma, ahimè, con una
idiosincrasia innata anche nei confronti del mouse e della tastiera. Mi auguro quindi venga letto non solo da chi si
avvicina a PGP per la prima volta ma anche (con la dovuta magnanimità) da persone esperte e smaliziate, in tutti i
casi mi auguro di aver contribuito ad abbattere quel senso di timore che spesso accompagna certe fasi
dell’apprendimento!
Se volete scrivermi, un mio indirizzo e-mail è: [email protected] ,accetto tutto tranne le critiche! ;-)
Paolo ® 2000
- 12 -