[e-privacy] Un attacco in corso al WoT di PGP

[Marco A. Calamari]

Se non siete in grado di decodificare il significato dell'oggetto
di questa mail siete probabilmente troppo giovani e la cosa non vi
interessa.

Per gli altri e' importante sapere che una debolezza intrinseca
del WoT di PGP (le chiavi vengono identificate dagli ultimi 4
bytes della signature, convertiti in esadecimanle), rende
fattibile falsificare firme.

In pratica, voi potete prendere la chiave pgp del presidente
 Obama, generarne una che ha lo stesso ID (ma non la stessa
 signature) ed usarla per firmare la vostra chiave (od altre)

Ovviamente questo invalida il WoT se la possibilita' viene
 exploitata, come lo e' attualmente su larga scala.

Sono gia' state rinvenute diverse chiavi famose falsificate,
 e chiavi firmate da queste (Linus Torvalds e' stato uno dei
 primi).

Trovate un riassunto della questione qui, 

<http://www.phoronix.com/scan.php?page=news_item&px=Short-PGP-Coll
ision-Attacks>

ed uno piu' ruspante e dettagliato qui

http://gwolf.org/node/4070

In breve, se volete trustare una chiave od una firma, non
verificate solo l'ID ma anche la sua full-signature (40 caratteri
esadecimali).

Qesto in attesa di versioni dei programmi che automatizzino
 in maniera piu' affidabile i controlli ed i calcoli del WoT.

Comincuiamo con un bel keysigning party ad ESC?

Un grazie a Dezperado che mi ha introdotto alla problematica,
 molto poco considerata malgrado la gravita'.

Debianisti, siete in ascolto?

Enjoy.   Marco

-- 
+--------------- http://www.winstonsmith.org  ---------------+
| il Progetto Winston Smith: scolleghiamo il Grande Fratello |
| the Winston Smith Project: unplug the Big Brother          |
| Marco A. Calamari marcoc at marcoc.it  http://www.marcoc.it   |
| DSS/DH:  8F3E 5BAE 906F B416 9242 1C10 8661 24A9 BFCE 822B |
+ PGP RSA: ED84 3839 6C4D 3FFE 389F 209E 3128 5698 ----------+
-------------- next part --------------
A non-text attachment was scrubbed...
Name: signature.asc
Type: application/pgp-signature
Size: 181 bytes
Desc: This is a digitally signed message part
URL: <http://lists.winstonsmith.org/pipermail/e-privacy/attachments/20160831/5efb8fa5/attachment.pgp>