Forum libero

- Scritto da: exsinistro
> - Scritto da: Rin Kobayashi
> > Che alle 14:30, qui
> > http://www.echr.coe.int/echr/Homepage_EN ci sarà
> > la diretta sulla decisione della corte europea
> > per i diritti dell'uomo sulla questione dei
> > feticci cristiani nelle aule
> > scolastiche.
>
> Ci sarà la diretta sul dibattito, la decisione
> non arriverà prima di sei mesi.
> Pare.

Dove l'hai letto? Io spero nella decisione immediata, subito dopo il dibattito. Non vedo ragione per ritardare ancora la cosa.

Che alle 14:30, qui http://www.echr.coe.int/echr/Homepage_EN ci sarà la diretta sulla decisione della corte europea per i diritti dell'uomo sulla questione dei feticci cristiani nelle aule scolastiche.

- Scritto da:
> > Se le impronte digitali sono facilmente
> copiabili
> > (dipende da _cosa_ viene memorizzato nel chip
> del
> > passaporto, e da _cosa_ altrove) allora questo è
> > un rischio per qualsiasi cittadino. Non è
> > difficile immaginare che queste impronte vengano
> > raccolte e poi vendute a centinaia o migliaia a
> > chi ne vuole fare cattivo uso. Quindi in realtà,
> > anziché risolvere il problema del furto
> > d'identita, si fa ancora più pericoloso ed
> > elaborato.
>
> Il pericolo reale non è una tale massiccia
> diffusione del furto di impronte digitali, ma che
> a farlo possano essere, in pochi casi, servizi
> segreti, forze dell'ordine e istituzioni simili.
> Un tipo di incastro da cui sarebbe molto
> difficile tirarsi
> fuori.
>
> Degno di nota infine che gli USA, i capi delle
> landre di questa ondata di sorveglianza e
> tracciabilità, per i loro cittadini non hanno
> ancora previsto questo genere di identificazione
> (né sappiamo cosa
> succederà).

Io penso che il pericolo vero sia anche quello che è meno immediato da vedere. Ma proprio perché è "nascosto" è anche molto più pericoloso... ovvero il fatto che piano piano ci si sta abituando a vivere in una società sempre più monitorata, come diceva l'anonimo nell'altro post.
Non è tanto il chip nel passaporto in sé, non sono tanto le telecamere per le strade, ecc... ma è la somma di tutte queste cose.
Ci stanno abituando ad ingoiare un bocconcino alla volta... e anche se il sapore di ognuno fa schifo, preso singolarmente, è accettabile. Solo che alla fine quello che ti trovi di fronte è una società talmente passiva e spaventata che accetterà ogni cosa.

Per esempio... che problema risolve questo chip nei passaporti? Intendo... che problema _reale_ risolve? Qualcuno lo sa? Esiste un problema _reale_ e non ipotetico che risolve? Quanti casi di questo problema si sono verificati annualmente sino ad ora? Qualunque sia il problema io penso molto pochi.

Che problema _reale_ risolvono le telecamere? Gli scippi? Quanti scippi ci sono stati nelle nostre città tali da giustificare questa rinuncia alla propria privacy?

E gli RFID nei documenti che problema _reale_ risolvono?

Insomma, se andiamo a vedere queste cose secondo me troviamo che il numero di problemi risolti o risolvibili da questi mezzi è quasi inesistente, e che invece ci stiamo piano piano rinchiudendo in celle dalle sbarre trasparenti, che non si vedono e non si toccano, ma che ci sono.

Possibile che ci devono trattare come criminali da incensurati? E se un giorno sarà necessario ribaltare il governo perché degenerato in tirannia... che probabilità avremo di farlo da dentro le nostre gabbie? Se Hitler avesse avuto a disposizione queste tecnologie... quanti ebrei si sarebbero salvati? Quante possibilità avrebbero avuto i tedeschi di organizzare una qualsivoglia resistenza?

- Scritto da: exsinistro
> Quale sarebbe il problema?

Dove e come vengono memorizzate queste impronte? Solo sul passaporto? Vengono copiate anche altrove? Chi ha accesso al mio passaporto (metti un paese straniero X) può anche scaricare facilmente le mie impronte digitali nel loro database? Chi mi garantisce che queste copie non vengano poi usate per falsificare eventuali scene del crimine e incastrarmi? La convinci tu la giuria che io non sono stato in quella determinata stanza mentre invece ero a casa a dormire quando ci sono copie delle mie impronte ovunque?

> Io lo vorrei subito,

Vai in questura e lo richiedi.

> mi garantirebbe da un "furto di
> identità".

È come per i libri e gli ebook.
Finché i libri dovevi stamparli copiarli era difficile. Dovevi innanzitutto acquistare una copia del libro, poi usare una fotocopiatrice, pagina per pagina, per farne _una_ copia (o comunque un numero molto limitato). Ogni volta che volevi una nuova copia dovevi rifare da capo la trafila, spendere soldi per il Toner, per la carta, elettricità per la fotocopiatrice, ecc.
Ora scarichi direttamente l'ebook da Internet a costo zero e lo carichi sul tuo lettore di ebook portatile e generico.
Quello che _prima_ non era un problema, perché era un problema limitato, ora invece diventa un problema serio per chi crea libri e sa che su 1 libro venduto ci saranno 100 o 1000 copie gratis.

Stessa cosa per la musica... finché era su audiocassetta duplicarla era laborioso, lungo, rognoso. Ogni copia di una cassetta da 60 minuti ti richiedeva o attrezzature molto particolari oppure il dover aspettare 60 minuti + costo cassetta vergine. Con gli MP3 invece puoi farti una copia a costo e tempo zero e quello che prima non era un problema, perché era un fenomeno limitato, oggi è diventato un problema serio per chi dalla vendita di musica ci guadagnava fior di quattrini.

Se le impronte digitali sono facilmente copiabili (dipende da _cosa_ viene memorizzato nel chip del passaporto, e da _cosa_ altrove) allora questo è un rischio per qualsiasi cittadino. Non è difficile immaginare che queste impronte vengano raccolte e poi vendute a centinaia o migliaia a chi ne vuole fare cattivo uso. Quindi in realtà, anziché risolvere il problema del furto d'identita, si fa ancora più pericoloso ed elaborato.

Si crea inoltre una categoria di cittadini sfigati che vengono trattati come criminali (con il prelievo forzoso delle impronte digitali) perché magari devono per forza avere il passaporto per lavoro, mentre altri cittadini più fortunati la cui schedatura invece è limitata al nome, cognome e indirizzo.

- Scritto da:
> Sono loro che ti hanno legato a una sedia e ti
> stanno riempiendo di pugni. Conviene a te
> convincerli che non esiste nessun volume
> secondario, e alla svelta.
>

Non esiste alcun volume secondario.

> > Questo vale solo se è random. Se non è random
> > allora non vale più.
>
> Perché?

Perché ovviamente se la chiave non è random può produrre un unico messaggio sensato. Le probabilità che due chiavi sensate, dato lo stesso ciphertext (significativo, ovviamente), producano due plaintext sensati sono bassissime.
Puoi ovviamente creare dei casi a tavolino su plaintext piuttosto corti, ma che quei casi poi si presentino nella "vita reale" è così improbabile che fai prima a finire schiacciato da un autobus impazzito il cui autista era stato colpito da un meteorite alla testa provocato da un'esplosione nucleare casuale sulla Luna provocata da una farfalla che batte le ali a Taiwan...

Se invece la chiave è un OTP reale, ovvero lungo quanto il messaggio e completamente random, allora si.

- Scritto da: The Lich
> guarda che lo so cosa significa attacco a
> dizionario

Te l'ho chiarito una volta in più allora.

> salvo poi dimenticarsela, più sicura di
> così...

D'altra parte non si può avere botte piena e moglie ubriaca. Ad ogni modo con i keyfile la password può anche essere "umanamente memorizzabile"... basta che tieni i keyfile ben nascosti (un keyfile può essere un file qualsiasi [un eseguibile, un file di testo, un binario qualsiasi, ecc... meglio cmq se contenente (anche) dati completamente random]).

Il concetto di "sicurezza" viene ad un costo. Non esiste la sicurezza "gratis". Qualcosa devi dare in cambio. Se vuoi una cifratura sicura devi avere una chiave sicura... e questo significa difficile.

Esiste, volendo, questo metodo http://world.std.com/~reinhold/diceware.html per creare password con tot-bit di entropia partendo da parole da un dizionario apposito.
Ma credo che il metodo del keyfile sia alla fine la cosa più sicura e facile da usare.

> quindi gira e rigira anche truecrypt fornisce il
> sistema per agevolare la forzatura della
> password.

No. Dal sapere che a quella posizione c'è la scritta "TRUE" non puoi, in alcun modo, risalire alla chiave (si chiama "known plaintext attack"). È una delle caratteristiche che i cipher moderni devono avere.
Per questo progettare un cipher non è affatto banale, e "farlo in casa" quasi sempre si sbaglia rendendo banale la decodifica. Dietro cipher come AES, Twofish, Serpent, ecc ci sono fior di studi, di prove su prove, di anni di test... non sono inventati a caso, devono soddisfare determinati requisiti minimi.

> Metti che non ci sia una stringa true o un crc da
> qualche parte con cui verificare la correttezza
> della password immessa... quanto sarebbe più
> complesso determinare qual è quale giusta con un
> attacco brute
> force?

Qualsiasi file tu memorizzi, a meno che non si tratti di un file random, avrà una struttura riconoscibile.
Un file JPG, un file EXE, un file di testo semplice, un filesystem... tutti hanno determinate caratteristiche particolari (nel caso dei filesystem ci sono intere aree riservate [dove l'utente non può scrivere] che sono quasi sicuramente sempre a 0 ad esempio).
Se tu prendi un file TXT e lo xori con una password, puoi comunque stabilire che si tratta di un file di testo con una semplice (e veloce) analisi statistica. (Nel caso dello xor banale puoi anche risalire facilmente alla password).

Quindi che senso ha non includere un header quando alla fine il risultato è il medesimo?
Molto meglio avere dei cipher studiati apposta per rendere inutile qualsiasi tentativo di "tornare indietro" dal plaintext alla password.

In pratica, un buon cipher, conoscendo ciphertext e plaintext non deve permettere di scoprire la password.
Vedila come una funzione di hash, tipo SHA-1 ad esempio... puoi andare in una direzione molto facilmente, ma tornare indietro è tutto un altro paio di maniche.

- Scritto da:
>
> - Scritto da: suoranciata
> >
> http://g1.globo.com/English/noticia/2010/06/not-ev
>
> Deve aver scelto una buona password.

Si, o un buon keyfile.

- Scritto da: The Lich
>
> - Scritto da: suoranciata
> >
> http://g1.globo.com/English/noticia/2010/06/not-ev
>
> io mi chiedevo una cosa a propositgo di questi
> attacchi basati sul dizionario che alla fine, se
> non sbaglio, è semplicemente un brute force
> raffinato.

È un bruteforce limitato a determinate password specifiche, ricavate componendo parole di un dizionario.

Testare tutte e 2¹²⁸ combinazioni che se ne escono da una chiave a 128 bit non è fattibile (con NESSUNA potenza di calcolo, nemmeno condivisa fra miliardi di macchine in parallelo).
Tuttavia, se con uno stratagemma riesco ad escludere abbastanza chiavi da doverne testare solo 2⁶⁰ (ad esempio), allora si, è fattibile ed è proprio così che si fa.
Per questo gran parte della sicurezza sta nel scegliere una password il più casuale possibile, in modo da annientare qualsiasi genere di attacco a dizionario. Truecrypt in questo senso ha introdotto il concetto di "keyfile", ovvero un file di dati random che entra a far parte della tua password (viene mischiato assieme), così per decrittare il disco oltre alla password che inserisci a mano ti chiede anche di fornirgli questo file. Truecrypt si occupa anche di non alterare i metadati di questo file (data di ultimo accesso ad esempio) in modo da rendere più difficile per qualcuno individuarlo nel mezzo di milioni di file dell'utente. L'utilizzo del keyfile rende inutile qualsiasi genere di attacco a dizionario (supposto ovviamente che l'attaccante non sappia di questo file e quale esso sia, potrebbe per esempio essere tenuto su una MicroSD nascosta da qualche parte).

> Posto che io non conosca il testo in chiaro ma
> quanto meno, diciamo, la lingua, il computer che
> tenta di forzare i dati prova milioni di
> combinazioni e ovviamente lì davanti non cì+ un
> operatore che analizzi milioni di documenti
> decifrati.
> Come si fa a capire SE la password trovata è
> quella corretta?

Un header Truecrypt (che è cifrato) è formato da 64 byte di salt + 4 byte con la stringa "TRUE" (oltre ai byte che seguono).
Se riesci a leggere la scritta "TRUE" alla posizione 64 (partenza da 0) significa che la password che hai dato probabilmente è corretta.
L'header poi contiene la password (completamente casuale e indipendente dall'utente) per tutto il resto del disco.

> Nel caso di un testo in lingua ci si può basare
> su analisi della frequenza dei caratteri e
> comparsa di parole di uso
> comune.
> Nel caso di programmi di compressione come winrar
> è ancora più semplice, se il testo in chiaro non
> corrisponde al crc allegato è il programma stesso
> che ti dice che la chiave è
> sbagliata.
> Ma supponiamo che il testo cifrato contenga solo
> dei codici alfanumerici, come un elenco di numeri
> di conto
> corrente.

Gli IBAN contengono codici di verifica degli errori che permettono ad un programma di testare se tale IBAN è corretto o meno.
In altre parole, se decifrando questo file senza header né niente ci trovi un elenco di IBAN validi allora sai che la password data è corretta.
Se non c'è modo per fare la verifica allora non puoi nemmeno sapere se la chiave che hai dato era o no corretta (per questo Truecrypt include "TRUE" nel suo header).
-----------------------------------------------------------
Modificato dall' autore il 27 giugno 2010 13.05
-----------------------------------------------------------

- Scritto da: nathan71
>
> - Scritto da:
> > > un bel segone di gruppo
> >
> >
>
>
> mah guarda, io una volta l'ho fatto



Qualcuno si prenda immediatamente nota di questo post, tornerà utile.

- Scritto da:
>
> - Scritto da: Rin Kobayashi
> >
> > - Scritto da:
> > >
> > > - Scritto da: Rin Kobayashi
> > > >
> > > > - Scritto da:
> > > > >
> > > > > - Scritto da: Rin Kobayashi
> > > > > > Avanti così!
> > > > >
> > > > > cosa ci trovi di gioioso
> > > >
> > > > L'idea di tutte le persone che ora stanno
> > > > rosikando.
> > > >
> > >
> > > un po' di amor di patria, porco dio!!
> >
> >
> >
> [img ]



Quando vi toccano il pallone siete come bambini piccoli che frignano perché non possono avere la caramella... [forse siete pure pedabili... ]
-----------------------------------------------------------
Modificato dall' autore il 24 giugno 2010 21.02
-----------------------------------------------------------