[hack] Gpg, passphrase ed Evolution

[Raistlin]

Il giorno gio, 24-03-2005 alle 00:33 +0100, kdav ha scritto:
> Vado a fare una prova ed Evolution mi chiede di inserire la passphrase.
> Ma...
> ...non c'è la possibilità di salvarla "per sempre" o comunque sino a
> quando non voglio cancellarla.
> Risultato: ogni volta che apro Evolution per inviare e-mail, devo
> inserire la passprase????
Come ti ha detto Maria Grazia, si!
... Tuttavia, se usi gnome, puoi anche installare SeaHorse, che e` il
gestore grafico delle chiavi GPG di Gnome (fra l'altro molto ben fatto!)
e fare in modo che, all'avvio della sessione di Gnome, parta
"seahorse-agent".
In questo modo lui ti chiedera` la password la prima volta e poi la
terra` memorizzata facendoti comparire un lucchettino nell'area di
notifica. 
Da li` potrai anche dirgli di dimenticarsela e allora Evolution (o
qualsiasi cosa) ti chiedera` di nuovo la passphrase quando gli serve.

E` molto comodo, io lo uso, ma bisogna stare attenti.
Non so se avete parlato di Alice e Bob (uno degli esempi classici quando
si fa GPG, mi dispiace non essere potuto venire!), ma se Bob invia una
email ad Alice, la firma e salva la password con SeaHorse e poi va a
prendere un caffe`... A questo punto Trudy (the Intruder) si siede al
compuer di Bob e, non dovendo digitare la passphrase manda email firmate
ad Alice senza essere Bob!
Sarebbe opportuno che Bob (oltre ad un salvaschermo con password, ecc.
ecc.) dicesse a seahorse-agent di scordarsi la password prima della
pausa caffe`... Ma se se ne scorda?
:)

In questo modo cala la sicurezza dell'autenticita`, che comunque, come
avete visto ieri, non e` possibile garantire mai al 100%!

> Ma che senso avrebbe salvare la passphrase se poi qualcuno potrebbe
> scovarla in qualche meandro del mio pc?

In che senso? La chiave privata e la sua passphrase _sono_ sul tuo PC,
precisamente dove ti ha detto Maria Grazia, in .gnupg, nella tua home!
Se non sono memorizzate da qualche parte come facciamo ad usarle?
Questo ti fa capire ue cose:
- occhio alla directory ~/.gnupg quando formatti!! Se ti perdi la chiave
privata, ciao ciao vecchia firma... :O
- se uno ha accesso fisico alla tua macchina puo` fare un sacco di cose,
fra cui prenderla a martellate, quindi la sicurezza va un po' in crisi!!

L'ideale sarebbe tenere la chiave privata su una chiavetta USB con un
filesystem a sua volta cifrato... Ma occhio a non perdere (o formattare
per sbaglio!) la chiavetta USB, sempre per i motivi di prima!

> Grazie, David.
> 
> ps. ci dovrebbe essere allegata la chiave......
Si, complimenti! Hai mandato il primo messaggio firmato!! :)

Ciao,
Dario

-- 
<<This happens because I choose it to happen!>>
(Raistlin Majere, DragonLance Chronicles -Dragons of Spring Drawning-)
----------------------------------------------------------------------
Dario Faggioli
GNU/Linux Registered User: #340657
http://counter.li.org

No ai brevetti sul Software!
http://www.nosoftwarepatents.com/it/m/intro/index.html
-------------- parte successiva --------------
Un allegato non testuale è stato rimosso....
Nome:        non disponibile
Tipo:        application/pgp-signature
Dimensione:  189 bytes
Descrizione: This is a digitally signed message part
URL:         <http://lists.linux.it/pipermail/golem-hack/attachments/20050324/c425ef15/attachment.pgp>