|
|
| Riga 1: |
Riga 1: |
| ==Installazione Pacchetti== | | {{stub}} |
| | ==Come effettuare una connessione remota SSH da Windows a Linux== |
|
| |
|
| Prima di iniziare a parlare di crittografia e chiavi, installiamo l'occorrente con un semplice:
| | Ho deciso di fare questa guida poich� ho avuto molta difficolt� a creare una connessione remota sicura fra una macchina Windows ed una Linux in una LAN (o in una WAN) in quanto la maggior parte degli Wiki, degli How-To e delle FAQ che ho trovato in Internet esamina tale connessione fra due macchine Linux. |
|
| |
|
| <pre>
| | La connnessione remota sicura che esaminer� � una connessione criptata che utilizza il protocollo SSH (Secure SHell) e, perci�, � nche detta connessione SSH. Tale sistema di connessione utilizza una paio di chiavi per far s� che i dati scambiati fra due computer siano cripati per evitare che qualcuno dall'esterno possa esaminare i dati trasmessi. Tale connessione si basa sullo scambio (solo inizialmente) e sul confronto di chiavi fra il computer Server e il computer Client in modo da verificare l'autecicita` da entrambi le parti. Per garantire ci�, vengono generate un paio di chiavi tramite un processo effettuato da un programma. Tale paio di chiavi consiste in una chiave privata ed una pubblica legate da una relazione matematica. Normalmente, la chiave pubblica viene memorizzata sul server e quella privata viene salvata sul client. |
| # apt-get install gnupg openssl
| |
| </pre>
| |
|
| |
|
| Come tutti saprete, per esser sicuri che i dati passanti per la rete siano lontani da sguardi indiscreti, e' necessario avvalersi della crittografia. Esistono fondamentalmente due tipi di crittografia: a chiavi simmetriche e a chiavi asimmetriche (o chiavi pubbliche).
| | {{Box | Nota |Dalla sola chiave pubblica non si pu� ricavare in nessun modo la corrispettiva chiave privata per cui anche se qualcuno entra in possesso della vostra chiave pubblica memorizzata sul server o in un altro posto, non pu� accedere al server tramite il vostro account in quanto non sar� in grado di ricavare la vostra chiave privata e, quindi, di autentificarsi sul server. |
| | Mentre per quanto riguarda la chiave privata, � sempre meglio proteggerla tramite una password (che, in questo ambito, � detta passphrase) in quanto, se uno viene in possesso di tale chiave, pu� sia accedere ai server SSH con il vostro account (in quanto, in questi server, � stata memorizzata la vostra chiave pubblica) sia ricavare la vostra chiave pubblica per poter decriptare i dati delle vostre connessione e per crearsi altri account su altri server con i vostri dati personali. Quindi, il programma, che genera le chiavi, crea delle '''chiavi asimmetriche''' in modo che con le chiavi private si possono ricavare facilmente le loro corrispettive chiavi pubbliche ma dalle sole chiavi pubbliche non si possono ricavare le loro corrispettive chiavi private.}} |
|
| |
|
| ==Chiavi simmetriche==
| |
| La caratteristica fondamentale l'esistenza di un'unica chiave utilizzata per codificare il testo in chiaro e per decodificare quello cifrato. C' inoltre da dire che gli algoritmi simmetrici sono pi veloci di quelli a chiave pubblica. Vediamo in pratica ora come si pu crittografare un testo con blowfish.
| |
|
| |
|
| <pre>
| |
| davide@portatile:~$ openssl
| |
| OpenSSL> bf -in testoInChiaro.txt -out testoCifrato.txt
| |
| enter bf-cbc encryption password:
| |
| Verifying - enter bf-cbc encryption password:
| |
| OpenSSL> exit
| |
| </pre>
| |
|
| |
|
|
| |
|
| Verifichiamo che sia realmente crittografato:
| |
|
| |
|
| <pre>
| |
| davide@portatile:~$ vi testoCifrato.txt
| |
| Salted__X??mć>EEX?&iu?j1??D_3
| |
| </pre>
| |
|
| |
|
| Bene. Ora proviamo a riportarlo in chiaro:
| |
|
| |
|
| <pre>
| | ---- |
| davide@portatile:~$ openssl
| |
| OpenSSL> bf -d -in testoCifrato.txt -out testoDiNuovoInChiaro.txt
| |
| enter bf-cbc decryption password:
| |
| OpenSSL> exit
| |
| </pre>
| |
|
| |
|
| E si pu� verificare che � tornato allo stato originale.
| | : [[Utente:Balubeto|Balubeto]] 11:40, 25 Mag 2006 (EDT) |
| | |
| ==Chiavi asimmetriche==
| |
| In questo caso la chiave usata per cifrare e decifrare non e' la stessa. Infatti una e' utilizzata solo per cifrare(la chiave pubblica) e l'altra solo per decifrare(la chiave privata). Di conseguenza le due chiavi devono essere fortemente connesse tra di loro.
| |
| La chiave pubblica, come dice il nome, deve esser resa pubblica a tutte le persone che vogliono parlare con me in maniera sicura. Ad esempio io posso pubblicarla sul mio sito oppure spedirla via mail. La chiave privata � solamente mia e non va assolutamente trasmessa via mail.
| |
| | |
| Vediamo ora sul lato pratico come si procede.
| |
| | |
| Per generare una chiave usiamo gpg:
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --gen-key
| |
| gpg (GnuPG) 1.2.4; Copyright (C) 2003 Free Software Foundation, Inc.
| |
| This program comes with ABSOLUTELY NO WARRANTY.
| |
| This is free software, and you are welcome to redistribute it
| |
| under certain conditions. See the file COPYING for details.
| |
| | |
| Per favore scegli che tipo di chiave vuoi:
| |
| (1) DSA e ElGamal (default)
| |
| (2) DSA (firma solo)
| |
| (4) RSA (firma solo)
| |
| Cosa scegli?
| |
| </pre>
| |
| | |
| Scegliamo la prima opzione, in quanto le altre due consentono solamente di firmare.
| |
| | |
| <pre>
| |
| Cosa scegli? 1
| |
| La coppia DSA avr� 1024 bit.
| |
| Sto per generare una nuova coppia di chiavi ELG-E.
| |
| la dimensione minima � 768 bit
| |
| la dimensione predefinita � 1024 bit
| |
| la dimensione massima consigliata � 2048 bit
| |
| Di che dimensioni vuoi la chiave? (1024)
| |
| </pre>
| |
| | |
| Qui scegliamo la dimensione massima...
| |
| | |
| Quindi decidiamo la validit� della chiave...
| |
| | |
| Poi si segue la procedura che fa' inserire alcuni dati e alla fine vengono create le due chiavi.
| |
| | |
| {{Box|Nota|La passphrase che viene richiesta e' consigliabile sceglierla particolarmente lunga e complicata.}}
| |
| | |
| Per vedere le chiavi nel nostro portachiavi si utilizza il comando:
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --list-keys
| |
| /home/davide/.gnupg/pubring.gpg
| |
| -------------------------------
| |
| pub 1024D/84050639 2005-01-18 Paolo Rossi (Prova) <paolo.rossi@libero.it>
| |
| sub 1024g/C02A6DF1 2005-01-18
| |
| </pre>
| |
| | |
| Se voglio esportare la mia chiave pubblica posso procedere cos�:
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --armor --export Paolo Rossi
| |
| (l'opzione --armor mi indica che voglio esportare la chiave in formato ASCII)
| |
| -----BEGIN PGP PUBLIC KEY BLOCK-----
| |
| Version: GnuPG v1.2.4 (GNU/Linux)
| |
| | |
| mQGiBEHs9lYRBADL2Pke4aVfdx62B25cRvV8A78V6lw6kS50kx2eeFiKdjRmfpr1
| |
| c7pZJEjUCYtiWkKCZnOiEJfnN3YPCEAugNJyD/VSS1Jw9Chlhtga43q1BI3AgoIi
| |
| 1yNQQ0q67kA6i2KEgoou9h4xPae3OVFWDfp2C+qivJ4W2psWEv+CP0GRvwCgtTMm
| |
| OUHvCR8k6mznh4iK/WAlDTcEAI4m3TWNAsmY4iXA8gtFh4S1Zmg2h7w+e2HzbXjQ
| |
| 91ZdzjxN27dN/2q6t42/YQSBPlNmtQgSOY4OcK+BPg8ugzveAC6rBm1ZDgxmhq1b
| |
| NVWn4gOxlq2gl0l/xQbTfyyMZ/V+KfpoN8kH/kzP3olrKxfqirH/9qrcQY3zgStM
| |
| ZL9QA/9Bys3TwZD2FnIIdjlHTDQs40KEzc/4i4Ks9VBTZrUgHnnZOyHK+DvH9QTZ
| |
| 8WXaJNgXEB/uU8weNoZX94ncqdW3d5DfyP5999Z5sXUlm4lRwWKKijMgIp6gOf8O
| |
| MwVtAEBBjd7sAFmpsZZ2bktL1799FmixHeZtxGuw3ul0dWf6CLYAAAArUGFvbG8g
| |
| Um9zc2kgKFByb3ZhKSA8cGFvbG8ucm9zc2lAbGliZXJvLml0PoheBBMRAgAeBQJB
| |
| 7PZWAhsDBgsJCAcDAgMVAgMDFgIBAh4BAheAAAoJEIMe3VSEBQY5NMYAmwU+KCnA
| |
| f/rlTbddLQpZTigt5PXEAJ0eIaBK0h9HdkuHConBDz5edDXwwrkBDQRB7PZYEAQA
| |
| qQKvxUlAPVpXdwkFCnEmD0/xveEi0Edwgi5vKqlL17HgpSZDgQel7y1GnDd2ENLs
| |
| OleKXFJ/02k/+fnUAcn2jMzjWo8jgchW+AUc1hL8xhoQV/LFBiXJQUBRg3BwT1Y3
| |
| z1I8xP31tRWbt3CPa9Yi5k3T8I0N/Kfvg1CAPAAgGrcABAsD/3N5RszeKjvCsHzg
| |
| yfrcjF2ZndHEvkHYNEpGLCglXT9+N84KO6+OJpe8K9943PyxVgds2li4fjvwlA4k
| |
| L01dvKqJqndoDTcr/lAM6ML0LTM1YKTnk4LPNgQj1E1g6nVQ2rPLJ7yYzitfNiLT
| |
| Nn+5kIrtLcHYGOhd66sTddaeUqa9iEkEGBECAAkFAkHs9lgCGwwACgkQgx7dVIQF
| |
| BjkWLgCePHfhrb1j3zOhFyqb2bpePWD2Pc0An1lbk7jMMo4U1FGONcHm3pM2VDhB
| |
| =UFTN
| |
| -----END PGP PUBLIC KEY BLOCK-----
| |
| </pre>
| |
| | |
| Cos� io posso prendere il testo e salvarlo.
| |
| | |
| Quando voglio importare una chiave pubblica:
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --import chiaveMario.gp
| |
| </pre>
| |
| | |
| Vediamo ora come si usa:
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --encrypt --output testoSegreto.txt --recipient Prova testoInChiaro.txt
| |
| </pre>
| |
| | |
| Dove Prova e' il commento per la chiave pubblica del nostro destinatario. (Vedi sopra).
| |
| | |
| Bene. Proviamo a decifrarla con la chiave privata, fingendoci il destinatario.
| |
| | |
| <pre>
| |
| davide@portatile:~$ gpg --decrypt --output decifrato.txt testoSegreto.txt
| |
| | |
| Ti serve una passphrase per sbloccare la chiave segreta
| |
| dell'utente: "Paolo Rossi (Prova) <paolo.rossi@libero.it>"
| |
| chiave ELG-E di 1024 bit, ID C02A6DF1, creata il 2005-01-18 (key ID principale 84050639)
| |
| | |
| gpg: cifrato con la chiave ELG-E di 1024 bit, ID C02A6DF1, creata il 2005-01-18
| |
| "Paolo Rossi (Prova) <paolo.rossi@libero.it>"
| |
| </pre>
| |
| | |
| Bene, visto che funziona, facciamo un passo avanti. Con la nostra
| |
| chiave privata si pu� inoltre "firmare".Cos� sono sicuro
| |
| della provenienza dell'e-mail. Spesso le due tecniche vengono combinate:
| |
| prima la mail viene cifrata con la chiave pubblica del destinatario, poi
| |
| con la mia chiave privata, dando la certezza praticamente assoluta della
| |
| provenienza della mail al destinatario. Infatti le mail che hanno
| |
| la firma digitale non possono essere ripudiate, ovvero il mittente non
| |
| potr� negare di aver mandato suddetta mail.
| |
| | |
| | |
| --
| |
| Autore: darco
| |
| | |
| ==Commenti==
| |
| ''di gad--''
| |
| | |
| Non capisco propio perch� hai usato openssl per la cifratura a chiavi simmetriche e gpg per quella con chiavi asimmetriche. Per precisione � meglio dire che anche con openssl puoi criptare con la chiave pubblica. Ti riporto un esempio:
| |
| | |
| <pre>
| |
| # generi la chiave privata di lunghezza 1024 con l'algoritmo di cifratura des3
| |
| | |
| openssl genrsa -out rsaprivatekey.pem -des3 1024
| |
| | |
| # crei la chiave pubblica
| |
| | |
| openssl rsa -in rsaprivatekey.pem -pubout -out rsapublickey.pem
| |
| | |
| # a questo punto hai la coppia di chiavi. Usi la chiave pubblica x criptare il testo
| |
| | |
| openssl rsautl -encrypt -pubin -inkey rsapublickey.pem -in testodacifrare.txt -out testocifrato.txt
| |
| | |
| # lo riporti in chiaro applicando la chiave privata
| |
| | |
| openssl rsautl -decrypt -inkey rsaprivatekey.pem -in testocifrato.txt -out testoinchiaro.txt
| |
| </pre>
| |
| | |
| | |
| '''''Osservazione sul commento di gad:'''''
| |
| | |
| Sembra che con RSA puro si possa cifrare una quantit� di dati molto limitata (dipende dalla lunghezza della chiave, comunque si parla di 117 byte per chiavi di 1024 bit) quindi nella maggior parte dei casi pratici l'esempio sopra non pu� essere applicabile direttamente.
| |
| Solitamente infatti si usa RSA per cifrare una chiave casuale che viene usata per cifrare il file con un algorimo simmetrico. Sembra che non sia possibile fare questo in modo banale con openssl (occorre fare diversi passaggi e distribuire le informazioni in file separati, per un esempio vedere http://www.dmst.aueb.gr/dds/secimp/crypto/indexw.htm al paragrafo "Case Study: Public Key Cryptography") a meno di non utilizzare la codifica S/MIME di cui parli sotto.
| |
| | |
| Scusate se il commento non � inserito nel modo pi� ortodosso ma passavo di qui per caso.
| |
| | |
| '''''Fine dell'osservazione sul commento di gad:'''''
| |
| | |
| Sono d'accordo con te quando dici che pgp � il pi� usato, perch� supportato da quasi tutti i client email. Comunque anche openssl comprende un protocollo specifico per criptare le email. Il protocollo S/MIME � Secure Multipurpose Internet Mail Extensions. Dunque i due software sono funzionalmente equivalenti, tranne per un aspetto rilevante: il modello di fiducia.
| |
| | |
| La differenza fondamentale tra i due sistemi � che mentre PGP utilizza una gestione "utente-centrica" delle chiavi pubbliche (il cosiddetto web of trust), S/MIME impiega una struttura gerarchica di certificazione (le Certification Authorities o CA).
| |
| | |
| S/MIME ha un modello di fiducia gerarchico, in cui "autorit� di certificazione" certificano l'identit� degli utenti (e questa � la struttura adottata anche dalla legislazione italiana), PGP adotta un sistema a rete, in cui gli utenti si certificano a vicenda: ogni utente mantiene la lista di chiavi pubbliche dei suoi corrispondenti (viene chiamata keyring), ognuna delle quali viene firmata con la propria chiave privata.
| |
| | |
| � possibile scambiarsi i keyring: alle chiavi importate (e quindi firmate dal proprietario) � possibile assegnare diverse gradazioni di "fiducia" che permettono di costruire il cosiddetto web of trust (l'equivalente della struttura gerarchica dei certificati). ... bla, bla , bla
| |
| | |
| Vi riporto anche un esempio di utilizzo:
| |
| | |
| <pre>
| |
| # cripti l'email con la chiave publica estrata dal certificato
| |
| openssl smime -encrypt -in mail.txt -des3 -out mail.enc cert.pem
| |
| # decripta l'email usando la chiave privata
| |
| openssl smime -decrypt -in mail.enc -recip cert.pem -inkey privatekey.pem -out mail .txt
| |
| # etc...
| |
| </pre>
| |
| | |
| P.S.: Spero, con questo contribuito, di aver aggiunto qualcosa in pi� all'articolo.
| |
| | |
| == Link ==
| |
| | |
| * [http://www.gnupg.org/gph/it/concetti.html Manuale GNU sulla privacy: Concetti] - Per approfondire i concetti di algoritmi simmetrici, asimmetrici o ibridi.
| |
| | |
| [[Categoria:Sicurezza]]
| |