Come usare PGP: Firme

Con PGP puoi firmare un documento per assicurare che sei la sola persona che lo ha scritto. Nessuno puo' modificare un messaggio dopo che tu lo hai firmato, e non c' e' modo di prendere la firma di qualcuno da un documento ed attaccarla ad un altro o di alterare un messaggio firmato in alcun modo. Infatti PGP crea un 'riassunto' del messaggio che e' una specie di impronta digitale elettronica. Se il messaggio venisse alterato in qualche modo, verrebbe calcolato un diverso riassunto del messaggio, percio' anche la modifica piu' impercettibile in un documento firmato provocherebbe il fallimento della processo di verifica della firma elettronica. Per questa ragione verificando una firma sei sicuro che nessuno abbia alterato il messaggio dopo che e' stato firmato. In altre parole una firma digitale e' piu' sicura di una firma scritta a penna. Le precedenti versioni di PGP usavano MD5 (Message Digest 5) come funzione 'hash' mentre PGP 5.5.3 usa SHA1 (Secure Hash Algorithm 1). Una funzione hash e' l' algoritmo che crea il 'riassunto'. Comunque puoi firmare un documento cosi' come le chiavi pubbliche di altri utenti. Nota bene: firmare le chiavi di altri utenti e' un' operazione molto delicata, infatti: firmando una chiave pubblica altrui stai affermando che sei sicuro al 100% della validita' di quella chiave! Penso che non sia superfluo evidenziare il fatto che occorre controllare una chiave *attentamente* prima di firmarla. Infatti chiunque puo' creare una chiave pubblica falsa inserendo qualsiasi cosa come User ID (per esempio io potrei creare una chiave pubblica falsa contenente il tuo nome, cognome ed il tuo indirizzo e-mail...). Nessuno puo' firmare una chiave facendo finta di essere un' altra persona, perche' la firma contiene anche il 'fingerprint' della chiave usata per firmare (ossia la sua 'impronta digitale'). Un fingerprint e' una stringa di 128 bit (128 bit per una chiave RSA e 160 bit per una chiaveDH/DSS) composta da numeri e caratteri usata per controllare ed autenticare una chiave pubblica. Un fingerprint identifica univocamente una chiave: non e' possibile che esistano 2 chiavi diverse con lo stesso fingerprint. Puoi firmare una chiave come:

exportable : le firme esportabili sono visibili da un keyserver
nonexportable: pensi che la chiave sia valida ma non al punto che gli altri facciano affidamento su quella chiave

Per essere realmente sicuro su una chiave pubblica, devi:

identificare la chiave univocamente
controllare la reale corrispondenza tra User ID e proprietario fisico della chiave

Identificazione della chiave

Non puoi fidarti dell' User ID per identificare una chiave! Pe esempio, io potrei creare una falsa chiave pubblica con il *tuo* nome e cognome, oppure potrei anche avere 2 chiavi diverse con lo stesso User ID! Per questa ragione devi usare il fingerprint della chiave per identificarla.

Corrispondenza tra User ID e proprietario della chiave

Per essere sicuro che nessuno possa permetterti di firmare una chiave falsa, devi controllare il fingerprint. Poi devi controllare il proprietario della chiave. Percio' dovresti incontrarlo fisicamente per ottenere da lui il fingerprint ed infine dovresti controllare i dati dell' User ID (nome e cognome) tramite un documento di identificazione del proprietario (carta d' identita', patente o simili). Potresti anche controllare l' indirizzo e-mail scambiando alcune e-mail con il proprietario della chiave. Dopo avere seguito questi passi dovresti copiare la chiave in un floppy disk e firmarla a casa! Beh, per poter firmare una chiave devi digitare la tua passphrase segreta...non hai modo di sapere se il proprietario della chiave che vuoi firmare stia memorizzando la tua passphrase leggendo le tue battute sulla tastiera...

Modello di Fiducia (Trust Model)

Il Trust Model indica la validita' di una chiave, basata sul livello di fiducia che tu accordi al suo proprietario in modo da garantire l' autenticita' di una chiave pubblica di qualcun altro. In altre parole, firmando le chiavi puoi sviluppare una sorta di 'rete' dove tutti i nodi sono persone fidate. Comunque ritengo che esista un modo migliore per essere sicuri sulle chiavi: le CA. Le CA (Certifying Authority, ossia Autorita' Certificatrici) sono delle organizzazioni fidate e neutrali alle quali viene assegnata la responsabilita' di certificare l' origine delle chiavi e di inserirle in un database comune. Le CA emettono Certificati. I Certificati sono documenti digitali che attestano il collegamento tra una chiave pubblica ed un individuo od altra entita'. Una CA piuttosto conosciuta e' VeriSign, inc.. In Italia successivamente alla legge Bassanino sono stati sviluppati vari progetti pilota rigurdanti le firme elettroniche, come ad esempio quello sviluppato dal comune di Bologna.