[<--] Indice [-->]

From Marco Bodrato <bodrato@linuz.sns.it>
Date Thu, 26 Jun 2003 00:25:44 +0200
Subject [hackmeeting] GPG chiavi tatuate 

Ciao a tutti,

M'e` dispiaciuto aver poco tempo per dare una mano ed anche per
presenziare all'Hackmeeting. Il poco tempo trascorso li' e` stato
piacevolissimo, comunque.

Nei viaggi in treno per e da Torino ho messo mano a un progettino che avevo
per la testa da tempo, che vorrei poter condividere con gli altri
partecipanti: una versione di GPG per creare chiavi "tatuate".

Per non perdermi in spiegazioni tecniche, vi mando una chiave RSA di 4096
bit generata in questo modo. Interessanti sono le prime 6 righe.

$ gpg --armor --export 8FADE1FB
-----BEGIN PGP PUBLIC KEY BLOCK-----

mQILBD73DAIBEAC/rowancap/figlet/font//dMP/dMMMMMMP//oPYo///oPYo/
////dMP/dMP//aMMMb///aMMMb//dMP/dMP//amr////dMP////8///o8//////8
///dMP/dMP/dMP/dMP/dMP/VMP/dMP/dMP//dMP////dMP/////8/dP/8///ooY/
//dMMMMMP/dMMMMMP/dMP/////dMMMMK///dMP////dMP//////8o///8//////8
/dMP/dMP/dMP/dMP/dMP/aMP/dMP/AMF//dMP////dMP////////YooP///YooP/
dMP/dMP/dMP/dMP//VMMMP//dMP/dMP/v7V1SoBDA5z2ij6+ho0clzqAdYAipnJH
RRaqxdJ04CGHQGwtZWqNXUQk8FzuQQFaAB7uH7fJ7zCmtWTks4cbIGi8AoolK/gZ
AbBu/wN8id0H5N1RaXljUzZYwZ5j5T4upLVc+KymFdUl0IlSMI7MWaxBFliCmuAr
T+7qwj1FRxxsRFyRC+84+6z4qg1rlhWTXVVJwfbBjvjY/TKMIDtfa2q6oucX+oXh
czMv9v0O9A6P+07CyN7FcB0w+FA1zs9oQ1qvuNELK0lmoFBKMWOpuRHMg9gbw6C+
RweQStVHr0ojy32tj5WF2G+0HBG5Ls5CYMENdXYQWK0tqtfxfMTWO6icaQAGKdHB
U8FRARAAAQEAAAAAAAAAAAAAAAD/2P/gABBKRklGAAEBAQSvBK8AAP/+ABNmb3Rv
IGJ5IFN0cmViaSc3M//bAEMASTI2QDYtSUA7QFJNSVZttnZtZGRt3p+ohLb/6P//
/+j++v//////////+v7////////////////////////////AAAsIAHAASAEBIgD/
xAAZAAADAQEBAAAAAAAAAAAAAAAAAgMEAQX/xAAjEAACAgEEAwADAQAAAAAAAAAA
AQIDEQQSITETI0FCUWFD/9oACAEBAAA/AL3GWqp2zz8Lz0cMcGeelaITg0IAAbrL
PJaaaq/GVJ2GS5Iz2V7SQAbtN7LTcK2SbIzRJohNCAerXX47C4jEwTuIMlPsm0Ke
rO/FjS+ImtYm8NYKeROG5EbNQkQlqG/gvlbFbz8OHGad+NPv+ufIT0/ClnvkrVHZ
RL9N8GafYmxt8hsaXfJ1J/TjRyZT/E9OKXjS/hn1UtqUUZsZKQggcEK0kSYkwPT0
8t1EX/CGoeZsi8rsonwDYjZNk2ytlfq8ho0U265pdkrpNSeVyT3uXZSvhHWTmybY
he31+stS4VwbT7JTs8jb+Enx0d3tHVZ8Ys2IBq8giaa6KLT5hlSJTq2/cibP2caw
KAGoe6l7HPGBa7MU4ZKcxMiAAGoDnCWGRZwUAA1APPTuyGV2QdFi/BiOuaeMM5ta
FAD/2YkCNQQTAQIAHwUCPvcMbwIbAwcLCQgHAwIBAxUCAwMWAgECHgECF4AACgkQ
B/ak2o+t4fsxpA//XsbfyieI4POydVel5+LoyHyzWNqt1qRXkhBuRBIPZ0EXxVNg
CKk8QDioTY+/5fwCYkU93A4dp4lRlO1OzhGR2wZkxik5DcfMVErrvBxfWwcHjrJ5
rTTB4pF4CQDEyRmx7hqFmEVD/eBQ2HWMXleiGslq9kX2Lb7Bahm9lseyzq8j7Fjv
Yay+eHbGb7SSRg61MY6Kk6s6I6kg7c0Uj2vtUga4b86oB3+DaJx+Ust11TJraQu/
4g9i7J9aU2F8bm5QqcxL+BojxlEbZoZvyJ5adBq7CrAwwfNd6poqppuNotnq1111
AOfeVeOTSMrv3oSM/VoOktd1fM/Tn8FCGIV52/EPE7F3wT5LuXblZD/g4V1nmJTi
fuEWUYFu/DlFn+t2LBSJiEH7KN/gS2gxGyKcczVMcX+iJoZov0Nj/+RWpBcQT5GM
yp86Z2NA9AZzocasbt+BcHRUsjZTxmSn+cmMFp+B7J4a7H55RWTyK10Wl2X+aOaD
xOKId/7saBc13LxonIgF1wrA0EtUfgAmUmll+DJa2ByCSoblGxNNTSHw32Xvpxui
MowrH6U9j7AoSe5QQ5JscXYm7kLlhMWU42lh4G50VAORJpSXEvGT8vBXtz/I5Mf+
cLonkUJWDr78/iCKGomGM8mdSuwm/pq4rH/mTz4xoKCYqVa13mogfaxksza0BS4g
LiAuiQI1BBMBAgAfBQI+9wx+AhsDBwsJCAcDAgEDFQIDAxYCAQIeAQIXgAAKCRAH
9qTaj63h+0n/EACjO2znIBxbiHII14/l7WAC9t/PegjCy5gSVvewiKH2mfZXEh9A
lIRl5kSycDIVyqEtl5P+1Tb/6ew4h1a3WcT2XLd5iKC5M4GgZaH9lDmoJfNSfyLo
QDaoPlKwhyZsYTyJ+oK2h/7mt4olfo3sJaRWLc2DVwbAFZPLYSjUVwQHGqHqbhp4
t99+tBNZaVrJ72uE40iq0f+2yQeq6CR80FZh8Ye8jw2cgkcjec7JZgdwWRJsPGkQ
/ODwidNA11MzO8eqY5vUPFPuSo8Ts2zbrA0ZNXwA/EvpJfWKHo7clR1WbbNqHZgj
TWk08+VKtt9WsfxuX6NN3u6Z64i6hgkVabOfRjnOKvtPsZ29/859ZjOjXtSQpMzz
7pAF3sMb2CcBsukybUR3iSKTZob2My9dm2wgcVULxYn73D4kSLHdJgFOMqDVk6T7
a/g6kfAHqLvAFlZpeh6F5wxyqiRrlElPh1DvLeogPy5ff5LwsoWFJeoHgYuOMqSB
M0W873+cLx4v4mlTe9bk5WonbimLj7Rk00n8zeulfkZ6Y3vDpndjHG0qlb64Tiv9
jMSPn5addO5AowTVySn4dENQNXND5NDByis4EIp+/M0i7mkBgWvwOs4x0ak+iwbv
f89n4n2I9i19Yfk4iv5H+Saxr5W0GpkFWrFgcdtIC/39MTeBSiI1/9r28A==Wp7F
-----END PGP PUBLIC KEY BLOCK-----

La chiave e` valida, l'ho usata per firmare questo stesso messaggio.
Chi mi ha visto magari mi riconoscera` nel minuscolo photoID... :-)

Volendo potete aggiungere firme o togliere ID a questa chiave, ma vedrete
che il tatuaggio restera` sempre visibile (_e`_ [un pezzo del] la chiave
pubblica!-).

Per creare chiavi del genere ho prodotto una piccola patch, che allego, da
applicare a gpg-1.2.2 (www.gnupg.org).


Ho curato la sicurezza delle chiavi generate piuttosto che la facilita`
d'uso (per cambiare "tatuaggio" c'e` da modificar sorgenti e ricompilare),
ed ogni contributo e` ovviamente gradito.

A parer mio le chiavi generate sono altrettanto sicure che quelle standard.
Per RSA la dimostrazione e` un po' tecnica, per DSA... direi che neppure e`
necessaria, vengono modificati solo dati pubblici. Se cosi' non fosse, il
rischio lo corre chi le usa :-)


La stessa patch crea anche chiavi DSA "tatuate", ma solo con due piccole
frasi (prima e quarta riga). Provate (1024 bit).


Scopo del gioco:
1) trastullo
2) mostrare la possibilita` di canali subliminali nella generazione di chiavi.
2.1) dissuadere quindi dal crear chiavi con codici di cui non si abbia il
sorgente... qui ci abbiamo messo un disegnino, ma qualcuno potrebbe
nasconderci la vostra chiave segreta...


Alla prossima,
        Marco

-- 
GPG fingerprint: 5972 C482 24C1 E7E6 2AA0  275D 1150 EE33 ciao 00B0
lynx -source http://linuz.sns.it/~bodrato/ciao00B0.html | gpg --import

Attachment: gnupg-1.2.2.chiavi_tatuate.diff.gz
Description: Binary data

Attachment: pgp00003.pgp
Description: PGP signature

[<--] Indice [-->]