[Solar-general] Trabajando con el ejercito Fuerza , mucha fuerza

Dom Sep 12 13:05:37 CEST 2004

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

El Dom 12 Sep 2004 01:31, Diego Saravia escribió:
> > Encriptar no, firmar con gnupg.
>
> si lo que se quiere hacer es firmar, el que comprueba tu firma debe
> recibir por canal seguro tu clave publica. Como sabe sino que viene
> de vos?, es exactamente lo mismo que el correo que mandas sin
> firmar.
>

No se necesita canal seguro, dado que la clave publica es eso publica.
La que no es distribuible por seguridad es la clave parte privada de 
la clave.
En el caso de la encriptacion debes asignarle confianza a la clave 
para su uso y ahi debes ser cuidadoso en la certificacion de valides 
y seguridad de la verificacion de pertenencia de esa clave publica.

> La unica forma de validar eso seria que en una reunion fisica real
> intercambiemos todos las claves publicas. y que cada uno guarde 
> esas claves sin que nadie pueda alterarlas. O sea deben darse
> varias condiciones, que las claves publicas sean generadas
> correctamente, que sean entregadas por el futuro firmante a el
> futuro lector en persona y con certificacion de identidad y que el
> futuro lector no deje que nadie las altere.
>

Si el receptor baja la clabe publica de un servidor es suficiente para 
validar origen.
Dado que la "firma digital" solo puede generarse con la clave privada, 
que no se distribuye y que permanece en el sistema emisor.
Incluso si dejas tu maquina y alguien quiere "hurtar" tu clave privada 
de ahi, debera tener el password de la clave para hacerlo.
Si por alguna razon la clave publica que baja el receptor desde el 
servidor de claves publicas esta alterada no podra validar la "firma" 
el emisor.

> Es decir si yo recibo tu clave y la guardo en mi pc, no debo dejar
> que nadie la toque, ni conectarla a internet ni nada que deje
> abierta la posibilidad de que se cambie el archivo con tu clave
> publica.
>

La clave publica solo sirve para validar, la privada para generar la 
"firma".
EL receptor solo tendra la clave publica.
Es como si para validar una firma de puño y letra en papel del emisor, 
te fijaras en internet o en un lugar publico una copia para 
compararla.
Si la que es "publica" esta alterada, las diferencia, te llevaran al 
unico camino logico, el mensaje recibido no puede ser validado.
La gran diferencia es que la firma de puño y letra puede ser imitada 
con cierta facilidad, en el caso de la "firma digital" necesitas un 
password y una clave privada para generarla.
Es como si firmaras de puño y letra con una lapicera unica y esta 
tuviese "clave" de activacion.

> lo ideal seria guardar un cd en una caja fuerte y comprobar la
> validez de cada email con ese cd, ante cada correo.
>

Es innecesario eso. dado que cualquier alteracion de la clave publica, 
haria dudar al receptor del origen del mensaje recibido, ya que segun 
su "alterada clave publica" del emisor dara como mensaje invalido.

> O sea si se quiere armar en serio grabemos cada uno de nosotros
> nuestra clave en un cd fisico y firmemos en su tapa con tinta
> indeleble y lo distribuyamos en el proximo encuentro. Con eso
> tendremos un sistema con una seguridad similar a una firma en
> papel. Tendria que tener en una caja fuerte un cd por cada uno de
> uds.

Eso solo seria necesario si se distribuyeran las claves privadas y 
publicas.

Daniel
- -- 
Mate.Cosido (..aun fuera de la ley)
(* UTUTO-e GNU System + Linux *) 
(* 2.6.7 / XOrg 6.8 compilado con gcc 3.4.1 *)

Daniel Olivera (Mate.Cosido) -- GNU/Linux #267582 - AR #1832
Telefono / Phone: (+5411) 4207-1701 / 7688 
Celular / Cell Phone: (+5411) 5637-5979

Key Server: pgpkeys.netsys.com.ar
ICQ: 8368437 -- AIM/Yahoo: doliveralinux -- MSN : No uso
Jabber: jabber.netsys.com.ar / ususario: mate.cosido

Estudien mucho para poder dominar la tecnica que permite
dominar la naturaleza. CHE
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)

iD8DBQFBRC2OmUZ7u+iPzsQRAgGLAJ9l8YL151OhFrDsEdzKAsT/a6VG6QCeN/Ir
4SIbm7iqfABwLYycF2XtjCk=
=5Jrs
-----END PGP SIGNATURE-----