Che tristezza, ThunderBird. Rimani il mio MUA cmq.
2012/10/6 ZioPRoTo (Saverio Proto) <zioproto@???>
> Ehi Vecna, al MOCA piangevamo la fine di Thunderbird, il MUA comodo
> con PGP. Beh adesso pare che si può usare PGP con gmail con qualcosa
> meglio di firegpg ...
>
> http://safegmail.com/
>
> qualcuno ha visto di che si tratta ? io non lo ho ancora provato ne mi
> sono informato bene.
>
Mah, FireGPG aveva il vantaggio di poter funzionare su ogni webmail, questo
è specifico su gmail (e dato per stabile solo su chrome). Questo safegmail,
dal loro video, sembra un bella tecnologia che riesce a rendere PGP
abilitante per un sacco di utenti, ma è una di quelle volte in cui la
comunicazione è maggiore della sostanza (almeno, allo stato attuale).
http://safegmail.com/works.html da qui mostra un'informazione un po'
misleading, sembrerebbe usasse crittografia simmetrica, in verità il flusso
logico è:
http://safegmail.com/information.html, è abbastanza chiaro ed
attaccabile, c'e' un .pdf nel repository github.
inoltre, il problema ancora irrisolto della crittografia lato browser, è
che devi necessariamente avere accesso ad una fonte di random reale. Device
come /dev/random contengono entropia utile all'uso crittografico, perché
collezionano bit di entropia dipendenti da tutta l'interazione che ha il
tuo hardware. Se usi invece dei bit di entropia generati dal browser, non
conta quanto ti sforzi: è poca, l'avversario attacca quello, che è il punto
debole. Purtroppo è difficile misurare questa perdita di sicurezza.
Questo è l'unico motivo che, per il momento, blocca il decollo della
crittografia javascript only. E' comunque in fase di sperimentazione:
https://developer.mozilla.org/en-US/docs/DOM/window.crypto.getRandomValues
Altri attacchi sono stato risolti dal design spiegato in OpenPGP.js, c'è un
comodo PDF che racconta come il codice, ad esempio delle primitive
crittografiche, sia rilegato in un tab, così da compartimentalizzare le
operazioni di modifica del codice. Creando una sorta di rapporto
cliente-servente all'interno del browser, e stratificato, così che poi
l'accesso alle chiavi venga gestito da un altro tab a sua volta. E' un
design che puo' sembrare faragginoso, ma almeno evita una quantità di
attacchi che, se sottovalutati, renderebbe la crittografia in javascript
solo un "rallentamento" per qualunque avversario. E safegmail non solo non
implementa questa separazione, ma non implementa la crittografia
*internamente*. Scarica un javascript da una terza parte (
www.safegmail),
(in chiaro).
responso: bocciato, ma bel video.
--
This account is intended for mailing list only. Personal email via:
vecna at globaleaks dot org
