On 25/01/2015 13:16, Anathema wrote:
> On 25/01/2015 11:02, brno wrote:
>
>> l'unica cosa che mi viene in mente e': perche' far creare le proprie
>> keys ad una terza parte? un po' come quei siti che ti generano numeri
>> random... il processo di generazione key dovrebbe essere, se possibile,
>> addirittura fatto su sistemi airgapped, figuriamoci farsela generare...
>>
>
> Sicuro, ma metti caso tu acquisti un VPS, o ti viene fornita (in
> generale) una versione di openssl / openssh o qualsiasi altra lib
> crittografica per generare chiavi RSA *SOLO* con CURVE25519: non hai
> molte scelte.
diciamo che in questi casi hai altri problemi di cui peroccuparti :)
>
> Oppure metti che questo tipo di approccio sia stato utilizzato in altri
> algoritmi infettati dall'NSA (di cui sappiamo bene il ruolo svolto nella
> definizione di nuovi standard crittografici, in maniera diretta o
> indiretta).
tipo Dual_EC_DRBG? questo post e' molto divertente
http://www.ams.org/notices/201502/rnoti-p165.pdf
>
> E poi, figurati se sistemi airgapped servono:
> http://arstechnica.com/information-technology/2015/01/playing-nsa-hardware-hackers-build-usb-cable-that-can-attack/
>
> L'NSA ha pensato anche a questo!
>
eh si, ma l'use case e' molto limitato pero', se si pensa pure a questo
http://cyber.bgu.ac.il/content/how-leak-sensitive-data-isolated-computer-air-gap-near-mobile-phone-airhopper
paranoia++
