Re: Sconfinati CAMPI di Cavoli Amari

Scusate il doppio POST, ma volevo solo segnalarvi che su Office XP (Office
2002) la funzionalità di firma digitale (e cifratura) sono native, quindi
andrebbe visto (SE e ) come Microsoft ha risolto il problema delle macro.

----- Original Message -----
From: "Enrico "cerin0" Zimuel" <cerin0@olografix.org>
To: <crypto@sikurezza.org>
Sent: Monday, September 09, 2002 8:58 PM
Subject: Re: Sconfinati CAMPI di Cavoli Amari


At 13.04 09/09/2002 +0200, you wrote:

> > E' possibile far firmare a qualcuno un documento di word con
> > qualsiasi strumento di firma digitale (io ho fatto la prova con
> > l'ottimo DiKe di InfoCamere, ma voi sperimentate con il tool che piu'
> > vi piace) e fare si' che in seguito il testo venga modificato in un
> > modo arbitrario, senza che lo strumento di verifica della firma noti
> > alcunche' di anomalo.

Cavoli, ma siete sicuri!
Questo va contro ogni principio della firma digitale e soprattutto delle
funzioni hash...
Scusa possiamo fare subito un test?


>mi viene un dubbio (anzi due):
>
>1. in questo modo e` possibile conducendo un attacco di crittanalisi
>risalire alla chiave privata dell'utente? dopotutto si ha a disposizione
>il testo in chiaro... magari non e` possibile, e` solo un'idea e di
>crittografia ne so poco.

La chiave privata dell'utente viene utilizzata dal mittente del messaggio
solo per autenticare l'output della funzione hash, e quindin non è
possibile risalire ad essa scambiando qualche byte all'interno del
documento...

La cosa assurda del discorso e che variando qualche carattere all'interno
di un documento Word firmato (se ho ben capito) il programma di verfica
della firma non si accorge delle modifiche, ciò vuol dire che la funzione
hash lavora male... o forse non fa l'hashing di tutto il documento word ma
solo alcune parti del file realtive al documento vero e proprio, in parole
povere salta gli header dei documenti word che sono sempre gli stessi...


Saluti da
Enrico "cerin0" Zimuel
(www.enricozimuel.net)


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List