Appunti lezioni Sistemi Informativi Bancari

Lezione 1: Comandi GPG

Comandi di base

gpg —help: Verificare il programma.

• —e —encrypt: Cifra i dati in modo asimmetrico, vorrà sapere il nome del file da cifrare e la chiave pubblica del destinatario/ricevente.
• —c —symmetric: Cifra i dati in modo simmetrico, vuole sapere i dati da cifrare e la password (devo ricordare la password perché altrimenti perdo il file criptato); uso la mia chiave pubblica per standardizzare le password, cambiandone una cambiano tutte.
• —verify: Verifico la firma, se ho un file trovo che il file è firmato da X ma se non ho la chiave pubblica non ho la certezza che sia firmato da X.
• -k —list-keys: Crea l’elenco di tutte le chiavi pubbliche che ho.
• —list-signatures: Crea l’elenco di tutte le chiavi e le firme che ho.
• —import: Importa la chiave pubblica e privata.
• —armor: Trasforma l’output in hash.

Creazione di directory e copie di chiavi

• Come creare una directory da comando: mkdir 2018 con ls -Glas verifico di essere nella directory.
• Creare copia di chiavi: gpg —generate-key, si apre un menu.
• Coppia chiavi: nome cognome sib 2018 matricola.

Lezione 2: Esportare la chiave

gpg —output martina-brunello-pubkey.txt

Devo cambiare la directory: cd desktop ls -Glas

• —armor: Fare l’output in formato testo.
• —armor —verbose: Spiega cosa si sta facendo.
• —armor —verbose —export chiave(CD26F50E)

Mettere una foto nella chiave pubblica

• Gpg —-edit-key Martina
• Help
• Addphoto
• Nome foto o trascino la foto
• Dico di sì
• Accetto la foto
• Immetto la password (Martina)
• Per salvare la chiave uso il comando: save

Verificare di aver messo la foto nella chiave pubblica

• Gpg -k Martina
• Vedo cosa c’è nella chiave
• Verificare la firma della chiave
• Gpg —help
• Gpg —-list-sigs
• Vedere la firma di x
• Gpg —-fingerprint (nome chiave di x)

Come si cifra con GPG

Come cifrare una foto. Per cifrare tanti file conviene creare un file unico, creo un file zip e cifro il file zip.

Comandi di cifratura

1. -c foto.zip
   Mi chiede una password. Si crea un file .gpg cifrato in modo esadecimale.
2. Cifrare in modo asimmetrico: gpg —-encrypt -r(nome del destinatario) (nome del file).zip

Lezione 3: Aggiungere un nuovo user ID

• Aggiungo un indirizzo (Largo Gemelli 1): gpg -h; gpg —-edit-key A40A317F; help; adduid; nome e cognome (Largo Gemelli 1 Milano); email:martina@martina.is; commento: numero Catt;
• Tolgo un indirizzo: uid1;
• gpg —encrypt —-recipient -a(file da decriptare)
• Firma digitale: gpg -s (nome file da firmare)

Lezione 4: RSA

Chi l’ha inventato ha dovuto inserire due numeri primi, l’infinito dei numeri primi è minore dell’infinito dei numeri normali (da 1 a 10 ci sono 5 numeri primi, più si va avanti e meno si trovano i numeri primi). Per la chiave dell’algoritmo simmetrico è ridotto rispetto all’entropia dell’algoritmo asimmetrico, che è enorme. L’algoritmo asimmetrico è meno efficiente come velocità di quello simmetrico (la robustezza crittografica è uguale).

Comando firma: -s oppure —-sign. Una volta si usava MD5 come algoritmo di firma ma ora no poiché rischiava di collidere con un altro input nella stessa firma digitale. La firma mette una stringa numerica univoca per quel tipo di testo/oggetto digitale (insieme omogeneo di records).

Encrypt to sell

Il file viene compresso in file zip, quando il crittogramma verrà cifrato in ASCII cresce di un terzo; il sistema quindi crea una password random molto lunga (per avere la stessa entropia dell’algoritmo a 128 bit, dovrebbe essere di circa 99 caratteri scombinati e senza parole di dizionario e in quel caso avrebbe la stessa robustezza dell’algoritmo).

Creata la password casuale (randomizzazione intelligente, anche la funzione random non è veramente random perché il computer è basato su algoritmi) con un pool random che ha una serie di numeri casuali usati dall’algoritmo per generare una vera causalità; con il random pool si crea una password di 128 caratteri (3 righe di testo) e cifra con quella password che cambia ogni volta l’algoritmo simmetrico. Cifra quindi la session key con algoritmo asimmetrico usando la chiave pubblica del ricevente e elimina la one time session key che a quel punto può essere decifrata solo da chi possiede la chiave pubblica. Il file alla fine viene convertito in ASCII (non obbligatorio), a quel punto il file può anche essere stampato perché solo chi ha la chiave è in grado di decifrarlo.

• Prende il file
• Firma il file
• Comprime il file
• Gli dà una password random
• Lo cifra con quella password
• Cifratura one time session key
• Si unisce
• Si crea un unico file ASCII

Meccanismo inverso

• Viene ricevuto il file ASCII
• Ritorna ad un messaggio in formato esadecimale
• La one time session key viene decifrata con la propria chiave privata (che è stata cifrata con la mia chiave pubblica)
• La one time session key viene data all’algoritmo asimmetrico che decifra il messaggio in formato compresso
• Lo decomprime
• Il file decompresso rivela la firma
• La firma è verificata utilizzando la mia chiave pubblica

Questa è la crittografia ibrida che unisce le varie tipologie di crittografia.

Il nucleo della crittografia

• Modulus: (n) Prodotto di due numeri primi, p e q, scelti a caso. La vera robustezza dell’algoritmo asimmetrico è il modulus.
• Esponente pubblico: (e) Numero intero il cui valore è determinato sempre da p e q.
• Esponente privato: (d) Determinato da p, q, e; il collegamento dipende anche dal valore di e.

Questi numeri primi sono indecifrabili dalla crittografia, motivo per cui p e q sono molto delicati e il loro algoritmo è molto grande.

• Distanza univoca: se si immagina di trovare tutti i valori della chiave, si troverà quello giusto a metà.
• Avendo (n), (e), (d) si calcola molto facilmente:
  
  
  • Chiave pubblica con e-n.
  • Chiave privata con d-n.

Firmare delle chiavi

X e Y si scambiano delle chiavi in modo sicuro (no men in the middle), si firmano le chiavi e se le rimangono; Z si aggiunge e deve avere la vera chiave di X per poter utilizzare la chiave.

Certificato sito internet

• Certificato: la chiave pubblica è del sito internet ed è firmata da una delle autorità di certificazione mondiale, per verificare il browser ha già tutte le chiavi pubbliche.

Simmetrica

• X manda la chiave a me, io la mando a X e comunichiamo così.

Con il sito lucchetto verde

Io non ho la chiave pubblica da mandare al sito, esiste una sola chiave pubblica del sito. Come funziona? Il sito manda la chiave pubblica, io cifro una session key; il browser crea una serie casuale di numeri che diventa simmetrica e cifra tutti i dati che ci mandiamo tra il mio browser e il sito. La password che si crea quindi indica che si è creata una connessione sicura tra me e il sito lucchetto verde.

Il sistema del lucchetto verde tra due persone si usa come:

• Crittografia simmetrica con password simmetrica.
• Io mando la chiave pubblica a X.
• X crea la password e la cifra con la mia chiave.
• Dopo averla cifrata me la rimanda e io posso decifrarla poiché ho la mia chiave pubblica.
• In questo modo si è creata una connessione sicura tra me e X.

Lezione 5: Esportare la chiave segreta

• Cd desktop
• Gpg - -export -secret-key
• Gpg - - o