Digo semi ot por que es bajo opensue. Alguien conoce de un buen guiaburros, manual, o similar sobre el firmado de mensajes, como se deben utilizar las claves, de donde se obtienen, como se envian, etc, etc He visto que "alguien en la lista" las usa, quizas el... Gracias. /Nacho -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-13 a las 16:17 +0100, Nacho escribió:
Digo semi ot por que es bajo opensue.
Na, le cambiamos habilmente el rótulo ;-)
Alguien conoce de un buen guiaburros, manual, o similar sobre el firmado de mensajes, como se deben utilizar las claves, de donde se obtienen, como se envian, etc, etc He visto que "alguien en la lista" las usa, quizas el...
Si conozco, pero en inglés. Lo primero es que no se usa PGP (aunque anda por ahí), sino la variante GNU, que se llama GPG. Y en el propio paquete viene el manual "oficial", en pdf y html: /usr/share/doc/packages/gpg/manual.pdf /usr/share/doc/packages/gpg/manual.html Espera... no se si es que viene ahí o lo he puesto yo ahí [...] vaya, lo saqué yo de alguna parte y los copié ahí. ¿De donde fue? Bueno, puesto que en suse lo que hay es el gpg2, tienes el directorio /usr/share/doc/packages/gpg2 donde hay un faq.html, que es la ultima versión; pero si vas al enlace que te indican para obtener la ultima version, te aparecen los enlaces al mismo faq en español, y por una vez, la traducción es reciente. Y en el panel de la izquierda hay otros enlaces a más información (hay un CÓMO). ¿Que programas se usan? En gnome se maneja con seahorse, en kde con... bueno, no me se el nombre de memoria, está en el menu. Pero, curiosamente hay otro que también está bien, incluso mejor para algunas cosillas: el programa de correo thunderbird (y el mozilla) tienen su propia herramienta de manejo de llaves, y como en realidad tiran de gpg para hacer el trabajo, pues da igual con cual trabajes, que las llaves quedan en el mismo sitio. Vete leyendo cosillas; yo me tengo que ir, luego preguntas dudas que tengas :-) - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklD4k0ACgkQtTMYHG2NR9WV2ACgmIOQBtKTPK8yzi6d2ILltzix cAIAnj46nYyn0HU1tHzbK36I8XbC1oXy =alks -----END PGP SIGNATURE-----
On Saturday 13 December 2008 11:26:51 Carlos E. R. wrote:
El 2008-12-13 a las 16:17 +0100, Nacho escribió:
Digo semi ot por que es bajo opensue.
Na, le cambiamos habilmente el rótulo ;-)
Alguien conoce de un buen guiaburros, manual, o similar sobre el firmado de mensajes, como se deben utilizar las claves, de donde se obtienen, como se envian, etc, etc He visto que "alguien en la lista" las usa, quizas el...
Si conozco, pero en inglés. Lo primero es que no se usa PGP (aunque anda por ahí), sino la variante GNU, que se llama GPG. Y en el propio paquete viene el manual "oficial", en pdf y html:
/usr/share/doc/packages/gpg/manual.pdf /usr/share/doc/packages/gpg/manual.html
Espera... no se si es que viene ahí o lo he puesto yo ahí [...] vaya, lo saqué yo de alguna parte y los copié ahí. ¿De donde fue?
Bueno, puesto que en suse lo que hay es el gpg2, tienes el directorio /usr/share/doc/packages/gpg2 donde hay un faq.html, que es la ultima versión; pero si vas al enlace que te indican para obtener la ultima version, te aparecen los enlaces al mismo faq en español, y por una vez, la traducción es reciente. Y en el panel de la izquierda hay otros enlaces a más información (hay un CÓMO).
¿Que programas se usan?
En gnome se maneja con seahorse, en kde con... bueno, no me se el nombre de memoria, está en el menu. Pero, curiosamente hay otro que también está bien, incluso mejor para algunas cosillas: el programa de correo thunderbird (y el mozilla) tienen su propia herramienta de manejo de llaves, y como en realidad tiran de gpg para hacer el trabajo, pues da igual con cual trabajes, que las llaves quedan en el mismo sitio.
Vete leyendo cosillas; yo me tengo que ir, luego preguntas dudas que tengas :-)
Usualmente se le añade una K a los nombres.. con algunas excepciones. Se llama kgpg. -- Carlos A. -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
El 13/12/08, Carlos E. R.
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1
El 2008-12-13 a las 16:17 +0100, Nacho escribió:
Digo semi ot por que es bajo opensue.
Na, le cambiamos habilmente el rótulo ;-)
Alguien conoce de un buen guiaburros, manual, o similar sobre el firmado de mensajes, como se deben utilizar las claves, de donde se obtienen, como se envian, etc, etc He visto que "alguien en la lista" las usa, quizas el...
Si conozco, pero en inglés. Lo primero es que no se usa PGP (aunque anda por ahí), sino la variante GNU, que se llama GPG. Y en el propio paquete viene el manual "oficial", en pdf y html:
Ademas de las implementaciones 1 y 2 de pgp, está el que mencionas PGP: http://www.pgp.com/ Y está tambien OpenPGP: http://www.openpgp.org/ OpenPGP is the most widely used email encryption standard in the world. It is defined by the OpenPGP Working Group of the Internet Engineering Task Force (IETF) Proposed Standard RFC 4880. The OpenPGP standard was originally derived from PGP (Pretty Good Privacy), first created by Phil Zimmermann in 1991. The OpenPGP Alliance is a growing group of companies and other organizations that are implementers of the OpenPGP Proposed Standard. The Alliance works to facilitate technical interoperability and marketing synergy between OpenPGP implementations. Salu2 -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-14 a las 10:46 -0200, Juan Erbes escribió:
Ademas de las implementaciones 1 y 2 de pgp, está el que mencionas PGP: http://www.pgp.com/
Había algún motivo por el que en Linux no se suele usar, pero se me ocurre que no es libre.
Y está tambien OpenPGP: http://www.openpgp.org/
No se cual es la diferencia con el gpg, pero se pueden tener ambos: GnuPG 2.0 is the stable version of GnuPG integrating support for OpenPGP and S/MIME. It does not conflict with an installed 1.4 OpenPGP-only version. Posiblemente en la wikipedia lo cuenten. En el FAQ del gpg2 hablan de esas cosas: "5. COMPATIBILITY ISSUES". - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklFDZIACgkQtTMYHG2NR9XmhgCfXfA+wFLRk2X6uLweakjPZNa2 ClYAn1Smu7kGyjteSVDBClXRRsEV0PxW =N8XP -----END PGP SIGNATURE-----
El 14/12/08, Carlos E. R. escribió:
El 2008-12-14 a las 10:46 -0200, Juan Erbes escribió:
Ademas de las implementaciones 1 y 2 de pgp, está el que mencionas PGP: http://www.pgp.com/
Había algún motivo por el que en Linux no se suele usar, pero se me ocurre que no es libre.
Sí, algo de eso había. Creo que el propio desarrollador del PGP (Zimmermann) tuvo problemas con las patentes que se aplicaban en EE.UU. a los algoritmos de cifrado (RSA e IDEA) de los cuales hacía uso el programa. Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
El 13/12/08, Nacho escribió:
Alguien conoce de un buen guiaburros, manual, o similar sobre el firmado de mensajes, como se deben utilizar las claves, de donde se obtienen, como se envian, etc, etc He visto que "alguien en la lista" las usa, quizas el...
El que te comentaba Carlos E. R. del enigmail (si usas thunderbird) tiene una buena guía de inicio rápido: Welcome to the Enigmail Quick Start Guide http://enigmail.mozdev.org/documentation/quickstart.php Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Gracias a todos Me voy a poner a ello, no se cuanto me costara pero es algo que resulta interesante, si hay dudas ya preguntare Saludos -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklFep0ACgkQ5wnpTgDo3CrFlQCfZoAjvfF6fBHnlYvrXszUEdBc 7nwAnRL6QYo3eO5Q0aQoMRNmPg/v+aWH =JTkd -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
El 14/12/08, Nacho escribió:
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1
Gracias a todos Me voy a poner a ello, no se cuanto me costara pero es algo que resulta interesante, si hay dudas ya preguntare
Caray, pues si que eres rápido. No sé si estará bien o mal pero te ha quedado un correo profesional... estás hecho todo un criptógrafo :-) Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Camaleón escribió:
El 14/12/08, Nacho escribió:
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1
Gracias a todos Me voy a poner a ello, no se cuanto me costara pero es algo que resulta interesante, si hay dudas ya preguntare
Caray, pues si que eres rápido.
No sé si estará bien o mal pero te ha quedado un correo profesional... estás hecho todo un criptógrafo :-)
Saludos,
Bueno, todo es cuestión de ponerse, creo que le voy pillando el sentido a esto. El tema comenzó a intrigarme cuando empece a recibir correos con mi propio nombre en el remitente, incluso mi dirección o direcciones, la verdad es que alguna vez me he mandado un correo, pero solo para probar algo. El tema es que si son capaces de enviarme un correo con mi dirección de remite, también lo serán de hacerlo con el remite de un conocido o un amigo, y entonces vas y lo abres, por que confías en el remitente, y que pasa a continuación, pues si no es nada y estas en OS, nada de nada, o eso creo, que nunca se sabe, pero si estas en ruindows por un casual y es mensaje de tu hermano, hermana o similar, que contiene un adjunto y le haces click, para ver que te ha mandado el cap....o de tu hermano/a o similar y todo fotut. Digo yo, no se, que pensais :-/# Por cierto alguna idea para esos mensajes que vienen con tu propio remitente??? Gracias. /Nacho -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklGynYACgkQ5wnpTgDo3CqkfACdG2vBuqS9dShodTa2vZMuUeUC 1rUAn1XKTp3W75byqa8zdHW0imRI8np8 =/cVw -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
El 15/12/08, Nacho escribió:
El tema es que si son capaces de enviarme un correo con mi dirección de remite, también lo serán de hacerlo con el remite de un conocido o un amigo, y entonces vas y lo abres, por que confías en el remitente,
¿Y cómo sé que este correo al que respondo lo has enviado tú? ¿qué tengo que hacer para comprobar tu firma? :-?
Por cierto alguna idea para esos mensajes que vienen con tu propio remitente???
Con la definición del protocolo actual para el envío (smtp) no es posible evitarlo. Puedes enviar desde el remitente que quieras (al igual que puedes enviar por medio de Correos una carta con el remite que quieras), por eso son tan importantes las cabeceras de los e-mails, para saber el origen de ese mensaje o al menos los servidores por donde pasa. Firmar los correos está bien, pero tampoco es la panacea. Por ejemplo, alguien que tenga acceso a tu equipo puede utilizarlo para enviar un mensaje "aparentemente" legítimo (que viene de ti) cuando realmente tú no lo has enviado. Quiero decir, que en cuestiones de seguridad, hay muchos frentes abiertos y conviene estar alerta en todos ellos :-) Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-16 a las 13:23 +0100, Camaleón escribió:
El 15/12/08, Nacho escribió:
El tema es que si son capaces de enviarme un correo con mi dirección de remite, también lo serán de hacerlo con el remite de un conocido o un amigo, y entonces vas y lo abres, por que confías en el remitente,
¿Y cómo sé que este correo al que respondo lo has enviado tú? ¿qué tengo que hacer para comprobar tu firma? :-?
No leer el correo con el webmail de gmail, sino con un buen cliente de correo. Hasta el outlook puede hacerlo :-p Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Firmar los correos está bien, pero tampoco es la panacea.
Por ejemplo, alguien que tenga acceso a tu equipo puede utilizarlo para enviar un mensaje "aparentemente" legítimo (que viene de ti) cuando realmente tú no lo has enviado.
No, porque no sabrá la contraseña de la firma - que por cierto, debe ser una frase larga. Eso sí, hay un "caché" de contraseñas en el sistema, que recuerda la contraseña durante un tiempo ahorrandote el volver a escribirla. Para protegerla si te vas del puesto, debes bloquear la pantalla. Esa acción debiera indicar al cacheador que olvide la contraseña, pero ignoro si lo hace. Por cierto. El cacheador en gnome es "seahorse-agent", y en la versión 11.0 no se cuanto tiempo recuerda la contraseña: parece que horas, incluso dias. No se le olvida la contraseña al hibernar. Hum! Meteré un bugzilazo. [...] Ah, vale, lo tengo puesto para que lo recuerde "300" minutos. Claro, supuse sin leer que eran 300 segundos. A ver si funciona ahora. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklHrlwACgkQtTMYHG2NR9U2ZQCfV53DxjPzM8Co0aM7vA/dUpfh dc8An2X+0N/IcphJeaErU87Bf0V0nK1f =ET7R -----END PGP SIGNATURE-----
El 16/12/08, Carlos E. R. escribió:
No leer el correo con el webmail de gmail, sino con un buen cliente de correo. Hasta el outlook puede hacerlo :-p
¡Grrr! >:-) Bueno, el gmail permite guardar el mensaje completo, le pongo una extensión .msg y lo abro con kmail. A ver... *** El mensaje fue firmado con una clave desconocida 0x00E8DC2A. No se puede comprobar la validez de la firma. *** Huys :-)
Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Pos necesito vuestras claves para confirmar que sois vosotros >:-P
No, porque no sabrá la contraseña de la firma - que por cierto, debe ser una frase larga.
¿Tienes que meter la contraseña cada vez que quieres enviar un mensaje? :-O
Eso sí, hay un "caché" de contraseñas en el sistema, que recuerda la contraseña durante un tiempo ahorrandote el volver a escribirla. Para protegerla si te vas del puesto, debes bloquear la pantalla. Esa acción debiera indicar al cacheador que olvide la contraseña, pero ignoro si lo hace.
Ahh, eso ya tiene más lógica.
Por cierto.
El cacheador en gnome es "seahorse-agent", y en la versión 11.0 no se cuanto tiempo recuerda la contraseña: parece que horas, incluso dias. No se le olvida la contraseña al hibernar. Hum! Meteré un bugzilazo. [...] Ah, vale, lo tengo puesto para que lo recuerde "300" minutos. Claro, supuse sin leer que eran 300 segundos. A ver si funciona ahora.
¿Y la contraseña es siempre la misma? Hum... Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
El 16/12/08, Carlos E. R. escribió:
No leer el correo con el webmail de gmail, sino con un buen cliente de correo. Hasta el outlook puede hacerlo :-p
¡Grrr! >:-)
Bueno, el gmail permite guardar el mensaje completo, le pongo una extensión .msg y lo abro con kmail.
A ver...
*** El mensaje fue firmado con una clave desconocida 0x00E8DC2A. No se puede comprobar la validez de la firma. ***
Huys :-)
Pero pinchando en el icono de la llave (creo recordar que es ahí) te sale un menusito que entre otras cosas permite importar automáticamente las llaves desde un servidor de llaves - para lo cual el remitente tiene que haberla subido previamente, que es tan facil como en el manejador de llaves (kgpg o seahorse o thunderbird) decirle que la exporte. ¡Pero ojo! Una vez exportada no la puedes borrar jamás (la puedes revocar, no borrar).
Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Pos necesito vuestras claves para confirmar que sois vosotros >:-P
Las mias las puedes importar automáticamente. El problema es que no puedes saber si la llave es mía o yo me llamo así: sólo que mis correos están todos firmados por la misma persona. Eso es una ventaja de las firmas pkcs: que hay una entidad central que certifica la identidad, que ha comprobado la identidad. En el caso de la FNMT, en la firma figura tu DNI. En las firmas PGP el sistema es más complejo: la idea es que si alguna vez nos encontramos en persona, nos intercambiamos las llaves y entonces las firmamos mutuamente, y además, exportamos estas firmas. A partir de ese momento, tu puedes saber que mis correos vienen de mi de verdad. Luego, si yo hago lo mismo con Nacho, resulta que tú también puedes saber que los correos de Nacho vienen de él, no porque tengas autentificada su llave, sino porque tienes autentificada la mia y yo la de Nacho: propiedad transitiva. Así se forma una cadena de llaves autentificadas. Por ejemplo, al instalar opensuse, puedes importar ciertas llaves que vienen en el DVD, de algunos servicios de suse. Si aceptas como válidas esas firmas (si han venido en el dvd comprado son válidas), entonces automáticamente se validan las firmas de correo de una buena parte del personal de SuSE. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklHyoAACgkQtTMYHG2NR9WTSQCdExAiSexK5rDwYc2+Hr/MmgIr IBQAoJf+y0Tik//c3BAsz2os8Z90eB6a =Bc+r -----END PGP SIGNATURE-----
El 16/12/08, Carlos E. R. escribió:
Pero pinchando en el icono de la llave (creo recordar que es ahí) te sale un menusito que entre otras cosas permite importar automáticamente las llaves desde un servidor de llaves - para lo cual el remitente tiene que haberla subido previamente, que es tan facil como en el manejador de llaves (kgpg o seahorse o thunderbird) decirle que la exporte. ¡Pero ojo! Una vez exportada no la puedes borrar jamás (la puedes revocar, no borrar).
Caray, qué de pasos :-) Entonces ¿necesitaría saber la URL para poder importar las claves donde habéis subido vuestra firma o necesitaría que me las enviárais por correo, directamente? :-?
Las mias las puedes importar automáticamente. El problema es que no puedes saber si la llave es mía o yo me llamo así: sólo que mis correos están todos firmados por la misma persona.
Eso es una ventaja de las firmas pkcs: que hay una entidad central que certifica la identidad, que ha comprobado la identidad. En el caso de la FNMT, en la firma figura tu DNI.
En las firmas PGP el sistema es más complejo: la idea es que si alguna vez nos encontramos en persona, nos intercambiamos las llaves y entonces las firmamos mutuamente, y además, exportamos estas firmas. A partir de ese momento, tu puedes saber que mis correos vienen de mi de verdad. Luego, si yo hago lo mismo con Nacho, resulta que tú también puedes saber que los correos de Nacho vienen de él, no porque tengas autentificada su llave, sino porque tienes autentificada la mia y yo la de Nacho: propiedad transitiva. Así se forma una cadena de llaves autentificadas.
Me parece que este sistema de "cadena de confianzas" podría ser peligroso: si yo le paso a Nacho mi clave (contaminada o manipulada) él la distribuiría al resto mediante esa propiedad "conductiva" que dices :-? Lo que no entiendo del todo es cómo se transmite a un tercero esa confianza si ese tercero no tiene la clave. A ver: "A" transmite su clave a "B" "B" transmite su clave a "C" ¿"C" tiene la clave de "A" y de "B"? :-? Hum... ¿no sería más sencillo un sistema como el que usan los certificados ssl, es decir, centralizado en las CA? >:-?
Por ejemplo, al instalar opensuse, puedes importar ciertas llaves que vienen en el DVD, de algunos servicios de suse. Si aceptas como válidas esas firmas (si han venido en el dvd comprado son válidas), entonces automáticamente se validan las firmas de correo de una buena parte del personal de SuSE.
¿Quiere eso decir que una firma puede validar múltiples direcciones? ¿Y cómo comprobaría si, efectivamente, las firmas que vienen en el DVD son válidas? Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-16 a las 17:34 +0100, Camaleón escribió:
El 16/12/08, Carlos E. R. escribió:
Pero pinchando en el icono de la llave (creo recordar que es ahí) te sale un menusito que entre otras cosas permite importar automáticamente las llaves desde un servidor de llaves - para lo cual el remitente tiene que haberla subido previamente, que es tan facil como en el manejador de llaves (kgpg o seahorse o thunderbird) decirle que la exporte. ¡Pero ojo! Una vez exportada no la puedes borrar jamás (la puedes revocar, no borrar).
Caray, qué de pasos :-)
Entonces ¿necesitaría saber la URL para poder importar las claves donde habéis subido vuestra firma o necesitaría que me las enviárais por correo, directamente? :-?
No hace falta: los servidores de llaves están intercomunicados entre si. Yo lo subo a uno, termina apareciendo en todos. Y tu kde/gnome está preconfigurado para comunicarse con un pool.
Así se forma una cadena de llaves autentificadas.
Me parece que este sistema de "cadena de confianzas" podría ser peligroso: si yo le paso a Nacho mi clave (contaminada o manipulada) él la distribuiría al resto mediante esa propiedad "conductiva" que dices :-?
Tendría que ser a propósito. Es decir, tú dices que das fe de que nacho tiene esa llave, y te creemos. Si la llave que pasas no es de Nacho sino de Juan, la hemos liado, claro. Nacho podría revocar su propia llave, pero no la falsa, que es en realidad de Juan. La cadena de confianza, por cierto, tiene puntuación: yo puedo decir que no me fio nada de tu uso de las firmas, y eso también figurará en la cadena de confianza.
Lo que no entiendo del todo es cómo se transmite a un tercero esa confianza si ese tercero no tiene la clave. A ver:
"A" transmite su clave a "B" "B" transmite su clave a "C" ¿"C" tiene la clave de "A" y de "B"?
:-?
No, lo que transmite es que "A" tiene la llave "a". Es decir, doy fe de que Pepe tiene esta llave porque le conozco personalmente y lo he comprobado. Las claves de todos las tenemos todos. Lo que no tenemos es el grado de confiabilidad de las mismas. Por eso, si B y A se conocen personalmente, se firmam mutuamente sus llaves, con lo cual, si C conoce a B y también se firman sus llaves, y toda esa información se sube, automáticamente la cadena de confianza le permite a C tener confianza en la clave de A.
Hum... ¿no sería más sencillo un sistema como el que usan los certificados ssl, es decir, centralizado en las CA? >:-?
Eso son las llaves PKCS, y no todos los programas las soportan. Ahora bien, no hay nada que impida a una entidad ponerse a certificar (firmar) llaves PGP de la gente que se identifique con ellos. Basta con que tu compruebes y firmes la llave de la entidad para que automáticamente tengas valorada toda la lista de usuarios de la entidad. Se puede hacer dentro de una empresa, por ejemplo.
Por ejemplo, al instalar opensuse, puedes importar ciertas llaves que vienen en el DVD, de algunos servicios de suse. Si aceptas como válidas esas firmas (si han venido en el dvd comprado son válidas), entonces automáticamente se validan las firmas de correo de una buena parte del personal de SuSE.
¿Quiere eso decir que una firma puede validar múltiples direcciones? ¿Y cómo comprobaría si, efectivamente, las firmas que vienen en el DVD son válidas?
Porque has comprado el DVD y te ha venido por correo. Sólo serían falsas si alguien hubiera interceptado el envío y puesto un DVD falso dentro. Tú puedes firmar las claves pgp de uno o de mil usuarios que conozcas. Si yo confío en tu uso de las firmas, te valoro y firmo tu clave, entonces paso a tener en mi cadena de confianza todas las firmas que has hecho. Nota: se pueden firmar documentos, emilios, otras claves... la cadena de confianza funciona frimando las llaves de otros en los que confias. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklH/TkACgkQtTMYHG2NR9U26ACeOtvW5z/x7am2f+bzB+JOsh+w Q7cAniD2RfJXU78y6+uC4psUonzLgzj8 =zFH5 -----END PGP SIGNATURE-----
El 16/12/08, Carlos E. R. escribió:
No hace falta: los servidores de llaves están intercomunicados entre si. Yo lo subo a uno, termina apareciendo en todos. Y tu kde/gnome está preconfigurado para comunicarse con un pool.
Con kmail no lo he sabido configurar... pero desde el thunderbird sí. El correo de Nacho, me dice: *** Error - signature verification failed; click Pen icon for details Firma INCORRECTA de "Ignacio de Juan ** Y los caracteres con acentos se muestran mal, tanto en kmail como en thunderbird. En gmail se lee bien. En el tuyo, pone: *** UNTRUSTED Good signature from Carlos E. R. (cer) *** Lo de Nacho será porque no lo ha subido a los servidores y no se podrá validar, pero el "untrusted"¿qué significa? ¿que la firma es válida pero que yo no confío en ella? :-? Es decir, ¿que aún no he comprobado que tú eres tú y por eso no es "confiable" para mí...? Este sistema es demasiado "personal", lo encuentro un tanto extraño. Es decir, un certificado ssl se genera con los datos de la empresa (o del usuario), dirección, contacto, web, e-mail... ¿y cómo valida realmente quién es? Hum... lo que valida es el dominio, claro. Y en el caso de los certificados personales, valida las direcciones de correo que previamente se le han proporcionado a la autoridad certificadora (Verisign, etc...) y en la cual nosotros (los destinatarios) confiamos porque los certificados de Verisign están instalados en la mayoría de los sistemas. Si es así, entendido :-)
Tendría que ser a propósito. Es decir, tú dices que das fe de que nacho tiene esa llave, y te creemos. Si la llave que pasas no es de Nacho sino de Juan, la hemos liado, claro. Nacho podría revocar su propia llave, pero no la falsa, que es en realidad de Juan.
La cadena de confianza, por cierto, tiene puntuación: yo puedo decir que no me fio nada de tu uso de las firmas, y eso también figurará en la cadena de confianza.
¿Cómo se accede (y quién puede acceder) a esa "cadena de confianza"? ¿Debe haber mutuo acuerdo entre dos personas como mínimo para subir esos datos a los servidores públicos de claves?
No, lo que transmite es que "A" tiene la llave "a". Es decir, doy fe de que Pepe tiene esta llave porque le conozco personalmente y lo he comprobado.
Las claves de todos las tenemos todos. Lo que no tenemos es el grado de confiabilidad de las mismas. Por eso, si B y A se conocen personalmente, se firmam mutuamente sus llaves, con lo cual, si C conoce a B y también se firman sus llaves, y toda esa información se sube, automáticamente la cadena de confianza le permite a C tener confianza en la clave de A.
Es decir, que el sistema de confianza se basa en las personas... ugh X-P.
Eso son las llaves PKCS, y no todos los programas las soportan. Ahora bien, no hay nada que impida a una entidad ponerse a certificar (firmar) llaves PGP de la gente que se identifique con ellos. Basta con que tu compruebes y firmes la llave de la entidad para que automáticamente tengas valorada toda la lista de usuarios de la entidad.
Se puede hacer dentro de una empresa, por ejemplo.
O.k. pero se me antoja un sistema poco práctico para empresas que no se tengan conocimiento previo entre ellas o que se desconfíe por algún motivo. Creo que en este caso un certificado ssl (un certificado personal) sería lo más conveniente ya que actuaría de intermediario "neutral". Un ejemplo malvado: Empresa A y Empresa B no se conocen. Empresa A es estadounidense y Empresa B es Libia >:-) Empresa A y Empresa B desconfían mutuamente una de la otra pero necesitan certificar sus comunicaciones. Empresa A y Empresa B necesitan un intermediario neutral: una CA O:-)
Porque has comprado el DVD y te ha venido por correo. Sólo serían falsas si alguien hubiera interceptado el envío y puesto un DVD falso dentro.
Claro, yo eso no lo puedo saber. Igual el de correos que me entrega el paquete es realmente un espía infiltrado del MI5 ¬_¬
Tú puedes firmar las claves pgp de uno o de mil usuarios que conozcas. Si yo confío en tu uso de las firmas, te valoro y firmo tu clave, entonces paso a tener en mi cadena de confianza todas las firmas que has hecho.
Nota: se pueden firmar documentos, emilios, otras claves... la cadena de confianza funciona frimando las llaves de otros en los que confias.
Vale, vale... oído cocina. Pero un poquillo "compliao" sí es (o eso me parece, vaya...) <|:-) Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-16 a las 21:23 +0100, Camaleón escribió:
El 16/12/08, Carlos E. R. escribió:
No hace falta: los servidores de llaves están intercomunicados entre si. Yo lo subo a uno, termina apareciendo en todos. Y tu kde/gnome está preconfigurado para comunicarse con un pool.
Con kmail no lo he sabido configurar... pero desde el thunderbird sí.
El kmail debería tirar de kgpg del kde. Si estás en gnome no se si funciona.
El correo de Nacho, me dice:
*** Error - signature verification failed; click Pen icon for details Firma INCORRECTA de "Ignacio de Juan **
Eso significa mensaje alterado.
Y los caracteres con acentos se muestran mal, tanto en kmail como en thunderbird. En gmail se lee bien.
Entonces ese es el problema, ha habido una traducción de los acentos, y basta que cambie un solo bit para que la firma se invalide.
En el tuyo, pone:
*** UNTRUSTED Good signature from Carlos E. R. (cer) ***
Correcto.
Lo de Nacho será porque no lo ha subido a los servidores y no se podrá validar, pero el "untrusted"¿qué significa? ¿que la firma es válida pero que yo no confío en ella? :-? Es decir, ¿que aún no he comprobado que tú eres tú y por eso no es "confiable" para mí...?
Correcto. El software sabe que la firma es buena, pero no sabe si yo soy yo.
Este sistema es demasiado "personal", lo encuentro un tanto extraño.
Ya te lo dije, que suponía un cierto trabajo. A cambio de ser gratis y no controlado por ningún gobierno ni empresa, sino que es llevado por los usuarios del mismo, tienes ciertos inconvenientes.
Es decir, un certificado ssl se genera con los datos de la empresa (o del usuario), dirección, contacto, web, e-mail... ¿y cómo valida realmente quién es? Hum... lo que valida es el dominio, claro.
Y en el caso de los certificados personales, valida las direcciones de correo que previamente se le han proporcionado a la autoridad certificadora (Verisign, etc...) y en la cual nosotros (los destinatarios) confiamos porque los certificados de Verisign están instalados en la mayoría de los sistemas.
Si es así, entendido :-)
Así es como funcionan los certificados PKCS (en el Thunderbird tienes los dos tipos). Una autoridad certificadora te da un certificado, que lo puedes usar para firmar correos. Si el envías un correo firmado a cualquiera, el programa interroga al servidor de verisign o la fnmt o quien sea, te baja la parte publica de la llave, y certifica. Y, por ejemplo, en le caso de la fnmt, te miran el DNI antes de hacerte entrega del certificado: son ellos los que certifican ante todo el mundo que la firma corresponde a tí. A cambio tienes que pagarles. Siendo paranoicos, como el par de llaves se genera en sus servidores (creo), ellos podrían quedarse con tu llave secreta. Precisamente la fnmt me ha avisado que mi certificado tengo que renovarlo, me fijaré. Los PGP en cambio se generan en tu propio ordenador, tú lo controlas y no pagas a nadie. Y lo puedes usar para firmar un emilio, un documento word, o un paquete rpm.
¿Cómo se accede (y quién puede acceder) a esa "cadena de confianza"? ¿Debe haber mutuo acuerdo entre dos personas como mínimo para subir esos datos a los servidores públicos de claves?
La cadena de confianza es propia de tu ordenador, o mejor dicho, de tu usuario: lo que exportas a los servidores, es por un lado tu propia llave publica (no la privada), y por otro las firmas que has hecho de otras llaves de otra gente. A partir de ahí, los demás generarán su propia cadena de confianza con las llaves que hayan importado.
No, lo que transmite es que "A" tiene la llave "a". Es decir, doy fe de que Pepe tiene esta llave porque le conozco personalmente y lo he comprobado.
Las claves de todos las tenemos todos. Lo que no tenemos es el grado de confiabilidad de las mismas. Por eso, si B y A se conocen personalmente, se firmam mutuamente sus llaves, con lo cual, si C conoce a B y también se firman sus llaves, y toda esa información se sube, automáticamente la cadena de confianza le permite a C tener confianza en la clave de A.
Es decir, que el sistema de confianza se basa en las personas... ugh X-P.
Pues claro. Como en todo :-p
Eso son las llaves PKCS, y no todos los programas las soportan. Ahora bien, no hay nada que impida a una entidad ponerse a certificar (firmar) llaves PGP de la gente que se identifique con ellos. Basta con que tu compruebes y firmes la llave de la entidad para que automáticamente tengas valorada toda la lista de usuarios de la entidad.
Se puede hacer dentro de una empresa, por ejemplo.
O.k. pero se me antoja un sistema poco práctico para empresas que no se tengan conocimiento previo entre ellas o que se desconfíe por algún motivo. Creo que en este caso un certificado ssl (un certificado personal) sería lo más conveniente ya que actuaría de intermediario "neutral".
No digas certificados ssl, dí PKCS. Se parecen, pero son distintos. Y sí, en efecto, tienen sus ventajas, y esa es de las más importantes. http://en.wikipedia.org/wiki/PKCS La que se usa en correo electrónico es la #7. Sin embargo, el PGP es el sistema que usa SuSE con nosotros, y y también tiene sus ventajas (que tiene más soporte es una muy gorda).
Un ejemplo malvado:
Empresa A y Empresa B no se conocen. Empresa A es estadounidense y Empresa B es Libia >:-) Empresa A y Empresa B desconfían mutuamente una de la otra pero necesitan certificar sus comunicaciones. Empresa A y Empresa B necesitan un intermediario neutral: una CA
O:-)
Claro. Pero, también pueden entregar sus respectivas llaves al encargado de negocios de la embajada francesa, el cual las firma; y las empresas firman la del mismo encargado de negocios (en su país). Por otro lado, el encargado de negocios (dos, uno en Usa y otro en Libia) tiene su llave firmada por su embajador, que es su jefe. Y los respectivos embajadores tienen su llave firmada por el ministro de exteriores francés, y viceversa. Ya tienes una cadena de confianza realizada. Las empresas sólo tienen que importar la llave del director de la otra empresa, y listo. Bueno, no estoy seguro de si además tienen que importar las de los intermediarios. Otro ejemplo. Suponte que eres del servicio de inteligencia español, y no tienes un duro - para variar. Antes de salir de misión, intercambias llaves PGP con tu jefe, y no la subes a ningún servidor. Sólo tu jefe podrá leer tus correos, y ningún servidor tendrá copia de ninguna llave usada en el intercambio, ni publica ni privada. Y la llave puede ser tan fuerte que hasta los de la CÍA sudarían tinta para descifrar tus correos con fotos de los misiles.
Porque has comprado el DVD y te ha venido por correo. Sólo serían falsas si alguien hubiera interceptado el envío y puesto un DVD falso dentro.
Claro, yo eso no lo puedo saber. Igual el de correos que me entrega el paquete es realmente un espía infiltrado del MI5 ¬_¬
Podría. Aunque te darías cuenta cuando al bajar actualizaciones de los repositorios el rpm protestaría de que la firma no coincide, que los paquetes están alterados.
Tú puedes firmar las claves pgp de uno o de mil usuarios que conozcas. Si yo confío en tu uso de las firmas, te valoro y firmo tu clave, entonces paso a tener en mi cadena de confianza todas las firmas que has hecho.
Nota: se pueden firmar documentos, emilios, otras claves... la cadena de confianza funciona frimando las llaves de otros en los que confias.
Vale, vale... oído cocina.
Pero un poquillo "compliao" sí es (o eso me parece, vaya...) <|:-)
Si, es complicaillo. Esto de la criptografía tiene sus cosas. Por cierto, que sé de empresas que rutinariamente firman todos sus correos, pero con PKCS. - -- Saludos Carlos E.R. Esta es la coletilla que inserto en mis correos firmados con PKCS7: Este correo puede estar firmado digitalmente (si su programa cliente de correo lo soporta se lo mostrará con un iconito), con certificado PKCS7 emitido por la FNMT, que garantiza la autenticidad y la no manipulación del correo electrónico en tránsito. Asimismo, es posible garantizar el secreto de las comunicaciones por email cuando el destinatario también posee un certificado similar; para ello basta con enviarme un correo firmado digitalmente por el mismo procedimiento. Que como puedes observar es para incordiar a las empresas que ponen una coletilla, que dice justo lo contrario >:-) -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklIRXkACgkQtTMYHG2NR9WfkgCfdXmHVGKJKeI/IhI3XBtr0OaS MJ0An0Jh6N8EQQV4EIZmFayXGBQ2yg5U =JWzG -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Camaleón escribió:
El 16/12/08, Carlos E. R. escribió:
No leer el correo con el webmail de gmail, sino con un buen cliente de correo. Hasta el outlook puede hacerlo :-p
¡Grrr! >:-)
Bueno, el gmail permite guardar el mensaje completo, le pongo una extensión .msg y lo abro con kmail.
A ver...
*** El mensaje fue firmado con una clave desconocida 0x00E8DC2A. No se puede comprobar la validez de la firma. ***
Huys :-)
Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Pos necesito vuestras claves para confirmar que sois vosotros >:-P
Existe un servidor de claves desde el que te la puedes bajar, la mia esta hay, dile al programa de correo que lo compruebe, en el thunderbird hay que darle al icono del boligrafo y te pregunta si lo quieres hacer
No, porque no sabrá la contraseña de la firma - que por cierto, debe ser una frase larga.
¿Tienes que meter la contraseña cada vez que quieres enviar un mensaje? :-O
Eso sí, hay un "caché" de contraseñas en el sistema, que recuerda la contraseña durante un tiempo ahorrandote el volver a escribirla. Para protegerla si te vas del puesto, debes bloquear la pantalla. Esa acción debiera indicar al cacheador que olvide la contraseña, pero ignoro si lo hace.
Ahh, eso ya tiene más lógica.
Por cierto.
El cacheador en gnome es "seahorse-agent", y en la versión 11.0 no se cuanto tiempo recuerda la contraseña: parece que horas, incluso dias. No se le olvida la contraseña al hibernar. Hum! Meteré un bugzilazo. [...] Ah, vale, lo tengo puesto para que lo recuerde "300" minutos. Claro, supuse sin leer que eran 300 segundos. A ver si funciona ahora.
¿Y la contraseña es siempre la misma? Hum...
no, la puedes cambiar.
Saludos,
-----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklIIdkACgkQ5wnpTgDo3CqNmwCghQeFL4TRdzr8WaLgr89jMMrW mSEAnRZ8F4WhOz80zuz1/HyejY86XWZl =VhQo -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Carlos E. R. escribió:
El 2008-12-16 a las 13:23 +0100, Camaleón escribió:
El 15/12/08, Nacho escribió:
El tema es que si son capaces de enviarme un correo con mi dirección de remite, también lo serán de hacerlo con el remite de un conocido o un amigo, y entonces vas y lo abres, por que confías en el remitente,
¿Y cómo sé que este correo al que respondo lo has enviado tú? ¿qué tengo que hacer para comprobar tu firma? :-?
No leer el correo con el webmail de gmail, sino con un buen cliente de correo. Hasta el outlook puede hacerlo :-p
Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Esto es lo que no entiendo muy bien todavia, ademas segun tengo entendido hay que mandar (ó dicen que es aconsejable) mandar tu clave péblica, o exportarla a un servidor de claves, yo asi lo he hecho, pero en cambio no he visto la tuya o no la he encontrado
Firmar los correos está bien, pero tampoco es la panacea.
Por ejemplo, alguien que tenga acceso a tu equipo puede utilizarlo para enviar un mensaje "aparentemente" legítimo (que viene de ti) cuando realmente tú no lo has enviado.
No, porque no sabrá la contraseña de la firma - que por cierto, debe ser una frase larga.
Cuanto mas larga mejor, mejor aun si se mezcla alguna mayúscula por la frase y algun número.
Eso sí, hay un "caché" de contraseñas en el sistema, que recuerda la contraseña durante un tiempo ahorrandote el volver a escribirla. Para protegerla si te vas del puesto, debes bloquear la pantalla. Esa acción debiera indicar al cacheador que olvide la contraseña, pero ignoro si lo hace.
Por cierto.
El cacheador en gnome es "seahorse-agent", y en la versión 11.0 no se cuanto tiempo recuerda la contraseña: parece que horas, incluso dias. No se le olvida la contraseña al hibernar. Hum! Meteré un bugzilazo. [...] Ah, vale, lo tengo puesto para que lo recuerde "300" minutos. Claro, supuse sin leer que eran 300 segundos. A ver si funciona ahora.
-- Saludos Carlos E.R.
-----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklIIpAACgkQ5wnpTgDo3CowYQCdGFpky0BJqyH+iueuGAeqMLDD Pk4An0zn0szlYm6SqtOUxb1+6V2qIIKH =wDWK -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
Eso si, valorar que la firma criptográfica es de quien dice ser, necesita cierto trabajo.
Esto es lo que no entiendo muy bien todavia, ademas segun tengo entendido hay que mandar (ó dicen que es aconsejable) mandar tu clave péblica, o exportarla a un servidor de claves,
Correcto.
yo asi lo he hecho, pero
Sí, la veo.
en cambio no he visto la tuya o no la he encontrado
Pues está, está. Se puede importar automáticamente por el programa de correo, o manualmente. Por ejemplo, la tuya: cer@nimrodel:~> gpg --recv-keys 00E8DC2A gpg: requesting key 00E8DC2A from hkp server wwwkeys.eu.pgp.net gpg: key 00E8DC2A: public key "... <@>" imported gpg: Total number processed: 1 gpg: imported: 1 - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklIOJ4ACgkQtTMYHG2NR9XpYQCeJ7xzR3E8lM7TIW6nxt/ZeNNx 0dEAoJh3aoV3pA8jartP/ipgafBidGT/ =gXtM -----END PGP SIGNATURE-----
El Miércoles, 17 de Diciembre de 2008 00:24, Carlos E. R. escribió:
Pues está, está. Se puede importar automáticamente por el programa de correo, o manualmente. Por ejemplo, la tuya:
cer@nimrodel:~> gpg --recv-keys 00E8DC2A gpg: requesting key 00E8DC2A from hkp server wwwkeys.eu.pgp.net gpg: key 00E8DC2A: public key "... <@>" imported gpg: Total number processed: 1 gpg: imported: 1
Puñetassss, pos el kmail no la importa otomaticamente, lo tengo que hacer a mano. Si tengo activada la casilla de importar claves automatico y puesto la url del servidor pero ni asi. Por cierto que es el chiasmus? De todas formas no se fia de vosotros :) -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-17 a las 09:53 +0100, francisco f escribió:
El Miércoles, 17 de Diciembre de 2008 00:24, Carlos E. R. escribió:
Pues está, está. Se puede importar automáticamente por el programa de correo, o manualmente. Por ejemplo, la tuya:
cer@nimrodel:~> gpg --recv-keys 00E8DC2A gpg: requesting key 00E8DC2A from hkp server wwwkeys.eu.pgp.net gpg: key 00E8DC2A: public key "... <@>" imported gpg: Total number processed: 1 gpg: imported: 1
Puñetassss, pos el kmail no la importa otomaticamente, lo tengo que hacer a mano.
¿Quieres decir por comando? Que raro.
Si tengo activada la casilla de importar claves automatico y puesto la url del servidor pero ni asi. Por cierto que es el chiasmus?
¿chiasmus? Ni idea, ¿donde lo has visto?
De todas formas no se fia de vosotros :)
No, claro, es lo que llevo diciendo de la cadena de confianza. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklI6oUACgkQtTMYHG2NR9WFwACeOCrfsoKlwKSgdUrZsh7Gju7x VYwAn0jKfceyGnP+RP13FgJiAax+K+yt =B6O0 -----END PGP SIGNATURE-----
El Miércoles, 17 de Diciembre de 2008 13:03, Carlos E. R. escribió:
Puñetassss, pos el kmail no la importa otomaticamente, lo tengo que hacer a mano.
¿Quieres decir por comando? Que raro.
Si tengo activada la casilla de importar claves automatico y puesto la url del servidor pero ni asi. Por cierto que es el chiasmus?
¿chiasmus? Ni idea, ¿donde lo has visto?
en la configuracion pgp de kmail -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
El Miércoles, 17 de Diciembre de 2008 13:03, Carlos E. R. escribió:
¿chiasmus? Ni idea, ¿donde lo has visto?
en la configuracion pgp de kmail
Pues no se lo que es. http://en.wiktionary.org/wiki/chiasmus An inversion of the relationship between the elements of phrases, e.g. To stop too fearful, and too faint to go -- Goldsmith. Used especially in classical languages, e.g. haec queritur, stupet haec (this woman complains, this one gapes) -- Ovid, Ars Amatoria, 1.124 http://en.wikipedia.org/wiki/Chiasmus In rhetoric, chiasmus is the figure of speech in which two or more clauses are related to each other through a reversal of structures in order to make a larger point; that is, the clauses display inverted parallelism. Chiasmus was particularly popular in Latin literature, where it was used to articulate balance or order within a text. The Greek and Hebrew texts of the Bible also contain many long and complex chiasmi. Pues que raro, raro. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklI7nAACgkQtTMYHG2NR9XPOACfTmyChLUXxHqCGg4vy7AIMwrO hRIAnRlb+wYsifsN3GeahO/QvlCQZWro =120N -----END PGP SIGNATURE-----
2008/12/17, Carlos E. R.:
Pues no se lo que es.
X-) Creo no va por ahí el asunto... aparece como un motor de cifrado para kmail, junto con gpgme, pero dice que no está disponible. http://www.bsi.de/produkte/chiasmus/indexeng.htm Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-17 a las 13:54 +0100, Camaleón escribió:
2008/12/17, Carlos E. R.:
Pues no se lo que es.
X-)
Creo no va por ahí el asunto... aparece como un motor de cifrado para kmail, junto con gpgme, pero dice que no está disponible.
¡Ah! Pero ahí dice que es para windows. :-? Y además que no es integrable con ningún otro programa, que tienes que darle a mano el fichero a comprobar. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklJAAcACgkQtTMYHG2NR9XJ5ACfVHXSFuQ+8VEEW4KS3wVSCbXb D1sAoJgyM+lpHFZ0Bk0IYTvNFb6Zmgr0 =qnGy -----END PGP SIGNATURE-----
El 17/12/08, Carlos E. R. escribió:
¡Ah! Pero ahí dice que es para windows. :-? Y además que no es integrable con ningún otro programa, que tienes que darle a mano el fichero a comprobar.
Ni idea... *** http://en.wikipedia.org/wiki/Kmail Cryptographic support (...) KMail also supports S/MIME messages as well as Chiasmus [2], a proprietary cryptographic system created by the German Federal Office for Information Security (BSI). *** Quizá, en algún momento, estuvo (¿está?) disponible para linux y lo integraron en kmail :-? Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-17 a las 15:24 +0100, Camaleón escribió:
El 17/12/08, Carlos E. R. escribió:
¡Ah! Pero ahí dice que es para windows. :-? Y además que no es integrable con ningún otro programa, que tienes que darle a mano el fichero a comprobar.
Ni idea...
*** http://en.wikipedia.org/wiki/Kmail
Cryptographic support
(...) KMail also supports S/MIME messages as well as Chiasmus [2], a proprietary cryptographic system created by the German Federal Office for Information Security (BSI). ***
Quizá, en algún momento, estuvo (¿está?) disponible para linux y lo integraron en kmail :-?
Buscando con webpin aparecen fichros con chiasmus en el nombre; en kdepim. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklJEfsACgkQtTMYHG2NR9Vz8wCfWu0wMW5Lfd4woOfFhfHzJDJq 7cgAoIlPylI1DWy2QhpJD98kKd6cVQbt =q6SU -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
Bueno, todo es cuestión de ponerse, creo que le voy pillando el sentido a esto. El tema comenzó a intrigarme cuando empece a recibir correos con mi propio nombre en el remitente, incluso mi dirección o direcciones, la verdad es que alguna vez me he mandado un correo, pero solo para probar algo. El tema es que si son capaces de enviarme un correo con mi dirección de remite, también lo serán de hacerlo con el remite de un conocido o un amigo, y entonces vas y lo abres, por que confías en el remitente, y que pasa a continuación, pues si no es nada y estas en OS, nada de nada, o eso creo, que nunca se sabe, pero si estas en ruindows por un casual y es mensaje de tu hermano, hermana o similar, que contiene un adjunto y le haces click, para ver que te ha mandado el cap....o de tu hermano/a o similar y todo fotut. Digo yo, no se, que pensais :-/#
Por cierto alguna idea para esos mensajes que vienen con tu propio remitente???
No se puede hacer nada para evitarlos. Lo que si puedes es mirar las cabeceras internas para tratar de deducir si es legítimo o no. Por ejemplo, si el remitente está en España y ves que ha pasado por una IP de Rusia, pues es sospechoso. Pero hay que hacerlo con cuidado, porque se pueden falsear cabeceras: hay que ir de la más reciente a la más antigua, y puedes suponer que las cabeceras (received) de tu servidor y la de tu proveedor son ciertas. Más atrás... depende. Hay algunos protocolos para autentificar correos. Gmail usa DKIM y DomainKey-Signature (puedes mirar en la wikipedia lo que son y que certifican). Ya.com o telefónica, ninguno. Y puedes usar firmas criptográficas, como pgp o pkcs. ¿Y en windows? Un buen antivirus. Nada de ejecutar anexos vengan de quien vengan. Abrir ficheros de datos, si. Felicitaciones de navidad animadas, ¡unas narices! Y hazselo saber a los remitentes que no las admites por seguridad. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklHql4ACgkQtTMYHG2NR9UvSQCfesidjGH+Zcb5b5VJonw52tVt sUgAmwSWge6gr+tO+zs97Dx2mkjAd3as =2dIV -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Cuando compruebo tu firma a mi me sale esto gpg command line and output:,/usr/bin/gpg --charset utf8 --batch - --no-tty --status-fd 2 -d,gpg: Error en suma de comprobación: D9D215 - DC3D9D por lo que pensaba que tu no la habías subido a un servidor de claves pero por lo que veo o leo no es asi, en algun sitio he leido algo de la longitud de las lineas de los mensajes, quizas tenga que ver con eso pero ahora no lo recuerdo, y tampoco estoy seguro. Saludos /Nacho -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklIJXMACgkQ5wnpTgDo3CobfwCgoIZF+eDDU6xs3tjVoOPHuZul /h8An3NUheDnMQxQC8X1KPe9oCeUaJzb =M20q -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
Cuando compruebo tu firma a mi me sale esto
gpg command line and output:,/usr/bin/gpg --charset utf8 --batch --no-tty --status-fd 2 -d,gpg: Error en suma de comprobación: D9D215 - DC3D9D
por lo que pensaba que tu no la habías subido a un servidor de claves
pero por lo que veo o leo no es asi, en algun sitio he leido algo de la longitud de las lineas de los mensajes, quizas tenga que ver con eso pero ahora no lo recuerdo, y tampoco estoy seguro.
Significa correo alterado, pero porque el programa falla. Acabo de arrancar el thunderbird, para mirar ese mismo correo, y mi thunderbird da correcto, tanto con la mia como con la tuya. Ahora tenvio uno con el thunderbird. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklIRqYACgkQtTMYHG2NR9UGMgCfYCxdxjbePlDYeD3ZdE3Y+wl4 oeAAoIRYMMeH8CD+dK5wx+uLIy+aWp8l =6xYk -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Nacho wrote:
Cuando compruebo tu firma a mi me sale esto Y este correo está enviado y firmado con el Thunderbird.
- -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklIRywACgkQtTMYHG2NR9XfXQCfXZ8y5lUyQw2qxoc2DkAy0vON hMMAn3y6NMo/UCmHF4+QO9snsepUqdIY =2XJf -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Carlos. E. R. escribió:
Nacho wrote:
Cuando compruebo tu firma a mi me sale esto Y este correo está enviado y firmado con el Thunderbird.
Este me ha llegado correcta la verificación, no entiendo, no deberia depender del programa que uno usa... si es asi esto tiene agujeros... no... Saludos /Nacho -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklIs18ACgkQ5wnpTgDo3Cq2pQCdHkKC2GC3PzSjOrwR6cwX7X31 ElkAnA/korRS3JYrosziVQV6aXaVVVXV =fBaX -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Content-ID:
Carlos. E. R. escribió:
Nacho wrote:
Cuando compruebo tu firma a mi me sale esto Y este correo está enviado y firmado con el Thunderbird.
Este me ha llegado correcta la verificación, no entiendo, no deberia depender del programa que uno usa...
si es asi esto tiene agujeros... no...
Desgraciadamente es así, tiene agujeros. El correo tiene codificación variable por el tema de que los usanianos diseñaron el texto con 7 bits con su alfabeto, y sólo después se coscaron de que hay más idiomas y que se usan otras letras... aún ampliando a 8 bits no caben todas las necesarias. Por tanto, hay distintos juegos de caracteres de 8 bits según el idioma. Las letras hasta la 127 siempre son las mismas, por encima cambian. Encima, en el correo puedes usar mime para esos caracteres, o ahora puedes usar UTF8. Mi correo con el Alpine debiera salir todo con UTF8, y por lo visto cuando se encripta trae dificultades con el Thunderbird, me sospecho que porque entienden distinto los protocolos. En el momento en que uno de los programas entienda que cierta combinación de letras hay que interpretarla de forma distinta, ya la hemos liado. Creo que es eso. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklI6g8ACgkQtTMYHG2NR9U71wCeKjmVea4naO7Y4RdS4ETZnoVD gHYAn3M+2AXx4Invc8bR88NO/fFogu8f =sC3m -----END PGP SIGNATURE-----
Encima, en el correo puedes usar mime para esos caracteres, o ahora puedes usar UTF8. Mi correo con el Alpine debiera salir todo con UTF8, y por lo visto cuando se encripta trae dificultades con el Thunderbird, me sospecho que porque entienden distinto los protocolos. En el momento en que uno de los programas entienda que cierta combinación de letras hay que interpretarla de forma distinta, ya la hemos liado.
Creo que es eso.
También podría deberse al hecho de que la lista añade las opciones de subscripción al final de cada mensaje. En pura teoría eso significa que el mensaje original ha sido alterado después del envío, sobre todo si al hacerse la comprobación el lector se salta el "-----END PGP SIGNATURE-----"
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2008-12-17 a las 14:09 +0100, J.M.Queralt escribió:
Encima, en el correo puedes usar mime para esos caracteres, o ahora puedes usar UTF8. Mi correo con el Alpine debiera salir todo con UTF8, y por lo visto cuando se encripta trae dificultades con el Thunderbird, me sospecho que porque entienden distinto los protocolos. En el momento en que uno de los programas entienda que cierta combinación de letras hay que interpretarla de forma distinta, ya la hemos liado.
Creo que es eso.
También podría deberse al hecho de que la lista añade las opciones de subscripción al final de cada mensaje. En pura teoría eso significa que el mensaje original ha sido alterado después del envío, sobre todo si al hacerse la comprobación el lector se salta el "-----END PGP SIGNATURE-----"
No debiera afectar, eso sería un bug como una casa. Lo que se valida es lo contenido entre el begin y el end. - -- Saludos Carlos E.R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAklI/ycACgkQtTMYHG2NR9W/mACfQnGXOwAZ2ildZuFDgNryJPFN nBQAn3s5l5i14BatuwxhW984S2ghjfLz =xyne -----END PGP SIGNATURE-----
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Por si a alguien le interesa ademas he encontrado http://www.cripto.es/cursopgp.htm En castellano. Gracias. /Nacho -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) Comment: Using GnuPG with SUSE - http://enigmail.mozdev.org iEYEARECAAYFAklFf0sACgkQ5wnpTgDo3CqXSQCeLP+fug+9KC7zW6LqVOhnjtvP 5k8An1v2i/3BCRZFHi6eR/eNznSUzaqn =gW41 -----END PGP SIGNATURE----- -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org
participants (8)
-
Camaleón -
Carlos E. R. -
Carlos. E. R.
-
francisco f -
J.M.Queralt -
Juan Erbes -
Nacho -
Shinji Ikari