On Mon, Aug 24, 2020 at 01:14:16PM +0200, Giovanni Biscuolo wrote:
Non sono d'accordo nel considerare i server di ricerca e distribuzione delle chiavi infrastruttura cardine, però è certo un servizio molto importante.
Fair enough.
Da quello che ho letto in giro mi sento di dire che la miglior analisi (e sunto) di quello che è successo con gli attacchi di "poisoning" dei certificati OpenPGP è quella di Robert J. Hansen https://gist.github.com/rjhansen/67ab921ffb4084c865b3618d6955275f
Non voglio sminuire la portata di questo problema, tuttavia voglio sottolineare che si tratta di problemi tecnici (non architetturali) *seri* dovuti sostanzialmente al fatto che il software SKS è abandonware da tempo [1].
Non capisco perché tu dica questo. Certo, SKS è software non mantenuto che era diventato (suo malgrado) infrastruttura importante del WoT. E certamente più funding (e scelte di implementazione diverse) avrebbe aiutato. Ma l'origine del problema qui non è in SKS, ma nel protocollo OpenPGP. La situazione contestuale di SKS ha impedito di applicare a quella rete un workaround. Che è stato invece implementato su *un* (altro) keyserver, che è diventato un nuovo single point of failure della distribuzione delle chiavi GPG. Questo per me è un altro sintomo del fallimento del sogno di avere una PKI completamente decentralizzata. Ma capisco il tuo punto più sotto che:
Ma intendi creazione delle coppie o distribuzione?
Se intendi creazione, non è certo quello che succede con il sistema semi-centralizzato di distribuzione delle chiavi pubbliche dei propri membri che effettua Debian, ma probabilmente non ho capito io quello che intendi dire.
Giusto. Nel messaggio precedente non avevo fatto questa distinzione, ma pensavo principalmente alla distribuzione delle chiavi. Concordo che la *creazione* distribuita delle chiavi abbia vantaggi importanti su quella centralizzata. Ma porta anche problemi di trust nelle diverse versioni del software che crea le chiavi (immagina una riedizione del famoso bug di OpenSSL in Debian applicato a GPG). Le puoi mitigare con approcci a-la reproducible-builds, ma aumenti molto la complessità diciamo "sociale" di adottare la tecnologia. Con la creazione centralizzata statale aggiungi un altro single point of failure (male!), ma potresti ottenere in cambio più scrutiny, investimenti, migliore manutenzione del software, etc. Se stiamo parlando di identità digitali poi opponibili dai cittadino allo stato e vice-versa è un trade-off che non mi sembrerebbe campato in aria. (Ovviamente sto pensando qui ad uno Stato competente in tecnologie digitali...) Ciao -- Stefano Zacchiroli . zack@upsilon.cc . upsilon.cc/zack . . o . . . o . o Computer Science Professor . CTO Software Heritage . . . . . o . . . o o Former Debian Project Leader & OSI Board Director . . . o o o . . . o . « the first rule of tautology club is the first rule of tautology club »