Web of trust: differenze tra le versioni

Versione delle 11:53, 28 mag 2013

Versione attuale delle 11:49, 23 ago 2024

(11 versioni intermedie di 5 utenti non mostrate)

Riga 1:

{{nota disambigua|l'azienda finlandese che fornisce il servizio myWoT|[[WOT Services, Ltd.]]}}

Nell'ambito della [[crittografia]], una '''web of trust''' (''rete di fiducia'') è un concetto utilizzato da [[Pretty Good Privacy|PGP]], [[GNU Privacy Guard|GnuPG]], e altri sistemi compatibili con [[OpenPGP]] per stabilire l'autenticità dell'associazione [[chiave pubblica]]-utente. Sotto alcuni aspetti è un'alternativa all'affidarsi esclusivamente ad una [[certificate authority]] (o a una gerarchia di esse) tipico dei sistemi [[Public key infrastructure|PKI]] centralizzati. Così come ci sono moltissime [[Rete di computer|reti di computer]], ci sono molte reti di fiducia indipendenti, e ogni utente (attraverso il suo [[certificato d'identità]]) può essere parte e fungere da collegamento tra molte di esse.

Questo sistema di certificazione si poggia sul concetto dei [[sei gradi di separazione]] e sulla [[teoria del mondo piccolo]].

Riga 12:

== Differenze con una tipica PKI ==

Al contrario, in un tipico sistema PKI [[X.509]] ogni certificato può essere firmato solo una volta da una [[certificate authority]] (CA). Il certificato della CA può essere esso stesso firmato da un'altra CA, e così via fino ad un certificato 'auto-firmato', chiamato [[root certificate]]. I root certificates devono essere accessibili da chi usa un certificato CA di livello più basso, quindi vengono solitamente ampiamente distribuiti. Per esempio, sono inclusi in programmi come [[browser|web browser]] e di [[posta elettronica]]. In questo modo pagine web, email, etc., protette attraverso [[Transport Layer Security|SSL/TLS]] possono essere autenticate senza richiedere all'utente l'installazione manuale dei root certificates. Solitamente vengono inclusi più di cento certificati di dozzine di PKI, conferendo la fiducia ad un certificato attraverso la gerarchia a cui si riferisce. Molti di questi certificati vennero creati da società fallite in seguito, come il caso del collasso di [[Dot-com]]. A meno che queste PKI siano ancora gestite -nonostante tutto- quasi sicuramente quei root certificates non sono più affidabili.

== Problematiche di una rete di fiducia ==

Riga 19:

La versione 3 di X.509 è abbastanza flessibile da permettere una rete di fiducia dello stile di OpenPGP. Questa viene però solitamente usata per creare un intreccio di collegamenti tra CA di alto livello piuttosto che tra singoli utenti.

Una difficoltà di tipo sociale (non tecnica) di una rete di fiducia come quella inclusa nei sistemi PGP/OpenPGP è che in ogni rete di fiducia senza un controllore centrale ([[Exempliper gratia|e.g.]]esempio, una [[Certificate authority|CA]]), la convalida di un certificato si basa su glisugli altri utenti della rete. I certificati dei nuovi utenti non saranno immediatamente fidati dagli altri utenti, in particolare da coloro che non hanno ancora incontrato personalmente, finché essi non trovano abbastanza firmatari per il loro certificato. Questo a causa della configurazione di molti utenti, che richiedono la firma di uno o più utenti totalmente fidati (o da molteplici utenti parzialmente fidati) per utilizzare (preparare messaggi usando la chiave pubblica, credere alla firma, etc.) un certificato sconosciuto.

Nonostante l'ampia diffusione dei sistemi OpenPGP e l'ampia disponibilità di [[key server]]s, è possibile in pratica non riuscire a trovare una o più persone disposte a firmare un nuovo certificato (e.g., comparando un documento di identificazione con le informazioni contenute nel certificato). Gli utenti che vivono in aree remote o sottosviluppate, per esempio, potrebbero avere difficoltà a raggiungere altri utenti. E se anche il certificato dell'altro utente è nuovo (con nessuna o poche firme), allora la sua firma può fornire solo un piccolo beneficio. I [[Key signing party|Key signing parties]] sono un meccanismo abbastanza popolare per risolvere il problema.

Riga 28:

== Collegamenti esterni ==

*[http{{cita web|https://www.gnupg.org/documentation/faqs.it.html#q7.3 |FAQ di GnuPG sulla rete di fiducia]}}

*[{{cita web | 1 = http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | 2 = Breve spiegazione di una rete di fiducia PGP.] | accesso = 10 luglio 2005 | urlarchivio = https://web.archive.org/web/20060901104734/http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | dataarchivio = 1º settembre 2006 | urlmorto = sì }}

=== In Inglese ===

*[{{cita web|http://www.rubin.ch/pgp/weboftrust.en.html |Una spiegazione della rete di fiducia PGP]}}

*[http://bcn.boulder.co.us/~neal/pgpstat/ Statistiche della rete di fiducia PGP] - analisi di Neal McBurnett del 1996

*[https://web.archive.org/web/20050403213730/http://dtype.org/keyanalyze/ Analisi di un grande anello OpenPGP] - analisi di Drew Streib del 2001-2002

*[{{cita web|http://www.lysator.liu.se/~jc/wotsap/index.html |Wotsap - Web of trust statistics and pathfinder]}}

*[{{cita web |1=http://www.parisc-linux.org/~willy/wot/footsie/ |2=The Footsie Web of Trust analysis] |accesso=26 marzo 2005 |urlarchivio=https://web.archive.org/web/20081121154955/http://www.parisc-linux.org/~willy/wot/footsie/# |dataarchivio=21 novembre 2008 |urlmorto=sì }}

*[https://web.archive.org/web/20050305095335/http://www.cs.uu.nl/people/henkp/henkp/pgp/ PGP tools, pathfinder, references] di Henk P. Penning

*[httphttps://sourceforge.net/projects/trust-forum/ Trust-forum]: il progetto di un sistema di comunicazione via web che includa una rete di fiducia tra servers basata sulle dichiarazioni di fiducia tra utenti.

*[https://web.archive.org/web/20050309220251/http://moloko.itc.it/trustmetricswiki/moin.cgi/FrontPage Trust Metrics Evaluation Project] wiki.

{{Portale|crittografia|Sicurezza informatica}}