Web of trust: differenze tra le versioni

Versione delle 01:08, 27 mar 2005

Versione attuale delle 11:49, 23 ago 2024

(46 versioni intermedie di 31 utenti non mostrate)

Riga 1:

{{nota disambigua|l'azienda finlandese che fornisce il servizio myWoT|WOT Services, Ltd.}}

{{Traduci_Inglese}}

Nell'ambito della [[crittografia]], una '''web of trust''' (''rete di fiducia'') è un concetto utilizzato da [[Pretty Good Privacy|PGP]], [[GNU Privacy Guard|GnuPG]], e altri sistemi compatibili con [[OpenPGP]] per stabilire l'autenticità dell'associazione [[chiave pubblica]]-utente. Sotto alcuni aspetti è un'alternativa all'affidarsi esclusivamente ad una [[certificate authority]] (o a una gerarchia di esse) tipico dei sistemi [[Public key infrastructure|PKI]] centralizzati. Così come ci sono moltissime [[Rete di computer|reti di computer]], ci sono molte reti di fiducia indipendenti, e ogni utente (attraverso il suo [[certificato d'identità]]) può essere parte e fungere da collegamento tra molte di esse.

Questo sistema di certificazione si poggia sul concetto dei [[sei gradi di separazione]] e sulla [[teoria del mondo piccolo]].

Nell'ambito della [[crittografia]], una '''web of trust''' (''rete di fiducia'') è un concetto utilizzato da [[Pretty Good Privacy|PGP]], [[GNU Privacy Guard|GnuPG]], e altri sistemi compatibili con [[OpenPGP]] per stabilire l'autenticità dell'associazione chiave pubblica-utente. Sotto alcuni aspetti è un'alternativa all'affidarsi esclusivamente ad una [[certificate authority]] (o a una gerarchia di esse) tipico dei sistemi [[PKI]] centralizzati. Così come ci sono moltissime reti di computer, ci sono molte reti di fiducia indipendenti, e ogni utente (attraverso il suo [[certificato d'identità]]) può essere parte e fungere da collegamento tra molte di esse.

== OperationFunzionamento ofdi auna webrete ofdi trustfiducia ==

Tutte le implementazioni compatibili con OpenPGP includono uno schema di gestione dei certificati per semplificarne l'uso, definito ''rete di fiducia''. Un [[certificato di identità]] di OpenPGP (che include la [[chiave pubblica]] e le informazioni sul suo proprietario) può essere firmata elettronicamente da altri utenti, che, in questo modo, attestano l'effettiva associazione di quella chiave pubblica a quel determinato utente. Questo viene comunemente fatto in riunioni (fisiche) definite [[key signing party]].

All OpenPGP-compliant implementations include a certificate vetting scheme to assist with this; its operation has been termed a web of trust. OpenPGP [[identity certificate]]s (which include public key(s) and owner information) can be digitally signed by other users who, by that act, endorse the association of that public key with the person / entity listed in the certificate. This is commonly done at [[keysigning party|keysigning parties]].

Inoltre tutte queste implementazioni includono un sistema di voto che può essere usato per determinare di quali associazioni chiave pubblica - proprietario un utente si può fidare senza dover per questo incontrare fisicamente la persona. Per esempio, se tre conoscenti parzialmente fidati hanno firmato un certificato (e quindi hanno confermato l'associazione chiave pubblica - utente che questo contiene), oppure se un solo conoscente pienamente fidato l'ha fatto, il certificato viene considerato valido. I parametri sono a scelta dell'utente (e.g., si può impostare la necessità di una firma da parte di un utente completamente fidato, oppure da parte di 6 parzialmente), e può essere completamente escluso, se desiderato.

OpenPGP-compliant implementations also include a vote counting scheme which can be used to determine which public key – owner association a user will trust while using PGP. For instance, if three partially trusted endorsers have vouched for a certificate (and so its included public key – owner [[binding]]), OR if one fully trusted endorser has done so, the association between owner and public key in that certificate will be trusted to be correct. The parameters are user-adjustable (e.g., no partials at all, or perhaps 6 partials) and can be completely bypassed if desired.

Questo schema è flessibile, diversamente dalla maggior parte dalle altre [[infrastrutture a chiave pubblica]], e lascia la scelta del livello di fiducia agli utenti individuali. Non è perfetto e richiede prudenza e attenta supervisione da parte degli utenti. Essenzialmente però tutte le PKI sono meno flessibili e obbligano gli utenti a fidarsi dei certificati dell'infrastruttura firmati dalla [[certificate authority]]. La supervisione da parte degli utenti non è né richiesta né permessa. Neanche questi sistemi sono ovviamente perfetti.

The scheme is flexible, unlike most [[public key infrastructure]] designs, and leaves trust decision(s) in the hands of individual users. It is not perfect and requires both caution and intelligent supervision by users. Essentially all PKI designs are less flexible and require users to follow the trust endorsement of the PKI generated, CA-signed, certificates. Intelligence is normally neither required nor allowed. These arrangements are not perfect either, and require both caution and care by users.

== ContrastDifferenze withcon typicaluna tipica PKI ==

InAl contrastcontrario, ain typicalun tipico sistema PKI [[X.509]] PKIogni permitscertificato eachpuò certificateessere tofirmato besolo signeduna onlyvolta byda a single party: auna [[certificate authority]] (CA). TheIl certificato della CA's certificatepuò mayessere itselfesso bestesso signedfirmato byda a differentun'altra CA, alle thecosì wayvia upfino toad aun certificato 'selfauto-signedfirmato', chiamato [[root certificate]]. RootI root certificates mustdevono beessere availableaccessibili toda thosechi whousa useun acertificato lowerCA leveldi CAlivello certificatepiù andbasso, soquindi arevengono typicallysolitamente distributedampiamente widelydistribuiti. TheyPer areesempio, forsono instance,inclusi distributedin withprogrammi suchcome applications[[browser|web asbrowser]] browserse anddi email[[posta clientselettronica]]. In thisquesto waymodo [[Securepagine Socketsweb, email, etc., protette attraverso Layer|SSL]]/[[Transport Layer Security|SSL/TLS]]-protected Webpossono pages,essere emailautenticate messages,senza etc.richiedere canall'utente bel'installazione authenticatedmanuale without requiring users to manually installdei root certificates. ApplicationsSolitamente commonlyvengono includeinclusi overpiù onedi hundredcento rootcertificati certificatesdi fromdozzine dozensdi of PKIsPKI, thusconferendo byla defaultfiducia bestowingad trustun throughoutcertificato theattraverso hierarchyla ofgerarchia certificatesa whichcui leadsi backriferisce. toMolti them.di Manyquesti ofcertificati thesevennero rootcreati certificatesda weresocietà createdfallite byin companiesseguito, whichcome collapsedil ,caso e.g.del ascollasso thedi [[Dot-com]]. bubbleA burst.meno Unlessche thosequeste PKIsPKI aresiano stillancora properlygestite managed-nonostante eventutto- so,quasi sicuramente thequei root certificates almost certainly should no longer benon reliedsono uponpiù nowaffidabili.

== WebProblematiche ofdi trustuna problemsrete di fiducia ==

La rete di fiducia di OpenPGP è immune da problemi come i fallimenti di società, e ha continuato a funzionare fino ad oggi senza grandi cambiamenti. Ciononostante, esiste un serio problema. Gli utenti che perdono la loro chiave privata non possono più decifrare i messaggi che sono stati creati usando la relativa chiave pubblica. I primi certificati [[Pretty Good Privacy|PGP]] non contenevano date di scadenza, e quindi avevano durata illimitata. Gli utenti dovevano preparare un certificato di revoca firmato in previsione di un eventuale furto o smarrimento della chiave privata. Un famoso crittografo sta ancora ricevendo messaggi crittati usando una chiave pubblica di cui egli ha perso la chiave privata tempo fa. Non può fare molto con quei messaggi se non eliminarli e informare il mittente che non è in grado di leggerli, pregandolo di inviarli di nuovo con un'altra chiave pubblica -di cui ha ancora la relativa chiave privata. Le nuove versioni di PGP, e i programmi conformi a OpenPGP, hanno certificati con una data di scadenza che automaticamente li disabilita dopo un certo periodo, evitando (potenzialmente) questi problemi se usata correttamente.

The OpenPGP web of trust is essentially unaffected by such things as company failures, and has continued to function with little change. However, a related problem does occur. Users, whether individuals or organizations, who lose track of a private key can no longer cope with (i.e., decrypt) messages sent to them produced using the matching public key found in an OpenPGP certificate. Early PGP certificates did not include expiry dates, and those certificates had unlimited lives. Users had to prepare a signed cancellation certificate against the time when the matching private key was lost or compromised. One very prominent cryptographer is still getting messages encrypted using a public key for which he long ago lost track of the private key. He can't do much with those messages except discard them after notifying the sender that they were unreadable and requesting resending with a public key for which he still has the matching private key. Later PGP, and all OpenPGP compliant, certificates include expiry dates which automatically preclude such troubles (eventually) when used sensibly.

La versione 3 di X.509 è abbastanza flessibile da permettere una rete di fiducia dello stile di OpenPGP. Questa viene però solitamente usata per creare un intreccio di collegamenti tra CA di alto livello piuttosto che tra singoli utenti.

Version 3 of X.509 includes enough flexibility to support an OpenPGP-like web of trust. When applied, this is typically used to establish a mesh of higher level CAs, e.g. the US Federal Bridge CA, rather than a grassroots trust infrastructure.

Una difficoltà di tipo sociale (non tecnica) di una rete di fiducia come quella inclusa nei sistemi PGP/OpenPGP è che in ogni rete di fiducia senza un controllore centrale (per esempio, una [[Certificate authority|CA]]), la convalida di un certificato si basa sugli altri utenti della rete. I certificati dei nuovi utenti non saranno immediatamente fidati dagli altri utenti, in particolare da coloro che non hanno ancora incontrato personalmente, finché essi non trovano abbastanza firmatari per il loro certificato. Questo a causa della configurazione di molti utenti, che richiedono la firma di uno o più utenti totalmente fidati (o da molteplici utenti parzialmente fidati) per utilizzare (preparare messaggi usando la chiave pubblica, credere alla firma, etc.) un certificato sconosciuto.

A non-technical, social, difficulty with a Web of Trust like the one built into PGP/OpenPGP type systems is that every web of trust without a central controller (eg, a [[Certificate authority|CA]]) depends on other users for trust. Those with new certificates (ie, produced in the process of generating a new key pair) will not likely be readily trusted by other users' systems, that is by those they have not personally met, until they find enough endorsements for the new certificate. This is because many other Web of Trust users will have their certificate vetting set to require one or more fully trusted endorsers of an otherwise unknown certificate (or perhaps several partial endorsers) before using the public key in that certificate to prepare messages, believe signatures, etc.

Nonostante l'ampia diffusione dei sistemi OpenPGP e l'ampia disponibilità di [[key server]]s, è possibile in pratica non riuscire a trovare una o più persone disposte a firmare un nuovo certificato (e.g., comparando un documento di identificazione con le informazioni contenute nel certificato). Gli utenti che vivono in aree remote o sottosviluppate, per esempio, potrebbero avere difficoltà a raggiungere altri utenti. E se anche il certificato dell'altro utente è nuovo (con nessuna o poche firme), allora la sua firma può fornire solo un piccolo beneficio. I [[Key signing party|Key signing parties]] sono un meccanismo abbastanza popolare per risolvere il problema.

Despite the wide use of OpenPGP compliant systems and easy availability of on-line multiple [[key server]]s, it is possible in practice to be unable to readily find someone (or several people) to endorse a new certificate (eg, by comparing physical identification to key owner information and then digitally signing the new certificate). Users in remote areas or undeveloped ones, for instance, may find other users scarce. And, if the other's certificate is also new (and with no or few endorsements from others), then its signature on any new certificate can offer only marginal benefit toward becoming trusted by still other parties' systems and so able to securely exchange messages with them. [[Key signing party|Key-signing parties]] are a relatively popular mechanism to resolve this problem of finding other users who can install one's certificate in existing webs of trust by endorsing it.

== VediVoci anchecorrelate ==

* [[Comunità virtuale]]

* [[Rete sociale]]

== ExternalCollegamenti linksesterni ==

*{{cita web|https://www.gnupg.org/documentation/faqs.it.html#q7.3|FAQ di GnuPG sulla rete di fiducia}}

=== General ===

*{{cita web | 1 = http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | 2 = Breve spiegazione di una rete di fiducia PGP. | accesso = 10 luglio 2005 | urlarchivio = https://web.archive.org/web/20060901104734/http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | dataarchivio = 1º settembre 2006 | urlmorto = sì }}

*[http://www.rubin.ch/pgp/weboftrust.en.html An explanation of the PGP Web of Trust]

=== PGP Key Analysis ===

*[http://bcn.boulder.co.us/~neal/pgpstat/ PGP Web of Trust Statistics] - analysis by Neal McBurnett in 1996

*[http://dtype.org/keyanalyze/ Analysis of a large OpenPGP ring] - analysis by Drew Streib in 2001-2002

*[http://keyserver.kjsl.com/~jharris/ka/ Current key analysis reports] - maintained by Jason Harris

=== Web of Trust statistics and tools ===

*[http://www.lysator.liu.se/~jc/wotsap/index.html Wotsap - Web of trust statistics and pathfinder]

*[http://www.parisc-linux.org/~willy/wot/footsie/ The Footsie Web of Trust analysis]

*[http://www.cs.uu.nl/people/henkp/henkp/pgp/ PGP tools, pathfinder, references] from Henk P. Penning

*[http://t-butter.de/gpg.php Individual key statistics] from Thomas Butter

=== OtherIn trust-related tools and sitesInglese ===

*[{{cita web|http://www.rubin.ch/pgp/weboftrust.en.html|Una Anspiegazione explanationdella ofrete thedi fiducia PGP Web of Trust]}}

*[http://sourceforge.net/projects/trust-forum/ Trust-forum]: a project of web-based communication system that aims to include a web of trust between servers based on trust declarations between users.

*[http://bcn.boulder.co.us/~neal/pgpstat/ PGPStatistiche Webdella ofrete Trustdi Statisticsfiducia PGP] - analysisanalisi bydi Neal McBurnett indel 1996

*[http://moloko.itc.it/trustmetricswiki/moin.cgi/FrontPage Trust Metrics Evaluation Project] wiki.

*[https://web.archive.org/web/20050403213730/http://dtype.org/keyanalyze/ AnalysisAnalisi ofdi aun largegrande OpenPGPanello ringOpenPGP] - analysisanalisi bydi Drew Streib indel 2001-2002

*[{{cita web|http://www.lysator.liu.se/~jc/wotsap/index.html |Wotsap - Web of trust statistics and pathfinder]}}

*{{cita web |1=http://www.parisc-linux.org/~willy/wot/footsie/ |2=The Footsie Web of Trust analysis |accesso=26 marzo 2005 |urlarchivio=https://web.archive.org/web/20081121154955/http://www.parisc-linux.org/~willy/wot/footsie/# |dataarchivio=21 novembre 2008 |urlmorto=sì }}

*[https://web.archive.org/web/20050305095335/http://www.cs.uu.nl/people/henkp/henkp/pgp/ PGP tools, pathfinder, references] fromdi Henk P. Penning

*[https://sourceforge.net/projects/trust-forum/ Trust-forum]: il progetto di un sistema di comunicazione via web che includa una rete di fiducia tra servers basata sulle dichiarazioni di fiducia tra utenti.

*[https://web.archive.org/web/20050309220251/http://moloko.itc.it/trustmetricswiki/moin.cgi/FrontPage Trust Metrics Evaluation Project] wiki.

{{Portale|crittografia|Sicurezza informatica}}

[[de:Web of trust]]

[[en:Web of trust]]

[[Categoria:CrittologiaCrittosistemi asimmetrici]]