Web of trust: differenze tra le versioni

Versione delle 23:45, 10 gen 2007

Versione attuale delle 11:49, 23 ago 2024

(35 versioni intermedie di 23 utenti non mostrate)

Riga 1:

{{nota disambigua|l'azienda finlandese che fornisce il servizio myWoT|WOT Services, Ltd.}}

Nell'ambito della [[crittografia]], una '''web of trust''' (''rete di fiducia'') è un concetto utilizzato da [[Pretty Good Privacy|PGP]], [[GNU Privacy Guard|GnuPG]], e altri sistemi compatibili con [[OpenPGP]] per stabilire l'autenticità dell'associazione [[chiave pubblica]]-utente. Sotto alcuni aspetti è un'alternativa all'affidarsi esclusivamente ad una [[certificate authority]] (o a una gerarchia di esse) tipico dei sistemi [[Public key infrastructure|PKI]] centralizzati. Così come ci sono moltissime [[Rete di computer|reti di computer]], ci sono molte reti di fiducia indipendenti, e ogni utente (attraverso il suo [[certificato d'identità]]) può essere parte e fungere da collegamento tra molte di esse.

Questo sistema di certificazione si poggia sul concetto dei [[sei gradi di separazione]] e sulla [[teoria del mondo piccolo]].

== Funzionamento di una rete di fiducia ==

Riga 6 ⟶ 9:

Inoltre tutte queste implementazioni includono un sistema di voto che può essere usato per determinare di quali associazioni chiave pubblica - proprietario un utente si può fidare senza dover per questo incontrare fisicamente la persona. Per esempio, se tre conoscenti parzialmente fidati hanno firmato un certificato (e quindi hanno confermato l'associazione chiave pubblica - utente che questo contiene), oppure se un solo conoscente pienamente fidato l'ha fatto, il certificato viene considerato valido. I parametri sono a scelta dell'utente (e.g., si può impostare la necessità di una firma da parte di un utente completamente fidato, oppure da parte di 6 parzialmente), e può essere completamente escluso, se desiderato.

Questo schema è flessibile, diversamente dalla maggior parte dalle altre [[infrastrutture a chiave pubblica]], e lascia la scelta del livello di fiducia agli utenti individuali. Non è perfetto e richiede prudenza e attenta supervisione da parte degli utenti. Essenzialmente però tutte le [[PKI]] sono meno flessibili e obbligano gli utenti a fidarsi dei certificati dell'infrastruttura firmati dalla [[certificate authority]]. La supervisione da parte degli utenti non è né richiesta né permessa. Neanche questi sistemi sono ovviamente perfetti.

== Differenze con una tipica PKI ==

Al contrario, in un tipico sistema PKI [[X.509]] ogni certificato può essere firmato solo una volta da una [[certificate authority]] (CA). Il certificato della CA può essere esso stesso firmato da un'altra CA, e così via fino ad un certificato 'auto-firmato', chiamato [[root certificate]]. I root certificates devono essere accessibili da chi usa un certificato CA di livello più basso, quindi vengono solitamente ampiamente distribuiti. Per esempio, sono inclusi in programmi come [[browser|web browsersbrowser]] e di [[posta elettronica]]. In questo modo pagine web, email, etc., protette attraverso [[Secure Sockets Layer|SSL]]/[[Transport Layer Security|SSL/TLS]] possono essere autenticate senza richiedere all'utente l'istallazioneinstallazione manuale dei root certificates. Solitamente vengono inclusi più di cento certificati di dozzine di PKI, conferendo la fiducia ad un certificato attraverso la gerarchia a cui si riferisce. Molti di questi certificati vennero creati da società fallite in seguito, come il caso del collasso di [[Dot-com]]. A meno che queste PKI siano ancora gestite -nonostante tutto- quasi sicuramente quei root certificates non sono più affidabili.

== Problematiche di una rete di fiducia ==

Riga 16 ⟶ 19:

La versione 3 di X.509 è abbastanza flessibile da permettere una rete di fiducia dello stile di OpenPGP. Questa viene però solitamente usata per creare un intreccio di collegamenti tra CA di alto livello piuttosto che tra singoli utenti.

Una difficoltà di tipo sociale (non tecnica) di una rete di fiducia come quella inclusa nei sistemi PGP/OpenPGP è che in ogni rete di fiducia senza un controllore centrale (e.g.per esempio, una [[Certificate authority|CA]]), la convalida di un certificato si basa su glisugli altri utenti della rete. I certificati dei nuovi utenti non saranno immediatamente fidati dagli altri utenti, in particolare da coloro che non hanno ancora incontrato personalmente, finché essi non trovano abbastanza firmatari per il loro certificato. Questo a causa della configurazione di molti utenti, che richiedono la firma di uno o più utenti totalmente fidati (o da molteplici utenti parzialmente fidati) per utilizzare (preparare messaggi usando la chiave pubblica, credere alla firma, etc.) un certificato sconosciuto.

Nonostante l'ampia diffusione dei sistemi OpenPGP e l'ampia disponibilità di [[key server]]s, è possibile in pratica non riuscire a trovare una o più persone disposte a firmare un nuovo certificato (e.g., comparando un documento di identificazione con le informazioni contenute nel certificato). Gli utenti che vivono in aree remote o sottosviluppate, per esempio, potrebbero avere difficoltà a raggiungere altri utenti. E se anche il certificato dell'altro utente è nuovo (con nessuna o poche firme), allora la sua firma può fornire solo un piccolo beneficio. I [[Key signing party|Key signing parties]] sono un meccanismo abbastanza popolare per risolvere il problema.

Riga 25 ⟶ 28:

== Collegamenti esterni ==

*[http{{cita web|https://www.gnupg.org/(it)/documentation/faqs.it.html#q7.3 |FAQ di GnuPG sulla rete di fiducia]}}

*[{{cita web | 1 = http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | 2 = Breve spiegazione di una rete di fiducia PGP.] | accesso = 10 luglio 2005 | urlarchivio = https://web.archive.org/web/20060901104734/http://www.dia.unisa.it/~ads/corso-security/www/CORSO-9900/PGP/trust.htm | dataarchivio = 1º settembre 2006 | urlmorto = sì }}

=== In Inglese ===

*[{{cita web|http://www.rubin.ch/pgp/weboftrust.en.html |Una spiegazione della rete di fiducia PGP]}}

*[http://bcn.boulder.co.us/~neal/pgpstat/ Statistiche della rete di fiducia PGP] - analisi di Neal McBurnett del 1996

*[https://web.archive.org/web/20050403213730/http://dtype.org/keyanalyze/ Analisi di un grande anello OpenPGP] - analisi di Drew Streib del 2001-2002

*[{{cita web|http://www.lysator.liu.se/~jc/wotsap/index.html |Wotsap - Web of trust statistics and pathfinder]}}

*[http://keyserver.kjsl.com/~jharris/ka/ Rapporto corrente sulle chiavi OpenPGP] - mantenuto da Jason Harris

*{{cita web |1=http://www.parisc-linux.org/~willy/wot/footsie/ |2=The Footsie Web of Trust analysis |accesso=26 marzo 2005 |urlarchivio=https://web.archive.org/web/20081121154955/http://www.parisc-linux.org/~willy/wot/footsie/# |dataarchivio=21 novembre 2008 |urlmorto=sì }}

*[http://www.lysator.liu.se/~jc/wotsap/index.html Wotsap - Web of trust statistics and pathfinder]

*[https://web.archive.org/web/20050305095335/http://www.cs.uu.nl/people/henkp/henkp/pgp/ PGP tools, pathfinder, references] di Henk P. Penning

*[http://www.parisc-linux.org/~willy/wot/footsie/ The Footsie Web of Trust analysis]

*[httphttps://sourceforge.net/projects/trust-forum/ Trust-forum]: il progetto di un sistema di comunicazione via web che includa una rete di fiducia tra servers basata sulle dichiarazioni di fiducia tra utenti.

*[http://www.cs.uu.nl/people/henkp/henkp/pgp/ PGP tools, pathfinder, references] di Henk P. Penning

*[https://web.archive.org/web/20050309220251/http://moloko.itc.it/trustmetricswiki/moin.cgi/FrontPage Trust Metrics Evaluation Project] wiki.

*[http://t-butter.de/gpg.php Statistiche sulle chiavi individuali] di Thomas Butter

*[http://sourceforge.net/projects/trust-forum/ Trust-forum]: il progetto di un sistema di comunicazione via web che includa una rete di fiducia tra servers basata sulle dichiarazioni di fiducia tra utenti.

*[http://moloko.itc.it/trustmetricswiki/moin.cgi/FrontPage Trust Metrics Evaluation Project] wiki.

{{Portale|crittografia|Sicurezza informatica}}

[[Categoria:Crittologia]]

[[Categoria:Crittosistemi asimmetrici]]

[[de:Web of Trust]]

[[en:Web of trust]]

[[pl:Sieć zaufania]]

[[vi:Mạng lưới tín nhiệm]]