Breve terminologia
Testo in chiaro / decifrato = testo originale, che si può capirne il senso;
Chiave = testo che serve a cifrare / decifrare il testo in chiaro / testo cifrato;
Testo cifrato = testo che non è possibile capirne il significato, se non decifrato prima con la chiave.

Alfabeto cifrante
Per poter usare il one time pad c’è bisogno di un alfabeto cifrante, che riporterò qui, un esempio classico, per poter spiegare meglio gli esempi.
LETTERE NUM SUP. CIFRATURA SUP. DECIFRATURA
A 1 27 -25
B 2 28 -24
C 3 29 -23
D 4 30 -22
E 5 31 -21
F 6 32 -20
G 7 33 -19
H 8 34 -18
I 9 35 -17
J 10 36 -16
K 11 37 -15
L 12 38 -14
M 13 39 -13
N 14 40 -12
O 15 41 -11
P 16 42 -10
Q 17 43 -9
R 18 44 -8
S 19 45 -7
T 20 46 -6
U 21 47 -5
V 22 48 -4
W 23 49 -3
X 24 50 -2
Y 25 51 -1
Z 26 52 0

La terza colonna serve come supplemento alla cifratura, mentre la quarta colonna come supplemento alla decifratura.

Come funziona?
Esistono 2 procedure: quella per cifrare e quella per decifrare, entrambe molto semplici da apprendere. Come abbiamo visto, esiste un alfabeto cifrante, quindi ogni lettera corrisponde ad un numero. Sia durante la cifratura che durante la decifratura si procede una lettera per volta.
Nella cifratura le due lettere (testo in chiaro e chiave) vengono sommate una alla volta. Se la somma dovesse essere maggiore di 26 (Z), si riparte da capo (A) contando da uno (vedi supplemento alla cifratura).
Nella decifratura le due lettere (testo cifrato e chiave) vengono sottratte una alla volta. Se la sottrazione dovesse essere minore di 1 (A), si riparte dalla fine (Z) contando da zero (vedi supplemento alla decifratura).
Bisogna fare particolare attenzione: se si sta cifrando, il testo in chiaro, se si sta decifrando, il testo cifrato, va sempre usata la prima colonna dell’alfabeto cifrante, ovvero quello che assegna i valori alle lettere (non i supplementi!)

Facciamo un esempio.
Supponiamo di voler cifrare la parola “CIAO” con la chiave “XUHC”.
Testo in chiaro: CIAO +
Chive: XUHC =
Testo cifrato: ADIR

Calcolo matematico: C (3) + X (24) = 27 (A) || I (9) + U (21) = D (30) || A (1) + H (8) = I (9) || O (15) + C (3) = R (18)

Ora immaginiamo che il nostro destinatario del messaggio riceve il testo cifrato “ADIR” e sa che la chiave è “XUHC”, per decifrarlo userà il calcolo inverso.
Testo cifrato: ADIR -
Chiave: XUHC =
Testo in chiaro: CIAO

Calcolo matematico: A (1) – X (24) = C (-23) || D (4) – U (21) = I (-17) || I (9) – H (8) = A (1) || R (18) – C (3) = O (15)

Requisiti della chiave
Questo sistema di cifratura si ritiene inattaccabile, solo alle seguenti condizioni:
1. La chiave è lunga quanto il testo da cifrare.
2. Ogni lettera della chiave è generata casualmente.
3. La chiave deve essere usata solo una volta.
4. La chiave deve essere nota solo a chi manda e chi riceve il testo.
Usando queste precauzioni, il testo cifrato sarà resistente agli attacchi a forza bruta (bruteforce) ^[wikipedia], ai metodi statistici.

Il problema sorge principalmente con i cookie/cache del browser. In questi infatti i siti possono memorizzare alcune informazioni, anche di identificazione, oltre che di preferenze dell’utente.
Faccio alcuni esempi: ipotizziamo di collegarci per la prima volta ad un motore di ricerca, questo ci lascia un cookie con un ID, o un numero univoco. Questo numero se lo salvo sul suo server, creando un database con tutte le nostre ricerche, preferenze, stili di vita, tracciando un quadro sufficientemente completo delle nostre ricerche. Stessa cosa con youtube: potrebbe rilasciare un cookie, tracciando un percorso di ricerche e visualizzazioni dei video. Così può essere in teoria per qualsiasi sito.
Vediamo come superare questo inconveniente e non lasciare più traccie nel web, senza perdere l’utilità di rimanere registrate le password (che i cookie vengono usati anche per questo).
Il nostro obiettivo: il browser deve cancellare ad ogni chiusura i cookie, disattivazione della cache (con le nuove linee internet e la maggiore ottimizzazione degli algoritmi di compressione, l’utilità è minima), avere un gestore di password, in modo che ad ogni sito non dobbiamo reinserire user e password.
Per fare tutto ciò in iceweasel/firefox andiamo in Modifica->Preferenze->Privacy. In Cookie, mettiamo la spunta (probabilmente già c’è) a “Accetta i cookie dai siti”. Possiamo toglierla invece da “Accetta i cookie di terze parti”. Impostiamo “alla chiusura di Iceweasel” (o firefox, in base a quale browser usate) a “Conservali fino:”, in questo modo alla chiusura del browser, vengono cancellati tutti i cookie. Se vogliamo che di un determinato sito o dominio i cookie rimangono anche dopo la chiusura, dobbiamo impostare le “Eccezioni…”. Aprite la finestra delle eccezioni e scrivete il sito poi premete su “Permetti”. Così tutti i cookie di quel sito resteranno anche dopo la chiusura del browser.
Ora disabilitiamo la cache. Sempre dalla schermata delle preferenze, andiamo nella scheda Avanzate->Rete. Scriviamo “0″ (zero) a “Usa fino a …. MB spazio per la cache”. E’ consigliabile mettere la spunta vicino a “Avvisa quando un sito web richiede di salvare dati per l’utilizzo non in linea”. E’ consigliabile anche premere sul bottone “Svuota adesso”.
Ultimo punto: gestore di password. Sempre dalle preferenze, andiamo nella scheda Sicurezza. In Password mettiamo la spunta vicino a “Ricorda le password dei siti”. E’ altamente consigliato impostare una password principale, mettendo una spunta vicino a “Utilizza una password principale”, in questo modo la prima volta che il browser avrà bisogno di leggere una password, verrà chiesta tale password e durerà fino alla sua chiusura. Poi alla riapertura, se necessario verrà richiesta.
Abbiamo finito! Da ora in rete non lasceremo più traccie! Le uniche traccie riguarderanno l’indirizzo ip.

$ sudo chown -R root /home/nome_utente/.config/autostart
$ sudo chmod -R +rx /home/nome_utente/.config/autostart

Fatto ciò, noi possiamo solo leggere ed eseguire i file/collegamenti all’interno di quella cartella, ma per le modifiche e la scrittura c’è bisogno di root. Ora naturalemente meglio impostare una password sufficientemente sicura per root:

$ sudo passwd root

Abbiamo finito! Ora non è possibile più aggiungere sessioni nè creando il collegamento nella cartella autostart, nè da Sessioni. Per poter creare una dovete dare i seguenti comandi:

$ sudo chown -R nome_utente /home/nome_utente/.config/autostart

Dopo la modifica, ridate i comandi che abbiamo detto prima per ribloccare la cartella alle modifiche.

Questo post è protetto da password. Per leggerlo inserire la password qui sotto:

Password:

Il 99% di chi ci va non ci vede niente: il testo è incomprensibile. Questo è dovuto ad un grandissimo bug che hanno tutti i browser: non supportano ancora ad oggi l’UTF-16 se non specificato manualmente. Cosa che è abbastanza grave, visto che grazie a questa codifica si hanno 65535 caratteri a disposizione e che è quindi indispensabile, specialmente sul web dove sono necessari diversi alfabeti a disposizione e quindi molti caratteri, per poter interagire anche con altri paesi e lingue.

Il test l’ho fatto con firefox 3 beta 5, epiphany e opera 9,27. Nessuno dei 3 è riuscito a visualizzare la pagina correttamente al primo colpo, se non è stato impostato manualmente la codifica dal menu. Dopo la selezione la pagina si è vista correttamente.

Se leggete sul documento ufficiale del W3 (wiki) (inglese -> traduzione italiano) chiarisce che un documento in UTF-16 va trasmesso che i primi byte iniziano con FEFF che rovesciati diventano FFFE. Bene! Apriamo con un esadecimale una delle pagine personali:

In firefox 3 beta 5 mi esce questa pagina (senza aver selezionato manualmente il charset):

Update 28/05/2008
Questo bug c’è solo con le pagine in internet. Infatti creando una pagina in html e salvandola in utf-16 e inserendo il meta per questo charset, sul proprio computer si apre bene e viene riconosciuto il charset, messa su internet non funziona più e diventa illeggibile. Comunque non è un problema di frameset/frame come pensavo che fosse in un primo momento. Il my_info ora è stato convertito in utf-8 e ancora qualcosa non si vede bene, proprio per il fatto che in linea non vengono interpretati automaticamente i charset scritti nei meta negli head.

1. Ricordati di firmare il retro della carta (la firma deve essere uguale a quella riportata nella richiesta di rilascio)
2. Non lasciare incustodita la carta, conservala con cura, tenendola lontana da fonti magnetiche e fai attenzione a non graffiare la banda sul retro
3. Al momento di pagare, prima di firmare lo scontrino, verifica la congruenza dei dati, in particolare: il numero della carta, l’importo e la data
4. Conserva tutti gli scontrini dei pagamenti per la verifica sull’ estratto conto
5. Non tenere mai il codice PIN (codice segreto) insieme alla carta
6. È consigliabile fare una fotocopia fronte e retro della tua carta, ti potrebbe tornare utile in caso di furto o smarrimento (al fine di effettuare le verifiche del caso su numero della carta, firma e data di scadenza, qualora si sospettino operazioni fraudolente)
7. In caso di furto o smarrimento della carta è importante bloccare immediatamente la carta, l’eventuale ritardo nell’eseguire questa operazione permetterebbe l’utilizzo fraudolento della tua carta di credito
8. Se hai impostato degli ordini permanenti con la carte di credito (es. bollette telefoniche, abbonamenti vari, ecc) nel momento in cui decidi di darne disdetta, è tuo obbligo comunicare il recesso del contratto all’azienda o all’ente che fornisce il servizio. Nel caso in cui la carta su cui sono appoggiati addebiti permanenti, venga bloccata o non venga rinnovata, è possibile essere comunque soggetti agli eventuali addebiti, che possono essere rimborsati esclusivamente nel caso in cui ci sia una copia della disdetta inviata al fornitore del servizio
9. Se la carta risulta illeggibile al terminale su cui viene fatta scorrere o si è deteriorata (spezzata, piegata o quant’altro) puoi rivolgerti direttamente ad uno sportello della tua Banca o al servizio di assistenza clienti e richiedere l’ emissione di una nuova carta
10. La carta di credito ha validità 5 anni (la data di scadenza è indicata sul fronte della carta stessa) ed il rinnovo avviene automaticamente: 15 giorni prima di suddetta data riceverai la tua nuova carta. Ricordati di tagliare e restituire la carta scaduta
11. Se noleggi un’automobile in Italia oppure all’estero o devi prenotare un albergo a distanza, normalmente ti viene richiesto un deposito cauzionale come garanzia del servizio; se effettui il pagamento con la carta di credito ricordati che il limite di utilizzo mensile diminuirà in base all’importo richiesto e verrà ripristinato il mese successivo
12. Puoi usare la tua carta per ricaricare il cellulare, pagare i pedaggi autostradali, e alle casse automatiche (parcheggi, distributori di carburante, ecc.)

Mi raccomando di controllare periodicamente l’estratto conto, in modo da verificare se ci sono prelievi “fantasma” e di fare una segnalazione alle forze dell’ordine se c’è il dubbio dello sportello. Meglio fare una segnalazione “inutile”, piuttosto che rimanere un bancomat a prelevare dati di migliaia di persone lì.

Una mia idea per usare il bancomat sicuro (al momento ancora non usata)
Pensando a questa situazione del bancomat e alle banche, che comunque subiscono dei danni, mi sono chiesto: visto che per accedere al proprio conto corrente c’è bisogno del token, perchè non usarlo anche per lo sportello bancomat? Per chi non lo sapesse il token è un apparecchio che genera un numero causale di diverse cifre ogni volta che lo si accende e non genera mai un numero che potrebbe generare un altro token e se lo genera, il numero successivo non sarà mai uguale a quello che genera un altro. Il token è sincronizzato con la banca, senza che questo è collegato ad essa, quindi mi sembra particolarmente sicuro da usare vicino a uno sportello bancomat.
Questa è la mia proposta. Spero che la verisign (la casa che crea i token), abi (associazione bancaria italiana), ecc la accolgano.

Vi posto il sources.list (il file per apt-get, synaptic, ecc che si trova in /etc/apt/sources.list). In questo file sono raccolte varie fonti e programmi che di default non ci sono. Questo sources.list è per Ubuntu 7.10 gutsy gibbon (da come si può intendere dal titolo)

Il file lo aggiornerò ogni tanto se troverò nuove fonti.

Per poter aprire il file sources.list date il seguente comando:

sudo gedit /etc/apt/sources.list

sources.list

(Uploaded: 12/01/2008)

Il primo passaggio da fare è quello senza ombra di dubbio il backup del database. Se dovesse andare qualcosa storto, almeno possiamo ripristinarlo e non perdiamo niente. Io ho fatto il backup tramite phpmyadmin, un “super gestore” per i database mysql. Quindi sono entrato nel database e ho fatto esporta. In pochi secondi il phpmyadmin mi ha dato il file con estensione .sql che mi sono salvato sul computer.

Al termine del salvataggio, ho scaricato il wordpress nuovo (appunto il 2.3.2 cioè l’ultima versione attuale) e l’ho decompresso. Fatto ciò mi sono collegato in FTP al server del sito e ho fatto l’upload (inviato) di tutti i file eccetto la cartella wp-content e wp-config.php (anche se non ci stava, non va inviato questo file perchè contiene le informazioni (user, password, …) per l’accesso al database mysql), sostituendo tutti i file.

Finito l’invio dei file bisogna puntare a questo file: http://www.mio_blog.it/wp-admin/upgrade.php per fare l’aggiornamento del database. http://www.mio_blog.it/ è il blog, dove stanno tutti i file e cartelle.

Bene! Fatto ciò abbiamo finito! Il wordpress è aggiornato all’ultima versione.

Prima di iniziare smontiamo la partizione virtuale dando il comando:

sudo truecrypt -d

Ora aumentiamo le dimensioni del file (il comando seguente aumenta il file di 200 megabyte, se volete diversamente, cambiate il count=200 con count=dimensione_che_volete_aumentare):

sudo dd if=/dev/urandom bs=1M count=200 >> /posizione/file/creato.tc

/posizione/file/creato.tc è la posizione e il nome del vostro file. Se questo comando dovesse dare un “Permesso negato”, dare il comando su per accedere come root ed eseguitelo (al termine tornate alla console per utente dando il comando exit). Fatto ciò abbiamo aumentato le dimensioni del file, ma non della partizione-virtuale.

Diamo il seguente comando per trovare il device:

sudo truecrypt /posizione/file/creato.tc

sudo truecrypt -l

(E’ una L minuscola) Ora annotiamoci il device che ci dice truecrypt e digitiamo:

sudo resize2fs -f /device/che/abbiamo/trovato/prima

In genere il device è /dev/mapper/truecrypt0.

Bene! Adesso la partizione avrà le dimensioni che abbiamo scelto (se guardate le propietà vi accorgerete che le dimensioni della partizione-virtuale montata in realtà non è uguale a quella del file (e delle dimensioni che noi volevamo all’inizio), ma inferiori). Abbiamo finito, adesso prima di montare di nuovo la partizione virtuale, diamo gli ultimi comandi:

sudo truecrypt -d

sudo truecrypt /posizione/file/creato.tc /media/truecrypt_drive

Nel secondo comando, il primo parametro/posizione/file/creato.tc è il file che contiene la partiziona da come si intuisce e il secondo è la cartella in /media/ dove andiamo a montare la partizione virtuale.

Buona cifratura a tutti!

Iniziamo con lo scaricare il programma da qui (il programma c’è anche per windows). Al termine diamo i seguenti comandi:

sudo apt-get install dmsetup

sudo dpkg -i truecrypt_4.3a-0_i386.deb

truecrypt_4.3a-0_i386.deb è il nome del file che abbiamo scaricato dal sito. Se volete usare TrueCrypt senza i privileggi di amministratore, date il seguente comando (se non date questo comando, quando seguite questa guida mettete sudo prima di truecrypt):

sudo chmod u+s /usr/bin/truecrypt

Bene! Ora dobbiamo creare il file che terrà tutti i nostri file in maniera cifrata. Diamo il seguente comando:

truecrypt -c

Si avvierà una modalità interattiva per la creazione del file. Al Volume Type rispondiamo Normal, al Filesystem rispondiamo None, al Volume Size, dobbiamo scegliere le dimensioni del file. Le dimensioni vanno scritte in byte, se volete semplificarvi la vita e volete per esempio un file di 10 megabytes, scrivete 10M, per 1 gigabyte, scrivete 1G. Fatto ciò, dovete Hash algorithm e al passaggio successivo Encyption algorithm. Se non sapete quale scegliere, mettete Whirlpool al primo e AES-Twofish-Serpent al secondo. Ora non ci resta che scrivere la password per cifrare i file che verranno scritti in questo super-file. Vi consiglio una password di almeno 8-9 caratteri, giusto per essere sicuri. Ora TrueCrypt ci chiederà se il mouse è collegato al computer, rispondete yes (y) e iniziate a muovere il mouse a caso. Vi chiederete: “A cosa serve?” A generare numeri il più causale possibile.

Ok! Siamo a buon punto! Abbiamo creato il file. Ora creiamo la periferica virtuale:

truecrypt /posizione/file/creato/prima

In /posizione/file/creato/prima ci mettete la posizione di dove avete creato il file. Per esempio: /home/utente/Scrivania/nome_file.tc. Ora trovate la partizione virtuale digitando:

truecrypt -l

(E’ una L minuscola) Adesso formattiamo il file dando il comando:

sudo mkfs.ext3 /dev/mapper/truecrypt0

/dev/mapper/truecrypt0 è quello che avete trovato con il comando precedente.

Ok! Ora non ci resta che montare il volume! Iniziamo con la creazione della cartella.

sudo mkdir /media/truecrypt_drive

Creata la cartella, diamo i seguenti comandi:

truecrypt -d

sudo chown -R utente:utente /media/truecrypt_drive

truecrypt /percorso/file/cifrato /media/truecrypt_drive

Il primo serve per eliminare il volume virtuale creato prima. Il secondo serve per darci i permessi (utente va sostituito col nostro nome utente), /media/truecrypt_drive è la nostra cartella creata prima. Il terzo comando ci permette di montare la partizione (questo comando lo dobbiamo usare ogni volta che vogliamo montare una partizione virtuale da un file cifrato). /percorso/file/cifrato da come si può intuire è il percorso del file cifrato che abbiamo creato all’inizio.

Ora nasce ovvia una domanda: “Ho montato la partizione. E se la volessi smontare in modo da non farla ‘trovare’ più?” Date il seguente comando (se ne avete montate più di una partizione virtuale che avete creato con truecrypt o anche se ne avete creata una sola):

truecrypt -d

Se invece ne avete create più di una e volete smontare una specifica date il seguente comando:

truecrypt -d /media/truecrypt_drive

Dove ovviamente /media/truecrypt_drive è la cartella che avete creato prima per montarci la partizione virtuale.

Da come potete ben capire il punto forte di questa “tecnica” sta nel fatto che non si deve usare una partizione e quindi statica nell’hard disk, bensi un file che viene visto come partizione. Questo lo rende molto utile, perchè il file cifrato lo si può mettere su una chiave USB o scheda di memorie e può essere usato su qualunque pc, oltre al fatto che possiamo creare quanti file vogliamo e ripetere sempre la stessa “tecnica”. Oppure possiamo addirittura mettere più file e inviarli a qualche altra persona che in conoscenza della password legge il file. Beh gli usi sono moltissimi: a voi la scelta!