Caro klades,
rispondo alla tua sollecita e dettagliata risposta.
Dopo aver letto un po' un giro, mi devo correggere:
Come novizio di Thunderbird, è soprattutto di questo che avrei bisogno: qualche buon consiglio su cosa leggere riguardo al modo in cui il programma gestisce la sicurezza, e dove trovarlo.
se ho capito bene il meccanismo, le password sono salvate nel file signons.sqlite che è criptato con la chiave che sta nel file key3.db. Settando la master password, la chiave viene ulteriormente criptata. Non so però dirti in che modo viene generata questa chiave che sta nel file key3.db.
Andando a intuito, sarà una chiave simmetrica, cioè, sostanzialmente, una sequenza casuale di bit.
Non sarà un sistema a prova di hacker esperto, ma sicuramente non c'è nessuna informazione salvata in chiaro.
Be', se è cifrata con una chiave a sua volta salvata in chiaro, non fa molta differenza ai fini che intendo io; ma vediamo il seguito:
Comunque il disegno generale di Firefox e Thunderbird in materia di sicurezza si basa sul fatto che nessuno metta fisicamente mano ai file del profilo; loro garantiscono che "dall'esterno" non si possa accedere in nessun modo ai dati, però se qualcuno riesce ad accedere fisicamente ai file del profilo dal computer, ovviamente la sicurezza è compromessa. Per questo, se serve un livello di sicurezza particolarmente alto, si consiglia di usare una partizione criptata per ospitare i profili dei programmi.
Appunto: il progetto generale non è mirato a quel che preoccupa me: la sicurezza delle mie identità digitali in caso di smarrimento o furto del mio computer, che è un portatile. Vorrei illustrare meglio questo punto e le motivazioni che stanno alla base di questa mia preoccupazione, che può sembrare un po' bislacca, e per questo mi concedo una digressione.
Per quel che so e ricordo, la politica di sicurezza mirata essenzialmente a difendersi dalle intrusioni via rete, la quale dava per scontato che chi avesse accesso fisico alla macchina potesse fare praticamente quello che voleva, era in auge fino a 20-15 anni fa, quando la Rete era ancora per alcuni una novità, i portatili erano molto costosi e relativamente poco diffusi e la macchina tipica era il personal computer con potenza da workstation degli anni Ottanta, che si poteva pensare chiuso in una stanza; è solo in tempi relativamente recenti, con lo slittamento della "macchina tipica" verso il portatile prima e il tablet poi, che ha assunto notevole importanza (anche) la protezione dei dati memorizzati sui dispositivi di massa, in previsione del caso di sottrazione del dispositivo di massa stesso, con soluzioni che vanno dai cosiddetti "portachiavi" (singoli file criptati, nei quali sono memorizzate credenziali e altri consimili dati da proteggere) alla cifratura in blocco dell'intero disco.
Devo confessare (non sparate!
) che, possedendo un portatile Mac, ero stato finora un utente soddisfatto di Apple Mail: il programma interagiva felicemente con il portachiavi di sistema per salvarvi le password, cifrare i messaggi s/mime con i certificati colà contenuti, decifrarli con le corrispondenti chiavi private, sempre memorizzate nel portachiavi di sistema, e gestire le firme digitali. Tutte cose che fa anche Thunderbird, naturalmente, ma
senza interagire con il portachiavi di sistema; e invece a me interessava molto avere un unico luogo centralizzato dal quale gestire tutta la mia politica di sicurezza.
Tutto questo, naturalmente, funzionava come volevo perché mi ero tenuta ben stretta la mia versione
Snow Leopard di Mac OS X, senza passare a quelle successive: a partire dalla
Lion, infatti, non era più possibile decidere di
non salvare nel portachiavi le password di accesso ai server di posta elettronica, cosa per me inaccettabile (per alcuni server
voglio dover introdurre la password ogni volta). Ma recentemente ho comprato un nuovo portatile Mac, che naturalmente è equipaggiato con
Mavericks, ed ecco spiegato perché ora sono qui a discutere di Thunderbird e della sua gestione della sicurezza.
In questo contesto ignoriamo, naturalmente, l'errore fondamentale di continuare a comperare Apple.
La digressione è stata lunga, ma, ripeto, il mio intento era di spiegare esattamente a cosa mirasse la mia domanda di partenza, e spero che ora ciò risulti chiaro. In sostanza:
- Thunderbird offre un servizio equivalente a quello offerto dal portachiavi di sistema di Mac OS X (e da altri) per le password di accesso ai siti?
- Stessa domanda per le identità digitali e i certificati dello standard PKCS.
(Profondo respiro.)
Perdonate la logorrea, e gradite, assieme al ringraziamento per la vostra pazienza, i miei più cordiali saluti.
@MozillaItalia) e Facebook (
/MozillaItalia)
Topic: Salvataggio delle identità digitali: chiave privata in chiaro? (Letto 920 volte)