Re: Re: Crittografia con chiavi "di gruppo"

> Claudio Telmon wrote:
> Veramente non mi è ancora chiaro, dai tuoi commenti, quale sia
> esattamente il problema. Il metodo "tipo PGP" risolve un problema
> organizzativo, ovvero evitare di produrre tante copie dello stesso
> file cifrate con chiavi diverse; tuttavia, ognuno può accedere al
> file autonomamente, utilizzando la copia della chiave decifrata
> mediante la propria chiave privata.
> I metdodi di secret sharing servono invece a gestire un problema di
> diritti di accesso, cioè a garantire che il singolo utente non possa
> accedere autonomamente al dato, ma sia necessario il contributo
> contemporaneo di "n su m" membri del gruppo. Questo secondo metodo
> avrebbe senso ad esempio se tu volessi che il "team virtuale"
> potesse consultare i dati solo quando è riunito, ma non credo che
> sia quello che vuoi.
Concordo pienamente con la tua analisi, ed infatti quello di cui avrei
bisogno è proprio una soluzione alla PGP. Il problema è che non posso
ragionare in termini di file o cmq di intera cartella clinica, ovvero
di una quantità tale di dati da poter trascurare lo spazio richiesto
per il salvataggio delle n chiavi abilitate alla sua lettura. Per la
natura dei dati e le modalità di accesso, devo garantire un controllo
a granularità molto fine dove l'overhead creato dalle chiavi non è
trascurabile.


> Altro problema: pensi di gestire le variazioni di diritto di
> accesso? Ovvero: un medico ha accesso ad un file, e quindi dispone
> delle chiavi necessarie (quale che sia il metodo), e poi perde il
> diritto di accedere a quel file.
Beh, si, in teoria si. Suppongo che in tal caso chi revoca il diritto
debba procedere alla sostituzione della chiave/i. Operazione
sicuramente onerosa. E di sicuro l'impatto dovuto ai dati di gestione
dei diritti di accesso non è trascurabile. Sono tanti i problemi da
affrontare, volevo però iniziare a capire se percaso esistono già
soluzioni "standard" per gestire questo tipo di scenario o quali
possano essere le vie da percorrere.

Grazie ancora,
Riccardo Serafin.

-- 
It's hard to say exactly what constitutes research in the computer world,
but as a first approximation, it's software that doesn't have users.
Paul Graham.
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List