home *** CD-ROM | disk | FTP | other *** search
/ Peanuts NeXT Software Archives / Peanuts-1.iso / CDROM / READMEs / Peanuts-2 / Unix / security / pgp.2.6.is.README < prev    next >
Encoding:
PGP Message  |  1996-11-09  |  12.7 KB  |  267 lines
  1. -----BEGIN PGP SIGNED MESSAGE-----
  2.  
  3.  
  4.               Pretty Good Privacy version 2.6.i - READ ME FIRST
  5.                           Notes by Stale Schumacher
  6.                                  1994/09/29
  7.  
  8.  
  9. You are looking at the README file for PGP release 2.6.i. PGP, short for
  10. Pretty Good Privacy, is a public key encryption package; with it, you can
  11. secure messages you transmit against unauthorized reading and digitally sign
  12. them so that people receiving them can be sure they come from you.
  13.  
  14.  
  15. ABOUT THIS VERSION
  16.  
  17. PGP 2.6.i is not an official PGP version. It is based on the source code for
  18. MIT PGP 2.6.1 (the latest official version of PGP) and has been modified for
  19. international use. However, it is still possible to compile a version of PGP
  20. that is byte-identical to MIT PGP 2.6.1 (using the USA_ONLY option, see
  21. below). This file only explains what is special to version 2.6.i. For a more
  22. thorough installation and usage guide, refer to the file setup.doc and the
  23. documentation for PGP 2.6.1, which is included unmodified in the doc/
  24. subdirectory that is created when you unpack the distribution archive.
  25.  
  26.  
  27. BACKGROUND
  28.  
  29. Until a few months ago, there were only two "real" PGP versions around: PGP
  30. 2.3a which was the international freeware version, and 2.4 which was a
  31. commercial version sold in USA by a company called ViaCrypt. However, this
  32. situation changed dramatically in May 1994 when MIT released a special US
  33. freeware version of PGP (2.5), in order to put an end to the legal problems
  34. surrounding PGP. (PGP 2.3a was believed to be illegal in USA because of patent
  35. restrictions.) The new version had a number of limitations to encourage
  36. Americans that were using 2.3a illegally to upgrade to the legal version.
  37. However, these limitations resulted in a well of new PGP versions, more or
  38. less professionally put together by well-intending individuals who wanted a
  39. more flexible PGP than that offered by MIT. Suddenly, we had ten different PGP
  40. versions, not two.
  41.  
  42. Even though PGP 2.5 and later releases from MIT introduced many bug-fixes and
  43. improvements over 2.3a, many non-US users of PGP have been reluctant to
  44. upgrade to the new versions because they feel that the PGP developers have
  45. abandoned the international PGP community by adding a number of restrictions
  46. that are only necessary within the USA. That is why I decided to make PGP
  47. 2.6.i: to put an end to all the PGP "hack versions" that flourish, and by
  48. giving the non-US users of PGP a version that is more "digestible" than those
  49. offered by MIT, and at the same time let them benefit from all the
  50. improvements that the new versions have introduced over PGP 2.3a. Please note
  51. that PGP 2.6.i is a "real" 2.6 version, as it is based on the code tree for
  52. PGP 2.6.1 and not 2.3a. PGP 2.6.1 was exported illegally from the USA, but
  53. once exported anyone may use it legally and modify it for personal use. That's
  54. what I did, although I later decided to make it available for the general
  55. public. So here it is: PGP 2.6.i.
  56.  
  57.  
  58. HOW WAS IT DONE?
  59.  
  60. PGP 2.6.i was put together by taking all the source files from PGP 2.6.1 and
  61. the rsaglue.c file from PGP 2.3a, adding a few #ifdef's and modifying a
  62. handful of lines - and that's it. In fact, the use of #ifdef's wherever a
  63. change has been made allows you to compile a version that is byte-identical
  64. to MIT PGP 2.6.1. This is accomplished by adding the -DUSA_ONLY option when
  65. building the program. The source archives even includes two sets of makefiles:
  66. one for use inside the USA (2.6.1) and one for the rest of the world (2.6.i).
  67.  
  68.  
  69. DISTRIBUTION
  70.  
  71. PGP 2.6.i is distributed in the following files:
  72.  
  73. - - pgp26i.zip       This is the MS-DOS executable release, which includes the
  74.                    executable, support files, and basic documentation.
  75.  
  76. - - pgp26is.zip      This is a source code release, which includes all the
  77.                    source code needed to compile PGP and examples of usage.
  78.                    It also contains all the files in pgp26i.zip except the
  79.                    pgp.exe binary.
  80.  
  81. - - pgp26is.tar.gz   This contains exactly the same files as pgp26is.zip,
  82.                    except that they use Unix rather than MS-DOS line end
  83.                    conventions.
  84.  
  85. - - pgp26is.tar.Z    This is a Unix compress version of pgp26is.tar.gz.
  86.  
  87. If you are within the USA, you should download the file pgp261.zip instead
  88. (MS-DOS executable), or use the source code for 2.6.i, but compile it using
  89. the makefiles that have the .usa suffix, rather than the ordinary makefiles.
  90. These files define the USA_ONLY option, which means that you will get a
  91. version that is identical to MIT PGP 2.6.1 and thus legal to use within the
  92. USA. You will then also need to compile the files in the rsaref directory.
  93.  
  94.  
  95. DIFFERENCES BETWEEN PGP 2.6.i AND 2.6.1
  96.  
  97. If you compile PGP 2.6.i without the USA_ONLY option, or if you are using the
  98. precompiled DOS-version of 2.6.i, you should note that your copy of PGP will
  99. differ from MIT PGP 2.6.1 in the following ways:
  100.  
  101.   (1) It identifies itself as version 2.6.i
  102.  
  103.       This is to clearly distinguish it from PGP 2.6.1. This is important
  104.       because users within the USA are not allowed to use PGP 2.6.i, and also
  105.       because script files, shells and other PGP add-ons may need to know
  106.       exactly how your copy of PGP will behave under different circumstances.
  107.  
  108.       (Note: an earlier release of this version was called PGP 2.6i. The
  109.       version number was later changed to 2.6.i to make it clear that it is
  110.       in fact derived from 2.6.1. The new version number should also be less
  111.       offensive, considering the fact that there is already a PGP 2.6ui.)
  112.  
  113.   (2) The text string "Distributed by MIT. Uses RSAREF." is replaced by
  114.       "International version - not for use in the USA. Does not use RSAREF."
  115.  
  116.       PGP 2.6.i is not approved or distributed by MIT. All questions regarding
  117.       PGP 2.6.i should be addressed to Stale Schumacher <staalesc@ifi.uio.no>,
  118.       and not MIT, as they have nothing to do with this release.
  119.  
  120.   (3) It uses PRZ's MPILIB instead of RSAREF
  121.  
  122.       PGP 2.3a and earlier versions use a special library for all the RSA
  123.       encryption/decryption routines, called MPILIB, and written by Philip R.
  124.       Zimmermann (PRZ), the original author of PGP. However, starting with
  125.       version 2.5, all official releases of PGP have been using the RSAREF
  126.       library from RSADSI Inc, a US company that holds the patent on the RSA
  127.       algorithm in the USA. This change was made in order to make PGP legal
  128.       to use within the USA.
  129.  
  130.       Please observe that PGP 2.6.i does NOT use RSAREF, but rather PRZ's
  131.       original MPILIB library, which is considerably faster and better on most
  132.       platforms. Because 2.6.i uses MPILIB rather than RSAREF, it is also able
  133.       to verify key signatures made with PGP 2.2 or earlier versions. This is
  134.       not true for PGP 2.6 and 2.6.1, because the RSAREF library only
  135.       understands the new signature format introduced with PGP 2.3a.
  136.  
  137.       The use of the MPILIB library is the main reason why PGP 2.6.i is
  138.       illegal to use within the USA. If you are in the USA, you should compile
  139.       the source code using the -DUSA_ONLY option or get a copy of the
  140.       original MIT 2.6.1 release.
  141.  
  142.   (4) It circumvents the "legal kludge"
  143.  
  144.       PGP 2.6.1 contains a "feature" that will cause it to generate keys and
  145.       messages that are not readable by PGP 2.3a and earlier versions. This
  146.       is the "legal kludge", and was introduced to encourage users in the USA
  147.       to upgrade from PGP 2.3a.
  148.  
  149.       PGP 2.6.i does NOT have the "legal kludge". This means that messages and
  150.       keys generated with PGP 2.6.i can be used and understood by all existing
  151.       2.x versions of PGP. However, it is still possible to generate keys and
  152.       messages in the new format by specifically setting the legal_kludge flag
  153.       in your config.txt file:
  154.  
  155.       legal_kludge = on
  156.  
  157.       This option may also be set on the command line: "pgp +le=on <command>".
  158.  
  159.       Note: MIT PGP 2.6.1 also has a legal_kludge option, but this can only
  160.       be set on the command line, and it contains a bug that requires you to
  161.       specify more than one parameter for it to work. In PGP 2.6.i, the
  162.       legal_kludge works the way it was intended, although the default setting
  163.       is OFF, not ON.
  164.  
  165.   (5) It can handle keys as big as 2048 bits
  166.  
  167.       Originally, PGP was only intended to be able to use key sizes up to 1024
  168.       bits. However, a "bug"/undocumented feature in PGP 2.3a allowed users
  169.       of this version to generate and use keys up to 1280 bits. With the
  170.       release of PGP 2.6, a restriction was added so that keys larger than
  171.       1024 bits were no longer allowed. This resulted in a number of "hack-
  172.       versions" that allowed bigger keys, even as big as 4096 bits.
  173.  
  174.       PGP 2.6.i allows you to use keys as big as 2048 bits. After 1 December
  175.       1994, it will also be able to create keys of this size. The reason for
  176.       this is that by this time it is likely that most people will have
  177.       upgraded to a PGP version that can handle such keys. If lots of people
  178.       started generating 2048-bit keys now, then this might lead to
  179.       incompatibility problems. It should be said, however, that using keys
  180.       beyond 1024 bits adds very little extra security, but at the same time
  181.       takes much longer when decrypting and signing messages. It is a general
  182.       belief that 1024 bits will still be plenty several decades into the
  183.       future.
  184.  
  185.       Please remember that users of PGP 2.3a and 2.6.1 cannot encrypt messages
  186.       or verify signatures with keys that are bigger than 1280 bits.
  187.  
  188.   (6) It fixes a bug in verifying clearsigned messages
  189.  
  190.       When signing a message in clearsign mode, PGP will add a blank line
  191.       right after the "-----BEGIN PGP SIGNED MESSAGE-----" header. If someone
  192.       later adds extra lines of text above this blank line, PGP will simply
  193.       skip them when verifying the signature. This makes it possible for
  194.       people to add extra text at the beginning of a clearsigned message, and
  195.       PGP will still give a good signature when verifying it. However, the
  196.       cleartext produced by PGP will not contain the extra text.
  197.  
  198.       This bug is present in all existing PGP versions except 2.6.i. It will
  199.       probably be fixed in MIT PGP 2.6.2, too.
  200.  
  201.  
  202. DIFFERENCES BETWEEN PGP 2.6.i and 2.6ui
  203.  
  204. A PGP version that has been very popular among non-US users of PGP is 2.6ui.
  205. If you have been using PGP 2.6ui up to now, you should note that PGP 2.6.i
  206. differs from this version in the following ways:
  207.  
  208.   (1) It is a "real" 2.6 version
  209.  
  210.       PGP 2.6.i is based on the source code for PGP 2.6.1, whereas PGP 2.6ui
  211.       is based on the source code for 2.3a. This means that 2.6.i contains a
  212.       lot of bug-fixes that are not present in 2.6ui, and it also adds a
  213.       number of new features that 2.6ui lacks. These include the new PUBRING,
  214.       SECRING, RANDSEED and COMMENT options in config.txt.
  215.  
  216.   (2) It doesn't have the version_byte option
  217.  
  218.       PGP 2.6ui has an option to allow you to choose which message format to
  219.       use when generating keys and messages. This is the version_byte option,
  220.       and can be set both in the config.txt file and on the command line:
  221.  
  222.       version_byte = 2    (use backwards-compatible format)
  223.       version_byte = 3    (use new 2.6 format)
  224.  
  225.       In PGP 2.6.i, the same is accomplished using the legal_kludge flag:
  226.  
  227.       legal_kludge = off  (use backwards-compatible format)
  228.       legal_kludge = on   (use new 2.6 format)
  229.  
  230.   (3) It doesn't have the armor_version option
  231.  
  232.       PGP 2.6ui has an option to let you "forge" the version number in the
  233.       ASCII armored files produced by PGP. In PGP 2.6.i, the armor_version
  234.       option is NOT supported, as this is a feature that is heavily misused.
  235.       If you must change the version number of your keys and messages, you can
  236.       do so in the language.txt file instead.
  237.  
  238.  
  239. LEGAL STUFF
  240.  
  241. PGP 2.6.i is not approved by MIT or PRZ or NSA or the Pope or anyone else.
  242. However, it should be possible to use it legally by anyone in the free world
  243. (i.e. all countries except USA, IRAQ and a few others). Most of the code was
  244. exported illegally from the USA, but once exported anyone may use it freely.
  245. If you are inside the USA, you should compile the source using the -DUSA_ONLY
  246. option, which will in fact give you a version that is identical to MIT PGP
  247. 2.6.1.
  248.  
  249.  
  250. HOW TO CONTACT THE AUTHOR
  251.  
  252. All questions regarding PGP 2.6.i should be addressed to Stale Schumacher
  253. <staalesc@ifi.uio.no>, not to PRZ, MIT or anyone else, as they have nothing
  254. to do with this release. Comments, bug reports and suggestions for future
  255. releases are welcome.
  256.  
  257.  
  258. -----BEGIN PGP SIGNATURE-----
  259. Version: 2.6.i
  260.  
  261. iQCVAgUBLqFXFrCfd7bM70R9AQEsCgP/dHmrRzR4PiH9KmKZPgQrkRJsdJoOb8Bg
  262. bO3F19pIJ6tysS4/fFXmfzx3zo0BekWD6wtrC8r5SeIP1e6Fe+dxFlPiukAovWlY
  263. aBrnHmYEvd3/dwvriqdaeTccP2UMlnI7k5UVgAed2GGzFXyqgKzfR5dokQ4+s+/w
  264. qgubL+1+ed0=
  265. =BPrq
  266. -----END PGP SIGNATURE-----
  267.