「APOPにパスワード漏洩の脆弱性」記事へのコメント

そもそもMD5自体がもはや安全ではない

[koshian (6999)]

過去のストーリーを探すとわかりますが、そもそももはやMD5自体が安全なハッシュでは無くなっています。
これはコンピュータの計算力向上に桁が追い付いてないだけなので、いつまでたってもいたちごっこでしょうね。

すでにPerlのDigest::SHAではSHA-1/224/256/384/512をサポートしています。
定期的に桁数をあげるようにしていかないといけませんね。

# タレコミいっぱいなおしていただいて、ありがとうございます >編集者さま

Re:そもそもMD5自体がもはや安全ではない

[satsuki (5219)]

MD5脆弱性は、コンピュータの計算力が向上したから起こった問題ではなく、
数学的に計算できる方法が見つかったというものです。

H=MD5(X)
のXとHがわかっているとき、
H=MD5(Y)
のYを簡単に計算できる、というもの。

今回の脆弱性は、
H=MD5(M,P)
のMを攻撃者から与えることができ、かつ攻撃者がHを知ることができた場合、
Pを31文字までなら知ることができる、というもの。

チャレンジ＆レスポンス方式でMD5はもう使えないということですね。
でも、チャレンジをコントロールできないといけないので、
横からのぞき見るだけではわからないようですね。

メッセージ認証としてのHMAC_MD5はどうなんでしょう？
本文はコントロールできないし、鍵はわからないし、まだ大丈夫そう？

Re:そもそもMD5自体がもはや安全ではない

[Vorspiel (2391)]

>H=MD5(X)
>のXとHがわかっているとき、
>H=MD5(Y)
>のYを簡単に計算できる、というもの。

それは(second) preimage attack．MD5で問題になってるのはcollision attack．