「Dropbox、データの暗号化に関する説明が正しくなかったとして告発される 」記事へのコメント

Dropship騒動

[Anonymous Coward]

先月ですが米Dropboxが自社サービスの脆弱性を利用するコードに対しDMCAによる削除を要請、問題に [osdn.jp]という話題があって、ちょっと調べてみたんですが、どうやらハッシュ指定でデータにアクセスするときは認証などすっ飛ばしてしまうようで。たぶんこの騒動が尾を引いてここに至ったのかなと。
データを分割したピースのハッシュ値なんかそうそう分かりっこないはずだから、いちユーザとしてはぼーと観てたんですけど、そんなにヤバい脆弱性なのかな。
関係ないけど、今月初頭LastPassにもセキュリティ騒動 [lastpass.com]がありまして。こちらもちょっと焦った。

Re:Dropship騒動

[Anonymous Coward]

> どうやらハッシュ指定でデータにアクセスするときは認証などすっ飛ばしてしまうようで。
本当にユーザー別にデータを暗号化しているならユーザーごとにハッシュ値が異なるので、そういうことは起こりえないんですよ。同じハッシュ値で異なるユーザーのデータにアクセスできること自体がDropBoxの説明に嘘があったことの証明になっているわけです。
話は飛びますけど、初期のWinnyには放流者別にデータを暗号化する機能があったのですが、キャッシュの共有が事実上できないのが不評だったのかすぐに廃止されてしまいましたね。