アカウント名:
パスワード:
指紋認証が通った時、ロックシステムにパスコードを渡すためにストレージのどっかにパスコードが（ハッシュじゃなくて）まるっと保存されていると思うんだけど、そういうもんじゃないのかな？
指紋認証とパスコードは別々だと思いますけど…指紋が通ったら、システム内部で保存してあるパスコードを使うことにするなんて実装は頭悪すぎるでしょ。
だってパスコードってハードウェアキーと合わせてクラスキーを作り、それがファイルを復号するキーを復号するのに使われる [apple.com](PDF file)んでしょ。
だから、指紋認証だけでユーザーからパスコードの入力がされない場合でも、正しいクラスキーを生成するためには、パスコードのハッシュじゃなくて「パスコードそのもの」をクラスキー生成プログラムに渡せるようにどっかに持っていなければならないはず。
別にストレージに恒久的に保持されてる訳ではないです。
A7以降CPUでは・端末起動時に毎回ランダムで一時的なキーが生成されSecure Enclaveの暗号化されたメモリで使用される。・再起動すると毎回最初の1回はパスコードの入力を求められる。・復号されたキーはCPU内で独立し外部からアクセスできないSecure Enclaveの暗号化されたメモリ内で一時的に保持される。・パスコード入力失敗やTouch IDの認証失敗のカウント、前回認証からの経過時間の確認もSecure Enclave内で行われるのでストレージのバックアップを使ってのブルートフォース攻撃も意味が無い。
へ〜、普通の民生品でもそんなに高度なことやってるんだ。パスワードで xor とってから保存するなんてことやってた時代が嘘みたい。
それ単に「言い返すためだけのあら探し」以上の意味がある話なの?
いや、実際#2996711 [apple.srad.jp]の話理解できる？できるという超能力者ならそれでいいけど。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー
5s以降ってパスコードじゃなくて指紋認証でロック解除できるってことは (スコア:0)
指紋認証が通った時、ロックシステムにパスコードを渡すために
ストレージのどっかにパスコードが（ハッシュじゃなくて）まるっと保存されていると思うんだけど、
そういうもんじゃないのかな？
Re: (スコア:0)
指紋認証とパスコードは別々だと思いますけど…
指紋が通ったら、システム内部で保存してあるパスコードを使うことにするなんて実装は頭悪すぎるでしょ。
Re: (スコア:0)
だってパスコードって
ハードウェアキーと合わせてクラスキーを作り、それがファイルを復号するキーを復号するのに使われる [apple.com](PDF file)
んでしょ。
だから、指紋認証だけでユーザーからパスコードの入力がされない場合でも、正しいクラスキーを生成するためには、
パスコードのハッシュじゃなくて「パスコードそのもの」をクラスキー生成プログラムに渡せるように
どっかに持っていなければならないはず。
Re:5s以降ってパスコードじゃなくて指紋認証でロック解除できるってことは (スコア:3, 参考になる)
別にストレージに恒久的に保持されてる訳ではないです。
A7以降CPUでは
・端末起動時に毎回ランダムで一時的なキーが生成されSecure Enclaveの暗号化されたメモリで使用される。
・再起動すると毎回最初の1回はパスコードの入力を求められる。
・復号されたキーはCPU内で独立し外部からアクセスできないSecure Enclaveの暗号化されたメモリ内で一時的に保持される。
・パスコード入力失敗やTouch IDの認証失敗のカウント、前回認証からの経過時間の確認もSecure Enclave内で行われるのでストレージのバックアップを使ってのブルートフォース攻撃も意味が無い。
Re: (スコア:0)
へ〜、普通の民生品でもそんなに高度なことやってるんだ。
パスワードで xor とってから保存するなんてことやってた時代が嘘みたい。
Re: (スコア:0)
それ単に「言い返すためだけのあら探し」以上の意味がある話なの?
Re: (スコア:0)
いや、実際#2996711 [apple.srad.jp]の話理解できる？
できるという超能力者ならそれでいいけど。