パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

それでも「Passport」に登録しますか?」記事へのコメント

  • 今回穴が見つかったとは書かれていませんよ。この記事で問題にされているのは、OS利用者が悪意あるプログラムを知らずにインストールしてしまう(トロイの木馬のインストール)場合で、その場合にトロイの木馬がWindowsのAPIでパスワードを平文で取り出せてしまう(Windows 98, Meの場合)という話。これはUNIX系OSで /etc/passwd を読み出す話に相当するのでは?

    今回問題にされているのは、

    過去にこの手口が使われなかった理由はただ1つ、わざわざやってみるほどの 価値がないからだとギブソンは語る。
    しかし、Passportの登場によって、ログイン情報の魅力は

    • ちょっとツッコミ。

      >これはUNIX系OSで /etc/passwd を読み出す話に相当するのでは?

      ごく古いUnixならそうかもしれませんね。
      現状、shadowなどの暗号化システムがあるので、たとえ/etc/passwdが読めても
      脆弱性にはならないと思いますけど。
      #shadowでの暗号化は一方向の暗号化であって、それからpasswordを
      #再現するのはとんでもない計算量が必要なはずで、
      #時間的に不可能だから。
      #・・・と思うのですけど、記憶怪しいかもしれません(汗)。
      #間違
      --
      ---- redbrick
      • > #shadowでの暗号化は一方向の暗号化であって、それかpassworを
        > #再現するのはとんでもない計算量が必要なはずで、
        > #時間的に不可能だから。

        あり得るパスワードを想定して同じ一方向性関数にかけて一致判定をする処理を繰り返すという攻撃方法がありますよ。 Crack [dircon.co.uk] とかご存じないですか?

        平文よりは暗号化した方がもちろんよいわけですが、暗号化したところで本質的に防げるわけではありません。論点を単純にするため(古いUNIXにおける) /etc/passwd を例に挙げました。元記事の最大の論点は、Passportほどの重大な情報を預かるシステムで、パス

        • >あり得るパスワードを想定して同じ一方向性関数にかけて一致判定をする
          >処理を繰り返すという攻撃方法がありますよ。

          全組み合わせの総当たりと言う手法ですよね?
          それは原理としては理解できますが、この場合に引き合いに出す意味が
          わたしには分かりません。
          #/etc/passwdが読み出せれば総当たりより確率が上がるってこと?
          #・・・でも、無限に試行できるならどんなシステムでも同じでしょ?
          #Unixのpasswdを引き合いに出す意味はなんだろう??

          わたしの方でshadowに付いての誤解があったのですが、shadowは
          passwordの暗号化結果を/etc/passwdと
          --
          ---- redbrick
          • 何か色々ごっちゃになってるみたいですが。

            /etc/passwd(/etc/shadow) を読まれて危険というのは、暗号化されたものから復号するわけじゃありません。
            特定の暗号化されたパスワードの平文を見つけるために、一個一個文字を変えつつ総当りで暗号化してアタックするわけでもありません。
            #そんな非効率なことしなくとも、
            --
            -- wanna be the biggest dreamer
            • /etc/passwd(/etc/shadow) を読まれて危険というのは、暗号化されたものから復号するわけじゃありません。

              そんなことみんなわかって書いていると思いますが.

              そして拾ってきた /etc/passwd(/etc/shadow) と比較してみればよろし。gre

              • 分かってるならいいですけど。

                >Crack [dircon.co.uk] とかご存じないですか?
                と、同様に疑いを抱いてる人もいるようですよ。

                ローカルリモートなどなど話を拡大すると発散するのでパス。
                暗号化されて格納されてるからといって安全ではない、という基本から確認。
                #一方向暗号かどうかも知らなかったらしいし。
                --
                -- wanna be the biggest dreamer
                親コメント

アレゲはアレゲを呼ぶ -- ある傍観者

処理中...