アカウント名:
パスワード:
「mixi社にとって既知の脆弱性」には賞品が支払われないそうですが、mixi社にとって既知かどうかは外部からは検証不能なので、mixi社が報告して貰った脆弱性を全部「既知です！」と言い張れば結果として無料で脆弱性が診断されて美味しいね。
既知の脆弱性は全部ドキュメントにして公開鍵暗号で暗号化したうえで公開しておき、「mixi社にとって既知です」と宣言するときにはその脆弱性に対応する秘密鍵を通報者にはこっそり明らかにするとかしないとフェアじゃないよね。
もちろん、「公開された脆弱性が増えた」ことが攻撃者の情報にならないように、脆弱性が増えなくても毎日一つダミーデータをアップロードするとかして隠蔽するのは勿論必須でしょうが。
> 公開鍵暗号で暗号化したうえで公開しておき公開する必要が出た時に、復号鍵を公開するというシナリオだと思いますが、単なる公開鍵暗号だと実はそれが暗号学的には脆弱。狙ったメッセージになるような復号鍵を作れないなんて要件は考えられていないのです。そういうことをしたい時は「コミットメントプロトコル」をどうぞ。コミットメントという値を予め公開しておき、この値からはメッセージが求められない。で、しかるべき時に元のメッセージと、コミットメントと一緒に作った証拠を提出して、「最初から持っていたでしょ？」と言う事を保証できる、そんな性質。
何を言っているのかイマイチわかりませんが、鍵に対して、メッセージが十分長ければ不可能でしょうよ。
タイムスタンプじゃだめなの
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー
mixi社にとって既知かどうかなんて外部には分からない (スコア:0)
「mixi社にとって既知の脆弱性」には賞品が支払われないそうですが、
mixi社にとって既知かどうかは外部からは検証不能なので、
mixi社が報告して貰った脆弱性を全部「既知です！」と言い張れば
結果として無料で脆弱性が診断されて美味しいね。
既知の脆弱性は全部ドキュメントにして公開鍵暗号で暗号化したうえで公開しておき、
「mixi社にとって既知です」と宣言するときにはその脆弱性に対応する秘密鍵を
通報者にはこっそり明らかにするとかしないとフェアじゃないよね。
もちろん、「公開された脆弱性が増えた」ことが攻撃者の情報にならないように、
脆弱性が増えなくても毎日一つダミーデータをアップロードするとかして
隠蔽するのは勿論必須でしょうが。
Re:mixi社にとって既知かどうかなんて外部には分からない (スコア:0)
> 公開鍵暗号で暗号化したうえで公開しておき
公開する必要が出た時に、復号鍵を公開するというシナリオだと思いますが、単なる公開鍵暗号だと実はそれが暗号学的には脆弱。
狙ったメッセージになるような復号鍵を作れないなんて要件は考えられていないのです。
そういうことをしたい時は「コミットメントプロトコル」をどうぞ。
コミットメントという値を予め公開しておき、この値からはメッセージが求められない。
で、しかるべき時に元のメッセージと、コミットメントと一緒に作った証拠を提出して、「最初から持っていたでしょ？」と言う事を保証できる、そんな性質。
Re: (スコア:0)
何を言っているのかイマイチわかりませんが、鍵に対して、メッセージが十分長ければ不可能でしょうよ。
Re: (スコア:0)
タイムスタンプじゃだめなの