「Symantec、ソースコード流出を受けpcAnywhereの無効化を呼びかける」記事へのコメント

ソースコード漏洩＝通信内容が漏洩？

[Anonymous Coward]

pcAnywhereはPC同士が直接接続して通信を行うため、エンコード技術や暗号化技術に関するソースコードを攻撃者が入手していれば、通信内容が読み取られる可能性がある。

今時暗号化技術なんて、仕様から実装から公開しまくって、四方八方から検証という名の査読を受けてようやく一人前、だと思っていたのですが、少なくともバージョン12.5以前のpcAnywhereについては、仕様や実装を開示されたら困るタイプの暗号化を使用していた、ということなんでしょうか。

Re:ソースコード漏洩＝通信内容が漏洩？

[shesee (27226)]

ストリーム暗号の安全性の評価はまだ不十分なはず。使っている疑似乱数列の実装が漏洩するだけで、解読までの工程がかなり省力化される可能性がある。ましてやライセンスの都合上ユーザーが必ずしも最新版を使っているわけでも無く、過去のバージョンはWEPのような不適切なストリーム暗号の実装とか短い鍵長などの問題がある可能性も高い。

Re:

[Anonymous Coward]

なるほどSSLって危険極まりなかったんですね

Re:ソースコード漏洩＝通信内容が漏洩？

[shesee (27226)]

ええ、SSL2.0の脆弱性の問題で、設定からSSL2.0を無効にするように推奨された歴史を忘れましたか？

Re:

[Anonymous Coward]

つまり隠蔽してればSSL2.0を今でも使えたとかpcAnuwhereはSSL2.0並みの強度だと言いたいわけ?

Re:

[Anonymous Coward]

>ええ、SSL2.0の脆弱性の問題で、設定からSSL2.0を無効にするように推奨された歴史を忘れましたか？

SSL 2.0って、ストリーム暗号が使われていましたっけ？
で、それに起因する脆弱性はありました？

Re:

[Anonymous Coward]

>SSL 2.0って、ストリーム暗号が使われていましたっけ？

失礼、選択肢の中のRC4だけはストリーム暗号でしたね。
ただ、SSL2.0の問題は、ストリーム暗号ゆえの問題ではないと認識してましたが、違いましたっけ？

Re:ソースコード漏洩＝通信内容が漏洩？

[shesee (27226)]

中間詐称によって弱い暗号にフォールバックされるけど、弱い暗号ってRC4 40bitじゃなかったっけ？まあRC4自体の実装の問題では無いけど。

鍵？

[Anonymous Coward]

もしかして、ソースには秘密鍵が書いてあったのかもね、とのアナリストのコメント。
http://www.computerworld.com/s/article/print/9223725 [computerworld.com]

そういう類のことなら、あってもおかしくないかも。
ただ、秘密鍵だとして、それをインド政府だったかに開示する必要があったかは不明。

Re:

[Anonymous Coward]

もしインド政府に秘密鍵を開示していたとしたら、別にソースが漏れていなくても危険な気がする。特にインドを信用しないわけじゃないけれど、常識的に考えるとかなりまずい状況だよな。

Re:

[Anonymous Coward]

少なくとも開示先にとっては、pcAnywhereの暗号通信は丸裸も同然、って時点で危険きわまりないですね。

そもそも秘密鍵を開示したこと自体が秘密なはずなので、万が一漏洩したとしてもその事実を開示できないでしょうし。