🚀 go-pugleaf

叶＠長岡技科大です。

私が書いた <696kd2$6ul@newsserv.nagaokaut.ac.jp> の記事は、
細かく説明をしたため文章が長くなってしまい「理解してもらえないかな？」
とも思ったので、現象面から簡単に説明します。

<MAIL.97Dec29210939@sugihara.com> の記事で 
Satoshi Sugihara  さんは書きました。
>知人の知人自体はメールはほとんど使っていないようでしたが、同僚の中には
>プライバシーに関わるメールなども出していた人がいたらしく、「どうして開
>いてもいないのに、時々メールが取り込まれているのかしら？」と不審に思い、
>職場には相談できずに「社外で詳しい人がいたら聞いて欲しい」と頼まれ、そ
>れで（別に大して詳しくはないのですが）私にお鉢がまわってきました。そこ
>で色々な可能性を探っているうちに、最終的に AL-Mail の暗号化は手抜きで
>あり、これが見られていると仮定すると、起きている現象が全て説明できると
>いう結論に達しました。

この杉原さんの記事の結論によって、不正にメールをとりこんだ者がとったと
推測される行為（行為Ａ）は

１．パスワードが記録してある設定ファイル almail.prf にアクセスして
２．設定ファイルからパスワードを解読して
３．そのパスワードを使って ＊AL-Mailで＊ メールを取り込む

です。
重要なのは ＊AL-Mailで＊ という部分です。
AL-Mailで正規ユーザのディレクトリにメールを取り込まない限り、正規
ユーザが「どうして開いてもいないのに、時々メールが取り込まれているの
かしら？」と不審に思うことはありません。

しかし、実際にはそんなややこしいことをする必要はなく

１．パスワードが記録してある設定ファイル almail.prf にアクセスして
２．AL-Mailでメールを取り込む

だけ（行為Ｂ）で同じ現象をおこせてしまいます。つまり、起きている現象が
全て説明できるということです。
だとすればより簡単な行為Ｂが行われたと推測するのが自然でしょう。
また、行為Ｂで目的が達せられる以上、AL-Mail の暗号強度はこの現象に
（直接は）無関係です。

－－以下補足説明－－

行為Ａ、行為Ｂに共通する必要条件は「設定ファイルへのアクセス」です。
「設定ファイルへのアクセス」が実現できない限り行為Ａの２は実行できません。
つまり、設定ファイルに平文でパスワードが書いてあったとしても、そこから
パスワードを知ることはできないということです。（だってそのファイルの中身を
見ることができないんですから）

この必要条件「設定ファイルへのアクセス」ができる状態としては

Ａ：Win95 のローカルディスク上に設定ファイルがある
Ｂ：NTなどにおいてアクセス権の設定がおかしい、またはネットワークドライブへの
　　アクセスパスワードが盗まれている
Ｃ：正規ユーザがログインし席を外したスキに不正アクセスが行われた

などが考えられますが、いずれにしても AL-Mail の暗号強度とは関係がありません。
また、この中では Ａ がもっとも日常起こりやすいと考えられます。（杉原さんでは
なく）ユーザが Win95 に対して「ファイルに対するアクセスなどの基本的セキュリティ
は確立されている」という（誤った）認識を持っていればなおのことです。
Ｂ であれば AL-Mail のパスワードどうこうよりもネットワーク自体のセキュリティが
破られています。そちらの方を問題にすべきでしょう。
Ｃ ならば単にユーザの意識の問題でしょう。（ホントにこれだったら言語道断だな）

－－補足説明ここまで－－

よって、杉原さんがたどり着いた「メールが見られるという被害が生じた」のは
「AL-Mail がパスワードを ＊手抜き手法で＊ ディスクにセーブしていた事」が原因
である、という結論は誤りであると考えられる、ということです。

これだけわかりやすく書けば理解していただけるでしょう。
これで理解していただけないようならもう私にはどうしようもありません。

＃この現象は杉原さんいわく「入学祝いにパソコンを買ってもらった高校生並の知識で
＃全て説明できる」程度らしいので、もし理解していただけないとしたら、その程度の
＃知識すら持ち合わせていらっしゃらないのかもしれません。＞杉原さん
-- 
※一部に大人気！技大悪魔の辞典 http://cad7.nagaokaut.ac.jp/95/kanou/nutdic/
－－－－－－　叶　俊信 ( Kanou Toshinobu / RONA shun-shin )　－－－－－－
よっぱらいらい　長岡技術科学大学大学院機械システム工学専攻２年
よっぱらい　　　計画・経営系長谷川研究室人工生命研究班 0258-47-1611-3125
mail:rona@stn.nagaokaut.ac.jp & http://cad7.nagaokaut.ac.jp/95/kanou/