暗号ソフトウェア製品の真正性をどう検証すればいいのだろう。

Article View: fj.sci.crypt

Article #22

#22

From: Yoshitaka Ikeda
Date: Thu, 05 Jul 2007 23:32

27 lines
2330 bytes

ブログにも書いたんだけど、こちらで問題提起しておこう。



世の中に、多くのセキュリティ向けソフトウェアがあって、それの基幹技術として暗号が使われています。
で、まあ「＊＊」を使ってる、とか書いてあるわけですが、

・本当に、そのアルゴリズムを使っているのか
・暗号利用モード(ブロック暗号の場合)とか、パディング(公開鍵暗号とか)はどうなっているのか
・バックドアはないのか
・乱数をもとにセッション鍵等を作るものの場合、その乱数はどこから取ってるのか

オープンソースのソフトウェアだと、自分で追いかければいいわけだけど、プロプライエタリなソフトウェアだと、どう検証すればいいんだろうか。基本はソースベースで検証するしかないんだと思うんだけど。

公的なソフトウェア認証機関とか作れないものかな。
「AES Certified」とか「Camellia Certified」とか、パッケージにロゴがあったら安心感は増すと思うのだけど。


一応、アルゴリズムとしては安全なRC4を使ったWEPが解かれたことを考えると、製品そのもののセキュリティについて(使われている暗号の名前だけではなく)ユーザーがもうちょっと判断できる材料を客観的に示せるといいかな、と思います。

#CRYPTRECとかでやらないかな。

-- 
-- 
I LOVE SNOOPY!  でつ
Yoshitaka Ikeda mailto:ikeda@4bn.ne.jp
My Honeypot: honey@4bn.ne.jp  <-don't send this address

Technical Details

Message-ID: <86tzsictp8.fsf@bsd2.4bn.ne.jp>

Path:

arc1-ca.pugleaf.net!g2news1.google.com!news2.google.com!news.glorb.com!news2.arglkargh.de!news.tornevall.net!tomockey.ddo.jp!flora-gw!4bn.ne.jp!not-for-mail

Show Full Headers

Complete Article Headers

X-Google-Thread: 2ea938,1d123f61adb70d8,start
X-Google-Attributes: gid2ea938,public,usenet
X-Google-Language: Japanese,JIS
Path: arc1-ca.pugleaf.net!g2news1.google.com!news2.google.com!news.glorb.com!news2.arglkargh.de!news.tornevall.net!tomockey.ddo.jp!flora-gw!4bn.ne.jp!not-for-mail
From: Yoshitaka Ikeda <ikeda@4bn.ne.jp>
Newsgroups: fj.sci.crypt
Subject: 暗号ソフトウェア製品の真正性をどう検証すればいいのだろう。
Date: Fri, 06 Jul 2007 08:32:51 +0900
Organization: Yonbetsu Netzwerk
Lines: 27
Message-ID: <86tzsictp8.fsf@bsd2.4bn.ne.jp>
NNTP-Posting-Host: bsd2.4bn.ne.jp
Mime-Version: 1.0
Content-Type: text/plain; charset=iso-2022-jp
X-Trace: bsd2.4bn.ne.jp 1183678372 70478 133.31.107.233 (5 Jul 2007 23:32:52 GMT)
X-Complaints-To: ikeda@4bn.ne.jp
NNTP-Posting-Date: Thu, 5 Jul 2007 23:32:52 +0000 (UTC)
User-Agent: Gnus/5.11 (Gnus v5.11) Emacs/22.1 (berkeley-unix)
Cancel-Lock: sha1:o5QxrV61eP00MOvlZiI/z23QXqI=