🚀 go-pugleaf

$B?7>k!wC^GHBg3X>pJs$G$9!#$3$s$K$A$O!#(B

In article <86tzsictp8.fsf@bsd2.4bn.ne.jp>
	Yoshitaka Ikeda <ikeda@4bn.ne.jp> writes:

> $B%*!<%W%s%=!<%9$N%=%U%H%&%'%"$@$H!"<+J,$GDI$$$+$1$l$P$$$$$o$1$@$1$I!"(B
> $B%W%m%W%i%$%(%?%j$J%=%U%H%&%'%"$@$H!"$I$&8!>Z$9$l$P$$$$$s$@$m$&$+!#4p(B
> $BK\$O%=!<%9%Y!<%9$G8!>Z$9$k$7$+$J$$$s$@$H;W$&$s$@$1$I!#(B

$B%=!<%9%3!<%I$,$"$C$F$b!"Fq$7$$$3$H$,$"$j$^$9!#@N!"#C%3%s%Q%$(B
$B%i$K<j$,F~$C$F$$$F!"(BUnix $B$N(B /bin/login $B$K<+F0E*$K%P%C%/%I%"(B
$B$,:n$i$l$k$H$$$&OC$,$"$j$^$7$?!#%=!<%9!&8+$F$b!"%P%C%/%I%"$N(B
$BM-L5$O%A%'%C%/$G$-$^$;$s!#(B

> $B8xE*$J%=%U%H%&%'%"G'>Z5!4X$H$+:n$l$J$$$b$N$+$J!#!V(BAES Certified$B!W$H(B
> $B$+!V(BCamellia Certified$B!W$H$+!"%Q%C%1!<%8$K%m%4$,$"$C$?$i0B?446$OA}$9(B
> $B$H;W$&$N$@$1$I!#(B

$B$?$7$+$KM_$7$$$G$9$M!#$?$@!"%U%j!<!&%=%U%H%&%'%"$@$H!"%=!<%9(B
$B$,$"$C$F$b!"G'>Z<h$l$J$$!J$*6b$rJ'$&?M$,$$$J$$!K$H$$$&>uBV$K(B
$B$J$k$+$b$7$l$^$;$s!#$?$H$($P!"(BWindows $B$N%I%i%$%P$G!"G'>Z<h$k(B
$B$N$K2?K|1_$H$+$+$k$N$O!"$+$J$j$D$i$$!#(B

> $B0l1~!"%"%k%4%j%:%`$H$7$F$O0BA4$J(BRC4$B$r;H$C$?(BWEP$B$,2r$+$l$?$3$H$r9M$($k(B
> $B$H!"@=IJ$=$N$b$N$N%;%-%e%j%F%#$K$D$$$F(B($B;H$o$l$F$$$k0E9f$NL>A0$@$1$G(B
> $B$O$J$/(B)$B%f!<%6!<$,$b$&$A$g$C$HH=CG$G$-$k:`NA$r5R4QE*$K<($;$k$H$$$$$+(B
> $B$J!"$H;W$$$^$9!#(B

$B!V%f!<%6!W$K$b$$$m$$$m$$$k$N$G!"0E9f$N%"%k%4%j%:%`$r8@$o$l$F$b:$$k%f!<(B
$B%6$b$$$^$9!#$=$l$r;Y$($k$N$O!"@/I\$J$N$+$b$7$l$J$$$1$l$I!"$d$l$H8@$o$l(B
$B$F$G$-$k$+$I$&$+!#(B

> #CRYPTREC$B$H$+$G$d$i$J$$$+$J!#(B

$B$G$-$^$9$+$M!#(B

$B!@!@!!?7>k!!Lw!!!J$7$s$8$g$&!!$d$9$7!K!!!@!@(B
$B!@!@!!C^GHBg3X!!EE;R!&>pJs!!!!!!!!!!!!!!!@!@(B

yas@is.tsukuba.ac.jp (Yasushi Shinjo) writes:

> 新城＠筑波大学情報です。こんにちは。
>
> In article <86tzsictp8.fsf@bsd2.4bn.ne.jp>
> 	Yoshitaka Ikeda <ikeda@4bn.ne.jp> writes:
>
>> オープンソースのソフトウェアだと、自分で追いかければいいわけだけど、
>> プロプライエタリなソフトウェアだと、どう検証すればいいんだろうか。基
>> 本はソースベースで検証するしかないんだと思うんだけど。
>
> ソースコードがあっても、難しいことがあります。昔、Ｃコンパイ
> ラに手が入っていて、Unix の /bin/login に自動的にバックドア
> が作られるという話がありました。ソース・見ても、バックドアの
> 有無はチェックできません。

ああ、このレベルまでいっちゃうとこまりますね。
コンパイラの真正性についても検証する必要があるってのは考えておく必要が
ありますね。

ただ、暗号の場合、鍵と入力が一致すれば別に作成されたコードでも
同じ出力が得られるので、入出力フォーマットとか鍵のフォーマットさえ
わかっちゃえば何とかなりそうな気もしなくはないです。
二つ以上のコンパイラで出力を比較するとか。

>> 公的なソフトウェア認証機関とか作れないものかな。「AES Certified」と
>> か「Camellia Certified」とか、パッケージにロゴがあったら安心感は増す
>> と思うのだけど。
>
> たしかに欲しいですね。ただ、フリー・ソフトウェアだと、ソース
> があっても、認証取れない（お金を払う人がいない）という状態に
> なるかもしれません。たとえば、Windows のドライバで、認証取る
> のに何万円とかかるのは、かなりつらい。

難しいところですねぇ。当然マンパワーが必要なので、タダというわけには
いかないんでしょうが。フリー・ソフトウェアのように、フリー・サーティフィケイト
ができればよいのでしょうが。

>> 一応、アルゴリズムとしては安全なRC4を使ったWEPが解かれたことを考える
>> と、製品そのもののセキュリティについて(使われている暗号の名前だけで
>> はなく)ユーザーがもうちょっと判断できる材料を客観的に示せるといいか
>> な、と思います。
>
> 「ユーザ」にもいろいろいるので、暗号のアルゴリズムを言われても困るユー
> ザもいます。それを支えるのは、政府なのかもしれないけれど、やれと言われ
> てできるかどうか。

いま、考えてるユーザというのは、企業とか官公庁とかでソフトウェアの導入を
検討している担当者、のレベルを考えてます。企業のセキュリティクライテリアに
合致したソフトウェアか否かを判定する必要があるのでは、と思ってます。

CRYPTRECは、「**というアルゴリズムなら安心だ」という指標を出しました。
で、ソフトを導入する際に「**というアルゴリズムが入ってる(とされている)
ソフトウェアだから安心だ」というと、やっぱり、本当に入ってるのかは
問題になっちゃうんじゃないかなぁ。

>> #CRYPTRECとかでやらないかな。
>
> できますかね。

どうでしょうねぇ。一部の製品のみを推奨しちゃうことになると、中立性を
損ねるからなかなか難しいかな。

師匠が、CRYPTRECの偉い人なので、今度聞いてみようと思います。
来週の土曜日に会う予定だったり。
-- 
I LOVE SNOOPY!  でつ
Yoshitaka Ikeda mailto:ikeda@4bn.ne.jp
My Honeypot: honey@4bn.ne.jp  <-don't send this address

$B?7>k!wC^GHBg3X>pJs$G$9!#$3$s$K$A$O!#(B

In article <86644cj0yj.fsf@bsd2.4bn.ne.jp>
	Yoshitaka Ikeda <ikeda@4bn.ne.jp> writes:
> $B$?$@!"0E9f$N>l9g!"80$HF~NO$,0lCW$9$l$PJL$K:n@.$5$l$?%3!<%I$G$b(B
> $BF1$8=PNO$,F@$i$l$k$N$G!"F~=PNO%U%)!<%^%C%H$H$+80$N%U%)!<%^%C%H$5$((B
> $B$o$+$C$A$c$($P2?$H$+$J$j$=$&$J5$$b$7$J$/$O$J$$$G$9!#(B
> $BFs$D0J>e$N%3%s%Q%$%i$G=PNO$rHf3S$9$k$H$+!#(B

$B0E9f$C$F!"4X?tE*$J$N$G!"$=$NItJ,$@$1$J$i8!>Z$7$d$9$$$s$G$9$M!#(B

$BFq$7$$$=$&$J$N$+!"IaDL$N=PNO0J30$K!"M>7W$J=PNO$r$7$J$$$H$$$&(B
$B$H$3$m$N8!>Z$+$J!#%U%!%$%k$K=q$+$J$$$H$+!"%M%C%H%o!<%/$K$3$C(B
$B$=$jAw?.$7$J$$$H$+!#$3$3$^$G9T$/$H0E9f$NOC$G$O$J$/$J$C$F$-$F(B
$B$k$1$l$I!#(B

$B0l1~!"8&5f$H$7$F$O!"#O#S%l%Y%k$G$o$+$k$b$N$O;_$a$k$H$$$&$N$O(B
$B$d$C$F$$$?$N$G$9$1$l$I!#:#$@$H!"(BSELinux $B$H$+!"(BWindows Vista 
$B$K$b2?$+%"%W%j%1!<%7%g%s$r3VN%$9$k;EAH$_$,F~$C$F$$$?$H;W$$$^(B
$B$7$?!J2?$H$$$&L>A0$G$7$?$C$1!)!K!#Fq$7$$$N$O!"J#?t$N%"%W%j%1!<(B
$B%7%g%s$r:.$<$k$"$?$j!#3VN%$7$9$.$k$H!":.$<$i$l$J$/$J$j$^$9!#(B

> > $B$?$7$+$KM_$7$$$G$9$M!#$?$@!"%U%j!<!&%=%U%H%&%'%"$@$H!"%=!<%9(B
> > $B$,$"$C$F$b!"G'>Z<h$l$J$$!J$*6b$rJ'$&?M$,$$$J$$!K$H$$$&>uBV$K(B
> > $B$J$k$+$b$7$l$^$;$s!#$?$H$($P!"(BWindows $B$N%I%i%$%P$G!"G'>Z<h$k(B
> > $B$N$K2?K|1_$H$+$+$k$N$O!"$+$J$j$D$i$$!#(B
> 
> $BFq$7$$$H$3$m$G$9$M$'!#EvA3%^%s%Q%o!<$,I,MW$J$N$G!"%?%@$H$$$&$o$1$K$O(B
> $B$$$+$J$$$s$G$7$g$&$,!#%U%j!<!&%=%U%H%&%'%"$N$h$&$K!"%U%j!<!&%5!<%F%#%U%#%1%$%H(B
> $B$,$G$-$l$P$h$$$N$G$7$g$&$,!#(B

$B%U%j!<!&%=%U%H%&%'%"$r:n$k$H!"$=$l$J$j$K(B respect $B$7$F$b$i$((B
$B$k$o$1$J$N$G$9$1$l$I!"$=$l$HF1$8$h$&$K!"%U%j!<!&%5!<%F%#%U%#(B
$B%1%$%H$K$D$$$F$b!"(Brespect $B$7$F$b$i$($kJ70O5$$,=P$F$/$k$H$$$$(B
$B$N$+$J!#$=$&$9$l$P!"%?%@$G$b$d$k?M$,=P$F$/$k$H!#(B

$B!@!@!!?7>k!!Lw!!!J$7$s$8$g$&!!$d$9$7!K!!!@!@(B
$B!@!@!!C^GHBg3X!!EE;R!&>pJs!!!!!!!!!!!!!!!@!@(B

yas@is.tsukuba.ac.jp (Yasushi Shinjo) writes:

> 新城＠筑波大学情報です。こんにちは。
>
> フリー・ソフトウェアを作ると、それなりに respect してもらえ
> るわけなのですけれど、それと同じように、フリー・サーティフィ
> ケイトについても、respect してもらえる雰囲気が出てくるといい
> のかな。そうすれば、タダでもやる人が出てくると。

こんな記事が出ていました。


http://www.ipa.go.jp/about/press/20071207.html
民間初の暗号モジュール試験機関を承認
　～試験業務を民間へ移管～

IPAでは、「安心」して利用できる情報化基盤の構築・維持のため、ITセキュリティ対策の強化、整備を進めています。
　この活動の一環として、暗号モジュール(注1)において電子政府推奨暗号リスト(注2)等に示された暗号アルゴリズムが適切に実装されていることを確認すると共に、暗号鍵やID、パスワードといった重要情報のセキュリティが確保されていることを試験及び認証する制度「JCMVP(Japan Cryptographic Module Validation Program )」を、2007年4月1日より運用しています。
　これまでIPAは、民間の暗号モジュール試験機関が承認されるまで、暗号モジュール認証機関と暗号モジュール試験機関を兼務してきました。今般、 2007年12月7日に、株式会社 電子商取引安全技術研究所評価センターをJCMVPの暗号モジュール試験機関として承認しました。これは、JCMVPにおける初の民間の暗号モジュール試験機関になります。これに伴い、IPAの暗号モジュール試験の新規申込受付は、2007年12月28日午後5時をもって終了します。
　なお、既にIPAで受付済みの暗号モジュール試験業務は、上記期限を過ぎた後も引き続きIPAが行います。

　暗号モジュール試験及び認証制度（JCMVP）の詳細は、以下のウェブサイトをご参照ください。
　　URL： http://www.ipa.go.jp/security/jcmvp/



更新が古いのかもしれないけど、まだ2製品しか認証されていません。
http://www.ipa.go.jp/security/jcmvp/val.html
制度自体が求められていないのか...

-- 
I LOVE SNOOPY!  でつ
Yoshitaka Ikeda mailto:ikeda@4bn.ne.jp
My Honeypot: honey@4bn.ne.jp  <-don't send this address

Yoshitaka Ikeda <ikeda@4bn.ne.jp> writes:
> オープンソースのソフトウェアだと、自分で追いかければいいわけだけど、プロプライエタリなソフトウェアだと、どう検証すればいいんだろうか。基本はソースベースで検証するしかないんだと思うんだけど。
>
> 公的なソフトウェア認証機関とか作れないものかな。
> 「AES Certified」とか「Camellia Certified」とか、パッケージにロゴがあったら安心感は増すと思うのだけど。
>
>
> 一応、アルゴリズムとしては安全なRC4を使ったWEPが解かれたことを考えると、製品そのもののセキュリティについて(使われている暗号の名前だけではなく)ユーザーがもうちょっと判断できる材料を客観的に示せるといいかな、と思います。

http://www.ipa.go.jp/software/open/ossc/2008/gpg/koubo2.html
「ファイル暗号化ソフトウェアの開発」に係る公募（企画競争）

こんなのが出てました。IPAの公募でGnuPGをISO/IEC 19790に合致させると
いうものです。

暗号は金にならんのだろうなぁ。

-- 
I LOVE SNOOPY!  でつ
Yoshitaka Ikeda mailto:ikeda@4bn.ne.jp
My Honeypot: honey@4bn.ne.jp  <-don't send this address