「ソフォスのディスク暗号化ツールに不具合、ノートPC紛失によって発覚」記事へのコメント

脆弱性には以前から気がついてたんじゃないの？

[GameKeeper (777)]

サイボウズの情報もJVNの情報も読みましたが、これってつまり
Sophos Disk Encryptionをインストールすると常に復帰時の
Windowsの認証が効かなくなるってことでしょう？

だとるすと、Sophos Disk Encryptionを導入している企業はみんな
知ってたんじゃないかなと。
Sophos的にも「それは仕様です。(｀・ω・´)キリッ」みたいな。

それとも、特定の複合条件（特定HW、OSパッチ等）を満たしたときにのみ
認証されないんでしょうか。 発表からは読み取れませんでしたが。

少なくとも、このPCを紛失したサイボウズの中の人やシステム管理者は復帰時に
認証されないことは知ってたと推測できますけど、どうなんでしょう。
「会社はパスワード設定しろとかウザいけど、なんか最近認証画面でないしラッキー」
ぐらいの甘い認識だったのではないでしょうか。

Re:

[GameKeeper (777)]

Sophosの下記の情報をみると、「POA（Power-on Authentication）」を
オフにするとWindowsのログイン認証をバイパスするようになる
みたいですね。
http://www.sophos.com/ja-jp/support/knowledgebase/121066.aspx

Sophos Disk Encryptionをインストールして最初にログインした時点で
Windowsの認証情報をPOAが取得し、以後はPOAが代わりにパスワードを
入力してくれるようです。

ユーザーが自分で無効化できる類のものではないようなので
管理者がPOAを無効にして渡したか、POAのパスワードを
ユーザー自身が空白にしたかと考えられます。
どちらにせよ、以前からログイン時にパスワード認証は無かったことを
認識していた可能性が高いですね。
まぁ、業務データの運搬・運用についてその程度の認識だったと。

Re:脆弱性には以前から気がついてたんじゃないの？

[Anonymous Coward]

普段使わない環境＋スリープなんて使わない運用とかしてたらエンドユーザーは気づかないかもしれない。