「Symantec、ソースコード流出を受けpcAnywhereの無効化を呼びかける」記事へのコメント

ソースコード漏洩＝通信内容が漏洩？

[Anonymous Coward]

pcAnywhereはPC同士が直接接続して通信を行うため、エンコード技術や暗号化技術に関するソースコードを攻撃者が入手していれば、通信内容が読み取られる可能性がある。

今時暗号化技術なんて、仕様から実装から公開しまくって、四方八方から検証という名の査読を受けてようやく一人前、だと思っていたのですが、少なくともバージョン12.5以前のpcAnywhereについては、仕様や実装を開示されたら困るタイプの暗号化を使用していた、ということなんでしょうか。

Re:

[shesee (27226)]

ストリーム暗号の安全性の評価はまだ不十分なはず。使っている疑似乱数列の実装が漏洩するだけで、解読までの工程がかなり省力化される可能性がある。ましてやライセンスの都合上ユーザーが必ずしも最新版を使っているわけでも無く、過去のバージョンはWEPのような不適切なストリーム暗号の実装とか短い鍵長などの問題がある可能性も高い。

Re:

[Anonymous Coward]

なるほどSSLって危険極まりなかったんですね

Re:ソースコード漏洩＝通信内容が漏洩？

[shesee (27226)]

ええ、SSL2.0の脆弱性の問題で、設定からSSL2.0を無効にするように推奨された歴史を忘れましたか？

Re:

[Anonymous Coward]

つまり隠蔽してればSSL2.0を今でも使えたとかpcAnuwhereはSSL2.0並みの強度だと言いたいわけ?

Re:

[Anonymous Coward]

>ええ、SSL2.0の脆弱性の問題で、設定からSSL2.0を無効にするように推奨された歴史を忘れましたか？

SSL 2.0って、ストリーム暗号が使われていましたっけ？
で、それに起因する脆弱性はありました？

Re:

[Anonymous Coward]

>SSL 2.0って、ストリーム暗号が使われていましたっけ？

失礼、選択肢の中のRC4だけはストリーム暗号でしたね。
ただ、SSL2.0の問題は、ストリーム暗号ゆえの問題ではないと認識してましたが、違いましたっけ？

Re:ソースコード漏洩＝通信内容が漏洩？

[shesee (27226)]

中間詐称によって弱い暗号にフォールバックされるけど、弱い暗号ってRC4 40bitじゃなかったっけ？まあRC4自体の実装の問題では無いけど。