アカウント名:
パスワード:
当時、米国外で SSL を使おうとしたら、当然、その「輸出グレード」の暗号しか選択肢が無かったわけで、その当時としては脆弱性でもなんでも無い。
まぁ、輸出グレードの暗号が、強度的に十分かどうかは、当時から「このくらいの金額と時間をかければ解ける」みたいな話はあったけど、少なくとも、今、輸出グレードの暗号を解読するよりは、遥かに難しい状態だった事は確か。
だから、あくまでも「今となっては強度が不十分な暗号を使わせてしまう事ができる」というのが問題なのであって、「20 年前からの脆弱性」というのはおかしい。
違います。このバグは高強度の暗号が使えるはずのアメリカ内でも弱い暗号がつかわれてしまうというものです。
あっ、そうか。確かに米国内（および、輸出規制対象ではない国）においては、意図せずに暗号がダウングレードさせられる脆弱性になりますね。
ところで、輸出グレードの暗号にダウングレードさせられる脆弱性が、90 年代の実装から存在していた、となると、OpenSSL ではなく SSLeay の時代までさかのぼることになりますね。Microsoft も IE3 とかの時代から引き継がれていたのかなぁ。
逆に、Mozilla の NSS では問題が見つかってないとなると、その前身の Netscape の実装には問題が無かったのかなぁ。それとも、どこかで修正されていたりしたのかなぁ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
20年前には脆弱性では無かった (スコア:1)
当時、米国外で SSL を使おうとしたら、当然、その「輸出グレード」の暗号しか選択肢が無かったわけで、その当時としては脆弱性でもなんでも無い。
まぁ、輸出グレードの暗号が、強度的に十分かどうかは、当時から「このくらいの金額と時間をかければ解ける」みたいな話はあったけど、少なくとも、今、輸出グレードの暗号を解読するよりは、遥かに難しい状態だった事は確か。
だから、あくまでも「今となっては強度が不十分な暗号を使わせてしまう事ができる」というのが問題なのであって、「20 年前からの脆弱性」というのはおかしい。
Re: (スコア:1)
違います。
このバグは高強度の暗号が使えるはずのアメリカ内でも
弱い暗号がつかわれてしまうというものです。
-- 風は東京に吹いているか
Re:20年前には脆弱性では無かった (スコア:1)
あっ、そうか。確かに米国内（および、輸出規制対象ではない国）においては、意図せずに暗号がダウングレードさせられる脆弱性になりますね。
ところで、輸出グレードの暗号にダウングレードさせられる脆弱性が、90 年代の実装から存在していた、となると、OpenSSL ではなく SSLeay の時代までさかのぼることになりますね。Microsoft も IE3 とかの時代から引き継がれていたのかなぁ。
逆に、Mozilla の NSS では問題が見つかってないとなると、その前身の Netscape の実装には問題が無かったのかなぁ。それとも、どこかで修正されていたりしたのかなぁ。