パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

LINEアプリ、エンドツーエンドの暗号化を実装」記事へのコメント

  • by Anonymous Coward on 2015年10月16日 16時05分 (#2901076)

    独自にこういうの実装してもすぐに破られる。
    openssl使えば一日とかからず実装できるようなことをようやくやってドヤ顔か。
    あと英語が下手すぎて話にならないから、日本語で書けと言っておく。

    • by Anonymous Coward

      > openssl使えば一日とかからず実装できるようなことをようやくやってドヤ顔か。

      「LINEサーバの管理者でさえもメッセージの内容を復号することができなくなる」
      をopensslで実装すると?

      • きっと、送受信者間にVPNを張って、その上をSSLで通信するんですよ。(「VPN張る方がよっぽど大穴になりそうだ」とか「VPNを暗号化しとけば、SSLは要らない」といった点は気にしない)

        …閑話休題

        opensslはともかく、「できるだけ既存の実装を流用する」という元コメの意見自体は妥当だと思うのですが、今回のようなものの場合どういう実装が考えられますかね。

        ぱっと思い浮かぶのはGnuPGですけど、GPLだからライセンス的に採用は無理だし…ちょっと美味い(最小限の手間で実装できる)方法が思いつきません。

        親コメント
      • by Anonymous Coward

        iOS9とかElCapitanとかのApp Transport Securityで必須の
        Forward secrecyならセッションの安全性が保たれる
        →それを実現するやり方の1つが楕円曲線DH方式を用いた
        暗号化鍵交換だ
        という落ちでは?
        だとすると鍵を作る側のopensslは関係無く、鍵を検証する
        側の実装が必要で、App Transport Securityとかがそれ
        では?

    • by Anonymous Coward

      opensslで脆弱性が明らかになったケースとか考えると、全部入り暗号スイート使うのと
      「既存の暗号アルゴリズム」を独自実装するのではどっちが安全かは甲乙つけがたいと思う。
      ぐちゃぐちゃなデータを受け入れる暗号関係の関数は異常系ってのがそもそも少ないというか、
      そういうバグがあれば既存のプログラムが吐いた暗号文と互換がない等で直ぐに発覚するだろう。
      メタなデータや拡張は扱わないからそのへんでの脆弱性も心配ないし。

      暗号アルゴリズムの組み合わせによる暗号アルゴリズムの安全性やその使い方は問題だけど、
      それは全部入り暗号スイートでもやらかすときはやらかしちゃうしなぁ…

      暗号アルゴリズムそれ自体を自作は破綻してる可能性が非常に高いから辞めたほうがいいけど。
      10秒後には使い物にならなくなった暗号 [h2np.net]」みたいになるのは目に見えてる。

UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie

処理中...