パスワードを忘れた? アカウント作成
9602680 story
暗号

FBIとNSA、インターネット企業にSSLのマスター暗号化キーを要求 59

ストーリー by headless
要求 部門より
あるAnonymous Coward 曰く、

FBIやNSAはインターネット企業から、ユーザーのプライベートWeb通信を保護するために使用されているHTTPSに使用されているSSLのマスター暗号化キーを取得しようと試みていたらしい。IPS関係者は匿名を条件に「政府からSSLキーを要求されたことがある」とCNETに証言。加えて「インターネット関連の大企業に関しては、こうした要求に対して抵抗したという話が出ているが、中小のインターネット企業の場合、それに抵抗できるかは疑問だ」とコメントしている(CNETの記事本家/.)。

MicrosoftとGoogleは政府からの要求があったかどうかについては回答しなかったが、要求があってもマスター暗号化キーを渡すことはないと回答したという。一方、Facebookでは政府からの要求を受けていないとした上で、そういった要求に対しては強く抵抗すると述べたそうだ。Apple、Yahoo、AOL、Verizon、AT&T、Time Warner Cable、Comcastの各社は、マスター暗号化キーを渡すかどうかという質問に対する回答を拒否したとのことだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by MeeD (18266) on 2013年07月27日 12時47分 (#2429599)

    情報とは共有されるべきものだ、というような思想のGoogleとFacebookが検閲に抗うというのがなんとも皮肉というか

    SSLで保護されていてもサービス内を通じて不特定多数から見られる時点で検閲されて困る書き込みするべきじゃないよね

    • Re:皮肉 (スコア:3, すばらしい洞察)

      by Anonymous Coward on 2013年07月27日 13時35分 (#2429622)

      情報とは共有されるべきものだ

      俺たちの下で

      親コメント
      • by Anonymous Coward

        Googleのはまさにコレ。前にFBに難癖つけてた時のへ理屈がまさにコレ。

    • by Anonymous Coward on 2013年07月27日 13時27分 (#2429620)

      >情報とは共有されるべきものだ
      出来る限り全てのWebページをスキャンして悪意があるサイトをブロックするのが目的だと自分は思ってます。
      広告収入で成り立ってるGoogleにとって、インターネット上での取引が「危険」なものだという認識が広まってしまうと一番大きな損害を被るのは広告シェアが圧倒的なGoogleのような企業です。

      国家権力であろうと、「マスター暗号化キー」を要求されたらGoogleの暗号化通信が信用できなくなり社の存続に関わるかもしれないので拒否して最後まで抵抗するはずです。

      親コメント
    • by Anonymous Coward

      > SSLで保護されていてもサービス内を通じて不特定多数から見られる時点で検閲されて困る書き込みするべきじゃないよね

      これには同意するが

      WikeLeaksならともかく秘密扱いの情報まで共有されるべきなんて思想GoogleやFacebookが持ってるとは思わないので皮肉でもなんでもない。

  • by Anonymous Coward on 2013年07月27日 12時56分 (#2429604)

    斜め読みするとそういう事になる。

    • by upken (38225) on 2013年07月27日 16時45分 (#2429678)

      公的なCAが鍵を提供したとしても、意味があるとは思えません。
      テログループ自身が俺様CAを立てて仲間内のみで運用していたら、解読できないのではないでしょうか。

      親コメント
      • by Anonymous Coward on 2013年07月27日 21時43分 (#2429783)

        すいません。きちんと書かなかったので趣旨が間違って伝わってしまったようです。
        FBIやNSAがマスター暗号化キーを要求したって事は、SSLにはバックドアが無い、安全な暗号だって事です。

        親コメント
        • by Anonymous Coward

          いやいや、穿った見方をすれば「どうせ暗号化キーなんか出してこないだろう」というGoogleなんかを狙い撃ちにしているだけかもしれんぞ。

          これでホイホイ渡しちゃうような企業が出てきたら「入手した暗号化キーで何やってるんだよ!」って国民に追求されるが、断られたのであればそこまで激しく叩かれずに済む。

          そして、要求したけど拒否られて、結果的に暗号化キーの入手に失敗している、と報じられれば「なんだ、FBIやNSAはSSL通信の情報を盗めないのか」と皆が安心してSSLを使う。それこそが奴らの狙いなのかもしれない。

          #ただの陰謀論

      • 公的なCAが鍵を提供

        そんな話は誰もしてないようだけど。

        CAの秘密鍵ではなく、HTTPSの秘密鍵の話をしてるんじゃない?

        親コメント
        • by Anonymous Coward on 2013年07月28日 11時10分 (#2429915)

          補足:

          *CAの秘密鍵が漏洩した時に発生する事象:
          偽物のウエブサイトの構築。
          例えば偽物のwww.google.co.jpやwww.microsoft.com
          が構築出来ます。
          CAの秘密カギは通常CAのみが持つ情報。

          *SSLのマスター暗号化キーが漏洩した時に発生する事象:
          SSLで暗号化された通信内容の盗聴。
          またSSLのマスターキーは全てのhttps対応サーバが
          持っている固有の情報。
          そのためFBI等はCAに提供を求めてはいない。
          サーバの管理者に提供を求めている。

          親コメント
          • *CAの秘密鍵が漏洩した時に発生する事象:
            偽物のウエブサイトの構築。

            それとリバースプロキシを組み合わせると、本物とまったく見分けのつかないサイトを構築することができて、さらにDNSを誤魔化すことが中間者攻撃が可能です。つまり、盗聴可能になるってことではあります。

            親コメント
            • こういう製品 [bluecoat.com]だとフォワードプロキシでも中間者攻撃ができるので、社外に出て行くSSL通信を全部検閲するなんてことをやっている会社もあるようです。(必要な証明書はActive Directoryとかで配布)

              CAの秘密鍵を突っ込んだこれをISPレベルの回線に(透過モードで)仕込むと・・・

              親コメント
      • by Anonymous Coward

        テログループがペイロードを暗号化してたらもっと意味がなくなる。
        テログループが暗号化をしようしていて~、という話をあまり聞かないのはなぜだろう。

    • by Anonymous Coward

      (FBIやNSAによる)ブラフでなければ、この話題の真に重要なところかもしれんね。

  • by jizou (5538) on 2013年07月27日 13時12分 (#2429611) 日記

    サーバーのデータは全て開示、
    通信は全てログを取って捜査の際にわかりやすいように整理しておけ、
    それでも信用できないから、俺たちが傍受したときのために、マスターキーをよこせ....

    いっそ、FBIやNSAが無料で認証局をやってくれればいいのかな? :p

  • by Anonymous Coward on 2013年07月27日 13時25分 (#2429617)

    SSL/TLSのマスター・シークレットって、セッション毎に動的に生成されんじゃないの?
    公開暗号鍵のプライベート・キーを渡せってことなのかな?

    • by Anonymous Coward

      そそそ。セッションごとのキー渡して困らせてやれって、真っ先に思った。

      これは使用済みよんって

  • by Anonymous Coward on 2013年07月27日 12時57分 (#2429605)

    「NSAの方から来ました。」だったらもっと嫌だな。

    • by Anonymous Coward

      「NASAの方から飛んで来ました。」

  • 麻薬や内臓やワシントン条約で保護されたかわいい亀とかの取引は、
    会員制サイト程度を使ってる場合もありそうだしな・・・。

    いや、違うな。
    日本はアメリカの同盟国だから危機感薄いだけで、
    全ての通信をアメリカの一政府が意のままに出来るってのは危険な話だよね。

    アプリ経由の通信を韓国の一政府が意のままに(あと端末操作)のLINE入れてて、
    そのヤバさに気が付かない奴までいる始末だしな。

    • by Anonymous Coward

      かつてDESで言われていたようなことが現実にあって、
      その強度の高い暗号そのものに知られていないバックドアがあったりして

      開発がアメリカ政府なら要注意

  • by Anonymous Coward on 2013年07月27日 13時30分 (#2429621)

    おれがFBIだったら、やっぱり要求する。
    当然、もらえない。
    そこで諦める。

    以降、テロが起こってマスコミが「実はテロリストは暗号化された通信で頻繁にやりとりしていた!
    ほらこの企業のサーバにこんなログが!FBIはこれを見抜けなかった!」と騒ごうが何しようが
    「だって暗号解けないもん仕方ないじゃん」で済ませる。

    • by Anonymous Coward

      追記。

      というか、「暗号が解けなかったせいでテロが!これFBIが無能なせいだ!金さえあれば暗号解けるだろ?いくらかかるか見積もれよ!解けよ!」
      なーんて騒ぐようなリテラシの低い社会であってはならないんだけど
      いつか、なんか騒がれそうなんだよなあ。。。
      特に「金あるだろ?解けよ!」みたいなノリで騒がれそうな。。。

      ※ 個人の感想であり、なんら根拠があるものではりません

      • by deleted user (13014) on 2013年07月27日 14時18分 (#2429633)

        インターネットの監視はやるだけ無駄だ。諦めよう。と、常識で考えれば、そうなるわけだが、それでも諦めきれない理由はなんなんですかねえ。日本人が言えたことじゃないが、アメリカの政府債務はひどいことになってるんだから、無駄なことにカネ使ってる場合じゃない。

        暗号解読で敵国の先制攻撃を防いだ、みたいな夢物語をいまだに思い描いてるなら、恥ずかしいとしかいいようがない。

        親コメント
        • by BIWYFI (11941) on 2013年07月27日 15時55分 (#2429666) 日記

          テロ、或いは、速度違反の取締りと同じ。

          「監視しようとしてる」姿勢を見せることが重要。
          これが、(特に一般市民の)行動を制限させて、結果として、テロリストの識別に繋がる。

          ま、市民同士の抗争で、一般市民自体がテロリストとなる場所では無意味な作業になるが。

          --
          -- Buy It When You Found It --
          親コメント
        • by jaos (45820) on 2013年07月28日 1時27分 (#2429844) 日記

          はなから出来ないなんて思考停止に陥ることのほうが拙いと思うのですがね。
          暗号を解く場合、正攻法だけでなく脆弱性を探しているのかもしれません。
          また、正攻法にせよ、そういう研究結果が今後の暗号開発に生かされていくものじゃないですか。
          なので無駄なことではないはず。

          倫理的な問題は別として、情報を得る努力を怠っていないだけだと思いますがね。
          情報の価値をそれだけ高くみてるのでしょう。恥ずかしくなんてちっともない。

          親コメント
        • by Anonymous Coward

          無駄だっつーでも、実際にネット使って犯罪おきたりテロ計画やらが立てられたりしてるんだから仕方ないでしょ。
          人がいる以上犯罪はなくならないし、火事もなくならない。
          やるだけ無駄だからとか言い出したら警察も消防も警察も金の無駄ってことになりかねない。
          政府が国民生活に対してなんの義務も負わないって言うのならそれでも良いんでしょうけどね。

          まぁ、「ネット上ならなにがあっても仕方ないし、それに絡んだ犯罪やテロがおきても気にしないし、責任も問わない」というならやめるんじゃないですかね。

        • by Anonymous Coward

          実際は政府の言い分としては、防いでますよ、ただし9/11以降10年ぐらいで数百件ほど
          数千人死ぬのが防げるのであれば、何百億ドルもの予算を積み込む価値があるって考えの人がいますからね
          実際この監視システムで儲けてるのは誰なのかな

        • by Anonymous Coward
          盗聴・盗撮なんてあたりまえだ、それがないと諜報なんてやってられん。と、彼らの常識で考えるとそうなるんじゃないですかね。
      • 映画とかドラマなんかでいとも簡単に解いているシーンが多いので、リテラシが低いというよりも、そもそも金さえあれば簡単に解けるという先入観はあるかも。

        親コメント
        • by Anonymous Coward

          莫大に金があれば、解けますよ。
          ただし簡単ではない。
          難易度に応じてかかる金が指数関数的?に増加していく。

          時間がかるとしても、
          すごいスパコンを大量に用意して、
          すごい研究者を大量に雇えば良い。
          それで時間は省略できる。

          費用対効果を考えなくて良いのならば、
          莫大な金をかけて解決できない問題ってのは世の中ほとんど存在しない。

          搦め手では Google とかを買収してもいいし。
          ほら、金で解決できるじゃんと。

          • by Anonymous Coward on 2013年07月27日 15時20分 (#2429658)

            ないないw
            もし解読できたら(解読できる可能性があるというだけでも)脆弱性があるってことになる。

            AESだと、毎秒10兆回の計算が出来るには0.3mmの回路が作れねばならず(光速度の壁らしい)、
            それを使っても鍵を掘るのに317年かかるとか。
            http://senderek.de/security/secret-key.protection.html [senderek.de]

            親コメント
            • by Anonymous Coward

              数百年後に2000年ごろの暗号化技術ということで、お前らがSSLでエロサイトを見た履歴を解読したものがサンプルとして博物館で展示されるかもしれない

          • 理屈上、時間やコストが無限だと考えると解けない暗号はないですが、「今」現在の水準として、映画で見られるような暗号解読は不可能です。(もちろん実装のまずい暗号化を使用していればまた別の話ですが、今日日まともな実装の暗号ソフトは無料で簡単に手に入ります。)

            もちろん時間やコストは有限ですので、例え全世界のリソースを動員した所でもそれなりの時間がかかります。(この場合でも短くとも年単位が必要になり、一晩で解読できるようなことはまずないでしょう。)
            反対にいうと、暗号はそれなりのマージンを持たせた設計になってますから、すぐに解けるような暗号は広く利用されていないということにもつながります。(政府自身も使用しているわけですから。)

            #もちろん何らかの技術的ブレークスルーが発見されれば高速化される可能性はありますが、あくまでもそれが発見されればの話です。

            親コメント
          • by jobsa (39063) on 2013年07月28日 16時26分 (#2430039)
            Amazon EC2を大量に稼働させればスパコン並みの処理能力になるから、時間の問題で楽に出来るだろう。 ただ問題なのは、NSAなどが抱える暗号文字列は少なくないということ。 1つや2つなら、一気にやってしまえるけど、毎秒膨大な数の暗号情報が飛び交ってるから、それを復号し続けるのはたとえ莫大な数のマシンを稼働させても追いつかないと思われる。 暗号に優先順位つけてやるんだろうけど。 そうすると、ほとんど問題視されてないような俺たち一般庶民の暗号まで解読される日はまず来ないだろうな。
            親コメント
            • by nim (10479) on 2013年07月29日 10時49分 (#2430302)

              > Amazon EC2を大量に稼働させればスパコン並みの処理能力になるから、時間の問題で楽に出来るだろう。

              まあ、NSA はスパコンたくさん持ってますけどね。
              表に出れば Top500 に乗ってくるやつをいくつも持ってたとしても、全然不思議におもいません。

              親コメント
          • by Anonymous Coward
            あのー、暗号化方式によっては地球上にある全てのコンピューター動員しても百万年以上かかるんですが。
            金で解決可能なんですが?
            もしかしてお金さえあれば物理法則ねじまげたり、一瞬で科学が発展したりするの?

            そんな莫大な金があったら、暗号解くよりテロの背景壊せるよ。
            • by Anonymous Coward

              金があったら、暗号化のキーを購入すれば良いだけの話。
              暗号を正面から解く必要はどこにもないよ。
              一種のソーシャルな手段と思ってくれ。

              本当に何でも莫大な金があれば解決ですよ。
              暗号なんて。
              SSLのマスターキーを保有しているところを丸ごと買い取れば良いし。
              そういうところに物理的に侵入する人を雇えば良いし。

              たとえば、政治家を動かして政治的に圧力をかけてもらって手に入れれば良い。
              金は万能です。

              金で解決できないと思っているのは想定している額が少ないが、
              金と社会と政治を知らないだけ。

              技術万能を夢見る中二病は卒業しましょう。

              • by Anonymous Coward on 2013年07月27日 19時38分 (#2429740)

                一般的な暗号化の話として暗号化のキーが購入できると考えているのであればそれは全くの的外れです。
                ただ、SSLの場合公開鍵に対する秘密鍵を手に入れようとしているというところではまさにこのトピックでしようとしていることでしょうから。

                NSAなんかのシステムは正に金と政治で解決しようとする試みですよ。
                ただ、中核の暗号技術自体は解くのが現実的ではないから経路分析などの大掛かりなシステムが必要になってくるんです。

                大きく見た場合、暗号化も時間をかければ壊すことができるということでは完璧ではないけど、正しく運用される限りにおいて、(その時点において)限りなく万能とはなりうる。実際暗号(何らかの技術解決がもたらされるまで)が漏れる部分というのは技術以外の部分。

                技術とその運用はごっちゃにしてはいけない。

                親コメント
              • by nim (10479) on 2013年07月29日 10時45分 (#2430300)

                >SSLのマスターキーを保有しているところを丸ごと買い取れば良いし。

                SSL のことをあまりご存知ないようですが、「SSLのマスターキーを保有しているところ」がどこかにまとまってあるわけではありません。
                ここで言われているのは、SSL 用の秘密鍵のことで、通常これはサーバ内にしか存在しないものです。
                タンパプルーフな暗号化装置なんかだと、その装置から簡単には取り出せないような仕様のものもあります。

                Google のサーバのものなら、Google を買い取っちゃえばいいでしょうが、Verisign を買い取っても、個々の企業・サーバの鍵がわかるわけではないです。

                >本当に何でも莫大な金があれば解決ですよ。
                >暗号なんて。

                なんて、まさに中二病的で、実体経済もテクノロジも、「莫大な金があれば解決」なんて簡単なものじゃありません。
                ラノベやマンガじゃないんだから、「世界を裏で支配する大企業、資産総額は200兆ドル」なんてありえないのです。
                (そもそもそんな量のドルは流通してない)

                親コメント
              • by Anonymous Coward

                金が万能だと思っているわけでもなかろうに。

                金銭というのは交換価値にすぎないから、値札の無いものは買えない。
                本件に立ち戻れば、インターネット企業は(大方の予想に反して)、
                顧客のプライバシーを売ることで利益を得てきたわけではない。

              • by Anonymous Coward

                実際その手の描写が多い24では暗号化されたファイルを復元するのにバックドアを利用してましたよ。
                その他の手段でも、これまた定番な司法取引を持ちかけて複合用の情報(パスコードだったり解除手段だったり)を買収。
                純粋に計算だけで解読してるシーンって実は少ないと思う。

                現実的にっていうよりはやっぱり演出的な問題で、ソーシャルな手段で入手するシーンの方が受けがいいんでしょうね。
                ジャック・バウアーの脅しシーンは米兵達が真似して困るって苦情がくるぐらい人気があるし。

    • by Anonymous Coward

      というか、SSLだったらブラウザに登録されているどこか適当な認証局の
      鍵を一つでも持っていればいいんじゃないの?

      ブラウザでSSLで暗号化されたページ見るのにいちいちこのページはどこの認証局に
      登録されているのか確認する人はそんなにいないでしょ

      • by Funayoi (3170) on 2013年07月27日 17時08分 (#2429687)

        もっと手っ取り早く、
        FBIがルートCAになっている証明書をバンドルするように、ブラウザベンダに要求したりとか。

        完全ななりすましではないにせよ、中間者攻撃で警告が出ないくらいの効果はあります。

        親コメント
        • by Anonymous Coward

          そういや、昔、日本の自治体がオレオレ証明書を配布してたね。

      • by Anonymous Coward

        そんなあなたに certficate pinning

        といってみたものなぜ何がどうよくなるのかわかっていない

typodupeerror

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー

読み込み中...