暗号化機能付きのDropbox的なクラウドサービス「Client Portal」 26
ストーリー by hylom
クラウドストレージ、大丈夫？ 部門より
クラウドストレージ、大丈夫？ 部門より
あるAnonymous Coward 曰く、
Lockbox社の開発する暗号化機能付きクラウドストレージサービス「Client Portal」が注目を集めているようだ（Motherboard、本家/.）。
このサービスでは、データをクラウド側サーバーにアップロードする前に暗号化するというもの。鍵を持つユーザーのみが暗号化を解除できるため高いセキュリティを実現できるという。LockboxはGoogleのAndroid OSのエンクリプションライブラリを開発した会社でもあり、技術には定評があるとされている。
Dropboxなど他のクラウドストレージサービスではインフラのセキュリティを高めてはいるものの、ひとたび第三者が侵入してしまった場合データは丸見えな状態だ。しかしLockboxのClient Portalではデータは個別に暗号化されてるため、もし外部からの侵入があったとしてもセキュリティは守られるとのことだ。
このサービスはAmazonのS3サーバを利用しているとのこと。近々iOS版のアプリケーションが公開予定であり、価格は最も安いもので20ユーザ用プランが年間500ドルで提供されるという。
米NSAによる諜報活動が明らかになって以来データの秘匿化が熱い分野となっているようで、このサービスも250万ドル（約2.5億円）のシード投資を受けたばかりとのことだ。
金払ってまで暗号化して欲しいファイル＝漏れるとまずいファイル (スコア:1)
つまりハッカーにしてみたら宝の山だよね。
俺がそういう技術持ってたらいの一番に狙うわ。
Re: (スコア:0)
黒幕はLockbox社
鍵を持つユーザーのみが暗号化を解除できる (スコア:0)
確かDropboxも嘘がバレる [srad.jp]まではそんなことをほざいていたような。
Re: (スコア:0)
リンク先ストーリーのこれ。
http://security.srad.jp/comments.pl?sid=532506&cid=1954849 [srad.jp]
クラウド会社やその他の第三者に見られて困るデータを預けることの意味から見直すべきかと。
Re: (スコア:0)
銀行の貸し金庫に貴重品を預けるとか頭おかしいですよね。自宅のタンスにでも隠しておいたほうが安全に決まってるのに。
# どうしてデジタルの話になった途端にここまで目が曇るんだろう
Re: (スコア:0)
たとえが突飛すぎて皮肉かマジかわかりにくい
Re: (スコア:0)
#2453365 に同意なので、
部外秘資料を閲覧可能な状態で、他人に預ける奴はそりゃあマジで大馬鹿野郎だよと同意して反応を伺ってみる。
Re: (スコア:0)
だから前もって暗号化しようというのがこのサービスなわけだね
Re: (スコア:0)
そりゃストーリーはそうだけど、このスレッドはDropboxから始まる、預けた相手にデータを見られる想定の話よ。
Re: (スコア:0)
こういうのよりも、手元で暗号化して、各種の普通のクラウドストレージとかのAPIに対応してるツールを作った方がいいような。
というか手動で似たようなことしてるけど。
Re: (スコア:0)
今のところの定番はDropBox上にＴｒｕｅＣｒｙｐｔで暗号化したコンテナファイルを置き、
作業時は仮想ドライブをマウントですかね。
Re: (スコア:0)
それを複数のPCで同時にやると整合性が取れなくなって個別のコンテナが出来てしまうのが難点。
どのコンテナに目的のバージョンのファイルがあるか調べるのが面倒になったのは俺だけではあるまい。
.emacs.dの同期のはずが結局PC毎に違うものになるとか、いったい何をしてるのやらｗ
Re:鍵を持つユーザーのみが暗号化を解除できる (スコア:1)
暗号化gitが有れば…
リポジトリがクローンされてもblobオブジェクトが復号されなければ助かる可能性高そう。
ファイル名などのメタデータから漏れる情報は諦める。
屍体メモ [windy.cx]
git-annex encryption (スコア:1)
http://git-annex.branchable.com/encryption/ [branchable.com]
"Encryption is needed when using special remotes like Amazon S3, where file content is sent to an untrusted party"
これなんてまさしこうそういう用途なんだろうな。
屍体メモ [windy.cx]
Re: (スコア:0)
ツールの信頼性はどう担保するの? 作った人を無条件に信用するならそれがクラウドサービスの提供者自身でも同じことじゃないの?
Re: (スコア:0)
鍵をID等のサーバーに記録されたデータから生成するとしたら、IDと計算式を知っている人(=運営)なら暗号化を解除できるはず。
その場合は「鍵を持つユーザーのみが暗号化を解除できる」自体が成立しない。
公式サイトを見た限りでは、鍵をユーザーが指定する形式には見えなかった。
あるいは、サーバーをクラックしたついでに偽クライアントを配布するとか。
Re: (スコア:0)
少なくとも
１．ウェブブラウザ経由でアクセスできる
２．クライアントソフト・アプリに鍵を指定する項目がない
はユーザ側ではなくサーバ側に鍵がある証
思ったこと (スコア:0)
1. サーバーはどの国に？
2. 鍵はどちらに？
3. 何が新しいの？
Re: (スコア:0)
1. 米国
2. NSA
人を信用しない (スコア:0)
人を信用しないのがセキュリティの基本。
暗号化は事業者が提供する方法ではなく、自分でやるべき。
自分ですらどれほど信用できるか怪しいのに他人を信用するなんてもってのほか。
Re: (スコア:0)
いや、まあ、何かを盲信しない、というのは間違いじゃないけど
「人を信用しない」と言い切っちゃうのは単なるパラノイアじゃないかな？
セキュリティにかかるコストってのがどうしても存在する以上、
リスクと利便性との兼ね合いで、信用度の大小に合わせて、裏切られても大丈夫なように
備えをしておくのがセキュリティの基本でしょう。
リスク＝「それが起きた時の損害」✕「起こる確率」を計算し、
そのために掛けられるコスト＝「金銭的あるいは物的・余分な労力などセキュリティのために
費やされるすべて」を測り、リスクに対して最小となるようなコストを選ぶべき。
だからセキュリティは「人を信用しない」でなく「人やサービスを『100%は』信用しない」
のを基本として、その中で「自分への被害が許容できる範囲のなかで最大限に
人あるいはサービスを信用する」と言うのが正しいのじゃないかな。
Re: (スコア:0)
同じことを言ってると思う。
誰かに見られても消えてもそれほど困らないようなものなら
信用できない他人に預けたってかまわないと思いますよ。
Re: (スコア:0)
ノートパソコンの盗難の話をしてるのに、
「SSLで暗号化してるから大丈夫です。」
と言うSEも居たりするから信用ならない。
Re: (スコア:0)
どういうわけかその「人」に自分自身が含まれない自信過剰な人が後を絶たないのが不思議でならない。
なんで「僕が一番データをうまく隠せるんだ」なんて話にみんなあっさり納得してしまうのか
Spideroakじゃだめ？ (スコア:0)
ほかのソフトと同様、秘匿性が本当にあるかどうかは検証してない（できない）けど、
Spideroak https://spideroak.com/ [spideroak.com] が前からクライアント側暗号化を謳っていて
今回のはそれと何が違うの？
そして数年後 (スコア:0)
とか報じられるわけだ。
#もう驚かない