Adobeのセキュリティチーム、誤ってPGP秘密鍵をブログで公開 24
ストーリー by headless
秘密 部門より
秘密 部門より
AdobeのProduct Security Incident Response Team(PSIRT)がPGP公開鍵とともに、誤ってPGP秘密鍵をブログへ投稿するトラブルが発生していたそうだ(Juho Nurminen氏のツイート、
Ars Technicaの記事、
The Registerの記事)。
PGP鍵はブラウザー拡張機能「Mailvelope」を使用してPSIRTのWebメールアカウントからエクスポートしたものとみられる。Mailvelopeのエクスポート画面では「Public」「Private」「All」という選択肢があり、ここで「All」を選択してしまったようだ。発見者のJuho Nurminen氏は、このPGP鍵がPSIRTの電子メールアドレスに関連付けられていたことも確認している。
なお、その後ブログ記事は更新され、現在はGPGToolsから直接出力した新しいPGP公開鍵のみが掲載されている。
PGP鍵はブラウザー拡張機能「Mailvelope」を使用してPSIRTのWebメールアカウントからエクスポートしたものとみられる。Mailvelopeのエクスポート画面では「Public」「Private」「All」という選択肢があり、ここで「All」を選択してしまったようだ。発見者のJuho Nurminen氏は、このPGP鍵がPSIRTの電子メールアドレスに関連付けられていたことも確認している。
なお、その後ブログ記事は更新され、現在はGPGToolsから直接出力した新しいPGP公開鍵のみが掲載されている。
ソフトウェアにもポカヨケつけないと (スコア:2, すばらしい洞察)
「秘密鍵をエクスポートしますがよろしいですか？」
「秘密鍵をエクスポートしますが本当によろしいですか？」
「秘密鍵をエクスポートしますが本当に本当によろしいですか？」
「秘密鍵をエクスポートしますが本当によろしいですか？どうなっても知りませんよ？」
ぐらいやれとはいわないけど、秘密鍵エクスポートするときは公開鍵エクスポートするときよりも手順増やさないと
再び間違える人は現れるのでは？
Re:ソフトウェアにもポカヨケつけないと (スコア:3, おもしろおかしい)
パスワード入れさせたらいいんじゃないか
そうだ、３ヶ月ごとに要更新とかすればセキュリティ上がるんじゃね
Re:ソフトウェアにもポカヨケつけないと (スコア:3, おもしろおかしい)
ジョークはもっとジョークと分かるように書いてください
Re: (スコア:0)
まさか秘密鍵を公開するアホなんていないと思ったんだろ
Re: (スコア:0)
それじゃ説明になってないと思うんだよね。
「今からエクスポートするファイルは不特定多数に配っちゃダメなやつだけど、やろうとしてることあってるよね？注意してよね？」
ぐらいのメッセージが必要なんだと思うんだよ。
Re:ソフトウェアにもポカヨケつけないと (スコア:1)
メッセージが長くなると、そもそも読んで貰えないからなぁ
Re: (スコア:0)
「y押すなよ、絶対に押すなよ」なら短い
Re: (スコア:0)
ええか
ええのんか
ほんとうにええんか
わしは知らんぞ
なら短くて読みやすい
Re: (スコア:0)
惜しいなあ。
こういうパターンなら「長いけど読みやすい」っていかなきゃ。
＃ ボケツッコミの道を極めれば、きっとあなたも関西人♫
Re:ゼロからはじめるP&G生活 (スコア:0)
これって公開してしまった秘密鍵は破棄して
新規に再発行するかんじでしょうか？
Re:ゼロからはじめるP&G生活 (スコア:1)
今後のことは再発行で済むけど、旧鍵でエンコードされた過去のメールなり文書なりの正当性を保証できなくなるのでそっちが困る。
何せ秘密鍵が漏れてしまったので、誰でも「過去の」偽造文書を作れる。
Re:ゼロからはじめるP&G生活 (スコア:2, おもしろおかしい)
そこでブロックチェーンですよ(とっておきのドヤ顔で)
Re: (スコア:0)
そもそも鍵に有効期限があるのって、永久に破られない暗号鍵というのは技術的に不可能だから破られる前に更新させるのが目的だよね。ってことは有効期限が切れた鍵で署名された文書はどのみち信頼できないんじゃないの?
Re: (スコア:0)
今回は漏れたから期限前に新しいのに入れ替えたんじゃないの？
だとしたら漏れた方はまだ(失効はしているが)有効期限内だし、「先日(←漏洩前)こんな文書を受け取ったんだけど」的なことはできる。
Re: (スコア:0)
賞味期限が切れたら信頼/保証できない食品に例えちゃうぞ～。
賞味期限3年の真空パック食品を仕入れた後で間違って封を破られて
『真空破れたから賞味期限あと3日な』、とか言われても
仕入れた店が困ることには変わりないのではないだろうか。
（もちろん完全な例えではありません！）
Re: (スコア:0)
え、そんな過去の署名の正当性なんて当初から保証されないものでは。
鍵には期限も破棄もありきなので、そんなことを保証するものではないはず。
この手の鍵の使い方勘違いしてないか。
Re: (スコア:0)
ずっと秘密鍵を公開しなければチェックできるでしょう。公開鍵から力技で解読できるぐらい過去なら知らんが。
Re: (スコア:0)
PGPでメールの話なら受取人がタイムスタンプ含めてきちんと保存すればいいだけの話だけど、相手に認めさせるとなると難しいね。
タイムスタンプ署名サービスとかないのかな。
一時間ごとに鍵生成。
公開鍵はいつまでも公開。
秘密鍵は期限終了後即時廃棄。
廃棄さえきちんとしていれば漏れるはずがない。
Re:ゼロからはじめるP&G生活 (スコア:2)
> タイムスタンプ署名サービスとかないのかな。
つ SEIKO タイムスタンプ体験サービス [seiko-cybertime.jp]
uxi
なにやってんの... (スコア:0)
これ一つで貶しはしないけど、「さすがadobeェ...」って言いたくなるぞ
M-FalconSky (暑いか寒い)
Re: (スコア:0)
> これ一つで貶しは
もう手遅れという意味ですか？
Re: (スコア:0)
せっかく明言を避けてるのに…
＃ 余計なツッコミで場を凍らす人、最近増えた気がするのは気のせい？
以前の個人情報流出のことは未だ許してない (スコア:0)
おかげで1日に300通のクソスパムが届く
Re:以前の個人情報流出のことは未だ許してない (スコア:3, 参考になる)
例の流出、Adobeの暗号まわりの実装がウンコだったことがわかってるからね
https://blog.tokumaru.org/2013/11/adobe.html [tokumaru.org]
暗号化された情報が悪用される恐れはないとか言っといてこのザマ
http://www.itmedia.co.jp/enterprise/spv/1310/04/news045.html [itmedia.co.jp]
以来この会社のセキュリティ関連は信用してない
ええ、私のメールアドレスも流出しましたとも