情報通信研究機構ならアタッシュケースの暗号でも

質問

情報通信研究機構ならアタッシュケースで設定した１０桁以上の暗号でも解読できますか？

回答No.9

hanabutako

> ＞見る限り、C++の知識も暗号の知識も乏しい素人が適当に作ったものに見えます。
>
> と仰ってるわりには、１０文字以上入力されたら
> 現実的には、何らかのの大きな組織でもなければ解読不可能ではないんじゃないでしょうか？

まともな人が作ったらもっと頑丈になるのに素人が作っているのでAES本来の力を出し切れていないということです。

まず、256bit AESで使える鍵の空間は本来256bitあるのに、プログラムの仕組み上、鍵として使えるのが表示可能な文字で、上限32文字になったことで事実上の鍵長は211bit程度に減っています。人間に入力させる以上、例えば小文字だけを選ぶということをされると、それが一気に152bit程度になります。さらに、暗証番号だと思って4桁の数字を入れられると、13bit程度の広さにしかなりません。PBKDF2を使っているとそれでもまだ解読を難しく出来ます。ファイルを使った暗号化を行った場合、SHA1で鍵を作っているので鍵長は160bitしかありません。

また、アタッシュケースにはまともな改ざん検出の仕組みがないように見えます。一応中でdeflate圧縮を使っているので、Adler-32あたりのチェックサムはありますが、SHA256などまともなものでハッシュ値を計算しているわけではないので本気で攻略しようとする場合に対しての改ざん防止の能力もかなり低いと思います。

プログラムの書き方も、char型の配列の要素にNULLを代入するなど、まともなプログラマーだったらまずしないようなことをしています。

というところから、C++の知識も暗号の知識も乏しい素人が適当に作ったものと判断しました。

あと、暗号は何かの大きな組織でも解けないようになっていないと意味が無いのではないでしょうか。そこに重大な機密が書かれていたら多大なる計算機資源をかける意味はあるわけで。例えば、企業で使うとしたらその企業と敵対的な企業が暗号を解いて情報を集めるというのに意味が出てくると思います。国家間でも同様です。
また、ボットネットの規模は10万台から100万台というので、犯罪者には個人でもその程度の計算機資源を用意出来ると思います。

お礼

＞ボットネットの規模は10万台から100万台

なるほど。そのような方法論は思い付きませんでした。

仰ってる専門用語部分は、私のようなド素人にはさっぱり分かりませんでしたが、現在の所、アタッシュケースにある一定以上信用性が置けることが分かり安心しました。

回答ありがとうございました。