ある金融系のソフトのお話

聞いた話だと、あっちの世界ではメジャーなあるソフトの暗号系の実装が信じられないものらしい。

まず、パスワードは一応ある方式に従って暗号化されてるんだけど、その方式が可逆なんだって。つまり、通信内容を盗み見てちょっと変換すればパスワードゲット！できちゃうんだって。

次に、通信内容は一応RSA暗号っぽいものを使ってるんだって。素数回かけて余剰を取って。これ自体はまとも。

ちょっとRSA暗号についてお話しすると、RSA暗号では、秘密鍵、公開鍵のほかに、２つの素数と素数の積を使うんだけど、公開してもいいのは公開鍵と、素数の積だけなのね。もちろんこの二つさえあれば暗号化できるわけ。複合化には秘密鍵が必要だけど。もし、２つの素数が判っちゃうと、簡単に公開鍵から秘密鍵がわかっちゃうのね。

だけど、なんと、このソフトでは二つの素数をバカ正直に送ってるわけです。もちろん、これを通信の相手側に秘密鍵がばれちゃうし、通信内容を盗み見た第三者にもわかっちゃう。もちろん通信内容も複合されちゃう。あららって感じ、というお話でした。

ちなみに、このソフト経由で毎日１２桁ぐらいのアレが動いてるそうです。うっひゃー☆