PR

 公開鍵インフラ(PKI)暗号システムの開発を進める組織GnuPG.orgは,暗号化プログラム「GnuPG」に不正な電子署名を見逃す問題があると警告を発した。GnuPG.orgのWerner Koch氏が中央欧州標準時間3月9日,GnuPG関連のメーリング・リストGnupg-announceへの投稿で明らかにしたもの。同氏は,修正版であるGnuPG 1.4.2.2にできるだけ早くアップデートするよう推奨している。

 この問題は,GnuPGが非分離署名を検証する際に,署名対象外のデータまで署名済みと誤判断するというもの。これにより,攻撃者が任意のデータをメッセージに挿入し,あたかも署名されているかのように装うことが可能となる。

 GnuPG 1.4.2.2より以前の全バージョンに問題が存在する。分離署名以外の署名検証処理が影響を受ける。さらに,電子メールでGnuPGを使う場合の標準的な方法である,暗号化メッセージ内に組み込まれた署名の検証時にも,同じ問題が発生する。

 GnuPG 1.4.2.2は,GnuPG.orgのWebサイトから無償でダウンロードできる。GnuPG.orgは,旧版に対する修正パッチを提供しない。

◎関連記事
「Windows Vistaにバックドアは作らない」,米Microsoft
個人が暗号を使う時代は終わった
「“PKI”とは呼ばないで」---米Voltage SecurityのCTO
米Sun,電子メールのセキュリティ・サービス「Sun Secure Mail」を提供開始
W3C,公開鍵管理仕様「XKMS 2.0」を勧告として公開
米Yahoo!と米Cisco,偽装電子メールに対抗する認証技術で協調
電子証明書を解説する
手間をかけないPKI認証導入法(1)---第1回

[Koch氏の投稿]