セキュリティ企業Bit9がハックされ，暗号鍵が無効化されてしまったらしい: Cyberlaw

2013年2月 9日 (土曜日)

下記の記事が出ている。

　Crooks steal security firm's crypto key, use it to sign malware
　ars technica: February 9, 2013
　http://arstechnica.com/security/2013/02/cooks-steal-security-firms-crypto-key-use-it-to-sign-malware/

　Security Firm Bit9 Hacked, Used to Spread Malware
　Krebs on Security: February 8, 2013
　http://krebsonsecurity.com/2013/02/security-firm-bit9-hacked-used-to-spread-malware/

　Bit9 hacked, used to inject malware into customers' networks
　Naked Security: February 9, 2013
　http://nakedsecurity.sophos.com/2013/02/09/bit9-hacked-used-to-inject-malware-into-customers-networks/

いつも書くことだが，暗号学者（暗号と関係する数学者等を含む。）の中には暗号の強度のことばかり考えている人がいないわけではない。

しかし，本当に考えなければならないことはそうではない。

（特に人的要素の安全性及びシステムの構成要素である物理的なバーツの安全性を十分に考慮に入れた上で）マネジメント主体の統制が奪われないためにはどうするかをちゃんと考えれば，弱い暗号でも普通のビジネスでは支障なく用いることができる。

そこらへんのことを正しく理解せず，「管理主体は統制を奪われることがない」という全く根拠のない自信に基づく空虚な所与を前提にものごとを考えるから，結果的におかしなことになる。

国家や軍や警察等の公的組織はもちろんのこと，情報セキュリティ会社だってハイジャックされる潜在的可能性は常にある。現にそうなっているのに発覚していないだけの場合が非常に多い。

[追記：2013年2月10日]