Daiyuu Nobori (登 大遊) on Twitter: "ファイルをZIPで暗号化し、まずZIPをメールで送り、しばらくして別メールで8文字程度の乱数パスワードを送るという謎のプロトコルが日本企業で流行っているが、ZIPのパスワードは総当たりでかなり高速に解析できるし、そもそもパスワードをメールで送っているので効果が疑問。"

ファイルをZIPで暗号化し、まずZIPをメールで送り、しばらくして別メールで8文字程度の乱数パスワードを送るという謎のプロトコルが日本企業で流行っているが、ZIPのパスワードは総当たりでかなり高速に解析できるし、そもそもパスワードをメールで送っているので効果が疑問。

[pilpilpil]

トイレの鍵みたいなもんで「おっとごめん！」が防げる程度のものでしょ。

[napsucks]

zipブルートフォースはそこそこ時間がかかるし、2度送ることであて先ミスによる添付からの情報漏れを防ぐという効果はそこそこ期待できる。

[xev]

仮にデータを誤送信しても、パスワードをかけてあるという免罪符があり、パスワード割られたら割るヤツが悪。そういう「自己防衛」のため。誤送信による一撃死を免れるためのプロトコル。

[UhoNiceGuy]

何かしたっていうアリバイが大事。

[wacok]

添付ファイルは自動的にzipに固められるという、みかかなんちゃらの企業向けイントラブラウザメーラーを使うことを強いられているんだ！

[fukufukuyarou]

暗号の強度ではなくて、暗号をかけた事実が大事ってきいたことがあるな。/つまり、流出して損害賠償など請求する場合に、秘密情報と知って悪意をもって閲覧したという悪意認定が容易にできるという話。

[quabbin]

あれは「関係ない人は見るなよ」っていう意味だと思っている。

[FTTH]

政府機関etc、ならともかく、十把一絡げの木っ端民間企業なら十分意味あるでそ　費用対効果というか現実解というか

[Layzie]

単純に「気を使ってますよ(チラッ」ってアピールだと思ってた。

[yoshi1207]

発端は分からんけど、Pマーク取る時にこのやり方が例示されてんでそれが広がりに関係はありそうと思う。効果は、やらんで誤爆するよりマシ（実際あった／これが普及する界隈はzipの開け方すら知らん人の方が多いし

[nrtm]

そういえば添付ファイル全部自動で暗号化ZIP化されててパスワードメールまで自動で送ってくるシステム使ってる会社あるけどどうせ宛先元のメールからとってるだろうから意味ないよなホント

[S0R5]

意味あるのかと思ってたら、社内のメールシステムがこういうことを自動でやるようになってたでござる

[TakamoriTarou]

早く裁判かなんかで「ZIPで暗号化し別メールでパスワードを送る措置をしたので情報漏洩防止に関する処置は十分で責任はない」と主張する奴が現れた上で全否定で敗訴しねえかなと思わずにはいられません。

[miragestlike]

(´Д` )

[fhvbwx]

早く無くなって欲しいプロトコル/実はワンタイムパッドを使っているだけマシだったり……/一応誤送信防止効果の他に、本当に重要な情報がどのメールか解読しないとわからなくする効果はある

[inulab]

会社がプライバシーマークだかISOなんとか取るのに必要らしいけど大体ノーチェック

[anima_annabel]

（確かに、これ前から疑問だった。何でこんなやり方で定着したの意味がわからない。）

[oldriver]

ウチの家の鍵もプロの手にかかるとすぐに開くのと同じかな。　／　真面目に考えると、オフラインクラックの耐性を現時点の水準だけじゃなくてファイルの寿命まで考えて例えば5年後の水準まで想定して確保してあああ

[YukeSkywalker]

実際の運用としてはリテラシー無い人でも実施できないと意味ない訳で、まぁ、許せる範囲内かなーと思ってる。

[ysync]

まぁでも実際メールやFAXの誤爆とかよくある事なわけで。／送り手側だけで出来る事って考えるとこんなもんだろ。

[ham007]

うちはTweetのやつ以外に、送り先毎に固定や月毎にパスワード固定というのもあった。zip添付メールに、「パスは"いつもの"でお願いします。」って一文を添えておく。

[you21979]

こういう人たちは全く意味がないことが理解できていないのがすごいよな

[poconeet]

コンプライアンスだもの。仕方ないo(｀ω´ )o

[rmozx]

Twitter / dnobori: ファイルをZIPで暗号化し、まずZIPをメールで送り、しばら ...

[maangie]

ぶこめも

[kirifue]

だってコンプライアンスだもん。コンビニのタバコ購入で年配の人にも［はい］を押させるのと同じ。実行しているって証明が重要なんだよ。 #セキュリティ

[jou2]

Canonからのメールがコレなんだが、見積りとか別に鍵かけなくてもいいだろ…と思います。そこまでセキュリティ万全にしたいならパスワードの紙の郵送かFAXか電話かSkypeか、とにかくzip送ったのと別の手段にしてくだち

[rosedust1192]

無関係な人が見るの防ぐためじゃないの？

[sonota88]

海外企業はどうしてるんだろう

[nakakzs]

そろそろ90年代ファイル偽装ツールの流行が復活してもおかしくないんじゃないかね。歴史の波。

[koseki]

Skype でファイル転送するのが RSA+AES でそこそこ安全だと思ってたんだけど、、プリズム

[rainbow_doll]

こういう時には現れない「海外ではー」

[natu3kan]

パスワードかファイルどちらかだけ宅配で送れば、送る手段が異なってセキュア！(小学生並の感想)

[makou]

もうやってないけど、先方の電話番号をパスワードにしてFTPに置いてメール連絡するってことしてた（無論メールの引用に入る署名は消す）。

[mas4bookmark]

実務の運用設計するとき情弱を基準としないといけない辛さはあるよなぁ。何をしでかすかわからないし、なんかあると一番うるさい。

[hanenone]

昔のアングラみたいに偽装ツールを多重に使おう。

[m_uchino]

あー。

[NOV1975]

やらないよりましかというと、こう言う場合、盗聴者は全メールを入手するだろうからやった気になる弊害の方が大きそうだ

[yogasa]

… 最近富士通ソフトでex_という自己回答exeに変換されるものが導入されましたが，受信者はex_をexeにリネームしてメールで送られてきたexeを実行とかいう仕様で非常に受信者になりたくないなあと思わせるシロモノでした

[sumege]

すべてはPマークのためです