偶然にも500万個のSSH公開鍵を手に入れた俺たちは - slideshare

NTT Tech Conference 2022 での「Dockerからcontainerdへの移行」の発表資料です https://ntt-techconf.connpass.com/event/241061/ 訂正： P2. . 誤: ``` Ship docker run -it --rm alpine Run docker push ghcr.io/ktock/myalpine:latest ``` 正: ``` Ship docker push ghcr.io/ktock/myalpine:latest Run docker run -it --rm alpine ```

[cider_kondo]

500万個調べて「攻撃可能そうな鍵が35個みつかった」は率としては十分低いと思ったが、その後の「256bit RSA鍵なら3秒で素因数分解できた」の破壊力が強いのでやっぱり気をつけようと思えた

[YarmUI]

ギットハブは探せば秘密鍵そのものが見つかることあるからなぁ

[uzulla]

「歴史的経緯」で弱い鍵つかってる案件みたことある

[K-Ono]

まあ偶然どころか「わるいごはいねがー」ばりに意図的に取得してるんだけどな(笑)。

[riocampos]

「GitHubユーザーのSSH鍵6万個を調べてみた http://d.hatena.ne.jp/hnw/20140705 」のパワーアップ版。

[dankogai]

https://github.com/settings/ssh で鍵の登録とか交換とかも楽にできるので、github専用鍵作っておくのがよいかと。どのみち~/.ssh/configで専用設定するのだし

[veleno]

小5の長男に「最大公約数とか何に使うの？」とか聞かれたけどこれはまだ説明できないわw

[todesking]

お得情報だ(これ公開していいのだろうか……)

[karupanerura]

めっちゃ面白い

[SyncHack]

一時期問題になった時に爆破したんだけど、コレ、定期的に爆破していいものかしら。

[paschen00]

偶然にも500万個のSSH公開鍵を手に入れた俺たちは @SlideShareさんから

[airj12]

「実装、データ、計算機いずれも簡単に手に入る」

[tmatsuu]

鍵長が短すぎる鍵、ssh-keygenで(RSA)768bit未満の鍵は作成できない。puttygenで作ったんだろうか。puttygenは2013年にリリースされた0.63より前はデフォルトの鍵長が1024bitだったのでアレである。

[dolmen777]

githubで集めますた

[natroun]

公開鍵のリスクの話。生成するソフトにバグがあるのはこの分野に暗い人だと気付きにくいような気がする。必要になることがあれば気を付けなければ。

[nekoruri]

オペミス等で公開鍵に誤字があると、対応する弱い秘密鍵が生成できる可能性が高まるって発想は無かった。

[vanbraam]

自分の鍵をチェック;英語で発表したら反響あるのでは,と思った

[raitu]

弱い公開鍵への攻撃方法いくつか

[takanakahiko]

ユーモア効いてて面白い（白目）

[gabuchan]

結局ちゃんと理解しろよ！ってことと、オペミス注意ってことやな。

[k_wizard]

偶然だぞ

[yasulabs]

“【弱い鍵ペア】 理屈上、公開鍵暗号では秘密鍵がバレなければ安全。公開鍵が500万件もあるとヘマする人もいる。秘密鍵を特定できる公開鍵が実際に見つかった”

[ebo-c]

バーロー

[yamadar]

偶然にも500万個のSSH公開鍵を手に入れた俺たちは

[cj3029412]

恋の因数分解とかいってる場合ちゃうw

[gikazigo]

偶然にも500万個のSSH公開鍵を手に入れた俺たちは - slideshare

[psne]

ECDSA521とrsa4kを登録してあります。

[north_korea]

3秒で破れるのか…

[YukeSkywalker]

ちゃーんちゃちゃーん、ちゃちゃーちゃーん（Aチームで

[tettekete37564]

"素因数分解の実装はネット上に落ちている ❖ 256bit RSA鍵なら3秒で素因数分解できた"<うほっ/昔RSAのアルゴリズム勉強したけど全く記憶にない。うほ

[buty4649]

((((；ﾟДﾟ))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

[cubed-l]

偶然()／256bitRSAが3秒か。凄い時代だな

[ystt]

ちょっと怖い。

[myrmecoleon]

githubから公開鍵を収集して調査。なぜか合成数の約数が出てきた鍵も（素数同士の積じゃない）。鍵のコピペミスは致命的か。

[field_combat]

そっかCPUもネットにあんだよね

[t_f_m]

地獄の釜の蓋

[rryu]

もはやそんなレベルなのか「256bit RSA鍵なら3秒で素因数分解できた」

[C_L]

PKI概念つらい 公開鍵の難解読性に依存だから「自分で設置した」公開鍵の強度は知っておく必要がある。今RSA 2048bitが簡単に解読できたとニュース流れたら高強度の鍵ペアつくって公開鍵再設置するそういう性質のもの