path: root/japanese/security/2000/20001225b.wml

<define-tag moreinfo>現在二つのバグが GnuPG に発見されています:

<ol>
<li>分離された署名の正当性を確認するときに誤って正当であると示す

<p>gpg が分離された署名の正当性を確認するときに、誤って正当であると示す方法があります。それは、分離された署名が以下のようなコマンドで確認されるときです: <code>gpg --verify detached.sig &lt; mydata</code>

<p>もし、誰かが detached.sig を署名された文章 (分離された署名ではなく) に置き換えると、 mydata が変更されても、 gpg は置き換え前と同様に署名の確認が成功したと報告します。

<p>この問題を修正するために、 --verify オプションがどのように働くかが変更されました: 現在では分離された署名を確認するのに 2 つのオプションが必要です: 片方は分離された署名ファイルで、もう 1 つは確認されるデータが入ったファイルです。この変更が過去のバージョンとの互換性を失わせることに注意してください。

<li>秘密鍵が報告無しに取り込まれる

<p>Florian Weimer が、 gpg が秘密鍵を鍵サーバから取り込む可能性があることを発見
しました。 gpg が、公開鍵を既知の信用されている秘密鍵と符合すると判断すると、
攻撃者は Web 認証を回避することができます。

<p>この問題を修正するために、 gpg に秘密鍵を取り込むことを許可する新しいオプシ
ョン --allow-key-import が追加されました。

</ol></define-tag>
<define-tag description>分離した署名に関するバグ、 Web 認証の回避</define-tag>

#use wml::debian::translation-check translation="638ee10e8a5b6508526f43628582776c6888d874"

# do not modify the following line
#include '$(ENGLISHDIR)/security/2000/20001225b.data'