Dropbox がウソをついてたって？
PSN が大規模な情報漏洩を起こして世界中が大騒ぎになっている昨今，皆さまいかがお過ごしでしょうか。 私も PSP ユーザで PSN のアカウントがあるのですが，パスワードに何を入れたのか忘れてしまって戦々恐々となってる今日この頃です。 事は PSN に限る話ではないので困ったものです。 PSN はパスワードをハッシュ化してなかったのかなぁ。 「ソニー」による世界を巻き込んだセキュリティ問題は2005年末の RootKit インストール事件以来ですが，そのうちセキュリティ界隈では「ソニー」の名はスティグマ化してしまいそうですね。
って，今回はその話じゃなくて，以下の記事から。
この記事の中の Miguel de Icaza 氏の談として
「それは、Dropbox に預けられたファイルは、ファイル転送通信は SSL、サーバ上のファイルは256ビット AES で暗号化され、社員はそのメタデータにしかアクセスできないので、Dropbox の内部者にも見られないように暗号化されているという主張が、今回のポリシー改訂によりはじめからウソだったと露見したことだと言う。」
という部分が Quote されて Tumblr 上で流通しているのだが，ちょっと考えれば分かることだが，暗号化処理も秘密鍵も Dropbox 上にあるのに Dropbox 側がそれを見れないということは原理的にありえない。
今回の改訂は法令遵守に基づいたものだろう。 そんなのはどこのサービスプロバイダでもやってることだ。 Google だって当局からの（法に基づいた）要請があれば情報を差し出さざるをえない。 企業としてできないこと（＝当局からの防衛）を「できる」と言ってきたことを「ウソだ！」というのなら，まぁその通りなのだが，まともな方に改善してるのだから文句を言っても仕方がないような気がする。 あと，この件を先日の Evernote の XSS 脆弱性と結びつけて考える人もいるが，情報漏洩はまた別の問題である。
私は，現時点では Dropbox は比較的よくできたサービスだと思う。 「よくできた」というのは， Dropbox にとっての「攻撃者」からの防衛に対してだ。 Dropbox にとっての「攻撃者」にユーザや Dropbox 社員や当局は含まれていない。 でもユーザから見れば当局にも見られたくない情報もあるかも知れないし， Dropbox に対しても無制限に信頼しているわけではない。 そこを見越して上手に Dropbox の利便性を享受するのが賢いユーザというものである。
Dropbox への対応は，上で示した記事がリンクしてる以下の記事が参考になる。
ちなみに TrueCrypt はストレージをまるごと暗号化するには良い道具だが，ファイル単位であれば GnuPG を利用することをオススメする。 GnuPG では暗号化データからセッション鍵を抽出するオプションがある。 これを使えば秘密鍵を渡すことなく目的のファイルだけについて第三者による復号を許すことができる（このオプションはイギリスの法律に対抗する機能として付加された）。
この手の話は何十年も前から言われていることで，その典型例がメールシステムである。 私たちはメールシステムから多くのことを学んだはずなのに，今回の反応を眺めてみるに，それらの教訓はあまり活かされてないんじゃないだろうか。 「権威ある第三者」が信用できないというのなら，そういった存在を回避するやり方で情報を守るべきだ。 PGP/GnuPG はそういた背景から生まれたものだし，そこに込められたたくさんの知恵は将来に活かすべきである。
ちうわけで，以下の本を読め！ と言っておく。
