[ruby-list:28478] Re: crypt

新井です。

In message "[ruby-list:28457] Re: crypt"
  on 03 Mar 2001 14:27:02 +0900,
  Satoru Sakashita <[e-mail]> wrote:
> 坂下です。

> 挙動について理解している人の場合は良いのですが、今後、あまりそういうこと
> を知らない人もどんどん Ruby を使うようになってきていることを考えると、い
> らぬ誤解を招きそうですよね。
> 
> 毎回、きっちり注釈がついていれば問題ないとは思いますが、「暗号化」という
> 言葉だけが部分的に持ち出されたりすると、またいらぬ誤解を招くこともあるの
> かな、と。
> 
> どちらにせよ、crypt が不可逆な処理であるということは、確実に注記しておい
> た方が良いでしょうね。
> 
> ＃もっと適切な言葉があれば、いいかえるにこしたことはないと思います。

というわけで、文案出してみました(最後につけます)。趣旨としては

o 暗号化という言葉は曖昧かも知れないけどもcryptの機能を
  一般に連想させるのに手頃だろう
o 復号出来ない点は明記した方が良いだろう
o 照合と暗号化の例を示せば crypt を使うのに困ることはないだろう。
o 詳細と実装の違いを示すためにman参照は必須だろう。

です。ただ、

o 文中「任意の」となっている salt に使用できる文字も明示したかっ
  たけど [a-zA-Z./]で良い？
o「salt の 2バイト目以降は無視されます」
  ということも書きたかったけど、これは真？
o 「crypt を使えば絶対安全だ」という思い込みは間違いだとして
  どういう点に気を付けるべきだろう？
  「最近の計算機の速度では、〜な実装のcryptでは簡単に
   元の文字列が判明してしまいます」とかなんとか書きたい。
# ここでは MD5 は無視だ(^^;

つっこみ歓迎(あんまりにも、アレもコレもだとFAQ行きだけど。
それも良いよね)

--
新井康司 (Koji Arai)


crypt(salt)
    crypt(3)を使って文字列を暗号化します．暗号化した文字列から元の文字列を復号
    化する方法はしらみつぶし以外にはありません． saltには2バイト以上の任意の文
    字列を指定します．
   
    saltは例えば以下のようにすると良いでしょう．
   
    salt = rand(0x10000).to_a.pack("n").to_a.pack("m").tr("+",".")
    passwd.crypt(salt)
   
    (注:ruby のバージョンが古い場合「randがいつも同じ乱数列を出しますが」も参照
    してください)
   
    以下は，パスワードを照合する簡単な例です．
   
    require 'etc'
    
    user = "foo"
    passwd = "bar"
    
    ent = Etc.getpwnam(user)
    p passwd.crypt(ent.passwd) == ent.passwd
   
    これらの例は，利用環境での実装に依存します．詳細は，crypt(3) や関連のマニュ
    アルを参照してください．