先日導入されたKeyCryptについて、検証してみました。

用意したものは、今回の検証用に作った自作の単純なキーロガープログラミングです。
キーロガーと言っても、簡単なWinAPIを利用して非アクティブ状態でもキー入力を取得し
テキストに記録するだけの物で、プロセスを隠蔽したり、処理をフックする仕様では
ありません。

■ 結果 ■
某ページに、KeyCryptの動作についての記載があったのですが、
そこに記載されている通り英語キー(A～Zキー)の入力は全て'A'になり、
数字キー(0～9キー)の入力は全て'1'と記録されてました。
影響範囲は、ログイン用のアカウント、パスワードのエリアだけでなく････
なぜか、検索ワード入力エリアも暗号化されていました。
当然ながら、他のアプリケーションなどはKeyCryptの影響範囲外でした。

■ 注意 ■
ただ、このKeyCryptにちょっとした落とし穴を発見しました。
現在、アカウント入力エリアは全角での入力が可能です。
全角で入力した場合、なぜか暗号化されないことが発覚しました。
つまり、全角入力状態で入力し半角に変換した場合････入力したキーがそのまま
ログにはかれていました(パスワード入力領域は強制的に半角入力に変更されるので
このような事は起こりません)。

■ 課題 ■
アカウントって、全角で登録できたか確認する前に書いているので
調べてからにする予定ですが、運営側に上記の結果を報告しアカウントの
入力エリアも全角入力禁止にするよう依頼してみます(パスワードが暗号化されるから
別に問題ないでしょ。って思われそうですが････)。

■ 個人的総評 ■
基本的にログイン時に、キーロガーでアカウント、パスワードが漏洩することは
ほぼなくなると考えています。KeyCrypt自体が、ウィルス検知機関｢Virus Bulletin｣が承認する
VB100%と言うのを取得しているらしく、VB100%とは"ウイルスを100%検出し、かつ、
誤検知がない製品にのみ与えられる"物らしいです。

信頼度はかなり高いKeyCryptですが、上記のようにホームページの作り手が
意図せぬ脆弱を作っている可能性があるので、絶対と言うのはやはりありえないのかもしれません。
が、KeyCrypt自体は現段階では信頼して問題ないというのが個人的見解です。