Linuxカーネルのセキュリティチームはどこが違うのか–特有の問題も

今回は「Linuxカーネルのセキュリティチームはどこが違うのか–特有の問題も」についてご紹介します。

関連ワード (ソフトウェア等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Linux FoundationのGreg Kroah-Hartman氏は12月6日、Open Source Summit Japan 2023の基調講演に登壇し、Linuxカーネルのセキュリティの現状と今後の課題について、さまざまな観点から議論した。安定版Linuxカーネルのメンテナーであり、Linuxカーネルセキュリティチームの主要メンバーでもあるKroah-Hartman氏は、講演の中で、オープンソースソフトウェアのセキュリティを取り巻く状況の変化や、規制上の課題、そしてこれらの問題に対するLinuxカーネルの対応について語った。

 ソフトウェアのセキュリティに関する問題が毎日のように発生する中、各国政府は、セキュリティの問題を軽減すべく、企業やさまざまな組織を指示に従わせようとしている。しかし、そこには1つ問題がある。それは、政府はソフトウェアがどう使われているかをほとんど理解しておらず、オープンソース開発者がソフトウェアをどう開発しているのかについては、それ以上に理解していないということだ。

 例えば、欧州連合(EU)が提案したサイバーレジリエンス法(CRA)は、善意に満ちた法案ではあるものの、オープンソースソフトウェア開発者との相性はよくないという。Kroah-Hartman氏が指摘したように、最新の草案では内容がかなり改善されてはいるが、「世界中がEUにデバイスや製品を販売している以上、この法律が全員のセキュリティ要件を決めることになる」という点では違いはない。

 では、この新たな規制の波に対応する準備は整っているのだろうか?答えはノーだ。

 Kroah-Hartman氏は、Linuxコミュニティの現状について触れ、Linuxカーネルのセキュリティチームは、積極的なスタンスを採用する他のセキュリティチームとは違って、基本的に問題が起きてから対応するスタンスだと説明した。Linuxカーネルのセキュリティチームは、2005年に正式に発足して以来、企業との協力関係や契約は一切結ばずに、非公式な組織として活動を続けてきた。同氏によれば、このような体制を取っていることで、セキュリティ問題に対して中立的で柔軟な対応が取ることが可能になっているという。このアプローチは、企業からの信頼を育んだり、セキュリティ問題を効果的に管理したり、トリアージを行ったりするのに役立ってきた。

 「さまざまなグループや、カーネルセキュリティチームや、プロジェクトが積極的な対応を取っているが、それは私たちのやり方ではない、私たちはただ、起きた問題に対処するだけだ」

 しかも、対処しなければならない問題は山積みになっている。Kroah-Hartman氏はその1つとして、「Spectre」や「Meltdown」などをはじめとするハードウェアセキュリティに関する現在進行形の課題を挙げた。これらの深刻なCPUの問題が表面化してから3年以上が経過したが、同氏はこの問題について、「メーカーはハードウェアでこれらの問題を修正しようとしているが、数時間前には別のバグが発表された。この分では、この問題は当面の間は終わらないだろう」と述べた。

 この問題が困難なのは、ハードウェア禁輸措置への対処に複雑な問題が伴うのに加え、ソフトウェアと比べてハードウェアの開発サイクルが長いためだ。Kroah-Hartman氏は、ハードウェアメーカーが「もっと速く、積極的に」取り組んでくれるのが理想だと考えており、各国の政府や規制機関もそう考えていると述べた。

 また同氏は、「Linuxの商用ディストリビューションモデルはまだ死んでいないが、多くの人は、そのモデルがもはや圧倒的な多数派ではないことを理解していない。今や世界のサーバーやシステムの80%は、(Red Hat Enterprise Linux(RHEL)やSUSE Linux Enterprise Server(SLES)ではなく)Debianや、Fedoraや、openSUSEをベースとしたフリーでオープンソースのプロジェクトで動いている」と指摘した。

 Kroah-Hartman氏は、そのことがセキュリティの問題を複雑にしていると述べ、「これらのオープンソースプロジェクトに取り組んでいるコミュニティは、秘密保持契約(NDA)を結ぶことができない。なぜなら、それらのコミュニティーの個々のメンバーは、別の国の別の企業で働いている個人だからだ」と説明した。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
運転席に誰も乗っていないテスラ車が事故を起こし後部座席と助手席の2名が死亡
モビリティ
2021-04-21 02:03
Googleの10カ国の従業員、世界規模の労組「Alpha Global」結成
企業・業界動向
2021-01-27 04:19
AIのターニングポイント?–AIの世界は大手クラウドが支配するのか
IT関連
2022-04-19 14:22
NTTデータ関西、オウンドメディア「D×KNOWLEDGE(ディーナレッジ)」開設
IT関連
2022-07-06 09:11
千葉市動物公園、アソビューの電子チケットを導入–顧客の利便性向上へ
IT関連
2023-01-12 21:36
現金払いの住宅ローン融資を提供するUpEquityが約26億円を株式と負債で調達
フィンテック
2021-02-15 15:19
デジタル革命で役割が変わる「エンタープライズアーキテクト」
IT関連
2022-06-14 07:17
はるやま「ウルトラマンセットアップ」発売 「バルタン星人」「ダダ」ネクタイも
くらテク
2021-04-24 16:12
インテック、化粧品メーカー伊勢半の基幹システムを刷新–DXへ一歩踏み出す
IT関連
2021-05-11 17:23
中国におけるファーウェイのスマホシェアが急激に縮小、米制裁の影響如実に、アップルはじめライバルには追い風
ハードウェア
2021-01-31 22:04
Java 18正式リリース。デフォルトのCharsetが「UTF-8」に、シンプルWebサーバ搭載など新機能
Java
2022-03-23 09:43
freee会計が法人・個人事業主向けEコマース「Amazonビジネス」の購買明細APIと公式連携を開始
IT関連
2022-01-26 23:57
アップル、「iOS 16」を9月13日にリリースへ
IT関連
2022-09-09 17:16
1カ月ほどで家を建てる住宅建築ロボットのDiamond Ageが58.6億円を調達
IT関連
2022-03-13 07:46