Linuxカーネルのセキュリティチームはどこが違うのか–特有の問題も

今回は「Linuxカーネルのセキュリティチームはどこが違うのか–特有の問題も」についてご紹介します。

関連ワード (ソフトウェア等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Linux FoundationのGreg Kroah-Hartman氏は12月6日、Open Source Summit Japan 2023の基調講演に登壇し、Linuxカーネルのセキュリティの現状と今後の課題について、さまざまな観点から議論した。安定版Linuxカーネルのメンテナーであり、Linuxカーネルセキュリティチームの主要メンバーでもあるKroah-Hartman氏は、講演の中で、オープンソースソフトウェアのセキュリティを取り巻く状況の変化や、規制上の課題、そしてこれらの問題に対するLinuxカーネルの対応について語った。

 ソフトウェアのセキュリティに関する問題が毎日のように発生する中、各国政府は、セキュリティの問題を軽減すべく、企業やさまざまな組織を指示に従わせようとしている。しかし、そこには1つ問題がある。それは、政府はソフトウェアがどう使われているかをほとんど理解しておらず、オープンソース開発者がソフトウェアをどう開発しているのかについては、それ以上に理解していないということだ。

 例えば、欧州連合(EU)が提案したサイバーレジリエンス法(CRA)は、善意に満ちた法案ではあるものの、オープンソースソフトウェア開発者との相性はよくないという。Kroah-Hartman氏が指摘したように、最新の草案では内容がかなり改善されてはいるが、「世界中がEUにデバイスや製品を販売している以上、この法律が全員のセキュリティ要件を決めることになる」という点では違いはない。

 では、この新たな規制の波に対応する準備は整っているのだろうか?答えはノーだ。

 Kroah-Hartman氏は、Linuxコミュニティの現状について触れ、Linuxカーネルのセキュリティチームは、積極的なスタンスを採用する他のセキュリティチームとは違って、基本的に問題が起きてから対応するスタンスだと説明した。Linuxカーネルのセキュリティチームは、2005年に正式に発足して以来、企業との協力関係や契約は一切結ばずに、非公式な組織として活動を続けてきた。同氏によれば、このような体制を取っていることで、セキュリティ問題に対して中立的で柔軟な対応が取ることが可能になっているという。このアプローチは、企業からの信頼を育んだり、セキュリティ問題を効果的に管理したり、トリアージを行ったりするのに役立ってきた。

 「さまざまなグループや、カーネルセキュリティチームや、プロジェクトが積極的な対応を取っているが、それは私たちのやり方ではない、私たちはただ、起きた問題に対処するだけだ」

 しかも、対処しなければならない問題は山積みになっている。Kroah-Hartman氏はその1つとして、「Spectre」や「Meltdown」などをはじめとするハードウェアセキュリティに関する現在進行形の課題を挙げた。これらの深刻なCPUの問題が表面化してから3年以上が経過したが、同氏はこの問題について、「メーカーはハードウェアでこれらの問題を修正しようとしているが、数時間前には別のバグが発表された。この分では、この問題は当面の間は終わらないだろう」と述べた。

 この問題が困難なのは、ハードウェア禁輸措置への対処に複雑な問題が伴うのに加え、ソフトウェアと比べてハードウェアの開発サイクルが長いためだ。Kroah-Hartman氏は、ハードウェアメーカーが「もっと速く、積極的に」取り組んでくれるのが理想だと考えており、各国の政府や規制機関もそう考えていると述べた。

 また同氏は、「Linuxの商用ディストリビューションモデルはまだ死んでいないが、多くの人は、そのモデルがもはや圧倒的な多数派ではないことを理解していない。今や世界のサーバーやシステムの80%は、(Red Hat Enterprise Linux(RHEL)やSUSE Linux Enterprise Server(SLES)ではなく)Debianや、Fedoraや、openSUSEをベースとしたフリーでオープンソースのプロジェクトで動いている」と指摘した。

 Kroah-Hartman氏は、そのことがセキュリティの問題を複雑にしていると述べ、「これらのオープンソースプロジェクトに取り組んでいるコミュニティは、秘密保持契約(NDA)を結ぶことができない。なぜなら、それらのコミュニティーの個々のメンバーは、別の国の別の企業で働いている個人だからだ」と説明した。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
オラクルとSAP、ロシアでの事業停止を発表–ウクライナの要請を受け
IT関連
2022-03-05 11:23
ポケモンGO、7月1日は「ビッパデイ」 どこでも大量発生、レイドもビッパのみ
くらテク
2021-06-30 07:42
カルチュア・コンビニエンス・クラブ、書店事業で活用のデジタルビジネス基盤を機能拡張
IT関連
2022-09-15 20:30
.NET 7ではWebAssembly製.NETランタイムを単独で利用可能にし、WebブラウザやNode.jsなどでJavaScriptから.NETを簡単に呼び出せるように
.NET
2022-10-04 11:00
我々を殺すのはAIではなく「何もしないこと」、シリコンバレーは災害やパンデミックといった現実の問題を解決する努力をすべきだ
その他
2021-04-07 15:47
期限の制約なく無料で提供される「Free Tier」クラウドサービスまとめ、主要クラウド/PaaS編(2024年版)
AWS
2024-06-10 12:48
「Linux」でAI搭載ターミナルアプリ「AI Shell」を使うには
IT関連
2024-08-16 01:03
「SIerは“インナー”であれ」–日鉄ソリューションズ社長が語るDXの勘所とは
IT関連
2022-12-23 21:38
【レビュー】新iPad Pro 12.9を試す、大画面とLiquid Retina XDRディスプレイは正義
ハードウェア
2021-05-20 19:51
WHO、ヘルス分野におけるAI利用に関するレポート–倫理やガバナンスなど指針
IT関連
2021-06-30 16:56
日本企業で進まぬデジタル化、対策は「紙業務」の課題解消から–ラクスら3社が討議
IT関連
2023-09-23 13:16
Apple、2022年にミニLEDバックライト搭載キーボードを発表?
IT関連
2021-06-03 14:59
「設定を見直して」 NISC、「Salesforce」利用企業に注意喚起 楽天やPayPayの情報流出を受け
セキュリティ
2021-02-03 18:06
ウイングアーク1st、北九州市で「Peppol」による請求書受領の実証実験–2月から
IT関連
2024-01-27 20:05