Bottomley氏はNablaランタイムが、「Kataテクノロジを搭載したハイパーバイザよりも優れたHAPを有しているという結果を得た。つまりわれわれはハイパーバイザよりも優れたHAPを備えた（すなわちよりセキュアな）コンテナシステムを実現したということだ」と述べた。
しかし、よりセキュアだと証明されたのはIBMのプロジェクトだけではなかった。同氏は「（意図しないシステムコールをブロックするよう）適切に設定したseccompプロファイルを用いたDockerコンテナは、ハイパーバイザとほぼ同程度のセキュリティを実現している」と述べた。
しかし、gVisorはまた別の話だ。gVisorはDockerの場合と同程度にとどまり、python-tornadoではDockerよりも著しく劣る結果となった。Bottomley氏は、「gVisorではコンテナの隔離性を向上させるために、GoによってLinuxシステムコールのインターフェースを書き換えている。しかし、Goのランタイムが実際に使用しているシステムコールの量については誰も注意を払っていないために、こういった結果となった」と推測している。もしそうであれば、gVisorの将来のバージョンはよりセキュアなものになるだろうとBottomley氏は考えている。
とは言うものの、ここで本当に重要なポイントは、どのテクノロジが本質的にセキュアなのかという話ではない。セキュリティに甘いところがある場合、コンテナもVMも同じレベルでしかない。実際Bottomley氏も、「ハイパーバイザよりもセキュアなコンテナを作り出すことは間違いなく可能であり、これによりどちらがよりセキュアな技術なのかという長きにわたる議論に終止符を打てるはずだ」と考えている。
同氏は、「次のステップは、悪質なアプリケーションが利用できる攻撃対象領域をはっきりさせることであり、そのためには何らかのファズテストを実施する必要がある」と語った。
Bottomley氏の成果は次のステージへの扉を開いたにすぎない。同氏によって、アプリケーションのセキュリティは客観的に評価できるという点が示された。同氏は「これが議論の結論になるとは思っていない。しかし、その手法を示して見せたことで、他の人々も定量的な測定を生み出せるようになってほしいと考えている」と述べた。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
