Linux FoundationのGreg Kroah-Hartman氏は12月6日、Open Source Summit Japan 2023の基調講演に登壇し、Linuxカーネルのセキュリティの現状と今後の課題について、さまざまな観点から議論した。安定版Linuxカーネルのメンテナーであり、Linuxカーネルセキュリティチームの主要メンバーでもあるKroah-Hartman氏は、講演の中で、オープンソースソフトウェアのセキュリティを取り巻く状況の変化や、規制上の課題、そしてこれらの問題に対するLinuxカーネルの対応について語った。
提供：alexsl/Getty Images
ソフトウェアのセキュリティに関する問題が毎日のように発生する中、各国政府は、セキュリティの問題を軽減すべく、企業やさまざまな組織を指示に従わせようとしている。しかし、そこには1つ問題がある。それは、政府はソフトウェアがどう使われているかをほとんど理解しておらず、オープンソース開発者がソフトウェアをどう開発しているのかについては、それ以上に理解していないということだ。
例えば、欧州連合（EU）が提案したサイバーレジリエンス法（CRA）は、善意に満ちた法案ではあるものの、オープンソースソフトウェア開発者との相性はよくないという。Kroah-Hartman氏が指摘したように、最新の草案では内容がかなり改善されてはいるが、「世界中がEUにデバイスや製品を販売している以上、この法律が全員のセキュリティ要件を決めることになる」という点では違いはない。
では、この新たな規制の波に対応する準備は整っているのだろうか？答えはノーだ。
Kroah-Hartman氏は、Linuxコミュニティの現状について触れ、Linuxカーネルのセキュリティチームは、積極的なスタンスを採用する他のセキュリティチームとは違って、基本的に問題が起きてから対応するスタンスだと説明した。Linuxカーネルのセキュリティチームは、2005年に正式に発足して以来、企業との協力関係や契約は一切結ばずに、非公式な組織として活動を続けてきた。同氏によれば、このような体制を取っていることで、セキュリティ問題に対して中立的で柔軟な対応が取ることが可能になっているという。このアプローチは、企業からの信頼を育んだり、セキュリティ問題を効果的に管理したり、トリアージを行ったりするのに役立ってきた。
「さまざまなグループや、カーネルセキュリティチームや、プロジェクトが積極的な対応を取っているが、それは私たちのやり方ではない、私たちはただ、起きた問題に対処するだけだ」
しかも、対処しなければならない問題は山積みになっている。Kroah-Hartman氏はその1つとして、「Spectre」や「Meltdown」などをはじめとするハードウェアセキュリティに関する現在進行形の課題を挙げた。これらの深刻なCPUの問題が表面化してから3年以上が経過したが、同氏はこの問題について、「メーカーはハードウェアでこれらの問題を修正しようとしているが、数時間前には別のバグが発表された。この分では、この問題は当面の間は終わらないだろう」と述べた。
この問題が困難なのは、ハードウェア禁輸措置への対処に複雑な問題が伴うのに加え、ソフトウェアと比べてハードウェアの開発サイクルが長いためだ。Kroah-Hartman氏は、ハードウェアメーカーが「もっと速く、積極的に」取り組んでくれるのが理想だと考えており、各国の政府や規制機関もそう考えていると述べた。
また同氏は、「Linuxの商用ディストリビューションモデルはまだ死んでいないが、多くの人は、そのモデルがもはや圧倒的な多数派ではないことを理解していない。今や世界のサーバーやシステムの80％は、（Red Hat Enterprise Linux（RHEL）やSUSE Linux Enterprise Server（SLES）ではなく）Debianや、Fedoraや、openSUSEをベースとしたフリーでオープンソースのプロジェクトで動いている」と指摘した。
Kroah-Hartman氏は、そのことがセキュリティの問題を複雑にしていると述べ、「これらのオープンソースプロジェクトに取り組んでいるコミュニティは、秘密保持契約（NDA）を結ぶことができない。なぜなら、それらのコミュニティーの個々のメンバーは、別の国の別の企業で働いている個人だからだ」と説明した。
