拡がるOSSセキュリティ需要に向け、最新情報を発信する勉強会を開催！

5月16日(火)、東京・品川の日立製作所HALLにおいて「OSSセキュリティ技術の会」による第1回勉強会「第一回勉強会：闘将（たたかえ）!! SELinuxの巻」が開催された。近年のオープンソースソフトウェア(OSS）の拡がりと共に、今やOSSセキュリティ技術もめざましい発展を遂げつつある。そうした状況を受けて、SELinuxを中心に最新のOSSセキュリティ技術の普及や技術者の交流促進をテーマに2017年3月、同会は設立された。国内におけるこうした勉強会は初の試みとあり、19時スタートにもかかわらず、会場は満席の参加者でにぎわった。

最新OSSセキュリティの技術動向の紹介と
情報発信を目指す

初めに挨拶に立った「OSSセキュリティ技術の会（以下、技術の会）」会長の中村 雄一氏は、「海外ではOSSのセキュリティ技術がめざましい進歩を遂げているのに、日本国内にはそうした動きがまったく伝わってきていません。世の中のセキュリティマネジメントの機運自体は盛り上がっているにもかかわらず、OSS分野の海外との技術ギャップはむしろ拡がっています。こうした事態を打開しようと考える有志によって、本会は立ち上げられました」と設立の狙いを語る。

前身となったのは、旧SELinuxユーザ会・セキュアOSユーザ会だ。2006年頃には、海外コミュニティとの連携や最新情報の発信、組み込みSELinuxなどの開発と活発な活動を続けていたが、運営メンバーの異動などで活動を休止。以降、国内では今回の「技術の会」発足まで、ほとんどOSSセキュリティの情報が発信されていない状況が続いていた。

中村氏は休止期間中も海外のOSSセキュリティ動向に目を配ってきたが、この約10年間に世界では続々と劇的な変化が起こりつつあった。例えば、今日はOSSにSELinuxやAppArmorを利用することが当たり前の時代だ。特にコンテナは「SELinuxなしでは危険で使えない」という認識が一般化している。またSELinux以外にも新しい動きが出てきている。認証関係のOSSの世代交代やコミュニティレベルのセキュリティ強化、運用管理技術の進化などは好例だ。

「ThoughtWorks社が2017年3月に出した“Technology Radar vol.16”には、SELinuxの基盤技術であるLinux Security Modulesが『推奨できるレベル』として紹介されています。同じく、新世代のシングルサインオンのOSSであるkeycloakは『要ウォッチ』として注目されており、認証周りのOSSに世代交代の予感があります」（中村氏）。

中村氏が強い懸念をおぼえるのは、こうした海外の活発な動きにもかかわらず、わが国の状況が10年前とほとんど変わっていないことだ。中村氏を始め「技術の会」メンバーがLinuxのセキュリティモジュールの定番として推奨するSELinuxですら、一般の技術書籍や雑誌では、強力なアクセス制御機能が予期せぬ制約につながるのを避けようと、「とりあえずOFFのまま」という記述がほとんどだ。

「正しいOSSセキュリティの考え方やモジュールの利用法、新しい技術動向などがまったく日本に入って来ていません。そこで私を含む5人のメンバーが発起人となって、新しい会を立ち上げることになったのです」（中村氏）。

SELinuxの原型は米国の軍用セキュアOS「Trusted OS」

「技術の会」では、OSSセキュリティの基本モジュールとしてSELinuxの利用を強く勧めている。SELinuxはLSM（Linux Security Module）と呼ばれるセキュリティ・フレームワーク上で提供されているセキュリティモジュールの代表的存在だ。

「SELinuxの創生」と題して登壇した佐藤 慶浩氏によれば、SELinuxの始まりは米国防総省が開発した軍用のセキュアOSであるTrusted OSだったという。開発には国防総省が独自に制定したTCSEC(Trusted Computer System Evaluation Criteria)と呼ばれる調達基準が用いられた。1985年のTCSECを皮切りにカナダやヨーロッパ各国が相次いで基準を設け、1994年には欧米5か国による統一基準Common Criteria V1.0が制定された。

1998年にはCommon Criteria V2.0へと進化し、さらに1999年にはISO標準(ISO/IEC 15408)として国際標準化され、2000年にはJIS標準(JIS X 5070)にもなっている。「TCSECではセキュリティ強度のレベル基準（強度の高い順に「A1」「A」「B3」「B2」「B1」「C2」「C1」「C」「D」）を設けており、このうち上から5番目の“B1”より上の基準を満たしているものをTrusted OSと呼んでいます」（佐藤氏）。

その後、Trusted OSは強制アクセス制御やCMW（Compartmented Mode Workstation）といった技術要件を取り込みながら進化を続け、米国連邦預金保険公社によるインターネットバンキングへの利用という形で初めて商業利用の扉を開く。それ以降もより幅広い範囲への応用を検討される中で、他のアプリケーションとの連携なども考慮しながら、やがてセキュアOSへと発展し、SELinuxの創設にも寄与したという。

「そうした経緯で、いまTrusted OSそのものは使われていませんが、例えば現在の商用UNIXの標準OSには、Trusted OSが実現したすべてのセキュリティ機能が盛り込まれています」（佐藤氏）。

そのおかげで、Trusted OSの時代はセキュリティ対策に別のツールを購入しなくてはならなかったが、現在のAIXやSolaris、HP-UXではSELinuxなどのセキュリティ仕様が搭載済みだという。

佐藤氏は最後に「ただ残念なことに、国内ではそれらの機能がOFFのまま使用されているのが現状なので、これからどんどんONにしてもらえるよう、私も皆さんと共にがんばっていきたいと思います」と締めくくった。

Linux Foundationの取り組みに注目した
米国RSAコンファレンス

当日とりわけ注目を集めたのが、中村氏による「RSA Conference USA 2017報告」だ。2017年2月13日(月)～17日(金)、米国サンフランシスコで世界最大級の情報セキュリティのイベントとして開催され、今年は4万人以上が参加した。

中村氏は今回、「OSSセキュリティ分野では2つのトピックが目を惹いた」という。1つ目は、コミュニティのレベルでのセキュリティ強化＝Linux Foundationの取り組みと、脆弱性情報のCVE（Common Vulnerabilities and Exposures）の新たな動きだ。

「Linux Foundationでは、OpenSSLのセキュリティに関する一連の事件への反省と教訓をもとに、CIIという団体を設立し、コミュニティの啓蒙活動を推進しています。またこれに関連して、コミュニティ開発者の意識向上が重要課題だとして、脅威モデルの作成やテストの実施と結果提出、行動分析ツールの利用、バグ管理などを奨励しています」。

CIIではセキュリティに関する認定基準を設け、所定のベストプラクティスを守っているOSSコミュニティに認定を与えるといった取り組みも行っている。また一般のOSSユーザへの呼びかけとして、OSSに“ただ乗り”することなく、バグレポートやパッチなどを通じて、ぜひ貢献して欲しいという呼びかけも行われていた。

一方、「CVEの新たな動き」とは、OSS関連のCVEが、ここ2～3年で激増している現象を指す。

「誤解されやすいのですが、これはソフトウェアの脆弱性が増えたからではなく、OSSのセキュリティをウォッチしている人口が増えたからなのです。主な背景としては、CVEを主導してきた米国の非営利団体MITREが、これまで弱かったOSS領域を強化するため、DWFという下部組織を設立したことが挙げられます」（中村氏）。

DWFはOSSのCVEのレビュアーとしてMentorという役割を設け、参加希望者を募っているという（https://github.com/distributedweaknessfiling/DWF-CVE-Mentor-Registry）。

トピックの2つ目は、コンテナのセキュリティだ。これは今年のRSA Conferenceで最も大きく注目を集めていた話題の1つである。とはいえ、まだ課題は多く、デフォルトで使用した場合にはかなり危険度の高い脆弱性もあることが複数のデモで報告されていたという。

コンテナセキュリティのセキュリティ対策技術は、Red HatのブースでSELinuxの他にもSELinuxと併用してシステムコールを使えなくさせるseccompや、コンテナの検査に利用するOpenSCAPなどが紹介されていた。

「脆弱性が次々に報告されてくる中で、これからは脆弱性を突かれてしまった後の対策がいっそう重要になってきます。そうした意味でもコンテナ時代の分離技術として、改めてSELinuxが重要になってきていると感じました」（中村氏）。

攻撃に対するSELinuxの動作を再現する
貴重なデモも披露

続いて、「最近のSELinuxの状況」と題してSELinuxの最新情報を紹介したのが、「技術の会」発起人の1人である面 和毅氏だ。面氏は「最近のSELinuxのトピック」として複数のキーワードを挙げ、中でも「CIL(Command Line Interface)」「コンテナ」「ファイルシステム」などが主な動きになっていると指摘する。

「CILはポリシーを記述する新しいランゲージです。これまでレファレンスポリシーを新たに書き起こすことはかなり手間のかかる作業だったのですが、CILではポリシーを1ファイルにまとめてより簡単に記載できるようになりました。これを用いると、ポリシーの開発が50～70％スピードアップすると言われています」（面氏）。

ポリシーの記述も容易で可読性も高いため、システム開発者だけでなくセキュリティ開発者や運用担当者がみずからこのランゲージを利用して、効率良く作業を行えるようになるのではないかと面氏は推測する。

続いて面氏は、「最近の脆弱性情報のPoCとSELinux」と題して脆弱性に関するデモをいくつか行った。対象となった脆弱性は「ShellShock(CVE-2014-6271)」「bind9 DoS(CVE-2016-2776)」「kernel特権昇格脆弱性(CVE-2017-6074)」「Struts 2(CVE-2017-5638)」「ntfs-3gの脆弱性(CVE-2017-0358)」と、いずれも高い危険度で知られるものばかりだ。

特にStruts 2などは日本国内でも大手企業や研究機関で大きな被害を出した脆弱性であり、SELinuxがPermissiveの時とEnforcingの時では動作がどのように違ってくるかを、実際に比較しながら確認できる貴重なデモとなった。

面氏は最後に、SELinuxは現在も日々開発が進んでおり、海外ではSELinuxを使うのが当たり前になっていることを強調。「とはいうものの、場合によってはSELinuxで守れるはずが守れない場合もありえます。そこでまず開発者は『SELinuxで守れる範囲／守れないかもしれない範囲』を正確に把握すること。そうした確実な知識を持って、脆弱性がなくなる日まで共に闘っていきましょう！」と力強く呼びかけた。

独自のslackチャンネル開設や
Web連載などの新企画も

この他にも、勉強会では中村氏によるセッション「SELinuxの正体を暴く！sesearch入門」や参加者とのQ&Aなどが行われ、盛況のうちに幕を閉じた。わずか2時間であったが、国内でこれだけ中身の濃いOSSセキュリティのイベントはおそらく初めてであり、「技術の会」の趣旨に照らしても大きな第一歩を踏み出せたと言えるだろう。

「技術の会」ではこうした勉強会以外にも、さまざまな啓蒙や情報発信に取り組みたいと意気込んでいる。その試みの1つが、「OSSセキュリティ技術の会slack」だ。中村氏は「OSSセキュリティに関心のある技術者や、自分1人では解決できない課題があれば、ぜひ参加してみてください。必ず誰かが答えてくれたり、いっしょに考えてくれたりするはずです」と語る。参加希望者はhttp://bit.ly/jsoss-sig-chatからアクセスしてみてはどうだろうか。

さらに2017年8月からは、Think ITで中村氏、面氏を中心メンバーとした執筆陣によるOSSセキュリティの連載記事も開始予定だ。エンタープライズ領域での利用がごく当たり前になった現在、OSSセキュリティ技術はあらゆるIT技術者に必須の課題と言っても過言ではないだろう。「OSSセキュリティ技術の会」の、これからの活動に大いに期待したい。