サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

オープンソースのセキュリティ懸念について（ある顛末）
基調講演 @ Osaka NDS Embedded Cross Online Forum #13

宗像尚郎
Automotive Grade Linux Advisory board member
Linux Foundation board member

2021-7-9

1 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

自己紹介
コミュニティ活動 ← 今日はこちらの帽子

企業活動 (ルネサスエレクトロニクス)

Linux Foundation Board Director

R-Car Linux upstream kernel 開発

AGL Advisory Board

Vehicle-to-Cloud Solition 開発

Genivi Board
yocto project advisory board

SW First 活動への支援Sustainable SW サポート提供

Xen FUSA SIG メンバー

社内開発者育成支援

Chromium Upstream 開発支援

顧客開発プロジェクト支援

企業の SW 開発者と OSS 開発コミュニティの橋渡しを多面的にサポートしてきました

2 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

サイバーセキュリティと OSS の関わり

3 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

オープンソースは既に 重要な社会インフラ基盤 となっている

4 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

オープンソースは既に 重要な社会インフラ基盤 となっている

5 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

オープンソースは既に 重要な社会インフラ基盤 となっている

6 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

サイバーセキュリティ対策強化 が最重要な社会課題となっている

https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order7 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのかLinux Foundation のサイバーセキュリティに対する取り組み
コミュニティ起点 の対策強化の取り組み

Open Source Security Foundation(OpenSSF)
脆弱性情報開示Best Practice WG
検出ツールの開発、改善
デジタルアイデンティティ認証

SPDX
SBOM（SW Bill of Material)
SW Supply Chain 管理スキーム

https://www.linuxfoundation.org/blog/how-lf-communities-enable-security-measures-required8 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

オープンソースとサイバーセキュリティリスク （二つの見解）
OSS はセキュリティリスクが心配

OSS の方が信頼できる「安かろう悪かろう」 の論理

トレーサビリティ
ソースコード へのアクセス
変更履歴が開示されている開発者の素性 が分からない
コードの品質レベルがまちまち
アタックサーフェスが丸見え
サポート／メンテナンススキーム不在”Given enough eyeballs, all bugs
are sharrow” (Linus’s Law)
サスティナビリティ

問題発生時の 責任当事者 が不明確
さすがに以前のような乱暴な主張 (OSS= 悪

9 / 43

オープンソースのセキュリティ懸念について（ある顛末）

コードがあればメンテは継続できるが前提) は減ってきているが基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

実態としては 利用実績の多いものほど脆弱性報告数が多くなる

https://www.cvedetails.com/top-50-product-cvssscore-distribution.php
10 / 43オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

サイバーセキュリティ対策は アカデミアでも重要な研究テーマにLinux kernel bug-fix research @UMN
UMN=University of Minesota
2018 年から OS セキュリティ対策研究をスタート
Linux kernel ソースコードがターゲット
Kangjie Lu 助教授が博士課程の学生を指導
約 400 件の bug-fix パッチ を投稿した実績あり
パッチ投稿の経緯と成果を 学術論文 として発表

IEEE などの学会で多数の発表実績あり
https://www-users.cs.umn.edu/~kjlu/papers/lrsan.pdf
11 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

ミネソタ大（MNU) のコミュニティ出禁事件 が大々的に報じられる事態に

https://gigazine.net/news/20210422-linux-ban-university/
12 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

Kangjie Lu ＠ UMN

https://www-users.cs.umn.edu/~kjlu/
13 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

ある博士課程学生の疑問「はたして OSS 開発者は信頼できるのか？」
デベロッパーに起因するリスク

OSS だと誰でもコードを投稿できるので、開発者のスキル等が不安間違ってバグ（セキュリティリスク）を入れてしまう可能性がある
さらに 故意にセキュリティリスクをこっそり入れることもできるのでは？

メンテナーに起因するリスク
潜在的なセキュリティホール対策のパッチを受け付けない？ （Greg 曰く”It must fix a real bug that

bothers people (not a, ”This could
be a problem...” type thing” instable_kernel_rules)
静的解析ツール などが十分活用されていなくて人間の目に頼っている?

バグ対策に見せかけ故意に脆弱性を入れる”Hypocrite Commit”実験を思いつく
14 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

Qiushi Wu

https://qiushiwu.github.io/
15 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020 年 8 月～2021 年 5 月

16 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-08-04: ”Hypocrite Commits 1/5”

https://lore.kernel.org/lkml/20200804183650.4024-1-jameslouisebond@gmail.com/
17 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-08-20: ”Hypocrite Commits 3/5”

https://lore.kernel.org/lkml/20200821031209.21279-1-acostag.ubuntu@gmail.com/
18 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-08-27: Linux kernel 開発コミュニティへの公開質問

https://lkml.org/lkml/2020/8/27/1197
19 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-08-27: Linux kernel 開発コミュニティへの公開質問

20 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-08-27: Linux kernel 開発コミュニティへの公開質問

21 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-11-21: IEEE Symposium on Security and Privacy が論文採択

https://github.com/QiushiWu/QiushiWu.github.io/blob/main/papers/OpenSourceInsecurity.pdf
22 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-12-01: Sarah Jamie Lewis & others send a letter to IEEESSP

https://hackmd.io/s/BJGs6Tfiw
23 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2020-12-15: UMN が 本研究の内容についての説明 を FAQ として公表
OSS パッチ投稿メカニズムに内在するリスクの顕在化
過去 138 件のパッチがバグを作り込んだ事実を把握

Linux kernel にバグを入れる事が目的ではない
メンテナー自体が研究対象ではない (UMN/IRB 裁定)
コミュニティには論文投稿前に 一般論としての問題指摘を実施 した（が、Hypocrite Commits 実験を行うことをメンテナーに事前告知しなかった［筆者注］）
本研究がメンテナーの貴重な時間を消費させる事は認識
コミュニティとの関係を崩すことにはならないと期待
https://www-users.cs.umn.edu/~kjlu/papers/clarifications-hc.pdf
24 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

UMN Institutional Review Board (研究倫理審査委員会) の Go 判断

https://www-users.cs.umn.edu/~kjlu/papers/clarifications-hc.pdf
25 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

26 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2021-04-06: Aditya Pakki ＠ UMN のパッチから 大炎上に発展

https://lkml.org/lkml/2021/4/6/1295
27 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2021-04-21: Greg が MNU からのパッチ拒否、過去パッチも全削除

https://lkml.org/lkml/2021/4/21/14328 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

2021-04-21: Greg が MNU からのパッチ拒否、過去パッチも全削除

29 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか*plonk*https://en.wikipedia.org/wiki/Plonk_(Usenet)
30 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか公知化＝Linux コミュニティで起こった大事件 として拡散 (4/22)

https://gigazine.net/news/20210422-linux-ban-university/
31 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

実際にはコミュニティ幹部は 極めて冷静かつ合理的に迅速に対処

https://linux.srad.jp/story/21/04/25/1954223/
32 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

総括、何が問題だったのか

33 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

本事案の 公知化以降の急展開 ① (4/21 - 4/23)
Greg の警告直後から 事態は急展開 していった
4/21: LF TAB (Technical Advisory Board) がHypocrite Commits 事案の調査を開始
4/21: 偽装送信者特定（James Bond,..）4/21: Hypocrite Commits パッチの特定
4/21: UMN Department Head が謝罪文（→）
4/22: LF TAB が最初のレビューコメントを発表
4/23: LF が UMN に 改善命令レター を発行
Greg の警告に対してコミュニティと UMN は間髪を入れずアクションを開始する
34 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

本事案の 公知化以降の急展開 ② (4/14 - 5/5)
UMN は 本事案の調査に全面協力、公式謝罪へ
4/24: Kanjie Lu 助教授が LKML に謝罪文 投稿
4/25: UMN が一連の Commits メールを収集
4/26: UMN が IEEE に投稿論文の取り下げ要請（→）
4/27: UMN が 詳細調査報告 を公表
4/27: UMN が LF の改善命令に返信
5/5: LF TAB が 詳細レポート公開
UMN 投稿パッチの全件レビュー結果を含む

オープンソースだったから「極めて迅速で完全に透明性のある分析」が可能であった
35 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

本事案の 公知化以降の急展開 ③ UMN 投稿パッチレビュー
Greg によるパッチレビュー経緯
4/21: 過去パッチ revert 開始
4/28: Hypocrite Commits revert
4/29: パッチ再レビュー結果投稿
5/3: 最終 revert パッチ投稿
信頼されたメンテナーが多数参加

LF/TAB で最終判定
5/3: パッチレビュー結果投稿（→）

36 / 43

レビュー結果 = 大部分は正当な修正

UMN 過去パッチ全件調査（対象 435 件）
正当性を確認（349 件）
修正が必要（39 件）
後のコミットで修正済（25 件）
既に解決済みで不要（12 件）
研究グループ結成前（9 件）
作者から revert 要求（1 件）

Hypocrite Commits（対象 5 件）
脆弱性付のパッチ（4 件）
間違えて正しいパッチ（1 件）

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

Lessons and Learned
Hypocrite Commits 結果

Hypocrite Commits の教訓

メンテナーにより Reject されて一件もマージされなかった実験台にされた事実に強い抵抗感

脆弱性の検出云々以前の問題としてパッチとして成立していなかった から
UMN 指摘のリスクは否定していない

過去には良好な協調関係があった「予防的パッチの適用」は実績多数「ツールの活用」も既に実施中
脆弱性混入リスクは排除できない
脆弱性対策については有効に対処中

アカデミアとの信頼関係に大きな傷Linux 誕生はヘルシンキ大学に遡るアカデミアとの 信頼関係再構築を期待
今後のアカデミアの研究活動の指針となる事件になったセキュリティ問題深刻化、OSS 適用範囲拡大に対してどう連携するかは重要な課題
37 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

Reference今日説明の UMN 関連の内容は以下 LKML から参照可能
本事案に対するコミュニティ総括［LKML］
https://lkml.org/lkml/2021/5/5/1244
投稿論文

https://github.com/QiushiWu/QiushiWu.github.io/blob/main/
papers/OpenSourceInsecurity.pdf

38 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

https://github.com/gregkh/presentation-linux-maintainer ①

39 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

https://github.com/gregkh/presentation-linux-maintainer ②40 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

https://github.com/gregkh/presentation-linux-maintainer ③

41 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり

2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

https://github.com/gregkh/presentation-linux-maintainer ④

42 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13

サイバーセキュリティと OSS の関わり2020 年 8 月～2021 年 5 月
総括、何が問題だったのか

https://github.com/gregkh/presentation-linux-maintainer ⑤

43 / 43

オープンソースのセキュリティ懸念について（ある顛末）

基調講演 @ Osaka NDS Embedded Cross Online Forum #13