Moodle による e ラーニング環境の持続的な提供についての調査
宇田川 暢
山口県立大学 学術情報センター
udagawa@office.yamaguchi-pu.ac.jp

Research on the sustainable support for Moodle e-learning system inJapanese National Universities.
Mitsuru Udagawa
Center for the Academic Information and Technology Services, Yamaguchi Prefectural Univ.
概要
Moodle はさまざまな大学で利活用されているが、その一方で e ラーニング環境の持続的な提供として十分なメンテナンスが行われていない可能性がある。本稿では国立大学において動作している Moodle サイトのバージョンを調査し、十分にメンテナンスが行われているとはいえない現状を明らかにしている。

1

はじめに文科省による「高等教育機関における ICT 利活用に関する調査研究」1からも明らかなように、国内の大学において e ラーニングは既に普及している。e ラーニングの導入によって行われた授業改善についての報告は枚挙に暇が無く、LMS 2 の導入・設定についての報告も少なくない。しかしながら具体的に LMS の持続的なサービス提供やメンテナンスについて学内の取り組みを論じたもの
はオープンソースに限れば京都大学の報告[1] 程度である。
前述した文科省の調査結果から e ラーニング用プラットフォームとも言える LMS として、オープンソースの Moodle3が最も利用されていることが見て取れる。ここで、Moodle が導入されている大学において、一時的な学内予算または補助金によりシステムとして Moodle を導入したものの、アップデートなど十分なメンテナンスが行われていない事例があるのではと仮説を立て、検証を行うこととした。Moodle に限定したのはオープンソースであれば不具合やメンテナンスに関する情報が得られやすいことが理由である。
国内の全ての大学について Moodle の導入の有無を調査することは困難である。そのため、特にLMS の導入率が高く、一般的にその規模が大きいことから e ラーニングに対する支援体制が期待される国立 86 大学を対象に Moodle のメンテナン
ス状況の調査を行った。

1

https://axies.jp/ja/ict/ICT.pdf
Learning Management System
3
https://moodle.org/
2

2

Moodle の調査

本稿ではオープンソースのソフトウェアとしての「Moodle」と Moodle および Moodle を動作させるための OS やミドルウェアが稼働する「Moodleシステム（Moodle サイト）」とを区別して扱う。
Moodle 自体にセキュリティ上の脆弱性があったとしてもミドルウェアにより無効化できたり、逆に特定のミドルウェアと組み合わせた場合にのみ脆弱性が発現したりする場合があるため、Moodleシステムとしてのメンテナンス状況を評価するには Moodle 単体のそれを評価することと比較して大きな労力とシステム全体に関して情報が必要となる。本稿においては調査対象のシステムを管理する組織の同意や協力を得た上で行うものでは無いため、誤解を招く可能性のある手法を用いた調査を行わないようにする。そのため、Moodle 単体のメンテナンス状況を評価した。
文部科学省の Web サイトに掲載されている各国
立大学の Web サイトからリンクをたどって LMSへのリンクを探し、加えて Google などの検索エンジンを利用して Moodle の Web サイト URL のリストを作成した。このとき、過年度版のシステムを別サイトとしている場合は個別に扱うものとした。
倫理上問題が無い手段で Moodle のバージョンを検出するために専用の Web スクレイピング用ツール「MVD」を作成した。バージョンの検出方法
は Moodle の配布パッケージに含まれている CSSや JavaScript、説明用テキストなどの静的なファイルからバージョンの特定を行っている。具体的には検出対象の Moodle バージョンについて静的に取得可能な全ファイルのハッシュ値を計算し、ハッシュ衝突が無いファイルについてリストを作成し、そのリストのファイルにアクセスすることでバージョンの特定と絞り込みを行っていく。この方法ではマイナーバージョンまで特定できない場合もあるが、詳細なバージョンを知る事が今回の調査の目的では無いため現状でよしとしている。
このツールではアクセス対象、アクセス方法、アクセス頻度について一般的に問題が無いことを考慮している。Web サイト管理者が予期しないアクセスパターンではあるものの、公開されたテキストファイルを数個取得する方法であるため、倫理上問題が無いと考える。

3

Moodle のメンテナンス

Moodle のメンテナンスは基本的に機能変更が及ぶメジャーバージョンアップとセキュリティを含め不具合修正を目的としたマイナーバージョンアップとなる。Moodle は 6 ヶ月毎に新たなメジャーバージョンが公開される。その後 2 ヶ月毎にマイナーバージョンアップが行われ、18 ヶ月（LTS4版は 36 ヶ月）後にサポート打ち切りとなる5。つまりリリースから 18 ヶ月経ったバージョンについては致命的な不具合が見つかったとしても修正されない事になる6。
大学で運用されている Moodle サイトは大学教職員または委託された専門業者がメンテナンスを行っていると考えられる。

ンジェクション（MSA-17-0005）といった深刻な不具合が存在することも既に知られている。
Moodle のバージョンアップの内容によっては互換性の問題で作業時にコンテンツの一部が失われたり特定の機能が変わってしまったりする場合もある。稼働中の Moodle サイトを単純にバージョンアップし続ければ良いという訳にも行かないため、年度内はマイナーバージョンアップに留めておき年度が替わる度に新たに Moodle システムを構築するという運用方法もある。しかしながらインターネット上に公開されているのであればアーカイブ目的の過年度版システムであってもメンテナンスを行う必要性が存在するため、調査対象としている。

5

分析と結果調査の開始直後に、以下のような知見が得られた
大学公式サイトと非公式サイト
全学または一部学部を対象にして大学組織として設置した Moodle サイトと教員が独自に設置したものがあった。前者を公式サイト、後者を非公式サイトと呼称する。公式サイトと非公式サイトの判別は Moodle サイトのホスト名やサイトページを目視した内容から判別した。
I.

Moodle サイト自体へのアクセス制限
Moodle サイト全体がファイアウォール（以下、FW）によってアクセス元を限定（学内のみアクセス可など）されている例があった。また、
Moodle サイト自体はインターネットに公開されているが、静的コンテンツを含めて全てのアクセスに認証がかけられている例があった。
上記２つに該当する場合は通常の手段ではアクセスすることができないため、調査続行不能と判断した。
II.

4

メンテナンスについての問題

幸いにして Moodle には WordPress や Drupal といった他の CMS と比較して未認証のユーザによる SQL インジェクションといったサービス提供に関わるような致命的な不具合の報告はない7。
しかしながらアップデートを行わないことにより既知の脆弱性に対しての攻撃を受ける可能性は存在し、特定のバージョンにおいて編集権限を持っ た 教 師 に よ る リ モ ー ト コ ー ド 実 行（MSA-14-0025）や特定の MTA との組み合わせでのサイト管理者によるリモートコード実行（MSA-17-0003）、認証済みユーザによる SQL イ「Long Term Support」の略で通常に比べて長期間サポートされる。
45

https://docs.moodle.org/dev/Releases#Version_support
6
自サイトで稼働させているバージョンに対して修正部分を独自にバックポートするケースも考えられるが、作業コストの問題で現実的には不可能と考える。
7

http://www.cvedetails.com/vulnerability-list/vendor_id-2105/product_id-3590/Moodle-Moodle.html

III. Moodle サイト上の一部ファイルの隠蔽
セキュリティ上の観点からか一部テキストフ
ァイルへのアクセスができないようになっている Moodle サイトが存在した。しかしながら別のファイルを利用してバージョン検出が可能であった。
本調査では 59 大学 93 サイトを対象として MVDを用いてバージョンを調べた。その結果を表 1 に示す。バージョン不明は全て調査用端末からアクセス出来ないようになっている状況である。この制限はネットワーク上の FW または Moodle サイトの設定の影響を受けている。

表1
バージョン
1.6
1.9
2.3
2.4
2.5
2.6
2.7
2.8
2.9
3.0
3.1
3.2
3.3
不明
合計

バージョン内訳
公式サイト
非公式サイト01103101140
72504041402506151708310

このうち本原稿執筆時点（2017 年 10 月 1 日）でサポート対象となっているものは 3.1～3.3 である。上記ではマイナーバージョンも含めて最新版であるかは考慮していないため、バージョン特定時に利用したファイルの最終更新日時を元に類型化したものを表 2 として示す。
表2
最終更新日
2017/09/10 以降

2017/04/01~ 2017/09/09
2017/01/01~ 2017/03/31
2016/12/31 以前

最終更新日内訳
公式サイト
非公式サイト7018
21403782017 年 9 月 10 日（日本時間）に原稿執筆時の最新版がリリースされたため、それ以降の日付のものは最新のアップデートが適用されており、十分なメンテナンスが行われていると考えられる。
2017 年 4 月から 9 月にかけて最終アップデートが行われているものは必ずしも最新版が適用されている訳では無いにしても年度中にアップデートが行われていると考えられる。
2017 年 1 月から 3 月の間に最終アップデートが行われているものは年に一度程度のアップデートを行うような運用を計画しているものだと考えられる。
2017 年に入ってからアップデートが行われていないものは既にサポートが行われていないシステムであると考えられる。

6

結論

Moodle はその利用・運営の汎用性の観点よりさまざまな大学で利活用がすすんでいる。特に学生との密なコミュニケーションが求められる授業運営に対しての活用が多数見られる。しかしながら調査の結果、セキュリティなどの問題について十分に検討されていない Moodle サイトが存在しているのが現状であると考える。大学公式の Moodleサイトでさえも半分以上がメンテナンスをされていると言えない状態にあり、特に教員が設置したと思われる非公式サイトはそのほとんどが構築後にまともにメンテナンスされていないことが想像に難くない。これについては Moodle のインストールや利用方法について説明した「Moodle 解説本」の功罪であると考える。
Moodle サイトの運営を行う委託業者は一般的に年一回のアップデートを行うことを謳っているが、脆弱性の内容によってはそれで十分と言えない場合もあり、委託業者の提案を単純に受け入れるのではなく深刻な問題のある不具合の対象となる時は例外的にアップデートを依頼するなど検討することを提案する。
本調査で開発・利用したツールを使って継続的な調査を行っていく予定である。

参考文献
[1]
外村孝一郎・津志本陽・梶田将司、京都大学における Sakai CLE による学
習支援環境の現状と課題、研究報告教育学
習 支 援 情 報 シ ス テ ム （ CLE ）、 Vol.
2017-CLE-21、No. 2、pp. 1–5、2017 年 3 月