オープンソースソフトウェアをより安全にするための取組み- オープンソースソフトウェアの産業適⽤状況- オープンソースソフトウェアとしての脆弱性対策- The Linux Foundationの役割
Yoshiya ETO
Fellow, The Linux Foundation
Oct. 2023

⾃⼰紹介

2

前職でのオープンソース開発実績●●4500
2010年頃まで:
Mission Critical systemに注⼒: 東京証券取引所稼働開始
最近まで:
3310
Digital Business innovation領域にも拡⼤
1768

コミット数

1095
541
43
2005

2006

LinuxOS

379
2007

KVM

740

2008

2009

Xen

1223
790

835

836

2010

2011

2012

SDN

IoT

2013

OpenStack2014

2015

2016

コンテナ
3

The Linux Foundationご紹介› 2007年設⽴時のメンバー/活動領域› 主要メンバー: Fujitsu, Hitachi, HP, IBM, Intel, NEC, Oracle› 活動領域: promote, protect, and advance Linux› 2023年の状況
2,300+

メンバー企業（41か国から）100%

Fortune 100
Tech&Telecomから740,000+

コードを貢献する
開発者

950+

オープンソース
プロジェクト$100B

共有技術の資産価値4対象プロジェクト: さまざまな技術分野・業種

技術分野
セキュリティ

ネットワーククラウド
ブロックチェーン
エッジ/IoT
Web
AI
CI/CD
ハードウェア
標準

業種
⾃動⾞
エネルギー
フィルム/映画
⾦融/財務
通信

5

The Linux Foundationのプロジェクトで⾏われていること
n プラットフォームソフト・データをオープンソース化: 重要だが競争領域でない
l 共通技術で製品差異化/ベンダーソリューションを極⼩化
ó⾃社でオープンソースエンジニアを抱えて最⼤限の価値教授

n 他社と共同開発/投資を共有: ダーウィンの進化論的開発モデル
l 複数のアイデアを混ぜ合わせて独⾃な進化/⾃由に作れない他社アイデアでエコシスム拡⼤する場合もある: K8sのgoogle内議論

6

オープンコラボレーションに幅広い役割
ガバナンス オープン オープンソース オープン コミュニティ JDF標準 国際標準
ネットワーク データ
ソフトウェア ハードウェア
仕様
集合知によるイノベーション

参画に必要な経験知:
法的な調整や構造
業界別の経験
技術分野毎の経験
成功の実績

拡⼤していくために必要な経験知:

セルフサービスオプション
アンブレラと柔軟なプロジェクト構造
メンバーシップモデルとネットワーキング効果
システムとプロセスの注⼒ポイント
厳格なIP管理とセキュリティの注⼒ポイント7

オープンソースソフトウェア利⽤状況
Auditしたソフトウェアの99%にオープンソースが取り込まれている
Auditしたソースコードのうち78%はオープンソースのコード
Source: 2022 Backduck OSSRA
https://www.synopsys.com/content/dam/synopsys/sig-assets/reports/2022-ossra-report.pdf

8

オープンソースソフトウェアの定義
1. Free Redistribution: 再配布の自由
2. Source Code: ソースコード公開の⾃由
3. Derived Works: 派⽣ソフトウェアの作成と配布の⾃由
4. Integrity of The Author’s Source Code: 作者のソースコードの完全性
5. No Discrimination Against Persons or Groups: 個⼈やグループに対する差別の禁⽌6. No Discrimination Against Fields of Endeavor: 利⽤する分野に対する差別の禁⽌
7. Distribution of License: 再配布時の追加ライセンス不要
8. License Must Not Be Specific to a Product: 特定製品でのみ有効なライセンスの禁⽌
9. License Must Not Restrict Other Software: 他のソフトウェアを制限するライセンスの禁⽌10. License Must Be Technology-Neutral: ライセンスは技術中⽴的でなければならない
https://opensource.org/osd/
https://opensource.jp/osd/osd19/9⼀部定義の詳細
1. 再頒布の⾃由「オープンソース」であるライセンスは、出⾃の様々なプログラムを集めたソフトウェアディストリビューションの⼀部として、ソフトウェアを販売あるいは無料で頒布することを制限してはなりません
ライセンスは、このような販売に関して印税その他の報酬を要求してはなりません

6. 利⽤する分野に対する差別の禁⽌ライセンスはある特定の分野でプログラムを使うことを制限してはなりません
例えば、プログラムの企業での使⽤や、遺伝⼦研究の分野での使⽤を制限してはなりません

BUSL/BSL, Business Source License, はオープンソースソフトウェアではない
https://opensource.jp/osd/osd19/10ライセンス変更の事例
CompanyProject

元License

変更後License

変更⽇

HashiCorp

Terraform

MPL-2.0

BUSL

2023

Elastic License & SSPL

2021

Elastic

ElasticSearch and Kibana Apache-2.0

MongoDB

MongoDB

AGPL-3.0

SSPL

2018

Confluent

Confluent

Apache-2.0

Confluent Community License

2018
2018
2021

Redis Labs

Redis Stack

AGPL-3.0

SSPL and Redis Source
Available License

TimescaleTimescaleDB

Apache-2.0

Timescale License

2018

Cockroach Labs

CockroachDB

Apache-2.0BUSL

2019

AirbyteAirbyteMIT

Elastic License

2021
11

なぜオープンソースソフトウェアライセンスが変更される?
1.

VCによる早期のマネタイズ要求

2.

特定企業のみによる開発/ソースコード公開
l オープンソースコミュニティの健全性の検証
scorecardによる数値化
https://securityscorecards.dev/

12

利⽤技術者数

オープンソースプロジェクトの種類・何処をめざすか?

②

係
関
関

相の道

想
①

さ定王る
れ

③
開発技術者数13

オープンソースソフトウェア利⽤状況
Auditしたソフトウェアの99%にオープンソースが取り込まれている
Auditしたソースコードのうち78%はオープンソースのコード
Source: 2022 Backduck OSSRA
https://www.synopsys.com/content/dam/synopsys/sig-assets/reports/2022-ossra-report.pdf

14

現在のソフトウェア開発⼿法/潮流= 事業のため源流開発
GAFAM等BigTechが作る世界的な潮流④利⽤技術者/コンサル/
⼈材育成業者①Project① オープンソースプロジェクトで技術開発② 開発技術・既存技術で製品・サービス開発③ 製品・サービスからのフィードバック投資

n 再発明を避け機能開発速度を上げる ③Profit
n 開発に参加する複数の企業が⾃⾝の事業最適化にしのぎを削る

Participation
Markylog
hno

オープンソースプロジェクト活⽤

Tec④ 利⽤技術者などのエコシステム形成

Community

ett/S
cudo
Pr

ceiv
er

②Product15

オープンソースの脆弱性と影響●

OpenSSL: Heart Bleed: 2013年12⽉ CVE-2014-0160 record created●

Apache Stratus2: 2017年1⽉29⽇ CVE-2017-5638 record created..

●Log4Shell: 2021年11⽉26⽇ CVE-2021-44228 record created

防衛・経済活動で幅広く使われていて影響が甚⼤
品質が悪いわけではない

16

オープンソースの脆弱性と経済影響
n Heartbleed=OpenSSLの脆弱性, 2014年4⽉発覚
l 三菱UFJニコスのWebから894⼈分の個⼈情報流出: 2014/4/18
source: https://xtech.nikkei.com/it/article/NEWS/20140421/551884/l メニコンのWebからクレジットカードなどの個⼈情報漏洩: 2018/5/17
source: https://xtech.nikkei.com/atcl/nxt/column/18/00001/00561/

n Apache Struts2: source: https://saas.gmocloud.com/service/websecurity/threat/struts2.html
l 国⼟交通省で約20万件の顧客情報が流出: 2017/6/6
l 総務省で2.3万⼈の個⼈情報が流出: 2017/4/13
l GMOペイメントゲートウェイが運営しているサイトから個⼈情報72万件が流出: 2017/4/5
l ぴあが運営するサイトからクレジットカード情報3.2万件が流出の可能性: 2017/3/7

n Log4Shell = Log4jの脆弱性: 進⾏中l 栃⽊県警察*も注意喚起: https://www.pref.tochigi.lg.jp/keisatu/n33/ccat/log4shell.html*: 同様の情報: 滋賀県警、広島県警、⻑崎県警、流⼭商⼯会議所、彦根商⼯会議所
17

オープンソース利活⽤上の脆弱性対策 –第Zero期
n OSS: 誰かが、基本⾃分のシステムのために開発
l 開発者想定のワークロードには良い品質
n 製品開発向けに⾃社内で⼗分品質確保
l 検出障害は製品ごとに管理・維持
l オープンソースのバージョンアップ毎に再Fix・テスト…

n 品質確保段階で前述の脆弱性を検出・修正できなかった18

オープンソースコミュニティとしての脆弱性対策 –第⼀期
n Core Infrastructure Initiative, CII: Heartbleed及び類似事例対策
Source: https://internet.watch.impress.co.jp/docs/news/646136.html

初期メンバー: Amazon Web Services、Cisco、Dell、Facebook、Fujitsu、Google、IBM、Intel、Microsoft、NetApp、Rackspace、VMware
1. 重要な開発者がフルタイムでオープンソースプロジェクトに取り組むためのフェローシップ、セキュリティ監査、コンピューティングおよびテストインフラ、旅⾏、
対⾯会議予算l OpenSSL: $550K, NTPsec: $150K, ntpd: $180K, OpenSSH: $50K, 他

https://en.wikipedia.org/wiki/Core_Infrastructure_Initiative

2. Best Practices Security Badge Program
後のscorecard by OpenSSFの⼀部として取り込まれている19

オープンソースソフトウェア利⽤者の脆弱性対策 –第⼆期
n ⼤統領令により政府調達要件にSBOM必須化: 2021年5⽉12⽇に署名
President Biden‘s Cybersecurity Executive Order 14028 any company thatsells software to the federal government will be mandated to provide acomplete Software Bill of Materials (SBOM)n White HouseがOpen Source Security Summit主催
l 源流に遡って対策を打たないと20

Open Source Security Summit要約: ホワイトハウス主催
https://www.whitehouse.gov/briefing-room/statements-releases/2022/01/13/readout-of-white-house-meeting-on-software-security/

nnn

本⽇ホワイトハウスは、政府と⺠間企業の関係者を招集し、オープンソースソフトウェアのセキュリティを向上させるための取り組みと、新たなコラボレーションによって改善を迅速に進める⽅法について議論いたしました
国家安全保障分野で使⽤されているソフトウェア含め、主要なソフトウェアパッケージのほとんどはオープンソースソフトウェアを取り込んでいます
ソフトウェアは、経済の全セクターであらゆる場所に存在し、⽶国⼈が毎⽇使⽤する製品やサービスの基盤となっています
オープンソース・ソフトウェアは、独⾃の価値をもたらすと同時に、その使⽤範囲の広さと継続的なセキュリティ・メンテナンスに責任を負うボランティアの数から、独⾃のセキュリティ上の課題も抱えています21Open Source Security Summit要約: ホワイトハウス主催
https://www.whitehouse.gov/briefing-room/statements-releases/2022/01/13/readout-of-white-house-meeting-on-software-security/nnn

会議には、Anne Neuberger: 国家安全保障副顧問（サイバーおよび新技術担当）、Chris
Inglis: 国家サイバー⻑官、科学技術政策局、国防総省、商務省、エネルギー省、国⼟安全保障省、サイバーセキュリティおよびインフラセキュリティ局(CISA)、⽶国標準技術研究所、⽶国科学財団の職員が参加いたしました
⺠間企業では、Akamai、Amazon、Apache Software Foundation、Apple、Cloudflare、Facebook/Meta、GitHub、Google、IBM、The Linux Foundation、Open Source Security Foundation、Microsoft、Oracle、RedHat、VMWareが参加しています
バイデン⼤統領は、ソフトウェアセキュリティを国家的な優先事項としています
彼のサイバーセキュリティに関する⼤統領令は、安全なソフトウェア開発ライフサイクル⼿法を使⽤し、特定の連邦セキュリティガイダンスを満たした企業のみが連邦政府に販売できるようにすることを要求しています22

Open Source Security SummitII要約: ⽶国⾏政機関主導
https://www.linuxfoundation.org/press-release/linux-foundation-openssf-gather-industry-government-leaders-open-source-software-security-summit/

nnn

本会合は⽶国⾏政機関主導のもと、The Linux Foundationが主催しました
⽶国政府機関(NSC, ONCD, CISA, NIST, DOE, OMB)及び主要企業37社90名が参加
LFとOpen Source Security Foundationは様々な経済セクターから情報提供を受け、OSSとソフトウェアのサプライチェーンセキュリティに幅広く対応する初の実践計画を発表
この計画では3つの⽬標に対する10の主要な問題が明らかにされ、解決策実践には、2年間で約1億5千万ドルの資⾦が必要
I.
II.
III.

セキュアな OSS の開発・提供
脆弱性検出と修復⽅法の強化
エコシステムにおけるパッチ適⽤までの時間短縮

n

実践に向けAmazon,Ericsson,Google,Intel,Microsoft,VMWareが3,000万ドル以上の資⾦提供

n

OpenSSF参画企業が 1億1000万ドル以上かけ実践中のOSSセキュリティ対策活動で当⾯補う23Open Source Security SummitII要約: ⽶国⾏政機関主導
https://www.linuxfoundation.org/press-release/linux-foundation-openssf-gather-industry-government-leaders-open-source-software-security-summit/nnn

本会合は⽶国⾏政機関主導のもと、The Linux Foundationが主催しました
⽶国政府機関(NSC, ONCD, CISA, NIST, DOE, OMB)及び主要企業37社90名が参加
LFとOpen Source Security Foundationは様々な経済セクターから情報提供を受け、オープンソース開発とソフトウェアのサプライチェーンセキュリティに幅広く対応する初の実践計画を⽴案
この計画では3つの⽬標に対する10の主要な問題を明らかにした解決策実践には、2年間で約1億5千万ドルの資⾦が必要
I.
II.
III.

OSS開発をセキュアにする
脆弱性の検出と修復の強化
エコシステムのパッチ応答時間を短縮

n

実践に向けAmazon,Ericsson,Google,Intel,Microsoft,VMWareが3,000万ドル以上の資⾦提供

n

OpenSSF: Premier member=21社、General member=70社(うち⽇本から5社)
24

Open Source Security Summit Japan: 2022/8/23●

経済産業省サイバーセキュリティ・情報課 上村審議官●

⽶国ホワイトハウスの国家サイバー⻑官 Chris Inglis●

The Linux Foundation: Jim Zemlin, OpenSSF: Brian Behlendorf●

参加企業: 20社以上の企業・団体が出席○ ⽇⽴製作所、富⼠通、NEC、NTTデータ、トヨタ、LINE、産総研、IPA他

25

3つの⽬標1. OSS開発をセキュアにする○ コードとオープンソースパッケージのセキュリティ上の⽋陥や脆弱性の防⽌に注⼒
2. 脆弱性の検出と修復の強化○
⽋陥の検出、それらを修正するプロセスの強化
3. エコシステムのパッチ応答時間を短縮○
修正の配布、実装のための応答時間を短縮

26

OSS開発をセキュアにするストリーム 1︓基本基準を満たすセキュアなソフトウェア開発の教育と認定 をすべての⼈に提供○○○○

Developing Secure Software (LFD121)
Secure Software Development: Requirements, Design, and Reuse (LFD104x)
Secure Software Development: Implementation (LFD105x)
Secure Software Development: Verification and More Specialized Topics (LFD106x)

ストリーム 2︓10,000以上のOSS コンポーネント対象にリスク評価パブリックダッシュボード開設○ ベンダー中⽴な指標に基づくリスク評価パブリックダッ シュボード: LFX.io
ストリーム 3︓ソフトウェアリリースでのデジタル署名の採⽤を加速○ Free sigstore Signing Service to Confirm Origin and Authenticity of Software
ストリーム 4︓メモリセーフでない⾔語を置き換えることで、多くの脆弱性の根本原因を排除

27

脆弱性の検出と修復の強化
ストリーム 5︓ OpenSSF内にOpen Source Security Incident Response Team設⽴○ クリティカルな脆弱性対応時、セキュリティの専⾨家がオープンソースプロジェクトを⽀援
ストリーム 6︓メンテナーと専⾨家による新しい脆弱性の検出加速○⾼度なセキュリティツールと専⾨家のガイダンスをメンテナーに提供

ストリーム 7︓1 年に1 度/最⼤200のクリティカルOSSコンポー ネントをサードパーティコードレビュー
ストリーム 8︓クリティカルなOSS コンポーネント決定調査の改善のため、業界全体でデータ共有

28

エコシステムのパッチ応答時間を短縮
ストリーム 9︓あらゆるところにSBOMを○ SBOMツールとトレーニングを 改善し採⽤を促進: SPDX, OpenChain認証
ストリーム 10︓最もクリティカルな10のOSS ビルド システム、 パッケージマネージャー、およびディストリビューションシステムを強化

29

オープンソースソフトウェア業界のSBOMの意味n

オープンソースソフトウェアのライセンス間の⽭盾
llnüGNU GPLの第6項抜粋

ü昔のBSDライセンス

You may not impose any further restrictions on the recipients' exercise of the rights granted herein.
All advertising materials mentioning features or use of this software must display the following acknowledgement: Thisproduct includes software developed by the University of California, Berkeley and its contributors.

Apache Software Foundation Webサイト: GPLv2とApache License ver2.0は両⽴しない

Copyleftln

有名な事例: GPL v.s. 昔のBSDライセンス

インストール条項のあるライセンス: GPL v.3

商⽤に使えないライセンス

古からオープンソースを商⽤利⽤するには、ライセンス管理する必要があった
30

システムを安全に保つ
n

OpenSSF活動を活⽤してオープンソースを評価/安全なコードを書く/流通させる
llln

内部システム/製品/サービスのSBOMを作って脆弱性検出に備える
lln

開発者をトレーニングする: LFD104-JPx, LFD105-JPx, LFD106-JPx, LFD121-JP
Scorecard: 複数の視点でオープンソースプロジェクトの健全性を可視化Sigstore: 無償の署名ツール
GitのbuildにSBOM⽣成ツールが既に統合されています: sbom-tools
SBOMの標準仕様はISOで既に規定され、かつ更新されています: SPDX 3.0

脆弱性報告に速やかに修正適⽤ができるシステム構成/運⽤にしておく
lll

テスト⾃動化追求
定期的な修正適⽤・バージョンアップを計画
ステートレスなマイクロサービス/コンテナアプリケーションでシステム構築

Linux Foundationとは –最後にもう⼀度、個⼈的な思いn 501(c) (6)で規定される⽶国⾮課税団体
l カリフォルニア州で登記
l Form 990で内国歳⼊庁に毎年申告

n 社会基盤サービスとしてのオープンソースソフトウェアを維持する財団
⽶国・欧州・⽇本でのl ⽂化的な社会基盤サービスへの認識の違い
l 政府のオープンソースソフトウェアの重要性の認識の違い

n 先進技術のファンダメンタルに関する議論が活発

l Generative AI⽣成ソースコードのSBOM⽣成などが検討されている
32

現在のソフトウェア開発⼿法/潮流= 事業のため源流開発
GAFAM等BigTechが作る世界的な潮流④利⽤技術者/コンサル/
⼈材育成業者①Project① オープンソースプロジェクトで技術開発② 開発技術・既存技術で製品・サービス開発③ 製品・サービスからのフィードバック投資

l 再発明を避け機能開発速度を上げる ③Profitl 開発に参加する複数の企業が⾃⾝の事業最適化にしのぎを削る

ParticipationMarkylog
hno

オープンソースプロジェクト活⽤

Tec④ 利⽤技術者などのエコシステム形成

Community

ett/S
cu
do
Pr

ce
iv
er

②Product33

利⽤技術者数

オープンソースプロジェクトの種類・何処をめざすか?

②係
関関

相の道

想
①

さ定王る
れ

③
開発技術者数34

ありがとうございました35