Loading article…
オープンソース ソフトウェアのセキュリティとは、オープンソース ソフトウェアシステムに固有の危険やリスクがないことを保証または保証する尺度です。
実施に関する議論
利点
- プロプライエタリソフトウェアは、ソフトウェアベンダーが提供するセキュリティレベルと、パッチやアップデートがリリースされる頻度をユーザーに受け入れさせる。[1]
- 使用されるコンパイラは信頼できるコードを作成するものと想定されていますが、Ken Thompsonによって、コンパイラのバックドアを使用してコンパイラを破壊し、善意の開発者が無意識のうちに作成した欠陥のある実行可能ファイルを作成できることが実証されています。[2]コンパイラのソースコードにアクセスできるため、開発者は少なくとも悪意があるかどうかを検出できます。
- ケルクホフスの原理は、敵が安全な軍事システムを盗んでも、その情報を危険にさらすことはできないという考えに基づいています。彼の考えは多くの現代のセキュリティ慣行の基礎となり、隠蔽によるセキュリティは悪い慣行であるという考えにつながりました。[3]
欠点
- ソースコードを公開するだけでは、レビューが保証されるわけではありません。セキュリティシステムの設計と実装の専門家であるマーカス・ラナムが、最初のパブリックファイアウォールツールキットをリリースしたのがその例です。一時は、彼のツールキットを使用しているサイトが2,000以上ありましたが、フィードバックやパッチを提供したのはわずか10人でした。[4]
- 多数の人がコードをレビューすると、「ユーザーを誤った安心感に陥らせる」可能性があります。[5]多くのユーザーがソースコードを見たとしても、セキュリティ上の欠陥が発見され修正されることは保証されません。
指標とモデル
システムのセキュリティを測定するためのモデルやメトリックは多種多様です。以下は、ソフトウェア システムのセキュリティを測定するために使用できるいくつかの方法です。
脆弱性間の日数
システムは、潜在的な脆弱性が発見されてからパッチが作成される前までが最も脆弱であると言われています。脆弱性が発見されてから修正されるまでの日数を測定することで、システムのセキュリティの基準を決定できます。このようなアプローチにはいくつかの注意点があります。すべての脆弱性が同じように悪いわけではなく、多くのバグを素早く修正することは、オペレーティング システムや修正の有効性を考慮すると、いくつかのバグを見つけて修正に少し時間をかけるよりも良いとは限りません。[2]
ポアソン過程
ポアソン過程は、オープンソースソフトウェアとクローズドソースソフトウェアのセキュリティ上の欠陥をさまざまな人が発見する割合を測定するために使用できます。この過程は、ボランティアの数 N vと有償レビュー担当者の数 N pで分類できます。ボランティアが欠陥を発見する割合は λ vで測定され、有償レビュー担当者が欠陥を発見する割合は λ pで測定されます。ボランティアグループが欠陥を発見すると予想される時間は 1/(N v λ v ) で、有償グループが欠陥を発見すると予想される時間は 1/(N p λ p ) です。[2]
モーニングスターモデル
さまざまなオープンソース プロジェクトとクローズド ソース プロジェクトを比較することで、モーニングスター社が投資信託を評価するのと同じように、スター システムを使用してプロジェクトのセキュリティを分析できます。十分なデータ セットがあれば、統計を使用して、あるグループが他のグループよりも全体的にどの程度効果的であるかを測定できます。このようなシステムの例を次に示します。[6]
- 1 つ星: セキュリティ上の脆弱性が多数あります。
- 2 つ星: 信頼性の問題。
- 3 つ星: ベスト セキュリティ プラクティスに従います。
- 4 つ星: 安全な開発プロセスが文書化されています。
- 5 つ星: 独立したセキュリティ レビューに合格しました。
コベリティスキャン
Coverity はスタンフォード大学と共同で、オープンソースの品質とセキュリティに関する新しい基準を確立しました。この開発は、国土安全保障省との契約を通じて完了しています。彼らは、ソフトウェアで見つかった重大な種類のバグを特定するために、自動欠陥検出の革新を活用しています。[7]品質とセキュリティのレベルは、ラングで測定されます。ラングには明確な意味はなく、Coverity が新しいツールをリリースするたびに変わる可能性があります。ラングは、Coverity Analysis の結果によって見つかった問題の修正の進捗と、Coverity とのコラボレーションの度合いに基づいています。[8]ラングはラング 0 から始まり、現在はラング 2 まであります。
- 段 0
このプロジェクトはCoverityのScanインフラストラクチャによって分析されましたが、オープンソースソフトウェアの代表者から結果が発表されていません。[8]
- 段 1
段階1では、Coverityと開発チームが協力します。ソフトウェアはスキャン機能のサブセットを使用して分析され、開発チームの負担が大きくなるのを防ぎます。[8]
- 2段目
スキャンの初年度に欠陥ゼロを達成し、分析されRung 2のステータスにアップグレードされたプロジェクトは11件あります。これらのプロジェクトには、AMANDA、ntp、OpenPAM、OpenVPN、Overdose、Perl、PHP、Postfix、Python、Samba、tclが含まれます。[8]
参照
参考文献
- ^ Cowan, C. (2003 年 1 月)。オープンソース システムのソフトウェア セキュリティ。IEEE セキュリティとプライバシー、38 ～ 45 ページ。2008 年 5 月 5 日に IEEE Computer Society Digital Library から取得。
- ^ abc Witten, B., Landwehr, C., Caloyannides, M. (2001 年 9 月/10 月)。オープン ソースはシステム セキュリティを向上させますか? IEEE Software、57–61 ページ。2008 年 5 月 5 日に Computer Database から取得。
- ^ Hoepman, J.-H., & Jacobs, B. (2007). オープンソースによるセキュリティの強化。Communications of the ACM, 50 (1), 79–83. 2008年5月5日閲覧、ACM Digital Libraryより。
- ^ Lawton, G. (2002 年 3 月)。オープンソース セキュリティ: チャンスか矛盾か? Computer、18 ～ 21 ページ。2008 年 5 月 5 日に IEEE Computer Society Digital Library から取得。
- ^ Hansen, M., Köhntopp, K., & Pfitzmann, A. (2002). オープンソースアプローチ - セキュリティとプライバシーに関する機会と限界。Computers & Security, 21 (5), 461–471. 2008年5月5日閲覧、Computer Databaseより。
- ^ Peterson, G. (2008 年 5 月 6 日)。適切なソフトウェア セキュリティ メトリックを追跡する。2008 年 5 月 18 日に Raindrop から取得。
- ^ Coverity. (nd). オープンソース品質の向上 2016年3月5日アーカイブ、Wayback Machineより。2008年5月18日閲覧、Scan.Coverity.comより
- ^ abcd Coverity. (nd). Scan Ladder FAQ Archived 6 March 2016 at the Wayback Machine . 2008年5月18日閲覧、Scan.Coverity.comより。
外部リンク
- ブルース・シュナイアー：「オープンソースとセキュリティ」、Crypto-Gram ニュースレター、1999 年 9 月 15 日
- Messmer, Ellen. (2013). 「オープンソース ソフトウェアのセキュリティが再び精査される」. Network World , 30(5), 12-12,14. ( CIO マガジンの記事)
- Linux Foundationによる Census プロジェクト / コア インフラストラクチャ イニシアチブ