ラストル

ラストル

開発者	ジョー・ビア・ピクストン、ディルクヤン・オクトマン、ダニエル・マッカーニー、ジョシュ・アース[1]
初回リリース	2016
安定版リリース	v0.23.19 (2024年11月27日; 18日前[2] ) [±] ( 2024-11-27 )
リポジトリ	github.com/rustls/rustls
書かれた	さび
オペレーティング·システム	クロスプラットフォーム
タイプ	セキュリティライブラリ
ライセンス	Apache 2.0、MIT、ISC [1]
Webサイト	github.com/rustls

Rustls（発音は「rustles」^[3]）は、Rustプログラミング言語で書かれたトランスポート層セキュリティ（TLS）暗号化プロトコルのオープンソース実装です。TLSはインターネットセキュリティに不可欠であり、Rustlsは安全で高速なTLS接続を可能にすることを目的としています。Rustlsは、Rustのメモリ安全性の強制を使用して、セキュリティ脆弱性のリスクを軽減します。これは、 OpenSSLなどのメモリが安全でないソフトウェアライブラリをメモリが安全な代替ライブラリに置き換えることで、インターネットセキュリティを向上させる取り組みの一環です。

Joe Birr-Pixtonは2016年にRustlsを開始し、2024年現在も主任開発者を務めています。 ^[1]米国を拠点とする非営利団体であるInternet Security Research Group（ISRG）は、2021年からProssimoイニシアチブの一環としてこのプロジェクトを後援しています。 ^{[4] [5] ISRGは、}インターネットサーバーで広く使用されていますが、正しく使用するのが難しく、メモリ安全でないコードによって引き起こされるHeartbleedなどのセキュリティバグがあるOpenSSLの実行可能な代替手段をRustlsにすることを目指しています。^{[4] [6]}

ISRGは、Googleやその他の企業や組織から寄付された資金を使用して、Birr-Pixton、Daniel McCarney、Dirkjan Ochtmanを含む複数のプログラマーにRustlの開発を依頼した。 ^{[4] [7]} 2023年に、Open Source Security FoundationのAlpha-Omegaイニシアチブは、異なる暗号化バックエンドを使用するオプションの開発と別のプロジェクトRust for LinuxのためにISRGに53万ドルを提供した。^{[8] [9]}その資金は、Google、Amazon Web Services、Microsoftから提供された。^[10] Amazon Web Servicesはまた、2023年にRustlを含むメモリ安全性プロジェクトのためにISRGに100万ドルを提供した。 ^[11]ドイツ政府の支援を受けるSovereign Tech Fundは、インターネットセキュリティに不可欠なオープンソースツールのメモリセーフバージョンを提供するRustlやその他のプロジェクトの開発のために2023年にISRGに150万ドルを提供した。^{[12] [13]}クレイグ・ニューマーク財団は、 2024年にISRGにメモリ安全性プロジェクトのために10万ドルを助成した。 ^[14]追加の資金は、 Rustlsを使用するクラウドプラットフォームであるFly.io ^[15]から提供された。^[16]

米国国家サイバー局はメモリセーフなセキュリティソフトウェアの開発を奨励し^[17]、Rustlsチームを称賛した。^[15] GoogleはRustlsの開発に対してBirr-Pixton氏とOchtman氏にオープンソースピアボーナスを授与した。^[18]

RustlsはTLS実装に焦点を当てた低レベルのソフトウェアライブラリです。^[19]つまり、Rustls自体はHTTPSなどの他のインターネットプロトコルをサポートしていませんが、他のプロトコルを実装するソフトウェアはRustlsをコンポーネントとして使用できます。^[19]

デフォルトでは、Rustlsは連邦情報処理標準（FIPS）をサポートするAmazon Web Services Libcrypto for Rust（aws-lc-rs ）の暗号プリミティブを使用します。^{[20] Rustlsでは、} aws-lc-rsの代わりにringなどの代替暗号ライブラリを使用できます。^{[20]このプロジェクトは、特殊な}鍵カプセル化メカニズム（Kyber ）を使用した鍵交換方法であるポスト量子暗号を実験的にサポートしています。^[21]

Rustlsは、 TLSハンドシェイクのステップである公開鍵インフラストラクチャ証明書の検証にwebpkiライブラリの独自のフォークを使用します。^{[3] [22]} RustlsはServer Name Indication（SNI）をサポートしており、これによりWebサーバーは同じIPアドレスで異なる証明書を使用して複数のHTTPS Webサイトを提供できます。^{[23]また、}ドメイン名の代わりにIPアドレスを含むTLS証明書もサポートしています。^[24]

Cプログラムは、外部関数インターフェース APIであるrustls-ffiを介してRustlsを使用することができます。^{[3] [6]}たとえば、cURLはCで書かれた人気のあるツールであり、rustls-ffiを介してRustlsを使用することができます。^{[25] [26] RustlsにはOpenSSL}互換レイヤーもあり、広く使用されているNginxウェブサーバーでOpenSSLの代わりにRustlsを使用するように構成できます。^{[15] [27]}

Rustlsは、Apache 2.0、MIT、ISCなどの複数のフリーソフトウェアライセンスの下で利用可能です。^[1]

2020年、クラウドネイティブコンピューティング財団は、 Rustlsとそれが使用する2つのRustライブラリであるringとwebpkiのセキュリティ監査に資金を提供し、良好な結果が得られました。^[28]

2019年にRustls開発者が実施したベンチマークでは、 OpenSSLよりも優れたパフォーマンスが示されました。^[29] 2024年にプロジェクトは最新バージョンのOpenSSLとの新しいパフォーマンス比較を実施し、Rustlsの方が高速または効率的であるシナリオと、OpenSSLの方がパフォーマンスが優れているシナリオがいくつか示されました。^[30]

他のTLS実装と同様に、コンピュータユーザーは、アプリケーションやウェブサイトの基盤として、Rustlsを意識することなく使用することができます。プログラマーはRustlsを直接使用することも、より高レベルのライブラリやツールを設定することで使用することもできます。特に、Rustlsは、安全なソフトウェアサプライチェーンを確保したい一部のプロジェクトで使用されています。^[31]米国サイバーセキュリティおよびインフラストラクチャセキュリティ庁は、「Secure by Design」イニシアチブの一環として、メモリセーフ言語の製品を使用することを推奨しています。^[32]

いくつかのライブラリは、TLS実装の選択肢の1つとしてRustlsをサポートしています。reqwest HTTPクライアントライブラリは、システムのデフォルトのTLSライブラリ（たとえば、WindowsではデフォルトはSecurity Support Provider Interface）の代わりにTLSにRustlsを使用するオプションを提供します。^{[33] [34] 2020年に、ISRGソフトウェアエンジニアは}cURLのTLSバックエンドとしてRustlsを使用できるようにしました。^{[35] [36] Rustでの} QUICネットワークプロトコルの実装であるs2n-quicは、TLSにRustlsとs2n-tlsの両方をサポートしています。^[37]

2021年にGoogleは、 Rustlsを使用したApache HTTP Server用の新しいTLSモジュールであるmod_tlsの作成に資金を提供しました。 ^{[38] [39]この新しいモジュールは、より安全なデフォルトとしてOpenSSLを使用する}mod_sslモジュールの後継となることを目的としています。^{[38] [40]} 2024年8月現在、mod_tlsは最新バージョンのApacheで利用可能ですが、まだ実験的とマークされています。^[41]オープンで安全なインターネットを推進する非営利団体であるインターネット協会は、組織がこのモジュールをメモリの安全性を高めるための一歩として使用することを提案しています。^[42]

Rustlsは、一部のアプリケーションでデフォルトのTLS実装になっています。Rustプロジェクトの依存関係にセキュリティ上の脆弱性がないかチェックするユーティリティプログラムcargo_auditは、Rustlsを使用しています。^{[43] 「} Kubernetesクラスターにセキュリティ、可観測性、信頼性を追加する」Linkerdには、 Rustlsで構築されたプロキシサーバーが含まれています。 ^{[44]メモリセーフな}Linuxコンテナを作成するツールであるWolfiは、Rustlsを使用しています。^{[45] [46]} 2024年に、ISRGは、数億のウェブサイトで使用されている無料の証明機関であるLet's EncryptでOpenSSLをRustlsに置き換える計画を発表しました。^{[15] [47]}

• TLS実装の比較

• Rustls Initiative - プロッシモ