全般的な情報

概要

私たちの最近の (そして継続中の) セキュリティに関係する観点から, オペレーティングシステムのセキュリティ面で確固たる信頼を得るためには, FreeBSD のソースツリーに厳密で広範囲なセキュリティ検査をすることが最良 であることが明白になってきています. 信頼できるオペレーティングシステム を求める声は高まる一方であり, その期待に応えていくには安全性を通常求め られるレベル以上のものにしなければなりません.

FreeBSD に含まれる由緒正しい遺産のコードと外部からのソースは, 手遅れになるまで気付かれないようなセキュリティホールに特になり易い ものです. この点について, セキュリティ問題に特に焦点を当てて実際に ソースコードベースで見直す本当に大がかりな試みはありませんでした. これはかなり大きなプロジェクトになり, 今でさえ他のことで首の回らない FreeBSD開発者のほとんどはそれ以上に忙しくなります. しかし, 成長し続けるインターネットが適切な保護が施されていない システムにとって常に敵対する環境となる (と睨んでいます) につれて, 人々が信頼し続けることができるオペレーティングシステムを存続させる ためには, この状況は今こそ変えるべきです. 適切なセキュリティは現場の管理者とOSベンダーとの間の協調的な合意による ものであり, この「OSベンダー」は自分側の責任を果たす必要があります.

セキュリティについてより真剣になったコアチームの最初の対策は, プロジェクトのセキュリティ担当 Guido van Rooij をコアチームに招き入れることでした. この目的は，セ キュリティに関して彼に「委員会への意見」できる優先的な権限を与え, 外部 の重要なセキュリティ関連メーリングリストすべてに提示されたことを FreeBSDプロジェクトに進言してもらうことです．彼はまたセキュリティ問題 が浮上したことをコアチームの私たちがいち早く気づけるようにし, 過去に何 度かあった不意打ちのように未然に防ごうとしています.

私たちの二番目の対策はこの監査であり, 明白なバッファオーバーフロー (sprintf()/strcpy() に対して snprintf()/strncpy() など), あまり明白で ないセキュリティホール, 不十分な防御コーディングの実例, freebsd-chat に送られるおかしなコメント文字列など, 私たちが出くわすものすべてに 関して組織的な検査を FreeBSD 中のソースのすべての行についておこないま す.

モジュールデータベースをアウトラインとして利用し, 私たちは目に付く 場所でサインアップシートを保守してソースツリーをより管理可能なまとまりに 分割しようとしています. これはどのモジュールが担当され, どれがされて いないかが誰にでも分るようにするものです. 現在, 注意深く選任された 個人からなるチームが編成されつつあり, そのチームは「監査役 (auditor)」 と「批評役 (reviewer)」から組織されています (チームの多くのメンバーは 両方を担当しています). 監査役は他の監査役と分担して主たる責任を持ち, 実際にコードを通してセキュリティホールやバグの発見に勤めます. 手頃な大きさの差分が蓄積されると, 何か問題が発見されたものと想定しながら, その変更点を調べる責任を持つ一人以上の批評役にそれらの差分を送ります. その監査役がコミット権限を持っていない場合は, 批評役が受け入れてよいと 判断したら実際のコミットを実行します.

必要条件:

監査役となるためには, freefall.freebsd.org 上でのコミット 権限を持っているか, 権限を持っている他の監査役か批評役の同意が必要と なります. また, FreeBSD-current を 使用しているかすぐにそのソースにアクセスできることが必要です. 私たちの変更すべてがそのブランチに反映され, (必要であれば) 以前の 2.1 や 2.2 のブランチにも 取り込まれるからです.

調べるべきものそして従うべき一般的な規則は, FreeBSDセキュリティガイドに示した通りとても複 雑なものです. もしまだ読んでないなら今ここで読んでください. 他の優れたドキュメントとして, 安全なプログラミングのチェックリストと Unixセキュリティチェックリストがあり, どちらも AUSCERT から提供され ています.

サインアップシート:

今までに決まった担当者の一覧を示します. 現段階ではやっと作業が始まった ばかりで骨格のみの状態であり, どのモジュールの監査役または批評役を希望するかを 意志表示された通りにこれを埋めていきます. もしこの表の形式が埋まっていくに したがって扱い難くなれば, 私たちはこれを変更するか Web ページか何かに置き 換えることもできます. :) いくつかのサンプルエントリーの場所を空けたままにしていますが, だれかが その大きなかたまりを取り挙げて欲しいと暗に示しているわけではありません.

モジュールデータベース中のすべてのものは, "cat" のように小さいものから "lib" のように大きいものまで監査対象となりうることを示していますが, もっとも 重要なのは自分が噛み砕けると考えるよりも大きいものには食いつかないことです. もしあなたが皿に15品目も取り5つしか扱わないとしたら, あなたがしていることは 誰の得にもなっていません. なぜなら他の監査役たちは他の10品目は処理されたと 思ってしまうからです!

監査役と批評役の鍵

これは監査役や批評役としてこの処理に参加しているボランティアの一覧 です. すべての監査役にメールを送りたい場合のために, 彼らにまとめてメー ルを送れるようにauditors@FreeBSD.org というエイリアスが用意されています. もし, あなたがある特定のカテゴリーの監査役と批評役にだけ連絡したいなら, 例えばusr.sbinなら audit-usr.sbin@FreeBSD.orgにメールを送ることがで きす.

* = Has CVS commit privileges.