OSSセキュリティ強化の重要性とOpenSSFの概要

Copyright Cybertrust Japan Co., Ltd. All rights reserved.
OSS セキュリティ強化の重要性と OpenSSF の概要 
～ Security Meetup Tokyo ～ 
2023/02/28 
サイバートラスト株式会社 
IoT技術本部 
池田宗広 

View Slide

■ OSS セキュリティ関連動向
■ OSS Security Mobilization Plan
■ OpenSSF ～Open Source Security Foundation～
目次 

View Slide

OSS セキュリティ関連動向 

View Slide

重要なイベントと OSS コミュニティの動き 
2021/05/12
米国大統領令「国家のサイバーセキュリティ強化について」
2022/01/13
OSS Security Summit @ Whitehouse
2022/05/12
OSS Security Summit II @ Whitehouse
PJ Alpha-Omega
OSS Mobilization Plan
2022/08/23
OSS Security Summit Japan
2020 2021 2022
log4shell
SolarWinds
広範に利用されている Java 用ログライブラリ log4j に発見された深刻な脆弱性。
これを突いた攻撃が多数発生。
SolarWInds 社のネットワーク監視ツール Orion にマルウェア SUNBURST が混入。
仕掛けられたバックドアから、米国政府機関を含む約
100の組織が侵入を許したと見られる。
2022/05/11
日本国経済安全保障推進法成立
2023
CII/OSSC

View Slide

“Executive Order on Improving the Nation’s Cybersecurity”
■ SolarWinds が受けたサイバー攻撃事件をきっかけに発布
■ 米国政府機関全体に対し、サイバーセキュリティの強化を強く指示
米国大統領令：国家のサイバーセキュリティ強化について 
Section 1 方針
Section 2 脅威情報の共有を阻害する要因を排除せよ
Section 3 サイバーセキュリティに関して連邦政府を最新化せよ
Section 4 ソフトウェアのサプライチェーンセキュリティを実現せよ
Section 5 サイバーセキュリティのための審査委員会を設立せよ
Section 6 脆弱性とインシデントへの対応に関する連邦政府のプレイブックを標準化せよ
Section 7 連邦政府のネットワークに生じた脆弱性とインシデントの検知能力を強化せよ
Section 8 連邦政府の調査および修復能力を強化せよ
Section 9 国家安全保証システムについて
Section 10 語句定義

View Slide

■ 主要な企業、米国政府機関幹部がホワイトハウスに集結し開催
● 主催： The Linux Foundation, Open Source Security Foundation (OpenSSF)
● 参加企業： Amazon, Apple, Meta, Google, IBM, Microsoft, RedHat 等全37社
● 政府機関： DoD(国防総省), DoC(商務省), DHS(国土安全保障省), NIST(国立標準
技術研究所), NSF(国立科学財団), etc.
■ OSS およびそのサプライチェーンセキュリティの強化向上、OSS コミュニ
ティの効果的なサポートについて議論を行い、アクションプランを策定
● 第一回 (2022/01/13)
■ Alpha-Omega Project を始動
● 第二回 (2022/05/12)
■ OSS Security Mobilization Plan (OSSセキュリティのための動員プラン）を宣言・始動
OSS Security Summit I, II 

View Slide

■ 国内の主要な企業・団体からサイバーセキュリティの専門家が集結し開
催
● 主催： The Linux Foundation, Open Source Security Foundation (OpenSSF)
● 後援：経済産業省
● 参加：日立製作所、富士通、NEC、NTTデータ、トヨタ自動車等27組織
■ うち OpenSSF メンバ：サイバートラスト、サイボウズ、ルネサスエレクトロニクス
■ OSS のセキュリティに関する問題の共有と、強化改善を進める方法を議
論
● サプライチェーンセキュリティについての関心が高く、SBOM の活用について活発
な議論
● 製造系・IoT領域から、長期サポートの必要性・重要性が提起
● 「Upstream first」
● 日本ではコミュニティとビジネスが乖離しているという指摘あり
これらを繋ぐ架け橋として OSPO (Open Source Program Office) が重要になる
OSS Security Summit Japan 

View Slide

OSS Security Mobilization Plan 
～ OSS セキュリティのための動員プラン～ 

View Slide

３つの目標（3 Goals）と10 の主要な問題（10 Streams）を定義・特定
● 日本語版：https://www.linuxfoundation.jp/publications/2022/08/oss_security_mobilization_plan/
● OSS Security Summit II @ Whitehouse で提案・宣言
OSS Security Mobilization Plan 
3 Goals
1. セキュリティ教育
2. リスク評価
3. デジタル署名
4. メモリー安全性
5. インシデント対応
6. スキャニングの改善
7. コード監査
8. データ共有
10 Streams
9. ソフトウェア部品表
（SBOM）の普及
10. サプライチェーンの改善
1. セキュアな OSS の作成
2. 脆弱性の検出と修復の強化
3. エコシステムのパッチ応答
時間を短縮

View Slide

1. セキュリティ教育
安全なソフトウェア開発の基本に関する教育と認定をすべての人に提供する。
■ Secure Software Development Fundamentals Courses
■ OpenSSF Fundamentals Courses SIG
2. リスク評価
OSSコンポーネントのトップ1万件（またはそれ以上）について、一般に公開され、ベン
ダーニュートラルで、客観的指標に基づくリスク評価ダッシュボードを開設・確立する。
■ LFX
■ OpenSSF Best Practices badge
3. デジタル署名
ソフトウェアリリースでデジタル署名の採用を加速させる。
■ sigstore
10 Streams（活動の流れ） 

View Slide

4. メモリー安全性
メモリー非安全な言語を置き換えることで、多くの脆弱性の根本的な原因
を排除する。
■ Linux Kernel の Rust 対応
5. インシデント対応
OpenSSF Open Source Security Incident Response Team を立ち上げる。脆
弱性対応時の重要な時に、オープンソースプロジェクトの支援に加わるこ
とができるセキュリティ専門家のチーム。
6. スキャニングの改善
高度なセキュリティツールと専門家のガイダンスを通して、メンテナーと専
門家による新しい脆弱性の発見を加速させる。
■ Alpha-Omega PJ (Omega)

View Slide

7. コード監査
年に1回、最大200個の最も重要なOSSコンポーネントのサードパーティー
コードレビュー（と必要な修正作業）を実施する。
■ Alpha-Omega PJ (Alpha)
8. データ共有
業界全体のデータ共有を調整して、最も重要なOSSコンポーネントを特定
するための調査を改善する。
9. ソフトウェア部品表（SBOM）の普及
SBOMツールとトレーニングを改善して、導入を促進する。
■ SPDX
■ SBOM Everywhere SIG

View Slide

10. サプライチェーンの改善
より優れたサプライチェーンセキュリティツールとベストプラクティスで、最
も重要な10のオープンソースソフトウェアビルドシステム、パッケージマ
ネージャー、ディストリビューションシステムを強化する。
■ Supply-chain Levels for Software Artifacts (SLSA)

View Slide

OpenSSF 
– Open Source Security Foundation – 

View Slide

■ https://openssf.org/
■ OSS のセキュリティ強化・向上を
目的とした、The Linux Foundation 傘下の
プロジェクトとして 2020年8月に設立
■ 業界横断的なコミュニティとして目的の達成を目指す
■ 参加企業・団体
● プレミアメンバー (23)
■ AWS, Apple, Cisco, Citi, GitHub, Google, Intel, IBM, Meta, Mcrosoft, Red Hat, VMWare, etc.
● 一般メンバー (64)
■ Akamai, Blooomberg, Comcast, f5, GitLab, indeed, SUSE, Tencent, Windriver, etc.
● アソシエイトメンバー (17)
■ CMU, Eclipse Foundation, 中国科学院軟件研究所, MITRE, Python Foundation, TODO grp, etc.
■ 日本からのメンバー：３社
● サイバートラスト、サイボウズ、ルネサスエレクトロニクス
OpenSSF とは 

View Slide

OpenSSF は、ツール、サービス、トレーニング、インフラとリソースの提供によ
り、あらかじめセキュリティが考慮された高品質なソフトウェアを OSS のエコ
システムへの参加者が共有し利用できる未来を実現する
● 開発者がセキュアな開発手法を簡単に学べ、問題への対応・対処はツールによっ
て自動的に通知される
● 開発者や規制当局が、ツールと自動化によって強制的に適用されるポリシーを容
易に作成し配布できる
● 開発者や研究者がセキュリティ問題を特定すると、それらへの対処が可能な人々
にとって必要な情報がサプライチェーンを遡って素早く提供される
● コミュニティメンバーが製品・成果物の瑕疵、脆弱性への対応、品質やサポートに
関する情報をエコシステムの全てのユーザーに対して素早く提供することで、ユー
ザーはソフトウェアの素早いアップデートを行うか、問題への対応を実装すること
ができる
OpenSSF Technical Vision 
https://openssf.org/about/

View Slide

OpenSSF Values 
Public Good
■ OSSセキュリティは共有財産であり、公
共の利益のため我々が取り組むべき対
象と信じる
Openness and Transparency
■ 全てのステークホルダの参加を歓迎し、
活動は公開する
Mainteners First
■ メンテナと開発者を尊重する
Diversity, Inclusion, and Representation
■ 広範な背景・地域・視点からの参加を歓
迎する
Agility and Delivery
■ 実践と経験から学び、OSSをセキュアに
するための意味のあるアウトプットを行
う
Credit Where Credit is Due
■ 貢献が公正に認められる文化にコミット
する
Neutrality
■ いかなるエコシステム、ベンダー、プラッ
トフォームにも偏らない
Empathy
■ 互いの挑戦、視点、環境を尊重し、異な
る意見に傾聴する
https://openssf.org/about/

View Slide

OpenSSF の構成 
Governing Board (GB)
Technical Advisory Board (TAC)
Marketing
Public Policy
Budget & Finance
Planning
Alpha-Omega
Good Toolchain
Infrastructure (GTI)
sigstore
Security Tooling WG
Supply Chain Integrity WG
Vulnerability Disclosures WG
Securing Critical Projects WG
Identifying Security Threats WG
Securing Software Repositories WG
End Users WG
Best Practices WG
Committees
Associated Projects
Top-Level Projects
Workking Groups
Ref : OpenSSF Day Japan 2022 “What is the OpenSSF?” by Brian Behlendorf

View Slide

End Users WG
■ 「作る」より「使う」立場からの視点・意見を集
約する
● (coming soon)
Best Practice WG
■ セキュリティに関するベスト・プラクティスの特
定、周知、教育を行う
■ Stream 1, 2
● OpenSSF Best Practices badge
● Scorecards
● Common Requirements Enumeration(CRE)
● Secure Software Development
● Security Knowledge Framework (SKF)
● Fundamentals courses SIG
● Great MFA distribution SIG
● Education SIG
Working Group と関連PJ 
Security Tooling WG
■ 誰もが利用できるセキュリティ関連ツールを
開発する
■ Stream 9
● ossf-cve-benchmark
● Web Application Definition spec
● fuzz-introspector
● SBOM Everywhere SIG
Supply Chain Integrity WG
■ OSS コードの確実な出自特定を実現する
■ Stream 3, 10
● Supply-chain Levels for Software Artifacts (SLSA)

View Slide

Vulnerability Disclosures WG
■ 効果的な脆弱性の通知と対策を検討・実行
する
■ Stream 6, 7
● Guide to coordinated vulnerability disclosure for
OSS projects
● Vulnerability Disclosures Whitepaper
● osv-schema
Securing Critical Projects WG
■ 重要な OSS PJ を特定する
■ Stream 2, 7, 8
● criticality_score
● Harvard research
● package-feeds / package-analysis
● allstar
Identifying Security Threats WG
■ OSS プロジェクトのセキュア度について計測
する
■ Stream 2, 7
● security-reviews
● Project-Security-Metrics (dashboard)
● SECURITY-IMPACTS.yml spec
Securing Software Repositories WG
■ OSS レポジトリのセキュリティを向上するた
めのツールを提供する
● (coming soon)

View Slide

関連PJ
■ Project Alpha-Omega
● Stream 6, 7, 8(Alpha); 2(Omega)
■ GNU Toolchain Infrastructure (GTI) support
■ Project sigstore

View Slide

OSS ライフサイクルと OpenSSF 各活動のマッピング 
※ OpenSSF Town Hall (Aug 15, 2022) より転載

View Slide

様々な方法で情報を共有しています。
まずは情報収集と議論への参加を通じて、参画すべき WG/PJ/SIG を決める
のがよいと思います。
OpenSSF への参加 
■ https://github.com/ossf
● Technical Working Group その他の
Github レポジトリ一覧
■ https://lists.openssf.org/g/main
● Mailing list
● main は「親」のダミー ML なので、実
際の ML は Subgroups を参照
■ https://bit.ly/ossf-calendar
● ミーティングカレンダー
■ https://slack.openssf.org
● Slack
■ https://www.youtube.com/c/OpenSSF
● Youtube チャンネル
■ https://www.linkedin.com/company/openssf/
● LinkedIn
■ https://twitter.com/theopenssf
● Twitter

View Slide

OSS および OSS サプライチェーンのセキュリティ強化は、ソフトウェアの使用
者・利用者全員にとって喫緊の課題です。
OSS セキュリティ強化の中心となる OpenSSF で、より良い世界を実現しましょ
う！
OpenSSF のメンバーになるには以下を参照してください。
■ https://openssf.org/join/
■ [email protected]
まとめ 

View Slide

信頼とともに
留意事項
本資料に記載されている会社名、製品名、サービス名は、当社または各社、各団体の商標もしくは登録商標です。
その他本資料に記載されているイラスト・ロゴ・写真・動画・ソフトウェア等は、当社または第三者が有する知的財産権やその他の権利により守られております。
お客様は、当社が著作権を有するコンテンツについて、特に定めた場合を除き、複製、改変、頒布などをすることはできません。
本資料に記載されている情報は予告なしに変更されることがあります。また、時間の経過などにより記載内容が不正確となる場合がありますが、当社は、当該情報を更新す
る義務を負うものではありません。

View Slide

OSSセキュリティ強化の重要性とOpenSSFの概要

OSSセキュリティ強化の重要性とOpenSSFの概要

Linux Foundation Japan
PRO

More Decks by Linux Foundation Japan

Other Decks in Technology

Featured

Transcript

OSSセキュリティ強化の重要性とOpenSSFの概要

OSSセキュリティ強化の重要性とOpenSSFの概要

Linux Foundation Japan PRO

More Decks by Linux Foundation Japan

Other Decks in Technology

Featured

Transcript

Linux Foundation Japan
PRO