Open Source Summit NA / OpenSSF Day報告

Slide 1

Slide 1 text

Copyright Cybertrust Japan Co., Ltd. Security Meetup Tokyo  Open Source Summit NA / OpenSSF Day 報告  2023/06/02  サイバートラスト株式会社  IoT技術本部  池田宗広 

Slide 2

Slide 2 text

Copyright Cybertrust Japan Co., Ltd. Agenda  OSSNA / OpenSSF Day 2023 で興味深かったセッションを紹介します ■ Mobilizing for the Mobilization Plan (Christopher Robinson, Intel) ■ Getting Involved in Sigstore Research Projects (Hayden Blauzvern, Google) ＋おまけコーナー ■ Vancouver, Canada

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright Cybertrust Japan Co., Ltd. ３つの目標（3 Goals）と10 の主要な問題（10 Streams）を定義・特定 ● 日本語版：https://www.linuxfoundation.jp/publications/2022/08/oss_security_mobilization_plan/ ● OSS Security Summit II @ Whitehouse で提案・宣言あらためて：OSS Security Mobilization Plan  3 Goals 1. セキュリティ教育 2. リスク評価 3. デジタル署名 4. メモリー安全性 5. インシデント対応 6. スキャニングの改善 7. コード監査 8. データ共有 10 Streams 9. ソフトウェア部品表（SBOM）の普及 10. サプライチェーンの改善 1. セキュアな OSS の作成 2. 脆弱性の検出と修復の強化 3. エコシステムのパッチ応答時間を短縮

Slide 5

Slide 5 text

Copyright Cybertrust Japan Co., Ltd. ■ 「OSS Security Mobilization Plan」の現状と今後について、Christopher Robinson（Intel）からのセッション ■ Mobilization の意義：OSS セキュリティ強化に関する活動を一本化することで、 ● 各国が強めつつある法的規制が OSS に与える悪影響を低減する ● 全ての関係者がリスク判断するための情報にアクセスできるようにする ■ セッションスライド ● https://static.sched.com/hosted_files/openssfna2023/4a/OSS-NA%202023%20-%2 0OSSFDay%20-%20Mobilizing%20for%20the%20Mobilization%20Plan%20%281%2 9.pptx.pdf Mobilizing for the Mobilization Plan  Christopher “CRob” Robinson

Slide 6

Slide 6 text

Copyright Cybertrust Japan Co., Ltd. ■ EU ： Cyber Resilience Act, Product Liability Directive ● 「全てのデジタル製品」が対象 ● SBOM作成、アップデートの提供などを義務化 ● リスクレベルにより自己適合宣言 or 第三者認証を求める ■ ドイツ： The Law on the Federal Office for Information Security ● 連邦情報セキュリティー庁（BIS）の権限強化（監査、情報取得、改善命令） ● 重要インフラは重要部品の信頼性保証書届け出を義務化、政府が利用禁止命令可能 ■ ASEAN： 2025年目標にサイバーセキュリティ規制の策定を目指す ■ 日本：経済安全保障推進法 ● 基幹インフラ14事業のシステム導入・更新でサイバーセキュリティに関する政府審査を義務化参考：各国の法的規制 

Slide 7

Slide 7 text

Copyright Cybertrust Japan Co., Ltd. 活発な Stream といまひとつな Stream が出てきている勝手な所感  #1 セキュリティ教育 #2 リスク評価 #3 デジタル署名 #4 メモリー安全性 #5 インシデント対応 #6 スキャニングの改善？ #7 コード監査？ #8 データ共有？ #9 ソフトウェア部品表（SBOM）の普及 #10 サプライチェーンの改善

Slide 8

Slide 8 text

Copyright Cybertrust Japan Co., Ltd. #1 教育 ■ 開発マネージャーへのトレーニングコースを開発中 ■ DEI にフォーカスした教育コースを整備、オフィスアワーを設置 ● DEI : Diversity (多様性), Equality (平等), Inclusion (受容) ■ 教育のためのマテリアル、講師募集中 #3 デジタル署名 ■ sigstore が GitHub Actions、LLVM リリースなど多くのケースで使われ始めている活発な Streams 

Slide 9

Slide 9 text

Copyright Cybertrust Japan Co., Ltd. #4 メモリセーフ ■ メモリーセーフな開発のためのベストプラクティスとツールを収集中 ■ 主要な OSS PJ への資金的な援助を OpenSSF とそのメンバに呼びかけ ■ C、C++ といった伝統的言語でのメモリセーフ開発手法があれば是非提供してほしい #9 SBOM ■ SBOM は各種規制・法令から注目されており、今後多くのツールや具体的な使い方が出てくることを予想 ■ 活発に議論されているが「進みが遅い」 ■ OSS 以外も含めた SBOM 利用の大きな「絵」を描くことが最重要課題 ■ ２つのゴール： ● SBOM の取り扱い・相互運用を簡単にすることで利用促進する ● ツールを OSS 界に普及させる (いくつかの PJ と協働して普及策を見出す) 活発な Streams 

Slide 10

Slide 10 text

Copyright Cybertrust Japan Co., Ltd. #6 スキャニング改善 #7 コード監査（特に Alpha） ■ Alpha PJ 対象： Node.js、Eclipse、Rust、JQuery, Python ■ 関係者のオフライン発言「お金の問題」 ● 景気後退局面にあって、エンジニアリソースはむしろ獲得しやすいとも (実際、Omega PJ は 2022年に2名のフルタイムエンジニアを獲得している) #8 データ共有 ■ （特に言及なし）いまひとつ？な Streams 

Slide 11

Slide 11 text

Copyright Cybertrust Japan Co., Ltd. #2 リスク評価 ■ 情報公開のためのダッシュボードを metrics.openssf.org に作成中、5月末にβ版公開予定 ■ ダッシュボードの UI（フロントエンド）開発への協力求む #5 インシデント対応 ■ VINCE ツールの強化を実行中 ● VINCE： CMU の脆弱性管理プラットフォーム ■ https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=651691 ■ SIREN に脆弱性通知サービスを提案 ■ OSS PJ にどのような脆弱性対応を行なっているかサーベイを計画中 ● 注：具体的にどの PJ かは語られなかったその他の Streams（順調？） 

Slide 12

Slide 12 text

Copyright Cybertrust Japan Co., Ltd. #10 サプライチェーンの改善 ■ 開発ワークフローの中でスキャン、修正、SBOM 生成を自動的に行うための一貫したツール群を「Sterling Toolchain」として OpenSSF の Governing Board に提案中その他の Streams（順調？）  ※ セッションスライド p.34 より

Slide 13

Slide 13 text

Copyright Cybertrust Japan Co., Ltd. “Plan” という言葉はあいまい ■ 各章に関連する各 SIG が、実行計画、その理由、必要なリソースをより具体的に書き換えてほしい活動の状況はどこを見ればよいのかよく分からない ■ 関連した活発なコミュニティに参加するのがよいのではないか活動の成功のカギはなにか ■ 活発な活動や WG に参加・連携するのがよいのでは → 2023年中のプラン改訂を予定教訓と期待される対応・改善 

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Copyright Cybertrust Japan Co., Ltd. 1. セキュリティ教育安全なソフトウェア開発の基本に関する教育と認定をすべての人に提供する。 ■ Secure Software Development Fundamentals Courses ■ OpenSSF Fundamentals Courses SIG 2. リスク評価 OSSコンポーネントのトップ1万件（またはそれ以上）について、一般に公開され、ベンダーニュートラルで、客観的指標に基づくリスク評価ダッシュボードを開設・確立する。 ■ LFX ■ OpenSSF Best Practices badge 3. デジタル署名ソフトウェアリリースでデジタル署名の採用を加速させる。 ■ sigstore 参考：10 Streams（活動の流れ） 

Slide 16

Slide 16 text

Copyright Cybertrust Japan Co., Ltd. 4. メモリー安全性メモリー非安全な言語を置き換えることで、多くの脆弱性の根本的な原因を排除する。 ■ Linux Kernel の Rust 対応 5. インシデント対応 OpenSSF Open Source Security Incident Response Team を立ち上げる。脆弱性対応時の重要な時に、オープンソースプロジェクトの支援に加わることができるセキュリティ専門家のチーム。 6. スキャニングの改善高度なセキュリティツールと専門家のガイダンスを通して、メンテナーと専門家による新しい脆弱性の発見を加速させる。 ■ Alpha-Omega PJ (Omega) 参考：10 Streams（活動の流れ） 

Slide 17

Slide 17 text

Copyright Cybertrust Japan Co., Ltd. 7. コード監査年に1回、最大200個の最も重要なOSSコンポーネントのサードパーティーコードレビュー（と必要な修正作業）を実施する。 ■ Alpha-Omega PJ (Alpha) 8. データ共有業界全体のデータ共有を調整して、最も重要なOSSコンポーネントを特定するための調査を改善する。 9. ソフトウェア部品表（SBOM）の普及 SBOMツールとトレーニングを改善して、導入を促進する。 ■ SPDX ■ SBOM Everywhere SIG 参考：10 Streams（活動の流れ） 

Slide 18

Slide 18 text

Copyright Cybertrust Japan Co., Ltd. 10. サプライチェーンの改善より優れたサプライチェーンセキュリティツールとベストプラクティスで、最も重要な10のオープンソースソフトウェアビルドシステム、パッケージマネージャー、ディストリビューションシステムを強化する。 ■ Supply-chain Levels for Software Artifacts (SLSA) 参考：10 Streams（活動の流れ） 

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Copyright Cybertrust Japan Co., Ltd. Getting Involved in sigstore Research Projects  ■ Hayden Blauzvern (Google) から、“sigstore” への参加・貢献しどころの紹介 ● “Research Projects” なので、やや将来的なお話し ■ セッションスライド ● https://static.sched.com/hosted_files/openssfna2023/ca/Getting%20Involved%20i n%20Sigstore%20Research%20Projects%20-%20OpenSSF%20Day%20%2723.pdf

Slide 21

Slide 21 text

Copyright Cybertrust Japan Co., Ltd. ■ コードなどの成果物に署名する・署名を検証するための仕組み ■ 複数のサービスとツールで構成される ■ 署名鍵の管理が不要 ● 鍵は作成して署名に使ったらすぐ捨てる ● 永続的な信用情報は、署名時点で有効な鍵（証明書）が存在したログ ■ 位置づけ：署名に対する sigstore == TLS に対する Let’s Encrypt ■ GitHub Actions、LLVM リリースなど多くのケースで採用おさらい： sigstore とは  https://www.sigstore.dev/

Slide 22

Slide 22 text

Copyright Cybertrust Japan Co., Ltd. プライベートデータの保護 ■ ZKP： Zero Knowledge Proof ● メールアドレス、プライベートレポジトリなどのプライベート情報を使わずに署名検証を可能にする ● 目的：情報を透明ログから外に出さない ■ VRF： Verifiable Random Function ● Key Transparency の E2E 暗号化Appで使用されている ● 目的：クライアントが正しいサーバと通信していることを保証する？ ■ PIR ： Privacy Information Retrieval ● どのエントリをクエリしているか知られずにクエリする ● 目的：何をインストールしようとしているかの情報をログクエリにも与えない貢献のしどころ 

Slide 23

Slide 23 text

Copyright Cybertrust Japan Co., Ltd. 透明性ログのスケーラビリティ ■ 大規模な witness network の実装 ● Witness NW : チェックポイントを設けて整合性（改ざんされていないこと）をチェック ■ Gossiping protocols（ゴシッププロトコル） ● ログサーバー間の情報整合認証ポリシー ■ Rego, CUE などポリシー言語のクライアントへの採用 ● 認証キーとして何を用いるかを選択できるようにする、など ■ Binary Authorization との連携 ● コンテナイメージのデプロイにポリシーを適用する Google のサービス ● sigstore による検証で不正・不良イメージのデプロイを禁止できる ■ 人の認証 vs マシン認証 ● 現状の sigstore はメールアドレス = 人を認証主体としている ● GitHub Action などアーティファクトが自動で生成される場合はマシンを認証主体にすべき？貢献のしどころ 

Slide 24

Slide 24 text

Copyright Cybertrust Japan Co., Ltd. The Update Framework での sigstore 活用 ■ アップデートに対する脅威： Roll-back 攻撃・Freeze 攻撃 ■ sigstore により鍵の危殆化リスクを排除する ■ TUF クライアントの API 強化、言語バインド Roughtime の利用 ■ 非常に短い有効期間の証明書を使用する sigstore にとって、時刻情報は極めて重要 ■ Roughtime で信頼性のある時刻情報を得る貢献のしどころ 

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright Cybertrust Japan Co., Ltd. ■ 言わずと知れたカナダ西海岸最大の都市です ■ 樺太と同じ程度の高緯度で、夏は西海岸らしい気持ちのよい気候です ■ 飛行機は測地線で飛ぶので日本からは８時間程度で着きます ■ カナダ最大の港湾都市であるとともに、林業、観光業が盛んな国際都市です ■ 静かな入り江の向こうに残雪の山が見える、非常に美しい街ですおまけコーナー： Vancouver, BC, Canada 

Slide 27

Slide 27 text

Copyright Cybertrust Japan Co., Ltd. 信頼とともに留意事項本資料に記載されている会社名、製品名、サービス名は、当社または各社、各団体の商標もしくは登録商標です。その他本資料に記載されているイラスト・ロゴ・写真・動画・ソフトウェア等は、当社または第三者が有する知的財産権やその他の権利により守られております。お客様は、当社が著作権を有するコンテンツについて、特に定めた場合を除き、複製、改変、頒布などをすることはできません。本資料に記載されている情報は予告なしに変更されることがあります。また、時間の経過などにより記載内容が不正確となる場合がありますが、当社は、当該情報を更新する義務を負うものではありません。