CentOS7サポート終了まで約半年　EoL後のOSを使い続けるとどうなる？

by koedoyoshida

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 Who am I サイバートラスト株式会社所属 MIRACLELINUX Users Meetup主催 OSPOメンバー一般社団法人PyCon JP Association 理事(2019-) 代表副理事(2023-) Python Software Foundation Managing members (2021-) PyCon JP Staff(2014-) 座長(2017-2019) 共同座長(2024) Yoshida Shunsuke

Slide 5

Slide 5 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 PyCon JP 2024 主催メンバー募集! PyCon JP 2024は鈴木たかのり、吉田俊輔、寺田学の3名で共同座長(Co-Chair)として運営! 座長も決定したので、早速、一緒に PyCon JP 2024のイベント開催を進めて行く主催メンバーを募集します！是非、申し込みをお願いします! https://pyconjp.blogspot.com/2024/01/pycon jp2024-co-chair.html

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 2000 2005 2010 2015 2020 会社変遷(Linux事業) ／ CentOSを取り巻く環境の変化仮想化 / Linux安定 / OSS普及 CentOS化 / クラウド / スマホネット普及 / RHELプリイン普及 2006年 - 2015年 Asianux PJ 2000年ミラクル・リナックス社日本オラクル子会社として設立 2019年産業Linux No.1 2003年 MLシェア20% 2006年 BPX装置 2012年サイネージ 2014年車載装置 2021年 SB IT部門採用 2010年交通管理 2023年 AlmaLinux 参入 2009年日本オラクル所有株式をMBO、独立 Lehman Shock 2014年 SBテクノロジー子会社 SBグループ傘下へ 2017年サイバートラスト社 (兄弟会社)と合併 ML6.0 ML8.4 ML2.1(RHEL Base) ML1.0 ML3.0 ML4.1 ML5.0 ML7.1 ML8.1 ML9.2 AL10.0 DX / サービスメッシュ 2021年 ML無償化 2021年グロース市場へ上場 2004年 CentOS PJスタート 2009年開発リーダー失踪事件 2014年 Red Hat社傘下のPJへ 2020年 CentOS PJ終了を発表 CentOS7

Slide 8

Slide 8 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 8 デジタル化における課題 ▌会社概要/サイバートラストが解決する課題と提供価値なりすまし（ヒト・モノ）不正アクセス（ヒト・モノ）盗聴改ざん本人性実在性完全性真正性責任追跡性信頼性社会のデジタルシフトヒト・コト・モノをつなげる安心・安全の新社会基盤安心・安全なデジタル社会 ⚫ 国内最長の電子認証局運用実績 ⚫ 国内で最も高い組込みLinux技術 ⚫ 組込み・IoT技術商号サイバートラスト株式会社 Cybertrust Japan Co., Ltd. 設立 2000年6月1日所在地〒106-0032 東京都港区六本木1丁目9-10アークヒルズ仙石山森タワー35階資本金 812,505千円 (2023年9月末時点) 主な株主 (2023年9月末時点) SBテクノロジー株式会社株式会社オービックビジネスコンサルタント株式会社SBI証券セコム株式会社大日本印刷株式会社株式会社日立製作所株式会社NTTデータ THE BANK OF NEWYORK 133595 株式会社日本カストディ銀行（信託口）楽天証券株式会社事業内容 ◼ 認証サービス事業、セキュリティソリューション事業 ◼ Linux OS 開発、OSS を活用したエンタープライズ向けソフトウェア開発、サポートおよびコンサルティング事業 ◼ IoT 関連事業、組込み Linux 関連事業関係会社＜連結子会社＞リネオソリューションズ株式会社 Cybersecure Tech Inc. ＜関連会社＞日本RA株式会社その他1社事業所本社（六本木一丁目）、松江ラボ

Slide 9

Slide 9 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 9 ▌３事業の概要認証セキュリティとLinux/OSSの技術を組み合わせることにより DXの課題解決に向けた独自のトラストサービスを提供トラストサービス認証・セキュリティ IoT Linux/OSS オンラインでの本人認証国内電子認証局の運用電子認証の専門性グローバル標準 IoT機器ライフサイクル管理組込みLinux 専用OSの長期サポート ITインフラを支えるLinux提供 Linux/OSSの専門性

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS 6 CentOS 7 CentOS 8 CentOS Stream 8 RHEL 8 CentOS Stream 9 RHEL 9 2020 2021 2022 2023 2024 ~ 2029 2030 2031 2032 2033 ELS CentOSについてコミュニティサポート(2024/6) コミュニティサポート(2024/5) コミュニティサポート(2029/5) コミュニティサポート(2027/5) コミュニティサポート(2032/5) 当初予定(2029/5) コミュニティサポート

Slide 13

Slide 13 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS メンテナンス更新終了 [ 国内 ] 現在使用しているLinux OS 出典：LinuxOS利用企業の約4割が現在もCentOSを利用 | OSSのデージーネット（2022/8/25）国内シェアの高いCentOS 7(EOL)は 2024年 6月 30日まで 2024/06/30 EOLを迎えたOSは時限爆弾 13

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS EOL後の脆弱性について 2021年：PwnKit (CVE-2021-4034) 攻撃者がroot権限を獲得可能 2021年：Log4Shell(CVE-2021-44228) 不正コードをリモート実行 2020年以降の大きな問題になった脆弱性 CentOS 6 2,039 件 2020年 11月30日サポート終了 CentOS 8 1,896 件 2021年 12月31日サポート終了 EOL以降パッチリリースした脆弱性件数※ ※2023年11月13日時点の情報（CloudLinux Inc.調べ：CVSS7＋） ※KernelやOpenSSLなど主要なパッケージに対する重大な脆弱性のみの件数サイバー攻撃を受けるリスクは日々増加し続けている 2022年：OpenSSL(CVE-2022-3602) システムクラッシュ,不正コード実行 2022年：LinuxKernel(CVE-2022-2590) 攻撃社がroot権限を獲得可能 2023年：sudoeditl(CVE-2023-22809) 権限のないファイルにアクセス可能

Slide 16

Slide 16 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 16 「情報セキュリティ10大脅威 2023」独立行政法人情報処理推進機構(IPA)発表出典：https://www.ipa.go.jp/security/vuln/10threats2022.html https://www.ipa.go.jp/security/vuln/10threats2023.html 2022年（組織）順位 2023年（組織）前年ランサムウェアによる被害 1位ランサムウェアによる被害 1位標的型攻撃による機密情報の窃取 2位サプライチェーンの弱点を悪用した攻撃 3位サプライチェーンの弱点を悪用した攻撃 3位標的型攻撃による機密情報の窃取 2位テレワーク等のニューノーマルな働き方を狙った攻撃 4位内部府政による情報漏洩 5位内部不正による情報漏えい 5位テレワーク等のニューノーマルな働き方を狙った攻撃 4位脆弱性対策情報の公開に伴う悪用増加 6位修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃） 7位修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃） NEW 7位ビジネスメール詐欺による金銭被害 5位ビジネスメール詐欺による金銭被害 8位脆弱性対策情報の公開に伴う悪用増加 6位予期せぬIT基盤の障害に伴う業務停止 9位不注意による情報漏えい等の被害 10位不注意による情報漏えい等の被害 10位犯罪のビジネス化（アンダーグラウンドサービス） -

Slide 17

Slide 17 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 APT41 (Axiom Group, BRONZE ATLAS, Barium, Blackfly, Earth Baku, Red Kelpie, Wicked Panda, Winnti Group) 中国のハッカー集団。米国州政府の家畜管理システム「USAHERDS」を攻撃 APT19 Deep Panda (BRONZE FIRESTONE, Black Vine, Group 72, KungFu Kittens, PinkPanther, Shell Crew) 中国のハッカー集団。Fire Chilli Rootkit をインストールする。 APT35 (Group 83, NewsBeef, Phosphorus, Yellow Garuda) イランの国家支援グループ。CharmPower: PowerShell-based modular backdoorをインストールする Aquatic Panda 諜報活動と産業スパイという 2 つのミッションを持ち標的型攻撃を行う中国拠点の攻撃者グループ AvosLocker Ransomware Group RaaS。金融、製造業、政府施設など、米国の複数のインフラストラクチャ分野を主な標的としてサイバー攻撃を仕掛けている。 DEV-0401 中国に拠点を置くサイバー犯罪者集団。Night Skyを使って、「VMware Horizon」を標的とする攻撃でlog4shellを利用 HAFNIUM 中国のハッカー集団。VMWareを標的とする攻撃でLog4Shellを利用 Keksec Group (Freak threat actor) EnemyBotマルウェアを作成。マルウェアでLog4Shellを利用 …等 Log4Shellを利用しているとされるThreatActor例

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOSの終焉とはなんなのか？ ● CentOS Linuxの提供が終了。(CentOS8は既にEoL、7は2024/6迄) ○ メジャーバーション(RHELにおける9以降)はリリースされない。 ○ EoLを迎えたバーションはメンテナンス(バグ、セキュリティ)されない。 CentOS Projectの立ち位置が大きく変わってしまい「無償のRHEL安定版クローン」として利用していたユーザーが従来の想定通り利用できなくなった移行先となる主なディストリビューション CentOS Linuxで構築されたシステムは今後セキュリティ対策の為のパッチが入手出来なくなる CentOS Streamは実際の商用環境で安定稼働させることが難しい為 “無償のRHEL互換環境”は他のディストリで構築する必要がある既存のシステム新規構築のシステムやらないといけないこと終わること

Slide 21

Slide 21 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 RED HATブログ＆ CentOSブログ https://blog.centos.org/2020/12/future-is-centos-stream/ https://www.redhat.com/en/blog/centos-stream-building-innovative-future-enterprise-linux ● 2000台：日本国内はRHELプレインストール・モデルでRHEL拡大 ● 2014年：CentOSがRH社の管理下のコミュニティ＆RHELクローンへ ● 2020年：CentOS Streamプロジェクト発表とともに、CentOS PJ終了発表 ● 2022年：git.centos.orgへのRHELソース公開停止、RHELクローンも終焉へ 2014年リリースのCentOS7が国内に多く存在. 2020年以降, CentOS/RHELクローンが不透明

Slide 22

Slide 22 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS Stream の位置づけ CentOS Stream は Red Hat Enterprise Linux系のローリングリリース版ディストリビューション dist 説明 Fedora 先進的でRHELの元になるベースを作るプロジェクト CentOS Linux RHELの公開されたソースコードを再ビルドした、コミュニティによるディストリビューション、8は2021年で終了 CentOS Stream RHELのナイトリービルド (RHELリリース前のバージョンも含む) コミュニティ(RHELの非契約者含む)からのバグレポート・修正投稿の窓口を担う予定 Red Hat Enterprise Linux パッケージを安定させて商用パッケージやソリューションを追加したもの「CentOSと異なり、バージョンの固定ができず、常に最新版のパッケージが当たっている状態また、RHELにリリースされる前のパッケージが実験的に導入されているディストリビューション」 https://blog.centos.org/2020/12/centos-stream-is-continuous-delivery/ より引用

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 25 そもそもRHEL互換って何？ ◼ OS内のパッケージが全て同一であること ◼ 同一とは？バージョンが同じ事？ ◼ 同じパッケージが含まれていること？ ◼ RHELにて動作確認が取れているHWやSWが動作すること？ RHEL とすべての面で互換・クローンであるディストリビューションは存在しえない。 RHELにて提供されるパッケージは、大きく以下のパターンが存在する。 ◼ OSSをRH社側でRPM形式にパッケージングしたパッケージ ◼ RH社が提供しているサービスを利用するためにRH社が作成したパッケージ ◼ RH社が商標、著作権を持っているパッケージ CentOSなどは、削除、修正したパッケージを公開している https://wiki.centos.org/ja/Manuals/ReleaseNotes/CentOS8.1911#A.2BMKIwwzDXM LkwyDDqMPww4DBrMEIwizDRMMMwsTD8MLgwZzAB- CentOS_.2BMExSSpZkMFcwXzDRMMMwsTD8MLg-

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 ◼ OS選定には、脆弱性発生からパッケージリリースまでの期間が大切 ◼ CentOS StreamはRHELの単なる先出ではなく、提供するパッケージレベルで差異がある。 ◼ パッケージ提供時のerrata(ソフトウェアの修正内容を記載しているサイト)の有無なども一つのポイント BIND 9を用いたRHEL互換OSの違い dist名 RHEL8 CentOS8 ML8 AlmaLinux CentOS Stream リリース日 3/1 3/1 3/2 3/9 2/22 パッケージ名 bind-9.11.20- 5.el8_3.1.x86_64.rpm bind-9.11.20- 5.el8.x86_64.rpm bind-9.11.20- 5.el8.1.x86_64.rpm bind-9.11.20- 5.el8_3.1.x86_64.rpm bind-9.11.26- 3.el8.x86_64.rpm URL https://access.redhat.com/ errata/RHSA-2021:0670 https://tsn.miraclelinux.co m/ja/node/12722

Slide 27

Slide 27 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 RH社の発表、および各Distroの動向 ● RHEL： ○ RHEL SRPMはサブスク契約前提で公開 ○ 結果、RHELクローンの開発は容認しない ● Oracle Linux： ○ IBM批判するもRHELサブスク契約を尊重 ○ RHEL互換として独自に進める ● SELS(SUSE): ○ 1000万ドル投じ、RHELブランチ作成 ○ SELS機能Backport、有償化サービス展開 ● Rocky Linux： ○ CIQ社に帰属する開発コミュニティ(RESF) ○ RH主張に対して、RHELクローン継続発表 ● AlmaLinux： ○ RH社と密に連携する方針 ○ RHEL互換として独自に進める 2023年 6月21日 RH社ブログでソースコード公開に関する変更を発表 CentOS Stream centos- stream git.centos.org RHEL CentOS RockyLinux AlmaLinux など git.centos.orgでは今後 RHELのソースコードを公開しない https://www.redhat.com/en/blog/furthering-evolution-centos- stream ● Open Enterprise Linux Association (OpenELA)： ○ ORACLE, SUSE, CIQが設立 ○ CentOS代わるRHEL互換エコシステムへ

Slide 28

Slide 28 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOSからの移行先候補 AlmaLinux (MIRACLE LINUX) Red Hat Enterprise Linux Debian Ubuntu Fedora CentOS EOL CentOS互換の OSを利用したい無償利用したい Yes No RH社の影響を受けない RH社の方針を尊重・RH社と対立しない・迅速なCVE対応・FIPS140-3対応・SBOM対応・超長期サポート・日本語サポート利用中のCentOS を延命させたい CentOS 延長サポート 29 Amazon Linux CentOS Stream Oracle Linux Rocky Linux SUSE Liberty Linux OpenELA

Slide 29

Slide 29 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOSからの移行または CentOS EOL延長 B. OSのEOLを延長する余裕をもってOSの選定/検証を行い OS環境のリプレイスを実行する延長 CentOS x 次期Verに移行次期Verは開発されない異なるOSへ移行選定や検証が必要残り猶予は僅か A. OS環境をリプレイスする Rocky Linux AlmaLinux CentOS互換に移行 MIRACLE LINUX CentOS 7 CentOS 7 脆弱性に対するアップデートを商用サービスから入手して適用セキュリティリスクを抑えて現在のOS環境を使い続ける

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS 7 延長サポート CentOS 7 をサポート終了後も安全に使い続ける唯一の方法 ● EOLを迎えたCentOSを4年間延長利用 ● 使い慣れたコマンドでアップデート ● 国内Linuxエンジニアの技術支援 2023 2024 2025 2026 2027 2028 CentOS 7 延長サポート CentOS 7 CentOS 7のEOL後最大2028年までセキュリティアップデートを提供慎重にPost CentOS のOS選定簡単な操作ですぐに利用開始リプレイスと比較しコスト削減新たな脆弱性へ迅速に修正提供

Slide 32

Slide 32 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 CentOS 7 延長サポートの早期利用でTOCを削減 CentOS 7 延長サポートテクニカルサポート脆弱性の影響範囲や回避方法などをLinux エンジニアが日本語で迅速回答アップデートサポート EOLに向けてCentOS の継続利用を担保し関連システムの影響を最小化既存の運用コストを削減影響調査 / 障害対応 / セキュリティ対策 EOL対策コストを削減長期的、段階的な移行計画 / システム刷新と連動 35

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 “安心安全、長期、迅速” をすべてのユーザーに提供するサイバートラストの新たな挑戦 The AlmaLinux OS Foundation AlmaLinux Community 参画参画ビジネス協業企業・ビジネス協業・AlmaLinux参画財団・非営利団体・コミュニティ運営コミュニティ・AlmaLinux開発 Linux Distribution ・AlmaLinux ・MIRACLE LINUX

Slide 35

Slide 35 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開国内では移行先としてどれが選択されているか ※２：GoogleTrend＠20231020 過去1年：2021/09/20～2023/10/20 過去1年：2022/09/20～2023/10/20 41 出所：自社調べ（23年6月末に当社が実施した CentOS終了に伴う移行先アンケート(1170回答)集計結果 CentOS 継続利用, 24% AlmaLinux, 21% Rocky Linux, 13% MIRACLE LINUX, 10% RHEL, 7% Oracle Linux, 5% その他, 20% - CentOS終了に伴う移行先調査 - （自社調べ）

Slide 36

Slide 36 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開セキュリティ強化、長期サポートに貢献 20年以上の国内実績が裏付ける品質、安心安全の継続 4,000,000 アクティブ安心安全長期サポート OpenSSF, CIP コミュニティ活動 2000年より開発を継続産業PC Linux シェアNo.1 “安心安全、長期、迅速” を全世界へサイバートラストが積重ねた実績でAlmaLinuxに貢献 OSS コンプライアンス協調＊注力国内実績＋ Global標準日本国内丸23年の実績継続性の担保

Slide 37

Slide 37 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 AlmaLinux の魅力 AlmaLinuxはRHEL互換としてリスタート(6か月経過) CVE RHSA CVSS v3 RHEL AlmaLinux Rocky Linux CVE-2023-46847 Critical 8.6 2023/12/08 2023/12/02 2023/12/11 CVE-2023-29404 Critical 9.8 2023/06/29 2023/06/30 2023/07/08 OS ver. RHEL AlmaLinux Rocky Linux 8.9 2023/11/14 2023/11/21 2023/11/22 9.3 2023/11/08 2023/11/13 2023/11/20 9.0 2023/05/17 2023/05/26 2023/07/14 RH Errata CentOS Stream Other UpStream 参照取込・活用 RH UBI

Slide 38

Slide 38 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開アップデート提供期間 CentOS 6 延長サポート CentOS 7 延長サポート CentOS 8 延長サポート ML 8 / AlmaLinux 8 ML9 / AlmaLinux 9 AlmaLinux 10 AlmaLinux 9.2 with FIPS AlmaLinux 9.4 with FIPS AlmaLinux 9.10with FIPS 2023 2024 2025 2026 2027 2028 2029 2030 2031 2032 2033 延長延長 (国内150万台規模) 再延長延長 ※ML/Almaは最長16年アップデート提供(有償) 延長予定予定

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 ◼ 2014年：CentOS PJがRed Hat社傘下後にCentOS7リリース ◼ 2020年/2022年：CentOS PJ終了…RHELクローン実質禁止へ ◼ 2023年：日本国内にEnterprise用途でCentOS7が多く滞留 ◼ 2024年～：Post CentOS or CentOS延長サポートの選択肢 ◼ その他： ◼ MIRACLE LINUX ⇒ 将来のバージョンでAlmaLinuxへ合流 ◼ AlmaLinuxはThe AlmaLinux Foundation(非営利団体)で運営 / RH社の方針尊重まとめ

Slide 41

Slide 41 text

Slide 42

Slide 42 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開 MIRACLE LINUX Users Meetup !! ● MIRACLE LINUX Users MeetupはMIRACLE Linuxを使っている、または興味のあるユーザの集まりです。 ● MIRACLE LINUXを使うユーザ同士でお互いに発表しあう互助会です。 ○ 会社関係者からの発表ではなく、ユーザ同士での発表の形にしていきたい ● 定期的にMeetup イベント(勉強会)を開催します。 ○ https://miraclelinux.connpass.com/ ○ 毎月開催予定 ● meetup以外の展開も計画中です。 ○ wikiができました！ ○ youtubeもあります。

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Copyright Cybertrust Japan Co., Ltd. All rights reserved. 公開留意事項本資料に記載されている会社名、製品名、サービス名は、当社または各社、各団体の商標もしくは登録商標です。その他本資料に記載されているイラスト・ロゴ・写真・動画・ソフトウェア等は、当社または第三者が有する知的財産権やその他の権利により守られております。お客様は、当社が著作権を有するコンテンツについて、特に定めた場合を除き、複製、改変、頒布などをすることはできません。本資料に記載されている情報は予告なしに変更されることがあります。また、時間の経過などにより記載内容が不正確となる場合がありますが、当社は、当該情報を更新する義務を負うものではありません。