オープンソースセキュリティ

枯れた技術思想が危険な時代
http://f-shin.net/fsgarage/2786

最近、Linuxサーバを運用するエンジニアには、衝撃的なセキュリティホールが続いているように感じます。
昨年のHeartBleed, Shellshock、そして今年に入ってGHOST。
枯れた技術と思っていたけど、まだこんな致命的なものがあったとは、と驚かされます。
(もともと誰も保障されていないオープンソースの世界に、安心する方がおかしいといえばそれまでですが・・)
ShellShcokについては、「こんな簡単に任意コマンドが実行できてしまうの? いくら高度な認証システムを実装していても何も意味がない」という無

力感に陥ります。
この記事にあるように、プロプライエタリの時代がまたくるのかもしれません。しかし私はこれも否定的に思っています。
iOSやWindowsのような非公開OSのセキュリティホールは、非公開ゆえなかなか発見が難しいからです。これを知っている人だけ、今も利用しているかもしれません。
Windows Updateをしているから、またセキュリティソフトを入れているから安心、とはなかなか言えません。
ではどうしたらいいのか、ということになりますが、それは絶えず最新のセキュリティ事情に関心をもつことだと思っています。
特に企業等の重要な情報を管理する立場の人は、その会社のいつつくられたかわからないセキュリティガイドラインを盲目に守るだけでは、新たな脅威には対応できないと思います。
インターネットには新しい便利なサービス、アプリケーションが次々と生まれますが、それに伴い新たなセキュリティ対策も必要になります。
どこまでセキュリティ対策に力を入れるか、これは人によってかなり差異があることを感じます。この「セキュリティ感覚」みたいなのが、セキュリティ事情にどれくらい関心があるかによって、かなり変わってくるように思えます。

私自身もこのような仕事をすることがよくありますので、この「感覚」を磨くためにもっと勉強をする必要性を感じる今日このごろです。
そのようなこともあり、新しいブログを始めることにしました。

"DECODE x NET" http://decode.red/net

インターネットサービスに関連する技術について、興味がある技術を使った備忘録などを書きたいと思います。
興味がありましたら、お立ち寄りくださいませ。