検索
ニュース

グーグル、OpenSSLの新たなforkとして「BoringSSL」発表

グーグルがOpenSSLのforkを発表、独自の実装にOpenSSL側の変更をマージする体制を採る。OSSでの展開はしない方針だという。

PC用表示 関連情報
Share
Tweet
LINE
Hatena

 米グーグルが、オープンソースのSSL/TLS実装「OpenSSL」から新プロジェクトの「BoringSSL」を派生させた。同社の研究者アダム・ラングリー氏が2014年6月20日、自身のブログ「ImperialViolet」で明らかにした。

 ラングリー氏によると、グーグルでは「Heartbleed」と呼ばれる重大な脆弱性が発覚する以前からOpenSSLのコードを検証し、何年にもわたって多数のパッチを使用してきた。この中にはOpenSSLのメインレポジトリに採用されたものもある一方で、OpenSSLが保証するAPIやABIの安定性とかみ合わないものや、やや実験的過ぎるものも多かったという。

 しかし、AndroidやChromeなどの製品でそうしたパッチのサブセットが必要になる中で、パッチの数は70を超え、複数のコードで横断的に管理する作業は手に負えなくなってきたという。

 そこでモデルを切り替えて、OpenSSLの上に変更を積み重ねるのではなく、OpenSSLから変更を取り込む「BoringSSL」をスタートさせることにした。BoringSSLはまずChromiumで着手し、いずれAndroidやグーグル社内のプロジェクトにも採用したい意向だという。

 BoringSSLのコードではAPIやABIの安定性は保証せず、OpenSSLの代替となるオープンソースプロジェクトを目指すつもりもないとラングリー氏は説明する。今後もOpenSSLの変更は取り入れ、バグを見つければ報告する方針。

 OpenSSLの派生プロジェクトとしては、OpenBSD Foundationも4月に「LibreSSL」を発表しているが、BoringSSLではLibreSSLからの変更も取り入れやすくなるといい、LibreSSLがグーグルの変更を取り入れることも歓迎するとした。

 OpenSSLなどのオープンソース技術を資金面で援助する「Core Infrastructure Initiative」や、OpenBSD Foundationへの資金提供は今後も続けると表明した。

Copyright © ITmedia, Inc. All Rights Reserved.

Security & Trust 記事ランキング

  1. 約9割の経営層が「ランサムウェアは危ない」と認識、だが約4割は「問題解決は自分の役割ではない」と考えている Vade調査
  2. OpenAIの生成AIを悪用していた脅威アクターとは? OpenAIが脅威レポートの最新版を公開
  3. セキュリティ専門家も「何かがおかしいけれど、攻撃とは言い切れない」と判断に迷う現象が急増 EGセキュアソリューションズ
  4. AIチャットを全社活用している竹中工務店は生成AIの「ブレーキにはならない」インシデント対策を何からどう進めたのか
  5. 人命を盾にする医療機関へのランサムウェア攻撃、身代金の平均支払額や損失額は? 主な手口と有効な対策とは? Microsoftがレポート
  6. 「このままゼロトラストへ進んでいいの?」と迷う企業やこれから入門する企業も必見、ゼロトラストの本質、始め方/進め方が分かる無料の電子書籍
  7. 6年間でAndroidにおけるメモリ安全性の脆弱性を76%から24%まで低減 Googleが語る「Safe Coding」のアプローチと教訓とは
  8. MicrosoftがAD認証情報を盗むサイバー攻撃「Kerberoasting」を警告 検知/防御方法は?
  9. 英国政府機関が取締役にサイバーリスクを「明確に伝える」ヒントを紹介
  10. Google、「パスキー」のアップデートを発表 新たに導入された「パスワードマネジャーPIN」とは?
ページトップに戻る