宮原徹的Linux生活
其の十 「BIND問題」で顕在化した危機管理の欠如

宮原 徹
2001/2/24

 皆さん、こんにちは。み。です。

 気が付くと、このコラムももう10回目です。始める前は毎週毎週、書くネタが集まるのかなと思っていたのですが、意外とあるものですね。

 今回のネタはセキュリティである。ちょうど、@ITでも「Security&Trust」というフォーラムがスタートしたし、2001年のキーワードの1つだと思うのだが、そんな矢先にちょっとした事件が起こった。それはインターネットの名前解決(例えばwww.atmarkit.co.jpというマシンはこのIPアドレスだよ、と教えてくれる仕組み)を担っているDNS用のソフトウェアとして80%以上のシェアを誇る「BIND」にセキュリティホールが見つかったのだ。

 これはかなりの脅威だといえる。Webサーバのスタンダードである「Apache」ですらシェアは約60%程度だし、インターネットのサービスすべてがDNSに依存しているといっても過言ではないので影響範囲はその比ではない。

 まあ、そういった技術的な話はフォーラムに譲るとして、私が注目したいのは、それへの対応である。

 現在のインターネットで、BINDのように広く普及しているソフトウェアにセキュリティホールが見つかると、だいたいその手口が情報として流れ、それこそ大量のクラッカーやらクラッカー予備軍やらがその手口を使ってそこいら中のサイトに潜入を図ろうとするわけである。こういう行為は年々機械的になってきていて、参入障壁(?)は異常に低くなってきている。やろうと思えば小学生でもできる時代であるといえる。

 これに対して、ソフトウェアを提供する側もアップデートなどで穴をふさいだ(セキュリティ対策を施した)ものを提供する。ここまではいい。問題はこれをだれがどう適用していくかである。

 ここまで急速にマシンが増えたため、1つ1つに適用していくのも大変だろうし、セキュリティに問題があることを知らない管理者も多いだろう(今回のBINDの件も、重要度の割には情報が少ないような気がする)。いってみれば、インターネットの危機管理・対応のためのシステムがないのである。

 もちろん、正確にはないわけではない。あることはある。ただ、それが帯に短し襷に長しだったり、行き渡っていないため機能していないのだ。

 オープンソースの1つの利点として、セキュリティに対する迅速な対応が挙げられている。確かに問題への対応は早い。しかし、最終的に生きてこそのメリットであって、それをフル活用できるほどのユーザー環境にはなっていない。解決すべき課題は多くあるし、そのあたりが2001年のポイントだろうな、と思わせる出来事であった。

「宮原徹的Linux生活」

筆者紹介
宮原徹

Project BLUE/日本Samba ユーザ会会員。データベースの活用を中心としたLinuxによるビジネスソリューション構築のため、公私にわたり日々活動している。Linux Squareフォーラムのガイドとして、記事の執筆などを行う


Linux & OSS フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Linux & OSS 記事ランキング

本日 月間